Umowa o przetwarzaniu danych (szablon)

To jest szablon umowy o przetwarzaniu danych (UPD), którą GPT Workspace zawiera z klientami biznesowymi. Aby otrzymać go wypełniony, napisz na adres contact@gpt.space z pełną nazwą prawną firmy, adresem, osobą kontaktową i liczbą stanowisk. Procesorzy w nim wymienieni są wylistowani i aktualizowani w Centrum zaufania.

Ten szablon jest udostępniony w celach informacyjnych i nie stanowi porady prawnej. Przed podpisaniem należy go przejrzeć z radcą prawnym. Pola w nawiasach kwadratowych są wypełniane przed podpisaniem.

---

Niniejsza Umowa o przetwarzaniu danych („UPD”) stanowi część umowy dotyczącej korzystania z GPT Workspace („Usługa”) zawartej pomiędzy:

• [PEŁNA NAZWA PRAWNA KLIENTA], [ADRES KLIENTA], [NUMER REJESTRACYJNY] („Klient” lub „Administrator”), oraz
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA („Dostawca” lub „Procesor”),

wspólnie zwanymi „Stronami”. Zostaje zawarta w dniu [DATA WEJŚCIA W ŻYCIE] i ma zastosowanie tak długo, jak Dostawca przetwarza Dane osobowe w imieniu Klienta.

„RODO” oznacza Rozporządzenie (UE) 2016/679 oraz, w miarę zastosowania, brytyjskie RODO zdefiniowane w Data Protection Act 2018. „Dane osobowe”, „Przetwarzanie”, „Administrator”, „Procesor”, „Podmiot danych”, „Organ nadzorczy” i „Naruszenie ochrony danych osobowych” mają znaczenia nadane w art. 4 RODO. „Podprocesor” oznacza stronę trzecią zaangażowaną przez Dostawcę w celu przetwarzania Danych osobowych w imieniu Klienta. „Dane klienta” oznaczają Dane osobowe, które Dostawca przetwarza dla Klienta w ramach umowy o świadczenie Usługi, zgodnie z opisem w Załączniku 1.

2.1 Klient jest Administratorem, a Dostawca jest Procesorem Danych klienta. W przypadku, gdy Klient działa jako procesor dla własnych klientów, Dostawca działa jako podprocesor, a Klient gwarantuje, że jego własne instrukcje są autoryzowane przez właściwego administratora.

2.2 Przedmiot, czas trwania, charakter i cel Przetwarzania, rodzaje Danych osobowych oraz kategorie Podmiotów danych są określone w Załączniku 1.

3.1 Dostawca przetwarza Dane klienta wyłącznie na podstawie udokumentowanych instrukcji Klienta, w tym w odniesieniu do transferów do państwa trzeciego, chyba że prawo Unii lub państwa członkowskiego, któremu podlega Dostawca, nakazuje takie działanie. W takim przypadku Dostawca informuje Klienta o tym wymogu prawnym przed przetwarzaniem, chyba że prawo tego zabrania.

3.2 Instrukcje Klienta to: umowa o świadczenie Usługi, niniejsza UPD, konfiguracja ustawiona przez Klienta i jego użytkowników w Usłudze oraz żądania wysyłane przez użytkowników Klienta do Usługi. Dostawca niezwłocznie informuje Klienta, jeżeli według jego opinii instrukcja narusza RODO.

Dostawca zapewnia, że osoby upoważnione do przetwarzania Danych klienta zobowiązały się do poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi poufności, oraz że dostęp jest ograniczony do tego, co każda osoba potrzebuje do świadczenia Usługi.

Dostawca wdraża techniczne i organizacyjne środki wymienione w Załączniku 2 i poddaje je stałemu przeglądowi. Biorąc pod uwagę stan wiedzy technicznej, koszty wdrożenia oraz charakter, zakres, kontekst i cele Przetwarzania, środki te zapewniają poziom bezpieczeństwa odpowiedni do ryzyka.

6.1 Klient udziela Dostawcy ogólnego pisemnego upoważnienia do zaangażowania Podprocesorów wymienionych w Załączniku 3.

6.2 Dostawca informuje Klienta o każdym planowanym dodaniu lub zastąpieniu Podprocesora co najmniej na [30] dni przed wejściem zmiany w życie, drogą mailową na adres [ADRES E-MAIL KONTAKTOWY KLIENTA] oraz poprzez aktualizację listy pod adresem https://gpt.space/trust. Klient może zgłosić sprzeciw na rozsądnych podstawach ochrony danych w tym okresie. Jeżeli Strony nie rozwiążą sporu, Klient może rozwiązać dotkniętą część Usługi bez kary.

6.3 Dostawca nakłada na każdego Podprocesora, w drodze umowy, te same obowiązki w zakresie ochrony danych, jakie określono w niniejszej UPD, w szczególności zapewniając wystarczające gwarancje wdrożenia odpowiednich technicznych i organizacyjnych środków. Jeżeli Podprocesor nie wywiąże się ze swoich obowiązków, Dostawca pozostaje w pełni odpowiedzialny wobec Klienta za wykonanie obowiązków tego Podprocesora.

Biorąc pod uwagę charakter Przetwarzania, Dostawca wspiera Klienta odpowiednimi technicznymi i organizacyjnymi środkami, w zakresie, w jakim jest to możliwe, w wywiązaniu się z obowiązku Klienta do udzielania odpowiedzi na żądania dotyczące korzystania z praw Podmiotu danych wynikających z rozdziału III RODO. Dostawca przekazuje Klientowi, bez zbędnej zwłoki, każde żądanie otrzymane bezpośrednio od Podmiotu danych dotyczące Danych klienta i nie odpowiada na nie, z wyjątkiem instrukcji Klienta lub przypadku, gdy wymagają tego przepisy prawa.

Dostawca wspiera Klienta w zapewnieniu zgodności z obowiązkami wynikającymi z art. 32–36 RODO (bezpieczeństwo, powiadomienie o naruszeniu, oceny skutków dla ochrony danych i uprzednie konsultacje), biorąc pod uwagę charakter Przetwarzania i informacje dostępne dla Dostawcy.

Dostawca powiadamia Klienta bez zbędnej zwłoki, a w każdym przypadku w ciągu [48] godzin od momentu stwierdzenia Naruszenia ochrony danych osobowych dotyczącego Danych klienta, drogą mailową na adres [ADRES E-MAIL KONTAKTOWY KLIENTA]. Powiadomienie opisuje, w zakresie wiadomym w danym czasie, charakter naruszenia, kategorie i przybliżoną liczbę dotkniętych Podmiotów danych i rekordów, prawdopodobne konsekwencje, podjęte lub proponowane środki oraz punkt kontaktowy. Informacje, które nie są jeszcze dostępne, są dostarczane etapami bez dalszej zbędnej zwłoki.

10.1 Na wybór Klienta, Dostawca usuwa lub zwraca wszystkie Dane klienta po zakończeniu świadczenia Usługi i usuwa istniejące kopie, chyba że prawo Unii lub państwa członkowskiego wymaga przechowywania Danych osobowych.

10.2 Niezależnie od punktu 10.1, Klient i każdy z jego użytkowników mogą usunąć swoje konto oraz dane przechowywane przez Dostawcę w Usłudze w dowolnym momencie. Usunięcie jest wykonywane w ciągu 24 godzin od żądania. Faktury i dokumenty płatnicze są przechowywane przez okres wymagany przez prawo podatkowe.

11.1 Dostawca udostępnia Klientowi wszystkie informacje niezbędne do wykazania zgodności z obowiązkami określonymi w art. 28 RODO oraz umożliwia i współpracuje przy audytach, w tym inspekcjach, przeprowadzanych przez Klienta lub audytora upoważnionego przez Klienta.

11.2 Dostawca w pierwszej kolejności realizuje żądania audytowe, udostępniając swój certyfikat ISO 27001 i raport z audytu (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), swoją ocenę CASA Tier III oraz pisemne odpowiedzi na kwestionariusz bezpieczeństwa. Inspekcja na miejscu lub zdalna jest przeprowadzana najwyżej [raz w roku], przy [30] dniach pisemnego uprzedzenia, w godzinach pracy, na mocy umowy o poufności i na koszt Klienta, chyba że Organ nadzorczy wymaga inaczej lub nastąpiło Naruszenie ochrony danych osobowych.

12.1 Dostawca ma siedzibę w Stanach Zjednoczonych, a Usługa jest hostowana na platformie Google Cloud Platform w Stanach Zjednoczonych. W przypadku, gdy Dane klienta dotyczące Podmiotów danych w EOG, Wielkiej Brytanii lub Szwajcarii są przekazywane do państwa bez decyzji o odpowiedniości, Strony opierają się na Standardowych Klauzulach Umownych przyjętych przez Komisję Europejską w Decyzji (UE) 2021/914 (Moduł Drugi, administrator do procesora, lub Moduł Trzeci, procesor do procesora, stosownie do przypadku), które są włączone przez odwołanie, wraz z brytyjskim załącznikiem UK International Data Transfer Addendum w przypadku danych z Wielkiej Brytanii. Podprocesorzy Dostawcy, którzy otrzymują Dane klienta, uczestniczą w systemie EU-US Data Privacy Framework, gdy jest on dla nich dostępny. Standardowe Klauzule Umowne regulują każdy transfer dokonywany samodzielnie przez Dostawcę.

12.2 W przypadku opcji w Standardowych Klauzulach Umownych: Klauzula 7 (przystąpienie) ma zastosowanie; Klauzula 9 opcja 2 (ogólne upoważnienie) z okresem powiadomienia z Sekcji 6.2; Klauzula 11 opcjonalny tekst nie ma zastosowania; Klauzula 13 i Klauzula 17: prawo [PAŃSTWO CZŁONKOWSKIE, np. Irlandia]; Klauzula 18: sądy [PAŃSTWO CZŁONKOWSKIE]. Załącznik I i Załącznik II Klauzul stanowią Załączniki 1 i 2 niniejszej UPD.

13.1 Odpowiedzialność każdej Strony z tytułu niniejszej UPD podlega ograniczeniom i wykluczeniom odpowiedzialności określonym w umowie o świadczenie Usługi, z wyjątkiem przypadków, w których nie mogą być one ograniczone na podstawie obowiązującego prawa ochrony danych.

13.2 Niniejsza UPD wchodzi w życie w Dacie wejścia w życie i pozostaje w mocy tak długo, jak Dostawca przetwarza Dane klienta. W przypadku konfliktu między niniejszą UPD a umową o świadczenie Usługi, niniejsza UPD ma pierwszeństwo w zakresie Przetwarzania Danych osobowych.

13.3 Niniejsza UPD podlega prawu regulującemu umowę o świadczenie Usługi, z tym że Standardowe Klauzule Umowne podlegają prawu wybranemu w Sekcji 12.2.

W imieniu Klienta	W imieniu Dostawcy
Imię i nazwisko: [IMIĘ I NAZWISKO]	Imię i nazwisko: [IMIĘ I NAZWISKO]
Stanowisko: [STANOWISKO]	Stanowisko: [STANOWISKO]
Data: [DATA]	Data: [DATA]
Podpis:	Podpis:

---

Pozycja	Opis
Przedmiot	Świadczenie usługi GPT Workspace: asystent AI w Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, rozszerzeniu Chrome oraz serwerach MCP.
Czas trwania	Okres obowiązywania umowy o świadczenie Usługi, plus okresy przechowywania w Załączniku 2.
Charakter i cel	Odczytywanie treści, na którą wskazuje użytkownik w swoim koncie Google, wysyłanie jej wraz z żądaniem użytkownika do dostawcy modelu AI oraz zapisywanie odpowiedzi z powrotem do pliku lub czatu użytkownika. Administracja kontem, rozliczenia i wsparcie techniczne.
Kategorie Podmiotów danych	Pracownicy i podwykonawcy Klienta korzystający z Usługi; osoby, których dane znajdują się w dokumentach, arkuszach, mailach i plikach Klienta przetwarzanych za pośrednictwem Usługi.
Rodzaje Danych osobowych	Dane konta (imię i nazwisko, adres e-mail, zdjęcie profilowe, identyfikator konta Google); dane rozliczeniowe (nazwa rozliczeniowa, adres, numer VAT); metadane użytkowania (liczba żądań, daty, tytuły dokumentów); treść żądań oraz plików Google, maili i załączników przesyłanych przez użytkownika, które mogą zawierać dowolną kategorię Danych osobowych umieszczonych tam przez Klienta.
Kategorie specjalne	Brak z założenia. Usługa nie wymaga danych specjalnej kategorii; Klient decyduje, co jego użytkownicy przesyłają. [Klient wskazuje, czy przewiduje kategorie specjalne: BRAK / OPISAĆ]
Częstotliwość	Ciągłe, przy każdym żądaniu użytkownika.
Przechowywanie	Patrz Załącznik 2, „Przechowywanie”.

Obszar	Środek
Certyfikaty	Certyfikowany system zarządzania bezpieczeństwem informacji ISO 27001 (raport z audytu dostępny). Ocena CASA Tier III (App Defense Alliance) dla integracji z Google Workspace. Zgodność z Google API Services User Data Policy, w tym z wymogami Limited Use.
Hosting	Google Cloud Platform (Firebase), Stany Zjednoczone, regiony US East i US West. Komponenty przetwarzające Dane klienta działają wewnątrz prywatnej sieci Dostawcy, za usługą load balancers i zaporą aplikacji webowych.
Szyfrowanie	TLS 1.2 lub wyższy dla wszystkich danych w tranzycie. Szyfrowanie po stronie serwera AES-256 w spoczynku na Firebase, zarządzanie kluczami przez GCP IAM. Tokeny dostępu i odświeżania Google szyfrowane w spoczynku.
Brak kopii plików klienta	Pliki Google, maile i arkusze są odczytywane w czasie rzeczywistym przy użyciu tokenu OAuth użytkownika i nie są kopiowane do pamięci Dostawcy. Jedyny wyjątek stanowi plik załączany do wyszukiwania plików, który jest przesyłany do sklepu wektorowego OpenAI (patrz Załącznik 3): indeks wyszukiwania jest usuwany 1 dzień po ostatnim użyciu, a kopia jest usuwana po 7 dniach.
Dostawcy modeli	Wykorzystywani na warunkach API, które zabraniają trenowania na żądaniach. Dostawca nigdy nie trenuje ani nie dostraja modelu na Danych klienta.
Kontrola dostępu	Dostęp do systemów produkcyjnych ograniczony do upoważnionego personelu z indywidualnymi kontami, uwierzytelnianiem wieloskładnikowym i najmniejszymi uprawnieniami przez GCP IAM. Izolacja danych per użytkownik egzekwowana przez reguły bezpieczeństwa Firebase. Uwierzytelnianie wieloskładnikowe jest obowiązkowe dla każdego konta z dostępem produkcyjnym; uprawnienia są przeglądane co tydzień.
Monitorowanie i testowanie	GCP Security Command Center ciągłe skanowanie podatności wszystkich zasobów w zakresie; polityka ujawniania podatności dla zewnętrznych badaczy.
Przechowywanie	Dane konta, wątki czatu, ustawienia i metadane użytkowania: 18 miesięcy po ostatniej aktywności użytkownika lub 24 godziny po żądaniu usunięcia. Pliki załączone do wyszukiwania plików: indeks wyszukiwania usuwany 1 dzień po ostatnim użyciu, przesłana kopia usuwana po 7 dniach. Logi żądań bramy modeli: 30 dni, wyłącznie do celów wsparcia. Żądania i odpowiedzi: przetwarzane w czasie rzeczywistym, nie przechowywane długoterminowo przez Dostawcę. Faktury: przez okres wymagany przez prawo podatkowe.
Usuwanie	Samodzielne usuwanie konta i wszystkich powiązanych danych w Usłudze; usuwanie na żądanie w ciągu 24 godzin.
Ciągłość działania	Natywne narzędzia kopii zapasowych Google Cloud i dostępności wieloregionalnej; pełne kopie zapasowe co 7 dni.
Personel	Obowiązki poufności w umowach o pracę i z podwykonawcami; szkolenia z bezpieczeństwa dla personelu z dostępem produkcyjnym.

Aktualna lista jest prowadzona pod adresem https://gpt.space/trust i odtworzona tutaj według stanu na Datę wejścia w życie.

Podprocesor	Cel	Lokalizacja
Google Cloud Platform / Firebase (Google LLC)	Hosting, baza danych, pamięć masowa, uwierzytelnianie, sekrety	Stany Zjednoczone
OpenRouter, Inc.	Brama trasująca każde żądanie do modelu do poniższego dostawcy; logi żądań przechowywane 30 dni wyłącznie do celów wsparcia, nigdy nie używane do trenowania	Stany Zjednoczone
OpenAI	Modele tekstowe i obrazowe; sklep wektorowy do wyszukiwania plików	Stany Zjednoczone
Anthropic	Modele Claude (przypisane do własnego punktu końcowego Anthropic)	Stany Zjednoczone
Google (AI Studio)	Modele tekstowe i obrazowe Gemini	Stany Zjednoczone
Perplexity	Modele wyszukiwania w sieci	Stany Zjednoczone
Hosty inferencyjne OpenRouter	Hosty inferencyjne dla modeli open-weight GLM-5.3-flash i gpt-oss-120b	Przez OpenRouter
Typesafe	Model decyzyjny za formułą GPT_CLASSIFY	Przez OpenRouter
Google Programmable Search	Wyszukiwanie obrazów stockowych do wygenerowanych slajdów (tylko zapytanie)	Stany Zjednoczone
Stripe	Płatności, faktury, portal rozliczeń	Stany Zjednoczone i Irlandia, na mocy Stripe DPA
PostHog (instancja self-hosted)	Analiza produktowa	Unia Europejska
Sentry	Monitorowanie błędów	Unia Europejska (region danych UE)