Umowa Powierzenia Przetwarzania Danych Osobowych (DPA) — Callyro Reach

Wersja: v1.0-2026-06

Dokument wzorcowy. Przed podpisaniem z pierwszym klientem zewnętrznym — review prawnika (SaaS + RODO + marketing bezpośredni PL).

---

zawarta pomiędzy:

__________ (Klient — firma zlecająca kampanię telefoniczną) — zwany dalej „Administratorem" (RODO art. 4 pkt 7),

a

Ai Partners sp. z o.o., ul. Szybowa 1, 42-280 Częstochowa, KRS 0001183384, NIP 5732964295, REGON 542220609 — zwana dalej „Procesorem" (RODO art. 4 pkt 8).

Niniejsza Umowa wykonuje obowiązek z art. 28 ust. 3 RODO w związku ze świadczeniem usługi Callyro Reach (automatyczna obdzwonka bazy kontaktów Administratora przez agenta głosowego AI, kwalifikacja i umawianie spotkań).

---

§ 1. Przedmiot i czas powierzenia

• Administrator powierza Procesorowi przetwarzanie danych osobowych osób z bazy kontaktów Administratora („Leady") oraz danych pracowników Administratora (handlowcy).
• Cel powierzenia: wykonywanie w imieniu Administratora połączeń telefonicznych do Leadów, kwalifikacja, umawianie spotkań w kalendarzu Administratora, wysyłka SMS potwierdzających, raportowanie wyników (transkrypcje, statusy, powody odmów).
• Powierzenie obowiązuje przez okres trwania umowy o świadczenie usługi + 90 dni post-termination (procedura usunięcia, § 8).

§ 2. Kategorie danych i osób

• Kategorie osób: Leady (osoby z bazy Administratora), pracownicy Administratora (handlowcy).
• Kategorie danych zwykłych (RODO art. 6):
• Lead: imię, nazwisko, numer telefonu, miasto, województwo, status kontaktu, treść i nagranie/transkrypcja rozmowy, powód odmowy, oznaczenie „nie kontaktować",
• handlowiec: imię, e-mail, identyfikator kalendarza.
• Dane szczególnej kategorii (RODO art. 9) NIE są przetwarzane i nie mogą znajdować się w bazie wgrywanej przez Administratora.

§ 3. Oświadczenie Administratora o podstawie kontaktu (warunek uruchomienia)

• Administrator oświadcza, że dla całej bazy Leadów przekazanej do obdzwonki posiada ważną podstawę kontaktu telefonicznego w celach marketingu bezpośredniego: zgodę, o której mowa w art. 172 ustawy Prawo komunikacji elektronicznej / Prawo telekomunikacyjne, oraz podstawę przetwarzania danych z art. 6 RODO.
• Oświadczenie składane jest elektronicznie w panelu usługi (checkbox + zapis: kto, kiedy, z jakiego IP, której wersji dokumentu dotyczy) i jest warunkiem uruchomienia obdzwonki.
• Administrator zobowiązuje się nie wgrywać baz kupowanych/scrapowanych bez udokumentowanych zgód. Odpowiedzialność za prawdziwość oświadczenia ponosi Administrator.
• Procesor wspiera zgodność technicznie: system trwale respektuje oznaczenie „nie kontaktować" (do_not_call), automatycznie oznacza je po prośbie rozmówcy wykrytej w rozmowie, a połączenia wykonywane są wyłącznie w dni robocze 10:00–18:00.

§ 4. Obowiązki Procesora (RODO art. 28 ust. 3)

• Przetwarzanie wyłącznie na udokumentowane polecenie Administratora (Umowa, konfiguracja w panelu, korespondencja e-mail).
• Zapewnienie poufności osób upoważnionych (NDA pracowników i współpracowników Procesora).
• Środki techniczne i organizacyjne wymagane art. 32 RODO — skrót w § 6 (TOM).
• Pomoc Administratorowi w realizacji praw osób (art. 15–22 RODO), notyfikacji incydentów (art. 33 — powiadomienie Administratora w 24h od wykrycia) i DPIA (art. 35).
• Zwrot lub usunięcie danych po zakończeniu Umowy (§ 8).
• Udostępnienie informacji niezbędnych do wykazania zgodności oraz umożliwienie audytu (nie częściej niż raz na 12 miesięcy, z 30-dniowym wyprzedzeniem).

§ 5. Subprocessory (RODO art. 28 ust. 4)

Administrator wyraża ogólną zgodę na poniższych subprocessorów. O zmianach Procesor powiadamia e-mailem z 14-dniowym wyprzedzeniem; brak sprzeciwu w 14 dni = akceptacja; w razie sprzeciwu — konsultacje w dobrej wierze do 30 dni.

Procesor nie wykorzystuje danych Administratora ani Leadów do trenowania modeli AI (własnych ani subprocessorów) i nie udostępnia ich osobom trzecim poza powyższą listą.

§ 6. Środki techniczne i organizacyjne (TOM, art. 32 RODO — skrót)

• Szyfrowanie: AES-256 at rest (Supabase EU, backupy 30 dni), TLS 1.3 in transit, HSTS.
• Izolacja najemców: Row Level Security per organizacja na każdej tabeli z danymi powierzonymi.
• Kontrola dostępu: MFA na kontach administracyjnych (Supabase, Vercel, Stripe, ElevenLabs), brak SELECT * w API, sekrety wyłącznie w zmiennych środowiskowych.
• Minimalizacja: SMS i prompty agenta zawierają tylko dane niezbędne do umówienia spotkania; PII scrubbing w logach błędów.
• Rozliczalność: rejestr akceptacji dokumentów (kto/kiedy/IP/wersja), statusy i transkrypcje rozmów dostępne dla Administratora w panelu.

§ 7. Poufność i zakazy

Procesor nie sprzedaje, nie wymienia i nie publikuje danych powierzonych; nie wykorzystuje bazy Leadów Administratora na rzecz innych klientów Procesora.

§ 8. Usunięcie danych po zakończeniu Umowy

• 0–14 dni: dostęp read-only + eksport (CSV) z panelu.
• 15–90 dni: dane istnieją, możliwy eksport na żądanie; brak nowych połączeń.
• 91. dnia: usunięcie danych Leadów ze środowiska produkcyjnego; do 180 dni — rotacja backupów.
• Wyjątek: dane niezbędne do wykazania zgodności (rejestr akceptacji, zanonimizowane logi) — retencja 24 miesiące, bez PII Leadów.

§ 9. Postanowienia końcowe

• W zakresie nieuregulowanym stosuje się RODO, UODO i Kodeks Cywilny.
• Spory rozstrzyga sąd właściwy dla siedziby Administratora.
• Zmiany Umowy wymagają formy dokumentowej; powiadomienie e-mail + 14 dni na akceptację.

---

Akceptacja elektroniczna: niniejsza Umowa jest akceptowana w panelu usługi (clickwrap). Rejestr akceptacji (organizacja, użytkownik, data, IP, wersja i suma kontrolna dokumentu) stanowi dowód zawarcia.

*Dokument wzorcowy roboczy v1.0-2026-06.*