Umowa powierzenia

Umowa zawarta między Klientem jako administratorem („Administrator”) a TIME4IT sp. z o.o. z siedzibą w Nowej Woli (KRS 0001140137, NIP 1231569806) jako podmiotem przetwarzającym („Procesor”), łącznie „Strony”. Umowa powierzenia jest zawierana z chwilą zawarcia Umowy o świadczenie Usługi i stanowi umowę w rozumieniu art. 28 ust. 3 RODO. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

§ 1. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i celu opisanym w tabeli poniżej, wyłącznie w celu świadczenia Usługi.

Element	Opis
Cel	Generowanie Przymiarek i zdjęć w Kreatorze Zdjęć, przechowywanie zdjęć i Wyników na potrzeby kolejnych Przymiarek, obsługa zgód i żądań usunięcia danych, statystyki Usługi dla Administratora, a po włączeniu przez Administratora pomiar sprzedaży powiązanej z Przymiarkami
Charakter	Zbieranie, przechowywanie, przekazywanie dostawcom modeli AI, przekształcanie (generowanie obrazu), udostępnianie Administratorowi i Klientce, usuwanie; w sposób zautomatyzowany, w systemach informatycznych Procesora i podmiotów z Załącznika nr 2
Kategorie osób	Klientki; osoby, których wizerunek Administrator dodaje w Kreatorze Zdjęć (np. modelki, pracownicy); osoby widoczne w kadrach z transmisji przekazanych przez Administratora
Rodzaje danych	Wizerunek na zdjęciu sylwetki i inne dane widoczne na zdjęciu; Wyniki przedstawiające wizerunek; pseudonimowy identyfikator Klientki nadany przez Administratora; treść, data i wersja złożonych zgód oraz potwierdzenie pełnoletności; ocena Wyniku; dane techniczne (adres IP, typ urządzenia i przeglądarki, język, znaczniki czasu) w dziennikach; po włączeniu pomiaru sprzedaży: pseudonim Klientki i zamówienia, produkt, rozmiar, ilość, kwota, status i powód zwrotu
Dane szczególnych kategorii	Procesor nie przetwarza danych biometrycznych w rozumieniu art. 4 pkt 14 RODO: nie stosuje technik umożliwiających lub potwierdzających jednoznaczną identyfikację osoby, nie tworzy wzorców twarzy i nie porównuje osób, a przetwarzanie nie ma na celu wnioskowania o danych szczególnych kategorii. Administrator nie przekazuje innych danych szczególnych kategorii; jeżeli zdjęcie ujawnia takie dane przypadkowo, Procesor przetwarza je wyłącznie w zakresie technicznie nieuniknionym i nie analizuje ich
Czas	Przez czas trwania Umowy, z uwzględnieniem okresów usuwania z § 9

2. Procesor nie przetwarza powierzonych danych w celach własnych, w tym nie trenuje i nie dostraja na nich modeli AI, nie łączy danych różnych Administratorów i nie tworzy profili Klientek obejmujących wielu Administratorów. Statystyki porównawcze między Administratorami Procesor przygotowuje wyłącznie na danych zanonimizowanych.

§ 2. Polecenia Administratora

1. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniami są w szczególności: Regulamin, niniejsza umowa, ustawienia w Panelu (np. okres przechowywania, włączenie pomiaru sprzedaży, wybór Poziomu Jakości) oraz wywołania API wykonane przez Administratora lub w jego imieniu.
2. Jeżeli przepisy prawa Unii lub państwa członkowskiego nakładają na Procesora obowiązek przetwarzania, Procesor informuje o nim Administratora przed rozpoczęciem przetwarzania, o ile prawo nie zabrania takiej informacji.
3. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych, i może wstrzymać wykonanie polecenia do czasu jego potwierdzenia lub zmiany.

§ 3. Obowiązki Administratora

1. Administrator oświadcza, że ma podstawę prawną do przetwarzania powierzonych danych i do ich powierzenia, w tym, gdy jest wymagana, zgodę osoby, której dane dotyczą.
2. Administrator spełnia wobec Klientek obowiązek informacyjny i wskazuje Procesora jako odbiorcę danych. Okno Przymiarki przedstawia Klientce treść zgód i informację o AI dostarczoną przez Procesora; Administrator odpowiada za to, aby treść ta była spójna z jego polityką prywatności.
3. Jeżeli Administrator nie ma podstawy prawnej do przetwarzania lub nie spełnił obowiązku informacyjnego, Procesor może wstrzymać przetwarzanie danych tego Administratora do czasu wyjaśnienia, bez odpowiedzialności za skutki wstrzymania.
4. Administrator ocenia, czy przetwarzanie wymaga oceny skutków dla ochrony danych (art. 35 RODO). Procesor udostępnia Administratorowi opis przetwarzania, środki bezpieczeństwa i wzór oceny skutków, przygotowany dla typowej Integracji.

§ 4. Poufność i bezpieczeństwo

1. Procesor dopuszcza do danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności, w zakresie niezbędnym do wykonywania ich zadań.
2. Procesor stosuje środki techniczne i organizacyjne z art. 32 RODO odpowiednie do ryzyka, w szczególności:
   1. szyfrowanie transmisji (TLS) i danych w spoczynku;
   2. odseparowanie danych każdego Administratora (izolacja najemców w bazie danych i w magazynie plików);
   3. udostępnianie zdjęć wyłącznie przez podpisane linki o krótkim czasie ważności;
   4. brak podglądu zdjęć Klientek w Panelu; dostęp personelu Procesora do danych tylko w celu obsługi zgłoszenia lub bezpieczeństwa, z rejestracją każdego dostępu;
   5. uwierzytelnianie wieloskładnikowe dla kont administracyjnych, przechowywanie haseł wyłącznie jako skrótów (argon2id), zasadę najmniejszych uprawnień;
   6. rejestrowanie logowań i działań administracyjnych oraz monitorowanie bezpieczeństwa;
   7. kopie zapasowe szyfrowane i rotowane, testy odtwarzania;
   8. filtry treści wejściowych i wyjściowych, limity zapytań na Klientkę;
   9. aktualizacje zabezpieczeń i przegląd zależności oprogramowania.
3. Opis środków bezpieczeństwa Procesor aktualizuje i udostępnia Administratorowi na żądanie.

§ 5. Dalsze powierzenie

1. Administrator udziela Procesorowi ogólnej zgody na dalsze powierzenie przetwarzania podmiotom wskazanym w Załączniku nr 2.
2. O zamiarze dodania lub zmiany podmiotu przetwarzającego Procesor informuje Administratora e-mailem i w Panelu co najmniej 14 dni wcześniej. Administrator może w ciągu 10 dni od otrzymania informacji zgłosić sprzeciw, wskazując przyczyny związane z ochroną danych osobowych. Jeżeli Strony nie uzgodnią rozwiązania, Administrator może wypowiedzieć Umowę ze skutkiem na dzień wprowadzenia zmiany. W nagłych przypadkach (awaria lub zakończenie działalności dostawcy) termin może być krótszy, a Procesor wyjaśnia przyczynę.
3. Procesor nakłada na dalszy podmiot przetwarzający obowiązki ochrony danych co najmniej takie jak w niniejszej umowie, w szczególności zakaz wykorzystywania danych do trenowania modeli, i odpowiada wobec Administratora za ich wykonanie.
4. Przekazanie danych do państwa trzeciego następuje wyłącznie na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (art. 45 RODO, w tym EU-US Data Privacy Framework wobec certyfikowanych podmiotów) albo standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO), wraz z oceną skutków transferu i dodatkowymi środkami, jeżeli są potrzebne. Na żądanie Procesor przekazuje Administratorowi kopię zastosowanych zabezpieczeń, z możliwością utajnienia informacji handlowych.

§ 6. Pomoc Administratorowi

1. Procesor pomaga Administratorowi w realizacji żądań osób, których dane dotyczą (rozdział III RODO), w szczególności przez:
   1. przycisk „Usuń moje dane” w oknie Przymiarki, który usuwa zdjęcie, Wyniki, historię i zdarzenia sprzedażowe Klientki;
   2. funkcje Panelu i API pozwalające wyszukać, wyeksportować i usunąć dane Klientki po jej identyfikatorze;
   3. przekazanie Administratorowi bez zbędnej zwłoki, nie później niż w 3 dni robocze, każdego żądania, które Procesor otrzyma bezpośrednio od Klientki, bez udzielania odpowiedzi co do istoty.
2. Procesor pomaga Administratorowi w wykonaniu obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje.

§ 7. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres właściciela Konta.
2. Zgłoszenie zawiera, w miarę dostępności, informacje z art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób i wpisów, prawdopodobne konsekwencje oraz podjęte lub proponowane środki. Informacje niedostępne w chwili zgłoszenia Procesor przekazuje sukcesywnie.
3. Procesor niezwłocznie podejmuje środki ograniczające skutki naruszenia i dokumentuje naruszenie. Procesor nie zawiadamia organu nadzorczego ani Klientek w imieniu Administratora bez jego polecenia, chyba że obowiązek taki wynika z przepisów.

§ 8. Audyt i rejestr

1. Procesor prowadzi rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO).
2. Audyt odbywa się w pierwszej kolejności przez udostępnienie dokumentów. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w szczególności odpowiedzi na kwestionariusz bezpieczeństwa, opis środków z § 4 i wykaz z Załącznika nr 2.
3. Jeżeli dokumenty nie wystarczają do wykazania zgodności, Administrator może przeprowadzić audyt, także przez niezależnego audytora zobowiązanego do poufności i niebędącego konkurentem Procesora, nie częściej niż raz w roku, chyba że doszło do naruszenia ochrony danych lub wymaga tego organ nadzorczy. Administrator zawiadamia o audycie co najmniej 14 dni wcześniej, podając zakres i termin. Audyt odbywa się w dni robocze, w sposób nieutrudniający działalności Procesora i bez dostępu do danych innych Administratorów.
4. Audyt w formie dokumentów lub zdalnej jest bezpłatny. Koszty audytu na miejscu ponosi Administrator, z wyjątkiem audytu, który wykazał istotne naruszenie umowy przez Procesora.

§ 9. Okresy przechowywania i usunięcie

1. Procesor przechowuje dane w następujących okresach, które Administrator może skrócić w Panelu:

Dane	Okres
Zdjęcie Klientki, Wyniki, historia Przymiarek	Do usunięcia przez Klientkę lub Administratora, nie dłużej niż 7, 30 lub 90 dni od ostatniej aktywności Klientki (wybór Administratora, domyślnie 30 dni)
Zgody i ich treść	Przez czas przechowywania zdjęcia, a następnie w formie zanonimizowanej w rejestrze usunięć
Dziennik zapytań API i dostarczeń webhooków	30 dni
Zdarzenia sprzedażowe (pomiar sprzedaży)	13 miesięcy
Zdjęcia osób w Kreatorze Zdjęć i wygenerowane zdjęcia	Do usunięcia przez Administratora lub rozwiązania Umowy
Dane u dostawców modeli AI	Według Załącznika nr 2, wyłącznie na czas generowania i w okresach przewidzianych przez dostawcę na potrzeby wykrywania nadużyć
Kopie zapasowe	Do 30 dni od wykonania kopii

2. Po rozwiązaniu Umowy Procesor, zależnie od decyzji Administratora zgłoszonej przed rozwiązaniem, zwraca dane w formacie ZIP (zdjęcia i Wyniki) i JSON (metadane) albo je usuwa, w terminie 30 dni. Jeżeli Administrator nie zgłosi decyzji, Procesor dane usuwa, a kopie zapasowe w kolejnych 30 dniach. Na żądanie Procesor potwierdza usunięcie.
3. Procesor może przechowywać dane dłużej wyłącznie, gdy wymaga tego prawo Unii lub państwa członkowskiego.
4. Dane usuwa automatyczny proces uruchamiany co najmniej raz na dobę. W razie awarii, prac serwisowych lub przywracania systemu usunięcie może się opóźnić, nie dłużej niż o 7 dni. Usunięte dane znikają z kopii zapasowych wraz z ich rotacją.

§ 10. Odpowiedzialność i postanowienia końcowe

1. Procesor odpowiada za szkody wyrządzone przetwarzaniem na zasadach art. 82 RODO. W stosunkach między Stronami stosuje się ograniczenia odpowiedzialności z § 16 Regulaminu, z wyjątkiem szkód wyrządzonych umyślnie lub wskutek rażącego niedbalstwa.
2. Niniejsza umowa obowiązuje przez czas trwania Umowy i do chwili usunięcia lub zwrotu danych zgodnie z § 9.
3. W razie sprzeczności niniejszej umowy z Regulaminem lub Umową Indywidualną w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa, chyba że Strony zawrą odrębną umowę powierzenia, która wskaże, że ma pierwszeństwo.
4. Na żądanie Administratora Procesor podpisze niniejszą umowę w formie dokumentowej lub elektronicznej jako odrębny dokument.

---

Załącznik nr 2. Wykaz podmiotów przetwarzających

Stan na dzień 25.10.2026. Aktualny wykaz publikujemy w Załączniku nr 2 do Regulaminu.

Podmiot	Siedziba	Zakres	Miejsce przetwarzania i podstawa transferu
ultimahost.pl Szeliga sp. j. (marka webh.pl), ul. Piotrkowska 148/150, 90-063 Łódź, KRS 0000423178, NIP 9671354758	Polska	Serwer aplikacji, baza danych, magazyn zdjęć i Wyników, kopie zapasowe	Polska (EOG)
OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irlandia	Irlandia	Generowanie Przymiarek i zdjęć w Kreatorze Zdjęć (model GPT-Image), przez API, bez wykorzystania danych do trenowania	Przetwarzanie także przez OpenAI, L.L.C. i jej podwykonawców w USA. Podstawa: standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO) zawarte w OpenAI Data Processing Addendum. Dane wejściowe i wyjściowe mogą być przechowywane przez dostawcę nie dłużej niż 30 dni, wyłącznie w celu wykrywania nadużyć, i nie są wykorzystywane do trenowania modeli
Google Cloud EMEA Limited (Google Workspace), 70 Sir John Rogerson’s Quay, Dublin 2, Irlandia	Irlandia	Poczta e-mail i wysyłka wiadomości systemowych; obejmuje dane Użytkowników Panelu i korespondencję, nie zdjęcia Klientek	EOG; możliwe przetwarzanie przez podmioty z grupy Google w USA na podstawie standardowych klauzul umownych i EU-US Data Privacy Framework

Operator płatności przetwarza dane Klienta jako odrębny administrator i nie przetwarza danych Klientek, dlatego nie jest wymieniony w wykazie.