Umowa powierzenia przetwarzania danych osobowych

§1. Strony i zawarcie umowy

Administrator — gabinet (przedsiębiorca), który korzysta z usługi DentBot i zaakceptował regulamin. Podmiot przetwarzający — dane usługodawcy (nazwa, adres, NIP) — uzupełniane przed uruchomieniem sprzedaży, kontakt: kontakt@dentbot.pl. Umowa jest zawierana w formie elektronicznej przez akceptację w formularzu zamówienia lub w kreatorze konta (art. 28 ust. 9 RODO) i obowiązuje przez czas korzystania z usługi.

§2. Przedmiot, charakter i cel przetwarzania

• Cel: świadczenie usługi DentBot — odpowiadanie pacjentom w czacie na stronie gabinetu, przyjmowanie próśb o kontakt i rezerwacji, przekazywanie spraw recepcji, przypomnienia o wizytach (jeśli gabinet je włączy).
• Kategorie osób: pacjenci i osoby odwiedzające stronę gabinetu; personel gabinetu korzystający z panelu.
• Kategorie danych: imię, numer telefonu, adres e-mail (jeśli podany), treść rozmowy, termin i rodzaj wizyty, dane techniczne połączenia; informacje o zdrowiu, jeśli pacjent poda je w rozmowie (dane szczególnej kategorii, art. 9 RODO).
• Czas przetwarzania: w trybie minimalnym danych (domyślnym) treść rozmowy jest usuwana godzinę po jej zakończeniu, imię i telefon — godzinę po oznaczeniu sprawy jako załatwionej (nieobsłużone — po 7 dniach; przy umówionej wizycie — po wizycie), wszystkie dane pacjentów najpóźniej po 14 dniach. Gabinet może zmienić te okresy w panelu.

§3. Obowiązki podmiotu przetwarzającego

1. Przetwarza dane wyłącznie na udokumentowane polecenie administratora — poleceniem są regulamin, niniejsza umowa i ustawienia gabinetu w panelu. Informuje administratora, jeśli polecenie narusza przepisy o ochronie danych.
2. Zapewnia, że osoby z dostępem do danych zobowiązały się do zachowania poufności.
3. Stosuje środki bezpieczeństwa z art. 32 RODO opisane w Załączniku 2.
4. Pomaga administratorowi realizować prawa pacjentów (dostęp, usunięcie, sprostowanie) — panel umożliwia eksport i usunięcie danych pacjenta po numerze telefonu.
5. Pomaga administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, w tym przy ocenie skutków dla ochrony danych.
6. Po zakończeniu świadczenia usługi usuwa dane pacjentów w ciągu 30 dni (kopie zapasowe wygasają w cyklu 30-dniowym), chyba że przepisy wymagają ich przechowywania; na żądanie przed usunięciem udostępnia eksport.
7. Udostępnia informacje niezbędne do wykazania spełnienia obowiązków i umożliwia audyt — po zgłoszeniu z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku (częściej po naruszeniu ochrony danych).
8. Prowadzi rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO).

§4. Dalsze powierzenie (podwykonawcy)

Administrator udziela ogólnej zgody na korzystanie z podwykonawców wymienionych w Załączniku 1. O planowanym dodaniu lub zmianie podwykonawcy podmiot przetwarzający informuje e-mailem z co najmniej 14-dniowym wyprzedzeniem; administrator może zgłosić sprzeciw i — jeśli nie zostanie uwzględniony — wypowiedzieć usługę bez dodatkowych kosztów. Podwykonawców obowiązują te same obowiązki ochrony danych.

§5. Naruszenie ochrony danych

Podmiot przetwarzający zgłasza administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, e-mailem na adres właściciela konta. Zgłoszenie zawiera co najmniej: opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe konsekwencje, podjęte i proponowane środki; brakujące informacje są przekazywane niezwłocznie, gdy będą dostępne. Zgłoszenie do Prezesa UODO i zawiadomienie pacjentów należy do administratora — podmiot przetwarzający udziela w tym pomocy.

§6. Przekazywanie danych poza EOG

Dane mogą być przekazywane poza Europejski Obszar Gospodarczy wyłącznie podwykonawcom z Załącznika 1 i tylko z zabezpieczeniami z rozdziału V RODO (decyzja Komisji Europejskiej w sprawie EU-US Data Privacy Framework lub standardowe klauzule umowne).

§7. Odpowiedzialność i postanowienia końcowe

Strony odpowiadają zgodnie z art. 82 RODO; w pozostałym zakresie stosuje się postanowienia regulaminu. W sprawach ochrony danych postanowienia tej umowy mają pierwszeństwo przed regulaminem. Prawem właściwym jest prawo polskie.

Załącznik 1. Podwykonawcy

• Serwer aplikacji i baza danych — Polska (UE).
• Cloudflare, Inc. (USA; EU-US Data Privacy Framework, standardowe klauzule umowne) — szyfrowane połączenie z serwerem, ochrona przed atakami, dostarczanie treści.
• Dostawca modelu językowego — wyłącznie w wersji płatnej, która nie wykorzystuje danych do trenowania modeli: Google (Gemini API; przetwarzanie może odbywać się poza EOG — stosujemy zabezpieczenia z rozdziału V RODO, w tym standardowe klauzule umowne) lub Mistral AI (Francja, UE). Otrzymuje pytania pacjentów z zamaskowanymi danymi osobowymi (telefon, e-mail, PESEL, numery kart, kont i dokumentów) oraz fragmenty materiałów gabinetu. Do czasu zawarcia umowy z takim dostawcą czat w gabinetach odpowiada bez modelu językowego.
• Google (Google Drive) — przechowywanie kopii zapasowych zaszyfrowanych algorytmem AES-256 przed wysłaniem; klucz pozostaje wyłącznie u podmiotu przetwarzającego, Google nie ma dostępu do treści.
• Operator SMS (np. SMSAPI, Polska) — wyłącznie gdy gabinet włączy przypomnienia SMS: numer telefonu i treść przypomnienia.
• UnixStorm (Polska) — poczta e-mail usługodawcy; powiadomienia dla gabinetu nie zawierają danych pacjentów.

Załącznik 2. Środki techniczne i organizacyjne

• Minimalizacja danych: tryb minimalny włączony domyślnie (§2); numer telefonu zbierany wyłącznie w formularzu z jawną zgodą pacjenta; zostają tylko liczby do statystyk.
• Maskowanie danych osobowych przed każdym wywołaniem modelu językowego; reguły bezpieczeństwa (ścieżka pilna, odmowa diagnozy i doradzania leków) działają przed modelem.
• Szyfrowanie: transmisja wyłącznie HTTPS (TLS, HSTS); kopie zapasowe szyfrowane AES-256-GCM; klucze integracji z systemami gabinetowymi przechowywane w postaci zaszyfrowanej.
• Izolacja gabinetów: każde zapytanie jest przypisane do jednego gabinetu; testy automatyczne sprawdzają brak dostępu do danych innego gabinetu.
• Kontrola dostępu: role w panelu (właściciel, recepcja, podgląd), indywidualne tokeny personelu, eksport pełnej bazy tylko dla właściciela; limity prób i ochrona przed nadużyciami.
• Dzienniki bez treści: logi serwera nie zawierają treści rozmów ani danych kontaktowych pacjentów.
• Ciągłość działania: codzienna zaszyfrowana kopia zapasowa poza serwerem z kontrolą odtworzenia; monitoring dostępności z alarmami.
• Organizacja: procedura obsługi naruszeń (zgłoszenie do 24 h), rejestr czynności przetwarzania, aktualizacje oprogramowania, zobowiązanie do poufności.