Umowa powierzenia przetwarzania danych Agilix Vet

Obowiązuje od 9 października 2026 r.

1. Przedmiot i cel przetwarzania

   • Klinika powierza Usługodawcy przetwarzanie danych osobowych, które Użytkownicy zapisują w Panelu, w zakresie i celu świadczenia usługi Agilix Vet opisanej w Regulaminie.
   • Usługodawca nie przetwarza tych danych do własnych celów, nie sprzedaje ich i nie wykorzystuje ich do reklamy.

2. Czas trwania

   Umowa obowiązuje przez czas trwania umowy o świadczenie usługi Agilix Vet, a po jej zakończeniu - do zwrotu i usunięcia danych zgodnie z punktem 13.

3. Charakter przetwarzania

   Usługodawca przetwarza dane w sposób zautomatyzowany, w ramach działania Panelu: zbiera je od Użytkowników, przechowuje, porządkuje, wyszukuje, wyświetla, udostępnia zespołowi Kliniki, tworzy z nich podpowiedzi przy pomocy modelu AI (Regulamin, punkt 8), wykonuje kopie zapasowe oraz usuwa je.

4. Rodzaje danych i kategorie osób

   • Kategorie osób: klienci Kliniki (właściciele zwierząt), ich osoby kontaktowe oraz inne osoby, których dane Użytkownicy zapiszą w Panelu, na przykład w notatkach lub plikach.
   • Rodzaje danych: imiona i nazwiska, numery telefonów, adresy e-mail, adresy, kraj, informacje o zaległych płatnościach, podpisane dokumenty i inne pliki, dane zwierząt i dokumentacja ich wizyt i profilaktyki, notatki zespołu Kliniki oraz podpowiedzi utworzone przez model AI. Pełną listę podaje Polityka prywatności Agilix Vet.
   • Panel nie jest przeznaczony do szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Jeżeli Klinika je wprowadzi, Usługodawca chroni je tak samo jak pozostałe dane.

5. Polecenia Kliniki

   • Usługodawca przetwarza dane wyłącznie na udokumentowane polecenie Kliniki. Poleceniami są Regulamin, ta umowa oraz działania Użytkowników w Panelu. Inne polecenia Właściciel przekazuje e-mailem.
   • Jeżeli przepisy prawa zobowiążą Usługodawcę do innego przetwarzania, poinformuje o tym Klinikę przed jego rozpoczęciem, chyba że prawo tego zabrania.
   • Usługodawca niezwłocznie informuje Klinikę, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych.

6. Poufność

   Usługodawca dopuszcza do danych tylko osoby, którym jest to potrzebne do świadczenia usługi, utrzymania i naprawy Panelu lub obsługi zgłoszeń Kliniki. Osoby te są zobowiązane do zachowania tajemnicy, także po zakończeniu współpracy.

7. Bezpieczeństwo przetwarzania

   Usługodawca stosuje środki z art. 32 RODO, w szczególności:

   • połączenia z Panelem są szyfrowane (HTTPS);
   • dane Kliniki widzą w Panelu tylko osoby z jej zespołu, a niektóre czynności są dostępne tylko dla Właścicieli;
   • logowanie odbywa się Kontem Agilix, a zaproszenie do zespołu przyjmuje się tylko z potwierdzonego adresu e-mail;
   • Panel zapisuje, kto z zespołu zapisał wizytę;
   • pliki nie są publicznie dostępne - Panel otwiera je przez linki ważne do 3 dni;
   • Panel i baza danych działają na serwerze w Unii Europejskiej;
   • baza danych ma kopie zapasowe: kopie do odtworzenia stanu z dowolnej chwili przez 40 dni, codzienne kopie w Unii Europejskiej przez 60 dni i codzienną kopię w Stanach Zjednoczonych przez 2 miesiące;
   • pliki usunięte w Panelu są usuwane z magazynu plików;
   • błędy aplikacji i logi serwera są monitorowane (Sentry, Google Cloud Logging);
   • notatki prywatne nie są wysyłane do modelu AI.

   Usługodawca regularnie ocenia skuteczność tych środków i dostosowuje je do ryzyka.

8. Dalsze podmioty przetwarzające

   Klinika udziela Usługodawcy ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Obecnie są to:

   • Hetzner Online GmbH (Niemcy) - serwer w Unii Europejskiej, na którym działają Panel, wyszukiwarka i baza danych;
   • Google (Firebase, Google Cloud) - przechowywanie plików w regionie w Stanach Zjednoczonych, kopie zapasowe bazy danych we Frankfurcie i codzienna kopia w Stanach Zjednoczonych, logi serwera (Google Cloud Logging), model Gemini (Gemini API) oraz statystyki (Google Analytics), które otrzymują adresy odwiedzanych stron Panelu zawierające wewnętrzne identyfikatory klientów i zwierząt;
   • Mailgun Technologies, Inc. - wysyłka wiadomości z formularza kontaktowego Panelu (serwery w Unii Europejskiej);
   • Functional Software, Inc. (Sentry) - błędy aplikacji i pomiary jej działania (Stany Zjednoczone);
   • Cloudflare, Inc. - przez jego sieć przechodzi cały ruch do Panelu.

   • O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Usługodawca informuje Właścicieli e-mailem co najmniej 14 dni wcześniej. Klinika może w tym czasie zgłosić sprzeciw, a jeżeli Strony się nie porozumieją - rozwiązać umowę bez okresu wypowiedzenia.
   • Usługodawca nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych nie mniejsze niż wynikające z tej umowy i odpowiada wobec Kliniki za ich wykonanie.

9. Przekazywanie danych poza EOG

   Część danych trafia poza Europejski Obszar Gospodarczy, w szczególności do Stanów Zjednoczonych (punkt 8). Podstawą przekazania jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony (Data Privacy Framework) albo Standardowe Klauzule Umowne zatwierdzone przez Komisję Europejską. Kopię zabezpieczeń Usługodawca przekazuje na prośbę Kliniki.

10. Prawa osób, których dane dotyczą

    • Klinika realizuje prawa swoich klientów samodzielnie, korzystając z funkcji Panelu: wglądu w dane, ich poprawiania, usuwania plików i archiwizacji klientów.
    • Gdy Panel nie ma potrzebnej funkcji, Właściciel prosi Usługodawcę e-mailem, a Usługodawca wykonuje prośbę w ciągu 14 dni.
    • Usługodawca przekazuje Klinice żądania, które osoby fizyczne skierują do niego bezpośrednio, i sam na nie nie odpowiada.

11. Pomoc Klinice

    Uwzględniając charakter przetwarzania i dostępne mu informacje, Usługodawca pomaga Klinice wywiązać się z obowiązków z art. 32-36 RODO: zapewnienia bezpieczeństwa, zgłaszania naruszeń, oceny skutków dla ochrony danych i uprzednich konsultacji z organem nadzorczym.

12. Naruszenia ochrony danych

    • Usługodawca zawiadamia Klinikę o stwierdzonym naruszeniu ochrony danych Kliniki w ciągu 48 godzin od jego stwierdzenia, e-mailem do Właścicieli.
    • Zawiadomienie zawiera, w miarę dostępności, informacje z art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje, podjęte lub proponowane środki oraz osobę do kontaktu. Informacje niedostępne od razu Usługodawca przekazuje niezwłocznie później.
    • Zgłoszenia do organu nadzorczego i zawiadomienia osób, których dane dotyczą, dokonuje Klinika.

13. Zwrot i usunięcie danych

    Po zakończeniu świadczenia usługi Usługodawca zwraca i usuwa dane w sposób i w terminach opisanych w punkcie 14 Regulaminu, chyba że przepisy prawa wymagają ich dalszego przechowywania.

14. Informacje i audyty

    • Usługodawca udostępnia Klinice informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO w ciągu 14 dni od prośby.
    • Klinika lub upoważniony przez nią audytor może przeprowadzić audyt po zawiadomieniu Usługodawcy co najmniej 14 dni wcześniej, nie częściej niż raz na 12 miesięcy, chyba że audyt jest następstwem naruszenia ochrony danych lub żądania organu nadzorczego. Audyt odbywa się na koszt Kliniki, w sposób nieutrudniający działania Panelu i z zachowaniem poufności.
    • W zakresie dalszych podmiotów przetwarzających Usługodawca może przekazać ich raporty i certyfikaty zamiast umożliwiać audyt na miejscu.

15. Odpowiedzialność

    Wobec osób, których dane dotyczą, Strony odpowiadają zgodnie z art. 82 RODO. We wzajemnych relacjach Stron stosuje się postanowienia o odpowiedzialności z punktu 10 Regulaminu, w granicach dopuszczonych przez przepisy.

16. Postanowienia końcowe

    • W sprawach danych osobowych ta umowa ma pierwszeństwo przed Regulaminem.
    • Zmiany tej umowy następują w trybie opisanym w punkcie 15 Regulaminu.
    • Umowa podlega prawu polskiemu, a spory rozstrzyga sąd wskazany w Regulaminie.
    • Wiążąca jest polska wersja umowy. Pozostałe wersje językowe są tłumaczeniami.