Umowa powierzenia przetwarzania danych

Wersja: 1.4 · Obowiązuje od: 3 listopada 2026 r.

Niniejsza Umowa powierzenia przetwarzania danych („DPA”) jest zawarta między Klientem biznesowym, który zaakceptował Warunki korzystania z usługi Mailistix („Warunki”) („Klient”, „Państwo”, „Państwa”), a Mailistix UG (haftungsbeschränkt), Kolonnenstr. 8, 10827 Berlin, Germany, wpisaną do rejestru handlowego Amtsgericht Charlottenburg (Berlin) pod numerem HRB 291268 B („Mailistix”, „my”, „nas”, „nasz”). Określa, w jaki sposób przetwarzamy dane osobowe w Państwa imieniu, gdy korzystają Państwo z Usługi Mailistix, zgodnie z wymogami art. 28 RODO, brytyjskiego RODO (UK GDPR) i szwajcarskiej ustawy o ochronie danych (FADP). Aktualna wersja jest opublikowana pod adresem https://mailistix.com/legal/dpa.

W skrócie (wyłącznie w celach orientacyjnych; rozstrzygające są poniższe punkty):

• Państwa poczta pozostaje u Państwa dostawców skrzynek pocztowych (na przykład Google lub Microsoft) oraz, jako kopia lokalna, na Państwa urządzeniach. Nie mamy dostępu do tej kopii. Niniejsza DPA dotyczy wyłącznie tego, co przechodzi przez nasze Usługi chmurowe lub jest w nich przechowywane.
• Treść poczty trafia do naszych Usług chmurowych wyłącznie wtedy, gdy jeden z Państwa użytkowników korzysta z Funkcji AI, w tym z uczenia się na podstawie poprawek po wysłaniu zmienionej wersji roboczej AI. Przekazujemy ją naszym dostawcom AI, zwracamy wynik i nie przechowujemy treści.
• W Państwa imieniu nasze serwery przechowują tylko kilka rekordów technicznych: rekordy powiadomień push (7 dni), rejestracje obserwowania skrzynek pocztowych (dopóki skrzynka jest połączona) oraz pliki przesłane do pomocy technicznej (30 dni). Wiadomości e-mail do pomocy technicznej i wiadomości z formularza kontaktowego pozostają w naszej skrzynce pocztowej przez 2 lata po ostatniej wiadomości.
• Państwo są administratorem, a my jesteśmy Państwa podmiotem przetwarzającym. W odniesieniu do Kont Państwa użytkowników, rozliczeń, bezpieczeństwa i opcjonalnej telemetrii jesteśmy niezależnym administratorem na zasadach określonych w naszej Polityce prywatności.
• Nasze dalsze podmioty przetwarzające są wymienione w Załączniku 3. O dodaniu nowego podmiotu powiadamiamy Państwa z 14-dniowym wyprzedzeniem, a Państwo mogą wnieść sprzeciw.

1. Zawarcie, zakres i pierwszeństwo

1.1 Zawarcie. Niniejsza DPA stanowi część Warunków. Obowiązuje automatycznie, bez podpisu, wobec każdego Klienta biznesowego, który akceptuje Warunki, od chwili akceptacji lub od daty wejścia w życie wskazanej powyżej, w zależności od tego, co nastąpi później. Jest zawierana w formie elektronicznej, która spełnia wymóg formy pisemnej, o którym mowa w art. 28 ust. 9 RODO. Gdy Upoważniony użytkownik akceptuje Warunki w Oprogramowaniu, rejestrujemy zaakceptowaną wersję Warunków i niniejszej DPA, czas akceptacji (według naszego serwera), to, czy nastąpiła ona przy rejestracji, czy w późniejszym oknie z prośbą o akceptację, oraz wersję Oprogramowania (pkt 1.8 Warunków); w sekcji Ustawienia › Informacje prawne można sprawdzić, od kiedy obowiązuje aktualna wersja niniejszej DPA. Mogą Państwo w każdej chwili pobrać i zapisać niniejszą DPA pod powyższym adresem oraz w sekcji Ustawienia › Informacje prawne, a wcześniejsze wersje pozostają dostępne. Jeżeli do swojej dokumentacji potrzebują Państwo kopii podpisanej przez nas, prosimy napisać na adres legal@mailistix.com, a prześlemy Państwu niniejszą DPA podpisaną przez nas. Podpisana kopia nie zmienia treści DPA.

1.2 Upoważnieni użytkownicy. Z Usługi korzystają Państwo za pośrednictwem osób fizycznych, które posiadają Konta i używają ich do Państwa celów biznesowych, takich jak Państwa pracownicy i współpracownicy („Upoważnieni użytkownicy”). Każde Konto jest przeznaczone dla jednej osoby fizycznej (zob. EULA). Osoba, która akceptuje Warunki za Państwa, potwierdza, że jest upoważniona do zaciągania zobowiązań w Państwa imieniu. Odpowiadają Państwo za przestrzeganie niniejszej DPA przez Upoważnionych użytkowników. Usługa nie przewiduje kont organizacji: prosimy poinformować nas wiadomością e-mail wysłaną na adres legal@mailistix.com, które Konta należą do Państwa i kogo mamy powiadamiać na podstawie niniejszej DPA (pkt 17.6).

1.3 Zakres. Niniejsza DPA ma zastosowanie do przetwarzania Danych osobowych klienta przez nas w Państwa imieniu w Usługach chmurowych. Nie ma zastosowania do:

(a) przetwarzania przez Oprogramowanie na Państwa urządzeniach (pkt 3); lub

(b) przetwarzania, w odniesieniu do którego jesteśmy niezależnym administratorem (pkt 2.4).

1.4 Pierwszeństwo. Jeżeli niniejsza DPA jest sprzeczna z Częścią I Warunków, EULA lub Zasadami dopuszczalnego użytkowania, niniejsza DPA ma pierwszeństwo w zakresie, w jakim dotyczy to przetwarzania Danych osobowych klienta. Warunki regionalne zachowują pierwszeństwo, jakie nadają im Warunki. Tam, gdzie mają zastosowanie SCC (pkt 12), mają one pierwszeństwo przed niniejszą DPA i Warunkami. Żadne postanowienie niniejszej DPA ani Warunków nie ogranicza praw przysługujących osobom, których dane dotyczą, lub organom nadzorczym na podstawie SCC lub Przepisów o ochronie danych.

1.5 Użyte pojęcia. Pojęcia pisane wielką literą, które nie zostały zdefiniowane w niniejszej DPA, mają znaczenie nadane im w Warunkach.

2. Definicje i role

2.1 Definicje. W niniejszej DPA:

• „Przepisy o ochronie danych” oznaczają wszystkie przepisy dotyczące ochrony danych osobowych, które mają zastosowanie do przetwarzania na podstawie niniejszej DPA, w szczególności RODO, niemiecką federalną ustawę o ochronie danych (BDSG), UK GDPR, FADP oraz, w stosownych przypadkach, przepisy stanów USA, o których mowa w pkt 16.
• „RODO” oznacza rozporządzenie (UE) 2016/679 (ogólne rozporządzenie o ochronie danych).
• „UK GDPR” oznacza RODO w brzmieniu stanowiącym część prawa Zjednoczonego Królestwa, odczytywane łącznie z Data Protection Act 2018 z późniejszymi zmianami, w tym wprowadzonymi przez Data (Use and Access) Act 2025.
• „FADP” oznacza szwajcarską federalną ustawę o ochronie danych z dnia 25 września 2020 r. i jej rozporządzenia wykonawcze.
• „akt w sprawie danych” oznacza rozporządzenie (UE) 2023/2854 (unijny akt w sprawie danych).
• „Dane osobowe klienta” oznaczają dane osobowe zawarte w Treściach klienta, które przetwarzamy w Państwa imieniu w Usługach chmurowych w celu świadczenia Usługi, jak opisano w Załączniku 1.
• „Dalszy podmiot przetwarzający” oznacza podmiot przetwarzający, z którego usług korzystamy i który przetwarza Dane osobowe klienta.
• „Naruszenie ochrony danych osobowych” oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do Danych osobowych klienta przesyłanych, przechowywanych lub w inny sposób przetwarzanych przez nas lub przez nasze Dalsze podmioty przetwarzające.
• „SCC” oznaczają standardowe klauzule umowne stanowiące załącznik do decyzji wykonawczej Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r.
• „UK Addendum” oznacza International Data Transfer Addendum to the EU Commission Standard Contractual Clauses wydany przez Information Commissioner Zjednoczonego Królestwa, w wersji B1.0, obowiązujący od 21 marca 2022 r., w brzmieniu zmienionym przez Information Commissioner na podstawie pkt 18 jego Mandatory Clauses.
• „Przekazanie podlegające ograniczeniom” oznacza przekazanie Danych osobowych klienta do państwa spoza EOG, Zjednoczonego Królestwa lub Szwajcarii (w zależności od przypadku), które wymaga odpowiednich zabezpieczeń na podstawie Przepisów o ochronie danych, ponieważ nie obejmuje go żadna decyzja ani rozporządzenie stwierdzające odpowiedni stopień ochrony.
• „administrator”, „podmiot przetwarzający”, „osoba, której dane dotyczą”, „dane osobowe”, „przetwarzanie” i „organ nadzorczy” mają znaczenie nadane im w RODO. Na gruncie innych Przepisów o ochronie danych obejmują one odpowiadające im pojęcia (na przykład „business” i „service provider”).

2.2 Państwo jako administrator. W odniesieniu do Danych osobowych klienta Państwo są administratorem, a my jesteśmy Państwa podmiotem przetwarzającym.

2.3 Państwo jako podmiot przetwarzający. Jeżeli przetwarzają Państwo Dane osobowe klienta w imieniu innego administratora (na przykład Państwa klienta), są Państwo podmiotem przetwarzającym, a my jesteśmy Państwa dalszym podmiotem przetwarzającym. W takim przypadku:

(a) potwierdzają Państwo, że inny administrator wyraził zgodę na przetwarzanie na podstawie niniejszej DPA, w tym na powierzenie przetwarzania nam i naszym Dalszym podmiotom przetwarzającym;

(b) są Państwo jedynym punktem kontaktowym innego administratora z nami; przekazują Państwo jego polecenia i żądania, a my przyjmujemy polecenia wyłącznie od Państwa;

(c) w razie potrzeby przekazują Państwo innemu administratorowi nasze powiadomienia i informacje udzielane na podstawie niniejszej DPA; oraz

(d) inny administrator wykonuje przysługujące mu prawa do informacji i audytu za Państwa pośrednictwem, zgodnie z pkt 11; oraz

(e) dopilnowują Państwo, aby niniejsza DPA nakładała na nas obowiązki w zakresie ochrony danych, których Państwa umowa z innym administratorem wymaga w odniesieniu do dalszego podmiotu przetwarzającego (art. 28 ust. 4 RODO).

2.4 Nasze własne przetwarzanie jako administratora. Niektóre dane osobowe Państwa Upoważnionych użytkowników przetwarzamy jako niezależny administrator, na zasadach określonych w naszej Polityce prywatności, a nie w niniejszej DPA, mianowicie w zakresie:

(a) Konta, logowania i uwierzytelniania;

(b) Planów, Kredytów i rozliczeń; płatności obsługuje, jako merchant of record (sprzedawca rejestrowy), Polar Software, Inc., który działa jako niezależny administrator i otrzymuje adres e-mail Upoważnionego użytkownika oraz identyfikator użytkownika Mailistix (a w procesie zakupu także adres IP);

(c) metadanych użycia żądań AI (funkcja, model, liczby tokenów, Kredyty, czas, powodzenie lub błąd, bez jakiejkolwiek treści) na potrzeby rozliczeń, kontroli kosztów i bezpieczeństwa;

(d) bezpieczeństwa, ograniczania liczby żądań (rate limiting) oraz zapobiegania nadużyciom i ich badania;

(e) opcjonalnej analityki użycia i raportów o awariach, wyłącznie za zgodą (opt-in) Upoważnionego użytkownika;

(f) zapisów zgód, zapisu akceptacji Warunków i niniejszej DPA (pkt 1.1), Ustawienia regionu, aktualizacji aplikacji oraz naszej komunikacji z Upoważnionymi użytkownikami, w tym pomocy technicznej (z wyjątkiem Danych osobowych klienta zawartych w plikach przesłanych do pomocy technicznej i w wiadomościach do pomocy technicznej, które przetwarzamy na podstawie niniejszej DPA); oraz

(g) wypełniania naszych obowiązków prawnych.

Jeżeli Przepisy o ochronie danych wymagają od Państwa poinformowania Upoważnionych użytkowników o tym przetwarzaniu, mogą Państwo odesłać ich do Polityki prywatności.

3. Dane na Państwa urządzeniach

3.1 Przetwarzanie lokalne pod Państwa kontrolą. Oprogramowanie przechowuje Dane skrzynki pocztowej i inne Treści klienta na urządzeniach, na których instalują je Państwa Upoważnieni użytkownicy, w zaszyfrowanej bazie danych, której klucz jest chroniony przez magazyn poświadczeń systemu operacyjnego. Oprogramowanie synchronizuje pocztę bezpośrednio między urządzeniem a Połączoną skrzynką pocztową. To przetwarzanie odbywa się na Państwa urządzeniach pod wyłączną kontrolą Państwa i Państwa Upoważnionych użytkowników. Nie mamy dostępu do lokalnej bazy danych, jej klucza, tokenów skrzynki pocztowej przechowywanych na urządzeniu ani do zawartej w niej poczty. Nie otrzymujemy ich kopii i nie przetwarzamy ich w Państwa imieniu. Udostępnianie Oprogramowania nie czyni nas Państwa podmiotem przetwarzającym w odniesieniu do tych danych.

3.2 Dostawcy skrzynek pocztowych. Państwa dostawcy skrzynek pocztowych (Google, Microsoft lub dostawca skrzynki pocztowej połączonej za pośrednictwem IMAP) zapewniają Państwa Połączone skrzynki pocztowe na podstawie Państwa własnych umów z nimi. Nie są naszymi Dalszymi podmiotami przetwarzającymi. Dotyczy to także sytuacji, gdy Google lub Microsoft autoryzują dostęp do skrzynki pocztowej za pośrednictwem OAuth oraz gdy Microsoft wysyła powiadomienia o zmianach w Państwa skrzynce pocztowej do naszej funkcji serwerowej.

3.3 Gdy dane opuszczają urządzenie. Dane osobowe klienta trafiają do Usług chmurowych wyłącznie w sytuacjach wymienionych w Załączniku 1, z których każda jest zainicjowana przez Upoważnionego użytkownika lub przez skrzynkę pocztową, którą Upoważniony użytkownik połączył: korzystanie z Funkcji AI (w tym uczenie się na podstawie poprawek po wysłaniu przez Upoważnionego użytkownika zmienionej wersji roboczej AI), łączenie skrzynki pocztowej, powiadomienia push o nowej poczcie, wypisanie z newslettera jednym kliknięciem oraz przesyłanie plików do pomocy technicznej.

3.4 Państwa obowiązki po stronie urządzeń. Odpowiadają Państwo za zabezpieczenie urządzeń i kont systemu operacyjnego, na których działa Oprogramowanie, za kopie zapasowe oraz za usuwanie danych lokalnych, gdy Upoważniony użytkownik odchodzi lub urządzenie jest wycofywane z użycia. Funkcje Oprogramowania służące temu celowi opisano w Załączniku 2, część B, oraz w EULA.

4. Polecenia

4.1 Przetwarzanie wyłącznie na polecenie. Przetwarzamy Dane osobowe klienta wyłącznie na Państwa udokumentowane polecenie, także w odniesieniu do przekazywania danych do państw trzecich, chyba że obowiązek taki nakłada na nas prawo UE lub prawo państwa członkowskiego (lub, w odniesieniu do danych brytyjskich lub szwajcarskich, prawo brytyjskie lub szwajcarskie), któremu podlegamy. W takim przypadku informujemy Państwa o tym obowiązku prawnym przed rozpoczęciem przetwarzania, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.

4.2 Państwa polecenia. W chwili zawarcia niniejszej DPA Państwa kompletne udokumentowane polecenia to:

(a) Warunki i niniejsza DPA, w tym jej Załączniki;

(b) korzystanie z Usługi i jej konfigurowanie przez Państwa i Państwa Upoważnionych użytkowników, w szczególności włączenie Funkcji AI w oknie zgody na AI, uruchomienie Funkcji AI, wysłanie zmienionej wersji roboczej AI przy włączonych Funkcjach AI (uczenie się na podstawie poprawek), Ustawienie regionu, połączenie lub usunięcie skrzynki pocztowej, rozpoczęcie wypisania jednym kliknięciem i wysłanie pliku do pomocy technicznej; oraz

(c) wszelkie dalsze pisemne polecenia uzgodnione między stronami.

4.3 Ustawienie regionu. Każdy Upoważniony użytkownik informuje Oprogramowanie, gdzie się znajduje (Ustawienie regionu w rozumieniu Warunków). To ustawienie jest Państwa poleceniem określającym, gdzie przetwarzane są żądania AI:

(a) „W Europie” (UE, EOG, Zjednoczone Królestwo lub Szwajcaria) lub brak odpowiedzi: całe przetwarzanie AI odbywa się w UE (Załącznik 3);

(b) „Poza Europą”: niektóre modele Gemini działają na globalnym punkcie końcowym Google, który może przetwarzać dane w dowolnym kraju, w którym działa Google; całe pozostałe przetwarzanie AI pozostaje w UE.

Odpowiadają Państwo za dopilnowanie, aby Upoważnieni użytkownicy udzielali odpowiedzi zgodnych z Państwa wymaganiami. Upoważniony użytkownik może zmienić Ustawienie regionu w sekcji Ustawienia › Prywatność i AI. Zmiana dotyczy wyłącznie późniejszych żądań.

4.4 Dalsze polecenia. Dalsze polecenia muszą być wydawane na piśmie (wystarczy e-mail) i muszą być zgodne z Warunkami oraz Usługą w postaci, w jakiej jest oferowana. Jeżeli polecenie wymagałoby od nas zmiany Usługi lub przetwarzania Danych osobowych klienta w sposób, którego Usługa nie obsługuje, możemy je odrzucić. Mogą Państwo wówczas wypowiedzieć Warunki w odniesieniu do Kont, których to dotyczy.

4.5 Polecenia niezgodne z prawem. Bez zbędnej zwłoki informujemy Państwa, jeżeli naszym zdaniem polecenie narusza Przepisy o ochronie danych. Możemy wstrzymać wykonanie tego polecenia do czasu, aż Państwo je potwierdzą lub zmienią.

4.6 Brak wykorzystywania do własnych celów. Nie przetwarzamy Danych osobowych klienta we własnych celach. W szczególności nie sprzedajemy ich, nie wykorzystujemy ich w celach reklamowych ani do profilowania i nie wykorzystujemy ich do trenowania, opracowywania ani ulepszania modeli sztucznej inteligencji ani modeli uczenia maszynowego, zarówno naszych, jak i cudzych. Naszym Dalszym podmiotom przetwarzającym w zakresie AI umownie zakazano wykorzystywania ich do trenowania swoich modeli. Personalizacja wersji roboczych opisana w Załączniku 1 polega na dodawaniu przykładów do żądania; żaden model nie jest trenowany ani zmieniany.

5. Poufność

5.1 Dostęp do Danych osobowych klienta przyznajemy wyłącznie osobom, które potrzebują go do świadczenia Usługi. Każda z nich zobowiązała się do zachowania poufności lub podlega odpowiedniemu ustawowemu obowiązkowi poufności, który obowiązuje również po zakończeniu jej zaangażowania.

5.2 Nie przechowujemy treści żądań AI ani Danych wyjściowych AI (Załącznik 1). Nasz personel nie zapoznaje się z Danymi osobowymi klienta, z wyjątkiem sytuacji, gdy:

(a) Państwo lub Upoważniony użytkownik proszą nas o przejrzenie określonych treści, na przykład w zgłoszeniu do pomocy technicznej;

(b) jest to niezbędne do zbadania incydentu bezpieczeństwa lub nadużycia; lub

(c) wymaga tego prawo.

Każdy taki dostęp jest ograniczony do tego, czego wymaga jego cel.

5.3 Tajemnica zawodowa. Jeżeli są Państwo związani tajemnicą zawodową, w szczególności na podstawie § 203 ust. 1–3 niemieckiego Kodeksu karnego (StGB), § 43e federalnej ustawy o adwokaturze (BRAO), § 62a ustawy o doradztwie podatkowym (StBerG) lub porównywalnych przepisów, działamy jako osoba uczestnicząca w Państwa działalności zawodowej (mitwirkende Person, § 203 ust. 3 zd. 2 StGB) w zakresie, w jakim na podstawie niniejszej DPA przetwarzamy powierzone Państwu tajemnice. W takim przypadku:

(a) zobowiązujemy się do zachowania poufności w odniesieniu do takich tajemnic i mamy świadomość, że ich nieuprawnione ujawnienie podlega karze na podstawie § 203 ust. 4 zd. 1 StGB;

(b) zapoznajemy się z takimi tajemnicami tylko w zakresie, w jakim wymaga tego świadczenie Usługi (pkt 5.2);

(c) zobowiązujemy osoby pracujące dla nas do zachowania tajemnicy w formie tekstowej i informujemy je o skutkach karnych naruszenia; oraz

(d) korzystamy z usług Dalszych podmiotów przetwarzających wyłącznie zgodnie z pkt 7. Są one zobowiązane do zachowania poufności na mocy swoich warunków przetwarzania danych (pkt 7.2), ale nie złożyły nam zobowiązania odnoszącego się konkretnie do § 203 StGB, a niektóre z nich mają siedzibę lub spółkę dominującą poza UE (Załącznik 3).

Niniejszy pkt 5.3 stanowi zobowiązanie do zachowania poufności, o którym mowa w pkt 9.6 Warunków; na życzenie przesyłamy Państwu kopię podpisaną przez nas. To, czy Państwa przepisy zawodowe pozwalają Państwu na korzystanie z Funkcji AI lub Usług chmurowych w odniesieniu do powierzonych Państwu tajemnic, w szczególności w świetle lit. (d) (na przykład § 43e ust. 3 i 4 BRAO), należy do Państwa decyzji (pkt 14.3(d) i pkt 9.6 Warunków).

6. Bezpieczeństwo

6.1 Wdrażamy i utrzymujemy środki techniczne i organizacyjne opisane w Załączniku 2. Zapewniają one stopień bezpieczeństwa odpowiadający ryzyku, z uwzględnieniem stanu wiedzy technicznej, kosztów wdrażania, charakteru, zakresu, kontekstu i celów przetwarzania oraz ryzyka naruszenia praw lub wolności osób fizycznych (art. 32 RODO).

6.2 Środki podlegają postępowi technicznemu. Możemy je zmieniać, pod warunkiem że ogólny poziom ochrony nie ulegnie obniżeniu. Dokumentujemy istotne zmiany i odpowiednio aktualizujemy Załącznik 2.

6.3 Odpowiadają Państwo za ocenę, czy środki spełniają Państwa wymagania, oraz za środki pozostające pod Państwa kontrolą (pkt 3.4 i Załącznik 2, część B).

7. Dalsze podmioty przetwarzające

7.1 Ogólna zgoda. Udzielają nam Państwo ogólnej pisemnej zgody na korzystanie z usług Dalszych podmiotów przetwarzających. Dalsze podmioty przetwarzające wymienione w Załączniku 3 oraz na stronie https://mailistix.com/legal/subprocessors w chwili zawarcia niniejszej DPA są upoważnione.

7.2 Wymogi. Zanim Dalszy podmiot przetwarzający zacznie przetwarzać Dane osobowe klienta, my:

(a) sprawdzamy, czy zapewnia on wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych;

(b) zawieramy z nim pisemną umowę nakładającą obowiązki w zakresie ochrony danych, które zapewniają co najmniej taki sam poziom ochrony jak niniejsza DPA, zgodnie z wymogiem art. 28 ust. 4 RODO; oraz

(c) zapewniamy zgodny z prawem mechanizm przekazywania danych wszędzie tam, gdzie dochodzi do Przekazania podlegającego ograniczeniom (pkt 12).

Pozostajemy wobec Państwa w pełni odpowiedzialni za wywiązywanie się z obowiązków przez każdy Dalszy podmiot przetwarzający.

7.3 Powiadomienie o zmianach. Informujemy Państwa o każdym zamierzonym dodaniu lub zastąpieniu Dalszego podmiotu przetwarzającego co najmniej 14 dni przed rozpoczęciem przez niego przetwarzania Danych osobowych klienta. Czynimy to poprzez aktualizację strony z Dalszymi podmiotami przetwarzającymi, powiadomienie przesłane na adresy e-mail Kont Państwa Upoważnionych użytkowników lub zamieszczone w Oprogramowaniu oraz wiadomość e-mail do Państwa osoby kontaktowej ds. ochrony danych, jeżeli nam ją Państwo wskazali (pkt 17.6). Powiadomienie wskazuje Dalszy podmiot przetwarzający, jego usługę, lokalizację przetwarzania i mechanizm przekazywania danych.

7.4 Sprzeciw. Mogą Państwo wnieść sprzeciw wobec nowego Dalszego podmiotu przetwarzającego, pisząc na adres legal@mailistix.com w ciągu 14 dni od powiadomienia, z uzasadnionych powodów związanych z ochroną danych. Omówimy sprzeciw z Państwem w dobrej wierze i możemy zaproponować rozwiązanie, na przykład niekorzystanie z nowego Dalszego podmiotu przetwarzającego w odniesieniu do Państwa Kont lub wyłączenie dla tych Kont funkcji, której dotyczy zmiana. Jeżeli nie uda się rozwiązać kwestii objętej sprzeciwem, mogą Państwo wypowiedzieć Warunki w odniesieniu do Kont, których dotyczy zmiana, w drodze pisemnego powiadomienia, ze skutkiem najpóźniej w dniu, w którym nowy Dalszy podmiot przetwarzający rozpocząłby przetwarzanie Danych osobowych klienta dla Państwa. Zwrócimy wówczas proporcjonalnie opłaty wniesione przez Państwa z góry za okres po ustaniu obowiązywania Warunków dla tych Kont, za pośrednictwem Polar jako naszego merchant of record. Pozostałe prawa Państwa wynikające z Przepisów o ochronie danych pozostają nienaruszone.

7.5 Pilne zastąpienie. Jeżeli musimy zastąpić Dalszy podmiot przetwarzający w krótkim terminie z przyczyn pozostających poza naszą rozsądną kontrolą (na przykład incydent bezpieczeństwa u Dalszego podmiotu przetwarzającego lub zakończenie przez niego świadczenia usługi), a zastąpienie jest niezbędne do utrzymania bezpieczeństwa lub dostępności Usługi, możemy skorzystać z usług podmiotu zastępującego przed upływem 14-dniowego okresu. W takim przypadku informujemy Państwa o tym bez zbędnej zwłoki, a pkt 7.4 stosuje się od tego powiadomienia. Jeżeli mają zastosowanie SCC, pierwszeństwo ma ich klauzula 9.

7.6 Kopie. Na życzenie udostępniamy Państwu kopię postanowień dotyczących ochrony danych uzgodnionych z Dalszym podmiotem przetwarzającym lub odnośnik do jego standardowych warunków. Możemy usunąć z takiej kopii informacje handlowe oraz klauzule niezwiązane z ochroną danych.

7.7 Podmioty niebędące Dalszymi podmiotami przetwarzającymi. Naszymi Dalszymi podmiotami przetwarzającymi nie są: Państwa dostawcy skrzynek pocztowych (pkt 3.2); Polar jako merchant of record (pkt 2.4); nadawcy newsletterów, do których na wniosek Upoważnionego użytkownika wysyłane jest żądanie wypisania; oraz dostawcy Państwa systemów operacyjnych.

8. Pomoc

8.1 Żądania osób, których dane dotyczą. Większość danych osobowych dotyczących Państwa Upoważnionych użytkowników i ich korespondentów jest przechowywana przez Państwa dostawcę skrzynki pocztowej i na Państwa urządzeniach, a nie przez nas (pkt 3). Biorąc to pod uwagę, pomagamy Państwu, za pomocą odpowiednich środków technicznych i organizacyjnych, w udzielaniu odpowiedzi na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw wynikających z rozdziału III RODO oraz równoważnych praw wynikających z innych Przepisów o ochronie danych:

(a) Oprogramowanie umożliwia każdemu Upoważnionemu użytkownikowi wyeksportowanie danych, które przechowujemy dla jego Konta, w tym rekordów powiadomień push i rekordów plików przesłanych do pomocy technicznej (Ustawienia › Ogólne › Konto › „Eksportuj dane”); usunięcie Połączonej skrzynki pocztowej; cofnięcie zgody na AI i zmianę Ustawienia regionu (Ustawienia › Prywatność i AI); oraz usunięcie Konta.

(b) Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do nas w sprawie Danych osobowych klienta, a my możemy zidentyfikować Państwa jako administratora, bez zbędnej zwłoki przekazujemy Państwu to żądanie. Nie odpowiadamy na nie sami, chyba że w celu odesłania osoby, której dane dotyczą, do Państwa lub gdy prawo wymaga inaczej.

(c) Na życzenie udzielamy dalszej pomocy w uzasadnionym zakresie.

8.2 Bezpieczeństwo, naruszenia, oceny skutków i konsultacje. Uwzględniając charakter przetwarzania i dostępne nam informacje, pomagamy Państwu wywiązać się z obowiązków określonych w art. 32–36 RODO. W szczególności udostępniamy niniejszą DPA wraz z Załącznikami, Informację o funkcjach AI oraz, na życzenie, dalsze informacje o przetwarzaniu w Funkcjach AI, których Państwo potrzebują do przeprowadzenia oceny skutków dla ochrony danych lub do uprzednich konsultacji z organem nadzorczym.

8.3 Koszty. Funkcje samoobsługowe i pomoc opisane w niniejszej DPA są objęte Usługą. Za pomoc wykraczającą poza ten zakres, która nie została spowodowana naruszeniem niniejszej DPA przez nas, możemy pobrać uzasadnione koszty, pod warunkiem że uprzednio Państwa o tym poinformujemy.

8.4 Organy i rejestr. Na żądanie współpracujemy z organami nadzorczymi w wykonywaniu ich zadań. Prowadzimy rejestr czynności przetwarzania zgodnie z wymogami art. 30 ust. 2 RODO.

8.5 Osoba kontaktowa ds. ochrony danych. Naszym punktem kontaktowym w sprawach ochrony danych jest legal@mailistix.com.

9. Naruszenia ochrony danych osobowych

9.1 Powiadomienie. Powiadamiamy Państwa bez zbędnej zwłoki po stwierdzeniu Naruszenia ochrony danych osobowych. Dążymy do powiadomienia Państwa w ciągu 48 godzin.

9.2 Treść. Powiadomienie zawiera, w zakresie, w jakim informacje są dostępne:

(a) opis charakteru naruszenia, w tym, o ile to możliwe, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;

(b) imię i nazwisko oraz dane kontaktowe naszego punktu kontaktowego, od którego można uzyskać więcej informacji;

(c) możliwe konsekwencje naruszenia; oraz

(d) środki, które zastosowaliśmy lub proponujemy zastosować w celu zaradzenia naruszeniu i złagodzenia jego ewentualnych negatywnych skutków.

Jeżeli nie możemy przekazać wszystkich informacji jednocześnie, przekazujemy je stopniowo, bez dalszej zbędnej zwłoki.

9.3 Nasze środki. Bez zbędnej zwłoki podejmujemy rozsądne kroki w celu opanowania i zbadania naruszenia, złagodzenia jego skutków i zapobieżenia jego ponownemu wystąpieniu. Dokumentujemy naruszenie i informujemy Państwa na bieżąco.

9.4 Jak powiadamiamy. Powiadomienie wysyłamy e-mailem na adresy e-mail Kont Upoważnionych użytkowników, których dotyczy naruszenie, oraz do osoby kontaktowej ds. ochrony danych, którą Państwo nam wskazali zgodnie z pkt 17.6.

9.5 Państwa obowiązki. To Państwo decydują, czy naruszenie należy zgłosić organowi nadzorczemu lub zawiadomić o nim osoby, których dane dotyczą, i to Państwo dokonują tych zgłoszeń i zawiadomień. Nie czynimy tego w Państwa imieniu, chyba że Państwo nam to polecą lub wymaga tego prawo.

9.6 Brak uznania. Nasze powiadomienie nie stanowi uznania winy ani odpowiedzialności.

9.7 Zgłoszenia do nas. Podejrzenia incydentów bezpieczeństwa dotyczących Usługi prosimy zgłaszać na adres legal@mailistix.com, nadając wiadomości temat zaczynający się od „Security:”, jak opisano w naszych Zasadach zgłaszania podatności.

10. Usunięcie i zwrot

10.1 W trakcie obowiązywania. Dane osobowe klienta przechowujemy w Usługach chmurowych wyłącznie przez okres wskazany w Załączniku 1, część H. Zautomatyzowane codzienne zadania usuwają rekordy, których okres przechowywania dobiegł końca.

10.2 Usunięcie Konta. Upoważniony użytkownik może w każdej chwili usunąć swoje Konto w Oprogramowaniu (Ustawienia › Ogólne › Konto › „Usuń konto”); pkt 15.3 Warunków opisuje, kiedy odmawia się usunięcia (na przykład gdy z tytułu subskrypcji nadal mogą być pobierane opłaty). Usunięcie Konta powoduje usunięcie Danych osobowych klienta tego Konta z Usług chmurowych. Na urządzeniu użytym do usunięcia Oprogramowanie ponadto zatrzymuje powiadomienia push, cofa swój dostęp do połączonych skrzynek pocztowych Google i usuwa dane lokalne tego Konta. Mogą Państwo także zwrócić się do nas na piśmie o usunięcie Kont Państwa Upoważnionych użytkowników; dokonujemy tego po zweryfikowaniu Państwa umocowania.

10.3 Zakończenie obowiązywania Warunków dla Konta. Po zakończeniu świadczenia Usługi dla Konta zwracamy lub usuwamy jego Dane osobowe klienta, według Państwa wyboru (art. 28 ust. 3 lit. g RODO), w następujący sposób (pkt 15.10 Warunków):

(a) Zwrot. Kopię uzyskują Państwo za pomocą eksportu w Oprogramowaniu (pkt 8.1(a)), który Upoważniony użytkownik może uruchomić w dowolnej chwili, dopóki Konto istnieje. Eksport i usunięcie są bezpłatne.

(b) Okres pobierania danych. Po zakończeniu obowiązywania Warunków dla Konta, z jakiejkolwiek przyczyny, jego Dane osobowe klienta pozostają dostępne do pobrania przez 30 dni (okres pobierania danych, o którym mowa w pkt 15.10(d) Warunków i w art. 25 ust. 2 lit. g aktu w sprawie danych). W tym okresie Konto nadal istnieje, a Upoważniony użytkownik może zalogować się w celu dokonania eksportu; jeżeli nie jest to możliwe, wysyłamy Państwu eksport na Państwa życzenie przesłane na adres legal@mailistix.com. Po upływie tego okresu usuwamy Dane osobowe klienta tego Konta z Usług chmurowych, chyba że prawo UE lub prawo państwa członkowskiego wymaga od nas ich przechowywania. W tym okresie nadal obowiązują okresy przechowywania określone w Załączniku 1, część H.

(c) Natychmiastowe usunięcie. Jeżeli Upoważniony użytkownik usunie Konto w Oprogramowaniu (pkt 10.2) lub Państwo poproszą nas o jego usunięcie, wybierają Państwo natychmiastowe usunięcie zamiast okresu pobierania danych: usuwamy Dane osobowe klienta tego Konta niezwłocznie.

(d) Dane podlegające eksportowi. W odniesieniu do Danych osobowych klienta plik eksportu zawiera rekordy powiadomień Gmail i Outlook, rejestracje obserwowania Gmail oraz rejestracje subskrypcji Outlook, a także rekordy plików przesłanych do pomocy technicznej (na przykład czas, wersja aplikacji i rozmiar); treść plików przesłanych do pomocy technicznej udostępniamy na życzenie (pkt 15.10(b) Warunków). Państwa Dane skrzynki pocztowej pozostają dla Państwa dostępne u Państwa dostawcy skrzynki pocztowej i w lokalnej bazie danych Oprogramowania na Państwa urządzeniach; nie posiadamy ich kopii, którą moglibyśmy zwrócić. Ponieważ nie przechowujemy treści żądań AI ani Danych wyjściowych AI, nie ma czego zwracać ani usuwać.

10.4 Kopie zapasowe. Kopia zapasowa bazy danych Usług chmurowych jest tworzona automatycznie raz dziennie. Każda kopia zapasowa jest przechowywana przez 7 dni, a Dane osobowe klienta w kopii zapasowej zostają usunięte z upływem okresu jej przechowywania. Kopie zapasowe pozostają objęte ochroną na podstawie niniejszej DPA i są przywracane do działającego systemu wyłącznie w celu usunięcia skutków incydentu; po takim przywróceniu ponownie przeprowadzamy usunięcia dokonane od chwili sporządzenia kopii zapasowej.

10.5 Dalsze podmioty przetwarzające. Nasze Dalsze podmioty przetwarzające w zakresie AI mogą przechowywać dane żądań przez ograniczony czas w celach operacyjnych lub monitorowania nadużyć zgodnie ze swoimi warunkami, jak opisano w Załączniku 1, część H.

10.6 Potwierdzenie. Na życzenie potwierdzamy usunięcie na piśmie.

11. Informacje i audyty

11.1 Informacje. Udostępniamy Państwu informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO i w niniejszej DPA, w szczególności:

(a) niniejszą DPA, jej Załączniki i stronę „Dalsze podmioty przetwarzające”;

(b) odpowiedzi na kwestionariusz bezpieczeństwa o rozsądnym zakresie, raz w roku kalendarzowym; oraz

(c) certyfikaty i sprawozdania z audytów naszych Dalszych podmiotów przetwarzających, w zakresie, w jakim udostępniają je nam w tym celu.

11.2 Audyty i inspekcje. Jeżeli informacje, o których mowa w pkt 11.1, nie wystarczają do wykazania naszej zgodności, jeżeli wymaga tego organ nadzorczy lub jeżeli doszło do Naruszenia ochrony danych osobowych, mogą Państwo przeprowadzić audyt naszej zgodności z niniejszą DPA, w tym inspekcje. Audyt mogą Państwo przeprowadzić samodzielnie lub za pośrednictwem niezależnego audytora, który jest związany zobowiązaniem do zachowania poufności i nie jest naszym konkurentem. Poza przypadkami, w których organ nadzorczy wymaga inaczej lub audyt następuje po Naruszeniu ochrony danych osobowych:

(a) audyty odbywają się nie częściej niż raz w dowolnym okresie 12 miesięcy;

(b) powiadamiają nas Państwo na piśmie z co najmniej 30-dniowym wyprzedzeniem i z góry uzgadniają z nami zakres i plan audytu; oraz

(c) audyty odbywają się w normalnych godzinach pracy i bez nieuzasadnionego zakłócania naszej działalności.

Audyty nie obejmują danych innych klientów ani naszych tajemnic przedsiębiorstwa w zakresie wykraczającym poza to, czego wymaga audyt. Nie eksploatujemy własnych centrów danych ani serwerów. W odniesieniu do obiektów naszych Dalszych podmiotów przetwarzających audyt opiera się na ich certyfikatach i sprawozdaniach z audytów, o których mowa w pkt 11.1(c).

11.3 Koszty. Państwo ponoszą własne koszty audytu. Zwracają Państwo nasze uzasadnione, udokumentowane koszty wsparcia audytu na miejscu, chyba że audyt wykaże istotne naruszenie niniejszej DPA przez nas.

11.4 Wyniki. Wyniki audytu są poufne. Przekazują nam Państwo kopię sprawozdania z audytu. Bez zbędnej zwłoki usuwamy wszelkie stwierdzone niezgodności.

11.5 SCC. Jeżeli mają zastosowanie SCC, audyty na podstawie ich klauzuli 8.9 przeprowadza się zgodnie z niniejszym pkt 11, o ile jest to zgodne z SCC.

12. Międzynarodowe przekazywanie danych

12.1 Miejsce przetwarzania. Mamy siedzibę w Niemczech, państwie członkowskim Unii Europejskiej. My i nasze Dalsze podmioty przetwarzające przetwarzamy Dane osobowe klienta w UE, z następującymi wyjątkami (szczegóły w Załączniku 3):

(a) w przypadku Upoważnionych użytkowników, którzy odpowiedzieli „Poza Europą”, niektóre modele Gemini działają w globalnym punkcie końcowym Google (pkt 4.3);

(b) Dalsze podmioty przetwarzające mające siedzibę lub spółkę dominującą poza UE mogą uzyskiwać dostęp do Danych osobowych klienta spoza UE w celach wsparcia i obsługi operacyjnej na podstawie swoich warunków przetwarzania danych; dotyczy to naszego partnera umownego w zakresie hostingu, Supabase Pte. Ltd. w Singapurze, i jego grupy, oraz amerykańskich spółek dominujących naszych pozostałych Dalszych podmiotów przetwarzających;

(c) wyłącznie funkcje serwerowe obsługujące żądania AI są przypisane do regionów UE. Pozostałe funkcje serwerowe (na przykład połączenie skrzynki pocztowej, konfiguracja i przekazywanie powiadomień push, wypisanie jednym kliknięciem, przesyłanie plików do pomocy technicznej i eksport danych) działają w regionie brzegowym Supabase najbliższym wywołującemu. W przypadku Upoważnionych użytkowników spoza Europy oraz powiadomień wysyłanych przez Google lub Microsoft mogą one zatem działać poza UE. Baza danych i przechowywanie plików pozostają we Frankfurcie; oraz

(d) powiadomienia o zmianach w Gmail przechodzą przez Google Cloud Pub/Sub, który nie ma stałego regionu przetwarzania.

12.2 Dalsze przekazania przez nas. Przekazania podlegającego ograniczeniom dokonujemy wyłącznie na Państwa udokumentowane polecenie (niniejsza DPA, Załącznik 3 i Ustawienie regionu) i tylko wtedy, gdy spełnione są warunki rozdziału V RODO oraz równoważnych przepisów UK GDPR i FADP. W odniesieniu do naszych Dalszych podmiotów przetwarzających opieramy się na:

(a) decyzji stwierdzającej odpowiedni stopień ochrony, w tym na unijno-amerykańskich ramach ochrony prywatności danych (EU–U.S. Data Privacy Framework), ich rozszerzeniu dla Zjednoczonego Królestwa (UK Extension) oraz szwajcarsko-amerykańskich ramach ochrony prywatności danych (Swiss–U.S. Data Privacy Framework) w odniesieniu do certyfikowanych odbiorców; lub

(b) SCC (Moduł 3) lub równoważnych klauzulach w warunkach przetwarzania danych Dalszego podmiotu przetwarzającego, wraz ze wszelkimi środkami uzupełniającymi, które – jak wykazuje nasza ocena skutków przekazania danych – są niezbędne. W przypadku Supabase są to SCC zawarte w aneksie Supabase dotyczącym przetwarzania danych, w którym importerem danych jest Supabase Pte. Ltd. (Singapur); dalsze przekazywanie danych do własnych dalszych podmiotów przetwarzających Supabase reguluje ten aneks.

12.3 Przekazywanie danych między Państwem a nami. To, czy SCC mają zastosowanie między Państwem a nami, zależy od tego, gdzie Państwo się znajdują:

(a) Mają Państwo siedzibę w EOG: przesyłanie przez Państwa danych do nas w UE oraz zwracanie ich Państwu przez nas nie stanowią Przekazania podlegającego ograniczeniom. SCC nie mają zastosowania między nami.

(b) Mają Państwo siedzibę w Zjednoczonym Królestwie, Szwajcarii lub innym kraju objętym decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony: prawo brytyjskie i szwajcarskie uznają EOG za zapewniający odpowiednią ochronę, a UE uznaje za zapewniające taką ochronę Zjednoczone Królestwo, Szwajcarię i inne kraje, których to dotyczy. SCC nie mają zastosowania między nami, chyba że ma zastosowanie pkt 12.3(d).

(c) Mają Państwo siedzibę w jakimkolwiek innym kraju: przesyłanie przez Państwa danych do nas nie stanowi Przekazania podlegającego ograniczeniom na podstawie RODO, natomiast odsyłanie przez nas Danych osobowych klienta z powrotem Państwu (na przykład Danych wyjściowych AI lub eksportu) takim przekazaniem jest. W takim przypadku stosuje się Moduł 4 (przekazywanie od podmiotu przetwarzającego administratorowi) SCC, przy czym eksporterem danych jesteśmy my, a importerem danych Państwo, także w przypadku, gdy działają Państwo jako podmiot przetwarzający dla innego administratora (pkt 2.3). Jeżeli Państwa przetwarzanie danych samo podlega RODO (art. 3 ust. 2 RODO), SCC mają zastosowanie w zakresie, w jakim mogą być użyte do takiego przekazania, a Państwo pozostają bezpośrednio związani RODO.

(d) Przetwarzamy poza EOG: jeżeli mamy siedzibę lub zaczniemy mieć siedzibę w państwie trzecim nieobjętym decyzją stwierdzającą odpowiedni stopień ochrony albo sami przetwarzamy tam Dane osobowe klienta, stosuje się Moduł 2 (gdy Państwo są administratorem) lub Moduł 3 (gdy Państwo są podmiotem przetwarzającym) SCC, przy czym eksporterem danych są Państwo, a importerem danych my.

12.4 SCC: włączenie i opcje. Jeżeli SCC mają zastosowanie na podstawie pkt 12.3, są włączone do niniejszej DPA przez odniesienie, w module właściwym dla danego przypadku, a Państwo i my zawieramy je przez zawarcie niniejszej DPA. Akceptacja Warunków jest równoznaczna z podpisaniem SCC i ich Załączników. Zastosowanie mają następujące opcje i szczegóły:

(a) Klauzula 7 (klauzula dotycząca przystąpienia): ma zastosowanie.

(b) Klauzula 9 lit. a (Moduły 2 i 3): Opcja 2, ogólna pisemna zgoda; okres wynosi 14 dni, a powiadomienie następuje zgodnie z pkt 7.3.

(c) Klauzula 11 lit. a: opcjonalne sformułowanie nie ma zastosowania.

(d) Klauzula 13 lit. a (Moduły 2 i 3): właściwy organ nadzorczy określa się zgodnie z Załącznikiem 1, część J.

(e) Klauzula 17: dla Modułów 2 i 3 ma zastosowanie Opcja 1, a SCC podlegają prawu Niemiec. Dla Modułu 4 SCC podlegają prawu Niemiec.

(f) Klauzula 18: spory rozstrzygają sądy Niemiec; sądem właściwym miejscowo jest sąd w miejscu naszej siedziby statutowej (Berlin, Niemcy). Klauzula 18 lit. c Modułów 2 i 3 pozostaje nienaruszona.

(g) Załącznik I.A (wykaz stron) to Załącznik 1, część A; Załącznik I.B (opis przekazania) to Załącznik 1; Załącznik I.C (właściwy organ nadzorczy) to Załącznik 1, część J; Załącznik II (środki techniczne i organizacyjne) to Załącznik 2; Załącznik III (wykaz dalszych podmiotów przetwarzających) to Załącznik 3.

(h) Poświadczenie usunięcia na podstawie klauzuli 8.5 jest wydawane na życzenie zgodnie z pkt 10.6; audyty na podstawie klauzuli 8.9 odbywają się zgodnie z pkt 11.

12.5 Przekazania podlegające prawu brytyjskiemu. Jeżeli przekazanie Danych osobowych klienta między Państwem a nami jest Przekazaniem podlegającym ograniczeniom na podstawie UK GDPR, UK Addendum zostaje włączony do niniejszej DPA i ma zastosowanie do SCC włączonych na podstawie pkt 12.4. Jego Tabele wypełnia się w następujący sposób:

(a) Tabela 1 (Strony): strony, ich dane i kontakty określone w Załączniku 1, część A; data rozpoczęcia to data, w której niniejsza DPA stała się wiążąca między nami.

(b) Tabela 2 (Wybrane SCC, moduły i wybrane klauzule): wersja Approved EU SCCs włączona na podstawie pkt 12.4, w tym Appendix Information, z wybranymi tam modułami i opcjami.

(c) Tabela 3 (Appendix Information): wykaz stron to Załącznik 1, część A; opis przekazania to Załącznik 1; środki techniczne i organizacyjne to Załącznik 2; wykaz dalszych podmiotów przetwarzających to Załącznik 3.

(d) Tabela 4 (Zakończenie obowiązywania niniejszego aneksu w razie zmiany Approved Addendum): Importer może zakończyć obowiązywanie UK Addendum.

Zastosowanie ma Część 2 UK Addendum, Mandatory Clauses of the Approved Addendum (wzór Addendum B1.0 wydany przez Information Commissioner i przedłożony Parlamentowi na podstawie art. 119A Data Protection Act 2018, zmieniony na podstawie pkt 18 tych Mandatory Clauses).

12.6 Przekazania podlegające prawu szwajcarskiemu. Jeżeli przekazanie podlega FADP:

(a) odniesienia do RODO w SCC należy odczytywać jako odniesienia do FADP, w zakresie, w jakim przekazanie podlega FADP;

(b) Federalny Pełnomocnik ds. Ochrony Danych i Informacji (FDPIC) jest właściwym organem nadzorczym na podstawie klauzuli 13 w odniesieniu do przekazań podlegających FADP; jeżeli przekazanie podlega zarówno FADP, jak i RODO, organ wskazany w Załączniku 1, część J pozostaje właściwy w zakresie podlegającym RODO;

(c) prawem właściwym na podstawie klauzuli 17 pozostaje prawo wybrane w pkt 12.4(e); oraz

(d) pojęcia „państwo członkowskie” w klauzuli 18 lit. c nie wolno interpretować w sposób wyłączający osoby, których dane dotyczą, w Szwajcarii z możliwości dochodzenia swoich praw przed sądem w miejscu ich zwykłego pobytu, czyli w Szwajcarii.

12.7 Zmiany mechanizmów przekazywania danych. Jeżeli mechanizm przekazywania danych, na którym opieramy się zgodnie z niniejszym pkt 12, zostanie unieważniony, zmieniony lub zastąpiony, współpracujemy z Państwem w celu wprowadzenia alternatywnego, zgodnego z prawem mechanizmu. Możemy zaktualizować niniejszy pkt 12 do nowej wersji SCC lub UK Addendum w drodze powiadomienia Państwa; aktualizacja wchodzi w życie z chwilą, gdy wymaga tego prawo.

13. Żądania organów publicznych

13.1 Ujawniamy Dane osobowe klienta organowi publicznemu wyłącznie wtedy, gdy wiążący nakaz prawnie tego od nas wymaga. Nie ujawniamy ich dobrowolnie i nie stworzyliśmy żadnych rozwiązań umożliwiających organom bezpośredni dostęp do nich.

13.2 Jeżeli otrzymamy taki nakaz:

(a) staramy się skłonić organ do zwrócenia się o dane bezpośrednio do Państwa;

(b) niezwłocznie powiadamiamy Państwa, chyba że prawo tego zabrania; jeżeli zabrania, dokładamy rozsądnych starań, aby uzyskać zwolnienie z tego zakazu, abyśmy mogli poinformować Państwa jak najszybciej;

(c) badamy zgodność nakazu z prawem i kwestionujemy go, jeżeli po starannej ocenie dojdziemy do wniosku, że istnieją uzasadnione podstawy, by uznać go za niezgodny z prawem na gruncie prawa danego państwa, mających zastosowanie zobowiązań wynikających z prawa międzynarodowego lub zasad międzynarodowej grzeczności (comity), w tym w stosownych przypadkach poprzez wnioskowanie o środki tymczasowe, i nie ujawniamy danych, dopóki nie zobowiążą nas do tego mające zastosowanie przepisy proceduralne;

(d) ujawniamy tylko minimalny zakres danych, jakiego wymaga nakaz, na podstawie jego rozsądnej wykładni; oraz

(e) dokumentujemy nakaz, naszą ocenę i naszą reakcję oraz, jeżeli prawo na to pozwala, udostępniamy tę dokumentację Państwu na życzenie.

13.3 Możemy ujawnić tylko to, co posiadamy (Załącznik 1, część H). Nie posiadamy Państwa Danych skrzynki pocztowej ani lokalnej kopii przechowywanej w Oprogramowaniu i nie przechowujemy treści żądań AI ani Danych wyjściowych AI.

13.4 W chwili publikacji niniejszej DPA nie otrzymaliśmy żadnego nakazu ani żądania organu publicznego dotyczącego Danych osobowych klienta i nie mamy powodu sądzić, że przepisy, którym podlegamy, uniemożliwiają nam wywiązywanie się z naszych obowiązków wynikających z niniejszej DPA.

13.5 Dane nieosobowe (art. 32 aktu w sprawie danych). Punkty od 13.1 do 13.3 stosuje się w równym stopniu do danych nieosobowych zawartych w Treściach klienta, które przechowujemy w Usługach chmurowych w UE. Sądowi lub organowi państwa spoza UE zapewniamy dostęp do takich danych lub przekazujemy je wyłącznie na warunkach art. 32 ust. 2 i 3 aktu w sprawie danych, a w takim przypadku udostępniamy tylko minimalną dopuszczalną ilość danych, na podstawie rozsądnej wykładni żądania. Informujemy Państwa o takim żądaniu przed jego spełnieniem, chyba że żądanie służy celom egzekwowania prawa, i to wyłącznie tak długo, jak jest to konieczne do zachowania skuteczności działań w zakresie egzekwowania prawa.

13.6 Informacje na podstawie art. 28 ust. 1 aktu w sprawie danych. Punkt 4 naszej strony „Dalsze podmioty przetwarzające” (stanowiącej część Załącznika 3) określa jurysdykcję, której podlega infrastruktura ICT Usług chmurowych, oraz środki, które podejmujemy w celu przeciwdziałania bezprawnemu międzynarodowemu rządowemu dostępowi; niniejszy pkt 13 i Załącznik 2 opisują te środki szczegółowo.

14. Państwa obowiązki

14.1 Zgodność z prawem. Odpowiadają Państwo za zgodność z prawem przetwarzania Danych osobowych klienta. Obejmuje to posiadanie podstawy prawnej do korzystania z Funkcji AI w odniesieniu do e-maili Państwa korespondentów i innych osób trzecich oraz informowanie osób, których dane dotyczą, w zakresie, w jakim wymagają tego Przepisy o ochronie danych.

14.2 Szczególne kategorie danych oraz dane dotyczące wyroków skazujących i naruszeń prawa. Usługa nie została zaprojektowana do przetwarzania szczególnych kategorii danych osobowych (art. 9 RODO) ani danych osobowych dotyczących wyroków skazujących i naruszeń prawa (art. 10 RODO) i nie przetwarzamy takich danych celowo. Mogą one jednak pojawiać się w e-mailach przetwarzanych przez Funkcje AI. To Państwo decydują, czy Państwa Upoważnieni użytkownicy mogą korzystać z Funkcji AI w odniesieniu do takich treści, i zapewniają Państwo istnienie podstawy prawnej dla takiego korzystania (zob. Zasady dopuszczalnego użytkowania).

14.3 Państwa użytkownicy i Państwa konfiguracja. Zapewniają Państwo, że:

(a) Państwa Upoważnieni użytkownicy korzystają z Usługi zgodnie z Państwa poleceniami i niniejszą DPA, w tym z Ustawieniem regionu (pkt 4.3) oraz decyzją o włączeniu Funkcji AI;

(b) uzyskano wszelkie zgody przedstawicieli pracowników lub zapewniono ich udział, w zakresie, w jakim wymaga tego Państwa korzystanie z Usługi;

(c) udzielono wszelkiej zgody administratora organizacji, której wymaga Państwa dostawca skrzynki pocztowej; oraz

(d) przestrzegają Państwo wszelkich obowiązków zachowania tajemnicy zawodowej, które Państwa dotyczą.

14.4 Nieprawidłowości. Bez zbędnej zwłoki informują nas Państwo, jeżeli zauważą Państwo błędy lub nieprawidłowości w przetwarzaniu Danych osobowych klienta.

15. Odpowiedzialność

15.1 Nasza odpowiedzialność wynikająca z niniejszej DPA lub z nią związana, w tym odpowiedzialność wynikająca z SCC w zakresie, w jakim SCC na to pozwalają, podlega wyłączeniom i ograniczeniom odpowiedzialności zawartym w Warunkach (Część II, pkt A.1 lub, jeżeli ma zastosowanie, pkt 16 i 17 Części I), w zakresie dozwolonym przez art. 82 RODO i inne obowiązujące przepisy prawa. Państwa odpowiedzialność określają przepisy ustawowe.

15.2 Punkt 15.1 nie ogranicza:

(a) odpowiedzialności żadnej ze stron wobec osób, których dane dotyczą, w tym na podstawie art. 82 RODO, równoważnych postanowień innych Przepisów o ochronie danych oraz praw beneficjentów będących osobami trzecimi na podstawie SCC; ani

(b) żadnej odpowiedzialności, której nie można ograniczyć ani wyłączyć na podstawie obowiązującego prawa.

15.3 W stosunkach między stronami, w granicach pkt 15.1, każda ze stron ponosi część odszkodowania wypłaconego osobie, której dane dotyczą, odpowiadającą jej części odpowiedzialności za szkodę (art. 82 ust. 5 RODO).

16. Przepisy stanów USA o ochronie prywatności

16.1 Jeżeli do Danych osobowych klienta ma zastosowanie California Consumer Privacy Act (zmieniony przez California Privacy Rights Act) lub porównywalna ustawa stanowa USA o ochronie prywatności, działamy jako Państwa „service provider” lub „processor”. W takim przypadku:

(a) nie sprzedajemy ani nie udostępniamy Danych osobowych klienta w rozumieniu, jakie nadają tym pojęciom te przepisy;

(b) nie przechowujemy, nie wykorzystujemy ani nie ujawniamy Danych osobowych klienta w żadnym celu, w tym w celu komercyjnym, innym niż cele biznesowe określone w Warunkach i niniejszej DPA, ani poza bezpośrednią relacją biznesową między Państwem a nami;

(c) nie łączymy Danych osobowych klienta z informacjami osobowymi, które otrzymujemy od innych podmiotów lub w ich imieniu albo zbieramy z własnych interakcji z konsumentami, z wyjątkiem przypadków dozwolonych przez te przepisy;

(d) przestrzegamy obowiązków wynikających z tych przepisów, które mają do nas zastosowanie, i zapewniamy taki sam poziom ochrony prywatności, jakiego one wymagają; oraz

(e) powiadamiamy Państwa, jeżeli stwierdzimy, że nie jesteśmy już w stanie wywiązywać się z naszych obowiązków wynikających z tych przepisów.

16.2 Mogą Państwo podjąć rozsądne i odpowiednie kroki na podstawie pkt 9 i 11, aby upewnić się, że wykorzystujemy Dane osobowe klienta zgodnie z tymi przepisami, oraz aby powstrzymać nieuprawnione wykorzystanie i usunąć jego skutki. Oświadczamy, że rozumiemy ograniczenia zawarte w niniejszym pkt 16 i będziemy ich przestrzegać.

17. Okres obowiązywania i postanowienia ogólne

17.1 Okres obowiązywania. Niniejsza DPA obowiązuje tak długo, jak Warunki obowiązują w odniesieniu do któregokolwiek z Państwa Kont, a następnie tak długo, jak przetwarzamy Dane osobowe klienta w Państwa imieniu. Nie można jej wypowiedzieć odrębnie od Warunków. Punkty 5, 10, 13 i 15 zachowują moc po ustaniu jej obowiązywania.

17.2 Zmiany. Możemy zmieniać niniejszą DPA zgodnie z zasadami zmian określonymi w Warunkach (pkt 19.3 i 19.6 Warunków), w szczególności w celu uwzględnienia zmian Przepisów o ochronie danych, decyzji organów lub sądów, nowych wersji SCC lub UK Addendum albo zmian Usługi. Nowa wersja niniejszej DPA otrzymuje nowy numer wersji, a Oprogramowanie prosi Państwa Upoważnionych użytkowników o jej zaakceptowanie (pkt 1.1 oraz pkt 1.8(b) Warunków). Zmiana, która obniża poziom ochrony Danych osobowych klienta, wchodzi wobec Państwa w życie wyłącznie wtedy, gdy Państwo się na nią zgodzą. Zmiany wymagane przez prawo wchodzą w życie w terminie, w którym wymaga tego prawo. Zmiany Dalszych podmiotów przetwarzających podlegają natomiast pkt 7.

17.3 Klauzula salwatoryjna. Jeżeli postanowienie niniejszej DPA jest lub stanie się nieważne lub niewykonalne, pozostałe postanowienia pozostają w mocy; stosuje się pkt 23.3 Warunków.

17.4 Prawo właściwe i sąd właściwy. Niniejsza DPA podlega prawu Republiki Federalnej Niemiec, także wówczas, gdy Warunki podlegają innemu prawu, ponieważ art. 28 ust. 3 RODO wymaga umowy podlegającej prawu Unii lub prawu państwa członkowskiego. Postanowienia Warunków dotyczące sądu właściwego i rozstrzygania sporów mają zastosowanie, chyba że SCC lub Przepisy o ochronie danych wymagają inaczej.

17.5 Język. Wersja angielska niniejszej DPA jest wersją oryginalną. Tłumaczenia są udostępniane dla wygody. Jeżeli bezwzględnie obowiązujące prawo w Państwa kraju wymaga, aby wersja w Państwa języku miała pierwszeństwo, wersja ta ma wówczas pierwszeństwo.

17.6 Powiadomienia. Powiadomienia na podstawie niniejszej DPA wysyłamy e-mailem na adresy e-mail Kont Państwa Upoważnionych użytkowników oraz, jeżeli nam ją Państwo wskazali, do Państwa osoby kontaktowej ds. ochrony danych. Powiadomienia do nas prosimy wysyłać na adres legal@mailistix.com. Osobę kontaktową ds. ochrony danych mogą Państwo nam wskazać lub zmienić pod tym adresem w każdej chwili.

Podpis (wyłącznie dla kopii podpisanych na życzenie zgodnie z pkt 1.1)

Załącznik 1 – Opis przetwarzania

Niniejszy Załącznik opisuje przetwarzanie zgodnie z art. 28 ust. 3 RODO i stanowi Załącznik I do SCC tam, gdzie mają one zastosowanie.

Część A – Strony

Część B – Kategorie osób, których dane dotyczą

• Upoważnieni użytkownicy: Państwa pracownicy, współpracownicy i inne osoby, które korzystają z Usługi za pośrednictwem Kont w Państwa celach biznesowych, w tym posiadacze Połączonych skrzynek pocztowych.
• Korespondenci: nadawcy i odbiorcy (Do, DW) przetwarzanych e-maili oraz inni uczestnicy tych wątków e-mail.
• Osoby wymienione z imienia i nazwiska lub w inny sposób możliwe do zidentyfikowania w tekście e-maili, tematach, podpisach, nazwach załączników, fragmentach tekstu załączników i odnośnikach.
• Organizatorzy i uczestnicy spotkań, dla których zażądano briefingu, oraz osoby wymienione w zaproszeniu.
• Kontakty, których imiona i nazwiska oraz adresy e-mail są wysyłane wraz z pytaniem Ask AI jako najczęstsi korespondenci Upoważnionego użytkownika albo których preferencje dotyczące języka i formalności są wysyłane z żądaniem przygotowania wersji roboczej.

Część C – Kategorie danych osobowych

Żądania przygotowania wersji roboczej i przeredagowania zawierają także imię i nazwisko, adres e-mail i strefę czasową Upoważnionego użytkownika, który je uruchamia; żądania Ask AI i briefingów przed spotkaniami zawierają bieżącą datę i strefę czasową Upoważnionego użytkownika.

Modele używane u dostawców wymienionych w Załączniku 3 mogą się zmieniać, także w celu porównywania jakości. Takie zmiany zawsze pozostają w ramach Dalszych podmiotów przetwarzających i regionów przetwarzania określonych w Załączniku 3 oraz w granicach Ustawienia regionu Upoważnionego użytkownika.

Część D – Szczególne kategorie danych osobowych i dane dotyczące wyroków skazujących i naruszeń prawa

Usługa nie przetwarza celowo szczególnych kategorii danych osobowych ani danych dotyczących wyroków skazujących i naruszeń prawa. Takie dane mogą pojawić się incydentalnie w treści e-maili, załączników lub spotkań, które Upoważniony użytkownik wysyła do Funkcji AI (pkt 14.2). Do wszystkich Danych osobowych klienta, w tym takich danych, stosuje się następujące zabezpieczenia: przetwarzanie wyłącznie wtedy, gdy Upoważniony użytkownik uruchamia funkcję; brak przechowywania treści żądań AI i Danych wyjściowych AI; niewykorzystywanie do trenowania; brak weryfikacji przez człowieka, poza przypadkami przewidzianymi w pkt 5.2; szyfrowanie podczas przesyłania; przetwarzanie w UE dla Upoważnionych użytkowników z Ustawieniem regionu „W Europie” lub bez odpowiedzi; oraz środki opisane w Załączniku 2.

Część E – Charakter przetwarzania

Odbieranie żądania z Oprogramowania; tworzenie promptu na serwerze na podstawie danych potrzebnych danej funkcji; przesyłanie go do modelu AI Dalszego podmiotu przetwarzającego i zwracanie Danych wyjściowych do Oprogramowania (w trybie strumieniowym, jeżeli funkcja to obsługuje); pośredniczenie w wymianie komunikatów OAuth i przekazywanie żądań wypisania jednym kliknięciem; odbieranie, krótkotrwałe przechowywanie i przekazywanie dalej powiadomień push; przechowywanie plików przesłanych do pomocy technicznej; usuwanie wszystkich tych danych zgodnie z harmonogramem.

Część F – Cele

Świadczenie Usługi na Państwa rzecz, a mianowicie: generowanie Danych wyjściowych AI, o które prosi Upoważniony użytkownik; łączenie Połączonych skrzynek pocztowych; informowanie Oprogramowania o nowych lub zmienionych wiadomościach w czasie rzeczywistym; wypisywanie z newsletterów bez ujawniania nadawcy adresu IP Upoważnionego użytkownika; oraz obsługiwanie zgłoszeń do pomocy technicznej.

Część G – Czas trwania i częstotliwość

Przetwarzanie trwa przez okres obowiązywania niniejszej DPA (pkt 17.1) oraz przez okresy usuwania określone w części H. Odbywa się w sposób ciągły, za każdym razem, gdy Upoważniony użytkownik uruchamia funkcję lub dochodzi do zmiany w Połączonej skrzynce pocztowej.

Część H – Przechowywanie

Tytułem informacji: metadane użycia żądań AI (bez treści) są przechowywane przez 180 dni, a rekordy zdarzeń bezpieczeństwa również przez 180 dni. Przetwarzamy je jako niezależny administrator (pkt 2.4).

Część I – Lokalizacje przetwarzania

• Baza danych i przechowywanie plików Usług chmurowych: Frankfurt, Niemcy (Amazon Web Services, zarządzane przez Supabase). Supabase Pte. Ltd. (Singapur) oraz podmioty z jego grupy mogą mieć do nich dostęp w celach wsparcia i obsługi operacyjnej (pkt 12.1(b)).
• Funkcje serwerowe dla żądań AI: wyłącznie regiony brzegowe Supabase w UE; domyślnie Frankfurt, a konfiguracja dopuszcza wyłącznie Frankfurt, Irlandię i Paryż.
• Modele AI: Microsoft Azure OpenAI w EU Data Zone; Google Vertex AI w EU multi-region; dla Upoważnionych użytkowników, którzy odpowiedzieli „Poza Europą”, niektóre modele Gemini na globalnym punkcie końcowym Google.
• Powiadomienia Gmail: Google Cloud Pub/Sub (globalna infrastruktura Google, bez stałego regionu).
• E-maile do pomocy technicznej i wiadomości z formularza kontaktowego: Microsoft 365, EU Data Boundary; wiadomości z formularza kontaktowego przechodzą przez sieć Cloudflare.
• Pozostałe funkcje serwerowe: region brzegowy Supabase najbliższy wywołującemu funkcję; region ten może znajdować się poza UE (pkt 12.1(c)).

Część J – Właściwy organ nadzorczy

• Dla Modułów 2 i 3 (klauzula 13): (i) jeżeli mają Państwo siedzibę w państwie członkowskim UE, organ nadzorczy właściwy dla Państwa w tym państwie; (ii) jeżeli nie mają Państwo siedziby w UE, ale podlegają Państwo RODO na podstawie art. 3 ust. 2 i wyznaczyli Państwo przedstawiciela w Unii na podstawie art. 27 ust. 1, organ nadzorczy państwa członkowskiego, w którym siedzibę ma Państwa przedstawiciel; (iii) jeżeli nie mają Państwo siedziby w UE, podlegają Państwo RODO na podstawie art. 3 ust. 2 i nie muszą Państwo wyznaczać przedstawiciela w Unii (art. 27 ust. 2), Komisarz ds. Ochrony Danych i Wolności Informacji w Berlinie (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlin, Germany, jako organ państwa członkowskiego, w którym znajdują się osoby, których dane dotyczą, objęte danym przetwarzaniem.
• Dla przekazań danych podlegających UK GDPR: Information Commissioner's Office. Dla przekazań danych podlegających FADP: FDPIC (pkt 12.6).
• Nasz własny organ nadzorczy: Komisarz ds. Ochrony Danych i Wolności Informacji w Berlinie (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlin, Germany.

Załącznik 2 – Środki techniczne i organizacyjne

Niniejszy Załącznik opisuje środki, o których mowa w art. 32 RODO, uporządkowane według nagłówków art. 32 RODO i normy ISO/IEC 27001. Część A dotyczy Usług chmurowych, za które odpowiadamy my. Część B opisuje funkcje bezpieczeństwa Oprogramowania, które działa pod Państwa kontrolą (pkt 3). Niniejszy Załącznik opisuje wyłącznie środki, które są wdrożone.

Część A – Usługi chmurowe

A.1 Zarządzanie i personel

• Odpowiedzialność za bezpieczeństwo informacji i ochronę danych: Marvin Muvunyi (dyrektor zarządzający). Kontakt w sprawach ochrony danych: legal@mailistix.com.
• Wewnętrzne polityki dotyczące przechowywania i usuwania oraz reagowania na incydenty i powiadamiania o naruszeniach, przeglądane co najmniej raz w roku.
• Osoby mające dostęp do Danych osobowych klienta są zobowiązane do zachowania poufności (pkt 5) i poinstruowane w zakresie ochrony danych i bezpieczeństwa. Dostęp wygasa, gdy nie jest już potrzebny.
• Nie istnieje interfejs administracyjny aplikacji. Administracja odbywa się wyłącznie w konsolach naszych dostawców (Supabase, Google Cloud, Microsoft Azure i Entra, Polar, GitHub, Cloudflare). Dostęp do nich jest ograniczony do naszego dyrektora zarządzającego.

A.2 Kontrola dostępu fizycznego

• Nie prowadzimy własnych centrów danych ani serwerów. Usługi chmurowe działają w centrach danych Supabase (na Amazon Web Services), Google i Microsoft, których bezpieczeństwo fizyczne jest certyfikowane zgodnie z uznanymi standardami, takimi jak ISO/IEC 27001 i SOC 2.
• Urządzenia używane do administracji mają szyfrowanie całego dysku, automatyczną blokadę ekranu i system operacyjny objęty wsparciem technicznym.

A.3 Kontrola dostępu do systemów (uwierzytelnianie)

W przypadku Upoważnionych użytkowników (Supabase Auth):

• Brak haseł: rejestracja i logowanie wyłącznie za pomocą 6-cyfrowego kodu jednorazowego wysyłanego na adres e-mail Konta, ważnego przez 15 minut, możliwego do użycia tylko raz i generowanego przy użyciu kryptograficznie bezpiecznego źródła losowości; kod potwierdza również adres e-mail.
• Limity częstotliwości żądań na adres IP dla logowania, rejestracji i weryfikacji kodu oraz limit liczby e-maili dotyczących konta.
• Sesje: tokeny dostępu ważne przez 1 godzinę; tokeny odświeżania podlegają rotacji; sesja wygasa po 90 dniach bez użycia. Wylogowanie unieważnia wszystkie tokeny odświeżania użytkownika.
• Usunięcie Konta wymaga kodu jednorazowego wysłanego na adres e-mail Konta, wprowadzonego w ciągu ostatnich 10 minut, oraz wpisania potwierdzenia. Zmiana adresu e-mail musi zostać potwierdzona z obu adresów.
• Brak kont domyślnych i statycznych kluczy administratora w jakimkolwiek interfejsie dostępnym z zewnątrz.
• Dostęp do skrzynki pocztowej wykorzystuje przepływ kodu autoryzacji OAuth 2.0 z PKCE (S256) w przeglądarce systemowej. Wartość state jest losowa, jednorazowa i ważna przez 10 minut. Tajne klucze klienta istnieją wyłącznie na serwerze.

W przypadku administratorów:

• Administracja odbywa się wyłącznie w konsolach dostawców wymienionych w pkt A.1, za pośrednictwem osobistych kont naszego dyrektora zarządzającego; nie ma współdzielonych kont administratora.
• Uprzywilejowane funkcje bazy danych, takie jak usunięcie Konta na żądanie lub przedłużenie okresu próbnego, mogą być uruchamiane wyłącznie przez rolę właściciela bazy danych w konsoli dostawcy, a nie za pośrednictwem API Usług chmurowych.

A.4 Kontrola dostępu do danych (autoryzacja)

• Zabezpieczenia na poziomie wiersza (row-level security) są włączone dla wszystkich tabel w schemacie publicznym bazy danych; polityki porównują użytkownika każdego rekordu z uwierzytelnionym użytkownikiem. Jedyną współdzieloną tabelą jest tabela limitów Planów, dostępna wyłącznie do odczytu.
• Rola anonimowa nie ma uprawnień do tabel. Rola uwierzytelniona ma wyłącznie uprawnienia, dla których istnieje odpowiednia polityka. Uprawnienia bazy danych są porównywane ze zweryfikowanym zrzutem po każdej migracji bazy danych.
• Wszystkie uprzywilejowane funkcje bazy danych (SECURITY DEFINER) używają pustej ścieżki wyszukiwania; te, które mogą wywoływać użytkownicy, ustalają użytkownika na podstawie zweryfikowanego tokenu.
• Funkcje serwerowe weryfikują token dostępu i ustalają użytkownika za pośrednictwem Supabase Auth. Nigdy nie przyjmują identyfikatora użytkownika z żądania, ograniczają każde zapytanie do tego użytkownika i w razie błędu odmawiają dostępu (fail closed).
• Webhooki ustalają właściciela skrzynki pocztowej na podstawie rejestrów po stronie serwera, zapisywanych w kontekście uwierzytelnionego użytkownika, nigdy na podstawie treści powiadomienia.
• Pliki przesłane do pomocy technicznej są przechowywane w prywatnym zasobniku (bucket) i nigdy nie są zwracane.
• Tajne klucze po stronie serwera są przechowywane w sekretach Supabase Edge Function i w Vault, a nie w kodzie źródłowym. Skanowanie sekretów obejmuje kod źródłowy i całą jego historię. Pakiet Oprogramowania zawiera wyłącznie publiczną konfigurację znajdującą się na liście dozwolonych (allowlist).

A.5 Kontrola rozdzielności

• Rekordy każdego użytkownika są logicznie oddzielone za pomocą zabezpieczeń na poziomie wiersza i zapytań ograniczonych do użytkownika.
• Każde żądanie AI jest przetwarzane oddzielnie; nic z niego nie jest przechowywane na serwerze między żądaniami.

A.6 Pseudonimizacja i minimalizacja danych

• Treść żądań AI i Dane wyjściowe AI nie są przechowywane; wykorzystanie jest rejestrowane w postaci metadanych bez treści.
• Prompty są tworzone na serwerze wyłącznie z danych, których potrzebuje dana funkcja, w ramach stałych limitów rozmiaru (Załącznik 1, część C).
• Dzienniki funkcji serwerowych zawierają wyłącznie kody i liczniki, bez tokenów, adresów ani treści; nasz dostawca hostingu przechowuje je do 90 dni.
• Powiadomienia push nie zawierają treści e-maili. Odnośniki do wypisania nie są ani rejestrowane, ani przechowywane.
• Tajne klucze webhooków dla poszczególnych subskrypcji są przechowywane wyłącznie jako skróty SHA-256.
• Rekordy zdarzeń bezpieczeństwa tracą identyfikator użytkownika po usunięciu Konta.
• Opcjonalna telemetria używa losowego identyfikatora pseudonimowego i nigdy nie zawiera treści e-maili ani tekstów AI.

A.7 Szyfrowanie

• Podczas przesyłania: TLS 1.2 lub 1.3 we wszystkich połączeniach między Oprogramowaniem, Usługami chmurowymi, naszymi Dalszymi podmiotami przetwarzającymi i dostawcami skrzynek pocztowych. Nigdzie nie jest wyłączona kontrola certyfikatów, a wersje produkcyjne Oprogramowania odrzucają przełączniki osłabiające TLS. Punkty końcowe API używają HSTS.
• W spoczynku: baza danych i magazyn plików są szyfrowane przez Supabase (AES-256); tajne klucze po stronie serwera są szyfrowane w spoczynku przez platformę.

A.8 Kontrola przekazywania

• Żądania AI są realizowane wyłącznie w regionach brzegowych Supabase w UE; funkcje serwerowe odmawiają przetwarzania żądań AI w jakimkolwiek innym regionie.
• Dostawcy AI są wywoływani wyłącznie pod stałymi punktami końcowymi. Microsoft Azure OpenAI jest wywoływany z wyłączonym przechowywaniem odpowiedzi.
• Webhooki są uwierzytelniane: Polar za pomocą HMAC-SHA256 obliczanego z surowej treści żądania, z porównaniem w stałym czasie i ze znacznikami czasu nie starszymi niż 5 minut; Google Pub/Sub za pomocą tokenu OIDC podpisanego przez Google, sprawdzanego pod kątem wystawcy, odbiorcy, przypiętego konta usługi i okresu ważności nie dłuższego niż 1 godzina; Microsoft Graph za pomocą losowego 256-bitowego tajnego klucza dla każdej subskrypcji. Rozmiar treści żądań jest ograniczony.
• Żądania cross-origin są ograniczone listą dozwolonych źródeł (allowlist), bez poświadczeń.
• Żądania wypisania jednym kliknięciem trafiają wyłącznie na adresy HTTPS rozwiązywane do publicznych adresów IP, bez plików cookie, poświadczeń i nagłówka Referer, a przekierowania nie są obsługiwane.
• Dane osobowe klienta są przekazywane wyłącznie Dalszym podmiotom przetwarzającym wymienionym w Załączniku 3.

A.9 Kontrola wprowadzania (rejestrowanie)

• Ścieżka zdarzeń bezpieczeństwa rejestruje zdarzenia takie jak połączenie skrzynki pocztowej lub nieudane połączenie, przedłużenie okresu próbnego przez administratora albo odpowiedź AI wstrzymana przez zabezpieczenie przed wyciekiem (leak guard), wraz z czasem, wynikiem i kodem (180 dni).
• Rekordy użycia AI zawierają funkcję, model, status, tokeny, Kredyty i czas, bez treści (180 dni).
• Wpisy do dzienników Oprogramowania i funkcji serwerowych przechodzą przez centralny mechanizm usuwania poświadczeń, tokenów i treści e-maili.
• Działania administracyjne w Google Cloud są rejestrowane przez Google (dzienniki audytu Admin Activity).

A.10 Dostępność i odporność

• Usługi chmurowe działają na zarządzanej infrastrukturze (Supabase na Amazon Web Services, Frankfurt).
• Kopie zapasowe: codzienna kopia zapasowa bazy danych Usług chmurowych, przechowywana przez 7 dni (pkt 10.4); po przywróceniu ponownie przeprowadzane są usunięcia dokonane od chwili sporządzenia kopii zapasowej. Dane osobowe klienta w Usługach chmurowych są krótkotrwałe (Załącznik 1, część H), a Dane skrzynki pocztowej nie zależą od Usług chmurowych.
• Żądania AI korzystają z łańcuchów rozwiązań zastępczych (fallback) obejmujących Microsoft Azure OpenAI i Google Vertex AI oraz z mechanizmu wyłącznika obwodu (circuit breaker) dla dostawców, u których występują zakłócenia, tak aby awaria jednego dostawcy nie wstrzymywała Funkcji AI.
• Limity częstotliwości i dzienny limit wydatków na AI na użytkownika chronią przed przeciążeniem i nadużyciami.
• Dane skrzynki pocztowej pozostają dostępne u dostawcy skrzynki pocztowej niezależnie od Usług chmurowych.
• Błędy funkcji serwerowych są zgłaszane do Sentry (region UE) jako kody błędów, bez treści; alarm o wstrzymanej odpowiedzi AI zawiera także skrót (hash) identyfikatora użytkownika.

A.11 Zarządzanie incydentami

• Udokumentowana procedura wykrywania, ograniczania, oceny, powiadamiania, przywracania i przeglądu incydentów; powiadamianie Klientów biznesowych zgodnie z pkt 9.
• Publiczny kanał zgłaszania podatności zgodnie z Zasadami zgłaszania podatności.

A.12 Regularne testowanie, mierzenie i ocenianie

• Statyczna analiza kodu Oprogramowania i funkcji serwerowych przed wydaniem.
• Zautomatyzowane zestawy testów, w tym testy granic bezpieczeństwa Oprogramowania i funkcji serwerowych; uruchomienia CI według harmonogramu.
• Zautomatyzowane alerty dotyczące zależności i aktualizacje zabezpieczeń; kontrole podatności zależności produkcyjnych (npm audit, OSV); skanowanie sekretów.
• Kontrole konfiguracji TLS naszych punktów końcowych.
• Przegląd niniejszego Załącznika co najmniej raz w roku oraz po istotnych zmianach.

A.13 Kontrola zleceń (Dalsze podmioty przetwarzające)

• Dalsze podmioty przetwarzające są wybierane z uwagi na oferowane przez nie gwarancje w zakresie bezpieczeństwa i ochrony danych oraz są związane umowami zawartymi zgodnie z art. 28 ust. 4 RODO.
• Konfiguracja ograniczająca przetwarzanie: regiony UE dla żądań AI i modeli AI (w przypadku Ustawienia regionu „W Europie” lub braku odpowiedzi), Azure OpenAI w EU Data Zone, przechowywanie odpowiedzi wyłączone, brak wykorzystania danych do trenowania zgodnie z warunkami dostawców.
• Personel działa wyłącznie na podstawie poleceń; Dane osobowe klienta nie są wykorzystywane do naszych własnych celów (pkt 4.6).

A.14 Uwzględnianie ochrony danych w fazie projektowania oraz domyślna ochrona danych

• Funkcje AI są wyłączone, dopóki Upoważniony użytkownik nie włączy ich w oknie zgody, i można je wyłączyć w każdej chwili.
• Domyślnym regionem jest UE: w razie braku odpowiedzi przetwarzanie AI pozostaje w UE.
• Telemetria i raporty o awariach wyłącznie za zgodą (opt-in).
• Oprogramowanie nigdy samo nie wysyła e-maila ani odpowiedzi na zaproszenie na spotkanie; wersje robocze wysyła wyłącznie Upoważniony użytkownik.
• Obrazy ładowane zdalnie w e-mailach są domyślnie blokowane.
• Zautomatyzowane zadania usuwania zapewniają przestrzeganie okresów przechowywania określonych w Załączniku 1, część H.

A.15 Zabezpieczenia dotyczące AI

• Treść e-maili jest przekazywana do modelu jako oznaczone, niezaufane dane; instrukcje dla modelu są przechowywane wyłącznie na serwerze.
• Zabezpieczenie przed wyciekiem (leak guard) wstrzymuje odpowiedzi, które odtwarzają wewnętrzne instrukcje, i rejestruje zdarzenie bez tekstu odpowiedzi.
• Modele nie mogą podejmować działań: nie mogą niczego wysyłać, usuwać ani zmieniać w skrzynce pocztowej, a wszystkie Dane wyjściowe są wyświetlane Upoważnionemu użytkownikowi.

Część B – Funkcje bezpieczeństwa Oprogramowania (pod Państwa kontrolą)

• Lokalna baza danych poczty jest szyfrowana algorytmem ChaCha20-Poly1305 (SQLite3MultipleCiphers) przy użyciu losowego 256-bitowego klucza, który jest chroniony przez magazyn poświadczeń systemu operacyjnego (macOS Keychain, Windows Data Protection API). Plik klucza jest czytelny wyłącznie dla właściciela. Wersje produkcyjne odmawiają otwarcia niezaszyfrowanej bazy danych.
• Tokeny skrzynki pocztowej i sesja Mailistix są szyfrowane za pomocą magazynu poświadczeń systemu operacyjnego i nie są przechowywane w magazynie danych przeglądarki.
• Otwarte załączniki są buforowane w postaci zaszyfrowanej (AES-256-GCM) przez okres nie dłuższy niż 7 dni i w łącznej wielkości do 512 MiB; tymczasowe kopie w postaci jawnej są usuwane po 10 minutach. Lokalny dziennik pomocy technicznej jest szyfrowany i przechowywany przez okres nie dłuższy niż 7 dni.
• Wpisy w dziennikach są oczyszczane z poświadczeń, tokenów, adresów i treści e-maili.
• Kod HTML e-maili jest poddawany sanityzacji i wyświetlany w ramce działającej w piaskownicy (sandbox), bez skryptów, z zastosowaniem polityki Content Security Policy. Obrazy ładowane zdalnie są domyślnie blokowane. Podglądy załączników działają w piaskownicy bez dostępu do sieci. Dostęp do plików jest ograniczony do własnych folderów Oprogramowania.
• Logowanie do skrzynki pocztowej odbywa się w przeglądarce systemowej, a nie we wbudowanej przeglądarce.
• Wersja dla macOS używa utwardzonego środowiska uruchomieniowego (hardened runtime). Aktualizacje są pobierane przez HTTPS i instalowane dopiero po potwierdzeniu przez użytkownika; weryfikowany jest podpis instalatora dla systemu Windows.
• Usunięcie Połączonej skrzynki pocztowej zatrzymuje jej powiadomienia push, usuwa jej pocztę lokalną i cofa dostęp do skrzynki pocztowej Google. Usunięcie Konta powoduje usunięcie danych lokalnych tego Konta z urządzenia.
• Państwa odpowiedzialność: bezpieczeństwo urządzeń i kont systemu operacyjnego, szyfrowanie urządzeń, blokada ekranu, kopie zapasowe oraz usuwanie danych lokalnych po wycofaniu urządzenia z użytku.

Załącznik 3 – Dalsze podmioty przetwarzające

Upoważnione Dalsze podmioty przetwarzające, wraz z danymi, które przetwarzają, ich lokalizacjami przetwarzania i zabezpieczeniami przekazywania danych, są wymienione na naszej stronie z Dalszymi podmiotami przetwarzającymi. Ta strona stanowi część niniejszego Załącznika; zmiany następują zgodnie z pkt 7. Poniższa tabela podsumowuje Dalsze podmioty przetwarzające, które przetwarzają Dane osobowe klienta. Dostawcy, którzy przetwarzają wyłącznie dane, w odniesieniu do których jesteśmy niezależnym administratorem (na przykład opcjonalna analityka produktowa, raporty o błędach aplikacji i e-maile dotyczące konta), są również wymienieni na tej stronie, ale nie są Dalszymi podmiotami przetwarzającymi w rozumieniu niniejszej DPA.

Każdy Dalszy podmiot przetwarzający korzysta z własnych dalszych podmiotów przetwarzających (na przykład Supabase korzysta z Amazon Web Services), które wymienia we własnej dokumentacji.