Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony

1. Administrator – Użytkownik Platformy veedeck (projektant, studio lub biuro projektowe), który zaakceptował Regulamin, działający jako administrator danych osób, których dane wprowadza do Platformy.
2. Podmiot przetwarzający – Daniel Rychlik prowadzący działalność gospodarczą pod firmą Daniel Rychlik Management, ul. Młynarska 2A/17, 51-116 Wrocław, NIP 8943229341, REGON 527749980, kontakt: contact@veedeck.com (dalej „veedeck” lub „Podmiot przetwarzający”).
3. Umowa jest zawierana w formie elektronicznej (art. 28 ust. 9 RODO) z chwilą akceptacji Regulaminu, którego stanowi integralną część.

§ 2. Definicje

1. RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
2. Platforma – serwis veedeck dostępny pod adresem veedeck.com, wraz z panelem projektanta, panelem klienta, panelem wykonawcy, wtyczką Veepick i Agentem AI.
3. Dane – dane osobowe wprowadzane do Platformy przez Administratora lub na jego zlecenie (w tym przez jego klientów, wykonawców i członków zespołu), przetwarzane przez veedeck w imieniu Administratora.
4. Podprzetwarzający – podmiot, któremu veedeck powierza dalsze przetwarzanie Danych.
5. Pojęcia niezdefiniowane mają znaczenie nadane im w RODO lub w Regulaminie.

§ 3. Przedmiot i czas powierzenia

1. Administrator powierza veedeck przetwarzanie Danych w zakresie i celu określonym w Umowie, a veedeck zobowiązuje się przetwarzać je zgodnie z Umową, RODO i innymi przepisami.
2. Umowa obowiązuje przez czas świadczenia usług Platformy na rzecz Administratora oraz przez okres potrzebny do usunięcia lub zwrotu Danych zgodnie z § 11.
3. Za przetwarzanie Danych w ramach Umowy veedeck nie pobiera odrębnego wynagrodzenia ponad opłatę za plan określoną w Regulaminie.

§ 4. Charakter i cel przetwarzania

1. veedeck przetwarza Dane wyłącznie w celu świadczenia usług Platformy na rzecz Administratora zgodnie z Regulaminem, w tym: przechowywania, porządkowania, udostępniania osobom upoważnionym przez Administratora (klientom, wykonawcom, członkom zespołu), wysyłki powiadomień e-mail, tworzenia kopii zapasowych oraz działania funkcji opartych na sztucznej inteligencji (Agent AI, dyktowanie głosem, Veezard, podsumowania AI).
2. Przetwarzanie odbywa się w sposób zautomatyzowany w systemach informatycznych veedeck i Podprzetwarzających.
3. Agent AI przetwarza Dane wyłącznie w zakresie, do którego dostęp ma osoba korzystająca z niego w danym workspace, i wykonuje czynności zmieniające Dane dopiero po potwierdzeniu przez tę osobę. Ani veedeck, ani Podprzetwarzający nie wykorzystują Danych do trenowania modeli sztucznej inteligencji.

§ 5. Rodzaje danych

veedeck przetwarza następujące rodzaje Danych, w zakresie, w jakim Administrator je wprowadzi:

• dane identyfikacyjne i kontaktowe: imię i nazwisko, nazwa firmy, adres e-mail, numer telefonu, adres inwestycji;
• dane dotyczące współpracy: projekty, harmonogramy, płatności i etapy rozliczeń, listy zakupowe, notatki, zadania, wydarzenia;
• treści komunikacji: wiadomości w Dyskusjach, komentarze i pinezki, odpowiedzi w ankietach, pytania wykonawców;
• pliki: wizualizacje, rysunki, zdjęcia, dokumenty, moodboardy, nagrania głosowe przy pinezkach;
• dane konta w panelu klienta i panelu wykonawcy: login, historia aktywności;
• treści rozmów z Agentem AI, nagrania i transkrypcje dyktowanych poleceń, w zakresie, w jakim zawierają powyższe dane.

Administrator nie powinien wprowadzać do Platformy szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO), chyba że jest to niezbędne i ma do tego podstawę prawną.

§ 6. Kategorie osób

• klienci Administratora (inwestorzy, osoby kontaktowe, członkowie ich rodzin wskazani jako kontakty);
• wykonawcy i podwykonawcy Administratora oraz ich pracownicy;
• członkowie zespołu Administratora;
• inne osoby, których dane Administrator wprowadzi do Platformy (np. dostawcy).

§ 7. Obowiązki veedeck

veedeck zobowiązuje się:

1. przetwarzać Dane wyłącznie na udokumentowane polecenie Administratora; za takie polecenie uznaje się Regulamin, Umowę oraz czynności wykonywane przez Administratora i osoby przez niego upoważnione w Platformie. Jeżeli prawo nakłada na veedeck obowiązek przetwarzania, veedeck poinformuje o tym Administratora, chyba że prawo tego zabrania;
2. niezwłocznie poinformować Administratora, jeżeli jego polecenie narusza RODO lub inne przepisy;
3. zapewnić, aby osoby upoważnione do przetwarzania Danych zobowiązały się do zachowania poufności;
4. stosować środki bezpieczeństwa określone w art. 32 RODO, opisane w Załączniku 2;
5. pomagać Administratorowi, w miarę możliwości i przez odpowiednie środki techniczne, w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw); żądania skierowane bezpośrednio do veedeck przekaże Administratorowi bez zbędnej zwłoki;
6. pomagać Administratorowi w wywiązywaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne informacje;
7. prowadzić rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratorów (art. 30 ust. 2 RODO).

§ 8. Podprzetwarzający

1. Administrator udziela veedeck ogólnej zgody na powierzanie dalszego przetwarzania Danych Podprzetwarzającym wymienionym w Załączniku 1.
2. veedeck nakłada na Podprzetwarzających, w drodze umowy, te same obowiązki ochrony danych co w Umowie, w szczególności obowiązek zapewnienia odpowiednich środków bezpieczeństwa. veedeck odpowiada wobec Administratora za wykonanie obowiązków przez Podprzetwarzających.
3. O planowanym dodaniu lub zmianie Podprzetwarzającego veedeck informuje Administratora co najmniej 14 dni wcześniej, poprzez aktualizację Załącznika 1 na stronie veedeck.com oraz wiadomość e-mail lub komunikat w Platformie.
4. W tym terminie Administrator może zgłosić uzasadniony sprzeciw na adres contact@veedeck.com. Jeżeli strony nie uzgodnią rozwiązania, Administrator może wypowiedzieć umowę o świadczenie usług ze skutkiem natychmiastowym, a veedeck zwróci opłatę za niewykorzystany okres. Brak sprzeciwu oznacza zgodę na zmianę.

§ 9. Przekazywanie danych poza EOG

1. Część Podprzetwarzających przetwarza Dane poza Europejskim Obszarem Gospodarczym (Załącznik 1).
2. Przekazanie odbywa się wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework) albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (decyzja 2021/914), wraz z dodatkowymi środkami, jeśli są potrzebne.
3. Na żądanie Administratora veedeck udostępni informacje o zastosowanych zabezpieczeniach.

§ 10. Naruszenia ochrony danych i kontrola

1. veedeck zgłasza Administratorowi stwierdzone naruszenie ochrony Danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, na adres e-mail konta Administratora. Zgłoszenie zawiera informacje wymagane przez art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne; brakujące informacje veedeck przekazuje sukcesywnie.
2. veedeck udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.
3. Administrator ma prawo do audytu, w tym inspekcji, przeprowadzanego przez niego lub upoważnionego audytora związanego tajemnicą, po zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, w dni robocze, nie częściej niż raz w roku (chyba że doszło do naruszenia ochrony danych lub żąda tego organ nadzorczy) i w sposób nieutrudniający działalności veedeck. W pierwszej kolejności veedeck odpowiada na pytania na piśmie i przedstawia posiadane dokumenty.
4. Koszty audytu ponosi Administrator.

§ 11. Zakończenie przetwarzania

1. Po zakończeniu świadczenia usług Administrator może przez 30 dni pobrać swoje Dane za pomocą funkcji eksportu dostępnych w Platformie lub po zgłoszeniu na contact@veedeck.com.
2. Po tym czasie veedeck usuwa Dane, w tym ich kopie, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie. Kopie zapasowe są usuwane w cyklu ich nadpisywania, nie później niż w ciągu 90 dni.
3. Dane Agenta AI są usuwane w okresach określonych w Polityce prywatności, także w trakcie trwania Umowy. Nagrania i transkrypcje z dyktowania głosem nie są przechowywane przez veedeck; u dostawcy usługi są przechowywane na zasadach opisanych w Załączniku 1.

§ 12. Postanowienia końcowe

1. Odpowiedzialność stron za szkody wynikające z naruszenia Umowy określają RODO i Regulamin, z zastrzeżeniem, że ograniczenia odpowiedzialności z Regulaminu nie wyłączają odpowiedzialności wynikającej bezwzględnie z przepisów o ochronie danych.
2. W przypadku sprzeczności między Umową a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma Umowa.
3. veedeck może zmienić Umowę z ważnych przyczyn (zmiana przepisów, zmiana funkcji Platformy), informując Administratora z wyprzedzeniem określonym w Regulaminie dla zmian Regulaminu. Zmiany Załącznika 1 następują w trybie § 8.
4. W sprawach nieuregulowanych stosuje się RODO, przepisy prawa polskiego i Regulamin.
5. Umowa obowiązuje od 30 października 2026 r.

Zał. 1. Lista Podprzetwarzających

Stan na 30 października 2026 r. Zmiany są publikowane na tej stronie zgodnie z § 8.

Integracje włączane przez Administratora (np. synchronizacja z Kalendarzem Google, logowanie przez Google, powiadomienia push przeglądarki) nie są Podprzetwarzającymi veedeck. Dane trafiają do nich na polecenie Administratora, do jego własnego konta u danego dostawcy, na zasadach umowy Administratora z tym dostawcą.

Zał. 2. Środki bezpieczeństwa

veedeck stosuje w szczególności następujące środki (art. 32 RODO):

1. Szyfrowanie połączeń SSL/TLS między przeglądarką a Platformą oraz między Platformą a Podprzetwarzającymi. Hasła Użytkowników są przechowywane wyłącznie w postaci skrótów kryptograficznych (bcrypt).
2. Kontrola dostępu: logowanie do kont, rozdzielenie danych między workspace'ami, uprawnienia członków zespołu, klientów i wykonawców ustalane przez Administratora; wykonawcy nie mają dostępu do list zakupowych ani cen.
3. Dostęp personelu veedeck tylko dla osób upoważnionych, zobowiązanych do poufności, w zakresie potrzebnym do utrzymania i wsparcia Platformy.
4. Agent AI: dostęp tylko do danych i modułów, do których dostęp ma osoba korzystająca z agenta; czynności zmieniające dane wymagają potwierdzenia i są rejestrowane z możliwością cofnięcia; treści wprowadzone przez osoby trzecie są traktowane jako dane, a nie polecenia; automatyczne usuwanie danych agenta po okresach z Polityki prywatności.
5. Dyktowanie głosem: dobrowolne, uruchamiane przyciskiem i sygnalizowane w interfejsie; nagrania nie są przechowywane przez veedeck, a u dostawcy są przechowywane przez czas korzystania z usługi; wyłączone wykorzystywanie nagrań do trenowania modeli dostawcy.
6. Kopie zapasowe przechowywane u dostawcy hostingu w EOG.
7. Rejestrowanie zdarzeń: logi dostępu i błędów, logi działań Agenta AI, wykorzystywane do wykrywania nadużyć i obsługi incydentów.
8. Aktualizacje i przeglądy: regularne aktualizacje oprogramowania i przeglądy bezpieczeństwa infrastruktury.
9. Procedura obsługi naruszeń zapewniająca zgłoszenie Administratorowi w terminie z § 10.
10. Umowy z Podprzetwarzającymi spełniające wymogi art. 28 RODO.