Umowa powierzenia przetwarzania danych (DPA)

1. Strony

Niniejszą DPA zawierają:

• Kiff Agents OÜ, estońska spółka z ograniczoną odpowiedzialnością, numer rejestrowy 17372313, numer VAT EE102924327, z siedzibą pod adresem Tööstuse tn 75-71, Põhja-Tallinna linnaosa, Tallinn 10416, Estonia („Podmiot Przetwarzający”); oraz
• [PEŁNA NAZWA KLIENTA], z siedzibą pod adresem [ADRES], numer rejestrowy [NUMER REJESTROWY] („Administrator”).

Każda z nich to „strona”, a razem „strony”. Niniejsza DPA uzupełnia Warunki korzystania z usługi na stronie /terms oraz każdy handlowy formularz zamówienia między stronami; w razie sprzeczności w sprawach ochrony danych pierwszeństwo ma niniejsza DPA.

2. Definicje

Terminy pisane wielką literą, których tu nie zdefiniowano, mają znaczenie nadane im w RODO (rozporządzenie (UE) 2016/679).

• „RODO”: unijne ogólne rozporządzenie o ochronie danych.
• „Dane Osobowe”, „Osoba, której dane dotyczą”, „Przetwarzanie”, „Administrator”, „Podmiot Przetwarzający”, „Podmiot Podprzetwarzający”, „Naruszenie Ochrony Danych Osobowych”: zgodnie z definicjami w artykule 4 RODO.
• „Dane Audytowe”: Dane Osobowe, które Administrator przekazuje do Usługi lub wytwarza w niej przez środowisko wykonawcze, w tym zdarzenia, decyzje, akcje, zatwierdzenia i potwierdzenia.
• „Dane tafs”: Dane Osobowe w tym, co tafs przechowuje w imieniu Administratora: uruchomienia i czaty każdego tafa (w tym to, co zwracają mu połączone aplikacje Administratora) oraz czaty Setup, jego raporty, jego notatki pamięci, urządzenia zarejestrowane do jego alertów oraz połączenia Administratora z jego aplikacjami w planque (token każdego połączenia i zapis jego zatwierdzeń). Opisuje je Załącznik 4.
• „Usługa”: produkt KIFF Cloud, w tym tafs, zgodnie z definicją w Warunkach korzystania z usługi.
• „Standardowe Klauzule Umowne” lub „SCC”: standardowe klauzule umowne Komisji Europejskiej z 2021 r. dotyczące przekazywania Danych Osobowych do państw trzecich.
• „DPF”: decyzja stwierdzająca odpowiedni stopień ochrony w ramach ochrony danych UE–USA (EU–US Data Privacy Framework).
• „TOM”: środki techniczne i organizacyjne opisane w Załączniku 2.

3. Zakres i role

Niniejsza DPA ma zastosowanie, gdy Kiff Agents OÜ przetwarza Dane Osobowe w imieniu Administratora w związku z Usługą. W odniesieniu do Danych Audytowych i Danych tafs Administrator jest Administratorem, a Kiff Agents OÜ jest Podmiotem Przetwarzającym.

Dane Osobowe, które przetwarzamy na temat posiadaczy kont Administratora (metadane logowania, osoby kontaktowe do rozliczeń, korespondencja ze wsparciem), podlegają naszej polityce prywatności; w odniesieniu do tych danych jesteśmy niezależnym Administratorem, a nie Podmiotem Przetwarzającym na podstawie niniejszej DPA.

4. Przedmiot i czas trwania

Przedmiot: Przetwarzanie Danych Audytowych i Danych tafs w celu świadczenia Usługi.

Czas trwania: od dnia wejścia niniejszej DPA w życie do późniejszego z następujących zdarzeń: (a) rozwiązania Warunków korzystania z usługi, na których się ona opiera, albo (b) usunięcia wszystkich Danych Audytowych zgodnie z §16. Postanowienia, które ze swej natury obowiązują po rozwiązaniu umowy (audyt, zwolnienie z odpowiedzialności, prawo właściwe), pozostają w mocy.

5. Charakter i cel przetwarzania

Kiff Agents OÜ przetwarza Dane Audytowe wyłącznie w zakresie niezbędnym do świadczenia Usługi: przyjmuje propozycje i wywołania narzędzi, ocenia je według konfiguracji i Card Administratora, pozostawia je jako oczekujące na zatwierdzenie przez człowieka, gdy wymaga tego konfiguracja, przekazuje autoryzowane wywołanie do połączonej aplikacji albo wydaje autoryzację, którą aplikacja weryfikuje, zapisuje decyzje i wynik zgłoszony przez aplikację, wystawia podpisane Potwierdzenia oraz (gdy Administrator tak to skonfigurował) publikuje w publicznym weryfikowalnym śladzie zbiorcze skróty (hashe) ujawniające każdą manipulację. Samą akcję wykonuje połączona aplikacja; sama decyzja o autoryzacji nie jest dowodem, że akcja została wykonana.

W przypadku tafs Kiff Agents OÜ przetwarza też Dane tafs, aby prowadzić każdego tafa, którego uruchamia Administrator: uruchamia go według harmonogramu i w czatach z osobami po stronie Administratora, wysyła jego wywołania narzędzi przez KIFF, przechowuje jego uruchomienia, czaty i notatki pamięci, aby mógł raportować i kontynuować pracę, oraz powiadamia zarejestrowane urządzenia Administratora, gdy wywołanie jest oczekujące. Przez Setup i planque łączy też aplikacje Administratora, gdy osoby po stronie Administratora logują się u dostawcy aplikacji i zatwierdzają połączenie na swoim urządzeniu: planque przechowuje token z tego logowania w postaci zaszyfrowanej i używa go wyłącznie do wykonania wywołania, o którym zdecydował KIFF. Załącznik 4 określa, jakie to dane, gdzie są przechowywane i jak długo.

6. Kategorie Osób, których dane dotyczą, i Danych Osobowych

Domyślnie Kiff Agents OÜ przetwarza następujące kategorie Danych Osobowych, zgodnie z wykazem na stronie /security#data-we-process:

• Dane konta: kim są osoby po stronie Administratora na jego koncie (imiona i nazwiska, adresy e-mail, role) oraz jego agenci i ich klucze. Metadane logowania, które Kiff Agents OÜ przechowuje jako administrator, pozostają objęte §3.
• Połączenia z aplikacjami: każde połączenie z aplikacjami Administratora, jego token (zaszyfrowany), zatwierdzone narzędzia oraz zapis tego, kto je zatwierdził.
• Zapisy akcji agentów: dla każdego wywołania: kto pytał (agent i klucz), akcja, to, na czym działała, wynik i jego powody, obowiązująca Card, parametry liczbowe, oczekujące wywołania i odpowiedzi na nie oraz potwierdzenia.
• Czaty z tafs: uruchomienia i czaty każdego tafa, jego raporty i notatki pamięci oraz to, co zwracają mu aplikacje Administratora, jak opisuje Załącznik 4.

Osobami, których dane dotyczą, są osoby po stronie Administratora, które korzystają z Usługi, oraz osoby, których dane pojawiają się w akcjach jego agentów i w czatach z tafs, takie jak klienci, dostawcy lub pracownicy Administratora.

To, co jeszcze trafia do Usługi, zależy od konfiguracji Administratora i danych, które on wysyła; Kiff Agents OÜ nie ma wpływu na to, które pola wysyła Administrator. Wszelkie dalsze kategorie Administrator dodaje w Załączniku 1, który jest aktualizowany, gdy konfiguracja istotnie się zmienia.

7. Polecenia Administratora

Kiff Agents OÜ będzie przetwarzać Dane Osobowe zgodnie z udokumentowanymi poleceniami Administratora. Na te polecenia składają się niniejsza DPA, Warunki korzystania z usługi, dokumentacja techniczna Usługi i środki bezpieczeństwa w datowanej wersji na stronie kiff.dev/docs/archive/2026-10-10 oraz konfiguracje i polecenia przekazywane przez Usługę przez upoważnionych użytkowników Administratora.

Strategiczny whitepaper i dokumentacja osobno licencjonowanego frameworka open source to materiały objaśniające i nie są częścią tych poleceń dotyczących przetwarzania. Samo opublikowanie zmienionego dokumentu nie zmienia poleceń mających zastosowanie do istniejącej umowy.

Polecenia wykraczające poza ten zakres wymagają pisemnego porozumienia. Jeśli Kiff Agents OÜ uzna, że polecenie jest sprzeczne z RODO lub innymi mającymi zastosowanie przepisami o ochronie danych, zawiadomi o tym Administratora.

8. Obowiązki Podmiotu Przetwarzającego (art. 28 ust. 3)

Kiff Agents OÜ:

1. będzie przetwarzać Dane Osobowe wyłącznie na udokumentowane polecenie Administratora, także w odniesieniu do przekazywania danych za granicę, chyba że inne postępowanie nakazuje prawo UE lub państwa członkowskiego (w takim przypadku Kiff Agents OÜ poinformuje Administratora o tym wymogu prawnym przed rozpoczęciem Przetwarzania, o ile prawo to nie zakazuje udzielania takiej informacji z uwagi na ważny interes publiczny);
2. zapewni, aby osoby upoważnione do Przetwarzania Danych Osobowych były związane odpowiednimi zobowiązaniami do zachowania poufności;
3. wdroży środki techniczne i organizacyjne opisane w Załączniku 2;
4. będzie przestrzegać warunków korzystania z usług Podmiotów Podprzetwarzających określonych w §10;
5. biorąc pod uwagę charakter Przetwarzania, będzie pomagać Administratorowi, przez odpowiednie środki, wywiązywać się z obowiązku odpowiadania na żądania Osób, których dane dotyczą, na podstawie rozdziału III RODO;
6. będzie pomagać Administratorowi wywiązywać się z obowiązków określonych w artykułach 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków dla ochrony danych, uprzednie konsultacje), biorąc pod uwagę charakter Przetwarzania i informacje dostępne Kiff Agents OÜ;
7. po zakończeniu świadczenia usług, zależnie od decyzji Administratora, usunie lub zwróci wszystkie Dane Osobowe zgodnie z §16 oraz usunie istniejące kopie, chyba że prawo UE lub państwa członkowskiego nakazuje ich przechowywanie;
8. udostępni Administratorowi wszelkie informacje niezbędne do wykazania zgodności z artykułem 28 RODO oraz umożliwi audyty na podstawie §15 i będzie się do nich przyczyniać.

9. Poufność

Kiff Agents OÜ zapewnia, że osoby mające dostęp do Danych Osobowych są związane pisemnymi zobowiązaniami do zachowania poufności albo podlegają odpowiedniemu ustawowemu obowiązkowi zachowania poufności. Dostęp jest przyznawany zgodnie z zasadą najmniejszych uprawnień i jest rejestrowany.

10. Podmioty Podprzetwarzające

Administrator upoważnia Kiff Agents OÜ do korzystania z usług Podmiotów Podprzetwarzających wymienionych w Załączniku 3 i na stronie /subprocessors, która jest oficjalną listą. Kiff Agents OÜ nakłada na każdy Podmiot Podprzetwarzający obowiązki w zakresie ochrony danych zapewniające ochronę nie mniejszą niż niniejsza DPA.

Publiczny weryfikowalny ślad nie jest Podmiotem Podprzetwarzającym. Trafiają do niego wyłącznie zbiorcze skróty (hashe) i żadne Dane Osobowe.

Datowana wersja, do której prowadzi sekcja 7, utrwala listę według stanu na swój dzień. Późniejsza zmiana staje się skuteczna na podstawie tej sekcji, a nie przez opublikowanie nowej wersji.

Gdy Kiff Agents OÜ zamierza zaangażować nowy Podmiot Podprzetwarzający lub zastąpić dotychczasowy przy Przetwarzaniu Danych Osobowych Administratora, zawiadamia o tym Administratora z co najmniej trzydziestodniowym wyprzedzeniem. Administrator może w ciągu piętnastu dni od zawiadomienia sprzeciwić się zmianie z uzasadnionych powodów związanych z ochroną danych; jeśli uzasadnionego sprzeciwu nie uda się uwzględnić, każda ze stron może za pisemnym zawiadomieniem wypowiedzieć tę część Usługi, której dotyczy zmiana.

11. Przekazywanie danych za granicę

Gdy Przetwarzanie Danych Osobowych wiąże się z ich przekazaniem do państwa spoza Europejskiego Obszaru Gospodarczego, wobec którego nie wydano decyzji stwierdzającej odpowiedni stopień ochrony na podstawie artykułu 45 RODO, strony uzgadniają, że:

• przy przekazywaniu danych Podmiotom Podprzetwarzającym certyfikowanym w ramach ochrony danych UE–USA instrumentem przekazania jest DPF, dopóki pozostaje w mocy;
• w pozostałych przypadkach strony włączają przez odesłanie Standardowe Klauzule Umowne Komisji Europejskiej z 2021 r., przy czym moduł 2 (administrator–podmiot przetwarzający) stosuje się do przekazywania danych przez Administratora do Kiff Agents OÜ, a moduł 3 (podmiot przetwarzający–podmiot podprzetwarzający) do przekazywania danych przez Kiff Agents OÜ do Podmiotu Podprzetwarzającego;
• klauzula przystąpienia (klauzula 7) nie jest stosowana; stronami SCC są Administrator i Kiff Agents OÜ;
• załączniki I.A i I.B do SCC wypełnia się przez odesłanie do Załącznika 1 do niniejszej DPA; załącznik II do SCC przez odesłanie do Załącznika 2 do niniejszej DPA; załącznik III przez odesłanie do Załącznika 3 do niniejszej DPA;
• stosuje się wariant 2 klauzuli 9 lit. a) (ogólne pisemne zezwolenie), z trzydziestodniowym terminem zawiadomienia z §10 powyżej.

Gdy z oceny skutków przekazania danych wynika, że właściwe są środki uzupełniające, Kiff Agents OÜ je wdraża (szyfrowanie w transmisji i w spoczynku, rejestrowanie dostępu, minimalizacja danych zgodnie z opisem w Załączniku 2).

12. Środki bezpieczeństwa

Kiff Agents OÜ wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku, zgodnie z artykułem 32 RODO. Środki z Załącznika 2 i z datowanej wersji na stronie kiff.dev/docs/archive/2026-10-10 stanowią uzgodniony poziom bazowy. Strona /security opisuje aktualne środki. Kiff Agents OÜ może aktualizować środki, o ile ogólny poziom bezpieczeństwa nie spadnie poniżej tego poziomu bazowego, i z wyprzedzeniem zawiadamia Administratora o ich istotnej zmianie.

13. Zawiadomienie o Naruszeniu Ochrony Danych Osobowych

Kiff Agents OÜ zawiadamia Administratora o Naruszeniu Ochrony Danych Osobowych, które dotyczy Danych Osobowych Administratora, bez zbędnej zwłoki, a w każdym razie w ciągu siedemdziesięciu dwóch (72) godzin od chwili, gdy się o nim dowie. Zawiadomienie zawiera, w zakresie znanym w danej chwili i uzupełnianym w miarę pojawiania się dalszych informacji:

• charakter Naruszenia, w tym kategorie i przybliżoną liczbę Osób, których dane dotyczą, oraz rekordów, których dotyczy Naruszenie;
• prawdopodobne konsekwencje Naruszenia;
• środki zastosowane lub proponowane w celu zaradzenia Naruszeniu i złagodzenia jego ewentualnych negatywnych skutków;
• imię i nazwisko oraz dane kontaktowe jednego punktu kontaktowego w Kiff Agents OÜ, od którego można uzyskać dalsze informacje.

Własny termin Administratora na zgłoszenie do jego organu nadzorczego na podstawie artykułu 33 RODO biegnie od chwili, gdy o Naruszeniu dowie się sam Administrator; to zawiadomienie pomaga mu wywiązać się z tego obowiązku.

14. Żądania Osób, których dane dotyczą

Kiff Agents OÜ pomaga Administratorowi, przez odpowiednie środki techniczne i organizacyjne oraz biorąc pod uwagę charakter Przetwarzania, wywiązywać się z obowiązku odpowiadania na żądania Osób, których dane dotyczą, korzystających ze swoich praw na podstawie artykułów 15–22 RODO.

Kiff Agents OÜ potwierdza otrzymanie prośby Administratora o pomoc w ciągu pięciu (5) dni roboczych. Żądania otrzymane bezpośrednio od Osób, których dane dotyczą, są przekazywane Administratorowi bez zbędnej zwłoki; Kiff Agents OÜ nie odpowiada na te żądania we własnym imieniu, poza potwierdzeniem ich otrzymania i skierowaniem Osoby, której dane dotyczą, do Administratora.

15. Prawo do audytu

Kiff Agents OÜ udostępnia Administratorowi wszelkie informacje zasadnie niezbędne do wykazania zgodności z artykułem 28 RODO. Po pisemnym zawiadomieniu z odpowiednim wyprzedzeniem (co najmniej trzydzieści dni, z wyjątkiem audytu wywołanego potwierdzonym istotnym naruszeniem) Administrator może przeprowadzić audyt Kiff Agents OÜ raz w okresie dwunastu miesięcy.

Kiff Agents OÜ nie ma jeszcze raportu SOC 2 ani ISO 27001. Na żądanie udostępnia swój przegląd bezpieczeństwa ze strony /security i odpowiada na kwestionariusze bezpieczeństwa Administratora.

Audyty są prowadzone w zwykłych godzinach pracy, nie zakłócają nadmiernie działania Usługi i respektują poufność pozostałych klientów Kiff Agents OÜ. Administrator ponosi własne koszty audytu; gdy audyt wykaże istotną niezgodność po stronie Kiff Agents OÜ, Kiff Agents OÜ zwraca Administratorowi uzasadnione koszty audytu.

16. Zwrot lub usunięcie Danych Osobowych

Zależnie od decyzji Administratora i w ciągu trzydziestu dni od zakończenia świadczenia Usługi na rzecz Administratora Kiff Agents OÜ albo zwraca Dane Audytowe w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, albo je usuwa. Ten sam wybór dotyczy Danych tafs. Jeśli Administrator nie dokona wyboru w tym terminie, Kiff Agents OÜ usuwa jedne i drugie. Dane tafs są usuwane przez usunięcie każdego tafa, jak opisuje Załącznik 4: po zwróceniu danych Administratora albo od razu, gdy wybrał on usunięcie, Kiff Agents OÜ usuwa każdego tafa, którego Administrator nie usunął sam, oraz rozłącza i usuwa połączenia Administratora i ich zapisy w planque.

Skróty już opublikowane w publicznym weryfikowalnym śladzie pozostają, ponieważ ślad jest niezmienny. Ponieważ publiczny ślad stosuje kryptograficzne solenie osobne dla każdego tenanta (zgodnie z /security#public-trail), zniszczenie soli tenanta sprawia, że tych opublikowanych skrótów trwale nie da się powiązać z rekordami, z których powstały.

Kopia zapasowa bazy danych KIFF jest wykonywana codziennie i szyfrowana, a każda kopia jest przechowywana siedem dni, więc usunięty rekord znika z nich w ciągu siedmiu dni od usunięcia. planque nie przechowuje kopii zapasowej swojego magazynu danych. Kiff Agents OÜ może zachować Dane Osobowe, gdy ich przechowywanie nakazuje prawo UE lub państwa członkowskiego (na przykład estońska ustawa o rachunkowości, §12).

17. Odpowiedzialność

Odpowiedzialność każdej ze stron na podstawie niniejszej DPA podlega ograniczeniom i wyłączeniom określonym w Warunkach korzystania z usługi, chyba że mające zastosowanie prawo zakazuje takiego ograniczenia. Każda ze stron odpowiada za szkodę spowodowaną własnym naruszeniem RODO zgodnie z artykułem 82 RODO.

18. Okres obowiązywania i rozwiązanie

Niniejsza DPA wchodzi w życie z chwilą podpisania przez obie strony i obowiązuje przez czas opisany w §4. Rozwiązanie Warunków korzystania z usługi automatycznie rozwiązuje niniejszą DPA, z zastrzeżeniem obowiązków, które pozostają w mocy.

19. Prawo właściwe

Niniejsza DPA podlega prawu Republiki Estońskiej, bez uszczerbku dla bezwzględnie obowiązujących przepisów RODO oraz przepisów o ochronie konsumentów, o ile mają zastosowanie. Spory wynikające z niniejszej DPA podlegają zasadom dotyczącym sądu właściwego i wyboru prawa z §18 Warunków korzystania z usługi.

Załącznik 1, Opis Przetwarzania

Wypełniany osobno dla każdej podpisanej umowy.

A. Wykaz stron

Administrator i Podmiot Przetwarzający wskazani w §1.

B. Opis przekazywania danych

Kategorie Osób, których dane dotyczą: wymienione w §6 oraz [wszelkie dalsze kategorie, które deklaruje Administrator].
Kategorie Danych Osobowych: wymienione w §6 (dane konta, połączenia z aplikacjami, zapisy akcji agentów, czaty z tafs) oraz [wszelkie dalsze kategorie, które deklaruje Administrator].
Dane wrażliwe: [deklaracja Administratora; domyślnie: brak].
Częstotliwość przekazywania: ciągła (każde żądanie do Usługi).
Charakter Przetwarzania: opisany w §5.
Cele Przetwarzania: opisane w §5.
Okres przechowywania: zgodnie z /privacy#retention i §16.

C. Właściwy organ nadzorczy

Estońska Inspekcja Ochrony Danych (Andmekaitse Inspektsioon).

Załącznik 2, Środki techniczne i organizacyjne

Podsumowanie odpowiednie dla DPA zawieranej na podstawie artykułu 28. Ten Załącznik i datowana wersja na stronie kiff.dev/docs/archive/2026-10-10 stanowią uzgodniony poziom bazowy, o którym mowa w sekcji 12. Strona /security pokazuje aktualne środki i jest aktualizowana w ciągu 30 dni od istotnej zmiany.

Załącznik 3, Podmioty Podprzetwarzające

Oficjalna lista znajduje się na stronie /subprocessors; ta lista jest wiążąca co do aktualnych Podmiotów Podprzetwarzających, zmienia się wyłącznie w trybie określonym w sekcji 10 i jest aktualizowana w ciągu 30 dni od każdej zmiany. Według stanu na tę wersję wzoru:

Publiczny weryfikowalny ślad nie jest Podmiotem Podprzetwarzającym: trafiają do niego wyłącznie zbiorcze skróty (hashe) i żadne Dane Osobowe.

Załącznik 4, tafs

Co tafs przechowuje w imieniu Administratora, gdzie i jak długo. Administrator usuwa tafa w aplikacji tafs; jego usunięcie kasuje wszystko, co poniżej jest przechowywane „do usunięcia tafa”.

Card tafa, oczekujące wywołania, odpowiedzi na nie i potwierdzenia to Dane Audytowe, przechowywane przez KIFF na podstawie pozostałej części niniejszej DPA.

Wersja dokumentu: wzór v0.1.
Ostatnia aktualizacja: 9 listopada 2026.