Umowa powierzenia przetwarzania danych osobowych

Wersja 1.0 · obowiązuje od 15 października 2026 r.

Umowa powierzenia przetwarzania danych osobowych

Strony: Klient, na rzecz którego prowadzona jest Organizacja w iApprove (dalej: „Klient”), oraz Baster Ventures sp. z o.o. z siedzibą w Krakowie, ul. Lubostroń 1, 30-383 Kraków, KRS 0000385486, NIP 6772357455 (dalej: „iApprove”).

Zawarcie. Umowa jest załącznikiem do Regulaminu od jego wersji 1.5. Zawiera się ją przez akceptację Regulaminu w wersji 1.5 lub późniejszej w Platformie przez osobę działającą w imieniu Klienta — przy rejestracji albo przy założeniu Organizacji; akceptacja Regulaminu obejmuje tę umowę i nie wymaga osobnego kroku. Nową wersję umowy Klient przyjmuje razem z nową wersją Regulaminu, na zasadach zmiany Regulaminu. Platforma zapisuje wersję Regulaminu, datę akceptacji i konto osoby akceptującej. Na żądanie Klienta iApprove przekazuje egzemplarz umowy podpisany kwalifikowanym podpisem elektronicznym.

Miejsce w umowie z Klientem. Umowa jest umową powierzenia, o której mowa w § 6 ust. 1 Regulaminu, stanowi załącznik do Regulaminu i element Umowy Klienta. W sprawach przetwarzania danych osobowych ma pierwszeństwo przed Regulaminem i Umową Klienta. Pojęcia niezdefiniowane mają znaczenie nadane im w Regulaminie i w RODO.

§ 1. Pojęcia

1. RODO — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.
2. Organizacja — przestrzeń robocza Klienta w Platformie, obejmująca spółki, które Klient prowadzi lub obsługuje.
3. Dane Powierzone — dane osobowe, które iApprove przetwarza w Organizacji w imieniu Klienta, opisane w Załączniku 1.
4. Podprocesor — podmiot, któremu iApprove powierza przetwarzanie Danych Powierzonych.
5. Wykaz Podprocesorów — publikowana lista Podprocesorów: iapprove.pl/dokumenty/podprocesorzy.
6. Naruszenie — naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO dotyczące Danych Powierzonych.

§ 2. Przedmiot i cel

1. Klient powierza iApprove przetwarzanie Danych Powierzonych wyłącznie w celu świadczenia Usługi Organizacyjnej: prowadzenia dokumentacji i procesów ładu korporacyjnego spółek w Organizacji, w tym przygotowania, obiegu, podpisywania i archiwizacji Dokumentów Korporacyjnych, porównywania danych spółek z rejestrem KRS oraz prowadzenia Audit Trail Klienta.
2. Charakter, kategorie osób i danych oraz czas przetwarzania określa Załącznik 1.
3. iApprove przetwarza Dane Powierzone wyłącznie na udokumentowane polecenie Klienta (§ 4), chyba że obowiązek przetwarzania wynika z prawa Unii lub prawa polskiego — wtedy, o ile prawo nie zabrania, informuje o tym Klienta przed rozpoczęciem przetwarzania.

§ 3. Klient jako administrator albo podmiot przetwarzający

1. Jeżeli Klient prowadzi w Organizacji własne sprawy lub sprawy spółek, którymi zarządza, działa jako administrator Danych Powierzonych.
2. Jeżeli Klient — w szczególności kancelaria lub podmiot świadczący usługi korporacyjne — prowadzi w Organizacji sprawy spółek będących jego klientami, działa wobec nich jako podmiot przetwarzający, a iApprove jako dalszy podmiot przetwarzający. Klient oświadcza, że uzyskał zgodę administratora na korzystanie z iApprove jako dalszego podmiotu przetwarzającego oraz że jego umowa z administratorem nie nakłada obowiązków sprzecznych z niniejszą umową. Postanowienia umowy stosuje się odpowiednio, a polecenia administratora Klient przekazuje iApprove.
3. Klient odpowiada za to, że Dane Powierzone są przetwarzane na podstawie prawnej i że osoby, których dane dotyczą, otrzymały wymagane informacje — w szczególności członkowie organów, wspólnicy i pełnomocnicy spółek, których dane Klient lub Użytkownicy wprowadzają do Platformy.

§ 4. Polecenia Klienta

1. Udokumentowanym poleceniem Klienta są:
   1. niniejsza umowa i Umowa Klienta;
   2. ustawienia Organizacji i spółek dokonane w Platformie przez osoby uprawnione przez Klienta — w szczególności włączenie funkcji AI (§ 6), zaproszenia Użytkowników, nadanie ról i dostępów, wysyłka dokumentów do podpisu lub do osób trzecich;
   3. polecenia przesłane przez Klienta e-mailem na adres kontakt@iapprove.pl.
2. Każda czynność wykonana w Platformie przez Użytkownika działającego w Organizacji jest traktowana jako polecenie Klienta w zakresie uprawnień nadanych temu Użytkownikowi.
3. iApprove niezwłocznie informuje Klienta, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych, i może wstrzymać jego wykonanie do czasu wyjaśnienia.

§ 5. Granice powierzenia

1. Powierzenie nie obejmuje danych, których iApprove jest administratorem na podstawie Umowy Użytkownika lub Umowy Klienta: Konta i Profilu Użytkownika, wyniku potwierdzenia tożsamości, osobistego rejestru czynności Użytkownika, wykazu podmiotów z KRS udostępnianego Użytkownikowi, danych osób reprezentujących Klienta, danych rozliczeniowych oraz zgłoszeń do pomocy technicznej. Zasady ich przetwarzania określa Polityka prywatności.
2. Z Profilu Użytkownika Klient otrzymuje wyłącznie status i poziom potwierdzenia tożsamości oraz dane identyfikacyjne potrzebne w Dokumentach Korporacyjnych, w których Użytkownik występuje. Dane te, utrwalone w Dokumentach Korporacyjnych i Audit Trail Klienta, stają się Danymi Powierzonymi.

§ 6. Funkcje sztucznej inteligencji

1. Funkcje AI są domyślnie wyłączone. Włączenie ich przez osobę uprawnioną — analizy dokumentów przez administratora Organizacji, asystenta przez zarząd lub administratora w ustawieniach spółki — jest poleceniem przetwarzania Danych Powierzonych z użyciem modelu językowego w zakresie:
   1. odczytu i strukturyzacji postanowień umowy spółki i innych dokumentów ustrojowych;
   2. rozpoznawania rodzaju i treści wgrywanych dokumentów;
   3. odczytu składów organów i wspólników w celu porównania z danymi KRS;
   4. rozpisania ujawnionego w KRS sposobu reprezentacji spółki na regułę reprezentacji;
   5. obsługi asystenta — odpowiedzi na pytania na podstawie danych spółki i plików dołączonych do rozmowy.
2. Model nie zmienia danych spółki bez zatwierdzenia przez Użytkownika i nie dokonuje w imieniu Klienta czynności prawnych.
3. Dostawca modelu jest Podprocesorem wskazanym w Wykazie Podprocesorów. iApprove zapewnia, że dostawca nie wykorzystuje Danych Powierzonych do trenowania modeli.
4. iApprove stosuje środki ograniczające zakres danych przekazywanych do modelu, opisane w Załączniku 2. Klient przyjmuje do wiadomości, że dokumenty przekazywane do analizy mogą zawierać dane osobowe w pełnym zakresie ich treści.
5. Klient może w każdej chwili wyłączyć funkcje AI. Wyłączenie nie wpływa na zgodność z prawem wcześniejszego przetwarzania; rozmowy z asystentem i pliki dołączone do rozmów są usuwane w terminach z Załącznika 1.

§ 7. Obowiązki iApprove

iApprove:

1. dopuszcza do Danych Powierzonych wyłącznie osoby upoważnione, zobowiązane do zachowania ich w tajemnicy także po ustaniu współpracy;
2. stosuje środki techniczne i organizacyjne z art. 32 RODO opisane w Załączniku 2 i może je zmieniać, o ile nie obniża poziomu ochrony;
3. pomaga Klientowi w realizacji praw osób, których dane dotyczą — przekazuje mu żądania otrzymane bezpośrednio w ciągu 5 dni roboczych, nie odpowiadając na nie samodzielnie, oraz udostępnia w Platformie narzędzia do wglądu, poprawiania i eksportu danych;
4. pomaga Klientowi w wywiązaniu się z obowiązków z art. 32–36 RODO, w tym przy ocenie skutków dla ochrony danych i uprzednich konsultacjach z organem nadzorczym — w zakresie informacji, którymi dysponuje;
5. prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO;
6. udostępnia Klientowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO (§ 11).

§ 8. Podprocesorzy

1. Klient udziela iApprove ogólnej zgody na korzystanie z Podprocesorów. Podprocesorzy działający w dniu zawarcia umowy są wymienieni w Wykazie Podprocesorów.
2. O zamiarze dodania lub zastąpienia Podprocesora iApprove informuje co najmniej 30 dni wcześniej — e-mailem do administratorów Organizacji i komunikatem w Platformie — oraz aktualizuje Wykaz Podprocesorów, oznaczając datę zmiany.
3. W tym terminie Klient może zgłosić umotywowany sprzeciw. Strony szukają wówczas rozwiązania, w tym możliwości wyłączenia funkcji korzystającej z danego Podprocesora dla Organizacji Klienta. Jeżeli porozumienie nie jest możliwe, Klient może wypowiedzieć Umowę Klienta ze skutkiem na dzień poprzedzający zmianę, bez dodatkowych kosztów.
4. Jeżeli zastąpienie Podprocesora jest konieczne natychmiast — z powodu zaprzestania przez niego działalności, naruszenia przez niego bezpieczeństwa lub decyzji organu — iApprove informuje o zmianie niezwłocznie po jej dokonaniu, a uprawnienia z ust. 3 przysługują Klientowi przez 30 dni od otrzymania informacji.
5. iApprove nakłada na każdego Podprocesora obowiązki ochrony danych nie mniejsze niż wynikające z niniejszej umowy i odpowiada wobec Klienta za ich wykonanie jak za własne działania (art. 28 ust. 4 RODO).

§ 9. Przekazywanie danych poza EOG

1. Dane Powierzone są przechowywane w Unii Europejskiej. Mogą być przekazywane do państw trzecich wyłącznie Podprocesorom wskazanym w Wykazie Podprocesorów jako przetwarzający dane poza EOG, w zakresie tam opisanym.
2. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych (decyzja wykonawcza Komisji (UE) 2021/914, moduł 3 — podmiot przetwarzający do podmiotu przetwarzającego), z dodatkowymi zabezpieczeniami opisanymi w Załączniku 2.
3. Na żądanie Klienta iApprove udostępnia kopię zabezpieczeń zastosowanych wobec danego Podprocesora, z pominięciem informacji handlowych.

§ 10. Naruszenia

1. iApprove zawiadamia Klienta o Naruszeniu bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia — e-mailem do administratorów Organizacji.
2. Zawiadomienie zawiera informacje wymienione w art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne; brakujące informacje iApprove przekazuje sukcesywnie.
3. iApprove podejmuje niezwłocznie działania ograniczające skutki Naruszenia i dokumentuje je. Zgłoszenia do organu nadzorczego i zawiadomienia osób, których dane dotyczą, dokonuje Klient, chyba że strony uzgodnią inaczej.

§ 11. Kontrola

1. iApprove odpowiada na pytania Klienta dotyczące przetwarzania Danych Powierzonych, w tym w formie kwestionariusza, w terminie 14 dni.
2. Jeżeli informacje te nie wystarczą do wykazania zgodności, Klient może przeprowadzić audyt — samodzielnie lub przez audytora związanego tajemnicą, niebędącego konkurentem iApprove — nie częściej niż raz na 12 miesięcy, po zawiadomieniu z 30-dniowym wyprzedzeniem, w dni robocze i w sposób niezakłócający działania Platformy. Ograniczenie częstotliwości nie dotyczy audytu po Naruszeniu ani kontroli organu nadzorczego.
3. Koszty audytu ponosi Klient, chyba że audyt wykaże istotne naruszenie umowy przez iApprove.
4. Audyt nie obejmuje danych innych klientów iApprove ani informacji stanowiących tajemnicę przedsiębiorstwa iApprove w zakresie niezwiązanym z Danymi Powierzonymi.

§ 12. Czas trwania i zakończenie

1. Umowa obowiązuje przez czas trwania Umowy Klienta.
2. Przez 30 dni od ustania Umowy Klienta Klient może pobrać dane i dokumenty Organizacji (§ 11 ust. 2 Regulaminu). Po tym terminie iApprove usuwa Dane Powierzone w ciągu kolejnych 30 dni, z zastrzeżeniem ust. 3–4, i na żądanie potwierdza usunięcie.
3. Klient poleca przechowywanie Audit Trail Klienta przez 6 lat od ustania Umowy Klienta, w celu zachowania jego wartości dowodowej dla czynności korporacyjnych dokonanych w Platformie. W tym okresie iApprove przechowuje go wyłącznie w tym celu, udostępnia Klientowi na żądanie, a po jego upływie usuwa.
4. Dane w kopiach zapasowych są usuwane w drodze nadpisania kopii, najpóźniej po 90 dniach; do tego czasu nie są w żaden sposób wykorzystywane.

§ 13. Odpowiedzialność

1. Odpowiedzialność stron z tytułu niniejszej umowy podlega zasadom i ograniczeniom określonym w Regulaminie i Umowie Klienta.
2. Ograniczenia te nie dotyczą odpowiedzialności wobec osób, których dane dotyczą, określonej w art. 82 RODO.

§ 14. Postanowienia końcowe

1. iApprove może zmienić umowę w przypadkach i w trybie przewidzianym dla zmiany Regulaminu (§ 12 Regulaminu), z co najmniej 14-dniowym wyprzedzeniem. Zmiana Wykazu Podprocesorów następuje w trybie § 8 i nie jest zmianą umowy.
2. Umowa podlega prawu polskiemu. Spory rozstrzyga sąd właściwy dla siedziby iApprove.
3. W razie sprzeczności z klauzulami, o których mowa w § 9 ust. 2, pierwszeństwo mają te klauzule.

Załącznik 1. Opis przetwarzania

Załącznik 2. Środki techniczne i organizacyjne

Szyfrowanie

• transmisja wyłącznie przez TLS (certyfikaty Let's Encrypt, odnawiane automatycznie);
• dokumenty i pliki szyfrowane (AES-256-GCM) w magazynie plików rozdzielonym między Organizacje;
• numery PESEL, adresy, tokeny integracji, treść rozmów z asystentem i surowe odpowiedzi rejestru szyfrowane na poziomie pól bazy danych;
• kopie zapasowe szyfrowane przed wysłaniem do zewnętrznego magazynu.

Kontrola dostępu

• dostęp do danych spółki wyznaczany rolą w Organizacji i funkcją w organach spółki, sprawdzany po stronie serwera przy każdym żądaniu;
• hasła przechowywane wyłącznie jako skróty kryptograficzne; logowanie hasłem albo kontem Google;
• token dostępu ważny krótko i przechowywany w pamięci karty; sesja podtrzymywana plikiem cookie niedostępnym dla skryptów (HttpOnly, SameSite);
• powiadomienie o logowaniu z nowego urządzenia; limity liczby prób dla operacji wrażliwych;
• dostęp administracyjny do serwera wyłącznie dla upoważnionych osób, kluczami kryptograficznymi.

Integralność i rozliczalność

• Audit Trail w odrębnym schemacie bazy danych; zmiana i usuwanie wpisów zablokowane w bazie danych; wpisy powiązane łańcuchem sum kontrolnych;
• podpisane wersje dokumentów niezmienne; integralność plików kontrolowana skrótem SHA-256;
• weryfikacja kwalifikowanych podpisów elektronicznych na własnym serwerze (oprogramowanie DSS Komisji Europejskiej) — dokument nie jest w tym celu wysyłany do podmiotów trzecich.

Minimalizacja

• numer PESEL podany przez Użytkownika w Profilu nie jest widoczny dla Klienta; numery PESEL osób ujawnionych w KRS wyświetlają wyłącznie osoby uprawnione, a każde wyświetlenie trafia do Audit Trail;
• przed wysłaniem pytania do asystenta AI imiona i nazwiska osób powiązanych ze spółką zastępowane są oznaczeniami zastępczymi; asystent nie otrzymuje numerów PESEL zapisanych w danych Platformy (mogą one występować w treści plików PDF przekazanych do analizy); numery PESEL usuwane z wyników analizy dokumentów przed zapisem;
• z raportów błędów usuwane są dane użytkownika, pliki cookies, nagłówki i treść żądań, a adresy e-mail i ciągi cyfr maskowane;
• wiadomości e-mail wysyłane bez śledzenia otwarć i kliknięć;
• do dostawcy danych rejestrowych przekazywany jest wyłącznie numer NIP lub KRS spółki.

Dostępność i odtwarzanie

• kopie zapasowe bazy danych i plików: lokalne (14 dni) i zewnętrzne w centrum danych w UE (90 dni, bez możliwości wcześniejszego usunięcia, chroniące przed ransomware);
• udokumentowana i przećwiczona procedura odtwarzania;
• monitorowanie błędów i dostępności usług zewnętrznych.

Organizacja

• dostęp do danych produkcyjnych tylko w zakresie niezbędnym do utrzymania usługi i obsługi zgłoszeń, z zapisem w rejestrze zdarzeń;
• zobowiązanie do poufności osób mających dostęp do danych;
• przegląd środków bezpieczeństwa co najmniej raz w roku i po każdej istotnej zmianie Platformy.

Załącznik 3. Podprocesorzy

Wykaz Podprocesorów w wersji obowiązującej w dniu zawarcia umowy oraz jego późniejsze zmiany: iapprove.pl/dokumenty/podprocesorzy.