Umowa powierzenia przetwarzania danych

To tłumaczenie zostało przygotowane dla Państwa wygody. Wiążąca jest wersja angielska. English

Ostatnia aktualizacja: 11 października 2026

Niniejszy aneks („DPA”) stanowi część Warunków korzystania z HolaReply dla Shopify oraz warunków korzystania z HolaReply dla dowolnej strony i zostaje zawarty między sprzedawcą lub właścicielem strony internetowej („Państwo”; ang. “you”, administrator) a SEO Agency Inc („HolaReply”, „my”; ang. “HolaReply”, “we”, podmiot przetwarzający). Ma zastosowanie do danych osobowych klientów Państwa sklepu lub odwiedzających Państwa stronę internetową, które przetwarzamy w celu świadczenia usług aplikacji lub usługi. W przypadku strony internetowej „sklep” oznacza poniżej Państwa stronę internetową, a „klient” — jej odwiedzającego; postanowienia dotyczące żądań danych Shopify i sprawdzania zamówień dotyczą wyłącznie Shopify. Aneks ma na celu spełnienie wymogów art. 28 RODO i UK GDPR oraz podobnych przepisów o ochronie prywatności (w ramach których działamy jako Państwa „usługodawca” (ang. “service provider”) lub „podmiot przetwarzający” (ang. “processor”)).

1. Szczegóły przetwarzania

Przedmiot i cel	Świadczenie usług aplikacji: odpowiadanie klientom w czacie sklepu na podstawie treści Państwa sklepu, przekazywanie zapytań i tematów zablokowanych Państwa zespołowi, sprawdzanie statusu zamówień, prezentowanie Państwu rozmów i zapytań oraz realizacja żądań danych Shopify
Czas trwania	Dopóki aplikacja jest zainstalowana lub strona internetowa jest w HolaReply, a następnie usunięcie zgodnie z punktem 8
Osoby, których dane dotyczą	Klienci i odwiedzający Państwa sklep, którzy korzystają z czatu
Dane osobowe	Wiadomości na czacie (pytania i odpowiedzi); dane kontaktowe, które klient zdecyduje się podać (imię i nazwisko, e-mail, telefon, firma), oraz treść jego zapytania; wyłącznie na potrzeby śledzenia zamówień — numer zamówienia i adres e-mail wpisane przez klienta oraz adres e-mail, status i dane śledzenia przesyłki z zamówienia (wyświetlane, nieprzechowywane); język klienta
Szczególne kategorie danych	Nie są przewidziane. Prosimy nie prosić klientów o takie dane; klient może je jednak wpisać w czacie
Nieprzetwarzane	Dane płatnicze, adresy, konta klientów, adresy IP powiązane z rozmowami (wyłącznie jednokierunkowy skrót w krótkotrwałym liczniku ograniczającym liczbę zapytań)

2. Nasze obowiązki

Zobowiązujemy się:

1. przetwarzać dane osobowe wyłącznie na Państwa udokumentowane polecenie, którym są niniejsze warunki, niniejszy DPA i Państwa ustawienia w aplikacji, chyba że prawo stanowi inaczej (wówczas najpierw Państwa o tym poinformujemy, o ile prawo tego nie zabrania);
2. zapewnić, aby wszystkie osoby upoważnione przez nas do przetwarzania danych były zobowiązane do zachowania poufności;
3. stosować środki bezpieczeństwa opisane w punkcie 4;
4. korzystać z podmiotów podprzetwarzających wyłącznie zgodnie z punktem 5;
5. pomagać Państwu, w rozsądnym zakresie, w odpowiadaniu klientom wykonującym swoje prawa (dostęp, usunięcie i inne): żądania Shopify customers/data_request i customers/redact są obsługiwane przez aplikację automatycznie, a zapytania można przeglądać i pobierać w aplikacji;
6. pomagać Państwu w zakresie bezpieczeństwa, zgłaszania naruszeń, ocen skutków i konsultacji z organami nadzorczymi, w zakresie, w jakim dotyczą one naszego przetwarzania;
7. usunąć dane po zakończeniu świadczenia usługi (punkt 8);
8. udostępniać informacje niezbędne do wykazania zgodności z niniejszym DPA i umożliwiać audyty zgodnie z punktem 9;
9. niezwłocznie poinformować Państwa, jeśli uznamy, że polecenie narusza przepisy o ochronie danych.

Nie sprzedajemy danych osobowych, nie udostępniamy ich na potrzeby reklamy behawioralnej opartej na różnych kontekstach, nie wykorzystujemy ich do trenowania modeli AI ani nie łączymy ich z danymi innych sklepów.

3. Państwa obowiązki

Potwierdzają Państwo, że posiadają podstawę prawną przetwarzania, przekazują swoim klientom informacje wymagane przez prawo (Państwa informacja o ochronie prywatności powinna wspominać o czacie i HolaReply) oraz że Państwa polecenia są zgodne z prawem.

4. Środki bezpieczeństwa

• Szyfrowanie podczas przesyłania: HTTPS (TLS) dla czatu w sklepie, panelu administracyjnego i webhooków.
• Szyfrowanie danych przechowywanych: wiadomości na czacie, dane kontaktowe z rozmowy i każde pole zapytania są szyfrowane w bazie danych (XSalsa20-Poly1305, z kluczami przechowywanymi poza bazą danych); klienci są wyszukiwani wyłącznie za pomocą kluczowanych skrótów (hash) ich adresu e-mail lub numeru telefonu. Tokeny dostępu i klucze AI również są szyfrowane. Codzienne kopie zapasowe są szyfrowane (AES-256-GCM) osobnym kluczem.
• Izolacja: dane każdego sklepu są odseparowane; każde żądanie jest weryfikowane za pomocą tokenu sesji Shopify lub podpisu webhooka.
• Minimalizacja: adresy e-mail i numery telefonów są usuwane ze wszystkiego, co jest wysyłane do dostawcy AI; pola kontaktowe nigdy nie są do niego wysyłane; dane zamówień nigdy nie są przechowywane ani wysyłane do AI.
• Kontrola dostępu i rejestrowanie: dostęp do serwera wyłącznie za pomocą kluczy SSH, dla maksymalnie dwóch osób; każde wyświetlenie danych klientów (w aplikacji lub przez nas) jest zapisywane w rejestrze dostępu przechowywanym przez rok, który mogą Państwo przeglądać w aplikacji za ostatnie 90 dni.
• Okres przechowywania: rozmowy są przechowywane do czasu ich usunięcia przez Państwa lub usuwane 30, 90 lub 365 dni po ostatniej wiadomości, jeśli wybiorą Państwo taki okres; wszystko jest usuwane 48 godzin po odinstalowaniu aplikacji; kopie zapasowe są przechowywane przez 14 dni.
• Reagowanie na incydenty: pisemna procedura (punkt 6).
• Kopia poza serwerem: każda codzienna kopia zapasowa, nadal zaszyfrowana, jest również przechowywana przez 14 dni w prywatnym zasobniku Cloudflare R2.

5. Podmioty podprzetwarzające

Udzielają Państwo ogólnej zgody na korzystanie z wymienionych poniżej podmiotów podprzetwarzających. Poinformujemy Państwa co najmniej 30 dni przed dodaniem lub zastąpieniem któregokolwiek z nich (w aplikacji lub e-mailem oraz na tej stronie); mogą Państwo zgłosić sprzeciw z uzasadnionych przyczyn związanych z ochroną danych, a jeśli nie będziemy w stanie go uwzględnić, mogą Państwo zaprzestać korzystania z aplikacji. Zobowiązujemy każdy podmiot podprzetwarzający do przestrzegania warunków ochrony danych zapewniających co najmniej taki sam poziom ochrony jak niniejszy DPA i ponosimy za niego odpowiedzialność.

Podmiot podprzetwarzający	Cel	Dane	Lokalizacja
Google LLC (Gemini API)	Odpowiedzi AI i indeks wyszukiwania (HolaReply AI lub Państwa klucz Gemini)	Treści sklepu; pytania klientów z usuniętymi adresami e-mail i numerami telefonów	Poza EOG
OpenAI, L.L.C.	Tylko jeśli wybiorą Państwo OpenAI z własnym kluczem	To samo	Poza EOG
Anthropic, PBC	Tylko jeśli wybiorą Państwo Claude z własnym kluczem	To samo	Poza EOG
Resend (Plus Five Five, Inc.)	E-maile do Państwa, do Państwa zespołu oraz odpowiedzi Państwa zespołu do klientów	Adresy e-mail i treść wiadomości	Poza EOG
Hostinger International Ltd	Serwer, na którym działa aplikacja (wirtualny serwer prywatny)	Wszystkie przechowywane przez nas dane (pola szyfrowane jak wyżej)	Poza EOG
Cloudflare, Inc.	Sieć i zabezpieczenia przed app.holareply.com; przechowywanie zaszyfrowanej kopii zapasowej poza serwerem (R2)	Zapytania w trakcie przesyłania; zaszyfrowane kopie zapasowe (14 dni)	Sieć globalna; kopie zapasowe poza EOG
Shopify	Platforma i rozliczenia	To, co Shopify już posiada	—

6. Naruszenia ochrony danych osobowych

Powiadamiamy Państwa bez zbędnej zwłoki, i w ciągu 72 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego danych Państwa sklepu, na adres e-mail Państwa sklepu, przekazując posiadane informacje: charakter naruszenia, dane i osoby, których dotyczy, prawdopodobne konsekwencje, podjęte przez nas działania i działania, które powinni Państwo podjąć, oraz dane kontaktowe (support@holareply.com). Uzupełniamy informacje w miarę ich uzyskiwania. Proces opisuje nasza procedura reagowania na incydenty.

7. Przekazywanie danych za granicę

My i niektóre nasze podmioty podprzetwarzające przetwarzamy dane poza EOG, Wielką Brytanią i Szwajcarią. W przypadku przekazywania takich danych przekazanie jest objęte standardowymi klauzulami umownymi Komisji Europejskiej (decyzja wykonawcza Komisji (UE) 2021/914: moduł 2, administrator–podmiot przetwarzający, oraz moduł 3 dla dalszego przekazywania do naszych podmiotów podprzetwarzających), brytyjskim aneksem dotyczącym międzynarodowego przekazywania danych (UK International Data Transfer Addendum) oraz, w odniesieniu do danych ze Szwajcarii, szwajcarskimi zmianami tych klauzul, które zostają włączone do niniejszej umowy przez odesłanie, lub innym zgodnym z prawem mechanizmem, takim jak certyfikacja podmiotu podprzetwarzającego w ramach Data Privacy Framework.

8. Usunięcie

Po odinstalowaniu aplikacji wszystkie dane Państwa sklepu są usuwane po 48 godzinach (dzięki czemu ponowna instalacja w tym czasie niczego nie traci) lub natychmiast, gdy Shopify prześle żądanie shop/redact. Usunięte dane mogą pozostać w zaszyfrowanych kopiach zapasowych do 14 dni, po czym znikają. Przed odinstalowaniem mogą Państwo pobrać swoje zapytania w formacie CSV z aplikacji.

W przypadku strony internetowej prosimy o zgłoszenie prośby o jej usunięcie (support@holareply.com): jej rozmowy, zapytania, treści i zespół zostaną usunięte w ciągu 7 dni, a z zaszyfrowanych kopii zapasowych znikną 14 dni później. Do tego czasu są przechowywane do momentu ich usunięcia przez Państwa lub przez okres wybrany w Desk.

9. Audyty

Na pisemny wniosek, nie częściej niż raz w roku (lub po naruszeniu), odpowiemy na uzasadniony kwestionariusz bezpieczeństwa i przekażemy dokumenty wykazujące zgodność z niniejszym DPA. Jeśli prawo wymaga inspekcji, przeprowadza się ją z 30-dniowym wyprzedzeniem, w godzinach pracy, przez audytora zobowiązanego do zachowania poufności, na Państwa koszt i bez dostępu do danych innych klientów.

10. Pierwszeństwo postanowień

W razie sprzeczności między niniejszym DPA a warunkami w zakresie danych osobowych zastosowanie ma niniejszy DPA; standardowe klauzule umowne, jeśli mają zastosowanie, mają pierwszeństwo przed obydwoma dokumentami.

Kontakt

SEO Agency Inc (HolaReply) — support@holareply.com