Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu VelorisLex

Wersja 1.0 · Tekst przygotowany 30 września 2026 r.

§ 1. Strony i charakter umowy

1. Niniejsza umowa powierzenia przetwarzania danych osobowych, dalej „DPA”, stanowi załącznik nr 1 do Regulaminu VelorisLex. Jest zawierana pomiędzy CELENISS spółką z ograniczoną odpowiedzialnością z siedzibą we Wrocławiu, ul. Romana Dmowskiego 19E/10, 50-203 Wrocław, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla Wrocławia Fabrycznej we Wrocławiu, VI Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0001264583, NIP 8982337968, REGON 545638798, kapitał zakładowy 5 000,00 zł, dalej „Procesorem”, a klientem będącym administratorem danych powierzanych w ramach usługi, dalej „Administratorem”. Administratorem może być w szczególności kancelaria, przedsiębiorca albo inny uprawniony podmiot reprezentowany przez użytkownika, w tym pracodawca prawnika wewnętrznego. Samo posiadanie konta użytkownika przez pracownika lub pełnomocnika nie czyni tej osoby administratorem danych reprezentowanego podmiotu. Kontakt z Procesorem: hello@velorislex.com.
2. DPA określa zasady powierzenia na podstawie art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, dalej „RODO”. Akceptacja Regulaminu przez osobę uprawnioną do działania za Administratora obejmuje zawarcie DPA. Procesor rejestruje datę akceptacji.
3. DPA dotyczy danych wprowadzanych do usługi na potrzeby spraw prowadzonych przez Administratora. Przetwarzanie przez Procesora danych konta, rozliczeń i własnej korespondencji w roli administratora opisuje Polityka prywatności VelorisLex.
4. W razie sprzeczności między Regulaminem a DPA w zakresie ochrony danych powierzonych pierwszeństwo ma DPA.

§ 2. Przedmiot, cel i zakres powierzenia

1. Administrator powierza Procesorowi przetwarzanie danych w celu przygotowywania projektów dokumentów prawnych, analizy przekazanych materiałów, wyszukiwania kontekstu prawnego, pobierania danych z publicznych rejestrów oraz poprawiania i eksportowania projektów w usłudze VelorisLex.
2. Operacje obejmują przyjmowanie, odczytywanie, rozpoznawanie tekstu, porządkowanie, zastępowanie oznaczonych danych znacznikami, analizowanie, przekazywanie dostawcom usług opisanych w Załączniku B, przechowywanie w zakresie § 4 oraz usuwanie danych.
3. Udokumentowanymi poleceniami Administratora są postanowienia DPA i czynności wykonywane przez uprawnionych użytkowników usługi, w szczególności przesłanie pliku, zatwierdzenie jego przetworzenia, uzupełnienie formularza i uruchomienie generowania. Dodatkowe polecenia Administrator przekazuje na hello@velorislex.com.
4. Powierzenie trwa przez czas świadczenia usługi oraz przez okres niezbędny do zwrotu lub usunięcia danych zgodnie z § 5 i § 11.

§ 3. Kategorie osób i rodzaje danych

1. Dane mogą dotyczyć klientów Administratora, stron i uczestników postępowań, kontrahentów, dłużników, wierzycieli, pracowników, reprezentantów podmiotów, pełnomocników, świadków i innych osób wymienionych w przekazanych materiałach.
2. Zakres może obejmować dane identyfikacyjne, w tym imię, nazwisko, PESEL, NIP, REGON, KRS i numer dokumentu tożsamości; dane kontaktowe i adresowe; dane finansowe, w tym rachunki, kwoty i informacje o rozliczeniach; informacje o sytuacji prawnej, roszczeniach, postępowaniach oraz inne dane zawarte w materiałach Administratora.
3. W materiałach mogą występować dane szczególnych kategorii z art. 9 RODO oraz dane objęte art. 10 RODO. Administrator ustala podstawę prawną i dopuszczalność ich przekazania, uwzględniając charakter sprawy oraz obowiązek zachowania tajemnicy zawodowej. DPA nie stanowi samodzielnej podstawy prawnej przetwarzania takich danych.
4. Procesor przyjmuje do wiadomości, że powierzane treści mogą być objęte tajemnicą zawodową radcy prawnego albo adwokata. Obowiązek poufności osób upoważnionych do przetwarzania obejmuje również te treści. Procesor nie wykorzystuje powierzonych treści do własnego szkolenia modeli językowych.

§ 4. Sposób przetwarzania i przechowywanie

1. Treść rozmowy i wygenerowanego projektu jest przetwarzana podczas sesji. VelorisLex nie udostępnia archiwum treści zakończonych rozmów ani dokumentów. Administrator zapisuje potrzebne mu projekty we własnych zasobach. Nie oznacza to braku przechowywania wszystkich danych przez aplikację lub jej dostawców: wyjątki i odrębne kategorie opisano poniżej i w Załączniku B.
2. Większe załączniki, przekraczające 3 MB, są przed odczytem przesyłane do prywatnej przestrzeni plików Supabase. Po odczycie aplikacja podejmuje próbę usunięcia pliku. Niezależne zadanie porządkowe, zaplanowane co 5 minut, usuwa pliki pozostawione po przerwanym przetwarzaniu, gdy od ich zapisania lub ostatniej zmiany upłynęła ponad godzina. Wykonanie zadania nie zależy od kolejnej aktywności użytkownika i jest objęte monitoringiem. Awaria lub opóźnienie zadania może wydłużyć czas przechowywania; nie jest to gwarancja nieprzekraczalnego godzinnego terminu usunięcia. Administrator może zgłosić żądanie usunięcia pliku na hello@velorislex.com.
3. Rozpoznawanie tekstu ze skanu może wymagać przekazania obrazu dokumentu do Azure AI Document Intelligence, a w ścieżce zapasowej do Anthropic. Następuje to przed przeglądem rozpoznanego tekstu w Bezpiecznej Strefie Przygotowania. Funkcja wykorzystania oryginalnego PDF może przekazać jego zawartość do modelu po osobnym potwierdzeniu użytkownika. Oznaczenie danych w tekście nie zmienia automatycznie zawartości obrazu ani binarnego pliku PDF. Administrator, który nie może przekazać danych w tej postaci, powinien usunąć je z pliku przed przesłaniem.
4. Usługa udostępnia narzędzia pseudonimizacji: oznaczanie danych, zastępowanie ich znacznikami, przegląd przed wysłaniem oraz odtwarzanie oznaczonych danych w wyniku. Automatyczne wykrywanie jest ograniczone do obsługiwanych wzorców i kontekstu; nie gwarantuje wykrycia każdej osoby ani wszystkich informacji pozwalających na jej rozpoznanie. Dane po pseudonimizacji mogą nadal stanowić dane osobowe.
5. W bazie aplikacji są zapisywane metadane konta i sesji, użycia usługi, rozliczeń oraz bezpieczeństwa. Zadania porządkowania obejmują metadane użycia i wybrane zdarzenia administracyjne z okresem 730 dni, ślady techniczne z okresem 30 dni oraz zdarzenia kontroli bezpieczeństwa z okresem 365 dni. Metadane etapów generowania powiązane z sesją są usuwane przy usunięciu tej sesji; nie są objęte odrębnym zadaniem okresowego czyszczenia. Terminy odnoszą się do danych objętych odpowiednim zadaniem, a nie do wszystkich dzienników i kopii dostawców.
6. Pamięć podręczna przechowuje także dane pobrane z KRS, w tym imiona, nazwiska i funkcje reprezentantów oraz historię nazw podmiotu, przez 24 godziny. Wyniki wyszukiwania w korpusie prawnym mają czas życia jednej godziny. Usunięcie wpisu z pamięci podręcznej nie jest równoznaczne z natychmiastowym usunięciem kopii technicznych dostawcy.
7. Przetwarzanie obejmuje usługi dostawców z EOG i spoza EOG. Wybór europejskiego regionu bazy lub funkcji obliczeniowych nie oznacza, że wszystkie operacje dostawców, dostęp techniczny, obsługa poczty i działania bezpieczeństwa odbywają się wyłącznie w EOG. Zakresy i mechanizmy transferu przedstawiono w Załączniku B.

§ 5. Obowiązki Procesora

Procesor:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora, także w zakresie przekazywania do państw trzecich, chyba że obowiązek przetwarzania wynika z prawa Unii lub państwa członkowskiego; w takim przypadku informuje o nim Administratora przed przetwarzaniem, o ile prawo tego nie zabrania;
2. zapewnia, by osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;
3. stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, opisane w Załączniku A, oraz ocenia potrzebę ich aktualizacji;
4. przestrzega warunków korzystania z podprocesorów określonych w § 6;
5. w miarę możliwości pomaga Administratorowi, przy użyciu odpowiednich środków technicznych i organizacyjnych, odpowiadać na żądania osób z art. 12–22 RODO; zakres pomocy obejmuje dane znajdujące się pod kontrolą Procesora, również załączniki i dane techniczne, a nie tylko dane konta;
6. pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO, z uwzględnieniem charakteru przetwarzania i dostępnych informacji;
7. po zakończeniu świadczenia usług związanych z przetwarzaniem, zgodnie z wyborem Administratora, usuwa lub zwraca powierzone dane oraz usuwa istniejące kopie, chyba że prawo Unii lub państwa członkowskiego nakazuje przechowywanie; zwrot może obejmować tylko dane, które pozostają pod kontrolą Procesora;
8. udostępnia informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia audyty na zasadach § 8;
9. niezwłocznie informuje Administratora, jeżeli jego zdaniem otrzymane polecenie narusza przepisy o ochronie danych osobowych.

§ 6. Podprocesorzy i transfery

1. Administrator udziela ogólnej zgody na korzystanie z podprocesorów wskazanych w Załączniku B. Lista jest udostępniana pod https://www.velorislex.com/legal/dpa.
2. O zamierzonym dodaniu lub zastąpieniu podprocesora Procesor informuje Administratora na adres e-mail konta z co najmniej 30-dniowym wyprzedzeniem. Administrator może w tym terminie wyrazić sprzeciw. W razie sprzeciwu i braku porozumienia może wypowiedzieć umowę o świadczenie usługi ze skutkiem natychmiastowym, bez dodatkowych opłat za niewykorzystany okres.
3. Procesor nakłada na podprocesorów, w drodze umowy, te same obowiązki ochrony danych, jakie wynikają z DPA, i pozostaje w pełni odpowiedzialny wobec Administratora za wypełnienie tych obowiązków przez podprocesorów.
4. Przekazania poza EOG wymagają podstawy zgodnej z rozdziałem V RODO. Stosowane instrumenty obejmują standardowe klauzule umowne Komisji Europejskiej oraz decyzje stwierdzające odpowiedni stopień ochrony, w tym EU-U.S. Data Privacy Framework w zakresie objętym ważną certyfikacją odbiorcy. Dobór instrumentu zależy od odbiorcy, zakresu przekazania i ról stron.

§ 7. Naruszenia ochrony danych

1. Procesor zawiadamia Administratora o naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od jego stwierdzenia, na adres e-mail konta. Przekazuje informacje wskazane w art. 33 ust. 3 RODO w dostępnym zakresie i uzupełnia je sukcesywnie.
2. Procesor prowadzi procedurę reagowania i rejestr naruszeń oraz współdziała przy ocenie ryzyka, zgłoszeniu do organu nadzorczego i zawiadomieniu osób. Termin umowny nie ogranicza obowiązku przekazania dostępnych informacji wcześniej, bez zbędnej zwłoki.
3. Administrator zgłasza naruszenia i podejrzenia naruszeń na hello@velorislex.com.

§ 8. Audyt

1. Administrator ma prawo do audytu zgodności przetwarzania z DPA raz w roku kalendarzowym oraz po istotnym naruszeniu. Audyt odbywa się po pisemnym zawiadomieniu z 30-dniowym wyprzedzeniem, w godzinach pracy Procesora, w sposób chroniący bezpieczeństwo danych innych administratorów. Postanowienie to nie ogranicza uprawnień wynikających z bezwzględnie obowiązującego prawa ani kompetencji organu nadzorczego.
2. Procesor może przedstawić dokumentację bezpieczeństwa, wyniki testów oraz raporty i certyfikaty dostawców, o ile są wystarczające do wykazania zgodności w zakresie audytu.
3. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie DPA przez Procesora.

§ 9. Obowiązki Administratora

Administrator:

1. dysponuje uprawnieniem do powierzenia danych i odpowiednią podstawą ich przetwarzania, także gdy dane podlegają art. 9 lub 10 RODO;
2. realizuje obowiązki informacyjne wobec osób, których dane dotyczą;
3. ocenia dopuszczalność użycia usługi w konkretnej sprawie z uwzględnieniem tajemnicy zawodowej, kategorii danych, odbiorców i transferów;
4. przekazuje dane niezbędne do określonego zadania, korzysta z dostępnych narzędzi ograniczania danych i uwzględnia odrębność przetwarzania skanów oraz oryginalnych plików PDF;
5. zapewnia, że z kont imiennych korzystają wyłącznie uprawnione osoby, oraz weryfikuje wygenerowane projekty przed ich wykorzystaniem.

§ 10. Odpowiedzialność

1. Odpowiedzialność Procesora wobec Administratora z tytułu DPA jest ograniczona do sumy wynagrodzenia zapłaconego przez Administratora za usługę w okresie 3 miesięcy poprzedzających zdarzenie wywołujące szkodę, z zastrzeżeniem odpowiedzialności, której nie można wyłączyć ani ograniczyć na mocy bezwzględnie obowiązujących przepisów, w tym art. 82 RODO wobec osób, których dane dotyczą.
2. Ograniczenie nie dotyczy szkód wyrządzonych umyślnie.

§ 11. Zakończenie przetwarzania

1. DPA obowiązuje przez czas korzystania z usługi oraz wykonywania obowiązków zwrotu lub usunięcia danych. Obowiązki poufności zachowują moc po zakończeniu usługi.
2. Usunięcie konta uruchamia usuwanie danych konta i powiązanych danych aplikacji. Administrator może przed usunięciem skorzystać z eksportu danych udostępnianego w ustawieniach. Eksport ten nie stanowi archiwum zakończonych rozmów i dokumentów.
3. Żądanie dotyczące pozostałych powierzonych danych, w tym załącznika pozostawionego po przerwanym przesłaniu, Administrator przekazuje na hello@velorislex.com. Usunięcie danych z aktywnej aplikacji nie oznacza jednoczesnego usunięcia wszystkich kopii i danych u każdego dostawcy; zastosowanie mają obowiązki z § 5 pkt 7 oraz warunki dostawców wskazane w Załączniku B.
4. Dane, które Procesor lub operator płatności przetwarza jako odrębny administrator dla własnych obowiązków prawnych, rozliczeń lub dochodzenia roszczeń, podlegają zasadom opisanym w Polityce prywatności, a nie poleceniu usunięcia danych powierzonych. Dane rozliczeniowe nie obejmują treści dokumentów przygotowywanych w VelorisLex.

§ 12. Postanowienia końcowe

1. Zmiana DPA następuje w trybie zmiany Regulaminu. Zmiana istotna wymaga ponownej akceptacji przez Administratora. Zmiany listy podprocesorów podlegają § 6.
2. Prawem właściwym jest prawo polskie. Sądem właściwym jest sąd właściwy dla siedziby Procesora, z zastrzeżeniem przepisów bezwzględnie obowiązujących.
3. Bieżący tekst DPA jest dostępny pod https://www.velorislex.com/legal/dpa. Administrator może utrwalić udostępniony tekst we własnych zasobach.

Załącznik A — Środki techniczne i organizacyjne

Załącznik B — Dostawcy uczestniczący w przetwarzaniu

1. Podprocesorzy w zakresie danych powierzonych

Poniższa lista obejmuje przetwarzanie na potrzeby usługi oraz obsługi związanych z nią zgłoszeń, w zakresie, w jakim dostawca otrzymuje dane powierzone przez Administratora. Lokalizacja zasobu jest odrębna od siedziby kontrahenta i podstawy prawnej transferu. SCC oznacza standardowe klauzule umowne Komisji Europejskiej, a DPF — EU-U.S. Data Privacy Framework.

2. Przechowywanie po stronie dostawców

1. Warunki komercyjne Anthropic przewidują usuwanie danych wejściowych i wyjściowych API standardowo w ciągu 30 dni. Dłuższe okresy mogą dotyczyć obowiązków prawnych i kontroli bezpieczeństwa: treści oznaczonych jako naruszające zasady do 2 lat oraz wyników klasyfikacji do 7 lat. Nie jest to usługa objęta zapewnieniem VelorisLex o zerowej retencji dostawcy. Warunki komercyjne zabraniają Anthropic trenowania modeli na treściach klienta objętych tymi warunkami. Warunki komercyjne, retencja API.
2. Azure AI Document Intelligence przechowuje dane wejściowe i wyniki przez 24 godziny po zakończeniu analizy, a następnie automatycznie je usuwa, zgodnie z dokumentacją dostawcy. Przetwarzanie i usuwanie danych OCR.
3. Wygaśnięcie wpisów Upstash określone w § 4 dotyczy pamięci podręcznej aplikacji. Kopie i dzienniki dostawcy mają odrębne zasady. Po zakończeniu umowy dostawca przewiduje usunięcie lub zwrot danych oraz wyłączenie z użycia kopii oczekujących na usunięcie. DPA Upstash.
4. Resend przetwarza treści wiadomości i dane ich obsługi podczas świadczenia usługi; warunki przewidują usunięcie danych klienta w ciągu 90 dni od zakończenia umowy. Nie jest to termin liczony od wysłania pojedynczej wiadomości. DPA Resend.
5. Przechowywanie danych technicznych, kopii i korespondencji u pozostałych dostawców podlega zakresowi usługi, konfiguracji konta oraz ich warunkom ochrony danych. Samo usunięcie konta w VelorisLex nie kończy umów Procesora z tymi dostawcami.

3. Odrębne zakresy przetwarzania

Stripe Payments Europe, Limited obsługuje płatności i subskrypcje. Otrzymuje dane rozliczeniowe i dane niezbędne do płatności, a nie treść spraw i dokumentów przygotowywanych w VelorisLex. W odpowiednich zakresach występuje jako procesor oraz jako samodzielny administrator, w szczególności przy realizacji obowiązków prawnych i zapobieganiu nadużyciom. Dane rozliczeniowe i dokumenty księgowe są obsługiwane również przez Procesora w jego własnych celach; faktury wystawia Procesor w odrębnym systemie księgowym. DPA Stripe.

Vercel w zakresie danych o korzystaniu z własnej usługi i danych kontaktowych może działać jako odrębny administrator na zasadach swojego DPA. Zakres ten należy odróżnić od przetwarzania treści aplikacji na zlecenie Procesora. DPA Vercel.

Notion służy do przechowywania szablonów i instrukcji Procesora. Aplikacja nie przekazuje do niego treści spraw, dokumentów ani danych kont Administratora. Krajowy Rejestr Sądowy jest publicznym rejestrem, do którego aplikacja kieruje zapytania o podmiot wskazany przez użytkownika; organ prowadzący rejestr nie jest podprocesorem Procesora.

4. Źródła i daty weryfikacji