na podstawie art. 28 RODO · wersja 1.0 · 4 lipca 2026 r.
Wersja 1.0. Akceptowana przez Klienta przy rejestracji (z zapisem wersji i daty). Przed masową sprzedażą zalecany końcowy przegląd przez radcę prawnego.
Administrator — Klient (Wierzyciel) korzystający z Platformy. Podmiot przetwarzający — Clean Whale Sp. z o.o. z siedzibą w Krakowie, ul. Grzegórzecka 43/2, 31-532 Kraków, NIP: 6751738063, KRS: 0000868230, REGON: 387455114 (operator WindykatorAI).
§1. Przedmiot i charakter
Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych Dłużników w zakresie i celu niezbędnym do świadczenia usług Platformy (samodzielna windykacja należności Administratora).
§2. Zakres i kategorie danych
Kategorie osób: dłużnicy Administratora (osoby fizyczne, w tym reprezentanci/kontakty firm).
Kategorie danych: dane identyfikacyjne i kontaktowe, NIP, dane o zadłużeniu i historii działań windykacyjnych.
§3. Cel i czas przetwarzania
Wyłącznie w celu realizacji usług Platformy, przez czas obowiązywania umowy głównej.
§4. Obowiązki Podmiotu przetwarzającego
Przetwarza dane wyłącznie na udokumentowane polecenie Administratora.
Zapewnia poufność osób upoważnionych do przetwarzania.
Stosuje środki bezpieczeństwa (art. 32): szyfrowanie transmisji (HTTPS) i sekretów w spoczynku, kontrola dostępu, rejestr operacji, kopie zapasowe.
Pomaga Administratorowi w realizacji praw osób (dostęp, sprostowanie, usunięcie, eksport) — Platforma udostępnia odpowiednie funkcje.
Zgłasza Administratorowi naruszenia ochrony danych bez zbędnej zwłoki.
Po zakończeniu usług usuwa lub zwraca dane, zgodnie z wyborem Administratora.
Udostępnia informacje niezbędne do wykazania zgodności i umożliwia audyty.
§5. Podpowierzenie (sub-procesorzy)
Administrator wyraża ogólną zgodę na korzystanie z następujących sub-procesorów:
Amazon Web Services EMEA SARL — hosting i poczta (SES), region UE (Frankfurt).
Postivo — listy polecone (gdy Klient włączy kanał).
Anthropic — asystent AI, domyślnie wyłączony (bez danych osobowych dłużników).
Podmiot przetwarzający informuje o zmianach listy z wyprzedzeniem i nakłada na sub-procesorów obowiązki nie mniejsze niż w niniejszej umowie.
§6. Transfery i rezydencja
Dane przetwarzane są na terenie UE/EOG. Ewentualny transfer poza EOG wymaga odpowiednich zabezpieczeń (np. standardowe klauzule umowne).
§7. Odpowiedzialność
Strony ponoszą odpowiedzialność na zasadach RODO i przepisów krajowych. Odpowiedzialność Podmiotu przetwarzającego wobec Administratora ograniczona jest do wysokości opłat wniesionych w okresie 12 miesięcy poprzedzających zdarzenie, w granicach dopuszczalnych prawem i z zastrzeżeniem art. 82 RODO wobec osób, których dane dotyczą.