Aktualizacja: 5 października 2026
Niniejsza umowa zostaje zawarta między firmą korzystającą z Ally-agent („Administrator”) a operatorem usługi wskazanym w nocie prawnej („Podmiot przetwarzający”). Stanowi część umowy o świadczenie usługi i obowiązuje od chwili rozpoczęcia korzystania z usługi, dopóki usługa jest używana.
Administrator decyduje, po co i jak przetwarzane są dane osobowe jego klientów, i pozostaje odpowiedzialny za podstawę prawną tego przetwarzania. Podmiot przetwarzający przetwarza dane wyłącznie w imieniu Administratora, jak opisano tutaj.
Podmiot przetwarzający dostarcza asystenta AI z bazą klientów i kalendarzem. W imieniu Administratora odpowiada na zapytania w komunikatorach, na stronie i — jeśli włączono — przez telefon; tworzy, przenosi i odwołuje rezerwacje; wysyła przypomnienia, prośby o opinię i wiadomości redagowane przez Administratora; prowadzi bazę klientów; pokazuje Administratorowi analitykę policzoną z jego własnych danych.
Przetwarzanie trwa przez okres umowy o świadczenie usługi i kończy się usunięciem lub zwrotem danych, jak opisano poniżej.
Osoby, których dane dotyczą: klienci Administratora i osoby, które się z nim kontaktują; pracownicy Administratora korzystający z usługi (konta, role, godziny pracy).
Dane: imię i nazwisko, numer telefonu, identyfikatory i nazwy kont w komunikatorach, język; treść wiadomości i połączeń, w tym transkrypcje oraz — jeśli Administrator to włączy — nagrania rozmów; rezerwacje (usługa, czas, pracownik, cena, status); notatki i tagi dodawane przez Administratora; oznaczenia zgody i rezygnacji; zapisy techniczne potrzebne do dostarczania wiadomości.
Usługa nie jest przeznaczona do szczególnych kategorii danych. Jeśli Administrator jest placówką medyczną, sam fakt rezerwacji może ujawniać informację o zdrowiu; Administrator pozostaje odpowiedzialny za podstawę prawną takiego przetwarzania i odpowiednio instruuje Podmiot przetwarzający.
Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora: niniejszą umowę, ustawienia dokonywane przez Administratora w usłudze (kanały, baza wiedzy, zasady, uprawnienia zespołu) oraz każde polecenie na piśmie. Jeśli Podmiot przetwarzający uzna, że polecenie narusza przepisy o ochronie danych, niezwłocznie informuje o tym Administratora.
Każda osoba działająca z upoważnienia Podmiotu przetwarzającego i mająca dostęp do danych osobowych jest zobowiązana do zachowania poufności.
Środki techniczne i organizacyjne: dane są przechowywane i przetwarzane w Unii Europejskiej (AWS, region Frankfurt); są szyfrowane w trakcie przesyłania i w spoczynku; każda firma ma własny, odizolowany schemat bazy danych, więc żadne zapytanie jednej firmy nie sięga danych innej; dostęp jest oparty na rolach, a właściciel decyduje, którzy członkowie widzą bazę klientów, przychód i eksport; eksporty i dostęp platformy do danych firmy są zapisywane w dzienniku audytu; dane uwierzytelniające i klucze są przechowywane w zarządzanym magazynie sekretów; baza danych jest automatycznie kopiowana codziennie; podczas połączeń telefonicznych asystent informuje, że jest AI i że rozmowa może być nagrywana.
Administrator udziela ogólnej zgody na następujące dalsze podmioty przetwarzające: Amazon Web Services (hosting, baza danych, kopie zapasowe oraz modele AI udostępniane przez Amazon Bedrock w regionie UE); Meta — WhatsApp, Instagram i Messenger — oraz Telegram, każdy tylko wtedy, gdy Administrator podłączy dany kanał; Twilio (telefonia) i ElevenLabs (synteza mowy i obsługa połączeń), tylko gdy Administrator włączy połączenia telefoniczne.
Podmiot przetwarzający informuje Administratora o zamierzonym dodaniu lub zastąpieniu z co najmniej 14-dniowym wyprzedzeniem. Administrator może wnieść sprzeciw z uzasadnionych przyczyn; jeśli nie uda się znaleźć rozwiązania, może zakończyć korzystanie z objętej tym części usługi.
Hosting, baza danych i modele AI pozostają w Unii Europejskiej. Dostawcy komunikatorów i telefonii mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym na własnych warunkach; w takim przypadku przekazanie opiera się na standardowych klauzulach umownych Komisji Europejskiej lub decyzji stwierdzającej odpowiedni stopień ochrony. Które z tych kanałów podłączyć, wybiera Administrator.
Dane osobowe klienta są przechowywane 12 miesięcy od jego ostatniego kontaktu z Administratorem — rezerwacji, wiadomości lub połączenia — a następnie automatycznie anonimizowane: imię i nazwisko, numer telefonu, identyfikatory komunikatorów, notatki i tagi są usuwane, a rezerwacje pozostają jako anonimowa statystyka wizyt.
Na żądanie Administratora — lub gdy klient zwróci się do Administratora albo bezpośrednio do Podmiotu przetwarzającego — Podmiot przetwarzający usuwa dane osobowe klienta bez zbędnej zwłoki, najpóźniej w ciągu 30 dni, w ten sam sposób. Administrator może to zrobić sam w każdej chwili z karty klienta. Każdy eksport bazy klientów jest rejestrowany: kto, kiedy i ile wierszy.
Po zakończeniu umowy o świadczenie usługi Administrator może eksportować swoje dane przez 30 dni; następnie Podmiot przetwarzający usuwa dane osobowe i zachowuje wyłącznie zanonimizowane agregaty, chyba że prawo Unii lub państwa członkowskiego wymaga dłuższego przechowywania. Kopie zapasowe są nadpisywane w zwykłej rotacji w ciągu kilku dni.
Uwzględniając charakter przetwarzania, Podmiot przetwarzający pomaga Administratorowi w odpowiadaniu na żądania wykonania praw: dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia (bazę klientów można wyeksportować) i sprzeciwu (klient, który odpowie słowem stop, nie otrzymuje kolejnych wiadomości). Żądania trafiające bezpośrednio do Podmiotu przetwarzającego są bez zbędnej zwłoki przekazywane Administratorowi.
Podmiot przetwarzający pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, w tym w ocenie skutków dla ochrony danych i uprzednich konsultacjach z organem nadzorczym, uwzględniając dostępne mu informacje.
Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, najpóźniej w ciągu 48 godzin od stwierdzenia naruszenia, wraz z informacjami potrzebnymi Administratorowi do jego własnego zgłoszenia, i współdziała w jego opanowaniu i wyjaśnieniu.
Podmiot przetwarzający udostępnia wszelkie informacje niezbędne do wykazania zgodności z niniejszą umową oraz umożliwia i wspiera audyty, w tym inspekcje, prowadzone przez Administratora lub upoważnionego przez niego audytora: raz w dowolnym okresie 12 miesięcy lub po naruszeniu ochrony danych, z 30-dniowym uprzedzeniem, w godzinach pracy, pod zobowiązaniem do poufności i na koszt Administratora.
Niniejsza umowa obowiązuje tak długo, jak umowa o świadczenie usługi; obowiązki usunięcia i poufności trwają po jej zakończeniu. Odpowiedzialność wynika z umowy o świadczenie usługi i art. 82 RODO. Prawo właściwe i sąd są takie jak w umowie o świadczenie usługi; w sprawach danych osobowych pierwszeństwo ma niniejsza umowa.
Pytania dotyczące niniejszej umowy należy kierować na adres kontaktowy podany w nocie prawnej.