Umowa powierzenia przetwarzania danych osobowych

Wzór umowy, którą kancelaria (administrator danych) zawiera z Bennovate sp. z o.o. (podmiot przetwarzający) na podstawie art. 28 RODO. Sednem jest architektura local-first: treść spraw Kancelarii nie trafia do infrastruktury Bennovate. Zakres powierzenia zależy od tieru abonamenckiego — w tierach zarządzanych (Starter, Practice) obejmuje on również zapytania AI kierowane przez prawnika za pośrednictwem klucza API Bennovate do dostawcy modelu językowego, który jest podmiotem podprzetwarzającym Bennovate (art. 28 ust. 2 RODO) ujętym w Rejestrze podprocesorów; w tierze Enterprise (BYOK) Kancelaria zawiera umowę z dostawcą modelu językowego samodzielnie, a powierzenie ogranicza się do danych konta i logów. Podział opisany jest szczegółowo w § 11.

§ 1. Strony umowy

Umowa powierzenia przetwarzania danych osobowych (dalej: Umowa powierzenia) wiąże:

1) administratora danych — kancelarię adwokacką, kancelarię radcy prawnego, spółkę partnerską adwokatów lub radców prawnych albo inny podmiot wykonujący zawód prawniczy (dalej: Kancelaria), którego dane wskazano w formularzu rejestracyjnym na stronie prawnik.avantwerk.pl;

oraz

2) podmiot przetwarzający — Bennovate spółkę z ograniczoną odpowiedzialnością z siedzibą w Łodzi (ul. Christiana Andersena 25, 94-118 Łódź), KRS 0000597272, NIP 7272799328, REGON 363700466 (dalej: Bennovate lub Podmiot przetwarzający).

§ 2. Podstawa prawna i przedmiot

1. Umowa powierzenia jest umową w rozumieniu art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: RODO).
2. Kancelaria powierza Bennovate przetwarzanie danych osobowych w zakresie i celu opisanym poniżej, w związku ze świadczeniem usługi Avantwerk Legal AI na warunkach Regulaminu świadczenia usług.

§ 3. Zakres powierzenia — architektura local-first

1. Dzięki architekturze local-first treść spraw Kancelarii — w tym dane osobowe klientów Kancelarii zawarte w dokumentach — nie trafia do infrastruktury Bennovate. Pliki spraw pozostają wyłącznie na dysku Kancelarii.
2. Zakres powierzenia obejmuje, zależnie od tieru abonamenckiego:
   1. dane konta Kancelarii i prawników (imię, nazwisko, adres e-mail, numer wpisu na listę adwokatów lub radców prawnych, nazwa kancelarii, dane do faktury) — we wszystkich tierach;
   2. logi systemowe niezbędne dla bezpieczeństwa i dostępności usługi (adres IP, czas logowania, typ przeglądarki) — we wszystkich tierach;
   3. metadane operacyjne związane z działaniem konta — we wszystkich tierach;
   4. zapytania AI przesyłane przez prawnika Kancelarii do dostawcy modelu językowego za pośrednictwem klucza API Bennovate — wyłącznie w tierach zarządzanych (Starter, Practice); dostawca modelu językowego jest w tych tierach podmiotem podprzetwarzającym Bennovate w rozumieniu art. 28 ust. 2 RODO, ujętym w Rejestrze podprocesorów Bennovate (poz. SP-02), i objętym szczegółowymi warunkami opisanymi w § 11 ust. 1. W tierze Enterprise (BYOK) Kancelaria kieruje zapytania AI bezpośrednio do wybranego przez siebie dostawcy modelu językowego na podstawie odrębnej umowy zawartej przez Kancelarię — ta ścieżka nie jest objęta niniejszą Umową powierzenia; zob. § 11 ust. 2.
3. Powierzenie nie obejmuje treści dokumentów spraw ani danych osobowych klientów Kancelarii zawartych w prowadzonych przez nią sprawach.

§ 4. Cele i okres przetwarzania

§ 5. Charakter danych i kategorie osób

1. Powierzenie dotyczy danych osobowych następujących osób:
   1. prawników korzystających z konta Kancelarii (adwokatów, radców prawnych, aplikantów);
   2. pracowników administracyjnych Kancelarii obsługujących funkcje rozliczeniowe konta.
2. Powierzone kategorie danych:
   1. dane identyfikacyjne (imię, nazwisko, numer wpisu na listę);
   2. dane kontaktowe (służbowy adres e-mail, telefon);
   3. dane zawodowe (nazwa kancelarii, stanowisko, obszar praktyki);
   4. dane techniczne (adres IP, logi systemowe).

§ 6. Obowiązki Podmiotu przetwarzającego (art. 28 ust. 3 RODO)

Bennovate zobowiązuje się do:

1. przetwarzania danych wyłącznie na udokumentowane polecenie Kancelarii, także w zakresie przekazywania danych do państwa trzeciego, chyba że obowiązek taki nakłada prawo Unii lub prawo państwa członkowskiego (art. 28 ust. 3 lit. a RODO);
2. zapewnienia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi jej zachowania (art. 28 ust. 3 lit. b RODO);
3. zastosowania środków bezpieczeństwa wymaganych na podstawie art. 32 RODO, w szczególności:
   1. szyfrowania transmisji danych (TLS 1.2/1.3);
   2. kontroli dostępu do infrastruktury serwerowej z uwierzytelnianiem wieloskładnikowym;
   3. regularnego wykonywania kopii zapasowych;
   4. prowadzenia dziennika zdarzeń bezpieczeństwa;
   5. stosowania zasady minimalizacji dostępu (need-to-know);
4. przestrzegania warunków korzystania z usług innego podmiotu przetwarzającego — podprocesorzy wskazani są w § 9 i podlegają odrębnej umowie powierzenia (art. 28 ust. 3 lit. d oraz ust. 2 i 4 RODO);
5. pomocy Kancelarii — w miarę możliwości — w realizacji żądań osób, których dane dotyczą, w zakresie praw z rozdziału III RODO (art. 28 ust. 3 lit. e RODO);
6. pomocy Kancelarii w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo przetwarzania, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje — art. 28 ust. 3 lit. f RODO);
7. usunięcia lub zwrotu wszystkich danych osobowych po zakończeniu świadczenia usługi oraz usunięcia istniejących kopii — zależnie od decyzji Kancelarii — chyba że prawo Unii lub prawo państwa członkowskiego nakazuje ich przechowywanie (art. 28 ust. 3 lit. g RODO);
8. udostępniania Kancelarii informacji niezbędnych do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwienia Kancelarii lub upoważnionemu przez nią audytorowi przeprowadzania audytów, w tym inspekcji (art. 28 ust. 3 lit. h RODO).

§ 7. Zgłaszanie naruszeń

1. Bennovate niezwłocznie informuje Kancelarię o każdym naruszeniu ochrony danych osobowych, nie później niż w ciągu 24 godzin od jego stwierdzenia (art. 33 ust. 2 RODO).
2. Zgłoszenie zawiera w szczególności:
   1. opis charakteru naruszenia, w tym kategorie i przybliżoną liczbę osób, których dane dotyczą;
   2. dane kontaktowe osoby kontaktowej ds. ochrony danych Bennovate (Bartłomiej Kubas): dpo@avantwerk.com;
   3. opis możliwych następstw naruszenia;
   4. opis zastosowanych lub proponowanych środków zaradczych.

§ 8. Audyt

1. Kancelaria ma prawo zweryfikować, czy Bennovate przetwarza powierzone dane zgodnie z Umową powierzenia i RODO.
2. Audyt może przeprowadzić sama Kancelaria lub upoważniony przez nią audytor.
3. Audyt zapowiada się z co najmniej 14-dniowym wyprzedzeniem i przeprowadza nie częściej niż raz w roku, chyba że jest następstwem stwierdzonego naruszenia ochrony danych.
4. Bennovate może zrealizować prawo Kancelarii do audytu, udostępniając aktualny raport z certyfikacji ISO/IEC 27001 lub równoważny raport z niezależnego audytu zewnętrznego.

§ 9. Podprocesorzy

1. Kancelaria wyraża ogólną zgodę na korzystanie przez Bennovate z podprocesorów (art. 28 ust. 2 RODO) w zakresie niezbędnym do świadczenia usługi Avantwerk Legal AI.
2. Wiążącym i aktualnym wykazem podprocesorów jest publiczny Rejestr podprocesorów Bennovate, prowadzony pod adresem prawnik.avantwerk.pl/bezpieczenstwo i aktualizowany przy każdej zmianie składu; kopia dostępna jest również na żądanie pod dpo@avantwerk.com. Dodanie lub zastąpienie podprocesora następuje wyłącznie w trybie ust. 3 niniejszego paragrafu — tj. przez aktualizację Rejestru i powiadomienie Kancelarii z co najmniej 30-dniowym wyprzedzeniem, z zachowaniem jej prawa do wniesienia sprzeciwu (art. 28 ust. 2 RODO) — i nie wymaga aneksu do niniejszej Umowy powierzenia. Bieżący skład Rejestru jest następujący. Infrastruktura i usługi operacyjne: Hetzner Online GmbH (hosting infrastruktury serwerowej, Niemcy — EOG); HighLevel Inc. (system CRM, USA — SCC); Stripe Inc. (obsługa płatności, USA — SCC); Mailgun Technologies / Sinch (poczta transakcyjna, USA — SCC); Twilio Inc. (SMS i powiadomienia, USA — SCC); Google Ireland Ltd (Google Workspace — korespondencja i kalendarz operacyjny, Irlandia — EOG); Microsoft Ireland Operations Ltd (Microsoft 365 — dokumenty i poczta operacyjna, Irlandia — EOG). Dostawcy modelu językowego AI w tierach zarządzanych (Starter, Practice) — klucz API provisjonowany przez Bennovate; dostawca jest podmiotem podprzetwarzającym Bennovate w rozumieniu art. 28 ust. 2 RODO: Anthropic PBC (USA — podstawa transferu: standardowe klauzule umowne, decyzja wykonawcza Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. — aktywny); Amazon Web Services EMEA SARL / Amazon Bedrock, region UE (EOG — przetwarzanie pozostaje w EOG, brak transferu do państwa trzeciego — aktywny). Dostawcy modelu językowego AI w tierze Enterprise — BYOK (klucz API własny kancelarii; w tym tierze kancelaria zawiera odrębną umowę z dostawcą samodzielnie i dostawca jest podmiotem przetwarzającym wyłącznie kancelarii, nie podprzetwarzającym Bennovate — zob. § 11 ust. 2; wymienieni wyłącznie informacyjnie jako podmioty obsługiwane przez integrację produktu; jeszcze nieaktywni w żadnej kancelarii korzystającej z produktu): OpenAI, L.L.C. (USA — podstawa transferu: SCC — planowany, jeszcze nieaktywny); Google Ireland Ltd / Gemini API (Irlandia — podstawa transferu: SCC + decyzja adekwatności DPF — planowany, jeszcze nieaktywny); Microsoft Ireland Operations Ltd / Azure OpenAI Service (region wskazuje kancelaria — podstawa transferu: SCC, chyba że kancelaria potwierdzi region EOG — planowany, jeszcze nieaktywny).
3. O każdej zamierzonej zmianie dotyczącej dodania lub zastąpienia podprocesora Bennovate informuje Kancelarię z co najmniej 30-dniowym wyprzedzeniem, umożliwiając jej wniesienie sprzeciwu.
4. Bennovate nakłada na podprocesorów — w drodze odrębnej umowy powierzenia — te same obowiązki ochrony danych, jakie wynikają z niniejszej Umowy powierzenia.

§ 10. Przekazywanie danych do państw trzecich

1. Bennovate zapewnia, że powierzone dane osobowe są przekazywane poza Europejski Obszar Gospodarczy (EOG) wyłącznie:
   1. na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO); albo
   2. na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską (decyzja wykonawcza Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. — art. 46 ust. 2 lit. c RODO).
2. Główna infrastruktura serwerowa Bennovate znajduje się w Niemczech (EOG) — warstwa serwerowa nie wiąże się z transferem danych poza EOG.

§ 11. Przetwarzanie przez dostawcę AI — podział według tieru abonenckiego

1. Tiery zarządzane (Starter, Practice) — aktywni dostawcy modelu językowego jako podmioty podprzetwarzające Bennovate (art. 28 ust. 2 RODO). W tierach Starter i Practice Bennovate provisjonuje i utrzymuje klucze API dostawców modelu językowego i jest bezpośrednią stroną umów z tymi dostawcami. Zapytania przesyłane przez prawnika Kancelarii trafiają do dostawcy za pośrednictwem klucza Bennovate. Aktywni dostawcy w tierach zarządzanych — Anthropic PBC (USA) oraz Amazon Web Services EMEA SARL / Amazon Bedrock (region UE) — są podmiotami podprzetwarzającymi Bennovate w rozumieniu art. 28 ust. 2 RODO i ujęci są w Rejestrze podprocesorów Bennovate (prawnik.avantwerk.pl/bezpieczenstwo). Aktualny skład Rejestru jest każdorazowo właściwym i wiążącym wykazem podmiotów aktywnych w tierach zarządzanych; zmiana składu następuje w trybie § 9 ust. 3. Bennovate nakłada na każdego aktywnego dostawcę — w drodze odrębnej umowy powierzenia — obowiązki ochrony danych co najmniej równoważne z obowiązkami wynikającymi z niniejszej Umowy powierzenia (art. 28 ust. 4 RODO). Bennovate pozostaje w pełni odpowiedzialny wobec Kancelarii za wykonanie tych obowiązków przez każdego dostawcę ujętego w Rejestrze.
2. Tier Enterprise (BYOK) — dostawca AI Kancelarii jako jej własny podmiot przetwarzający. W tierze Enterprise Kancelaria samodzielnie zawiera umowę z wybranym dostawcą modelu językowego. Dostawca modelu językowego jest podmiotem przetwarzającym wyłącznie Kancelarii, a nie podmiotem podprzetwarzającym Bennovate, w odniesieniu do treści spraw przekazywanych bezpośrednio z przeglądarki Kancelarii. Kancelaria zawiera z tym dostawcą — we własnym zakresie — odrębną umowę powierzenia przetwarzania danych zgodną z art. 28 RODO, jako administrator danych. Bennovate nie jest stroną tej umowy ani nie jest w ścieżce danych między przeglądarką Kancelarii a jej dostawcą AI.
3. Dwie odrębne kontrole przed wysłaniem zapytania. Zanim jakiekolwiek zapytanie dotrze do dostawcy AI, działają dwie osobne kontrole. Odpowiadają na różne obowiązki i żadna nie zastępuje drugiej:
   1. Brama tajemnicy zawodowej — kontrola wyjścia działająca w trybie fail-closed, która całkowicie zatrzymuje każdy dokument oznaczony jako objęty tajemnicą zawodową oraz każdy dokument jeszcze niesklasyfikowany, tak że nie opuszcza on urządzenia Kancelarii. Odpowiada ona na obowiązek zachowania tajemnicy zawodowej (art. 6 ustawy z dnia 26 maja 1982 r. — Prawo o adwokaturze; art. 3 ust. 3 ustawy z dnia 6 lipca 1982 r. o radcach prawnych), który obejmuje samą komunikację i treść porady, a nie nazwisko klienta — pismo objęte tajemnicą pozostaje nią objęte także wtedy, gdy wykreślono z niego wszystkie nazwiska. Żadna forma usuwania identyfikatorów nie odpowiada na ten obowiązek i nie jest jako taka przedstawiana.
   2. Pseudonimizacja po stronie przeglądarki — dla materiału, który zgodnie z prawem jest wysyłany, identyfikatory z opublikowanej taksonomii Bennovate (imiona i nazwiska stron, adres, kod pocztowy, data urodzenia, PESEL, NIP, REGON, numer KRS, seria i numer dowodu osobistego, numer paszportu, numer księgi wieczystej, IBAN, sygnatura akt) są zastępowane stabilnymi tokenami w przeglądarce Kancelarii przed wysłaniem. Odpowiada to zasadzie minimalizacji danych z art. 5 ust. 1 lit. c RODO. Pełna lista klas, klasy ładowane w sprawie polskiej oraz zadeklarowane luki są opublikowane w Załączniku nr 1 do niniejszej umowy.
4. Pseudonimizacja, nie anonimizacja. Podstawienie opisane w pkt 3 lit. b jest odwracalne: tablica odwzorowania powstaje w przeglądarce Kancelarii, jest w niej używana do przywrócenia rzeczywistych wartości w zwróconym projekcie i nigdy nie jest przekazywana Bennovate, dostawcy AI ani żadnemu innemu odbiorcy. Materiał jest zatem pseudonimizowany w rozumieniu art. 4 pkt 5 RODO. Pozostaje danymi osobowymi, pozostaje w zakresie zastosowania RODO i nadal wymaga podstawy prawnej. Nie jest anonimizowany i Bennovate nie przedstawia go jako zanonimizowanego.
5. Wskazane ograniczenia. Pseudonimizacja jest funkcją działającą na tekście. Nie obejmuje treści wewnątrz obrazu, zrzutu ekranu ani skanu, ani szczególnych kategorii danych zapisanych prozą bez rozpoznawalnego wzorca. Bennovate publikuje pełną listę klas, klasy ładowane w sprawie polskiej i wskazane ograniczenia w Załączniku nr 1 do niniejszej Umowy powierzenia. Kancelaria nie może traktować żadnej z tych kontroli jako zastępującej jej własną ocenę zawodową co do tego, co może zostać wysłane.
6. Podział tierowy opisany w niniejszym paragrafie jest odzwierciedlony w wykazie podprocesorów w § 9 powyżej oraz w kopii rejestru udostępnianej na żądanie pod adresem dpo@avantwerk.com.

§ 12. Odpowiedzialność

1. Bennovate odpowiada wobec Kancelarii za niewykonanie lub nienależyte wykonanie obowiązków wynikających z Umowy powierzenia i RODO na zasadach ogólnych.
2. Odpowiedzialność Bennovate ograniczona jest do wysokości opłat abonamentowych zapłaconych przez Kancelarię w okresie 12 miesięcy poprzedzających zdarzenie wyrządzające szkodę. Ograniczenie to nie obejmuje szkód wyrządzonych umyślnie ani naruszeń ochrony danych wynikających z zawinionych działań Bennovate.

§ 13. Czas obowiązywania

1. Umowa powierzenia obowiązuje przez czas trwania umowy o świadczenie usług Avantwerk Legal AI zawartej między stronami.
2. Po zakończeniu świadczenia usługi Bennovate — stosownie do polecenia Kancelarii — usuwa lub zwraca powierzone dane osobowe oraz usuwa istniejące kopie, z wyjątkiem danych, których przechowywanie nakazują przepisy prawa.

§ 14. Postanowienia końcowe

1. W sprawach nieuregulowanych Umową powierzenia stosuje się przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000 z późn. zm.) oraz pozostałych powszechnie obowiązujących przepisów prawa polskiego.
2. Umowa powierzenia podlega prawu polskiemu.
3. Spory wynikające z Umowy powierzenia rozstrzyga sąd powszechny właściwy dla siedziby Bennovate (Łódź).
4. Zmiana Umowy powierzenia następuje w trybie właściwym dla zmiany Regulaminu świadczenia usług (§ 21 Regulaminu).

§ 15. Kontakt

W sprawach związanych z Umową powierzenia prosimy o kontakt:

Kontakt ds. ochrony danych Bennovate sp. z o.o. — Bartłomiej Kubas
E-mail: dpo@avantwerk.com
Korespondencyjnie: ul. Christiana Andersena 25, 94-118 Łódź

Załącznik nr 1 — Rejestr klas danych osobowych objętych pseudonimizacją

Niniejszy załącznik jest rejestrem, do którego odsyła klauzula o pseudonimizacji. Powstaje ze źródła taksonomii produktu i jest generowany na nowo przy każdej zmianie klasy, więc lista opublikowana i kod nie mogą się rozejść.

59 klas na 5 rynkach, z czego 18 ładuje się w sprawie polskiej, oraz 9 zadeklarowanych luk.

Klasy ładowane w sprawie polskiej

Pozostałe rynki

Zadeklarowane luki — czego mechanizm nie obejmuje

* Zakotwiczone etykietą. Klasa działa na etykiecie zapisanej obok wartości; ta sama wartość wpisana samodzielnie w zdaniu nie zostaje objęta. Mówimy to wprost, zamiast pozwolić to odkryć.

Podstawienie jest odwracalne, a więc stanowi pseudonimizację w rozumieniu art. 4 pkt 5 RODO, a nie anonimizację. Mapowanie powstaje w przeglądarce Kancelarii, tam jest używane i nigdy nie jest przesyłane. Część klas jest zakotwiczona etykietą: działa na etykiecie zapisanej obok wartości, a wartość wpisana samodzielnie nie zostaje objęta — luki dotyczące daty urodzenia i sygnatury wskazują gdzie.