Umowa powierzenia przetwarzania danych osobowych

Wersja 1.0 · obowiązuje od 9 listopada 2026

Strony i zawarcie umowy

Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa powierzenia”) stanowi Załącznik nr 1 do Regulaminu DentalAudit Pro (dalej: „Regulamin”) i zostaje zawarta pomiędzy:

ADMINISTRATOREM: Klientem korzystającym z DentalAudit Pro na podstawie Regulaminu, którego dane (nazwa gabinetu, adres e-mail osoby akceptującej, a po zakupie Planu także dane do faktury) zostały zapisane w Aplikacji wraz z zapisem akceptacji (dalej: „Administrator”),

a

PODMIOTEM PRZETWARZAJĄCYM: Excellent Patient Service sp. z o.o. z siedzibą w Boguchwale, ul. Lubomirskiego 39E, 36-040 Boguchwała, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w Rzeszowie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0000429303, NIP 5170359961, REGON 180874009, kapitał zakładowy 5 000,00 zł, e-mail: biuro@doskonalaobslugapacjenta.pl, udostępniającą aplikację DentalAudit Pro pod adresem app.dentalauditpro.pl (dalej: „Podmiot przetwarzający”),

dalej łącznie „Stronami”, a każda z osobna „Stroną”.

Umowa powierzenia zostaje zawarta z chwilą jej zaakceptowania przez Administratora przy zakładaniu Konta (razem z Regulaminem i Polityką prywatności) albo — u Klienta z Umową indywidualną — przy jej zaakceptowaniu w Aplikacji. Akceptacja jest zapisywana w Aplikacji wraz z datą, numerem wersji dokumentu i adresem e-mail osoby akceptującej.

§ 1. Definicje

1. RODO — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).
2. Usługa — usługa DentalAudit Pro świadczona przez Podmiot przetwarzający na zasadach Regulaminu: udostępnianie Aplikacji do audytu finansowego i operacyjnego praktyki, a w Planie Premium także analiza danych praktyki.
3. Dane osobowe — dane osobowe w rozumieniu art. 4 pkt 1 RODO, które Administrator powierza Podmiotowi przetwarzającemu na podstawie Umowy powierzenia, opisane w § 4.
4. Dane szczególnych kategorii — dane, o których mowa w art. 9 ust. 1 RODO, w tym dane dotyczące zdrowia.
5. Dalszy podmiot przetwarzający — podmiot, któremu Podmiot przetwarzający powierza dalej przetwarzanie Danych osobowych w celu świadczenia Usługi.
6. Naruszenie ochrony danych — naruszenie w rozumieniu art. 4 pkt 12 RODO.
7. EOG — Europejski Obszar Gospodarczy.

Pojęcia niezdefiniowane w Umowie powierzenia (m.in. Aplikacja, Klient, Konto, Folder klienta, Plan, Okres dostępu, Umowa indywidualna) mają znaczenie nadane im w Regulaminie albo w RODO.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych osobowych w zakresie i na zasadach Umowy powierzenia, a Podmiot przetwarzający zobowiązuje się przetwarzać je wyłącznie w opisanym celu i sposobie.
2. Przedmiotem przetwarzania są dane osobowe zawarte w danych, które Administrator i jego Użytkownicy wprowadzają do Folderu klienta albo które Aplikacja pobiera na ich polecenie z połączonych usług (np. KSeF, arkusz Google udostępniony przez Administratora).
3. Charakter przetwarzania obejmuje: przechowywanie danych i plików, porządkowanie ich i wykonywanie obliczeń (rachunek wyników, budżety, koszt godziny, wskaźniki pracy gabinetu i personelu), odczyt treści faktur i dokumentów z użyciem modelu sztucznej inteligencji, pobieranie faktur z KSeF, przygotowanie raportów i zaleceń (w Planie Premium także przez eksperta Podmiotu przetwarzającego), udostępnianie wyników Użytkownikom Administratora zgodnie z ich uprawnieniami oraz zwrot i usuwanie danych.
4. Celem przetwarzania jest świadczenie Usługi na rzecz Administratora.
5. Podmiot przetwarzający przetwarza Dane osobowe wyłącznie na udokumentowane polecenie Administratora, co dotyczy także przekazywania danych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek taki nakłada na niego prawo Unii Europejskiej lub prawo polskie; w takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo nie zabrania takiej informacji z uwagi na ważny interes publiczny.
6. Udokumentowanym poleceniem Administratora są postanowienia Regulaminu i Umowy powierzenia, ustawienia i czynności wykonywane przez Użytkowników Administratora w Aplikacji (np. wgranie pliku, połączenie KSeF lub arkusza Google) oraz polecenia przekazane na piśmie albo w formie dokumentowej, w tym e-mailem.
7. Jeżeli polecenie Administratora narusza w ocenie Podmiotu przetwarzającego RODO lub inne przepisy o ochronie danych, Podmiot przetwarzający niezwłocznie informuje o tym Administratora.

§ 3. Czas trwania przetwarzania

1. Przetwarzanie trwa przez czas świadczenia Usługi, a po jego zakończeniu — do zwrotu albo usunięcia danych na zasadach § 9.
2. Postanowienia dotyczące poufności i odpowiedzialności obowiązują także po zakończeniu Umowy powierzenia.

§ 4. Rodzaj danych osobowych i kategorie osób

Dane kont Użytkowników potrzebne do logowania (adres e-mail, skrót hasła, dane logowania i dziennik zmian uprawnień) Podmiot przetwarzający przetwarza jako administrator, na zasadach Polityki prywatności. Tak samo dane rozliczeniowe Administratora (dane do faktury i płatności).

§ 5. Dane szczególnych kategorii

1. Aplikacja nie służy do prowadzenia dokumentacji medycznej. Administrator nie wprowadza do niej informacji o stanie zdrowia pacjentów w zakresie szerszym, niż wymaga tego dana funkcja.
2. Jeżeli dane wprowadzone przez Administratora obejmują Dane szczególnych kategorii (np. informację o rodzaju planowanego leczenia przy pacjencie w lejku), Administrator zapewnia podstawę ich przetwarzania zgodnie z art. 9 ust. 2 RODO, w szczególności lit. h (opieka zdrowotna, z zachowaniem tajemnicy zawodowej z art. 9 ust. 3 RODO), i odpowiada za jej udokumentowanie.
3. Ocena skutków dla ochrony danych (art. 35 RODO), jeżeli jest wymagana, należy do Administratora. Podmiot przetwarzający wspiera go na zasadach § 7 ust. 1 lit. f.

§ 6. Środki techniczne i organizacyjne (art. 32 RODO)

1. Podmiot przetwarzający, uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko naruszenia praw lub wolności osób fizycznych, stosuje środki zapewniające stopień bezpieczeństwa odpowiadający temu ryzyku.
2. Stosowane środki obejmują w szczególności:
   • szyfrowanie połączeń (TLS);
   • przechowywanie skrótów haseł zamiast haseł;
   • szyfrowanie tokenów i kluczy dostępu do usług zewnętrznych, w tym KSeF;
   • oddzielenie danych poszczególnych Klientów i dostęp do Folderu klienta wyłącznie dla osób z uprawnieniem do tego folderu;
   • dziennik zmian uprawnień i logowań;
   • kopie zapasowe bazy danych;
   • przekazywanie do modelu sztucznej inteligencji wyłącznie treści dokumentu, który ma zostać odczytany.
3. Podmiot przetwarzający zapewnia poufność, integralność, dostępność i odporność systemów przetwarzania oraz okresowo przegląda i w razie potrzeby aktualizuje stosowane środki.

§ 7. Obowiązki Podmiotu przetwarzającego (art. 28 ust. 3 RODO)

1. Podmiot przetwarzający zobowiązuje się:
   1. przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie Administratora, na zasadach § 2;
   2. dopuszczać do przetwarzania wyłącznie osoby upoważnione, zobowiązane do zachowania poufności lub podlegające ustawowemu obowiązkowi poufności;
   3. stosować środki wymagane na mocy art. 32 RODO, opisane w § 6;
   4. przestrzegać warunków korzystania z dalszych podmiotów przetwarzających określonych w § 10;
   5. pomagać Administratorowi, w miarę możliwości za pomocą odpowiednich środków technicznych i organizacyjnych, w odpowiadaniu na żądania osób, których dane dotyczą, w zakresie ich praw z rozdziału III RODO; żądanie skierowane bezpośrednio do Podmiotu przetwarzającego przekazuje on niezwłocznie Administratorowi;
   6. pomagać Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne mu informacje;
   7. po zakończeniu świadczenia Usługi zwrócić albo usunąć Dane osobowe na zasadach § 9, chyba że prawo nakazuje ich przechowywanie;
   8. udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwiać audyty na zasadach § 8.

§ 8. Audyt i obowiązki informacyjne

1. Na pisemny lub e-mailowy wniosek Administratora Podmiot przetwarzający udostępnia informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i Umowy powierzenia.
2. Administrator może przeprowadzić audyt, w tym inspekcję, osobiście lub przez audytora zobowiązanego do zachowania poufności.
3. Audyt nie może naruszać poufności i bezpieczeństwa danych innych Klientów ani w nieproporcjonalny sposób zakłócać świadczenia Usługi.
4. Administrator zawiadamia o audycie co najmniej 14 dni wcześniej. Audyt odbywa się w uzgodnionym terminie, w godzinach pracy Podmiotu przetwarzającego, nie częściej niż raz w roku kalendarzowym — z wyjątkiem audytu po Naruszeniu ochrony danych albo na żądanie organu nadzorczego.
5. Każda Strona ponosi własne koszty audytu.

§ 9. Zwrot i usunięcie danych

1. W trakcie Okresu dostępu Dane osobowe są przechowywane w Folderze klienta. Administrator może je w każdej chwili usunąć w Aplikacji albo polecić ich usunięcie lub zwrot.
2. Po upływie Okresu dostępu bez przedłużenia dostęp do Planu wygasa, a dane Folderu klienta pozostają zapisane, żeby po przedłużeniu Administrator mógł do nich wrócić.
3. Administrator może w każdej chwili polecić zwrot danych w powszechnie używanym formacie plików albo ich usunięcie. Podmiot przetwarzający wykonuje polecenie najpóźniej w ciągu 60 dni.
4. Jeżeli Administrator nie przedłuży dostępu ani nie wyda polecenia z ust. 3, Podmiot przetwarzający przechowuje dane nie dłużej niż 12 miesięcy od końca Okresu dostępu, a następnie je usuwa, informując Administratora e-mailem co najmniej 30 dni wcześniej.
5. Usunięcie obejmuje wszystkie istniejące kopie danych, z wyjątkiem przypadków, w których prawo Unii Europejskiej lub prawo polskie nakazuje ich przechowywanie.
6. Dzienniki zdarzeń (logi) są przechowywane do 12 miesięcy.
7. Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie lub zwrot danych.

§ 10. Dalsze podmioty przetwarzające

1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających w celu świadczenia Usługi, na zasadach tego paragrafu.
2. Administrator akceptuje dalsze podmioty przetwarzające wymienione poniżej, w zakresie wskazanych zadań:

   #	Podmiot	Zadanie	Miejsce przetwarzania
   1	Railway Corporation (USA)	serwery Aplikacji i baza danych	USA i UE
   2	Cloudflare, Inc. (usługa R2)	przechowywanie wgranych plików (faktury, arkusze, zdjęcia)	UE (magazyn w jurysdykcji UE)
   3	Anthropic (dla EOG: Anthropic Ireland, Limited)	odczyt treści faktur i dokumentów przez model sztucznej inteligencji	USA
   4	Sendinblue SAS (Brevo), Francja	wysyłka e-maili z Aplikacji: zaproszenia, kody i linki logowania	UE
   5	Google LLC / Google Ireland Limited	Kalendarz i Meet, Google Ads, Arkusze Google — wyłącznie po połączeniu danej usługi przez Użytkownika	UE i USA
   6	Meta Platforms Ireland Limited	odczyt wyników kampanii — wyłącznie po połączeniu konta reklamowego przez Użytkownika	UE i USA

3. Poza wykazem pozostają podmioty, które nie przetwarzają Danych osobowych powierzonych na podstawie Umowy powierzenia:
   • ING Bank Śląski S.A. z siedzibą w Katowicach (bramka płatnicza ING Pay, imoje) — obsługuje płatność za Plan jako odrębny administrator danych płatniczych; otrzymuje wyłącznie dane potrzebne do płatności (kwota, numer zamówienia, imię, nazwisko, adres e-mail płacącego);
   • Fakturownia sp. z o.o. — system wystawiania faktur, przetwarzający dane rozliczeniowe Administratora (nabywcy) na zlecenie Podmiotu przetwarzającego jako ich administratora, bez dostępu do danych z Folderu klienta;
   • Minister Finansów jako administrator KSeF — Aplikacja pobiera faktury z KSeF na polecenie Administratora, który sam nadał uprawnienie lub podłączył certyfikat.
4. Zamiar dodania lub zastąpienia dalszego podmiotu przetwarzającego Podmiot przetwarzający ogłasza Administratorowi w Aplikacji lub e-mailem co najmniej 14 dni wcześniej. Administrator może w tym terminie wnieść uzasadniony sprzeciw. Do czasu jego rozpatrzenia Podmiot przetwarzający nie przekazuje Danych osobowych Administratora nowemu podmiotowi.
5. Jeżeli Strony nie uzgodnią rozwiązania, a brak możliwości skorzystania z danego podmiotu uniemożliwia świadczenie Usługi w niezmienionym kształcie, każda Strona może rozwiązać Umowę w części dotkniętej sporem albo Administrator może zaprzestać korzystania z odpowiedniej funkcji Aplikacji.
6. Podmiot przetwarzający nakłada na każdy dalszy podmiot przetwarzający, w drodze umowy lub innego instrumentu prawnego, obowiązki ochrony danych odpowiadające Umowie powierzenia. Za niewywiązanie się dalszego podmiotu przetwarzającego z obowiązków ochrony danych Podmiot przetwarzający odpowiada wobec Administratora jak za własne działanie.

§ 11. Przekazywanie danych poza EOG

1. Część dalszych podmiotów przetwarzających (Railway, Anthropic, Google, Meta) ma siedzibę w USA lub przetwarza tam dane. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) wobec podmiotów, które do niego przystąpiły, albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (decyzja wykonawcza 2021/914).
2. Na wniosek Administratora Podmiot przetwarzający udostępnia informację o zastosowanym zabezpieczeniu.
3. Przekazanie danych do innego państwa trzeciego wymaga trybu z § 10 ust. 4 oraz ważnego mechanizmu z rozdziału V RODO.

§ 12. Naruszenia ochrony danych

1. Po stwierdzeniu Naruszenia ochrony danych dotyczącego Danych osobowych Podmiot przetwarzający zgłasza je Administratorowi bez zbędnej zwłoki.
2. Zgłoszenie zawiera, w zakresie dostępnym Podmiotowi przetwarzającemu, informacje potrzebne Administratorowi do wykonania obowiązków z art. 33 i 34 RODO: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i wpisów, prawdopodobne konsekwencje oraz zastosowane lub proponowane środki. Informacje, których nie da się przekazać od razu, Podmiot przetwarzający przekazuje sukcesywnie.
3. Zgłoszenie naruszenia Prezesowi Urzędu Ochrony Danych Osobowych i zawiadomienie osób, których dane dotyczą, należy do Administratora; Podmiot przetwarzający go w tym wspiera.

§ 13. Odpowiedzialność

1. Strony odpowiadają za szkody spowodowane przetwarzaniem na zasadach art. 82 RODO i przepisów prawa polskiego.
2. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem wyłącznie wtedy, gdy nie dopełnił obowiązków nałożonych przez RODO bezpośrednio na podmioty przetwarzające albo działał poza zgodnymi z prawem poleceniami Administratora lub wbrew nim.
3. Ograniczenia odpowiedzialności z Regulaminu stosuje się odpowiednio w zakresie dopuszczalnym przez prawo; nie ograniczają one odpowiedzialności wynikającej z bezwzględnie obowiązujących przepisów o ochronie danych osobowych.

§ 14. Współpraca z organem nadzorczym

Podmiot przetwarzający współpracuje z Administratorem oraz, na żądanie, z Prezesem Urzędu Ochrony Danych Osobowych w zakresie zadań tego organu dotyczących powierzonego przetwarzania.

§ 15. Postanowienia końcowe

1. W sprawach przetwarzania Danych osobowych, w razie sprzeczności z Regulaminem, pierwszeństwo ma Umowa powierzenia.
2. Jeżeli Administrator zawarł z Podmiotem przetwarzającym odrębną umowę powierzenia (np. razem z Umową indywidualną), w sprawach w niej uregulowanych ma ona pierwszeństwo przed niniejszą Umową powierzenia.
3. Prawem właściwym jest prawo polskie; w sprawach nieuregulowanych stosuje się w szczególności RODO, ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych i Kodeks cywilny. Spory rozstrzyga sąd właściwy według Regulaminu.
4. Zmiany Umowy powierzenia następują w trybie przewidzianym dla zmian Regulaminu (§ 21 Regulaminu), z zastrzeżeniem trybu zmiany wykazu dalszych podmiotów przetwarzających z § 10.
5. Umowa powierzenia w wersji 1.0 wchodzi w życie z dniem 9 listopada 2026.

Excellent Patient Service sp. z o.o., ul. Lubomirskiego 39E, 36-040 Boguchwała · biuro@doskonalaobslugapacjenta.pl