Dokumenty

Umowa powierzenia przetwarzania danych osobowych

Wzór z 5 listopada 2026 r. Przed publikacją do weryfikacji przez prawnika.

Zawarta między sklepem korzystającym z tryonme („Administrator”) a Usługodawcą wskazanym w § 1 Regulaminu usługi tryonme (Avishot Digital, NIP: 5070097680) („Przetwarzający”), na podstawie art. 28 RODO. Umowa stanowi część umowy o świadczenie usługi tryonme (Regulamin) i obowiązuje przez czas jej trwania.

§ 1. Przedmiot i cel

Administrator powierza Przetwarzającemu przetwarzanie danych osobowych osób odwiedzających sklep Administratora, które korzystają z wirtualnej przymierzalni („Klientki”), wyłącznie w celu świadczenia usługi tryonme: moderacji zdjęcia, wygenerowania i pokazania przymierzenia, ochrony przed nadużyciami oraz statystyk dla Administratora.
Charakter przetwarzania: odbieranie, przechowywanie w pamięci na czas przygotowania przymierzenia, analiza automatyczna, generowanie obrazu, usuwanie.

§ 2. Rodzaj danych i kategorie osób

Kategorie osób: Klientki sklepu Administratora (osoby, które ukończyły 18 lat).
Rodzaje danych: zdjęcie Klientki (wizerunek), wygenerowany na jego podstawie obraz, losowy identyfikator sesji przeglądarki (w postaci skrótu), informacja o przymierzanym produkcie, adres IP (w pamięci serwera do pilnowania limitów oraz w dziennikach serwera, do 30 dni). W sklepach na Shopify z zainstalowaną aplikacją przymierzalni także: identyfikator zamówienia, produkt, wartość pozycji i waluta zamówień, które zawierają produkt dodany do koszyka z okna przymierzalni. Z pozostałych danych zamówienia, które przekazuje platforma sklepu, Przetwarzający nie korzysta i ich nie zapisuje; nie zapisuje imion, adresów e-mail ani numerów telefonów Klientek.
Zdjęcie nie jest przetwarzane w celu jednoznacznej identyfikacji osoby.

§ 3. Obowiązki Przetwarzającego

Przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym jest ta umowa i konfiguracja usługi w Panelu.
Zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności.
Stosuje środki techniczne i organizacyjne z załącznika, w tym: przetwarzanie wyłącznie w UE, szyfrowanie transmisji, usuwanie metadanych (w tym GPS) ze zdjęć, moderację przed generowaniem, minimalny czas przechowywania.
Nie wykorzystuje danych do własnych celów, w tym do trenowania modeli sztucznej inteligencji.
W imieniu Administratora udostępnia Klientkom w oknie przymierzalni informację o przetwarzaniu danych (art. 13 RODO). Administrator podaje w swojej polityce prywatności własne dane kontaktowe i odsyła do tej informacji.
Pomaga Administratorowi w realizacji praw Klientek oraz obowiązków z art. 32–36 RODO, w zakresie, w jakim pozwalają na to przetwarzane dane.
Zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia.

§ 4. Dalsze powierzenie

Administrator wyraża ogólną zgodę na korzystanie przez Przetwarzającego z dalszych podmiotów przetwarzających. Aktualna lista: Google Cloud EMEA Limited (Cloud Run, Cloud Storage, Vertex AI; Holandia, Belgia) oraz Neon, Inc. (baza zdarzeń bez zdjęć; Niemcy).
O zmianie listy Przetwarzający informuje Administratora e-mailem z 14-dniowym wyprzedzeniem. Administrator może zgłosić sprzeciw, a w razie jego nieuwzględnienia wypowiedzieć umowę.
Dalsze podmioty są związane obowiązkami ochrony danych nie mniejszymi niż w tej umowie.

§ 5. Czas przechowywania i usunięcie

Zdjęcie Klientki jest przetwarzane w pamięci serwera wyłącznie na czas przygotowania przymierzenia, a wygenerowany obraz zwracany przeglądarce Klientki, chyba że strony uzgodnią podgląd wyników w Panelu (np. w okresie testowym); wtedy zdjęcie i obraz udanego przymierzenia są przechowywane do 30 dni i automatycznie usuwane, a Administrator informuje o tym Klientki w swojej polityce prywatności.
Zdarzenia statystyczne (bez zdjęć), w tym dane o zamówieniach z § 2 ust. 2, są przechowywane do 13 miesięcy.
Po zakończeniu umowy Przetwarzający usuwa dane Administratora w ciągu 30 dni, chyba że przepisy nakazują ich dalsze przechowywanie.

§ 6. Kontrola

Przetwarzający udostępnia Administratorowi informacje potrzebne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyt, zapowiedziany z 14-dniowym wyprzedzeniem, nie częściej niż raz w roku, chyba że doszło do naruszenia ochrony danych.

§ 7. Odpowiedzialność i postanowienia końcowe

Odpowiedzialność stron określają przepisy RODO i Regulamin.
W sprawach nieuregulowanych stosuje się RODO i prawo polskie. W razie sprzeczności z Regulaminem w zakresie ochrony danych pierwszeństwo ma ta umowa.

Załącznik: środki techniczne i organizacyjne

Infrastruktura w UE (Google Cloud, region europe-west4; baza w Niemczech); szyfrowanie w transmisji (TLS) i w spoczynku (domyślne szyfrowanie Google Cloud).
Klucz sklepu przypisany do domen sklepu; limity zapytań na sesję, na adres IP i na sklep.
Usuwanie metadanych ze zdjęć przed przetwarzaniem; automatyczna moderacja (nagość, możliwa osoba niepełnoletnia, kilka osób).
Wyłączona pamięć podręczna dostawcy modelu AI; brak trenowania na danych.
Automatyczne usuwanie plików według § 5; dostęp do podglądu wyników tylko z Panelu, przez adresy podpisane i ważne 1 godzinę.
Dzienniki aplikacji bez zdjęć i bez identyfikatorów Klientek; dzienniki zapytań dostawcy chmury (adres IP, rodzaj przeglądarki, czas zapytania) przechowywane do 30 dni.
Dostęp administracyjny tylko dla upoważnionych osób, konta usługowe z minimalnymi uprawnieniami, klucze i hasła w menedżerze sekretów.