# UMOWA TRÓJSTRONNA O ŚWIADCZENIE USŁUG PLATFORMY SAAS, POWIERZENIU PRZETWARZANIA DANYCH OSOBOWYCH I WARUNKACH KORZYSTANIA Z USŁUG STUDIA

**Wersja:** 1.1 · **Data:** 2026-05-21 · **Język wiążący:** polski
**Status:** SZKIC — wymaga przeglądu prawnika RODO przed podpisaniem (patrz Disclaimer na końcu)

---

## Preambuła

Niniejsza umowa trójstronna (dalej: „**Umowa**") określa zasady współpracy pomiędzy podmiotem prowadzącym platformę STUDIOVA jako dostawcą oprogramowania w modelu SaaS, klientem biznesowym tej platformy (studiem fitness/pilates/beauty) oraz osobą fizyczną korzystającą z usług studia za pośrednictwem tej platformy.

Umowa odzwierciedla strukturę przetwarzania danych osobowych zgodną z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: „**RODO**" / „**DSGVO**" / „**GDPR**"), wymogi Rozporządzenia (UE) 2024/1689 w sprawie sztucznej inteligencji (dalej: „**EU AI Act**"), a także obowiązujące przepisy krajowe państw członkowskich UE, w szczególności prawo polskie oraz — w odniesieniu do studiów z siedzibą w Republice Federalnej Niemiec, Austrii i Szwajcarii — odpowiednio Bundesdatenschutzgesetz (BDSG), Datenschutzgesetz (DSG-AT) oraz Bundesgesetz über den Datenschutz (DSG-CH).

---

## § 1. Strony Umowy

### 1.1. Operator (STUDIOVA)

**BH-Wandex**, prowadzący działalność gospodarczą pod firmą **STUDIOVA**,
adres siedziby: ul. Ciołka 8/210, 01-402 Warszawa, Mazowieckie,
NIP: PL5251917081,
REGON: 012756421,
BDO: 000584079,
adres email kontaktowy: `kontakt@studiova.app`,
adres email ds. bezpieczeństwa i incydentów: `security@studiova.app`,
adres email ds. ochrony danych (IOD/DPO lub osoba kontaktowa RODO): `privacy@studiova.app`

— dalej: „**Operator**" lub „**STUDIOVA**".

**Rola w przetwarzaniu danych osobowych:**
- w odniesieniu do danych klientek końcowych studia: **Podmiot przetwarzający** (Procesor, art. 28 RODO),
- w odniesieniu do danych konta Administratora studia: **Administrator** (w zakresie niezbędnym do świadczenia usługi i rozliczeń),
- w odniesieniu do podmiotów infrastrukturalnych (Supabase, Stripe, Anthropic itp.): **Administrator danych operacyjnych platformy**, ale wobec klientek końcowych występuje jako Procesor powierzający dalsze przetwarzanie (sub-procesoring, art. 28 ust. 2 i 4 RODO).

### 1.2. Administrator (Studio)

**Firma / Imię i Nazwisko:** *[do uzupełnienia przez Studio przy onboardingu]*
**Adres siedziby:** *[do uzupełnienia]*
**NIP / VAT-ID / USt-IdNr.:** *[do uzupełnienia]*
**Adres email kontaktowy:** *[do uzupełnienia]*
**Identyfikator subdomeny STUDIOVA:** `*.studiova.app` lub własna domena (np. `panel.paulapilates.pl`).

— dalej: „**Studio**" lub „**Administrator**".

**Rola w przetwarzaniu danych osobowych:**
- w odniesieniu do danych klientek końcowych pozyskiwanych za pośrednictwem platformy: **Administrator danych osobowych** (art. 4 pkt 7 RODO),
- w odniesieniu do swoich danych firmowych (dane konta, login, dane do faktur, dane instruktorek): **Administrator** wobec własnych pracowników i współpracowników; **Podmiot danych** wobec Operatora w zakresie konta SaaS.

Studio decyduje samodzielnie o celach i sposobach przetwarzania danych klientek końcowych (w szczególności: zakres zbieranych zgód, polityka retencji, polityka anulacji, integracje, kanały komunikacji).

### 1.3. Klientka (Osoba, której dane dotyczą)

Każda osoba fizyczna, która korzysta z usług Studia za pośrednictwem platformy STUDIOVA (rezerwuje zajęcia, kupuje karnety, korzysta z dziennika ciała, komunikuje się z Studiem) — dalej: „**Klientka**".

**Rola w przetwarzaniu danych osobowych:** **Osoba, której dane dotyczą** (art. 4 pkt 1 RODO).

Przystąpienie Klientki do Umowy następuje przez **akceptację Regulaminu i Polityki Prywatności** w trakcie zakładania konta lub pierwszej rezerwacji (akceptacja typu *click-wrap*). Treść istotnych postanowień dotyczących Klientki znajduje się w **Załączniku C** (Wzór zgody Klientki).

### 1.4. Niezależność stron

Strony są niezależnymi podmiotami. Umowa nie tworzy stosunku spółki, wspólnego przedsiębiorstwa, agencji ani stosunku pracy. Żadna ze Stron nie jest upoważniona do reprezentowania pozostałych Stron poza zakresem wyraźnie przewidzianym Umową.

---

## § 2. Definicje

Następujące pojęcia, użyte w Umowie pisaną wielką literą, mają znaczenie nadane im poniżej, a w sprawach nieuregulowanych — znaczenie nadane przez RODO oraz EU AI Act:

1. **Administrator** — podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych (art. 4 pkt 7 RODO); w niniejszej Umowie domyślnie oznacza Studio.
2. **Podmiot przetwarzający** (Procesor) — podmiot przetwarzający dane osobowe w imieniu Administratora (art. 4 pkt 8 RODO); w niniejszej Umowie oznacza Operatora.
3. **Sub-procesor** (dalszy podmiot przetwarzający) — podmiot, któremu Procesor powierza dalsze przetwarzanie danych osobowych w celu wykonania określonych czynności (art. 28 ust. 2 i 4 RODO); szczegółowa lista w **Załączniku A**.
4. **Dane osobowe** — informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1 RODO).
5. **Szczególne kategorie danych** — dane wrażliwe wymienione w art. 9 ust. 1 RODO, w szczególności **dane dotyczące zdrowia** (przykładowo: pomiary masy ciała, obwody, dolegliwości bólowe, dziennik samopoczucia — funkcja *Body Journal* w platformie).
6. **Naruszenie ochrony danych** — naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych (art. 4 pkt 12 RODO).
7. **Profilowanie** — dowolna forma zautomatyzowanego przetwarzania danych osobowych polegająca na wykorzystaniu danych do oceny niektórych czynników osobowych osoby fizycznej (art. 4 pkt 4 RODO).
8. **Zautomatyzowana decyzja** — decyzja oparta wyłącznie na zautomatyzowanym przetwarzaniu, wywołująca skutki prawne lub istotnie wpływająca na osobę (art. 22 RODO).
9. **System AI** — system sztucznej inteligencji w rozumieniu art. 3 pkt 1 EU AI Act; w platformie STUDIOVA: AI Coach, AI Optimizer (predykcja churn / load), Smart Waitlist, Business Brain.
10. **Treść wygenerowana przez AI** — tekst, obraz lub inna treść wytworzona lub istotnie zmodyfikowana przez System AI, podlegająca obowiązkowi oznakowania (art. 50 EU AI Act).
11. **Platforma** — oprogramowanie SaaS STUDIOVA wraz z wszystkimi modułami (panel admin, panel klientki, API, integracje SMS/email/AI), dostarczane przez Operatora.
12. **Dane Studia** — dane konta i konfiguracji wprowadzone przez Studio (logo, branding, harmonogramy, cennik, dane firmowe, dane instruktorek).
13. **Dane Klientki** — wszelkie dane osobowe Klientki przetwarzane w Platformie z polecenia Studia.
14. **Okres Trwania Umowy** — od momentu akceptacji niniejszej Umowy lub aktywnej subskrypcji do momentu zakończenia Umowy zgodnie z § 11.
15. **SCC** — Standardowe Klauzule Umowne (Standard Contractual Clauses) zatwierdzone decyzją Komisji Europejskiej (UE) 2021/914 dla transferów danych do państw trzecich.
16. **DPF** — Data Privacy Framework (UE–USA), decyzja Komisji 2023/1795 z 10 lipca 2023 r.

---

## § 3. Przedmiot Umowy

### 3.1. Zakres usług świadczonych przez Operatora na rzecz Studia

Operator zobowiązuje się świadczyć Studiu w okresie obowiązywania Umowy następujące usługi (dalej łącznie: „**Usługi**"):

1. **Dostęp do Platformy** w wybranym przez Studio planie subskrypcyjnym (np. Solo, Studio, Salon, Enterprise w wariantach PLN / EUR / USD).
2. **Hosting danych** w infrastrukturze chmurowej zlokalizowanej w Unii Europejskiej (Supabase, region `eu-central-1` Frankfurt).
3. **Pośrednictwo w przetwarzaniu płatności** za pomocą wybranego operatora płatności:
   - **Stripe Payments Europe Ltd.** (Dublin, Irlandia) — dla transakcji w EUR/USD/CHF/GBP oraz dla wszystkich klientów spoza Polski,
   - **PayPro S.A. (Przelewy24)** (Poznań, Polska) — dla transakcji w PLN dla klientów polskich.
4. **Pośrednictwo w wysyłce wiadomości email transakcyjnych** za pomocą **Resend Inc.** (z przetwarzaniem w regionie UE, gdzie dostępne).
5. **Pośrednictwo w wysyłce wiadomości SMS** z routingiem regionalnym:
   - **SMSAPI sp. z o.o.** (Wrocław, Polska) — numery telefonów PL,
   - **seven communications GmbH & Co. KG** (Bad Iburg, Niemcy) — numery telefonów DE/AT/CH oraz pozostałe UE,
   - **Twilio Ireland Limited** (Dublin, Irlandia; przekierowanie do Twilio Inc., USA) — numery telefonów spoza UE.
6. **Funkcje sztucznej inteligencji** (AI Coach, AI Optimizer, Smart Waitlist, Business Brain) realizowane przez **Anthropic PBC** (San Francisco, USA) z wykorzystaniem modeli Claude — transfer danych objęty SCC oraz DPF (Anthropic jest uczestnikiem DPF od 2024 r.).
7. **Funkcje rozliczeniowe i fakturowe** (KSeF dla klientów polskich, faktury EUR/USD dla klientów zagranicznych).
8. **Wsparcie techniczne** w trybie standardowym (email) lub priorytetowym (zależnie od planu).

### 3.2. Zakres usług świadczonych przez Studio na rzecz Klientki

Studio zobowiązuje się świadczyć Klientce usługi szkoleniowe / fitness / pilates / beauty (zależnie od profilu Studia) zgodnie z własnym regulaminem, harmonogramem i cennikiem opublikowanym na podstronie Studia w Platformie. Studio występuje wobec Klientki jako **jedyny usługodawca świadczeń podstawowych** oraz **merchant of record** (sprzedawca) wszystkich płatności za karnety i zajęcia.

### 3.3. Wyłączenie odpowiedzialności Operatora za świadczenie usług Studia

Operator nie jest stroną umowy o świadczenie usług treningowych pomiędzy Studiem a Klientką. Operator nie odpowiada za jakość, dostępność ani treść tych usług. Operator nie jest instytucją płatniczą w rozumieniu PSD2 — pośredniczy wyłącznie technicznie pomiędzy Studiem a wybranym operatorem płatności.

---

## § 4. Powierzenie przetwarzania danych osobowych (art. 28 RODO)

Niniejszy paragraf stanowi **umowę powierzenia przetwarzania danych osobowych** w rozumieniu art. 28 ust. 3 RODO, zawartą pomiędzy Studiem (Administrator) a Operatorem (Procesor).

### 4.1. Przedmiot, charakter i cel przetwarzania

Operator przetwarza dane osobowe Klientek na polecenie Studia w celu świadczenia Usług określonych w § 3.1, w szczególności:
- prowadzenia kont Klientek (rejestracja, logowanie, magic links),
- realizacji rezerwacji zajęć, list rezerwowych, anulacji,
- sprzedaży i ewidencji karnetów oraz pojedynczych wejść,
- prowadzenia historii płatności i wystawiania paragonów/faktur,
- komunikacji transakcyjnej (przypomnienia, potwierdzenia, powiadomienia push),
- komunikacji marketingowej (newsletter, kampanie) — wyłącznie na podstawie odrębnej zgody Klientki,
- prowadzenia funkcji *Body Journal* (dane o zdrowiu — wyłącznie po wyraźnej zgodzie),
- funkcji AI (po opt-in trójwarstwowym — patrz § 6),
- analityki agregowanej na potrzeby zarządzania Studiem.

### 4.2. Czas trwania przetwarzania

Operator przetwarza dane przez **Okres Trwania Umowy** ze Studiem, a po jej zakończeniu przez okres **maksymalnie 90 dni** w celu umożliwienia eksportu danych, po czym dane są **trwale usuwane** (mechanizm `cleanup-deleted` cron). Studio może zażądać wcześniejszego usunięcia danych w trybie określonym w § 11.

### 4.3. Rodzaj danych i kategorie osób

| Kategoria osób | Kategorie danych | Szczególne kategorie (art. 9) |
|---|---|---|
| Klientki Studia | imię, nazwisko, email, telefon, data urodzenia, adres (opcjonalnie), historia zajęć, historia płatności, preferencje, notatki Studia | tak — *Body Journal* (waga, obwody, dolegliwości, nastrój) wyłącznie po wyraźnej zgodzie |
| Pracownicy/instruktorki Studia | imię, nazwisko, email, telefon, dane do umowy B2B (opcjonalnie) | nie |
| Goście (rezerwacja bez konta) | imię, email, telefon, data zajęć | nie |

### 4.4. Obowiązki Procesora (Operatora)

Operator zobowiązuje się:

1. przetwarzać dane wyłącznie na udokumentowane polecenie Studia (Umowa, konfiguracja w Platformie, ticket support);
2. zapewnić, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi zachowania tajemnicy;
3. wdrożyć odpowiednie środki techniczne i organizacyjne zgodne z art. 32 RODO (patrz § 4.6);
4. przestrzegać warunków korzystania z usług sub-procesorów (§ 4.5);
5. w miarę możliwości pomagać Studiu, poprzez odpowiednie środki techniczne i organizacyjne, w wywiązywaniu się z obowiązków odpowiadania na żądania osób, których dane dotyczą (§ 7);
6. pomagać Studiu w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków — DPIA);
7. po zakończeniu świadczenia Usług usunąć wszelkie dane osobowe lub zwrócić je Studiu (zależnie od decyzji Studia) i usunąć kopie, chyba że prawo Unii lub państwa członkowskiego nakazuje przechowywanie danych (patrz § 11);
8. udostępniać Studiu wszelkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwiać audyty (§ 4.8);
9. niezwłocznie informować Studio, jeżeli wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.

### 4.5. Sub-procesorzy (art. 28 ust. 2 i 4 RODO)

Studio udziela **ogólnej zgody** na korzystanie przez Operatora z sub-procesorów wymienionych w **Załączniku A**. Operator informuje Studio o wszelkich zamierzonych zmianach na liście sub-procesorów z wyprzedzeniem **co najmniej 30 dni**, drogą email na adres kontaktowy Studia oraz publikacją zaktualizowanej listy pod adresem `https://studiova.app/legal/subprocessors`. Studio ma prawo zgłosić uzasadniony sprzeciw w terminie 14 dni; w razie sprzeciwu Stronom przysługuje prawo wypowiedzenia Umowy zgodnie z § 11.

Operator zawiera z każdym sub-procesorem umowę nakładającą obowiązki ochrony danych nie mniej rygorystyczne niż określone w niniejszym paragrafie. Operator pozostaje w pełni odpowiedzialny wobec Studia za działania i zaniechania sub-procesorów (art. 28 ust. 4 zd. 2 RODO).

#### Aktualna lista sub-procesorów (skrót — pełna w Załączniku A)

| Sub-procesor | Lokalizacja przetwarzania | Cel | Podstawa transferu |
|---|---|---|---|
| Supabase Inc. (infrastruktura DB + auth + storage) | UE — Frankfurt (`eu-central-1`) | hosting bazy danych, autoryzacja, pliki | wewnątrz EOG — brak transferu |
| Stripe Payments Europe Ltd. | Irlandia (EU); ograniczone transfery do Stripe Inc. (USA) | przetwarzanie płatności EUR/USD/CHF/GBP | SCC + DPF |
| PayPro S.A. (Przelewy24) | Polska (EU) | przetwarzanie płatności PLN | wewnątrz EOG |
| Resend Inc. | UE (region EU) z fallback US | wysyłka email transakcyjnego | SCC + DPF |
| SMSAPI sp. z o.o. | Polska (EU) | SMS dla numerów PL | wewnątrz EOG |
| seven communications GmbH & Co. KG | Niemcy (EU) | SMS dla numerów DE/AT/CH/UE | wewnątrz EOG |
| Twilio Ireland Limited / Twilio Inc. | Irlandia (EU) + USA | SMS dla numerów spoza UE | SCC + DPF |
| Anthropic PBC | USA (z residencją EU gdzie dostępne) | funkcje AI (AI Coach, Optimizer) | SCC + DPF |
| Vercel Inc. | USA (kontrolne) + edge runtime w UE (Frankfurt, Dublin, Paris) | hosting frontend (Next.js), edge functions | SCC + DPF |

### 4.6. Środki techniczne i organizacyjne (art. 32 RODO)

Operator wdraża i utrzymuje co najmniej następujące środki bezpieczeństwa:

**Środki techniczne:**
- szyfrowanie danych w spoczynku (AES-256, Supabase managed encryption),
- szyfrowanie danych w transmisji (TLS 1.3, HSTS, certyfikaty zarządzane),
- pseudonimizacja i tokenizacja danych płatniczych (PCI-DSS na poziomie Stripe/P24 — Operator nie przechowuje danych kart),
- uwierzytelnianie wieloskładnikowe (MFA) dla kont administratorów Studia i Operatora,
- kontrola dostępu opartą o role (RBAC) z zasadą najmniejszych uprawnień,
- separacja środowisk (produkcja / staging / dev) z odrębnymi sekretami,
- regularna rotacja kluczy API i sekretów (zgodnie z `SECRETS_ROTATION_RUNBOOK`),
- kopie zapasowe codzienne + Point-In-Time Recovery (PITR) na minimum 7 dni,
- monitoring bezpieczeństwa (audit logs, alerty na anomalie, rate limiting, ochrona przed DDoS przez Vercel + Cloudflare-class).

**Środki organizacyjne:**
- pisemne zobowiązanie do zachowania poufności wszystkich osób mających dostęp do danych,
- szkolenia z RODO i bezpieczeństwa informacji,
- procedura zarządzania incydentami i naruszeniami (Incident Response Plan — `docs/RUNBOOK.md`),
- procedura zarządzania ciągłością działania i odtwarzania po awarii (BCDR — `docs/BCDR.md`),
- klasyfikacja danych (`docs/DATA_CLASSIFICATION.md`),
- przegląd dostępu min. raz na 6 miesięcy,
- przegląd środków bezpieczeństwa min. raz na 12 miesięcy.

### 4.7. Naruszenie ochrony danych (art. 33–34 RODO)

W przypadku stwierdzenia naruszenia ochrony danych osobowych Operator:

1. powiadamia Studio **bez zbędnej zwłoki, nie później niż w ciągu 24 godzin** od stwierdzenia naruszenia, drogą email na adres kontaktowy Studia oraz dodatkowo telefonicznie w przypadku naruszeń o wysokim ryzyku;
2. udostępnia Studiu informacje obejmujące co najmniej: charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, kategorie i przybliżoną liczbę wpisów danych, prawdopodobne konsekwencje, podjęte lub proponowane środki zaradcze;
3. dokumentuje wszystkie naruszenia w wewnętrznym rejestrze (art. 33 ust. 5 RODO);
4. wspiera Studio w wywiązaniu się z obowiązku zgłoszenia naruszenia organowi nadzorczemu (PUODO / BfDI / DSB) w terminie 72 godzin oraz zawiadomienia osób, których dane dotyczą, jeżeli naruszenie powoduje wysokie ryzyko.

Zgłoszenia naruszeń przyjmowane są pod adresem `security@studiova.app` (PGP key dostępny pod `https://studiova.app/.well-known/pgp`). Szczegółową instrukcję zawiera **Załącznik B**.

### 4.8. Prawo do audytu

Studio ma prawo, nie częściej niż **raz na 12 miesięcy** (lub niezwłocznie po naruszeniu ochrony danych), żądać od Operatora:

1. udostępnienia dokumentacji potwierdzającej spełnienie obowiązków z art. 28 RODO (raporty SOC 2 / ISO 27001 sub-procesorów, raporty pentestów, dokumentacja środków bezpieczeństwa),
2. przeprowadzenia audytu zdalnego (kwestionariusz + dokumenty) — domyślnie, lub
3. w uzasadnionych przypadkach — audytu na miejscu, po wcześniejszym ustaleniu terminu (min. 30 dni roboczych) i podpisaniu NDA.

Audyt nie może zakłócać działania Platformy ani naruszać tajemnic handlowych Operatora lub innych klientów. Koszty audytu ponosi Studio, chyba że audyt wykaże istotne naruszenia po stronie Operatora.

---

## § 5. Przetwarzanie szczególnych kategorii danych (art. 9 RODO)

### 5.1. Body Journal jako dane o zdrowiu

Funkcja *Body Journal* w Platformie umożliwia Klientce dobrowolne prowadzenie dziennika obejmującego dane o jej zdrowiu (art. 9 ust. 1 RODO): pomiary masy ciała, obwody, dolegliwości bólowe, nastrój, jakość snu, dolegliwości menstruacyjne.

### 5.2. Podstawa prawna

Jedyną podstawą przetwarzania danych z *Body Journal* jest **wyraźna zgoda** Klientki (art. 9 ust. 2 lit. a RODO), uzyskana poprzez odrębny mechanizm w interfejsie użytkownika (osobny przełącznik, *unchecked by default*, z opisem celu i konsekwencji wycofania zgody). Zgoda jest rejestrowana w bazie danych (timestamp, IP, treść klauzuli) i może zostać w każdej chwili wycofana.

### 5.3. Cel przetwarzania

Dane z *Body Journal* są przetwarzane wyłącznie w celu:
- wizualizacji postępów Klientki w jej własnym panelu (cel: self-tracking),
- udostępnienia danych instruktorce/trenerce — wyłącznie jeżeli Klientka explicit udostępni profil (osobna zgoda),
- agregacji anonimowej dla potrzeb Studia (statystyki bez identyfikacji).

Dane *Body Journal* **nie są** wykorzystywane do funkcji AI bez odrębnej, dodatkowej zgody (warstwa 3 trójwarstwowego opt-in — patrz § 6.4).

### 5.4. Retencja

Dane *Body Journal* są przechowywane przez okres aktywności konta Klientki, a po jego dezaktywacji — **maksymalnie 10 lat** zgodnie ze standardami retencji dokumentacji medycznej w prawie polskim (art. 29 ust. 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta — przez analogię), chyba że Klientka wcześniej zażąda usunięcia (art. 17 RODO).

### 5.5. Środki dodatkowe

W odniesieniu do danych *Body Journal*:
- dostęp logowany na poziomie wiersza (audit log per row),
- szyfrowanie na poziomie aplikacji dla pól szczególnie wrażliwych (planowane — patrz `docs/SECRETS_ENCRYPTION.md`),
- ograniczony dostęp pracowników Operatora (tylko Incident Response i tylko po zgłoszeniu Studia).

---

## § 6. Funkcje sztucznej inteligencji — zgodność z EU AI Act (Rozporządzenie 2024/1689)

### 6.1. Klasyfikacja systemów AI w Platformie

Operator stosuje następującą klasyfikację systemów AI:

| System | Funkcja | Klasyfikacja AI Act | Ryzyko |
|---|---|---|---|
| AI Coach | Chatbot wspierający Klientkę w pytaniach o zajęcia | Limited risk (art. 50) | ograniczone |
| AI Optimizer | Predykcja churn / no-show / load do wglądu Studia | Limited risk | ograniczone |
| Smart Waitlist | Sortowanie listy rezerwowej | Limited risk | ograniczone |
| Business Brain | Analityka biznesowa Studia (cohort, LTV, forecast) | Limited risk | ograniczone |

Żaden z systemów AI w Platformie **nie jest** systemem wysokiego ryzyka (high-risk) w rozumieniu Załącznika III EU AI Act, ani systemem zakazanym (Załącznik II, art. 5).

### 6.2. Obowiązek transparentności (art. 50 EU AI Act)

Operator zapewnia, że:
- Klientka korzystająca z AI Coach jest **wyraźnie informowana**, że rozmawia z systemem AI, a nie z osobą fizyczną — etykieta `AI Generated` (komponent `<AiGeneratedBadge />`) jest wyświetlana przy każdej odpowiedzi AI,
- treści generowane przez AI (rekomendacje, podsumowania) są **oznakowane**,
- Klientka może w każdej chwili poprosić o kontakt z człowiekiem (przejście na komunikację email/SMS ze Studiem).

### 6.3. Brak zautomatyzowanych decyzji (art. 22 RODO)

Żaden system AI w Platformie **nie podejmuje** zautomatyzowanej decyzji wywołującej skutki prawne lub istotnie wpływającej na Klientkę. W szczególności:
- AI nie odrzuca rezerwacji ani nie blokuje konta,
- AI nie ustala cen indywidualnych,
- AI nie podejmuje decyzji o dostępie do usług,
- Smart Waitlist sortuje listę, ale ostateczna decyzja o przyjęciu na zajęcia jest podejmowana przez Studio lub mechaniczną regułę first-come-first-served, nie przez AI.

### 6.4. Trójwarstwowy opt-in (Privacy by Default — art. 25 RODO)

Funkcje AI są domyślnie **wyłączone**. Włączenie wymaga spełnienia trzech warunków łącznie:

1. **Plan tier** — funkcje AI dostępne tylko w planach `Studio` i wyższych (warstwa biznesowa),
2. **Master switch Studia** — Administrator Studia świadomie włącza moduł AI w panelu ustawień,
3. **Opt-in Klientki** — Klientka indywidualnie akceptuje korzystanie z funkcji AI w swoim koncie (osobny przełącznik z opisem dostawcy, kraju przetwarzania i prawa do wycofania zgody).

Bez wszystkich trzech warstw — żadne dane Klientki nie są przekazywane do dostawcy AI.

### 6.5. Dostawca AI i transfer danych

Dostawcą modeli AI jest **Anthropic PBC** (San Francisco, USA). Transfer danych odbywa się na podstawie:
- Standardowych Klauzul Umownych (SCC) zatwierdzonych decyzją 2021/914,
- uczestnictwa Anthropic w Data Privacy Framework (DPF),
- gdzie dostępne — wykorzystania endpointów Anthropic z residencją UE.

Anthropic nie wykorzystuje danych klientów do trenowania modeli (zgodnie z Anthropic API Terms — Commercial Terms, sekcja „Customer Content").

### 6.6. Prawo do interwencji człowieka

Klientka ma prawo w każdej chwili:
- zażądać kontaktu z osobą fizyczną zamiast AI (Studio zapewnia kanał email/telefon),
- otrzymać wyjaśnienie wyniku generowanego przez AI (best-effort — Operator dostarczy informację o typie modelu i ogólnych zasadach działania),
- wycofać zgodę na korzystanie z AI bez wpływu na pozostałe usługi Platformy.

### 6.7. Logging i audyt AI

Operator prowadzi logi interakcji z AI obejmujące: timestamp, identyfikator użytkownika (pseudonimizowany), kategorię zapytania, model wykorzystany, wynik. Logi są przechowywane przez 12 miesięcy w celu rozliczalności i ewentualnego audytu.

---

## § 7. Prawa osób fizycznych (art. 12–22 RODO)

### 7.1. Katalog praw Klientki

Klientka, w odniesieniu do swoich danych przetwarzanych w Platformie, ma prawo do:

1. **dostępu** do swoich danych (art. 15 RODO),
2. **sprostowania** danych nieprawidłowych lub niekompletnych (art. 16 RODO),
3. **usunięcia** danych („prawo do bycia zapomnianym", art. 17 RODO),
4. **ograniczenia przetwarzania** (art. 18 RODO),
5. **przenoszenia danych** w ustrukturyzowanym, powszechnie używanym formacie maszynowym (JSON/CSV, art. 20 RODO),
6. **sprzeciwu** wobec przetwarzania (art. 21 RODO),
7. **wycofania zgody** w każdej chwili — bez wpływu na zgodność z prawem przetwarzania dokonanego przed wycofaniem (art. 7 ust. 3 RODO),
8. **wniesienia skargi** do organu nadzorczego (PUODO w Polsce, BfDI w Niemczech, DSB w Austrii, EDÖB w Szwajcarii).

### 7.2. Self-service flows w Platformie

Operator zapewnia Klientce techniczne mechanizmy realizacji jej praw bezpośrednio w panelu:

- `/konto/dane` — przegląd i edycja danych (art. 15, 16),
- `/api/export-data` (przycisk *Pobierz moje dane*) — eksport w formacie JSON + CSV (art. 20),
- `/api/delete-account` (przycisk *Usuń konto*) — żądanie usunięcia z 30-dniowym okresem karencji (art. 17),
- panel zgód marketingowych i AI (art. 7 ust. 3),
- *Body Journal* — przełącznik widoczności i prawo do usunięcia (art. 9 + 17).

### 7.3. Realizacja praw przez Studio

Klientka może również wykonać swoje prawa pisząc do Studia (na adres email Studia). Studio zobowiązuje się odpowiedzieć w terminie **30 dni** (z możliwością przedłużenia o kolejne 60 dni w skomplikowanych przypadkach, z poinformowaniem Klientki). Studio może realizować prawa Klientki:
- samodzielnie przez panel admin (eksport, usunięcie, edycja),
- za pośrednictwem Operatora (`privacy@studiova.app`) w przypadkach wymagających ingerencji na poziomie infrastruktury.

### 7.4. Brak opłat

Realizacja praw Klientki jest bezpłatna, chyba że żądania są wyraźnie nieuzasadnione lub nadmierne (art. 12 ust. 5 RODO) — wówczas możliwe jest pobranie rozsądnej opłaty lub odmowa działania.

### 7.5. Ograniczenia prawa do usunięcia

Prawo do usunięcia nie ma zastosowania w zakresie, w jakim przetwarzanie jest niezbędne do:
- wywiązania się z obowiązków księgowych (5 lat — ustawa o rachunkowości),
- obrony przed roszczeniami (do upływu terminów przedawnienia — co do zasady 3 lata, dla roszczeń konsumenckich),
- wystawiania faktur i KSeF (obowiązki prawa podatkowego),
- realizacji prawnie uzasadnionych interesów Studia (np. ochrona przed nadużyciami).

---

## § 8. Płatności i opłaty

### 8.1. Opłaty STUDIOVA → Studio (B2B SaaS)

Studio uiszcza Operatorowi opłaty subskrypcyjne zgodnie z wybranym planem (PLN / EUR / USD), rozliczane miesięcznie lub rocznie (rabat −10% rocznie). Opłaty są bezzwrotne za bieżący okres rozliczeniowy, z wyjątkiem przypadków przewidzianych w *Refund Policy* (`docs/REFUND_POLICY.md`).

Operator wystawia Studiu fakturę VAT (PL: KSeF dla podatników VAT; EU: faktura odwrotnego obciążenia VAT — reverse charge, art. 196 dyrektywy 2006/112/WE; non-EU: bez VAT z adnotacją *outside scope of EU VAT*).

### 8.2. Opłaty Klientka → Studio (B2C bookings)

Klientka uiszcza Studiu opłaty za karnety, pojedyncze wejścia, depozyty (salon beauty) zgodnie z cennikiem Studia. **Studio jest jedynym sprzedawcą (merchant of record)** tych usług wobec Klientki. Płatności przechodzą przez operatora płatności (Stripe lub Przelewy24), który wypłaca środki bezpośrednio na rachunek Studia.

### 8.3. Status PSD2 Operatora

Operator **nie jest** instytucją płatniczą ani biurem usług płatniczych w rozumieniu dyrektywy PSD2 ani ustawy o usługach płatniczych z dnia 19 sierpnia 2011 r. Operator wyłącznie pośredniczy technicznie pomiędzy Studiem a operatorem płatności. Studio samodzielnie zawiera umowy z Stripe i/lub PayPro S.A. (konto merchant).

### 8.4. Zwroty i refundacje

Polityka zwrotów wobec Klientki jest ustalana **przez Studio** (Studio jest merchant of record). Operator zapewnia jedynie techniczne mechanizmy zwrotu (refund button w panelu).

---

## § 9. Własność danych i własność intelektualna

### 9.1. Dane Studia

Studio pozostaje **wyłącznym właścicielem** swoich Danych Studia (logo, branding, dane klientek, treści marketingowe, konfiguracja, cennik). Operator nie nabywa żadnych praw własności do tych danych. Operator może wykorzystywać Dane Studia wyłącznie w zakresie niezbędnym do świadczenia Usług oraz zgodnie z art. 28 RODO.

### 9.2. Dane Klientki

Klientka pozostaje **podmiotem danych** w odniesieniu do swoich danych osobowych. Klientka nie nabywa praw do bazy danych Studia jako całości, ale ma prawa wynikające z RODO (§ 7).

### 9.3. Platforma STUDIOVA

Operator pozostaje **wyłącznym właścicielem** Platformy, w tym kodu źródłowego, designu, dokumentacji, know-how, znaków towarowych „STUDIOVA". Studio otrzymuje wyłącznie **niewyłączną, niezbywalną licencję** na korzystanie z Platformy w okresie obowiązywania Umowy.

### 9.4. Treści generowane przez AI

Treści generowane przez AI w Platformie (rekomendacje, podsumowania, treści marketingowe) są dostarczane „as-is". Operator nie gwarantuje praw autorskich do treści generowanych przez AI (zgodnie z aktualnym stanem prawa autorskiego w UE — treści w pełni wygenerowane przez AI mogą nie być chronione prawem autorskim).

### 9.5. Eksport danych po zakończeniu Umowy

Po zakończeniu Umowy Studio ma prawo do eksportu pełnego zestawu swoich danych przez okres **30 dni** w formatach: CSV (dane tabelaryczne), JSON (struktura pełna), PDF (faktury, raporty). Po upływie 30 dni dane są nieodwracalnie usuwane zgodnie z § 11.4.

---

## § 10. Odpowiedzialność, SLA, siła wyższa

### 10.1. SLA dostępności

Operator zobowiązuje się dołożyć **handlowo uzasadnionych starań** w celu utrzymania dostępności Platformy na poziomie **99,5% w skali miesiąca kalendarzowego** dla planów płatnych. Wyłączenia:
- planowane okna serwisowe ogłoszone z wyprzedzeniem 48 godzin (poza godzinami szczytu),
- awarie sub-procesorów (Supabase, Vercel, Stripe, P24, Anthropic) niezawinione przez Operatora,
- przyczyny siły wyższej (§ 10.4).

Brak SLA dla planów *Free* / *Trial*.

### 10.2. Limit odpowiedzialności

Łączna odpowiedzialność Operatora wobec Studia z tytułu Umowy ograniczona jest do **wysokości opłat zapłaconych Operatorowi przez Studio w okresie 12 miesięcy poprzedzających zdarzenie**. Limit nie ma zastosowania w przypadku:
- rażącego niedbalstwa lub winy umyślnej Operatora,
- naruszenia obowiązków wynikających z art. 28 RODO,
- naruszenia obowiązku poufności,
- szkód na osobie.

### 10.3. Wyłączenie szkód pośrednich

W maksymalnym zakresie dopuszczalnym przez prawo Operator nie ponosi odpowiedzialności za **utracone korzyści, utracone dane** (poza obowiązkami z RODO), **przerwy w działalności**, szkody pośrednie i następcze.

### 10.4. Siła wyższa

Strony nie ponoszą odpowiedzialności za niewykonanie lub nienależyte wykonanie Umowy spowodowane okolicznościami siły wyższej (klęski żywiołowe, wojna, stan wyjątkowy, atak cybernetyczny państwowy, awaria krytycznej infrastruktury internetu, decyzje organów państwowych). Strona dotknięta siłą wyższą powiadamia drugą Stronę niezwłocznie.

### 10.5. Odpowiedzialność Studia wobec Klientki

Studio ponosi pełną odpowiedzialność wobec Klientki za:
- jakość świadczonych usług treningowych,
- treść swojego regulaminu i polityki prywatności,
- prawidłowość rozliczeń, faktur, paragonów,
- ewentualne uszczerbki na zdrowiu wynikające z usług Studia,
- realizację praw Klientki z RODO (jako Administrator).

Operator nie ponosi odpowiedzialności za działania lub zaniechania Studia wobec Klientki.

---

## § 11. Zakończenie Umowy

### 11.1. Czas trwania

Umowa obowiązuje od momentu akceptacji do momentu jej zakończenia w jeden z poniższych sposobów.

### 11.2. Rozwiązanie zwykłe

Każda ze Stron (Operator lub Studio) może rozwiązać Umowę z zachowaniem **30-dniowego okresu wypowiedzenia** ze skutkiem na koniec okresu rozliczeniowego. Wypowiedzenie składane drogą email na adresy kontaktowe Stron.

### 11.3. Rozwiązanie ze skutkiem natychmiastowym

Każda ze Stron może rozwiązać Umowę ze skutkiem natychmiastowym w przypadku:
- istotnego naruszenia Umowy przez drugą Stronę, nieusuniętego w terminie 14 dni od pisemnego wezwania,
- niewypłacalności / postępowania upadłościowego / restrukturyzacyjnego,
- naruszenia ochrony danych powodującego utratę zaufania (po stronie Operatora),
- naruszenia przez Studio przepisów prawa lub praw osób trzecich w sposób narażający Operatora na odpowiedzialność.

### 11.4. Losy danych po zakończeniu Umowy

Po zakończeniu Umowy:

1. **0–30 dni** — Studio ma dostęp do panelu w trybie *read-only* z możliwością eksportu danych.
2. **31–90 dni** — konto zawieszone, dane przechowywane w trybie soft-delete. Studio może wnioskować o reaktywację.
3. **Po 90 dniach** — uruchamia się automatyczny mechanizm trwałego usunięcia (`cleanup-deleted` cron job). Usunięcie obejmuje wszystkie Dane Studia i Dane Klientek powiązane z tym Studiem, z wyjątkiem:
   - faktur (przechowywane 5 lat — obowiązek ustawowy),
   - logów audytowych (przechowywane 12 miesięcy — uzasadniony interes Operatora w zakresie obrony przed roszczeniami),
   - kopii zapasowych (rotacja 30 dni — następnie usuwane).

### 11.5. Skutek dla Klientek

Studio zobowiązuje się powiadomić swoje Klientki o zakończeniu Umowy z Operatorem z wyprzedzeniem co najmniej 30 dni, w celu umożliwienia Klientkom skorzystania z prawa eksportu danych zgodnie z § 7.2.

### 11.6. Klauzule przeżywające

Niezależnie od zakończenia Umowy, w mocy pozostają postanowienia dotyczące: poufności, ochrony danych w zakresie obowiązków retencyjnych, własności intelektualnej, ograniczenia odpowiedzialności, rozstrzygania sporów, prawa właściwego.

---

## § 12. Klauzula salwatoryjna, prawo właściwe, jurysdykcja

### 12.1. Klauzula salwatoryjna

Jeżeli którekolwiek z postanowień Umowy okaże się nieważne lub niewykonalne, pozostałe postanowienia pozostają w mocy. Strony zobowiązują się zastąpić nieważne postanowienie postanowieniem najbardziej zbliżonym celem ekonomicznym i prawnym.

### 12.2. Prawo właściwe

Prawem właściwym dla Umowy jest:

- **prawo polskie** — jeżeli Studio ma siedzibę w Rzeczypospolitej Polskiej,
- **prawo polskie z nakładką ochrony konsumentów państwa Studia** — jeżeli Studio ma siedzibę w innym państwie EOG, przy zachowaniu bezwzględnie obowiązujących przepisów konsumenckich tego państwa (art. 6 Rzym I — rozporządzenie 593/2008),
- **prawo polskie** — jeżeli Studio ma siedzibę poza EOG (chyba że bezwzględnie obowiązujące przepisy państwa siedziby Studia stanowią inaczej),
- **prawo właściwe miejsca zwykłego pobytu konsumenta** — wobec Klientki będącej konsumentem, w zakresie ochrony konsumenckiej (art. 6 Rzym I).

W zakresie ochrony danych osobowych w każdym przypadku obowiązuje RODO oraz przepisy państwa członkowskiego właściwego dla Klientki.

### 12.3. Jurysdykcja

Spory wynikające z Umowy rozstrzygane są przez sąd właściwy:
- dla Studia — sąd właściwy dla siedziby Operatora (Polska), z zastrzeżeniem norm konsumenckich,
- dla Klientki będącej konsumentem — sąd właściwy dla miejsca jej zwykłego pobytu (art. 18 Bruksela I bis — rozporządzenie 1215/2012); prawa konsumenta są **niezbywalne**.

Strony zobowiązują się przed wszczęciem postępowania sądowego podjąć próbę polubownego rozwiązania sporu w trybie negocjacji bezpośrednich (30 dni). Klientka konsument ma prawo skorzystać z platformy ODR Komisji Europejskiej: `https://ec.europa.eu/consumers/odr`.

### 12.4. Język

Językiem wiążącym Umowy jest **polski**. Tłumaczenia na inne języki mają charakter informacyjny, chyba że załączone tłumaczenie jest tłumaczeniem przysięgłym opatrzonym pieczęcią tłumacza przysięgłego (wymóg dla wersji niemieckiej — patrz Translation note).

---

## § 13. Postanowienia końcowe

### 13.1. Zmiany Umowy

Operator może zmienić Umowę z wyprzedzeniem **30 dni**, informując Studio drogą email. Studio ma prawo wypowiedzieć Umowę w trybie zwykłym (§ 11.2) w razie braku akceptacji zmian. Brak wypowiedzenia po 30 dniach poczytuje się za akceptację.

### 13.2. Cesja

Studio nie może przenieść praw i obowiązków z Umowy bez pisemnej zgody Operatora. Operator może przenieść Umowę w przypadku reorganizacji, fuzji lub przejęcia, z zachowaniem ciągłości ochrony danych.

### 13.3. Całość umowy

Umowa wraz z Załącznikami stanowi całość porozumienia Stron i zastępuje wcześniejsze ustalenia.

### 13.4. Klauzule dodatkowe dla rynku DE/AT (DSGVO)

Dla Studiów z siedzibą w Niemczech / Austrii / Szwajcarii do Umowy stosuje się dodatkowo:
- **Auftragsverarbeitungsvertrag (AVV)** zgodny z art. 28 DSGVO — niniejszy § 4 traktowany jako AVV,
- **Verzeichnis von Verarbeitungstätigkeiten** — Operator udostępnia rejestr czynności przetwarzania na żądanie,
- **TOM (Technische und organisatorische Maßnahmen)** — § 4.6 stanowi opis TOM,
- punkt kontaktowy dla niemieckich organów nadzorczych: `privacy@studiova.app` (jeżeli Operator wyznaczy przedstawiciela w UE w rozumieniu art. 27 DSGVO, dane zostaną opublikowane w Polityce Prywatności).

---

## Załączniki

### Załącznik A — Lista sub-procesorów

Aktualna lista dostępna pod: `https://studiova.app/legal/subprocessors`

Snapshot na dzień zawarcia Umowy obejmuje:

| # | Sub-procesor | Forma prawna i adres | Lokalizacja serwerów | Kategoria danych | Cel przetwarzania | Podstawa transferu | Link DPA |
|---|---|---|---|---|---|---|---|
| 1 | Supabase Inc. | Delaware, USA (instancja EU operowana przez Supabase EU) | Frankfurt, DE (`eu-central-1`) | wszystkie dane Platformy | hosting bazy danych, autoryzacja, storage | EOG (brak transferu) | supabase.com/legal/dpa |
| 2 | Stripe Payments Europe Ltd. | Dublin, IE | UE + USA (ograniczone) | dane płatnicze, tokeny kart, dane identyfikacyjne KYC | przetwarzanie płatności | SCC + DPF | stripe.com/legal/dpa |
| 3 | PayPro S.A. (Przelewy24) | Poznań, PL | PL | dane płatnicze | przetwarzanie płatności PLN | EOG | przelewy24.pl/regulamin |
| 4 | Resend Inc. | San Francisco, USA (region EU) | UE (Frankfurt) z fallback US | email, treść wiadomości | wysyłka email transakcyjnego | SCC + DPF | resend.com/legal/dpa |
| 5 | SMSAPI sp. z o.o. | Wrocław, PL | PL | numer telefonu, treść SMS | wysyłka SMS PL | EOG | smsapi.pl/dpa |
| 6 | seven communications GmbH & Co. KG | Bad Iburg, DE | DE | numer telefonu, treść SMS | wysyłka SMS DE/AT/CH/UE | EOG | seven.io/dpa |
| 7 | Twilio Ireland Limited | Dublin, IE (+ Twilio Inc. USA) | USA + IE | numer telefonu, treść SMS | wysyłka SMS non-EU | SCC + DPF | twilio.com/legal/dpa |
| 8 | Anthropic PBC | San Francisco, USA | USA (EU residency where available) | prompts AI, identyfikator pseudonimizowany | funkcje AI (Coach/Optimizer/BrainBusiness) | SCC + DPF | anthropic.com/dpa |
| 9 | Vercel Inc. | San Francisco, USA | USA control + edge UE (FRA, CDG, DUB) | dane techniczne, logi, requesty | hosting frontend, edge functions | SCC + DPF | vercel.com/legal/dpa |

### Załącznik B — Instrukcja zgłaszania naruszeń ochrony danych

1. Adres email: `security@studiova.app`
2. Klucz PGP: `https://studiova.app/.well-known/pgp` (zalecane szyfrowanie zgłoszeń dotyczących wrażliwych informacji).
3. Treść zgłoszenia powinna zawierać: opis zdarzenia, datę i godzinę, dotknięte systemy/dane, podejrzewane przyczyny, dane kontaktowe zgłaszającego.
4. Operator potwierdza otrzymanie zgłoszenia w ciągu **2 godzin roboczych**.
5. W przypadku potwierdzonego naruszenia — powiadomienie Studia w ciągu 24 godzin (§ 4.7).
6. Eskalacja: telefon do Operatora `+48 508 510 642` w przypadku naruszeń krytycznych poza godzinami pracy.

### Załącznik C — Wzór zgody Klientki

```
Akceptuję Regulamin platformy STUDIOVA oraz Politykę Prywatności Studia [NAZWA STUDIA].
Potwierdzam, że zapoznałam się z informacją o przetwarzaniu danych osobowych
zgodnie z art. 13 RODO.

Administratorem moich danych osobowych jest [NAZWA STUDIA], a podmiotem
przetwarzającym dane na zlecenie Studia jest STUDIOVA (BH-Wandex).

[ ] Wyrażam zgodę na otrzymywanie komunikacji marketingowej (newsletter, kampanie SMS).
[ ] Wyrażam zgodę na prowadzenie dziennika ciała (Body Journal) — dane o zdrowiu.
[ ] Wyrażam zgodę na korzystanie z funkcji AI (AI Coach) — przetwarzanie przez Anthropic, USA, SCC + DPF.

Każdą ze zgód mogę wycofać w dowolnym momencie w panelu konta lub pisząc na
[email Studia] / privacy@studiova.app.

Mam prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia
oraz wniesienia skargi do Prezesa UODO (ul. Stawki 2, 00-193 Warszawa).
```

---

## Translation note

Wersją wiążącą Umowy jest wersja **polska**. Dla obrotu z klientami z państw niemieckojęzycznych (Niemcy, Austria, Szwajcaria) **wymagane jest** sporządzenie tłumaczenia przysięgłego na język niemiecki przez tłumacza przysięgłego wpisanego na listę Ministra Sprawiedliwości RP lub odpowiedniego rejestru w państwie docelowym. Wynika to z:
- art. 8 BDSG (wymogi językowe niemieckiego organu nadzorczego BfDI w postępowaniach kontrolnych),
- praktyki orzeczniczej niemieckich sądów handlowych wymagającej tłumaczenia przysięgłego dokumentów obcojęzycznych (§ 142 ZPO),
- ochrony konsumenta — niemieckie i austriackie sądy konsumenckie wymagają dokumentów w języku konsumenta.

**Rekomendowany koszt tłumaczenia przysięgłego DE:** ok. 500–1000 PLN (zależnie od długości i tłumacza), realny czas wykonania 5–10 dni roboczych.

Dla rynku **brytyjskiego** (po Brexit) i **szwajcarskiego romandzkiego** rekomendowane jest dodatkowe tłumaczenie na **język angielski** (informacyjne, nie wiążące). Wersja EN może być wykorzystywana w komunikacji handlowej i jako referencja techniczna.

**Operator (BH-Wandex) powinien zlecić tłumaczenie przysięgłe DE przed pozyskaniem pierwszego klienta DE/AT/CH.** Lista tłumaczy: TEPIS, Stowarzyszenie Tłumaczy Polskich, bezpośrednio przez listę MS: `https://www.gov.pl/web/sprawiedliwosc/tlumacze-przysiegli`.

---

## Disclaimer (PL + EN)

### Polski

**Niniejszy dokument jest SZKICEM (skeleton) sporządzonym z udziałem narzędzia sztucznej inteligencji (Claude / Anthropic) na potrzeby przygotowania bazy do dalszej pracy z prawnikiem.** Dokument **NIE** stanowi:
- porady prawnej w rozumieniu ustawy o radcach prawnych / adwokaturze,
- gotowego do podpisania kontraktu,
- pełnej oceny ryzyka prawnego konkretnego stanu faktycznego.

**Przed podpisaniem Umowy z jakimkolwiek klientem (PL, DE, AT, CH, EU, US) dokument MUSI zostać zweryfikowany i dostosowany przez wykwalifikowanego prawnika specjalizującego się w prawie ochrony danych osobowych (RODO/DSGVO) oraz prawie technologicznym (SaaS).**

#### Konkretne luki i ryzyka wymagające przeglądu prawnika

1. ~~**Dane rejestrowe Operatora** (§ 1.1) — uzupełnić NIP, REGON, adres siedziby.~~ ✓ Uzupełnione 2026-05-21 (BH-Wandex, NIP PL5251917081, REGON 012756421, BDO 000584079, Ciołka 8/210, 01-402 Warszawa).
2. **Status PSD2** (§ 8.3) — potwierdzić z prawnikiem, że model platformy nie wymaga rejestracji jako MIP (mała instytucja płatnicza) ani biuro usług płatniczych przy KNF.
3. **Body Journal jako dane medyczne** (§ 5) — analogia do art. 29 ustawy o prawach pacjenta jest interpretacją; prawnik powinien potwierdzić retencję 10 lat lub zaproponować krótszą.
4. **EU AI Act** (§ 6) — Rozporządzenie wchodzi w życie w fazach (sierpień 2024 – sierpień 2027); część obowiązków transparentności już obowiązuje, część dopiero zacznie. Należy zweryfikować aktualny stan implementacji.
5. **Przedstawiciel UE (art. 27 RODO)** — Operator z siedzibą w PL nie potrzebuje go dla obsługi UE, ale jeżeli ma klientów w UK po Brexit, potrzebuje UK Representative.
6. **DPF (Data Privacy Framework)** — należy zweryfikować aktualny status uczestnictwa Anthropic, Stripe, Resend, Twilio, Vercel w rejestrze DPF (`dataprivacyframework.gov`).
7. **Klauzule konsumenckie** — dla Klientki konsumentki w Polsce niektóre klauzule (limit odpowiedzialności, jurysdykcja) mogą być uznane za niedozwolone (rejestr UOKiK).
8. **VAT cross-border** (§ 8.1) — reverse charge dla EU B2B, OSS dla EU B2C ≥ 10k EUR — sprawdzić limity i rejestracje.
9. **Niemieckie wymogi językowe** (§ 12.4, Translation note) — czy język polski jako wiążący jest dopuszczalny dla niemieckiego konsumenta w świetle § 305c BGB (zaskakujące klauzule).
10. **Klauzula audytu** (§ 4.8) — kwestionowana w praktyce; rozważyć zastąpienie pełnego prawa audytu raportami SOC 2 / ISO 27001.
11. **Definicja siły wyższej** (§ 10.4) — rozważyć dodanie pandemii i sankcji jako wprost wymienionych przypadków.
12. **Klauzule przeżywające** (§ 11.6) — sprawdzić zgodność z art. 4181 KC i konsumenckimi przepisami nadrzędnymi.

#### Rekomendowane kancelarie specjalizujące się w RODO i prawie technologicznym (PL)

- **SK&S Legal** (Sołtysiński Kawecki & Szlęzak) — Warszawa, jedna z największych kancelarii TMT/data protection w PL,
- **Maruta Wachta** — Warszawa, czołowi w temacie SaaS i ochrony danych,
- **GP Partners** (Goldman, Pomykała Partners) — wyspecjalizowani w branży tech i AI,
- **Wardyński i Wspólnicy** — duża kancelaria z silnym zespołem TMT,
- **DZP** (Domański Zakrzewski Palinka) — czołowi w obszarze prawa konkurencji i compliance,
- **DLK Legal** — mniejsza, ale wyspecjalizowana w prawie nowych technologii.

**Szacunkowy koszt pełnego review niniejszej Umowy (12 stron):** 3 000 – 5 000 PLN netto (stawka godzinowa 600–1200 PLN, ok. 5–8 godzin pracy partnera + associate). Większe kancelarie (SK&S, DZP, Maruta) — górne widełki. Mniejsze butiki (DLK, GP Partners) — dolne widełki.

**Rekomendowany cykl pracy z prawnikiem:**
1. Wysłanie szkicu z opisem modelu biznesowego (1 dzień).
2. Pierwsza wersja review (1–2 tygodnie).
3. Konsultacja warsztatowa (2–4 godziny).
4. Finalizacja wersji PL (1 tydzień).
5. Zlecenie tłumaczenia przysięgłego DE (1–2 tygodnie).
6. Quick review tłumaczenia przez native German lawyer (rekomendacja: kancelarie w Berlinie/Monachium, koszt 1–2 tys. EUR — opcjonalnie dla rynku enterprise).

### English (informative)

**This document is a SKELETON drafted with AI assistance (Claude / Anthropic). It is NOT legal advice and NOT a ready-to-sign contract.** Before executing with any customer (Polish, German, Austrian, Swiss, or other EU/US), this document MUST be reviewed and tailored by a qualified data protection / technology lawyer.

Specific gaps flagged for legal review are listed in the Polish version above. Recommended Polish law firms specializing in GDPR / SaaS: **SK&S Legal, Maruta Wachta, Wardyński & Partners, DZP, GP Partners, DLK Legal**. Estimated full-review cost: **PLN 3,000–5,000 net** (approx. EUR 700–1,200).

---

*Koniec dokumentu. Wersja 1.1. Data ostatniej edycji: 2026-05-21.*