Przejdź do treści
Wersja dokumentu: 2026-05-21 · Pobierz wersję .md

UMOWA TRÓJSTRONNA O ŚWIADCZENIE USŁUG PLATFORMY SAAS, POWIERZENIU PRZETWARZANIA DANYCH OSOBOWYCH I WARUNKACH KORZYSTANIA Z USŁUG STUDIA

Wersja: 1.1 · Data: 2026-05-21 · Język wiążący: polski Status: SZKIC — wymaga przeglądu prawnika RODO przed podpisaniem (patrz Disclaimer na końcu)

Preambuła

Niniejsza umowa trójstronna (dalej: „Umowa") określa zasady współpracy pomiędzy podmiotem prowadzącym platformę STUDIOVA jako dostawcą oprogramowania w modelu SaaS, klientem biznesowym tej platformy (studiem fitness/pilates/beauty) oraz osobą fizyczną korzystającą z usług studia za pośrednictwem tej platformy.

Umowa odzwierciedla strukturę przetwarzania danych osobowych zgodną z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: „RODO" / „DSGVO" / „GDPR"), wymogi Rozporządzenia (UE) 2024/1689 w sprawie sztucznej inteligencji (dalej: „EU AI Act"), a także obowiązujące przepisy krajowe państw członkowskich UE, w szczególności prawo polskie oraz — w odniesieniu do studiów z siedzibą w Republice Federalnej Niemiec, Austrii i Szwajcarii — odpowiednio Bundesdatenschutzgesetz (BDSG), Datenschutzgesetz (DSG-AT) oraz Bundesgesetz über den Datenschutz (DSG-CH).

§ 1. Strony Umowy

1.1. Operator (STUDIOVA)

BH-Wandex, prowadzący działalność gospodarczą pod firmą STUDIOVA, adres siedziby: ul. Ciołka 8/210, 01-402 Warszawa, Mazowieckie, NIP: PL5251917081, REGON: 012756421, BDO: 000584079, adres email kontaktowy: kontakt@studiova.app, adres email ds. bezpieczeństwa i incydentów: security@studiova.app, adres email ds. ochrony danych (IOD/DPO lub osoba kontaktowa RODO): privacy@studiova.app

— dalej: „Operator" lub „STUDIOVA".

Rola w przetwarzaniu danych osobowych:

1.2. Administrator (Studio)

Firma / Imię i Nazwisko: [do uzupełnienia przez Studio przy onboardingu] Adres siedziby: [do uzupełnienia] NIP / VAT-ID / USt-IdNr.: [do uzupełnienia] Adres email kontaktowy: [do uzupełnienia] Identyfikator subdomeny STUDIOVA: *.studiova.app lub własna domena (np. panel.paulapilates.pl).

— dalej: „Studio" lub „Administrator".

Rola w przetwarzaniu danych osobowych:

Studio decyduje samodzielnie o celach i sposobach przetwarzania danych klientek końcowych (w szczególności: zakres zbieranych zgód, polityka retencji, polityka anulacji, integracje, kanały komunikacji).

1.3. Klientka (Osoba, której dane dotyczą)

Każda osoba fizyczna, która korzysta z usług Studia za pośrednictwem platformy STUDIOVA (rezerwuje zajęcia, kupuje karnety, korzysta z dziennika ciała, komunikuje się z Studiem) — dalej: „Klientka".

Rola w przetwarzaniu danych osobowych: Osoba, której dane dotyczą (art. 4 pkt 1 RODO).

Przystąpienie Klientki do Umowy następuje przez akceptację Regulaminu i Polityki Prywatności w trakcie zakładania konta lub pierwszej rezerwacji (akceptacja typu click-wrap). Treść istotnych postanowień dotyczących Klientki znajduje się w Załączniku C (Wzór zgody Klientki).

1.4. Niezależność stron

Strony są niezależnymi podmiotami. Umowa nie tworzy stosunku spółki, wspólnego przedsiębiorstwa, agencji ani stosunku pracy. Żadna ze Stron nie jest upoważniona do reprezentowania pozostałych Stron poza zakresem wyraźnie przewidzianym Umową.

§ 2. Definicje

Następujące pojęcia, użyte w Umowie pisaną wielką literą, mają znaczenie nadane im poniżej, a w sprawach nieuregulowanych — znaczenie nadane przez RODO oraz EU AI Act:

  1. Administrator — podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych (art. 4 pkt 7 RODO); w niniejszej Umowie domyślnie oznacza Studio.
  2. Podmiot przetwarzający (Procesor) — podmiot przetwarzający dane osobowe w imieniu Administratora (art. 4 pkt 8 RODO); w niniejszej Umowie oznacza Operatora.
  3. Sub-procesor (dalszy podmiot przetwarzający) — podmiot, któremu Procesor powierza dalsze przetwarzanie danych osobowych w celu wykonania określonych czynności (art. 28 ust. 2 i 4 RODO); szczegółowa lista w Załączniku A.
  4. Dane osobowe — informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1 RODO).
  5. Szczególne kategorie danych — dane wrażliwe wymienione w art. 9 ust. 1 RODO, w szczególności dane dotyczące zdrowia (przykładowo: pomiary masy ciała, obwody, dolegliwości bólowe, dziennik samopoczucia — funkcja Body Journal w platformie).
  6. Naruszenie ochrony danych — naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych (art. 4 pkt 12 RODO).
  7. Profilowanie — dowolna forma zautomatyzowanego przetwarzania danych osobowych polegająca na wykorzystaniu danych do oceny niektórych czynników osobowych osoby fizycznej (art. 4 pkt 4 RODO).
  8. Zautomatyzowana decyzja — decyzja oparta wyłącznie na zautomatyzowanym przetwarzaniu, wywołująca skutki prawne lub istotnie wpływająca na osobę (art. 22 RODO).
  9. System AI — system sztucznej inteligencji w rozumieniu art. 3 pkt 1 EU AI Act; w platformie STUDIOVA: AI Coach, AI Optimizer (predykcja churn / load), Smart Waitlist, Business Brain.
  10. Treść wygenerowana przez AI — tekst, obraz lub inna treść wytworzona lub istotnie zmodyfikowana przez System AI, podlegająca obowiązkowi oznakowania (art. 50 EU AI Act).
  11. Platforma — oprogramowanie SaaS STUDIOVA wraz z wszystkimi modułami (panel admin, panel klientki, API, integracje SMS/email/AI), dostarczane przez Operatora.
  12. Dane Studia — dane konta i konfiguracji wprowadzone przez Studio (logo, branding, harmonogramy, cennik, dane firmowe, dane instruktorek).
  13. Dane Klientki — wszelkie dane osobowe Klientki przetwarzane w Platformie z polecenia Studia.
  14. Okres Trwania Umowy — od momentu akceptacji niniejszej Umowy lub aktywnej subskrypcji do momentu zakończenia Umowy zgodnie z § 11.
  15. SCC — Standardowe Klauzule Umowne (Standard Contractual Clauses) zatwierdzone decyzją Komisji Europejskiej (UE) 2021/914 dla transferów danych do państw trzecich.
  16. DPF — Data Privacy Framework (UE–USA), decyzja Komisji 2023/1795 z 10 lipca 2023 r.

§ 3. Przedmiot Umowy

3.1. Zakres usług świadczonych przez Operatora na rzecz Studia

Operator zobowiązuje się świadczyć Studiu w okresie obowiązywania Umowy następujące usługi (dalej łącznie: „Usługi"):

  1. Dostęp do Platformy w wybranym przez Studio planie subskrypcyjnym (np. Solo, Studio, Salon, Enterprise w wariantach PLN / EUR / USD).
  2. Hosting danych w infrastrukturze chmurowej zlokalizowanej w Unii Europejskiej (Supabase, region eu-central-1 Frankfurt).
  3. Pośrednictwo w przetwarzaniu płatności za pomocą wybranego operatora płatności:
    • Stripe Payments Europe Ltd. (Dublin, Irlandia) — dla transakcji w EUR/USD/CHF/GBP oraz dla wszystkich klientów spoza Polski,
    • PayPro S.A. (Przelewy24) (Poznań, Polska) — dla transakcji w PLN dla klientów polskich.
  4. Pośrednictwo w wysyłce wiadomości email transakcyjnych za pomocą Resend Inc. (z przetwarzaniem w regionie UE, gdzie dostępne).
  5. Pośrednictwo w wysyłce wiadomości SMS z routingiem regionalnym:
    • SMSAPI sp. z o.o. (Wrocław, Polska) — numery telefonów PL,
    • seven communications GmbH & Co. KG (Bad Iburg, Niemcy) — numery telefonów DE/AT/CH oraz pozostałe UE,
    • Twilio Ireland Limited (Dublin, Irlandia; przekierowanie do Twilio Inc., USA) — numery telefonów spoza UE.
  6. Funkcje sztucznej inteligencji (AI Coach, AI Optimizer, Smart Waitlist, Business Brain) realizowane przez Anthropic PBC (San Francisco, USA) z wykorzystaniem modeli Claude — transfer danych objęty SCC oraz DPF (Anthropic jest uczestnikiem DPF od 2024 r.).
  7. Funkcje rozliczeniowe i fakturowe (KSeF dla klientów polskich, faktury EUR/USD dla klientów zagranicznych).
  8. Wsparcie techniczne w trybie standardowym (email) lub priorytetowym (zależnie od planu).

3.2. Zakres usług świadczonych przez Studio na rzecz Klientki

Studio zobowiązuje się świadczyć Klientce usługi szkoleniowe / fitness / pilates / beauty (zależnie od profilu Studia) zgodnie z własnym regulaminem, harmonogramem i cennikiem opublikowanym na podstronie Studia w Platformie. Studio występuje wobec Klientki jako jedyny usługodawca świadczeń podstawowych oraz merchant of record (sprzedawca) wszystkich płatności za karnety i zajęcia.

3.3. Wyłączenie odpowiedzialności Operatora za świadczenie usług Studia

Operator nie jest stroną umowy o świadczenie usług treningowych pomiędzy Studiem a Klientką. Operator nie odpowiada za jakość, dostępność ani treść tych usług. Operator nie jest instytucją płatniczą w rozumieniu PSD2 — pośredniczy wyłącznie technicznie pomiędzy Studiem a wybranym operatorem płatności.

§ 4. Powierzenie przetwarzania danych osobowych (art. 28 RODO)

Niniejszy paragraf stanowi umowę powierzenia przetwarzania danych osobowych w rozumieniu art. 28 ust. 3 RODO, zawartą pomiędzy Studiem (Administrator) a Operatorem (Procesor).

4.1. Przedmiot, charakter i cel przetwarzania

Operator przetwarza dane osobowe Klientek na polecenie Studia w celu świadczenia Usług określonych w § 3.1, w szczególności:

4.2. Czas trwania przetwarzania

Operator przetwarza dane przez Okres Trwania Umowy ze Studiem, a po jej zakończeniu przez okres maksymalnie 90 dni w celu umożliwienia eksportu danych, po czym dane są trwale usuwane (mechanizm cleanup-deleted cron). Studio może zażądać wcześniejszego usunięcia danych w trybie określonym w § 11.

4.3. Rodzaj danych i kategorie osób

| Kategoria osób | Kategorie danych | Szczególne kategorie (art. 9) | |---|---|---| | Klientki Studia | imię, nazwisko, email, telefon, data urodzenia, adres (opcjonalnie), historia zajęć, historia płatności, preferencje, notatki Studia | tak — Body Journal (waga, obwody, dolegliwości, nastrój) wyłącznie po wyraźnej zgodzie | | Pracownicy/instruktorki Studia | imię, nazwisko, email, telefon, dane do umowy B2B (opcjonalnie) | nie | | Goście (rezerwacja bez konta) | imię, email, telefon, data zajęć | nie |

4.4. Obowiązki Procesora (Operatora)

Operator zobowiązuje się:

  1. przetwarzać dane wyłącznie na udokumentowane polecenie Studia (Umowa, konfiguracja w Platformie, ticket support);
  2. zapewnić, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi zachowania tajemnicy;
  3. wdrożyć odpowiednie środki techniczne i organizacyjne zgodne z art. 32 RODO (patrz § 4.6);
  4. przestrzegać warunków korzystania z usług sub-procesorów (§ 4.5);
  5. w miarę możliwości pomagać Studiu, poprzez odpowiednie środki techniczne i organizacyjne, w wywiązywaniu się z obowiązków odpowiadania na żądania osób, których dane dotyczą (§ 7);
  6. pomagać Studiu w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków — DPIA);
  7. po zakończeniu świadczenia Usług usunąć wszelkie dane osobowe lub zwrócić je Studiu (zależnie od decyzji Studia) i usunąć kopie, chyba że prawo Unii lub państwa członkowskiego nakazuje przechowywanie danych (patrz § 11);
  8. udostępniać Studiu wszelkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwiać audyty (§ 4.8);
  9. niezwłocznie informować Studio, jeżeli wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.

4.5. Sub-procesorzy (art. 28 ust. 2 i 4 RODO)

Studio udziela ogólnej zgody na korzystanie przez Operatora z sub-procesorów wymienionych w Załączniku A. Operator informuje Studio o wszelkich zamierzonych zmianach na liście sub-procesorów z wyprzedzeniem co najmniej 30 dni, drogą email na adres kontaktowy Studia oraz publikacją zaktualizowanej listy pod adresem https://studiova.app/legal/subprocessors. Studio ma prawo zgłosić uzasadniony sprzeciw w terminie 14 dni; w razie sprzeciwu Stronom przysługuje prawo wypowiedzenia Umowy zgodnie z § 11.

Operator zawiera z każdym sub-procesorem umowę nakładającą obowiązki ochrony danych nie mniej rygorystyczne niż określone w niniejszym paragrafie. Operator pozostaje w pełni odpowiedzialny wobec Studia za działania i zaniechania sub-procesorów (art. 28 ust. 4 zd. 2 RODO).

Aktualna lista sub-procesorów (skrót — pełna w Załączniku A)

| Sub-procesor | Lokalizacja przetwarzania | Cel | Podstawa transferu | |---|---|---|---| | Supabase Inc. (infrastruktura DB + auth + storage) | UE — Frankfurt (eu-central-1) | hosting bazy danych, autoryzacja, pliki | wewnątrz EOG — brak transferu | | Stripe Payments Europe Ltd. | Irlandia (EU); ograniczone transfery do Stripe Inc. (USA) | przetwarzanie płatności EUR/USD/CHF/GBP | SCC + DPF | | PayPro S.A. (Przelewy24) | Polska (EU) | przetwarzanie płatności PLN | wewnątrz EOG | | Resend Inc. | UE (region EU) z fallback US | wysyłka email transakcyjnego | SCC + DPF | | SMSAPI sp. z o.o. | Polska (EU) | SMS dla numerów PL | wewnątrz EOG | | seven communications GmbH & Co. KG | Niemcy (EU) | SMS dla numerów DE/AT/CH/UE | wewnątrz EOG | | Twilio Ireland Limited / Twilio Inc. | Irlandia (EU) + USA | SMS dla numerów spoza UE | SCC + DPF | | Anthropic PBC | USA (z residencją EU gdzie dostępne) | funkcje AI (AI Coach, Optimizer) | SCC + DPF | | Vercel Inc. | USA (kontrolne) + edge runtime w UE (Frankfurt, Dublin, Paris) | hosting frontend (Next.js), edge functions | SCC + DPF |

4.6. Środki techniczne i organizacyjne (art. 32 RODO)

Operator wdraża i utrzymuje co najmniej następujące środki bezpieczeństwa:

Środki techniczne:

Środki organizacyjne:

4.7. Naruszenie ochrony danych (art. 33–34 RODO)

W przypadku stwierdzenia naruszenia ochrony danych osobowych Operator:

  1. powiadamia Studio bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od stwierdzenia naruszenia, drogą email na adres kontaktowy Studia oraz dodatkowo telefonicznie w przypadku naruszeń o wysokim ryzyku;
  2. udostępnia Studiu informacje obejmujące co najmniej: charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, kategorie i przybliżoną liczbę wpisów danych, prawdopodobne konsekwencje, podjęte lub proponowane środki zaradcze;
  3. dokumentuje wszystkie naruszenia w wewnętrznym rejestrze (art. 33 ust. 5 RODO);
  4. wspiera Studio w wywiązaniu się z obowiązku zgłoszenia naruszenia organowi nadzorczemu (PUODO / BfDI / DSB) w terminie 72 godzin oraz zawiadomienia osób, których dane dotyczą, jeżeli naruszenie powoduje wysokie ryzyko.

Zgłoszenia naruszeń przyjmowane są pod adresem security@studiova.app (PGP key dostępny pod https://studiova.app/.well-known/pgp). Szczegółową instrukcję zawiera Załącznik B.

4.8. Prawo do audytu

Studio ma prawo, nie częściej niż raz na 12 miesięcy (lub niezwłocznie po naruszeniu ochrony danych), żądać od Operatora:

  1. udostępnienia dokumentacji potwierdzającej spełnienie obowiązków z art. 28 RODO (raporty SOC 2 / ISO 27001 sub-procesorów, raporty pentestów, dokumentacja środków bezpieczeństwa),
  2. przeprowadzenia audytu zdalnego (kwestionariusz + dokumenty) — domyślnie, lub
  3. w uzasadnionych przypadkach — audytu na miejscu, po wcześniejszym ustaleniu terminu (min. 30 dni roboczych) i podpisaniu NDA.

Audyt nie może zakłócać działania Platformy ani naruszać tajemnic handlowych Operatora lub innych klientów. Koszty audytu ponosi Studio, chyba że audyt wykaże istotne naruszenia po stronie Operatora.

§ 5. Przetwarzanie szczególnych kategorii danych (art. 9 RODO)

5.1. Body Journal jako dane o zdrowiu

Funkcja Body Journal w Platformie umożliwia Klientce dobrowolne prowadzenie dziennika obejmującego dane o jej zdrowiu (art. 9 ust. 1 RODO): pomiary masy ciała, obwody, dolegliwości bólowe, nastrój, jakość snu, dolegliwości menstruacyjne.

5.2. Podstawa prawna

Jedyną podstawą przetwarzania danych z Body Journal jest wyraźna zgoda Klientki (art. 9 ust. 2 lit. a RODO), uzyskana poprzez odrębny mechanizm w interfejsie użytkownika (osobny przełącznik, unchecked by default, z opisem celu i konsekwencji wycofania zgody). Zgoda jest rejestrowana w bazie danych (timestamp, IP, treść klauzuli) i może zostać w każdej chwili wycofana.

5.3. Cel przetwarzania

Dane z Body Journal są przetwarzane wyłącznie w celu:

Dane Body Journal nie są wykorzystywane do funkcji AI bez odrębnej, dodatkowej zgody (warstwa 3 trójwarstwowego opt-in — patrz § 6.4).

5.4. Retencja

Dane Body Journal są przechowywane przez okres aktywności konta Klientki, a po jego dezaktywacji — maksymalnie 10 lat zgodnie ze standardami retencji dokumentacji medycznej w prawie polskim (art. 29 ust. 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta — przez analogię), chyba że Klientka wcześniej zażąda usunięcia (art. 17 RODO).

5.5. Środki dodatkowe

W odniesieniu do danych Body Journal:

§ 6. Funkcje sztucznej inteligencji — zgodność z EU AI Act (Rozporządzenie 2024/1689)

6.1. Klasyfikacja systemów AI w Platformie

Operator stosuje następującą klasyfikację systemów AI:

| System | Funkcja | Klasyfikacja AI Act | Ryzyko | |---|---|---|---| | AI Coach | Chatbot wspierający Klientkę w pytaniach o zajęcia | Limited risk (art. 50) | ograniczone | | AI Optimizer | Predykcja churn / no-show / load do wglądu Studia | Limited risk | ograniczone | | Smart Waitlist | Sortowanie listy rezerwowej | Limited risk | ograniczone | | Business Brain | Analityka biznesowa Studia (cohort, LTV, forecast) | Limited risk | ograniczone |

Żaden z systemów AI w Platformie nie jest systemem wysokiego ryzyka (high-risk) w rozumieniu Załącznika III EU AI Act, ani systemem zakazanym (Załącznik II, art. 5).

6.2. Obowiązek transparentności (art. 50 EU AI Act)

Operator zapewnia, że:

6.3. Brak zautomatyzowanych decyzji (art. 22 RODO)

Żaden system AI w Platformie nie podejmuje zautomatyzowanej decyzji wywołującej skutki prawne lub istotnie wpływającej na Klientkę. W szczególności:

6.4. Trójwarstwowy opt-in (Privacy by Default — art. 25 RODO)

Funkcje AI są domyślnie wyłączone. Włączenie wymaga spełnienia trzech warunków łącznie:

  1. Plan tier — funkcje AI dostępne tylko w planach Studio i wyższych (warstwa biznesowa),
  2. Master switch Studia — Administrator Studia świadomie włącza moduł AI w panelu ustawień,
  3. Opt-in Klientki — Klientka indywidualnie akceptuje korzystanie z funkcji AI w swoim koncie (osobny przełącznik z opisem dostawcy, kraju przetwarzania i prawa do wycofania zgody).

Bez wszystkich trzech warstw — żadne dane Klientki nie są przekazywane do dostawcy AI.

6.5. Dostawca AI i transfer danych

Dostawcą modeli AI jest Anthropic PBC (San Francisco, USA). Transfer danych odbywa się na podstawie:

Anthropic nie wykorzystuje danych klientów do trenowania modeli (zgodnie z Anthropic API Terms — Commercial Terms, sekcja „Customer Content").

6.6. Prawo do interwencji człowieka

Klientka ma prawo w każdej chwili:

6.7. Logging i audyt AI

Operator prowadzi logi interakcji z AI obejmujące: timestamp, identyfikator użytkownika (pseudonimizowany), kategorię zapytania, model wykorzystany, wynik. Logi są przechowywane przez 12 miesięcy w celu rozliczalności i ewentualnego audytu.

§ 7. Prawa osób fizycznych (art. 12–22 RODO)

7.1. Katalog praw Klientki

Klientka, w odniesieniu do swoich danych przetwarzanych w Platformie, ma prawo do:

  1. dostępu do swoich danych (art. 15 RODO),
  2. sprostowania danych nieprawidłowych lub niekompletnych (art. 16 RODO),
  3. usunięcia danych („prawo do bycia zapomnianym", art. 17 RODO),
  4. ograniczenia przetwarzania (art. 18 RODO),
  5. przenoszenia danych w ustrukturyzowanym, powszechnie używanym formacie maszynowym (JSON/CSV, art. 20 RODO),
  6. sprzeciwu wobec przetwarzania (art. 21 RODO),
  7. wycofania zgody w każdej chwili — bez wpływu na zgodność z prawem przetwarzania dokonanego przed wycofaniem (art. 7 ust. 3 RODO),
  8. wniesienia skargi do organu nadzorczego (PUODO w Polsce, BfDI w Niemczech, DSB w Austrii, EDÖB w Szwajcarii).

7.2. Self-service flows w Platformie

Operator zapewnia Klientce techniczne mechanizmy realizacji jej praw bezpośrednio w panelu:

7.3. Realizacja praw przez Studio

Klientka może również wykonać swoje prawa pisząc do Studia (na adres email Studia). Studio zobowiązuje się odpowiedzieć w terminie 30 dni (z możliwością przedłużenia o kolejne 60 dni w skomplikowanych przypadkach, z poinformowaniem Klientki). Studio może realizować prawa Klientki:

7.4. Brak opłat

Realizacja praw Klientki jest bezpłatna, chyba że żądania są wyraźnie nieuzasadnione lub nadmierne (art. 12 ust. 5 RODO) — wówczas możliwe jest pobranie rozsądnej opłaty lub odmowa działania.

7.5. Ograniczenia prawa do usunięcia

Prawo do usunięcia nie ma zastosowania w zakresie, w jakim przetwarzanie jest niezbędne do:

§ 8. Płatności i opłaty

8.1. Opłaty STUDIOVA → Studio (B2B SaaS)

Studio uiszcza Operatorowi opłaty subskrypcyjne zgodnie z wybranym planem (PLN / EUR / USD), rozliczane miesięcznie lub rocznie (rabat −10% rocznie). Opłaty są bezzwrotne za bieżący okres rozliczeniowy, z wyjątkiem przypadków przewidzianych w Refund Policy (docs/REFUND_POLICY.md).

Operator wystawia Studiu fakturę VAT (PL: KSeF dla podatników VAT; EU: faktura odwrotnego obciążenia VAT — reverse charge, art. 196 dyrektywy 2006/112/WE; non-EU: bez VAT z adnotacją outside scope of EU VAT).

8.2. Opłaty Klientka → Studio (B2C bookings)

Klientka uiszcza Studiu opłaty za karnety, pojedyncze wejścia, depozyty (salon beauty) zgodnie z cennikiem Studia. Studio jest jedynym sprzedawcą (merchant of record) tych usług wobec Klientki. Płatności przechodzą przez operatora płatności (Stripe lub Przelewy24), który wypłaca środki bezpośrednio na rachunek Studia.

8.3. Status PSD2 Operatora

Operator nie jest instytucją płatniczą ani biurem usług płatniczych w rozumieniu dyrektywy PSD2 ani ustawy o usługach płatniczych z dnia 19 sierpnia 2011 r. Operator wyłącznie pośredniczy technicznie pomiędzy Studiem a operatorem płatności. Studio samodzielnie zawiera umowy z Stripe i/lub PayPro S.A. (konto merchant).

8.4. Zwroty i refundacje

Polityka zwrotów wobec Klientki jest ustalana przez Studio (Studio jest merchant of record). Operator zapewnia jedynie techniczne mechanizmy zwrotu (refund button w panelu).

§ 9. Własność danych i własność intelektualna

9.1. Dane Studia

Studio pozostaje wyłącznym właścicielem swoich Danych Studia (logo, branding, dane klientek, treści marketingowe, konfiguracja, cennik). Operator nie nabywa żadnych praw własności do tych danych. Operator może wykorzystywać Dane Studia wyłącznie w zakresie niezbędnym do świadczenia Usług oraz zgodnie z art. 28 RODO.

9.2. Dane Klientki

Klientka pozostaje podmiotem danych w odniesieniu do swoich danych osobowych. Klientka nie nabywa praw do bazy danych Studia jako całości, ale ma prawa wynikające z RODO (§ 7).

9.3. Platforma STUDIOVA

Operator pozostaje wyłącznym właścicielem Platformy, w tym kodu źródłowego, designu, dokumentacji, know-how, znaków towarowych „STUDIOVA". Studio otrzymuje wyłącznie niewyłączną, niezbywalną licencję na korzystanie z Platformy w okresie obowiązywania Umowy.

9.4. Treści generowane przez AI

Treści generowane przez AI w Platformie (rekomendacje, podsumowania, treści marketingowe) są dostarczane „as-is". Operator nie gwarantuje praw autorskich do treści generowanych przez AI (zgodnie z aktualnym stanem prawa autorskiego w UE — treści w pełni wygenerowane przez AI mogą nie być chronione prawem autorskim).

9.5. Eksport danych po zakończeniu Umowy

Po zakończeniu Umowy Studio ma prawo do eksportu pełnego zestawu swoich danych przez okres 30 dni w formatach: CSV (dane tabelaryczne), JSON (struktura pełna), PDF (faktury, raporty). Po upływie 30 dni dane są nieodwracalnie usuwane zgodnie z § 11.4.

§ 10. Odpowiedzialność, SLA, siła wyższa

10.1. SLA dostępności

Operator zobowiązuje się dołożyć handlowo uzasadnionych starań w celu utrzymania dostępności Platformy na poziomie 99,5% w skali miesiąca kalendarzowego dla planów płatnych. Wyłączenia:

Brak SLA dla planów Free / Trial.

10.2. Limit odpowiedzialności

Łączna odpowiedzialność Operatora wobec Studia z tytułu Umowy ograniczona jest do wysokości opłat zapłaconych Operatorowi przez Studio w okresie 12 miesięcy poprzedzających zdarzenie. Limit nie ma zastosowania w przypadku:

10.3. Wyłączenie szkód pośrednich

W maksymalnym zakresie dopuszczalnym przez prawo Operator nie ponosi odpowiedzialności za utracone korzyści, utracone dane (poza obowiązkami z RODO), przerwy w działalności, szkody pośrednie i następcze.

10.4. Siła wyższa

Strony nie ponoszą odpowiedzialności za niewykonanie lub nienależyte wykonanie Umowy spowodowane okolicznościami siły wyższej (klęski żywiołowe, wojna, stan wyjątkowy, atak cybernetyczny państwowy, awaria krytycznej infrastruktury internetu, decyzje organów państwowych). Strona dotknięta siłą wyższą powiadamia drugą Stronę niezwłocznie.

10.5. Odpowiedzialność Studia wobec Klientki

Studio ponosi pełną odpowiedzialność wobec Klientki za:

Operator nie ponosi odpowiedzialności za działania lub zaniechania Studia wobec Klientki.

§ 11. Zakończenie Umowy

11.1. Czas trwania

Umowa obowiązuje od momentu akceptacji do momentu jej zakończenia w jeden z poniższych sposobów.

11.2. Rozwiązanie zwykłe

Każda ze Stron (Operator lub Studio) może rozwiązać Umowę z zachowaniem 30-dniowego okresu wypowiedzenia ze skutkiem na koniec okresu rozliczeniowego. Wypowiedzenie składane drogą email na adresy kontaktowe Stron.

11.3. Rozwiązanie ze skutkiem natychmiastowym

Każda ze Stron może rozwiązać Umowę ze skutkiem natychmiastowym w przypadku:

11.4. Losy danych po zakończeniu Umowy

Po zakończeniu Umowy:

  1. 0–30 dni — Studio ma dostęp do panelu w trybie read-only z możliwością eksportu danych.
  2. 31–90 dni — konto zawieszone, dane przechowywane w trybie soft-delete. Studio może wnioskować o reaktywację.
  3. Po 90 dniach — uruchamia się automatyczny mechanizm trwałego usunięcia (cleanup-deleted cron job). Usunięcie obejmuje wszystkie Dane Studia i Dane Klientek powiązane z tym Studiem, z wyjątkiem:
    • faktur (przechowywane 5 lat — obowiązek ustawowy),
    • logów audytowych (przechowywane 12 miesięcy — uzasadniony interes Operatora w zakresie obrony przed roszczeniami),
    • kopii zapasowych (rotacja 30 dni — następnie usuwane).

11.5. Skutek dla Klientek

Studio zobowiązuje się powiadomić swoje Klientki o zakończeniu Umowy z Operatorem z wyprzedzeniem co najmniej 30 dni, w celu umożliwienia Klientkom skorzystania z prawa eksportu danych zgodnie z § 7.2.

11.6. Klauzule przeżywające

Niezależnie od zakończenia Umowy, w mocy pozostają postanowienia dotyczące: poufności, ochrony danych w zakresie obowiązków retencyjnych, własności intelektualnej, ograniczenia odpowiedzialności, rozstrzygania sporów, prawa właściwego.

§ 12. Klauzula salwatoryjna, prawo właściwe, jurysdykcja

12.1. Klauzula salwatoryjna

Jeżeli którekolwiek z postanowień Umowy okaże się nieważne lub niewykonalne, pozostałe postanowienia pozostają w mocy. Strony zobowiązują się zastąpić nieważne postanowienie postanowieniem najbardziej zbliżonym celem ekonomicznym i prawnym.

12.2. Prawo właściwe

Prawem właściwym dla Umowy jest:

W zakresie ochrony danych osobowych w każdym przypadku obowiązuje RODO oraz przepisy państwa członkowskiego właściwego dla Klientki.

12.3. Jurysdykcja

Spory wynikające z Umowy rozstrzygane są przez sąd właściwy:

Strony zobowiązują się przed wszczęciem postępowania sądowego podjąć próbę polubownego rozwiązania sporu w trybie negocjacji bezpośrednich (30 dni). Klientka konsument ma prawo skorzystać z platformy ODR Komisji Europejskiej: https://ec.europa.eu/consumers/odr.

12.4. Język

Językiem wiążącym Umowy jest polski. Tłumaczenia na inne języki mają charakter informacyjny, chyba że załączone tłumaczenie jest tłumaczeniem przysięgłym opatrzonym pieczęcią tłumacza przysięgłego (wymóg dla wersji niemieckiej — patrz Translation note).

§ 13. Postanowienia końcowe

13.1. Zmiany Umowy

Operator może zmienić Umowę z wyprzedzeniem 30 dni, informując Studio drogą email. Studio ma prawo wypowiedzieć Umowę w trybie zwykłym (§ 11.2) w razie braku akceptacji zmian. Brak wypowiedzenia po 30 dniach poczytuje się za akceptację.

13.2. Cesja

Studio nie może przenieść praw i obowiązków z Umowy bez pisemnej zgody Operatora. Operator może przenieść Umowę w przypadku reorganizacji, fuzji lub przejęcia, z zachowaniem ciągłości ochrony danych.

13.3. Całość umowy

Umowa wraz z Załącznikami stanowi całość porozumienia Stron i zastępuje wcześniejsze ustalenia.

13.4. Klauzule dodatkowe dla rynku DE/AT (DSGVO)

Dla Studiów z siedzibą w Niemczech / Austrii / Szwajcarii do Umowy stosuje się dodatkowo:

Załączniki

Załącznik A — Lista sub-procesorów

Aktualna lista dostępna pod: https://studiova.app/legal/subprocessors

Snapshot na dzień zawarcia Umowy obejmuje:

| # | Sub-procesor | Forma prawna i adres | Lokalizacja serwerów | Kategoria danych | Cel przetwarzania | Podstawa transferu | Link DPA | |---|---|---|---|---|---|---|---| | 1 | Supabase Inc. | Delaware, USA (instancja EU operowana przez Supabase EU) | Frankfurt, DE (eu-central-1) | wszystkie dane Platformy | hosting bazy danych, autoryzacja, storage | EOG (brak transferu) | supabase.com/legal/dpa | | 2 | Stripe Payments Europe Ltd. | Dublin, IE | UE + USA (ograniczone) | dane płatnicze, tokeny kart, dane identyfikacyjne KYC | przetwarzanie płatności | SCC + DPF | stripe.com/legal/dpa | | 3 | PayPro S.A. (Przelewy24) | Poznań, PL | PL | dane płatnicze | przetwarzanie płatności PLN | EOG | przelewy24.pl/regulamin | | 4 | Resend Inc. | San Francisco, USA (region EU) | UE (Frankfurt) z fallback US | email, treść wiadomości | wysyłka email transakcyjnego | SCC + DPF | resend.com/legal/dpa | | 5 | SMSAPI sp. z o.o. | Wrocław, PL | PL | numer telefonu, treść SMS | wysyłka SMS PL | EOG | smsapi.pl/dpa | | 6 | seven communications GmbH & Co. KG | Bad Iburg, DE | DE | numer telefonu, treść SMS | wysyłka SMS DE/AT/CH/UE | EOG | seven.io/dpa | | 7 | Twilio Ireland Limited | Dublin, IE (+ Twilio Inc. USA) | USA + IE | numer telefonu, treść SMS | wysyłka SMS non-EU | SCC + DPF | twilio.com/legal/dpa | | 8 | Anthropic PBC | San Francisco, USA | USA (EU residency where available) | prompts AI, identyfikator pseudonimizowany | funkcje AI (Coach/Optimizer/BrainBusiness) | SCC + DPF | anthropic.com/dpa | | 9 | Vercel Inc. | San Francisco, USA | USA control + edge UE (FRA, CDG, DUB) | dane techniczne, logi, requesty | hosting frontend, edge functions | SCC + DPF | vercel.com/legal/dpa |

Załącznik B — Instrukcja zgłaszania naruszeń ochrony danych

  1. Adres email: security@studiova.app
  2. Klucz PGP: https://studiova.app/.well-known/pgp (zalecane szyfrowanie zgłoszeń dotyczących wrażliwych informacji).
  3. Treść zgłoszenia powinna zawierać: opis zdarzenia, datę i godzinę, dotknięte systemy/dane, podejrzewane przyczyny, dane kontaktowe zgłaszającego.
  4. Operator potwierdza otrzymanie zgłoszenia w ciągu 2 godzin roboczych.
  5. W przypadku potwierdzonego naruszenia — powiadomienie Studia w ciągu 24 godzin (§ 4.7).
  6. Eskalacja: telefon do Operatora +48 508 510 642 w przypadku naruszeń krytycznych poza godzinami pracy.

Załącznik C — Wzór zgody Klientki

Akceptuję Regulamin platformy STUDIOVA oraz Politykę Prywatności Studia [NAZWA STUDIA].
Potwierdzam, że zapoznałam się z informacją o przetwarzaniu danych osobowych
zgodnie z art. 13 RODO.

Administratorem moich danych osobowych jest [NAZWA STUDIA], a podmiotem
przetwarzającym dane na zlecenie Studia jest STUDIOVA (BH-Wandex).

[ ] Wyrażam zgodę na otrzymywanie komunikacji marketingowej (newsletter, kampanie SMS).
[ ] Wyrażam zgodę na prowadzenie dziennika ciała (Body Journal) — dane o zdrowiu.
[ ] Wyrażam zgodę na korzystanie z funkcji AI (AI Coach) — przetwarzanie przez Anthropic, USA, SCC + DPF.

Każdą ze zgód mogę wycofać w dowolnym momencie w panelu konta lub pisząc na
[email Studia] / privacy@studiova.app.

Mam prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia
oraz wniesienia skargi do Prezesa UODO (ul. Stawki 2, 00-193 Warszawa).

Translation note

Wersją wiążącą Umowy jest wersja polska. Dla obrotu z klientami z państw niemieckojęzycznych (Niemcy, Austria, Szwajcaria) wymagane jest sporządzenie tłumaczenia przysięgłego na język niemiecki przez tłumacza przysięgłego wpisanego na listę Ministra Sprawiedliwości RP lub odpowiedniego rejestru w państwie docelowym. Wynika to z:

Rekomendowany koszt tłumaczenia przysięgłego DE: ok. 500–1000 PLN (zależnie od długości i tłumacza), realny czas wykonania 5–10 dni roboczych.

Dla rynku brytyjskiego (po Brexit) i szwajcarskiego romandzkiego rekomendowane jest dodatkowe tłumaczenie na język angielski (informacyjne, nie wiążące). Wersja EN może być wykorzystywana w komunikacji handlowej i jako referencja techniczna.

Operator (BH-Wandex) powinien zlecić tłumaczenie przysięgłe DE przed pozyskaniem pierwszego klienta DE/AT/CH. Lista tłumaczy: TEPIS, Stowarzyszenie Tłumaczy Polskich, bezpośrednio przez listę MS: https://www.gov.pl/web/sprawiedliwosc/tlumacze-przysiegli.

Disclaimer (PL + EN)

Polski

Niniejszy dokument jest SZKICEM (skeleton) sporządzonym z udziałem narzędzia sztucznej inteligencji (Claude / Anthropic) na potrzeby przygotowania bazy do dalszej pracy z prawnikiem. Dokument NIE stanowi:

Przed podpisaniem Umowy z jakimkolwiek klientem (PL, DE, AT, CH, EU, US) dokument MUSI zostać zweryfikowany i dostosowany przez wykwalifikowanego prawnika specjalizującego się w prawie ochrony danych osobowych (RODO/DSGVO) oraz prawie technologicznym (SaaS).

Konkretne luki i ryzyka wymagające przeglądu prawnika

  1. ~~Dane rejestrowe Operatora (§ 1.1) — uzupełnić NIP, REGON, adres siedziby.~~ ✓ Uzupełnione 2026-05-21 (BH-Wandex, NIP PL5251917081, REGON 012756421, BDO 000584079, Ciołka 8/210, 01-402 Warszawa).
  2. Status PSD2 (§ 8.3) — potwierdzić z prawnikiem, że model platformy nie wymaga rejestracji jako MIP (mała instytucja płatnicza) ani biuro usług płatniczych przy KNF.
  3. Body Journal jako dane medyczne (§ 5) — analogia do art. 29 ustawy o prawach pacjenta jest interpretacją; prawnik powinien potwierdzić retencję 10 lat lub zaproponować krótszą.
  4. EU AI Act (§ 6) — Rozporządzenie wchodzi w życie w fazach (sierpień 2024 – sierpień 2027); część obowiązków transparentności już obowiązuje, część dopiero zacznie. Należy zweryfikować aktualny stan implementacji.
  5. Przedstawiciel UE (art. 27 RODO) — Operator z siedzibą w PL nie potrzebuje go dla obsługi UE, ale jeżeli ma klientów w UK po Brexit, potrzebuje UK Representative.
  6. DPF (Data Privacy Framework) — należy zweryfikować aktualny status uczestnictwa Anthropic, Stripe, Resend, Twilio, Vercel w rejestrze DPF (dataprivacyframework.gov).
  7. Klauzule konsumenckie — dla Klientki konsumentki w Polsce niektóre klauzule (limit odpowiedzialności, jurysdykcja) mogą być uznane za niedozwolone (rejestr UOKiK).
  8. VAT cross-border (§ 8.1) — reverse charge dla EU B2B, OSS dla EU B2C ≥ 10k EUR — sprawdzić limity i rejestracje.
  9. Niemieckie wymogi językowe (§ 12.4, Translation note) — czy język polski jako wiążący jest dopuszczalny dla niemieckiego konsumenta w świetle § 305c BGB (zaskakujące klauzule).
  10. Klauzula audytu (§ 4.8) — kwestionowana w praktyce; rozważyć zastąpienie pełnego prawa audytu raportami SOC 2 / ISO 27001.
  11. Definicja siły wyższej (§ 10.4) — rozważyć dodanie pandemii i sankcji jako wprost wymienionych przypadków.
  12. Klauzule przeżywające (§ 11.6) — sprawdzić zgodność z art. 4181 KC i konsumenckimi przepisami nadrzędnymi.

Rekomendowane kancelarie specjalizujące się w RODO i prawie technologicznym (PL)

Szacunkowy koszt pełnego review niniejszej Umowy (12 stron): 3 000 – 5 000 PLN netto (stawka godzinowa 600–1200 PLN, ok. 5–8 godzin pracy partnera + associate). Większe kancelarie (SK&S, DZP, Maruta) — górne widełki. Mniejsze butiki (DLK, GP Partners) — dolne widełki.

Rekomendowany cykl pracy z prawnikiem:

  1. Wysłanie szkicu z opisem modelu biznesowego (1 dzień).
  2. Pierwsza wersja review (1–2 tygodnie).
  3. Konsultacja warsztatowa (2–4 godziny).
  4. Finalizacja wersji PL (1 tydzień).
  5. Zlecenie tłumaczenia przysięgłego DE (1–2 tygodnie).
  6. Quick review tłumaczenia przez native German lawyer (rekomendacja: kancelarie w Berlinie/Monachium, koszt 1–2 tys. EUR — opcjonalnie dla rynku enterprise).

English (informative)

This document is a SKELETON drafted with AI assistance (Claude / Anthropic). It is NOT legal advice and NOT a ready-to-sign contract. Before executing with any customer (Polish, German, Austrian, Swiss, or other EU/US), this document MUST be reviewed and tailored by a qualified data protection / technology lawyer.

Specific gaps flagged for legal review are listed in the Polish version above. Recommended Polish law firms specializing in GDPR / SaaS: SK&S Legal, Maruta Wachta, Wardyński & Partners, DZP, GP Partners, DLK Legal. Estimated full-review cost: PLN 3,000–5,000 net (approx. EUR 700–1,200).

Koniec dokumentu. Wersja 1.1. Data ostatniej edycji: 2026-05-21.