Języki: English · Čeština · Deutsch · Español · Français · Italiano · Nederlands · Polski · Português · Română
Ten dokument istnieje w dziesięciu językach. Wersja angielska jest wersją referencyjną.

Umowa powierzenia przetwarzania danych cosmetiFULL

Ostatnia aktualizacja: 3 października 2026 r.

Wersja angielska jest wersją referencyjną i ma pierwszeństwo w razie rozbieżności między wersjami, zgodnie z klauzulą 18.2.

1. Strony, definicje i role

1.1 Usługodawca. „Usługodawca” oznacza spółkę wskazaną w poniższej ramce, która prowadzi platformę cosmetiFULL zgodnie z artykułem 1 Regulaminu cosmetiFULL.

Ramka 1. Dane identyfikacyjne Usługodawcy

Nicodemo & Signa Company Srl, spółka prawa rumuńskiego

Siedziba: Strada Lucian Blaga nr. 21, ap. 16, 310023 Arad, Rumunia

Numer w Rejestrze Handlowym: J02/809/2003

Jednolity kod rejestracyjny / numer identyfikacyjny VAT: RO15617609

Email do wszelkiej korespondencji dotyczącej niniejszej Umowy: info@cosmetifull.com

1.2 Klient. „Klient” oznacza klienta biznesowego (producenta, konsultanta albo niezależną osobę przeprowadzającą ocenę bezpieczeństwa), który zawarł z Usługodawcą umowę podlegającą Regulaminowi cosmetiFULL.

1.3 Platforma. „Platforma” oznacza platformę cosmetiFULL opisaną w artykule 2 Regulaminu: dziś LabelCheck (sprawdzanie etykiet kosmetycznych pod kątem przepisów UE) i ExpertDesk (wskazówki zawodowe wytwarzane przez system sztucznej inteligencji), a także usługi, które zostaną udostępnione, w tym PIFBuilder i FormulaArchive. Niniejsza Umowa ma zastosowanie do każdej usługi Platformy od dnia, w którym usługa ta staje się dostępna w sprzedaży.

1.4 Role na gruncie RODO. W odniesieniu do danych osobowych zawartych w materiałach, które Klient przesyła na Platformę lub na niej zapisuje, Klient jest administratorem, a Usługodawca podmiotem przetwarzającym w rozumieniu art. 4 pkt 7, art. 4 pkt 8 i art. 28 rozporządzenia (UE) 2016/679 („RODO”). Niniejsza Umowa reguluje wyłącznie tę relację.

1.5 Przetwarzanie, w którym Usługodawca jest niezależnym administratorem. Usługodawca jest niezależnym administratorem, a niniejsza Umowa nie ma zastosowania, w odniesieniu do: danych konta, danych uwierzytelniania i dostępu; danych o kredytach przedpłaconych, zakupach i rozliczeniach; logów technicznych i logów bezpieczeństwa; korespondencji z Klientem, w tym wiadomości z uwagami i krótkiego fragmentu analizy, której dotyczą uwagi; treści rozmów prowadzonych w ExpertDesk, które reguluje własna polityka prywatności tej usługi. To przetwarzanie opisuje Polityka prywatności cosmetiFULL.

1.6 Definicje. Pojęcia „dane osobowe”, „przetwarzanie”, „osoba, której dane dotyczą”, „naruszenie ochrony danych osobowych” i pojęcia podobne mają znaczenie nadane im przez RODO.

2. Przedmiot i akceptacja

2.1 Przedmiot. Niniejsza Umowa reguluje przetwarzanie danych osobowych, którego Usługodawca dokonuje w imieniu Klienta w ramach świadczenia usług Platformy, zgodnie z art. 28 ust. 3 RODO.

2.2 Akceptacja. Niniejsza Umowa stanowi załącznik 2 do Regulaminu cosmetiFULL i jest jego częścią dla klientów biznesowych (artykuł 26). Klient akceptuje ją wraz z Regulaminem, wysyłając prośbę o dostęp do Platformy: formularz prośby informuje, że jej wysłanie oznacza akceptację Regulaminu. Gdy zostaje opublikowana nowa wersja niniejszej Umowy, w tym niniejsza wersja w przypadku Klienta, który korzystał z usług już przed jej publikacją, Klient akceptuje ją, kontynuując korzystanie z usług po publikacji, zgodnie z artykułem 17 Regulaminu i z uprawnieniami, które ten artykuł mu przyznaje. Zawarcie Umowy w formie elektronicznej dopuszcza art. 28 ust. 9 RODO.

2.3 Pierwszeństwo. W razie sprzeczności między niniejszą Umową a Regulaminem w sprawach ochrony danych pierwszeństwo ma niniejsza Umowa.

3. Czas trwania

Niniejsza Umowa obowiązuje przez cały czas trwania stosunku umownego dotyczącego Platformy i wygasa wraz z jego zakończeniem, bez uszczerbku dla obowiązków, które ze swojej natury trwają nadal, w szczególności usunięcia lub zwrotu danych zgodnie z klauzulą 13, poufności oraz klauzuli 17.

4. Charakter i cel przetwarzania

4.1 Usługodawca przetwarza dane osobowe w imieniu Klienta w celu świadczenia funkcji Platformy: przechowywania analiz, dokumentów i załączników, które Klient zapisuje na swoim koncie; wspomaganej sztuczną inteligencją analizy przesłanych treści (obrazy przesłane do analizy są przetwarzane w celu wytworzenia wyniku i nie są przechowywane); generowania projektów dokumentów i raportów; zarządzania dostępem członków organizacji Klienta zgodnie z rolami, które Klient przypisuje; wysyłki transakcyjnych wiadomości email związanych z usługą oraz, w granicach klauzuli 17, wyprowadzania wiedzy pochodnej.

4.2 Szczegółowy opis przetwarzania (przedmiot, charakter, cel, kategorie danych i kategorie osób, których dane dotyczą) zawiera załącznik A, który stanowi integralną część niniejszej Umowy.

4.3 System wspiera, nie decyduje. Usługi Platformy są narzędziami wspierającymi. Wnioski zawodowe, w szczególności ocena bezpieczeństwa produktu kosmetycznego, pozostają w zakresie kompetencji i odpowiedzialności wykwalifikowanego specjalisty Klienta, na przykład osoby przeprowadzającej ocenę bezpieczeństwa. Oprogramowanie jest zaprojektowane tak, aby nie formułować wniosków zamiast osoby przeprowadzającej ocenę bezpieczeństwa.

5. Polecenia Klienta

5.1 Usługodawca przetwarza dane osobowe wyłącznie na udokumentowane polecenie Klienta (art. 28 ust. 3 lit. a) RODO). Udokumentowanymi poleceniami są: (a) niniejsza Umowa; (b) Regulamin; (c) korzystanie z funkcji Platformy przez Klienta i jego upoważnionych użytkowników, na przykład przesłanie dokumentu, rozpoczęcie analizy albo zaproszenie członka własnej organizacji.

5.2 Dotyczy to również przekazywania danych do państw trzecich, które odbywa się w sposób opisany w klauzuli 9 i w załączniku C i do którego Klient upoważnia Usługodawcę, akceptując niniejszą Umowę.

5.3 Polecenia wykraczające poza standardowe funkcje mogą zostać uzgodnione na piśmie, jeżeli są rozsądne i technicznie wykonalne; ewentualne dodatkowe koszty są wyceniane z góry.

5.4 Jeżeli zdaniem Usługodawcy polecenie Klienta narusza RODO lub inne przepisy o ochronie danych, Usługodawca niezwłocznie informuje o tym Klienta, zgodnie z art. 28 ust. 3 akapit drugi RODO, i może wstrzymać wykonanie polecenia do czasu jego wyjaśnienia.

6. Poufność osób upoważnionych

Usługodawca zapewnia, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy oraz aby ich dostęp do danych był ograniczony do tego, co niezbędne do świadczenia usługi (art. 28 ust. 3 lit. b) RODO).

7. Bezpieczeństwo przetwarzania

7.1 Usługodawca wdraża środki techniczne i organizacyjne opisane w załączniku B (art. 28 ust. 3 lit. c) i art. 32 RODO), uwzględniając stan wiedzy technicznej, koszt wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób, których dane dotyczą.

7.2 Środki opisane w załączniku B mogą z czasem ewoluować, pod warunkiem że ogólny poziom bezpieczeństwa nie zostanie obniżony.

7.3 Usługodawca uwzględnia szczególną wrażliwość handlową przetwarzanych treści, takich jak receptury i dokumentacja produktu: środki opisane w załączniku B mają zastosowanie do całości treści przesłanych przez Klienta, a nie tylko do danych osobowych w ścisłym znaczeniu.

8. Dalsze podmioty przetwarzające

8.1 Ogólna pisemna zgoda. Klient udziela Usługodawcy ogólnej pisemnej zgody na korzystanie z usług dalszych podmiotów przetwarzających, czyli innych podmiotów przetwarzających w rozumieniu art. 28 ust. 2 RODO. Lista obecnych dalszych podmiotów przetwarzających, wraz z ich rolą, krajem, miejscem przetwarzania i stosowanym zabezpieczeniem, znajduje się w załączniku C.

8.2 Powiadomienie o zmianach. Usługodawca informuje Klienta o każdym zamierzonym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego, zanim nowy dalszy podmiot przetwarzający zacznie przetwarzać dane Klienta. Powiadomienie jest wysyłane pocztą elektroniczną na adres email konta Klienta oraz na inne adresy, o których dodanie Klient poprosił, pisząc na info@cosmetifull.com, i towarzyszy mu publikacja zaktualizowanej wersji załącznika C. Jeżeli o zmianie decyduje Usługodawca, powiadomienie jest wysyłane z wyprzedzeniem co najmniej 30 dni. Jeżeli o zmianie decyduje dalszy podmiot przetwarzający, Usługodawca wysyła powiadomienie w ciągu 5 dni roboczych od otrzymania informacji o zmianie, a Klient otrzymuje cały pozostały okres uprzedzenia; powiadomienie wskazuje, ile wynosi ten okres w dniach i dlaczego. Krótszy okres uprzedzenia jest możliwy tylko wtedy, gdy zastąpienie jest konieczne i nie może zostać odłożone ze względów bezpieczeństwa lub ciągłości usługi: w takim przypadku powiadomienie jest wysyłane bez zbędnej zwłoki i wskazuje przyczynę.

8.3 Prawo do sprzeciwu. W okresie uprzedzenia wskazanym w powiadomieniu Klient może wnieść sprzeciw, pisząc na info@cosmetifull.com, z rozsądnych i udokumentowanych przyczyn związanych z ochroną danych. Termin na wniesienie sprzeciwu biegnie w każdym przypadku od powiadomienia. Strony w dobrej wierze poszukują rozwiązania, na przykład konfiguracji, która pozwala uniknąć nowego dalszego podmiotu przetwarzającego. Jeżeli wykonalne rozwiązanie nie istnieje, Klient może bez żadnych kar zrezygnować z danej usługi, a Usługodawca zwraca niewykorzystane kredyty przedpłacone zgodnie z artykułem 11.3 Regulaminu.

8.4 Obowiązki przenoszone dalej. Z każdym dalszym podmiotem przetwarzającym Usługodawca ma zawartą umowę powierzenia przetwarzania danych, która nakłada obowiązki ochrony danych zgodne z art. 28 ust. 4 RODO. Usługodawca ponosi wobec Klienta pełną odpowiedzialność za wykonanie obowiązków swoich dalszych podmiotów przetwarzających.

9. Przekazywanie danych poza Europejski Obszar Gospodarczy

9.1 Niektóre dalsze podmioty przetwarzające przetwarzają dane poza Europejskim Obszarem Gospodarczym (EOG) lub należą do grup mających siedzibę poza EOG. Każde przekazanie do państwa trzeciego odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO) albo standardowych klauzul ochrony danych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c) RODO), włączonych do umowy powierzenia przetwarzania danych zawartej z dalszym podmiotem przetwarzającym, zgodnie z tym, co wskazano dla każdego z nich w załączniku C, wraz z dodatkowymi zabezpieczeniami tam wskazanymi.

9.2 Załącznik C wskazuje dla każdego dalszego podmiotu przetwarzającego wykonywaną usługę, kraj dostawcy, miejsce, w którym dane są przetwarzane, i stosowane zabezpieczenie, z tą samą treścią co artykuł 16 Polityki prywatności.

10. Pomoc w zakresie praw osób, których dane dotyczą

10.1 Uwzględniając charakter przetwarzania, Usługodawca pomaga Klientowi poprzez odpowiednie środki techniczne i organizacyjne w odpowiadaniu na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO (dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie danych, sprzeciw), zgodnie z art. 28 ust. 3 lit. e) RODO.

10.2 W praktyce: na swoim koncie Klient przegląda, zapisuje w formacie PDF i usuwa własne analizy i deklaracje; pełny eksport danych, w ustrukturyzowanym formacie nadającym się do odczytu maszynowego, jest przekazywany bezpłatnie na pisemne żądanie przesłane na info@cosmetifull.com, zgodnie z artykułem 21a.7 Regulaminu. W zakresie, w jakim Klient nie wykonuje danej czynności samodzielnie, Usługodawca działa na jego pisemne żądanie bez zbędnej zwłoki.

10.3 Jeżeli osoba, której dane dotyczą, zwraca się bezpośrednio do Usługodawcy w sprawie przetwarzania, którego administratorem jest Klient, Usługodawca przekazuje żądanie Klientowi bez zbędnej zwłoki i nie udziela na nie odpowiedzi merytorycznej, chyba że Klient tak poleci lub wymaga tego prawo.

11. Naruszenia ochrony danych osobowych

11.1 Usługodawca zgłasza Klientowi każde naruszenie ochrony danych osobowych dotyczące danych przetwarzanych w jego imieniu bez zbędnej zwłoki, a w każdym razie w ciągu 24 godzin od chwili, w której Usługodawca się o nim dowiedział, na adres email konta Klienta (art. 28 ust. 3 lit. f) i art. 33 ust. 2 RODO).

11.2 Zgłoszenie zawiera, w zakresie, w jakim informacje są dostępne: charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz wpisów danych, których dotyczy naruszenie, prawdopodobne konsekwencje oraz środki zastosowane lub proponowane. Informacje mogą być przekazywane sukcesywnie.

11.3 Ocena, czy istnieje obowiązek zgłoszenia naruszenia organowi nadzorczemu (art. 33 RODO) i zawiadomienia o nim osób, których dane dotyczą (art. 34 RODO), należy do Klienta jako administratora; Usługodawca zapewnia współpracę w rozsądnie niezbędnym zakresie.

12. Pomoc w zakresie bezpieczeństwa, oceny skutków i uprzednich konsultacji

Uwzględniając charakter przetwarzania oraz dostępne mu informacje, Usługodawca pomaga Klientowi wywiązać się z obowiązków określonych w art. od 32 do 36 RODO (bezpieczeństwo, zgłaszanie naruszeń i zawiadamianie o nich, ocena skutków dla ochrony danych, uprzednie konsultacje), w szczególności udostępniając informacje zawarte w załączniku B i w załączniku C.

13. Usunięcie lub zwrot danych

13.1 Po zakończeniu świadczenia usługi, zależnie od decyzji Klienta, Usługodawca usuwa lub zwraca wszelkie dane osobowe przetwarzane w jego imieniu oraz usuwa ich istniejące kopie, chyba że prawo Unii lub prawo rumuńskie nakazuje ich przechowywanie (art. 28 ust. 3 lit. g) RODO).

13.2 Od zamknięcia konta treści pozostają dostępne do pobrania przez 30 dni, a następnie są usuwane w ciągu kolejnych 60 dni albo wcześniej na żądanie Klienta (artykuł 21 Regulaminu i artykuł 17 Polityki prywatności). W tym okresie, a także w każdej wcześniejszej chwili, Klient może zażądać zwrotu danych w formacie opisanym w artykule 21a.7 Regulaminu. Jeżeli Klient prosi o zmianę dostawcy albo wyłącznie o usunięcie danych, stosuje się harmonogram z artykułu 21a.

13.3 Kopie zapasowe, które nadal zawierają usunięte dane, są nadpisywane w ciągu 30 dni od usunięcia. U dostawcy sztucznej inteligencji przekazane treści i wyniki są przechowywane nie dłużej niż 30 dni od ich otrzymania lub wygenerowania, z wyjątkiem dłuższego okresu, który dostawca stosuje w przypadkach naruszenia swoich zasad korzystania (artykuł 8 Polityki prywatności).

14. Audyty i informacje

14.1 Usługodawca udostępnia Klientowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO, przede wszystkim za pośrednictwem niniejszej Umowy i jej załączników oraz odpowiadając na piśmie na rozsądne prośby o informacje.

14.2 Usługodawca umożliwia Klientowi lub innemu audytorowi upoważnionemu przez Klienta przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich (art. 28 ust. 3 lit. h) RODO) na następujących warunkach: pisemne uprzedzenie z wyprzedzeniem co najmniej 30 dni, chyba że trwa naruszenie; nie częściej niż raz w roku kalendarzowym, chyba że wymaga tego prawo lub po stwierdzonym naruszeniu; w godzinach pracy; obowiązek zachowania poufności po stronie audytora; brak dostępu do danych innych klientów Usługodawcy; koszty ponosi Klient. W przypadku dalszych podmiotów przetwarzających audyty przeprowadza się co do zasady na podstawie dokumentacji i certyfikatów, które te podmioty udostępniają.

14.3 Usługodawca niezwłocznie informuje Klienta, jeżeli jego zdaniem żądanie audytu narusza RODO lub inne mające zastosowanie przepisy.

15. Dostęp osób spoza organizacji Klienta

Dziś usługi Platformy dają dostęp do treści Klienta wyłącznie użytkownikom jego własnej organizacji. Jeżeli zostanie wprowadzony dostęp dla właścicieli marek lub dla specjalistów spoza organizacji Klienta, niniejsza Umowa zostanie zaktualizowana, zanim taki dostęp zostanie zaoferowany.

16. Odpowiedzialność

Odpowiedzialność stron za przetwarzanie regulowane niniejszą Umową podlega artykułowi 24 Regulaminu. Nie narusza to odpowiedzialności każdej ze stron wobec osób, których dane dotyczą, na podstawie art. 82 RODO.

17. Wiedza pochodna

17.1 Klient poleca Usługodawcy wyprowadzanie z danych przetwarzanych w imieniu Klienta zbiorczych, pozbawionych cech identyfikujących informacji o tym, jak działają kontrole („wiedza pochodna”, opisana w artykule 20 Regulaminu i w artykule 19 Polityki prywatności), oraz ich przechowywanie w celu ulepszania usług i bazy wiedzy Usługodawcy, także po zakończeniu obowiązywania niniejszej Umowy.

17.2 Zabezpieczenia: (a) pojedyncza dana jest wykorzystywana wyłącznie w ramach zestawienia zbiorczego obejmującego co najmniej 20 zdarzeń pochodzących od co najmniej 5 różnych kont; (b) konta są liczone za pomocą kodów jednokierunkowych, nigdy na podstawie nazwy, imienia i nazwiska ani adresu email; (c) w tym celu przechowywane są wyłącznie metadane kontroli i zamknięte kody, a nie teksty dokumentów; (d) pominięte zostają oryginalne dokumenty, receptury, składy, na podstawie których można by rozpoznać produkt, oraz nazwy produktów, nazwy firm i nazwiska osób; (e) Usługodawca nie podejmuje prób ponownej identyfikacji Klienta, jego produktów ani żadnej osoby i zakazuje tego odbiorcom zestawień zbiorczych; (f) zestawienia zbiorcze są ujawniane osobom trzecim wyłącznie w postaci, która nie identyfikuje ani Klienta, ani jego produktów, ani żadnej osoby.

17.3 Klient może odwołać to polecenie w każdej chwili, ze skutkiem na przyszłość, wyłączając przełącznik „Współtworzenie wiedzy cosmetiFULL” w ustawieniach konta albo pisząc na info@cosmetifull.com. Odwołanie jest bezpłatne i nie ma wpływu na usługę.

17.4 Kompletne przypadki. Fragment dokumentacji produktu trafia do biblioteki przypadków Usługodawcy wyłącznie za wyraźnym zatwierdzeniem, fragment po fragmencie, osoby przeprowadzającej ocenę bezpieczeństwa działającej na rzecz Klienta, po usunięciu nazwisk i nazw, danych kontaktowych i wszystkiego, co pozwala rozpoznać produkt, oraz po weryfikacji przez niezależnego eksperta. Każde zatwierdzenie stanowi konkretne udokumentowane polecenie.

17.5 Niniejsza klauzula ma zastosowanie do danych wygenerowanych od 3 października 2026 r. Wcześniejsze przetwarzanie w celu ulepszania bazy wiedzy opiera się na pisemnych zgodach zebranych w fazie beta.

18. Postanowienia końcowe

18.1 Zmiany. Usługodawca może aktualizować niniejszą Umowę w celu uwzględnienia zmian w przepisach lub w usłudze. O istotnych zmianach Klient jest informowany na trwałym nośniku z wyprzedzeniem co najmniej 30 dni, z tymi samymi uprawnieniami, które przewiduje artykuł 17 Regulaminu. W przypadku dalszych podmiotów przetwarzających stosuje się klauzulę 8.

18.2 Języki. Niniejsza Umowa jest publikowana w tych samych językach co Regulamin: włoskim, angielskim, rumuńskim, polskim, hiszpańskim, francuskim, niemieckim, niderlandzkim, portugalskim i czeskim. Wersja angielska jest wersją referencyjną i ma pierwszeństwo w razie rozbieżności między wersjami (artykuł 30 Regulaminu).

18.3 Prawo właściwe i sądy. Niniejsza Umowa podlega prawu rumuńskiemu. Do rozstrzygania wszelkich sporów z niej wynikających wyłącznie właściwe są sądy w Aradzie w Rumunii (artykuły 28 i 29 Regulaminu).

18.4 Rozdzielność postanowień. Jeżeli którakolwiek klauzula okaże się nieważna, nie wpływa to na pozostałe klauzule; klauzulę nieważną zastępuje się ważną, której skutek jest możliwie najbliższy skutkowi klauzuli nieważnej.

Załącznik A. Opis przetwarzania

A.1 Przedmiot przetwarzania. Świadczenie usług Platformy w imieniu Klienta: przechowywanie, porządkowanie i wspomagana sztuczną inteligencją analiza treści dotyczących produktów kosmetycznych, które Klient przesyła lub zapisuje.

A.2 Czas trwania. Przez cały czas trwania stosunku umownego, powiększony o okres usunięcia lub zwrotu danych zgodnie z klauzulą 13.

A.3 Charakter i cel. Przechowywanie analiz, dokumentów i załączników zapisanych na koncie; przetwarzanie treści za pomocą modeli sztucznej inteligencji w celu wytworzenia analiz, wykrytych nieprawidłowości i projektów dokumentów (obrazy przesłane do analizy nie są przechowywane); zarządzanie dostępem członków zgodnie z rolami przypisanymi przez Klienta; wysyłka transakcyjnych wiadomości email; rejestrowanie aktywności do celów bezpieczeństwa. System wspiera specjalistę i nie podejmuje decyzji zamiast niego (klauzula 4.3).

A.4 Rodzaje danych osobowych.

• Dane identyfikacyjne i służbowe dane kontaktowe osób fizycznych: imiona i nazwiska, służbowe adresy email, role lub funkcje.
• Dane osobowe, które mogą być zawarte w materiałach przesłanych przez Klienta, na przykład osoba odpowiedzialna wskazana na etykiecie, kontakt techniczny albo imiona i nazwiska oraz podpisy w załączonych dokumentach.
• Szczególne kategorie danych osobowych (art. 9 RODO) nie są wymagane przez Platformę ani dla niej przeznaczone; Klient zobowiązuje się ich nie przesyłać.

A.5 Przetwarzane treści. Projekty graficzne etykiet, teksty, receptury i dokumentacja produktu, analizy i dokumenty zapisane na koncie oraz wiadomości na czacie wyjaśniającym. Są to przede wszystkim poufne informacje handlowe Klienta, a nie dane osobowe; w każdym razie chronią je te same środki, które opisano w załączniku B.

A.6 Kategorie osób, których dane dotyczą.

• Personel i współpracownicy Klienta, którzy korzystają z Platformy.
• Wskazane z imienia i nazwiska osoby kontaktowe klientów Klienta (właścicieli marek), które Klient rejestruje albo które występują w dokumentach.
• Osoby przeprowadzające ocenę bezpieczeństwa, działające w strukturach Klienta albo wskazane w przesłanych dokumentach.
• Osoby fizyczne wymienione w przesłanych dokumentach, na przykład osoby podpisujące raporty z badań.

A.7 Organizacja danych. Każdy element treści jest powiązany z kontem i z organizacją Klienta, który go utworzył, a spośród użytkowników Platformy dostęp do niego mają wyłącznie członkowie tej organizacji, zgodnie z rolą przypisaną przez Klienta.

Załącznik B. Środki techniczne i organizacyjne

Wymienione środki opisują Platformę w obecnym kształcie. Mogą ewoluować bez obniżenia poziomu ochrony (klauzula 7.2).

B.1 Oddzielenie klientów. Każdy odczyt i zapis treści jest filtrowany według konta i organizacji, do której ono należy, a jeden klient nie może dotrzeć do treści innego. Oddzielenie jest weryfikowane testami automatycznymi.

B.2 Minimalne przechowywanie. Obrazy przesłane do analizy są przetwarzane w celu wytworzenia wyniku i nie są przechowywane. Załączniki do deklaracji również są przetwarzane w celu wytworzenia wyniku i obecnie nie są przechowywane: będą przechowywane dopiero od chwili uruchomienia w usłudze funkcji załączania. Pliki, które Klient załącza i zachowuje, są przechowywane w magazynie plików oddzielonym od bazy danych, która przechowuje jedynie odwołanie do nich i ich metadane.

B.3 Dostęp administracyjny. Dostęp do konsoli administracyjnej Usługodawcy wymaga, oprócz danych uwierzytelniających, drugiego składnika (kodu zależnego od czasu), którego sekret jest przechowywany w postaci zaszyfrowanej. Dostęp administracyjny jest ograniczony do osób, które go potrzebują.

B.4 Uwierzytelnianie użytkowników. Użytkownicy logują się za pomocą adresu email i hasła. Hasła nigdy nie są przechowywane jawnie: są zapisywane jako wynik funkcji PBKDF2-SHA256 z solą kryptograficzną przypisaną do każdego użytkownika i 100 000 iteracji.

B.5 Odebranie dostępu. Zablokowanie osoby i zmiana jej hasła unieważniają już wydane sesje, także w usługach Platformy, bez czekania na ich naturalne wygaśnięcie.

B.6 Rejestr działań. Działania podejmowane przez osoby administrujące Platformą w imieniu Usługodawcy w odniesieniu do kont, organizacji, kredytów i dostępu są rejestrowane wraz z autorem, datą, poprzednią wartością i nową wartością w rejestrze, który baza danych pozwala jedynie uzupełniać, nigdy zmieniać ani usuwać. Logi bezpieczeństwa są przechowywane przez 12 miesięcy.

B.7 Szyfrowanie. Komunikacja między użytkownikiem a Platformą odbywa się po HTTPS (TLS). Bazy danych i magazyn plików są automatycznie szyfrowane w spoczynku algorytmem AES-256 przez dostawcę infrastruktury.

B.8 Środki organizacyjne. Dostęp personelu do danych jest ograniczony do niezbędnego minimum i objęty obowiązkiem zachowania poufności (klauzula 6). Sekrety techniczne, takie jak klucze i dane uwierzytelniające usług, są zarządzane poza kodem źródłowym, za pomocą szyfrowanych narzędzi platformy hostingowej.

Załącznik C. Upoważnione dalsze podmioty przetwarzające

Lista zaktualizowana 3 października 2026 r. Zmiany następują zgodnie z klauzulą 8.

Wszystkie konta u dalszych podmiotów przetwarzających są założone na Usługodawcę. Klient może poprosić o kopię zabezpieczeń, pisząc na info@cosmetifull.com.

Inne podmioty przetwarzające Usługodawcy. Artykuł 11.1 Polityki prywatności wymienia także Proton AG (firmowa poczta elektroniczna), SmartBill spółki Intelligent IT SRL (wystawianie faktur) oraz Airtable (wewnętrzne zapisy relacji z klientami). Przetwarzają one dane, których administratorem jest Usługodawca (klauzula 1.5), i nie otrzymują treści, które Klient przesyła na Platformę, dlatego nie są dalszymi podmiotami przetwarzającymi w rozumieniu niniejszej Umowy. Zabezpieczenia stosowane przy przekazywaniu im danych wskazuje artykuł 16 Polityki prywatności.

Niezależni administratorzy. Stripe, który pełni rolę mieszaną, oraz odbiorcy działający jako niezależni administratorzy nie otrzymują treści Klienta i nie są dalszymi podmiotami przetwarzającymi (artykuły 11.3 i 12 Polityki prywatności).

Powiadomienia wewnętrzne. Wewnętrzny kanał powiadomień w serwisie Telegram od 16 września 2026 r. otrzymuje wyłącznie stałe teksty, bez danych osobowych i bez treści Klienta, i z tego powodu nie jest dalszym podmiotem przetwarzającym (artykuł 11.2 Polityki prywatności).

Koniec opublikowanego tekstu.

Polityka prywatności

Regulamin