Umowa powierzenia przetwarzania danych osobowych
Załącznik do Regulaminu HumanKey · wersja 2026-10 · prawo właściwe: polskie
Zawarcie umowy. Niniejsza umowa powierzenia przetwarzania danych jest załącznikiem do Regulaminu w każdym planie. Jest zawierana elektronicznie przez akceptację przez posiadacza konta wersji Regulaminu, która ją zawiera; zapisujemy, kto, kiedy i którą wersję zaakceptował. Kopię tego samego tekstu podpisaną przez nas udostępniamy na życzenie przez formularz kontaktowy.
§Artykuł 1 — Strony i definicje
1.1 Administrator
Klient posiadający konto HumanKey, który zaakceptował Regulamin zawierający niniejszą umowę (w zespole — właściciel konta). Zawiadomienia: adres e-mail tego konta. (dalej „Administrator”)
1.2 Podmiot przetwarzający
Robert Pałka ChainGuard, Zawiercie, Polska · NIP 6492230699 · contact@humankey.io. HumanKey to nazwa usługi. Zawiadomienia: contact@humankey.io. Usługa: HumanKey (AI Traffic Intelligence): wykrywanie i klasyfikacja crawlerów AI oraz innych zautomatyzowanych odwiedzających, a także analityka ruchu. Strona: humankey.io. Podstawowe przechowywanie danych: UE (Niemcy, Holandia); przekazywanie poza EOG: pkt 5.4. (dalej „Podmiot przetwarzający”; ilekroć umowa wskazuje HumanKey jako stronę, oznacza to Podmiot przetwarzający)
1.3 Definicje
Terminy używane w tej umowie mają znaczenie nadane przez RODO (UE) 2016/679: "dane osobowe", "przetwarzanie", "osoba, której dane dotyczą", "organ nadzorczy", "administrator", "podmiot przetwarzający", "inny podmiot przetwarzający". „Usługa” oznacza HumanKey w zakresie opisanym w Regulaminie. „Regulamin” oznacza Regulamin HumanKey, którego załącznikiem jest niniejsza umowa.
§Artykuł 2 — Przedmiot i czas trwania
2.1 Przedmiot
Podmiot przetwarzający przetwarza dane osobowe w imieniu Administratora w celu świadczenia Usługi opisanej w Regulaminie.
Zakres. Umowa obejmuje dane osobowe przetwarzane w ramach Usługi w imieniu Administratora: dane osób odwiedzających strony Administratora, raporty i alerty z nich wyliczone oraz dane opisane w następnym akapicie. Nie obejmuje danych użytkowników Usługi po stronie Administratora, w tym osób zaproszonych do zespołu, ani danych rozliczeniowych; opisuje je Polityka prywatności.
Publiczne strony i dane przekazane do analizy. Przetwarzana jest także treść publicznych stron i plików pod domenami Administratora lub pod adresami, które Administrator wskaże, pobierana, gdy wymaga tego panel lub sprawdzenie, i wykorzystywana do wyliczenia wyniku. Sama treść nie jest przechowywana; w przypadku sprawdzanego pliku llms.txt jego adres i odcisk treści są zapisywane w dzienniku aktywności konta, który jest usuwany wraz z kontem; wyliczone wyniki są zwykle przechowywane w pamięci podręcznej przez około dobę. W funkcjach korzystających z modelu AI treść (np. tekst pliku robots.txt) jest przekazywana podmiotowi przetwarzającemu AI wymienionemu w pkt 5.4. Dane, które Administrator wprowadza do Usługi w celu wygenerowania projektu lub sprawdzenia (np. pola generatora danych strukturalnych), są przetwarzane wyłącznie w celu uzyskania tego wyniku i nie są przechowywane.
2.2 Czas trwania
Umowa obowiązuje od chwili akceptacji przez Administratora wersji Regulaminu, która ją zawiera, do usunięcia konta Administratora i przeprowadzenia usunięcia opisanego w pkt 5.7.
§Artykuł 3 — Charakter i cel przetwarzania
| Charakter | Zbieranie, przechowywanie, klasyfikacja, analiza i usuwanie danych o ruchu odwiedzających stronę Administratora. Przetwarzanie jest zautomatyzowane. |
| Cel | Wykrywanie i klasyfikacja crawlerów AI i botów odwiedzających stronę Administratora, w tym utrzymywanie aktualnej listy znanych crawlerów (ciągi User-Agent zapisane dla strony Administratora są odczytywane, aby znaleźć i sprawdzić crawlery oraz innych zautomatyzowanych odwiedzających, których nie ma jeszcze na tej liście; lista jest taka sama dla wszystkich klientów HumanKey, a wpis zawiera nazwę crawlera, jego operatora, cel i wzorzec rozpoznający jego User-Agent — nie zawiera zapisów wizyt); generowanie raportów analitycznych; liczenie statystyk dla stron wszystkich klientów, które nie wskazują strony Administratora ani żadnego odwiedzającego (sekcja 10 Regulaminu); wykorzystywanie ciągów User-Agent wizyt sklasyfikowanych jako zautomatyzowane, ze stron wszystkich klientów, do rozpoznawania crawlerów na potrzeby wspólnej listy znanych crawlerów, która nie wskazuje strony Administratora (sekcja 10 Regulaminu); sprawdzanie publicznych stron i plików oraz projekty opisane w pkt 2.1; geograficzna analiza ruchu (GEO Analytics); dostarczanie odpowiedzi API do blokowania botów; etykietowanie weryfikacyjne ruchu (administratorska korekta granicznych predykcji ML przechowywana z zahaszowanym ID administratora oraz automatyczne referencyjne etykiety klasyfikacji botów pochodzące z sygnałów wewnętrznych przechowywane z zahaszowanym adresem IP — wyłącznie informacyjne); prowadzenie rejestrów opatrzonych znacznikami czasu dla celów compliance i prawnych Administratora. |
| Podstawa prawna | Podstawę prawną przetwarzania (art. 6 RODO) określa Administrator. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora (pkt 5.1). |
§Artykuł 4 — Rodzaje danych i kategorie osób, których dane dotyczą
4.1 Przetwarzane dane osobowe
| Pole danych | Format przechowywania | Retencja |
|---|---|---|
| Adres IP | Hash kryptograficzny z rotowaną solą — pseudonimizacja | Wg planu (7–365 dni) |
| HTTP User-Agent | Obcięty do 200 znaków | Wg planu (7–365 dni) |
| URL strony | Pełna ścieżka URL (bez parametrów zapytania z danymi osobowymi) | Wg planu (7–365 dni) |
| HTTP Referrer | Tylko domena i ścieżka | Wg planu (7–365 dni) |
| Znacznik czasu | Data i czas UTC żądania | Wg planu (7–365 dni) |
| Dane geolokalizacyjne (GEO) | Kod kraju ustalany na podstawie adresu IP z użyciem zewnętrznej bazy lokalizacji adresów IP (wyszukiwanie lokalne; dane nie są przekazywane dostawcy bazy) | Wg planu (7–365 dni) |
| Wynik klasyfikacji bota | Flaga logiczna + identyfikator bota (nieosobowy) | Wg planu (7–365 dni) |
| Metadane sieci | Operator sieci (organizacja ASN) i znacznik sieci hostingowej ustalane na podstawie adresu IP | Wg planu (7–365 dni) |
| Identyfikator sesji i czas trwania wizyty | Identyfikator generowany w przeglądarce dla danej wizyty; czas trwania w sekundach | Wg planu (7–365 dni) |
| Metryki interakcji | Zagregowane miary ruchu wskaźnika, rytmu pisania i przewijania, współrzędne kliknięć i typ klikniętego elementu, powiązane z wizytą | Wg planu (7–365 dni) |
| Dane map cieplnych (gdy funkcja jest aktywna) | Współrzędne kliknięć i przewinięć, próbki ruchu, wymiary okna przeglądarki, powiązane z wizytą | Wg planu (7–365 dni) |
| Treść publicznych stron i plików (pkt 2.1) | Nie jest przechowywana; w przypadku sprawdzanego pliku llms.txt — jego adres i odcisk w dzienniku aktywności | Dziennik aktywności: usuwany wraz z kontem; wyliczone wyniki: zwykle około doby |
| Dane wprowadzane przez Administratora w celu wygenerowania projektu lub sprawdzenia (pkt 2.1) | Przetwarzane wyłącznie w celu uzyskania wyniku | Nie są przechowywane |
Okresy retencji wg planu: Free = 7 dni, Pro = 30 dni, Business = 90 dni, Enterprise = 365 dni. Automatyczne usuwanie uruchamiane codziennie o 03:00 UTC.
4.2 Kategorie osób, których dane dotyczą
Odwiedzający (ludzie lub automaty) stronę(-y) internetową(-e) Administratora zarejestrowaną(-e) w HumanKey. Osoby, których dane dotyczą, nie są identyfikowane za pomocą imienia i nazwiska ani danych kontaktowych — reprezentowane są wyłącznie przez pseudonimizowane pola wymienione powyżej. Ponadto: osoby, których dane osobowe mogą znajdować się na publicznych stronach lub w plikach sprawdzanych zgodnie z pkt 2.1.
Powierzchnia osadzonego znaku weryfikacji (dodatkowa kategoria): Gdy Administrator zdecyduje się osadzić publiczny znak HumanKey Verified Badge na swojej(-ich) stronie(-ach), odwiedzający te strony, którzy ładują obraz znaku, stanowią dodatkową kategorię osób, których dane dotyczą: żądanie HTTP pobrania obrazu zawiera ich adres IP i nagłówek User-Agent oraz — opcjonalnie — nagłówek Referer i jest przetwarzane przez HumanKey w celu dostarczenia obrazu oraz ochrony usługi, w tym ograniczania liczby żądań. Ta powierzchnia przetwarzania jest opisana w podsumowaniu DPIA HumanKey pod adresem /pl/dpia §6.2 na podstawie prawnej wynikającej z prawnie uzasadnionych interesów (art. 6 ust. 1 lit. f) RODO); dla jasności — ta odrębna powierzchnia nie zmienia obowiązków Podmiotu przetwarzającego wynikających z niniejszej umowy dla podstawowych danych detekcji i analityki.
§Artykuł 5 — Obowiązki Podmiotu przetwarzającego (art. 28 ust. 3 RODO)
5.1 Przetwarzanie wyłącznie na udokumentowane polecenie
Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora. Udokumentowanymi poleceniami Administratora są Regulamin, niniejsza umowa i ustawienia, które Administrator wybiera w Usłudze; obejmują one przekazywanie danych podmiotom wymienionym w pkt 5.4 na podstawie wskazanej dla każdego z nich. Jeżeli prawo Unii lub państwa członkowskiego wymaga przetwarzania wykraczającego poza polecenia Administratora, Podmiot przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że to prawo tego zabrania. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie narusza RODO lub inne przepisy Unii lub państwa członkowskiego o ochronie danych.
5.2 Poufność
Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania poufności.
5.3 Środki bezpieczeństwa
Aktualne środki techniczne i organizacyjne (art. 32 RODO):
- Szyfrowanie transmisji; podstawowa baza danych jest szyfrowana w spoczynku przez jej dostawcę hostingu
- Pseudonimizacja IP: hash kryptograficzny z rotowaną solą
- Kryptograficzna kontrola dostępu na potrzeby uwierzytelniania API
- Krótkoterminowe tokeny dostępu z automatyczną rotacją
- Środki zapobiegania nadużyciom egzekwowane w środowisku produkcyjnym
- Automatyczne egzekwowanie retencji: codzienny proces automatyczny
- Monitoring błędów: ze skonfigurowanym usuwaniem danych osobowych
- Ograniczenia dostępu i ścieżka audytu dla funkcji administracyjnych
5.4 Inne podmioty przetwarzające
Administrator udziela ogólnej pisemnej zgody na korzystanie z usług innych podmiotów przetwarzających wymienionych w tabeli poniżej, która jest tabelą „Dalsze podmioty przetwarzające dane Administratora” rejestru pod adresem humankey.io/pl/legal/podmioty-przetwarzajace. Podmiot przetwarzający korzysta z usług innych podmiotów przetwarzających wyłącznie na warunkach art. 28 ust. 2 i 4 RODO. Przed dodaniem lub zastąpieniem podmiotu w tej tabeli z wyprzedzeniem informuje Administratora e-mailem na adres konta i na stronie rejestru, dając mu możliwość wyrażenia sprzeciwu; jeśli Administrator wniesie sprzeciw, a zmiana zostanie wprowadzona, może anulować subskrypcję i rozwiązać umowę, usuwając konto. Poprawki opisu w rejestrze, które nie dodają ani nie zastępują żadnego podmiotu, publikujemy na stronie rejestru z datą; nie zmieniają one niniejszej umowy.
| Podmiot | Cel | Lokalizacja | Podstawa przekazania |
|---|---|---|---|
| Railway Corp. | Obliczenia aplikacyjne i routing żądań dla API HumanKey. | 🇳🇱 UE (Holandia — region Amsterdam) | Rezydencja danych w UE (Holandia) dla ruchu produkcyjnego; standardowe klauzule umowne 2021/914 pokrywają dostęp płaszczyzny zarządzania z USA. |
| Databricks, Inc. (parent company of Neon, LLC) | Zarządzany hosting PostgreSQL dla danych kont, konfiguracji witryn i agregatów analitycznych. | 🇩🇪 UE (Niemcy — Frankfurt) | Rezydencja danych w UE (AWS Frankfurt) dla bazy produkcyjnej; standardowe klauzule umowne 2021/914 pokrywają dostęp płaszczyzny zarządzania z USA. |
| Vercel Inc. | Hosting frontendu, routing brzegowy i dostarczanie CDN dla humankey.io. | 🇩🇪 UE (Niemcy) + 🌐 globalny edge (SCC) | Standardowe klauzule umowne 2021/914. |
| Cloudflare, Inc. | Bezpieczeństwo sieci i dostarczanie treści dla strony i usługi HumanKey; przekazywanie poczty e-mail wysyłanej na adresy HumanKey. | 🌐 Globalna sieć brzegowa (SCC) | Standardowe klauzule umowne 2021/914. |
| Resend, Inc. | Dostarczanie transakcyjnych i serwisowych wiadomości e-mail w imieniu HumanKey. Kategorie obejmują: wiadomości dotyczące konta i uwierzytelniania (weryfikacja adresu i potwierdzenie zmiany adresu e-mail, logowanie linkiem jednorazowym, reset hasła i powiadomienia o zmianie hasła); administrowanie kontem, zespołem i witryną (zaproszenia do zespołu, powiadomienia o zgłoszeniu praw do domeny, o wyłączeniu i usunięciu witryny); powiadomienia dotyczące płatności i subskrypcji (potwierdzenia, faktury, wynik płatności i zwrotów, zmiany planu, powiadomienia o limicie i o obniżeniu planu); instrukcje wdrożeniowe i instalacyjne, w tym wiadomości wysyłane na żądanie posiadacza konta do osoby technicznej, której adres podaje posiadacz konta; okresowe raporty i alerty tworzone na podstawie analityki własnej witryny klienta (podsumowania robotów indeksujących AI i botów, alerty o nowych robotach); oraz odpowiedzi wsparcia. Każdą wiadomość redaguje HumanKey; Resend ją przesyła. Resend nie odbiera poczty przychodzącej kierowanej do HumanKey: zgłoszenia z formularza kontaktowego są zapisywane bezpośrednio w bazie danych HumanKey (Neon, UE), a wiadomości wysyłane na adresy w domenie humankey.io przekierowuje Cloudflare (zob. pozycja Cloudflare). Powyższe wskazuje kategorie wiadomości, a nie wyczerpującą listę. | 🇺🇸 USA (SCC) | Standardowe klauzule umowne 2021/914. |
| Functional Software, Inc. d/b/a Sentry | Monitoring błędów aplikacji i diagnostyka dla API i panelu HumanKey. | 🇩🇪 UE (Niemcy — region Sentry EU) | Rezydencja danych w UE (region Sentry EU, Frankfurt); transfer międzynarodowy nie następuje. Standardowe klauzule umowne 2021/914 pokrywają dostęp płaszczyzny zarządzania z USA. |
| Anthropic, PBC | Inferencja modelu językowego zasilająca: (a) publiczny czat AI Assistant, (b) zautomatyzowane podsumowanie audytu, (c) doradcze analizy AI Insights tylko dla administratorów i automatyczne rozpoznawanie botów, (d) doradcze funkcje AI dla klienta (analizy ruchu, rekomendacje dotyczące crawlerów, zdanie w raporcie dziennym) oraz (e) — gdy klient z nich korzysta w planie, który je obejmuje — opcjonalne teksty przygotowane z użyciem modelu AI dla własnej strony klienta (np. opisy stron, odpowiedzi na częste pytania lub podsumowanie do pliku llms.txt), pokazywane jako projekty do sprawdzenia przez klienta przed użyciem. Wszystkie wyniki są poradami lub projektami; o publikacji decyduje klient; brak decyzji zautomatyzowanej w rozumieniu art. 22 RODO. | 🇺🇸 USA (SCC; retencja 30 dni, bez trenowania modeli) | Standardowe klauzule umowne 2021/914. |
Podstawowe przechowywanie danych odbywa się w UE. Dla każdego podmiotu spoza EOG podstawa przekazania jest wskazana w jego wierszu. Rejestr wymienia także odbiorców, którzy nie są naszymi podmiotami przetwarzającymi, oraz źródła, z których jedynie pobieramy dane.
5.5 Wsparcie w realizacji praw osób, których dane dotyczą
Podmiot przetwarzający wspiera Administratora w odpowiadaniu na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przeniesienie, sprzeciw) w zakresie technicznie możliwym. HumanKey udostępnia zautomatyzowane punkty końcowe eksportu i usuwania danych dostępne przez panel i API.
Usunięcie danych Administratora po usunięciu konta opisuje pkt 5.7. Żądania dotyczące danych użytkowników Usługi po stronie Administratora, w tym osób zaproszonych do zespołu, obsługujemy zgodnie z Polityką prywatności.
5.6 Wsparcie w obowiązkach bezpieczeństwa
Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków dla ochrony danych, uprzednie konsultacje), uwzględniając charakter przetwarzania oraz dostępne mu informacje. Podmiot przetwarzający bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego danych Administratora zgłasza je Administratorowi (art. 33 ust. 2 RODO). Podsumowanie DPIA jest opublikowane pod adresem /pl/dpia.
5.7 Usunięcie lub zwrot danych po zakończeniu
Po zakończeniu świadczenia Usługi na rzecz Administratora Podmiot przetwarzający, zależnie od decyzji Administratora, usuwa albo zwraca wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub państwa członkowskiego nakazuje ich przechowywanie. Administrator może w każdej chwili przed usunięciem konta pobrać z panelu dane swojego konta, witryn i ruchu w formacie JSON. Po usunięciu konta dane osobowe przetwarzane na podstawie niniejszej umowy są usuwane z Usługi w ramach tej samej operacji; dane w kopiach zapasowych wygasają zgodnie z cyklem kopii dostawcy bazy danych, a kopie przechowywane przez podmioty wymienione w pkt 5.4 (np. wysłane e-maile lub dane wejściowe modelu AI) są przez nie przechowywane zgodnie z okresem wskazanym dla każdego z nich w rejestrze.
5.8 Udostępnianie informacji i audyty
Podmiot przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania zgodności z art. 28 RODO oraz umożliwia i wspiera audyty przeprowadzane przez Administratora lub upoważnionego audytora, z rozsądnym wyprzedzeniem (minimum 30 dni) i w godzinach pracy. Koszty audytu ponosi Administrator.
§Artykuł 6 — Obowiązki Administratora
Administrator zobowiązuje się do:
- Dostarczania zgodnych z prawem poleceń przetwarzania i ich aktualizacji w razie potrzeby
- Zapewnienia ważnej podstawy prawnej przetwarzania (art. 6 RODO)
- Wypełniania obowiązków wobec osób, których dane dotyczą (klauzula informacyjna, obsługa żądań DSR)
- Niezwłocznego powiadamiania HumanKey o zmianach w poleceniach
- Zachowania poufności kluczy API i danych dostępowych
§Artykuł 7 — Odpowiedzialność
Każda ze stron ponosi odpowiedzialność za szkody spowodowane własnym naruszeniem niniejszej umowy i RODO. Podmiot przetwarzający nie ponosi odpowiedzialności za przetwarzanie wykonane zgodnie z udokumentowanymi poleceniami Administratora. Odpowiedzialność podlega ograniczeniom określonym w Regulaminie HumanKey.
§Artykuł 8 — Prawo właściwe i jurysdykcja
Umowa podlega prawu polskiemu. Spory rozstrzyga sąd wskazany w sekcji 17 Regulaminu. Właściwość organów nadzorczych wynika z RODO.
§Artykuł 9 — Wersja i zmiany
Umowa ma wersję Regulaminu, do którego jest załącznikiem, i zmienia się wyłącznie wraz z nową wersją Regulaminu, która obowiązuje konto Administratora od chwili jej akceptacji (sekcja 18 Regulaminu). Aktualizacje rejestru zgodnie z pkt 5.4 nie są zmianą umowy.
Niniejsza umowa jest załącznikiem do Regulaminu HumanKey i ma tę samą wersję (2026-10). Ostatnia aktualizacja: październik 2026.