Załącznik bezpieczeństwa do umowy (wzór)

Wzór załącznika do umowy głównej na korzystanie z Verbalu. Zbiera w jednym miejscu zobowiązania dostawcy dotyczące bezpieczeństwa informacji. Pola w nawiasach kwadratowych strony uzupełniają przed podpisaniem.

To jest wzór przygotowany przez Verbalu, a nie porada prawna. Przed podpisaniem powinien go przeczytać prawnik klienta. Wartości wpisane we wzorze odpowiadają temu, co usługa zapewnia na dzień 12 listopada 2026. Przetwarzanie danych osobowych reguluje osobna umowa powierzenia.

1. Strony i przedmiot

Załącznik stanowi integralną część umowy głównej zawartej między Octigo sp. z o.o., ul. Redycka 38/1, 51-169 Wrocław, Polska, KRS 0000360836 („Dostawca”) a [nazwa, adres i numer rejestrowy klienta] („Klient”). Określa środki bezpieczeństwa, które Dostawca stosuje przy świadczeniu usługi Verbalu, oraz tryb współpracy stron w sprawach bezpieczeństwa. Pojęcia „incydent”, „poziom krytyczny” i „poziom wysoki” mają znaczenie nadane w Procedurze obsługi incydentów bezpieczeństwa Dostawcy.

2. Lokalizacja danych

Dostawca przechowuje dane Klienta na terenie Unii Europejskiej, w infrastrukturze Google Cloud: baza danych i kopie zapasowe w wieloregionie eur3, pliki w wieloregionie UE, funkcje serwerowe w regionie europe-west1. Przekazanie danych poza Europejski Obszar Gospodarczy może nastąpić wyłącznie w przypadkach i na podstawach opisanych w umowie powierzenia, w szczególności przy korzystaniu przez użytkowników Klienta z funkcji sztucznej inteligencji. O zamiarze zmiany regionu przechowywania danych Dostawca zawiadamia Klienta z wyprzedzeniem co najmniej 30 dni.

3. Środki techniczne i organizacyjne

Dostawca zapewnia co najmniej: szyfrowanie transmisji protokołem TLS; szyfrowanie danych w spoczynku, w tym kopii zapasowych; kontrolę uprawnień egzekwowaną po stronie serwera; odseparowanie danych Klienta od danych innych klientów; zasadę minimalnych uprawnień w dostępie personelu; dziennik audytu zdarzeń organizacji przechowywany 13 miesięcy i chroniony przed zmianą; zobowiązanie personelu do poufności, obowiązujące także po ustaniu współpracy. Dostawca może zmieniać środki, o ile nie obniża to osiągniętego poziomu ochrony.

4. Uwierzytelnianie i dostęp

Usługa umożliwia logowanie kontem firmowym Klienta u zewnętrznego dostawcy tożsamości; uwierzytelnianie wieloskładnikowe jest wtedy realizowane przez tego dostawcę. Klient zobowiązuje swoich trenerów i administratorów do logowania [kontem firmowym z włączoną weryfikacją dwuetapową]. Dostawca oświadcza, że usługa nie ma własnego drugiego składnika logowania, i zawiadomi Klienta o jego udostępnieniu. Dostęp administracyjny personelu Dostawcy do środowiska produkcyjnego odbywa się wyłącznie z imiennych kont [z wymuszoną weryfikacją dwuetapową], w zakresie niezbędnym do utrzymania usługi albo obsługi zgłoszenia Klienta.

5. Kopie zapasowe i ciągłość działania

Dostawca wykonuje kopię zapasową bazy danych co najmniej raz w tygodniu i przechowuje każdą kopię 60 dni na terenie Unii Europejskiej. Maksymalna utrata danych przy odtworzeniu z kopii (RPO) wynosi 7 dni. Docelowy czas odtworzenia usługi (RTO): [liczba godzin]. Klient może w każdej chwili samodzielnie wyeksportować swoje dane z aplikacji. Umowna gwarancja dostępności usługi (SLA): [brak albo poziom uzgodniony przez strony].

6. Aktualizacje i podatności

Dostawca utrzymuje usługę na wspieranych wersjach oprogramowania i usuwa podatności stosownie do ich wagi: krytyczne w ciągu [7] dni, wysokie w ciągu [30] dni od potwierdzenia, pozostałe w ramach bieżących prac. O podatności krytycznej, która dotyczy danych Klienta i nie może zostać usunięta w tym terminie, Dostawca zawiadamia Klienta razem z opisem środków zastępczych. Klient może zlecić test penetracyjny usługi na własny koszt, po uzgodnieniu zakresu i terminu z wyprzedzeniem co najmniej [30] dni; Dostawca usuwa potwierdzone ustalenia w terminach z tego punktu.

7. Podwykonawcy

Aktualną listę podwykonawców przetwarzających dane Klienta zawiera Pakiet bezpieczeństwa Verbalu oraz umowa powierzenia. O zamiarze dodania albo zastąpienia podwykonawcy Dostawca zawiadamia Klienta e-mailem z wyprzedzeniem co najmniej 30 dni; Klient może w tym terminie wnieść uzasadniony sprzeciw. Dostawca odpowiada za działania podwykonawców jak za własne.

8. Incydenty

Dostawca zawiadamia Klienta o incydencie dotyczącym jego danych albo istotnie ograniczającym dostępność usługi bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, na adres [e-mail kontaktu Klienta ds. bezpieczeństwa], a dodatkowo telefonicznie pod numer [telefon]. Informację uzupełniającą przekazuje w ciągu 72 godzin, a raport końcowy w ciągu 30 dni od zamknięcia incydentu. Dostawca współdziała z Klientem przy zgłoszeniach wymaganych przepisami, w tym RODO i przepisami wdrażającymi dyrektywę NIS2. Klient zgłasza Dostawcy incydenty i podejrzenia incydentów na adres hello@verbalu.com.

9. Informacje i audyt

Dostawca udostępnia Klientowi na żądanie informacje potrzebne do oceny bezpieczeństwa usługi, w tym odpowiedzi na kwestionariusz bezpieczeństwa Klienta, w terminie [14] dni. Klient albo upoważniony przez niego audytor, zobowiązany do poufności, może przeprowadzić audyt nie częściej niż raz na 12 miesięcy, po zawiadomieniu z wyprzedzeniem co najmniej 30 dni, w sposób niezakłócający działania usługi i z poszanowaniem danych innych klientów. Ograniczenie częstotliwości nie dotyczy audytu po incydencie o poziomie wysokim albo krytycznym.

10. Zakończenie współpracy

Po zakończeniu umowy głównej Klient może wyeksportować swoje dane w terminie [30] dni. Po tym terminie, na pisemne żądanie Klienta, Dostawca trwale usuwa dane Klienta z systemów produkcyjnych w ciągu [30] dni i potwierdza to e-mailem. Kopie zapasowe zawierające te dane wygasają najpóźniej po 60 dniach od ich utworzenia.

11. Postanowienia końcowe

W razie rozbieżności między załącznikiem a umową powierzenia przetwarzania danych osobowych, w zakresie danych osobowych pierwszeństwo ma umowa powierzenia. Zmiany załącznika wymagają formy dokumentowej. Załącznik obowiązuje przez czas trwania umowy głównej.

Parametr	Wartość
Klient	[nazwa, adres, numer rejestrowy]
Umowa główna	[numer albo data umowy]
Kontakt Klienta ds. bezpieczeństwa	[imię i nazwisko, e-mail, telefon]
Kontakt Dostawcy ds. bezpieczeństwa	Marcin Żmigrodzki, marcin.zmigrodzki@octigo.pl
Powiadomienie o incydencie	Do 24 godzin od stwierdzenia
Raport końcowy z incydentu	Do 30 dni od zamknięcia incydentu
Kopie zapasowe	Co tydzień, przechowywane 60 dni, w UE
Maksymalna utrata danych (RPO)	7 dni
Czas odtworzenia (RTO)	[liczba godzin]
Usuwanie podatności	Krytyczne: [7] dni. Wysokie: [30] dni.
Usunięcie danych po zakończeniu umowy	[30] dni od żądania
Data i podpisy stron	[data, podpis Klienta, podpis Dostawcy]