Umowa powierzenia przetwarzania danych osobowych
zgodnie z art. 28 RODO · wersja 2026-11-02-pl

zawarta pomiędzy administratorem (Klientem), którego dane zostają zapisane przy rejestracji lub przy przyjęciu konta przygotowanego przez podmiot przetwarzający, a podmiotem przetwarzającym Banana CRM, Martin Elmentaler, jednoosobowa działalność gospodarcza (Einzelunternehmen), Hittfeldstraße 40, 45478 Mülheim an der Ruhr.
Niniejsza umowa zostaje zawarta przez wyraźne oświadczenie elektroniczne Klienta złożone przy rejestracji lub przy przyjęciu przygotowanego konta (wspólne potwierdzenie z OWH i Polityką prywatności, moment i wersja są rejestrowane). Podpis nie jest wymagany.

§ 1 Przedmiot
Podmiot przetwarzający udostępnia Banana CRM jako aplikację SaaS działającą w przeglądarce. Niniejsza umowa reguluje powierzenie przetwarzania danych zgodnie z art. 28 RODO i w przypadku sprzeczności ma w tym zakresie pierwszeństwo przed OWH.

§ 2 Czas trwania
Przetwarzanie trwa przez czas bezpłatnego okresu testowego i następującej po nim umowy o korzystanie. Następnie obowiązują § 12 i ustawowe obowiązki przechowywania. Przetwarzanie rozpoczyna się z chwilą rejestracji lub przyjęcia przygotowanego konta. Dane, które podmiot przetwarzający skonfigurował przed przyjęciem na życzenie Klienta, od chwili przyjęcia podlegają niniejszej umowie.

§ 3 Cel
Techniczne udostępnianie, przechowywanie danych firm i kontaktów, zadań, treści e-maili i dokumentów, podłączenie skrzynek pocztowych w zakresie, w jakim zostało skonfigurowane, wyszukiwanie pełnotekstowe, import i eksport CSV, wysyłka e-maili, pobieranie logo, zarządzanie użytkownikami, bezpieczeństwo, tworzenie kopii zapasowych i przywracanie danych. Jeżeli administrator włączy AI w zakładce „AI”, dodatkowo analiza AI publicznych doniesień dotyczących jego firm; w tym celu do usługi AI wskazanej w załączniku 2 przekazywane są wyłącznie nazwa firmy, miejscowość i strona internetowa jego firm, teksty publicznych doniesień oraz obie informacje administratora o jego działalności („Co oferujemy”, „Jak dbamy o kontakty”). Nazwa, miejscowość i strona internetowa własnej firmy administratora – wyłącznie po kliknięciu „Niech Banana coś zaproponuje”; publiczny tekst strony internetowej wpisanej przez administratora – wyłącznie przy jej sprawdzaniu; na potrzeby tej analizy nigdy osoby kontaktowe, adresy e-mail, numery telefonów, notatki ani treści e-maili. Przy włączonej AI dodatkowo projekty wiadomości e-mail i WhatsApp na kliknięcie administratora, wyszukiwanie publicznych doniesień dotyczących pojedynczej firmy na kliknięcie „Szukaj okazji” oraz automatyczna klasyfikacja przychodzących e-maili od kontaktów; w tym celu do usługi AI wskazanej w załączniku 2 trafiają skrócone wpisy historii, w przypadku firm z zapisanymi zleceniami usługa i data najnowszych zleceń (nigdy kwoty) oraz wyłącznie informacja, czy płatności przebiegały bez zakłóceń, względnie temat i treść przychodzących e-maili, w których imiona i nazwiska, adresy e-mail, numery telefonów i rozpoznawalne adresy pocztowe zostały wcześniej zastąpione neutralnymi określeniami zastępczymi. Nie jest to anonimizacja; teksty mogą nadal zawierać dane osobowe. Szczegóły w załączniku 2. Przy wyszukiwaniu publicznych doniesień dodatkowo rok założenia firmy wraz ze źródłem, wyłącznie jeżeli jest on publicznie i wiarygodnie udokumentowany (na potrzeby rocznic firm). Jeżeli dla konta skonfigurowano tryb rzemieślniczy, dodatkowo przechowywanie importowanych zleceń (data, kwota, tekst faktury, status płatności, rodzaj klienta, kod pocztowy) oraz jednorazowe przyporządkowanie nowych tekstów faktur do kilku usług przez usługę AI wskazaną w załączniku 2; w tym celu przekazywane są wyłącznie teksty faktur i nazwy już istniejących usług, nigdy nazwiska, adresy, kwoty, numery faktur ani status płatności. Brak wykorzystywania do własnych celów reklamowych, sprzedażowych lub marketingowych.
Uzupełnienie od wersji 2026-11-01: Również bez włączonej AI (tryb podstawowy) automatyczna klasyfikacja przychodzących e-maili od kontaktów oraz – na kliknięcie administratora i do dziennego limitu na użytkownika – projekty wiadomości e-mail i WhatsApp, każdorazowo z tymi samymi danymi, tymi samymi określeniami zastępczymi i za pośrednictwem tej samej usługi AI wskazanej w załączniku 2 co przy włączonej AI.
Na kliknięcie administratora przy tworzeniu firmy dodatkowo odczyt publicznej noty prawnej (Impressum) podanej strony internetowej w celu zaproponowania nazwy firmy, ulicy, kodu pocztowego i miejscowości (bez AI, nic z tego nie jest przekazywane podmiotom trzecim). Przy korzystaniu z mikrofonu zamiana nagrania na tekst przez usługę Mistral AI wskazaną w załączniku 2; nagranie nie jest zapisywane. Przy włączonej AI na kliknięcie „Zredaguj” uporządkowanie i skrócenie wpisu „Dok” przez usługę AI wskazaną w załączniku 2; przekazywany jest wyłącznie ten tekst, a imiona i nazwiska, adresy e-mail, numery telefonów i rozpoznawalne adresy pocztowe są wcześniej zastępowane neutralnymi określeniami zastępczymi.

§ 4–5 Rodzaje danych i osoby, których dane dotyczą
Imiona i nazwiska, służbowe dane kontaktowe, dane firm i organizacji, zadania, notatki, treści e-maili, dokumenty (PDF), dane dostępowe do skrzynek pocztowych, o ile są podłączone, dane z importu CSV, w trybie rzemieślniczym dane zleceń i faktur (data, kwota, tekst faktury, status płatności, rodzaj klienta, kod pocztowy), dane logowania i uprawnień, dane dzienników niezbędne do działania. Szczególne kategorie danych w rozumieniu art. 9 RODO nie są przedmiotem umowy. Osoby, których dane dotyczą: kontakty biznesowe administratora oraz jego pracownicy i użytkownicy.

§ 6 Polecenia
Przetwarzanie wyłącznie na udokumentowane polecenie wynikające z umowy o korzystanie, niniejszej umowy, funkcji Banana CRM lub przekazane w formie dokumentowej na adres martin.elmentaler@bananacrm.de. Administrator pozostaje odpowiedzialny za zgodność przetwarzania z prawem i za obowiązki informacyjne.

§ 7–11 Obowiązki
Poufność; środki techniczne i organizacyjne zgodnie z załącznikiem 1; wsparcie w zakresie art. 32–36 RODO i praw osób, których dane dotyczą; zgłaszanie naruszeń niezwłocznie po ich stwierdzeniu, w miarę możliwości w ciągu 24 godzin.

§ 12 Usunięcie i zwrot danych
12.1 W okresie testowym i w okresie obowiązywania umowy możliwy jest eksport danych, w szczególności w formacie CSV. Usunięte wpisy można w tym czasie przywrócić przez 90 dni.
12.2 Jeżeli okres testowy zakończy się bez zawarcia umowy odpłatnej, eksport pozostaje możliwy do chwili usunięcia. Po upływie 60 dni od zakończenia okresu testowego wszystkie dane administratora zostają ostatecznie usunięte; administrator jest o tym wcześniej informowany e-mailem. Na życzenie usunięcie może zostać przesunięte.
12.3 Po zakończeniu odpłatnej umowy o korzystanie – usunięcie lub zwrot danych według wyboru administratora, o ile nie sprzeciwia się temu obowiązek ustawowy. Eksport do 30 dni po zakończeniu umowy.
12.4 Zaszyfrowana kopia zapasowa w Hetzner pozostaje niezmienialna przez maksymalnie 30 dni i nie jest wykorzystywana do bieżącej obsługi.

§ 13 Dalsze podmioty przetwarzające
Korzystanie z dalszych podmiotów przetwarzających na potrzeby technicznej obsługi jest dozwolone. Aktualna lista znajduje się w załączniku 2. Kolejne wyłącznie z zachowaniem przesłanek ustawowych i po poinformowaniu administratora. Administrator może wnieść sprzeciw wobec dodania w ciągu dziesięciu dni od otrzymania informacji. Dalsze podmioty przetwarzające są zobowiązywane do zapewnienia porównywalnego poziomu ochrony.

§ 14 Państwa trzecie
W przypadku Render, także przy wyborze regionu UE, może występować związek z państwami trzecimi wynikający z grupy kapitałowej, wsparcia technicznego lub podprzetwarzających. W razie potrzeby EU-US Data Privacy Framework lub standardowe klauzule umowne. Nie udziela się gwarancji całkowitego braku dostępu z państw trzecich.
Analiza AI przez Anthropic (Anthropic Ireland, Limited z przetwarzaniem przez Anthropic, PBC) odbywa się również w USA, wyłącznie gdy administrator ją włączy, w odniesieniu do projektów wiadomości e-mail i WhatsApp oraz klasyfikacji przychodzących e-maili przy włączonej AI, a także w trybie rzemieślniczym przy przyporządkowywaniu nowych tekstów faktur; podstawą przekazania są standardowe klauzule umowne UE, moduł 3 (podmiot przetwarzający – dalszy podmiot przetwarzający); w zakresie, w jakim Banana sam jest administratorem – moduł 2.
Uzupełnienie od wersji 2026-11-01: Również w USA i na tej samej podstawie klasyfikacja przychodzących e-maili i projekty wiadomości w trybie podstawowym bez włączonej AI (§ 3).

§ 15–17 Dowody, obowiązki, postanowienia końcowe
Dowody i audyty po odpowiednio wczesnej zapowiedzi. Prawo niemieckie. Załączniki stanowią integralną część umowy.

Załącznik 1 – Środki techniczne i organizacyjne
Transmisja między przeglądarką a aplikacją za pomocą TLS.
Hasła przechowywane przy użyciu Argon2id (zastępczo bcrypt); sesje po stronie serwera; pliki cookie sesji z atrybutami HttpOnly, Secure, SameSite; ochrona przed CSRF; ograniczona liczba prób logowania.
Separacja kont klientów w bazie danych za pomocą PostgreSQL Row-Level Security. W razie braku przyporządkowania baza danych nie zwraca żadnych danych.
Przynależność do konta klienta wynika z uwierzytelnienia po stronie serwera, a nie z danych, którymi można manipulować po stronie przeglądarki.
Baza danych nie jest bezpośrednio dostępna z internetu.
Dane dostępowe do podłączonych skrzynek pocztowych objęte odrębną ochroną.
Rejestrowanie prób logowania (usuwanie po 7 dniach) oraz zmian w każdym koncie przez okres korzystania.
Codzienna własna kopia zapasowa, szyfrowana przed opuszczeniem serwera, przechowywana w Hetzner w Falkenstein, niezmienialna przez 30 dni. Klucz deszyfrujący nie znajduje się na serwerach aplikacji.
Usunięte wpisy CRM można przywrócić przez 90 dni, następnie są usuwane, z zastrzeżeniem przepisów prawa i okresów przechowywania kopii zapasowych.
Ostateczne usuwanie wygasłych kont testowych za pomocą ściśle ograniczonej funkcji bazy danych, która sama sprawdza przesłanki usunięcia; usunięcie jest rejestrowane bez treści CRM.
Dostęp do kodu, hostingu i kopii zapasowych z uwierzytelnianiem dwuskładnikowym.

Załącznik 2 – Dalsze podmioty przetwarzające
Render Services, Inc., San Francisco, USA – hosting aplikacji i bazy danych, region Frankfurt; przetwarzanie również w USA zgodnie z DPA z 19.12.2024; DPF/SCC; podprzetwarzający: render.com/trust.
Hetzner Online GmbH, Niemcy – przechowywanie zaszyfrowanych własnych kopii zapasowych, Falkenstein.
Brevo – wysyłka e-maili z Banana CRM.
Logo.dev – pobieranie publicznie dostępnych logo firm na podstawie zapisanej domeny strony internetowej.
Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irlandia, z przetwarzaniem przez Anthropic, PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA – dostawca Claude; analiza AI w zakładce „AI”, wyłącznie gdy administrator włączy AI. Przekazywane są wyłącznie nazwa firmy, miejscowość i strona internetowa jego firm, teksty publicznych doniesień oraz obie informacje administratora o jego działalności („Co oferujemy”, „Jak dbamy o kontakty”); nazwa, miejscowość i strona internetowa własnej firmy wyłącznie po kliknięciu „Niech Banana coś zaproponuje”, publiczny tekst wpisanej strony internetowej wyłącznie przy jej sprawdzaniu. W trybie rzemieślniczym dodatkowo jednorazowe przyporządkowanie nowych tekstów faktur do usług; przekazywane są wyłącznie teksty faktur i nazwy istniejących usług. Przy włączonej AI na kliknięcie „Mail”, „WhatsApp” lub „Napisz od nowa”: okazja zadania, skrócona historia kontaktu (maksymalnie dziesięć wpisów), w przypadku firm z zapisanymi zleceniami usługa i data najnowszych zleceń (nigdy kwoty) oraz wyłącznie informacja, czy płatności przebiegały bez zakłóceń, data i rodzaj ostatniego kontaktu, inne aktualne okazje dotyczące firmy, nazwa firmy i obie informacje o działalności, ewentualnie krótki powód, dla którego firma jest przedstawiana danego dnia, oraz okazja znaleziona przez „Szukaj okazji”; na kliknięcie „Szukaj okazji” dodatkowo wyszukiwanie publicznych doniesień z ostatnich sześciu tygodni dotyczących tej jednej firmy (nazwa firmy, miejscowość, strona internetowa, obie informacje o działalności); przy wyszukiwaniu publicznych doniesień AI podaje – wyłącznie jeżeli jest to wiarygodnie udokumentowane – rok założenia firmy wraz ze źródłem, który Banana CRM sam weryfikuje i zapisuje przy firmie; imiona i nazwiska, adresy e-mail, numery telefonów i adresy pocztowe są wcześniej zastępowane neutralnymi określeniami zastępczymi, dowolny tekst może jednak w pojedynczych przypadkach zawierać dane osobowe; projekt jest zapisywany wyłącznie na koncie administratora do czasu wykonania zadania. Przy włączonej AI dodatkowo automatyczna klasyfikacja przychodzących e-maili od kontaktów (zapisanych w ciągu ostatnich 14 dni, bez rozpoznanych automatycznych odpowiedzi o nieobecności; na polecenie podmiotu przetwarzającego w przypadku pojedynczego konta jednorazowo także ostatni otrzymany e-mail dla każdej firmy z ostatnich sześciu miesięcy): przekazywane są bieżąca data, temat i treść bez cytowanych wcześniejszych wiadomości (maksymalnie 2000 znaków), nie adres nadawcy i odbiorcy, nagłówki, załączniki ani nazwa firmy z konta; imiona i nazwiska kontaktów firmy i użytkowników, imiona i nazwiska osób po zwrocie grzecznościowym, tytule lub formule pożegnalnej, adresy e-mail, numery telefonów i rozpoznawalne adresy pocztowe są wcześniej zastępowane neutralnymi określeniami zastępczymi. Nie jest to anonimizacja, oczyszczony tekst może nadal zawierać dane osobowe. Cel: klasyfikacja e-maila (rodzaj, w tym „osoba kontaktowa nie pracuje już w firmie”, ewentualnie termin, pewność, krótkie uzasadnienie), zapisana przy e-mailu na koncie administratora. Przy włączonej AI na kliknięcie „Zredaguj” we wpisie „Dok” dodatkowo jego tekst (maksymalnie 4000 znaków) i bieżąca data; imiona i nazwiska, adresy e-mail, numery telefonów i rozpoznawalne adresy pocztowe są wcześniej zastępowane neutralnymi określeniami zastępczymi; cel: krótka notatka informacyjna i propozycje (termin przypomnienia, archiwum), zapisywane dopiero po potwierdzeniu na koncie administratora. Umowa powierzenia przetwarzania danych Anthropic (anthropic.com/legal/data-processing-addendum, obowiązująca od 24.02.2025); przekazywanie do USA na podstawie standardowych klauzul umownych UE, moduł 3 (podmiot przetwarzający – dalszy podmiot przetwarzający); w zakresie, w jakim Banana sam jest administratorem – moduł 2.
Anthropic (jak wyżej) – również bez włączonej AI (tryb podstawowy): automatyczna klasyfikacja przychodzących e-maili od kontaktów oraz – na kliknięcie „Mail”, „WhatsApp” lub „Nowa wersja” i do dziennego limitu na użytkownika – projekty wiadomości e-mail i WhatsApp; przekazywane są te same dane co powyżej, z tymi samymi określeniami zastępczymi.
Mistral AI SAS, 15 rue des Halles, 75001 Paris, Francja – zamiana mowy na tekst (Voxtral), wyłącznie gdy użytkownik administratora korzysta z mikrofonu (notatka „Dok”, wolne pole przy tworzeniu firmy). Przekazywane jest wyłącznie nagranie; trafia ono przez punkt końcowy UE (api.eu.mistral.ai) i jest przetwarzane w Unii Europejskiej. Podmiot przetwarzający nie zapisuje nagrania i przekazuje je dalej wyłącznie w pamięci operacyjnej; złożono wniosek o Zero Data Retention w Mistral. Umowa powierzenia przetwarzania danych Mistral AI (legal.mistral.ai/terms/data-processing-addendum, obowiązująca od 27.07.2026); brak przekazywania do państw trzecich w ramach samego przetwarzania, w przypadku poszczególnych podprzetwarzających Mistral obowiązują standardowe klauzule umowne UE.
Carrd dotyczy wyłącznie publicznej strony internetowej Usługodawcy, a nie treści CRM Klienta, i dlatego nie jest dalszym podmiotem przetwarzającym w rozumieniu niniejszej umowy powierzenia.