# Huddleboard — Business Customer Data Processing Agreement

Version 2026-10-22.1 · 22 October 2026

## 1. Parties, scope and formation

The service provider is Michał Piontek, a sole trader registered in CEIDG, business address
Jemiołuszki 118, 05-500 Zgorzała, Poland, NIP 9691453630 (Huddleboard). Privacy and contractual
notices: contact@huddleboard.ai. Telephone: +48 669 967 597.

The Customer is the business identified by its authorized workspace owner in Huddleboard's
online acceptance form. Huddleboard offers this standard agreement as part of its service.
It supplements the service terms for personal data processed on the Customer's behalf
(Customer Personal Data) and takes effect when that owner explicitly accepts it electronically.
No separate signature or email exchange is required.

The acceptance record identifies the Customer's legal name and address, the covered workspace,
the accepting user's identity, this document's version and digest, and the server-recorded date.
The owner confirms authority to bind the Customer. The account email is the initial notice contact;
the Customer may designate another contact by writing to contact@huddleboard.ai. Ordinary login,
connecting a key or accepting general service terms alone does not record DPA acceptance.

The Customer is controller, or a processor acting with its controller's authority; Huddleboard is
processor or subprocessor respectively. References to assisting the Customer include enabling it
to assist its controller. Huddleboard's separate processing for account administration, service
security and legal obligations is described in its privacy notice and is not converted into
processing on the Customer's behalf by this agreement. Actual purposes determine these roles.

## 2. Processing instructions and Customer responsibilities

Huddleboard shall process Customer Personal Data only to provide the agreed service, on documented
instructions in this agreement, the service-provider inventory in Annex C, authorized workspace operations and written
requests. Instructions include access, storage, retrieval, modification, model inference, repository
operations, export and erasure within the agreed scope. They do not authorize advertising, sale of
Customer Personal Data or Huddleboard's training of general-purpose models on workspace content.

The Customer shall establish its lawful basis, provide necessary notices, minimize personal data,
control authorized users and ensure it is entitled to issue instructions. It shall not submit special
category data, criminal-offence data, payment credentials or unrelated authentication secrets unless
the parties first agree specific safeguards in writing. Provider credentials may be supplied only
through the designated connection controls and only where that connection is contractually permitted.

Huddleboard shall promptly inform the Customer if an instruction appears to infringe applicable
data protection law and suspend the affected processing pending resolution. If Union or Member State
law requires other processing, Huddleboard shall inform the Customer beforehand unless that law
prohibits notification on important grounds of public interest.

## 3. Confidentiality and security

Huddleboard shall ensure authorized personnel are bound by confidentiality obligations and access
only data needed for their duties. It shall maintain appropriate technical and organizational measures
under Article 32 GDPR, including the measures in Annex B, and review them as risks and systems change.
Changes shall not materially reduce the agreed protection. Customer keys must not be used for another
customer, returned through ordinary settings APIs or included in model prompts or operational logs.

## 4. Connected services and subprocessors

The Customer may instruct Huddleboard to connect its own repository or AI-provider account. Such
instructions do not themselves establish that credential custody is permitted or determine a
provider's legal role. The service-provider inventory shall identify the contracting party, processing
role, purpose, data, locations and applicable safeguards for each connection before its use.

Where the Customer directly engages a provider as its processor, the Customer maintains the
appropriate provider agreement and Huddleboard acts on its documented transmission instructions.
Huddleboard remains responsible for its own access, transmission and storage. Where Huddleboard
engages a provider as a subprocessor, including a customer-nominated provider where that is the
actual arrangement, the following subprocessor requirements apply in full. BYOK does not waive them.

The Customer gives general written authorization only for Huddleboard subprocessors identified in
the service-provider inventory in Annex C. Huddleboard shall impose equivalent applicable data-protection
obligations by binding agreement and remains fully liable to the Customer for its subprocessors'
performance of those obligations. It shall provide their identity, function and location and notify
the Customer's privacy contact at least 30 days before additions or replacements.

The Customer may object during that period on reasonable data-protection grounds. The parties
shall seek an alternative; if unresolved, the affected processing shall not start with the disputed
provider and the Customer may terminate the affected service without penalty. A model catalogue
update is not blanket authorization for an undisclosed processing chain. Neither a free price nor
the Customer's choice of a model overrides these requirements.

## 5. International transfers

Huddleboard shall make restricted transfers only on documented instructions and with a valid GDPR
Chapter V mechanism. The service-provider inventory shall record relevant destinations, recipients and the applicable
adequacy decision or safeguards, such as the appropriate executed Standard Contractual Clauses,
transfer assessment and supplementary measures where needed. EU hosting, an API key and general
acceptance of this agreement are not transfer safeguards. A route without established coverage
must not process Customer Personal Data. This agreement does not itself execute transfer SCCs.

## 6. Rights requests and assistance

Taking account of the nature of processing, Huddleboard shall assist the Customer with access,
rectification, erasure, restriction, portability and other applicable data-subject rights through
appropriate technical and organizational measures. It shall forward requests concerning Customer
Personal Data without undue delay and not answer on the Customer's behalf unless instructed or
legally required. Requests about Huddleboard's own controller processing are handled separately.

Huddleboard shall provide information and reasonable assistance necessary for the Customer's
security obligations, DPIAs and prior consultation, taking into account available information.
The Customer remains responsible for its decisions and statutory deadlines. The parties may agree
reasonable charges for exceptional assistance in advance; charges shall not obstruct statutory
assistance or remedying Huddleboard's own breach.

## 7. Personal data breaches

Huddleboard shall notify the Customer's privacy contact without undue delay after becoming aware
of a personal data breach affecting Customer Personal Data. It shall not wait for a complete
investigation. Information shall include, as available, the nature of the breach, affected data and
individuals, approximate volumes, likely consequences, mitigation and contact details. Missing
information shall follow in stages without undue delay. Huddleboard shall contain, investigate,
document and remediate the breach and assist with required notifications. This does not transfer
the Customer's regulatory notification responsibility to Huddleboard.

## 8. Return, erasure and retention

At the end of services, the Customer chooses return or deletion of Customer Personal Data. Where
return is chosen, Huddleboard shall provide an agreed usable export and then delete remaining copies,
unless Union or Member State law requires retention. Export exclusions shall be disclosed and any
Customer Personal Data needed to satisfy the request supplied securely by an appropriate method.

Primary workspace data shall be erased within 30 days of a verified deletion instruction or service
termination, subject to legally required retention. Backup copies shall expire within 35 days after
primary erasure, at most 65 days after the triggering event. During that interval they shall be
isolated from ordinary use; an erasure ledger shall be applied before restored data is made available.
Legally retained data shall be limited to the required purpose and period. On request Huddleboard
shall confirm completion and explain any lawful retention.

Deleting one user account does not erase shared workspace content. The Customer may separately
instruct removal or redaction of personal information in that content. Revoking a key does not
delete prior data at a connected provider. Huddleboard shall assist with downstream erasure within
its role and contractual control; direct-provider requests are coordinated with the Customer.

## 9. Accountability and audit

Huddleboard shall maintain required processing records and make available information necessary
to demonstrate compliance. It shall allow and contribute to audits, including inspections, by the
Customer or its mandated independent auditor. Reasonable notice, confidentiality and proportionate
scope may protect other customers and system security, but shall not prevent legally required,
incident-related or supervisory-authority audits. Existing evidence may satisfy a request only
where sufficient. No certification or independent audit is represented by this agreement.

## 10. Duration, precedence and law

This agreement continues while Huddleboard retains Customer Personal Data, including protected
backup retention. It prevails over conflicting service terms for that processing; mandatory law
and applicable transfer SCCs prevail over it. Amendments require written agreement, except for
authorized subprocessor notices under section 4. Nothing limits data subjects' or authorities'
rights or mandatory GDPR liability. Polish law applies without displacing mandatory protections.

## Annex A — Processing description

- Subject and purpose: collaborative software planning and delivery using boards, tickets,
  comments, attachments, repository integration, AI assistance and optional voice huddles.
- Duration and frequency: ongoing during covered workspace use, followed by section 8 retention.
- Individuals: Customer personnel, contractors, collaborators and other people whose information
  the Customer lawfully includes in permitted workspace content.
- Data: names, professional contact details, user identifiers, authorship and activity, ticket and
  comment content, attachments, source/review context, generated outputs and run traces. If voice is
  expressly enabled, conversation audio/context and retained transcripts are included. Voice is not
  authorized for biometric identification. Only data needed for the selected operation is transmitted.
- Scope: the acceptance record identifies the workspace; enabled connections follow its configuration.

## Annex B — Agreed security measures

Huddleboard shall maintain authenticated access and workspace authorization; restricted administrative
access; encrypted transport for production connections; encrypted provider-key storage with a
separately managed encryption secret; and private, encrypted production storage and backups.
Authorized runtimes may decrypt a provider key in memory to make requests. This is not end-to-end
encryption against the service operator.

Measures also include scoped agent permissions, bounded runs, reviewable activity, controlled
software changes, incident handling and security logging without intentional capture of keys,
raw login codes or workspace content. Security logs shall be retained no longer than 30 days.
Expired login proofs shall be removed within 24 hours after expiry. Access shall be revoked when
no longer required. Restore and erasure procedures shall be tested before production activation
and after material changes. Evidence shall be made available under section 9.

## Annex C — Service-provider inventory

AWS supplies configured hosting, storage, database, logs and email; the configured hosting region
is Frankfurt. Cloudflare supplies DNS; DNS-only use does not expose workspace HTTP content.
GitHub supplies customer-connected repositories. OpenRouter and the selected model-processing
chain supply task inference through the customer's account. OpenAI supplies optional voice through
a customer-connected account where that arrangement is permitted. Optional Google sign-in is
described separately in the privacy notice; its availability alone does not make Google a
subprocessor for workspace content.

Huddleboard shall maintain and make available the exact recipient identities, processing roles,
locations and safeguards for the services it engages. It shall satisfy sections 4 and 5 before
processing Customer Personal Data with a recipient. The inventory is not a representation of
EU-only processing, provider certification or blanket approval of every catalogue model.
Customer-connected services remain subject to section 4 and their applicable provider agreements.

This standard inventory does not require the Customer to negotiate or sign a separate schedule.
It also does not excuse Huddleboard from verifying its own subprocessor contracts and transfer
arrangements. Changes follow section 4, including advance notice and the right to object.

The Polish and English versions form one document; this does not change the precedence of mandatory law and applicable SCCs.


Huddleboard — umowa powierzenia przetwarzania danych osobowych dla klientów biznesowych
Wersja 2026-10-22.1 · 22 października 2026 r.

1. Strony, zakres i zawarcie

Usługodawcą jest Michał Piontek, przedsiębiorca wpisany do CEIDG, Jemiołuszki 118, 05-500 Zgorzała, Polska, NIP 9691453630 (Huddleboard). Kontakt w sprawach umowy i prywatności: contact@huddleboard.ai; telefon: +48 669 967 597.

Klientem jest przedsiębiorstwo wskazane przez uprawnionego właściciela obszaru roboczego w formularzu akceptacji. Ta standardowa umowa uzupełnia regulamin w zakresie danych przetwarzanych na rzecz Klienta (Dane Klienta). Zostaje zawarta z chwilą jej wyraźnej akceptacji elektronicznej przez tego właściciela. Osobny podpis ani wymiana e-maili nie są wymagane.

Rekord akceptacji wskazuje nazwę prawną i adres Klienta, obszar, użytkownika, wersję i skrót dokumentu oraz czas serwera. Właściciel potwierdza umocowanie. Adres e-mail konta jest początkowym adresem do zawiadomień; Klient może wskazać inny, pisząc do operatora. Zwykłe logowanie, podłączenie klucza ani akceptacja regulaminu nie stanowią akceptacji tej umowy.

Klient jest administratorem lub podmiotem przetwarzającym działającym z upoważnienia administratora; Huddleboard jest odpowiednio podmiotem przetwarzającym albo dalszym podmiotem przetwarzającym. Pomoc Klientowi obejmuje umożliwienie mu pomocy jego administratorowi. Samodzielne przetwarzanie przez Huddleboard dla prowadzenia kont, bezpieczeństwa i obowiązków prawnych opisuje informacja o prywatności. Niniejsza umowa nie zmienia go w przetwarzanie na rzecz Klienta. Role wynikają z rzeczywistych celów i działań.

2. Polecenia i obowiązki Klienta

Huddleboard przetwarza Dane Klienta wyłącznie w celu świadczenia uzgodnionej usługi, na udokumentowane polecenia określone w umowie, wykazie z załącznika C, uprawnionych operacjach obszaru i pisemnych żądaniach. Obejmują one dostęp, przechowywanie, odczyt, zmianę, użycie modeli, operacje repozytorium, eksport i usuwanie w uzgodnionym zakresie. Nie zezwalają na reklamę, sprzedaż Danych Klienta ani szkolenie przez Huddleboard modeli ogólnego przeznaczenia na treściach obszaru.

Klient ustala podstawę prawną, przekazuje wymagane informacje, minimalizuje dane, kontroluje użytkowników i zapewnia uprawnienie do wydawania poleceń. Nie przekazuje danych szczególnych kategorii, danych o przestępstwach, danych uwierzytelniających płatności ani niepowiązanych sekretów, chyba że strony uprzednio pisemnie uzgodnią szczególne zabezpieczenia. Klucze dostawców można podawać tylko w przeznaczonych do tego kontrolkach i tylko, gdy dane połączenie jest dozwolone umownie.

Huddleboard niezwłocznie informuje, jeśli polecenie wydaje się naruszać prawo ochrony danych, i wstrzymuje objęte nim przetwarzanie do wyjaśnienia. Jeżeli innego przetwarzania wymaga prawo Unii lub państwa członkowskiego, informuje przed rozpoczęciem, chyba że prawo zabrania takiej informacji z uwagi na ważny interes publiczny.

3. Poufność i bezpieczeństwo

Huddleboard zapewnia zobowiązanie upoważnionego personelu do poufności i dostęp tylko w niezbędnym zakresie. Stosuje odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO, w tym załącznik B, i przegląda je wraz ze zmianami ryzyka i systemów. Zmiany nie mogą istotnie obniżać uzgodnionej ochrony. Klucze Klienta nie mogą być używane na rzecz innego klienta, zwracane przez zwykłe API ustawień ani umieszczane w promptach lub logach operacyjnych.

4. Usługi podłączone i dalsze powierzenie

Klient może polecić podłączenie własnego repozytorium lub konta AI. Samo polecenie nie dowodzi dopuszczalności przechowywania klucza i nie rozstrzyga roli dostawcy. Przed użyciem wykaz musi wskazywać stronę umowy, rolę, cel, dane, lokalizacje i właściwe zabezpieczenia połączenia.

Gdy Klient bezpośrednio angażuje dostawcę jako własny podmiot przetwarzający, utrzymuje właściwą umowę z nim, a Huddleboard wykonuje udokumentowane polecenia przesyłania. Huddleboard odpowiada za własny dostęp, przesyłanie i przechowywanie. Jeśli Huddleboard angażuje dostawcę jako dalszy podmiot przetwarzający, także wskazanego przez Klienta, o ile tak wygląda rzeczywista relacja, w pełni stosuje się wymagania dalszego powierzenia. Własny klucz (BYOK) ich nie uchyla.

Klient udziela ogólnej pisemnej zgody wyłącznie na dalsze podmioty wskazane w załączniku C. Huddleboard nakłada wiążącą umową równoważne właściwe obowiązki ochrony danych i pozostaje w pełni odpowiedzialny wobec Klienta za ich wykonanie przez dalsze podmioty. Udostępnia tożsamość, funkcję i lokalizację oraz zawiadamia kontakt Klienta ds. prywatności co najmniej 30 dni przed dodaniem lub zastąpieniem podmiotu.

Klient może w tym terminie zgłosić uzasadniony ochroną danych sprzeciw. Strony szukają alternatywy; bez rozwiązania objęte sprzeciwem przetwarzanie u tego dostawcy nie rozpoczyna się, a Klient może zakończyć objętą nim usługę bez kary. Zmiana katalogu modeli nie jest ogólną zgodą na nieujawniony łańcuch przetwarzania. Bezpłatność ani wybór modelu nie uchylają tych obowiązków.

5. Transfery międzynarodowe

Huddleboard dokonuje transferów podlegających ograniczeniom wyłącznie na udokumentowane polecenia i na podstawie prawidłowego mechanizmu rozdziału V RODO. Wykaz wskazuje państwa, odbiorców i właściwą decyzję o adekwatności albo zabezpieczenia, np. odpowiednie zawarte standardowe klauzule umowne, ocenę transferu i dodatkowe środki, gdy potrzebne. Hosting UE, klucz i akceptacja tej umowy nie stanowią zabezpieczenia. Trasa bez ustalonego pokrycia nie może przetwarzać Danych Klienta. Ta umowa sama nie zawiera SCC dotyczących transferu.

6. Prawa osób i pomoc

Uwzględniając charakter przetwarzania, Huddleboard pomaga Klientowi odpowiednimi środkami w realizacji dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i pozostałych właściwych praw osób. Przekazuje dotyczące Danych Klienta żądania bez zbędnej zwłoki i nie odpowiada w imieniu Klienta bez polecenia lub obowiązku prawnego. Żądania dotyczące własnego przetwarzania administratora Huddleboard obsługuje odrębnie.

Huddleboard udostępnia informacje i rozsądną pomoc w obowiązkach bezpieczeństwa Klienta, ocenach skutków i uprzednich konsultacjach, z uwzględnieniem dostępnych informacji. Klient odpowiada za swoje decyzje i terminy. Strony mogą z góry uzgodnić rozsądne opłaty za wyjątkową pomoc; nie mogą one utrudniać pomocy ustawowej ani naprawy własnego naruszenia Huddleboard.

7. Naruszenia ochrony danych

Huddleboard zawiadamia kontakt Klienta ds. prywatności bez zbędnej zwłoki po stwierdzeniu naruszenia Danych Klienta, bez czekania na pełne dochodzenie. W miarę dostępności podaje charakter, dane i osoby objęte zdarzeniem, przybliżone liczby, możliwe skutki, środki zaradcze i kontakt. Brakujące informacje przekazuje etapami bez zbędnej zwłoki. Ogranicza skutki, bada, dokumentuje i usuwa naruszenie oraz pomaga w wymaganych zawiadomieniach. Odpowiedzialność Klienta za zgłoszenia organom nie przechodzi na Huddleboard.

8. Zwrot, usunięcie i retencja

Po zakończeniu usług Klient wybiera zwrot lub usunięcie Danych Klienta. Przy zwrocie Huddleboard dostarcza uzgodniony użyteczny eksport, a następnie usuwa pozostałe kopie, chyba że prawo Unii lub państwa członkowskiego nakazuje przechowywanie. Wyłączenia eksportu są ujawniane, a potrzebne Dane Klienta dostarczane bezpiecznie odpowiednią metodą.

Podstawowe dane obszaru usuwa się w ciągu 30 dni od zweryfikowanego polecenia lub zakończenia usługi, z zastrzeżeniem wymaganej prawem retencji. Kopie zapasowe wygasają w ciągu 35 dni od podstawowego usunięcia, maksymalnie 65 dni od zdarzenia rozpoczynającego termin. W tym czasie są wyłączone ze zwykłego użycia; rejestr usunięć stosuje się przed udostępnieniem odtworzonych danych. Prawnie zatrzymane dane ogranicza się do celu i okresu. Na żądanie Huddleboard potwierdza wykonanie i wyjaśnia wyjątki.

Usunięcie konta nie usuwa wspólnych treści obszaru. Klient może osobno polecić usunięcie lub redakcję danych osobowych w nich. Cofnięcie klucza nie usuwa wcześniejszych danych dostawcy. Huddleboard pomaga w dalszym usuwaniu w granicach swojej roli i kontroli umownej; żądania do dostawcy bezpośredniego koordynuje z Klientem.

9. Rozliczalność i audyt

Huddleboard prowadzi wymagane rejestry i udostępnia informacje konieczne do wykazania zgodności. Umożliwia audyty, w tym inspekcje, przez Klienta lub upoważnionego niezależnego audytora i pomaga w nich. Rozsądne zawiadomienie, poufność i proporcjonalny zakres mogą chronić innych klientów i system, lecz nie mogą uniemożliwiać audytów wymaganych prawem, związanych z incydentem lub organem nadzorczym. Istniejące dowody wystarczają tylko, gdy rzeczywiście spełniają cel żądania. Umowa nie stwierdza certyfikacji ani niezależnego audytu.

10. Czas obowiązywania, pierwszeństwo i prawo

Umowa obowiązuje przez cały okres przechowywania Danych Klienta, także kopii. W sprawach tego przetwarzania ma pierwszeństwo przed sprzecznym regulaminem; pierwszeństwo przed nią mają przepisy bezwzględne i właściwe SCC. Zmiany wymagają pisemnego uzgodnienia poza zawiadomieniami dozwolonymi w pkt 4. Nic nie ogranicza praw osób i organów ani obowiązkowej odpowiedzialności RODO. Stosuje się prawo polskie bez wyłączenia obowiązkowej ochrony. Polska i angielska wersja stanowią jeden dokument; nie zmienia to pierwszeństwa przepisów i SCC.

Załącznik A — opis przetwarzania

Przedmiot i cel: wspólne planowanie i tworzenie oprogramowania przez tablice, zadania, komentarze, załączniki, repozytoria, AI i opcjonalne rozmowy głosowe. Czas i częstotliwość: ciągle podczas korzystania, następnie retencja z pkt 8. Osoby: personel, wykonawcy, współpracownicy Klienta i inne osoby, których dane Klient legalnie umieszcza w dozwolonych treściach. Dane: nazwiska, zawodowe dane kontaktowe, identyfikatory, autorstwo, aktywność, treści zadań, komentarzy i załączników, kod i uwagi, wyniki i ślady agentów. Przy wyraźnym włączeniu głosu także audio/kontekst rozmowy i przechowywane transkrypcje; bez upoważnienia do identyfikacji biometrycznej. Przekazuje się tylko dane potrzebne do operacji. Obszar wskazuje akceptacja, a połączenia — konfiguracja.

Załącznik B — środki bezpieczeństwa

Uwierzytelniony dostęp i autoryzacja obszaru, ograniczony dostęp administracyjny, szyfrowany transport produkcyjny, zaszyfrowane klucze z osobno zarządzanym sekretem szyfrowania oraz prywatne, szyfrowane przechowywanie i kopie produkcyjne. Uprawnione usługi mogą odszyfrować klucz w pamięci; nie jest to end-to-end wobec operatora. Ponadto ograniczone uprawnienia agentów, limity uruchomień, przeglądalna aktywność, kontrola zmian, obsługa incydentów i logi bez celowego zapisu kluczy, surowych kodów i treści obszaru. Logi bezpieczeństwa najwyżej 30 dni; wygasłe dowody logowania usuwane w ciągu 24 godzin od wygaśnięcia. Dostęp cofany, gdy zbędny. Odtwarzanie i usuwanie testowane przed produkcją i po istotnych zmianach; dowody dostępne według pkt 9.

Załącznik C — wykaz usług

AWS: skonfigurowany hosting, pliki, baza, logi i e-mail, region Frankfurt. Cloudflare: DNS; DNS-only nie ujawnia treści HTTP. GitHub: repozytoria Klienta. OpenRouter i wybrany łańcuch modeli: wnioskowanie przez konto Klienta. OpenAI: opcjonalny głos przez konto Klienta, gdy taki układ jest dozwolony. Opcjonalne logowanie Google opisano osobno w informacji o prywatności; jego samo istnienie nie czyni Google dalszym podmiotem dla treści obszaru.

Huddleboard utrzymuje i udostępnia dokładne tożsamości odbiorców, role, lokalizacje i zabezpieczenia usług, które angażuje. Wypełnia pkt 4 i 5 przed przekazaniem im Danych Klienta. Wykaz nie zapewnia wyłącznego przetwarzania w UE, certyfikacji ani ogólnego zatwierdzenia wszystkich modeli katalogu. Usługi Klienta podlegają pkt 4 i własnym umowom. Standardowy wykaz nie wymaga negocjowania ani podpisania osobnego załącznika, ale nie zwalnia Huddleboard z weryfikacji umów i transferów. Zmiany podlegają pkt 4, w tym uprzedniemu zawiadomieniu i sprzeciwowi.