Umowa powierzenia przetwarzania danych osobowych

1. Strony

Administratorem jest organizacja założona w serwisie przez osobę, która zaznaczyła akceptację tej umowy. Podmiotem przetwarzającym jest Usługodawca, wskazany w ramce „Administrator danych” na początku tej strony. Umowa jest zawarta w chwili założenia organizacji; wersja i czas akceptacji są zapisane.

2. Przedmiot i czas trwania

Podmiot przetwarzający przetwarza dane osobowe powierzone przez Administratora w związku z usługą opisaną w Regulaminie. Umowa obowiązuje tak długo, jak trwa umowa o korzystanie z serwisu.

3. Charakter i cel przetwarzania

Przetwarzanie obejmuje przechowywanie, udostępnianie Administratorowi i jego użytkownikom, porządkowanie, szyfrowanie, tworzenie kopii zapasowych i usuwanie danych. Celem jest umożliwienie Administratorowi prowadzenia spraw swoich klientów lub własnej firmy w serwisie.

4. Rodzaje danych

Dane identyfikacyjne i kontaktowe osób, dane firm i dokumenty wprowadzone przez Administratora, w szczególności:

• imię, nazwisko, adres e-mail i telefon osób kontaktowych i reprezentantów,
• numery NIP, REGON, KRS oraz dane z rejestrów publicznych,
• dokumenty przesłane przez Administratora (na przykład faktury), które mogą zawierać dane osobowe pracowników, kontrahentów i klientów,
• dane o okresach niezdolności do pracy z systemu ZUS (zakres: osoba, okres, status, seria i numer zaświadczenia), jeśli Administrator włączy tę funkcję.
• Administrator nie powinien wprowadzać danych szczególnych kategorii ani danych o wyrokach, poza wynikającymi z funkcji, które sam włączył.

5. Kategorie osób

Klienci Administratora i osoby ich reprezentujące, pracownicy i współpracownicy klientów, kontrahenci klientów, pracownicy Administratora oraz osoby prowadzące jednoosobową działalność gospodarczą.

6. Polecenia Administratora

Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są postanowienia tej umowy, Regulaminu oraz działania Administratora w serwisie (na przykład wprowadzenie, eksport lub usunięcie danych). Jeżeli prawo UE lub prawo państwa członkowskiego nakłada obowiązek przetwarzania, podmiot przetwarzający poinformuje o tym Administratora przed przetwarzaniem, chyba że prawo zakazuje takiej informacji.

Jeżeli zdaniem podmiotu przetwarzającego polecenie narusza przepisy o ochronie danych, niezwłocznie o tym poinformuje Administratora.

7. Poufność

Podmiot przetwarzający zapewni, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi poufności.

8. Środki bezpieczeństwa

Podmiot przetwarzający stosuje środki techniczne i organizacyjne właściwe do ryzyka (art. 32 RODO), w szczególności:

• szyfrowanie dokumentów i pól wrażliwych, z kluczami poza serwerem aplikacji,
• logowanie z drugim składnikiem, role i rozdzielenie danych organizacji,
• kontrolę antywirusową plików, dziennik zdarzeń bezpieczeństwa i zaszyfrowane kopie zapasowe,
• powiadomienia zewnętrzne bez treści dokumentów i kwot.

9. Dalsze powierzenie

Administrator wyraża ogólną zgodę na korzystanie z dalszych podmiotów przetwarzających. Obecnie są to: dostawca hostingu serwera (Contabo), dostawca usług chmurowych Scaleway (klucz szyfrowania i zaszyfrowane kopie zapasowe), dostawca poczty elektronicznej Resend (wiadomości o zdarzeniach) oraz, jeśli użytkownik powiąże konto, komunikator Telegram.

O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego podmiot przetwarzający powiadomi Administratora pocztą elektroniczną z wyprzedzeniem co najmniej 14 dni; Administrator może wówczas wnieść sprzeciw, a jeśli się nie uda go uwzględnić, rozwiązać umowę o korzystanie z serwisu. Na dalsze podmioty nakładane są te same obowiązki ochrony danych.

10. Pomoc przy prawach osób, których dane dotyczą

Podmiot przetwarzający, w miarę możliwości, pomaga Administratorowi odpowiadać na żądania osób korzystających z ich praw (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw), między innymi przez funkcje eksportu i usuwania w serwisie. Żądanie otrzymane bezpośrednio przekaże Administratorowi.

11. Pomoc przy obowiązkach z art. 32–36 RODO

Podmiot przetwarzający pomaga Administratorowi w wypełnieniu obowiązków dotyczących bezpieczeństwa przetwarzania, zgłaszania naruszeń, oceny skutków dla ochrony danych i konsultacji z organem nadzorczym, uwzględniając charakter przetwarzania i dostępne mu informacje.

12. Naruszenia ochrony danych

Po stwierdzeniu naruszenia ochrony danych osobowych podmiot przetwarzający zgłosi je Administratorowi bez zbędnej zwłoki, podając dostępne informacje o charakterze naruszenia, jego skutkach i podjętych środkach.

13. Usunięcie lub zwrot danych

Po zakończeniu umowy podmiot przetwarzający, według wyboru Administratora, zwróci dane (eksport z serwisu) i usunie je, chyba że prawo wymaga ich dalszego przechowywania. Dane zostaną usunięte bez zbędnej zwłoki, nie później niż w ciągu 30 dni od rozwiązania umowy.

Z zaszyfrowanych kopii zapasowych dane znikają zgodnie z cyklem ich rotacji, najpóźniej po 56 dniach.

14. Audyt i informacje

Podmiot przetwarzający udostępni Administratorowi informacje niezbędne do wykazania wypełnienia obowiązków z art. 28 RODO i umożliwi audyty, w tym inspekcje, przeprowadzane przez Administratora lub wskazanego przez niego audytora, po uprzednim uzgodnieniu terminu i zakresu, tak aby nie naruszać bezpieczeństwa danych innych organizacji.