Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony

1. Administrator: Klient, czyli przedsiębiorca, który założył konto firmy w Stafflog.
2. Podmiot przetwarzający: Krzysztof Krupa, os. Zielona 34, 32-440 Sułkowice, NIP: 6812060449, e-mail: kontakt@stafflog.pl.

§ 2. Przedmiot, charakter i cel

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych, które Administrator lub jego Użytkownicy wprowadzają do aplikacji Stafflog.
2. Celem przetwarzania jest wyłącznie świadczenie Usługi opisanej w Regulaminie: ewidencja godzin pracy, wyliczanie wynagrodzeń, zestawienia, powiadomienia i przechowywanie danych.
3. Przetwarzanie obejmuje zbieranie, zapisywanie, przechowywanie, porządkowanie, wyświetlanie, eksportowanie, wysyłanie powiadomień i usuwanie danych, w sposób zautomatyzowany.
4. Przetwarzanie trwa przez czas świadczenia Usługi i okres potrzebny na usunięcie danych (§ 9).

§ 3. Rodzaj danych i kategorie osób

Kategorie osób: pracownicy, zleceniobiorcy i inni współpracownicy Administratora, osoby zarządzające kontem firmy, klienci i kontrahenci Administratora wpisani do aplikacji.

Rodzaje danych:

• imię i nazwisko, login, adres e-mail, hasło (w postaci zaszyfrowanego skrótu),
• godziny rozpoczęcia i zakończenia pracy, dni pracy, rodzaje wykonywanych usług,
• stawki godzinowe i wyliczone kwoty wynagrodzeń,
• notatki do dni pracy, zdjęcia z pracy (jeśli Administrator z nich korzysta),
• dane klientów Administratora: nazwa, adres, notatki,
• historia zmian i identyfikatory powiadomień push.

Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO), np. danych o zdrowiu. Administrator nie powinien ich wprowadzać, w tym w notatkach.

§ 4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za takie polecenie strony uznają Regulamin, tę umowę oraz działania Administratora w aplikacji. Jeśli prawo wymaga innego przetwarzania, Podmiot przetwarzający poinformuje o tym Administratora, chyba że prawo tego zabrania,
2. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania ich w tajemnicy,
3. stosuje środki bezpieczeństwa z art. 32 RODO, w szczególności: szyfrowanie połączeń (HTTPS), przechowywanie haseł jako zaszyfrowanych skrótów, oddzielenie danych różnych Klientów, dostęp do bazy wyłącznie przez serwer aplikacji, regularne kopie zapasowe, ograniczenie dostępu administracyjnego do niezbędnych osób,
4. pomaga Administratorowi, w miarę możliwości, w odpowiadaniu na żądania osób, których dane dotyczą (np. dostęp, sprostowanie, usunięcie), oraz w wywiązywaniu się z obowiązków z art. 32–36 RODO,
5. udostępnia Administratorowi informacje potrzebne do wykazania spełnienia obowiązków z art. 28 RODO.

§ 5. Dalsze powierzenie (podprocesorzy)

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z innych podmiotów przetwarzających (podprocesorów). Aktualna lista:

2. O zamiarze dodania lub zmiany podprocesora Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw. Jeśli strony się nie porozumieją, Administrator może rozwiązać umowę ze skutkiem natychmiastowym.
3. Podmiot przetwarzający nakłada na podprocesorów te same obowiązki ochrony danych, które wynikają z tej umowy, i odpowiada za ich działania jak za własne.
4. Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie przy zachowaniu zabezpieczeń z rozdziału V RODO, w szczególności na podstawie EU-US Data Privacy Framework lub standardowych klauzul umownych.

§ 6. Naruszenia ochrony danych

Podmiot przetwarzający zawiadamia Administratora o stwierdzonym naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail konta firmy. Zawiadomienie zawiera informacje, które są w tym momencie dostępne: opis naruszenia, kategorie i przybliżoną liczbę osób, możliwe skutki i podjęte środki.

§ 7. Kontrola

Administrator może sprawdzić, czy Podmiot przetwarzający przestrzega tej umowy, w pierwszej kolejności przez pisemne pytania i prośby o dokumenty, na które Podmiot przetwarzający odpowiada w ciągu 14 dni. Audyt na miejscu jest możliwy po uzgodnieniu terminu z co najmniej 14-dniowym wyprzedzeniem, w godzinach pracy, nie częściej niż raz w roku (chyba że doszło do naruszenia), na koszt Administratora.

§ 8. Obowiązki Administratora

Administrator odpowiada za to, że ma podstawę prawną do przetwarzania danych wprowadzanych do aplikacji i że poinformował osoby, których dane dotyczą, o przetwarzaniu, w tym o korzystaniu ze Stafflog jako podmiotu przetwarzającego.

§ 9. Zakończenie przetwarzania

Po zakończeniu świadczenia Usługi Podmiot przetwarzający usuwa powierzone dane w ciągu 30 dni, a z kopii zapasowych w ciągu kolejnych 30 dni, chyba że prawo nakazuje ich dalsze przechowywanie. Przed usunięciem Administrator może pobrać dane, np. eksportując zestawienia, lub poprosić o ich przekazanie na kontakt@stafflog.pl.

§ 10. Postanowienia końcowe

1. Umowa obowiązuje przez czas trwania umowy o świadczenie Usługi.
2. Odpowiedzialność stron określa art. 82 RODO oraz Regulamin.
3. W sprawach nieuregulowanych stosuje się Regulamin, RODO i przepisy prawa polskiego. W razie sprzeczności z Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma ta umowa.
4. Na prośbę Administratora Podmiot przetwarzający może zawrzeć tę umowę również w formie dokumentu podpisanego przez obie strony.