Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony

Administrator — Klient, czyli firma korzystająca z Bobr na podstawie Regulaminu.

Podmiot przetwarzający — Mykhailo Finiuk, przedsiębiorca prowadzący jednoosobową działalność gospodarczą na Słowacji (podnikateľ – SZČO), IČO 57950997, adres: Konštantínova 16038/1B, 080 01 Prešov, Słowacja, wpisany do Živnostenského registra Okresného úradu Prešov pod nr 750-73417 („Usługodawca”).

Umowa jest zawierana na podstawie art. 28 ust. 3 rozporządzenia (UE) 2016/679 („RODO”).

§ 2. Przedmiot, charakter i cel

1. Administrator powierza Usługodawcy przetwarzanie danych osobowych wprowadzanych do Bobr wyłącznie w celu świadczenia usług opisanych w Regulaminie: przechowywania, porządkowania, wyświetlania uprawnionym Użytkownikom, wyszukiwania, wysyłania powiadomień i kodów, generowania dokumentów i raportów, podpisywania dokumentów, eksportu i usuwania danych.
2. Przetwarzanie odbywa się w sposób zautomatyzowany, w systemie informatycznym Bobr.

§ 3. Rodzaj danych i kategorie osób

Kategorie osób: pracownicy i zleceniobiorcy Administratora, kandydaci do pracy, brygadziści, pracownicy biura, rekruterzy i współpracownicy B2B, osoby zatrudnione przez podwykonawców, przedstawiciele klientów i kontrahentów, osoby kontaktowe w razie wypadku, osoby podpisujące dokumenty.

• dane identyfikacyjne i kontaktowe: imię, nazwisko, data urodzenia, obywatelstwo, telefon, e-mail, adres, zdjęcie;
• dane z dokumentów: numer i data ważności paszportu, wizy, karty pobytu, zezwolenia na pracę, zaświadczenia A1, PESEL, numery identyfikacji podatkowej, skany dokumentów;
• dane zatrudnienia i rozliczeń: stanowisko, rodzaj umowy, stawki, godziny pracy, obecności i nieobecności, wynagrodzenia, zaliczki, potrącenia, kary i mandaty, numer rachunku bankowego;
• dane o zakwaterowaniu, przydzielonych autach i narzędziach;
• dane o zdrowiu w ograniczonym zakresie: informacja o zwolnieniu lekarskim i jego okresie, termin ważności badań lekarskich (szczególna kategoria danych — art. 9 RODO, przetwarzana przez Administratora na podstawie art. 9 ust. 2 lit. b RODO);
• treść wiadomości w czatach, zdjęcia paragonów, raportów i protokołów;
• dane podpisu elektronicznego: odręczny podpis złożony na ekranie, czas, adres IP, informacja o urządzeniu, kod potwierdzający.

Administrator nie wprowadza do Bobr innych szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO), chyba że jest do tego uprawniony i wcześniej uzgodni to z Usługodawcą.

§ 4. Czas przetwarzania

Przez czas obowiązywania umowy o korzystanie z Bobr oraz 30 dni po jej zakończeniu (na pobranie danych przez Administratora). Następnie dane są usuwane, w tym z kopii zapasowych w ich cyklu rotacji — nie dłużej niż 35 dni — chyba że prawo Unii lub państwa członkowskiego nakazuje ich przechowywanie.

§ 5. Obowiązki Usługodawcy

1. Przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem jest w szczególności korzystanie z funkcji Bobr przez Administratora i Użytkowników. Jeżeli polecenie narusza prawo, Usługodawca niezwłocznie informuje o tym Administratora.
2. Zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy.
3. Stosuje środki bezpieczeństwa wymagane przez art. 32 RODO, opisane w § 9.
4. Pomaga Administratorowi, w miarę możliwości technicznych, w realizacji praw osób (dostęp, sprostowanie, usunięcie, ograniczenie, przeniesienie, sprzeciw) — w szczególności przez funkcje edycji, eksportu i usuwania danych w programie. Wnioski osób, które trafią do Usługodawcy, przekazuje Administratorowi niezwłocznie, nie później niż w 5 dni roboczych.
5. Pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje.
6. Po zakończeniu świadczenia usług, zależnie od decyzji Administratora, umożliwia pobranie danych i je usuwa (§ 4).
7. Udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia przeprowadzanie audytów (§ 8).

§ 6. Dalsze powierzenie (podprzetwarzający)

1. Administrator udziela ogólnej zgody na korzystanie przez Usługodawcę z dalszych podmiotów przetwarzających. Aktualna lista:

   Podmiot	Zakres	Lokalizacja / podstawa przekazania
   Supabase Pte. Ltd. (Singapur), infrastruktura Amazon Web Services	baza danych, logowanie, przechowywanie plików	region UE — Frankfurt nad Menem; dostęp serwisowy spoza EOG na podstawie standardowych klauzul umownych (decyzja Komisji (UE) 2021/914)
   Netlify, Inc. (USA)	hosting aplikacji, dostarczanie plików programu, logi serwera	EU-US Data Privacy Framework i standardowe klauzule umowne

2. O zamiarze dodania lub zmiany podprzetwarzającego (np. operatora SMS lub poczty e-mail) Usługodawca informuje w programie co najmniej 14 dni wcześniej. Administrator może wnieść sprzeciw; jeżeli strony się nie porozumieją, Administrator może wypowiedzieć umowę ze skutkiem natychmiastowym i otrzymać zwrot opłat za niewykorzystany okres.
3. Usługodawca nakłada na podprzetwarzających te same obowiązki ochrony danych co w tej umowie i odpowiada za ich wykonanie wobec Administratora.

§ 7. Naruszenia ochrony danych

Usługodawca zgłasza Administratorowi stwierdzone naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, w programie oraz telefonicznie, podając — w miarę dostępności — informacje wymagane przez art. 33 ust. 3 RODO, i współpracuje przy jego wyjaśnieniu. Zgłoszenie do organu nadzorczego i zawiadomienie osób należy do Administratora.

§ 8. Audyty

Administrator może raz w roku, a także po naruszeniu ochrony danych, przeprowadzić audyt lub inspekcję, samodzielnie lub przez audytora zobowiązanego do poufności, po zawiadomieniu co najmniej 14 dni wcześniej, w godzinach pracy i bez zakłócania działania usługi. W pierwszej kolejności Usługodawca odpowiada na pytania na piśmie i przekazuje dokumentację. Koszty audytu ponosi Administrator.

§ 9. Środki bezpieczeństwa

• szyfrowanie połączeń (HTTPS/TLS) i szyfrowanie danych w spoczynku po stronie dostawcy infrastruktury;
• logowanie jednorazowym kodem (SMS lub e-mail);
• logiczne oddzielenie danych każdej firmy (reguły dostępu na poziomie wierszy bazy danych);
• role i uprawnienia nadawane przez Administratora, w tym ukrywanie kwot i danych finansowych;
• kopie zapasowe i możliwość odtworzenia danych;
• oznaczanie zmian wprowadzonych za inną osobę (np. godzin wpisanych przez brygadzistę) oraz historia zdarzeń podpisu z odciskiem SHA-256 dokumentu;
• ograniczenie dostępu personelu Usługodawcy do danych Administratora do przypadków zgłoszeń serwisowych.

§ 10. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność stron wobec osób, których dane dotyczą, określa art. 82 RODO. W relacji między stronami stosuje się postanowienia Regulaminu o odpowiedzialności, z wyjątkiem szkód wyrządzonych umyślnie.
2. Umowa obowiązuje przez czas obowiązywania umowy o korzystanie z Bobr. W sprawach nieuregulowanych stosuje się RODO, Regulamin i prawo polskie.
3. W razie sprzeczności między tą umową a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma ta umowa.