Umowa powierzenia przetwarzania danych osobowych

01Strony i role

ADMINISTRATOREM danych wprowadzonych do przestrzeni jest KLIENT — podmiot, dla którego przestrzeń została założona. To on decyduje o celach i sposobach przetwarzania.

Jeżeli klient prowadzi w przestrzeni projekty, w których sam przetwarza dane w imieniu swojego kontrahenta, administratorem pozostaje ten kontrahent, klient jest wobec niego podmiotem przetwarzającym, a my — dalszym podmiotem przetwarzającym. Klient oświadcza, że ma w takim wypadku zgodę administratora na dalsze powierzenie; niniejsza umowa stosuje się wtedy odpowiednio.

PODMIOTEM PRZETWARZAJĄCYM jest Jacek Bobowik „JCBSOFT", ul. Jabłoniowa 9, 39-400 Tarnobrzeg, NIP 8671007677 (dalej „JCBSOFT"). Przetwarzamy dane wyłącznie w celu świadczenia usługi i wyłącznie na polecenie klienta.

Umowa zostaje zawarta z chwilą jej zaakceptowania przy uruchomieniu przestrzeni i trwa tak długo, jak trwa umowa o korzystanie z usługi, a po jej zakończeniu — przez okresy przechowywania opisane w sekcji o usunięciu danych.

02Przedmiot i cel przetwarzania

Przedmiotem przetwarzania jest obsługa portfela projektów klienta: prowadzenie rejestrów projektów, ryzyk, zmian, decyzji, dokumentów, czasu pracy i nieobecności, a także udostępnianie raportów wskazanym przez klienta odbiorcom. Operacje obejmują zbieranie, przechowywanie, porządkowanie, przeglądanie, udostępnianie, eksportowanie i usuwanie danych.

Celem jest wyłącznie świadczenie usługi w zakresie wybranym przez klienta. Nie wykorzystujemy powierzonych danych do własnych celów, w szczególności do rozwoju produktu na danych klienta, profilowania ani marketingu.

03Rodzaj danych

Dane identyfikacyjne i kontaktowe użytkowników: imię i nazwisko, adres e-mail, login, rola w organizacji, stanowisko, numer telefonu, jeżeli klient go wprowadzi.

Dane o pracy: ewidencja czasu pracy, przypisania do projektów i zadań, nieobecności (urlop, choroba, szkolenie, inna), stawki rozliczeniowe, jeżeli klient je prowadzi.

Treści wprowadzone przez użytkowników: opisy, komentarze, notatki, załączniki, protokoły i wpisy dziennika zdarzeń. Są to pola o treści dowolnej i ich zawartość zależy od klienta.

Dane osób trzecich, które klient wprowadzi do rejestrów: interesariusze, osoby kontaktowe u kontrahentów, odbiorcy materiałów udostępnianych przez portal interesariusza.

04Kategorie osób, których dane dotyczą

Pracownicy, współpracownicy i podwykonawcy klienta korzystający z przestrzeni.

Osoby wskazane przez klienta w danych projektowych, które same z usługi nie korzystają.

Osoby, którym klient udostępnia materiały przez portal interesariusza.

05Dane szczególnej kategorii

Moduł nieobecności dopuszcza oznaczenie nieobecności jako CHOROBOWEJ. Taka informacja, przypisana do konkretnej osoby, jest daną dotyczącą zdrowia w rozumieniu art. 9 RODO. Pole notatki przy nieobecności jest wolnym tekstem i również może zawierać takie dane.

Decyzja o korzystaniu z tej funkcji należy do klienta i na nim spoczywa obowiązek zapewnienia podstawy przetwarzania. Jeżeli klient z niej korzysta, przetwarzamy te dane wyłącznie w zakresie niezbędnym do działania usługi, z uwzględnieniem podwyższonego ryzyka wynikającego z ich charakteru. Zalecamy, by notatka przy nieobecności zawierała wyłącznie informacje potrzebne do jej ewidencji i nie opisywała stanu zdrowia osoby.

06Polecenia administratora

Przetwarzamy dane wyłącznie na udokumentowane polecenie klienta. Poleceniem są: korzystanie z usługi zgodnie z jej przeznaczeniem, konfiguracja przestrzeni dokonana przez klienta oraz odrębne wnioski kierowane na adres podany niżej.

Jeżeli uznamy, że polecenie narusza RODO lub inne przepisy o ochronie danych, niezwłocznie o tym poinformujemy i możemy wstrzymać jego wykonanie do wyjaśnienia.

Od zasady działania wyłącznie na polecenie klienta istnieje jeden wyjątek: przetwarzanie wymagane prawem Unii Europejskiej albo prawem polskim. W takim wypadku informujemy klienta o tym wymogu przed przetwarzaniem, chyba że prawo tego zakazuje. Usługi serwerowe, baza danych i składowanie plików działają w Unii Europejskiej; przypadki, w których dane mogą być dostępne spoza Europejskiego Obszaru Gospodarczego, oraz podstawy takiego dostępu opisuje polityka prywatności.

07Poufność i upoważnienia

Do danych klienta dopuszczamy wyłącznie osoby, którym dostęp jest niezbędny do świadczenia usługi, na podstawie upoważnienia i po zobowiązaniu do zachowania poufności. Zobowiązanie wiąże także po zakończeniu współpracy.

Dostęp personelu do danych przestrzeni odbywa się przez wyodrębnione konta, a czynności operatorskie dotyczące przestrzeni są zapisywane w śladzie operatorskim.

08Środki bezpieczeństwa

Stosujemy środki techniczne i organizacyjne odpowiadające ryzyku, zapewniające rozdzielenie danych poszczególnych klientów, ograniczenie dostępu zgodnie z nadanymi uprawnieniami, ochronę danych uwierzytelniających i kluczy dostępowych, rejestrowanie istotnych operacji oraz szyfrowanie transmisji.

Rozdzielenie danych klientów egzekwujemy w warstwie bazy danych, a nie wyłącznie w aplikacji; celem jest, by dane jednej przestrzeni nie były dostępne z poziomu innej. Uprawnienia techniczne są rozdzielone zgodnie z zasadą najmniejszego potrzebnego dostępu — składnik wystawiony do internetu ma uprawnienia ograniczone do obsługi żądań użytkownika.

Dostęp do aplikacji wymaga uwierzytelnienia u dostawcy tożsamości, odrębnego dla każdej przestrzeni. Liczba nieudanych prób logowania jest ograniczana, sesja jest utrzymywana w sposób niedostępny dla skryptów strony, a transmisja odbywa się wyłącznie kanałem szyfrowanym.

Istotne operacje zapisujemy w dzienniku zabezpieczonym przed zmianą pojedynczego wpisu. Wpisy usuwane są razem z całą przestrzenią albo na polecenie klienta, który może we własnej przestrzeni usunąć wpisy starsze niż wybrana przez siebie liczba dni, nie mniejsza niż 30.

Szczegółowy i aktualny opis zastosowanych środków jest dokumentem poufnym; przekazujemy go na wniosek klienta w trybie opisanym w sekcji o informacjach i audycie. W treści umowy pozostają kategorie środków, ponieważ ich konkretna postać zmienia się wraz z rozwojem usługi.

09Dalsze powierzenie

Klient wyraża ogólną zgodę na korzystanie przez nas z podwykonawców. Na dzień zawarcia umowy są to:

• Vercel Inc. (Delaware, Stany Zjednoczone) — hostowanie warstwy frontowej (statyczne strony i aplikacja przeglądarkowa).

• Scaleway SAS (Francja) — hostowanie usług serwerowych i dostawcy tożsamości, w regionie Warszawa.

• Supabase Pte. Ltd. (Singapur) — baza danych i składowanie plików, w regionie Unii Europejskiej.

• Prociv Sp. z o.o. (Wrocław, NIP 8971776931) — serwis domenomania.pl — wysyłka wiadomości systemowych pocztą elektroniczną.

Na dalszy podmiot przetwarzający nakładamy w umowie te same obowiązki ochrony danych, które wynikają z tej umowy. Odpowiadamy wobec klienta za wykonanie przez ten podmiot obowiązków ochrony powierzonych danych zgodnie z art. 28 ust. 4 RODO.

O zamiarze dodania albo zmiany podwykonawcy informujemy z co najmniej 14-dniowym wyprzedzeniem, na adres właściciela przestrzeni. Klient może w tym czasie wnieść uzasadniony sprzeciw; jeżeli nie da się go uwzględnić, klient może wypowiedzieć umowę o korzystanie z usługi ze skutkiem na dzień wejścia zmiany.

10Integracje z dostawcami AI

Funkcje wspierane sztuczną inteligencją są wyłączone domyślnie i działają tylko wtedy, gdy klient sam je włączy, podając własny klucz dostępowy. Bez klucza klienta nie przekazujemy dostawcy żadnych danych.

UMOWĘ Z DOSTAWCĄ AI ZAWIERA KLIENT i jest jej stroną; dostawca działa na podstawie warunków zaakceptowanych przez klienta i rozlicza się z klientem. Nie zawieramy z dostawcą umowy we własnym imieniu ani nie korzystamy z niego do własnych celów.

PRZEKAZANIE TREŚCI DOSTAWCY JEST JEDNAK NASZYM PRZETWARZANIEM i objęte jest tą umową. Żądanie wychodzi z naszej usługi: pobieramy treść objętą konkretnym poleceniem użytkownika, dołączamy klucz klienta i przekazujemy ją dostawcy w chwili wywołania funkcji. Treści żądania ani odpowiedzi nie utrwalamy poza przestrzenią klienta — w dzienniku zostaje sam fakt wywołania wraz z dostawcą, modelem, przeznaczeniem i liczbą znaków.

Dopuszczamy wyłącznie dostawców, których warunki wykluczają trenowanie modeli na treści klienta, przewidują umowę powierzenia i określają retencję. Stan dopuszczeń opisuje polityka prywatności, a warunek jest egzekwowany w systemie, nie tylko zadeklarowany w dokumencie.

11Pomoc przy prawach osób

Udostępniamy klientowi narzędzia wspierające realizację żądań osób, których dane dotyczą — wgląd, poprawienie, usunięcie i eksport danych z jego przestrzeni — oraz zapewniamy mu niezbędną pomoc.

Jeżeli żądanie wymaga naszego działania, wykonujemy je bez zbędnej zwłoki po wniosku klienta skierowanym na adres biuro@jcbsoft.pl.

Jeżeli żądanie osoby trafi bezpośrednio do nas, nie rozpatrujemy go samodzielnie — przekazujemy je klientowi i informujemy o tym osobę, która je złożyła.

12Naruszenia ochrony danych

O naruszeniu ochrony powierzonych danych zawiadamiamy klienta bez zbędnej zwłoki po jego stwierdzeniu, na adres właściciela przestrzeni.

Zawiadomienie zawiera opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, których dotyczy, opisane skutki i podjęte albo proponowane środki zaradcze — w zakresie, w jakim informacjami tymi dysponujemy w chwili zawiadomienia. Pozostałe przekazujemy sukcesywnie, w miarę ich ustalania.

Zgłoszenie naruszenia organowi nadzorczemu i powiadomienie osób należy do klienta jako administratora. Udzielamy mu w tym pomocy w zakresie, w jakim dysponujemy informacjami.

13Informacje i audyt

Udostępniamy klientowi informacje niezbędne do wykazania zgodności przetwarzania z obowiązkami z art. 28 RODO oraz umożliwiamy audyty, w tym inspekcje, prowadzone przez klienta albo upoważnionego przez niego audytora, i współpracujemy przy nich.

Weryfikacja odbywa się w pierwszej kolejności na podstawie dokumentacji, co nie wyłącza prawa do inspekcji. Audyty planowe odbywają się nie częściej niż raz w roku kalendarzowym, po zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, w dni robocze. Ograniczenia te nie obowiązują, gdy dodatkowy audyt jest uzasadniony naruszeniem ochrony danych dotyczącym przestrzeni klienta albo żądaniem właściwego organu nadzorczego.

Audyt odbywa się z zachowaniem poufności, ochrony danych innych klientów i tajemnicy przedsiębiorstwa oraz przy ograniczeniu zakłóceń w świadczeniu usługi.

Pomagamy klientowi wykonywać obowiązki z art. 32–36 RODO — w zabezpieczeniu przetwarzania, zgłaszaniu naruszeń, ocenie skutków dla ochrony danych i w uprzednich konsultacjach z organem nadzorczym — stosownie do charakteru przetwarzania i informacji, którymi dysponujemy.

14Usunięcie i zwrot danych

Po zakończeniu umowy o korzystanie z usługi przestrzeń przechodzi na 14 dni w tryb wyłącznie do odczytu, co pozwala klientowi samodzielnie wyeksportować dane. Następnie przechowujemy je jeszcze 6 miesięcy, po czym usuwamy z systemów roboczych.

Usunięcie przed upływem tego terminu następuje na żądanie klienta zgłoszone z adresu właściciela przestrzeni.

Kopie zapasowe BAZY DANYCH wykonywane są codziennie i przechowywane nie dłużej niż 7 dni. Danych nie da się usunąć z istniejącej kopii, więc znikają z niej wraz z jej wygaśnięciem.

Treść plików przechowywana jest w magazynie obiektowym i NIE jest objęta kopią bazy danych. Usuniętego pliku nie przywrócimy w ramach usługi — nie dysponujemy jego kopią.

Po odtworzeniu wcześniejszej kopii ponownie wykonujemy dyspozycje usunięcia wydane po jej sporządzeniu — zarówno usunięcia całych przestrzeni, jak i usunięcia kont osób. Jest to stały krok procedury odtwarzania, a nie czynność na życzenie: dyspozycje zapisujemy poza bazą danych, zanim usunięcie nastąpi, więc odtworzenie kopii ich nie wymazuje.

Nie obejmuje to usunięć pojedynczych zapisów wewnątrz przestrzeni — na przykład projektu, dokumentu albo wpisu czasu pracy. O każdym odtworzeniu kopii zawiadamiamy klienta, a takie usunięcia powtarzamy na jego wniosek.

Z usunięcia wyłączone są WYŁĄCZNIE nasze własne dokumenty rozliczeniowe: faktury wystawione klientowi za usługę i związana z nimi ewidencja, których przechowywania wymagają przepisy podatkowe i o rachunkowości. Nie dotyczy to dokumentów ani danych wprowadzonych przez klienta do przestrzeni — te usuwamy na zasadach opisanych wyżej.

15Postanowienia końcowe

W sprawach ochrony danych powierzonych przez klienta niniejsza umowa ma pierwszeństwo przed regulaminem usługi. W pozostałym zakresie stosuje się regulamin oraz prawo polskie i RODO.

Zmiana tej umowy wymaga opublikowania nowej wersji i jej zaakceptowania. Wersja, którą klient zaakceptował, jest przechowywana razem z datą akceptacji i możliwa do pobrania.

Kontakt w sprawach ochrony danych: biuro@jcbsoft.pl.