Polityka Prywatności

1. Administrator danych

Administratorem danych osobowych przetwarzanych w związku z korzystaniem z Kadromatu jest podmiot wskazany poniżej.

2. Jakie dane przetwarzamy

W związku ze świadczeniem Usługi przetwarzamy kilka kategorii danych osobowych, w zależności od tego, w jakiej roli i w jakim celu zostały nam powierzone.

Dane konta — podawane samodzielnie przy rejestracji przez Klienta: imię i nazwisko Administratora Firmy, adres e-mail, hasło (przechowywane wyłącznie jako skrót/hash, nigdy w postaci jawnej), NIP oraz nazwa firmy.

Dane techniczne — adres IP oraz wynik weryfikacji antybotowej Cloudflare Turnstile, zapisywane w trakcie procesu rejestracji w celu ochrony przed nadużyciami. Adres IP zapisujemy również każdorazowo, gdy Użytkownik (ponownie) akceptuje dokumenty prawne już po rejestracji — np. w związku z aktualizacją treści Regulaminu, Polityki Prywatności lub Umowy Powierzenia — jako element dziennika akceptacji, o którym mowa w punkcie 5.

Dane pracowników Klienta — imię i nazwisko, staż pracy, wymiar etatu oraz historia wniosków urlopowych, w tym zwolnień lekarskich, które stanowią dane dotyczące zdrowia w rozumieniu art. 9 RODO. Dane te wprowadza do systemu Klient, który w stosunku do nich pozostaje administratorem danych. W tym zakresie Kadromat działa wyłącznie jako podmiot przetwarzający, na podstawie odrębnej Umowy Powierzenia Przetwarzania Danych — nigdy jako administrator tych danych.

Dokumenty pracownicze (kartoteka pracownika) — pliki wprowadzane do systemu przez Klienta w ramach elektronicznej kartoteki pracownika: umowy, wyniki okresowych badań lekarskich, zaświadczenia o ukończeniu szkoleń BHP oraz inne dokumenty kadrowe wraz z opcjonalną datą ważności. Wyniki badań lekarskich stanowią dane dotyczące zdrowia w rozumieniu art. 9 RODO. Podobnie jak pozostałe dane pracowników Klienta, Kadromat przetwarza te dokumenty wyłącznie jako podmiot przetwarzający, na podstawie Umowy Powierzenia Przetwarzania Danych, a dostęp do nich jest ograniczony zgodnie z rolą użytkownika (pracownik widzi wyłącznie własne dokumenty; menedżer — dokumenty swojego zespołu; administrator firmy — wszystkie).

Dane statystyczne (zanonimizowane) — w celu analizy ruchu na stronie gromadzimy zagregowane statystyki odwiedzin: odwiedzane podstrony, źródło wejścia (strona odsyłająca), przybliżony kraj oraz typ przeglądarki i urządzenia. Adres IP nie jest przechowywany w postaci jawnej — służy wyłącznie do jednorazowego, nieodwracalnego wyliczenia identyfikatora sesji, ważnego 24 godziny, i nie jest zapisywany. Statystyki nie pozwalają na identyfikację konkretnej osoby ani na śledzenie użytkownika między różnymi stronami internetowymi.

3. Cele i podstawy prawne przetwarzania

Dane osobowe przetwarzamy w następujących celach i na następujących podstawach prawnych:

• wykonanie umowy o świadczenie Usługi, w tym założenie i obsługa konta Klienta — art. 6 ust. 1 lit. b RODO;
• wypełnienie obowiązków podatkowych i rachunkowych ciążących na Operatorze — art. 6 ust. 1 lit. c RODO;
• zapobieganie nadużyciom, w szczególności poprzez weryfikację antybotową oraz blokowanie rejestracji z użyciem domen jednorazowych (tzw. disposable e-mail) — na podstawie prawnie uzasadnionego interesu Operatora, art. 6 ust. 1 lit. f RODO;
• prowadzenie zanonimizowanych statystyk odwiedzin strony w celu oceny skuteczności działań promocyjnych — na podstawie prawnie uzasadnionego interesu Operatora, art. 6 ust. 1 lit. f RODO.

4. Odbiorcy danych

Dane osobowe mogą być ujawniane następującym kategoriom odbiorców, wyłącznie w zakresie niezbędnym do realizacji wskazanych celów:

• dostawcy poczty elektronicznej — w celu wysyłki wiadomości weryfikujących adres e-mail;
• Cloudflare, Inc. — w celu weryfikacji antybotowej (Cloudflare Turnstile);
• dostawca usług hostingowych — Hetzner Online GmbH (Niemcy).

Dostawca usług hostingowych (Hetzner Online GmbH) przetwarza dane wyłącznie na terenie Unii Europejskiej (Niemcy), a więc w ramach Europejskiego Obszaru Gospodarczego. Cloudflare, Inc. ma siedzibę w USA, poza Europejskim Obszarem Gospodarczym — przekazanie danych do tego dostawcy odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, stanowiących element umowy powierzenia zawartej z tym dostawcą.

5. Okres przechowywania

Dane konta przechowujemy przez okres obowiązywania umowy o świadczenie Usługi, a po jej zakończeniu — przez dodatkowy okres 5 lat, niezbędny do celów rozliczeniowych oraz dochodzenia lub obrony przed roszczeniami.

Dane pracowników Klienta przechowujemy zgodnie z instrukcjami Klienta jako administratora tych danych oraz zgodnie z przepisami Kodeksu pracy dotyczącymi okresu przechowywania dokumentacji pracowniczej — co do zasady 10 lat.

Dziennik akceptacji dokumentów prawnych — informacja o tym, który dokument, w której wersji, kiedy i z jakiego adresu IP został zaakceptowany — przechowujemy przez cały okres posiadania konta oraz przez ten sam dodatkowy okres co pozostałe dane konta, o którym mowa powyżej. Stanowi on bowiem dowód udzielenia zgody i wykonania obowiązku informacyjnego wobec Administratora Firmy, zgodnie z zasadą rozliczalności wyrażoną w art. 5 ust. 2 RODO.

Zanonimizowane dane statystyczne odwiedzin przechowujemy przez 14 miesięcy od wygenerowania, a następnie automatycznie usuwamy.

6. Prawa osoby, której dane dotyczą

Każdej osobie, której dane dotyczą, przysługuje prawo do:

• dostępu do swoich danych osobowych;
• sprostowania (poprawiania) danych;
• usunięcia danych;
• ograniczenia przetwarzania;
• przenoszenia danych;
• wniesienia sprzeciwu wobec przetwarzania;
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO).

7. Bezpieczeństwo danych

Stosujemy techniczne i organizacyjne środki bezpieczeństwa adekwatne do ryzyka, w tym: szyfrowanie transmisji danych protokołem TLS, hasła przechowywane wyłącznie jako skrót (hash), nigdy w postaci jawnej, oraz kontrolę dostępu do danych opartą na rolach (role-based access control), tak aby dostęp miały wyłącznie osoby, którym jest on niezbędny do wykonywania obowiązków.

8. Zmiany polityki

Zastrzegamy sobie prawo do zmiany niniejszej Polityki Prywatności, w szczególności w związku ze zmianą zakresu przetwarzanych danych, zmianą obowiązujących przepisów prawa lub zmianami organizacyjnymi i technicznymi po stronie Operatora. O planowanej zmianie informujemy z co najmniej 14-dniowym wyprzedzeniem przed jej wejściem w życie, za pośrednictwem powiadomienia w Usłudze lub wiadomości e-mail skierowanej do Administratora Firmy.

W przypadku zmian o charakterze istotnym dalsze korzystanie z Usługi wymaga zapoznania się z aktualną wersją Polityki Prywatności przy najbliższym logowaniu — na zasadach opisanych szczegółowo w § 9 Regulaminu.

9. Kontakt

W sprawach dotyczących ochrony danych osobowych, w tym w celu realizacji praw opisanych w punkcie 6, prosimy o kontakt pod adresem rodo@kadromat.pro.

Informacje o plikach cookies wykorzystywanych przez Usługę znajdziesz w osobnym dokumencie: Pliki cookies.