Umowa Powierzenia Przetwarzania Danych

1. Strony i definicje

Niniejsza Umowa Powierzenia Przetwarzania Danych (dalej: „Umowa Powierzenia”) stanowi umowę powierzenia przetwarzania danych osobowych w rozumieniu art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), zawieraną pomiędzy:

• Administratorem danych — podmiotem zakładającym konto w Usłudze i korzystającym z niej w celu prowadzenia ewidencji urlopów i spraw kadrowych własnych pracowników i współpracowników (dalej: „Klient” lub „Administrator”), oraz
• Podmiotem przetwarzającym — operatorem Usługi Kadromat, który przetwarza dane osobowe w imieniu i na rzecz Administratora (dalej: „Operator” lub „Podmiot przetwarzający”). Dane identyfikujące Operatora:

Operatorem Kadromatu jest Grzegorz Kapcia, prowadzący jednoosobową działalność gospodarczą, z siedzibą w Krakowie, ul. Leonida Teligi 6, lok. 56, 30-835 Kraków, NIP 6792948886, REGON 122518082 (wpis do Centralnej Ewidencji i Informacji o Działalności Gospodarczej — CEIDG; KRS nie dotyczy). Kontakt w sprawach ochrony danych osobowych: rodo@kadromat.pro.

Przedmiotem powierzenia są dane osobowe pracowników Administratora — czyli dane osobowe osób zatrudnionych lub współpracujących z Administratorem, które Administrator wprowadza do Usługi lub które są w Usłudze przetwarzane w związku z korzystaniem z niej przez Administratora (dalej: „Dane osobowe”). W zakresie tych danych Administrator pozostaje wyłącznym administratorem w rozumieniu art. 4 pkt 7 RODO, a Operator przetwarza je wyłącznie jako podmiot przetwarzający w rozumieniu art. 4 pkt 8 RODO.

2. Przedmiot, czas trwania i cel powierzenia

Powierzenie przetwarzania Danych osobowych, o którym mowa w niniejszej Umowie Powierzenia, rozpoczyna się z chwilą zaakceptowania niniejszej Umowy Powierzenia przez Administratora w procesie rejestracji konta w Usłudze i trwa przez cały okres obowiązywania Regulaminu Usługi zawartego pomiędzy Administratorem a Operatorem — w szczególności przez cały czas posiadania przez Administratora aktywnego konta w Usłudze, niezależnie od tego, czy Administrator w danym momencie aktywnie z Usługi korzysta.

Celem powierzenia jest wyłącznie świadczenie przez Operatora na rzecz Administratora usługi elektronicznej ewidencji wniosków urlopowych oraz innych spraw kadrowych (dalej: „Usługa”), zgodnie z Regulaminem Usługi. Operator nie przetwarza Danych osobowych w żadnym innym celu niż realizacja Usługi oraz wykonanie obowiązków wynikających z niniejszej Umowy Powierzenia i z przepisów prawa.

3. Kategorie osób i danych

Powierzenie obejmuje dane osobowe osób fizycznych zatrudnionych lub współpracujących z Administratorem (pracowników, zleceniobiorców i innych osób, których dane Administrator wprowadza do Usługi w związku z prowadzoną ewidencją kadrową) — dalej: „Osoby, których dane dotyczą”.

W ramach Usługi Operator przetwarza w szczególności następujące kategorie danych:

• dane identyfikacyjne — imię i nazwisko;
• dane dotyczące zatrudnienia — staż pracy, wymiar etatu (FTE);
• historię wniosków urlopowych i nieobecności, w tym informacje o zwolnieniach lekarskich.
• dokumenty kadrowe przechowywane w kartotece pracownika — w tym umowy, wyniki badań lekarskich i zaświadczenia o szkoleniach BHP, wraz z opcjonalną datą ważności.

Administrator przyjmuje do wiadomości, że informacje o zwolnieniach lekarskich, jak również wyniki okresowych badań lekarskich przechowywane w kartotece pracownika, stanowią dane dotyczące zdrowia w rozumieniu art. 9 RODO, a więc szczególną kategorię danych osobowych podlegającą podwyższonym wymogom ochrony. Operator stosuje wobec tych danych środki bezpieczeństwa co najmniej takie same jak wobec pozostałych Danych osobowych przetwarzanych w Usłudze, opisane w pkt 4 poniżej, a dostęp do nich w ramach Usługi jest ograniczony do zakresu niezbędnego do realizacji jej funkcjonalności.

4. Obowiązki Podmiotu przetwarzającego

Operator zobowiązuje się do:

• przetwarzania Danych osobowych wyłącznie na udokumentowane polecenie Administratora — za które uznaje się zarówno postanowienia Regulaminu Usługi i niniejszej Umowy Powierzenia, jak i polecenia wydawane przez Administratora poprzez korzystanie z funkcjonalności samej Usługi (np. wprowadzanie, edycję, eksport lub usuwanie danych przez uprawnionych użytkowników Administratora), chyba że obowiązek przetwarzania w innym zakresie wynika z prawa Unii lub prawa polskiego, któremu podlega Operator — w takim przypadku Operator informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo to nie zabrania udzielenia takiej informacji;
• zapewnienia, aby osoby upoważnione przez Operatora do przetwarzania Danych osobowych zobowiązały się do zachowania ich poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania poufności;
• wdrożenia i utrzymywania środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku, zgodnie z art. 32 RODO, obejmujących w szczególności: szyfrowanie transmisji danych, kontrolę dostępu opartą na rolach użytkowników (role-based access control), regularne kopie zapasowe oraz techniczne odseparowanie danych poszczególnych klientów Usługi (izolację danych na poziomie najemcy, ang. per-tenant data isolation), tak aby Administrator nie miał dostępu do danych innych klientów Operatora ani odwrotnie;
• udzielania Administratorowi pomocy — w miarę możliwości i za pomocą odpowiednich środków technicznych i organizacyjnych — w wywiązywaniu się z obowiązku odpowiadania na żądania Osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO (m.in. prawa dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania czy przenoszenia danych);
• udzielania Administratorowi pomocy w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, w tym w zakresie zapewnienia bezpieczeństwa przetwarzania, zgłaszania naruszeń ochrony danych osobowych, zawiadamiania o naruszeniach Osób, których dane dotyczą, oraz — jeżeli rodzaj przetwarzania będzie tego wymagał — przeprowadzania oceny skutków dla ochrony danych i uprzednich konsultacji z organem nadzorczym, uwzględniając charakter przetwarzania oraz dostępne Operatorowi informacje.

5. Podpowierzenie

Administrator udziela Operatorowi ogólnej zgody na dalsze powierzenie przetwarzania Danych osobowych innym podmiotom przetwarzającym (podpowierzenie), w zakresie niezbędnym do świadczenia Usługi. Aktualna lista tych podmiotów obejmuje:

• dostawcę usług poczty elektronicznej wykorzystywanego do wysyłki wiadomości z Usługi;
• Cloudflare, Inc. — w zakresie usługi Turnstile, wykorzystywanej do ochrony formularzy Usługi przed automatycznymi zgłoszeniami (ochrona antybotowa);
• dostawcę usług hostingowych — Hetzner Online GmbH.

O wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających Operator informuje Administratora z wyprzedzeniem 14 dni przed planowaną zmianą, dając tym samym Administratorowi możliwość zgłoszenia sprzeciwu wobec takiej zmiany. Każdego dalszego podmiotu przetwarzającego Operator zobowiązuje umową do przestrzegania obowiązków ochrony danych osobowych nie mniej rygorystycznych niż obowiązki określone w niniejszej Umowie Powierzenia.

6. Zgłaszanie naruszeń ochrony danych

W przypadku stwierdzenia naruszenia ochrony Danych osobowych Operator zgłasza je Administratorowi bez zbędnej zwłoki, nie później jednak niż w ciągu 48 godzin od stwierdzenia naruszenia. Zgłoszenie zawiera informacje umożliwiające Administratorowi wywiązanie się — w razie potrzeby — z jego własnych obowiązków wynikających z art. 33 i 34 RODO, w tym w szczególności opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów danych, których dotyczy naruszenie, opis możliwych konsekwencji naruszenia oraz opis środków zastosowanych lub proponowanych przez Operatora w celu zaradzenia naruszeniu, w tym środków minimalizujących jego ewentualne negatywne skutki.

7. Audyt

Administrator jest uprawniony, po uprzednim powiadomieniu Operatora z wyprzedzeniem 14 dni, do weryfikacji zgodności przetwarzania Danych osobowych przez Operatora z niniejszą Umową Powierzenia, w tym poprzez przeprowadzenie audytu (obejmującego także inspekcję), przeprowadzanego przez Administratora lub upoważnionego przez niego audytora. Operator udostępnia Administratorowi wszelkie informacje niezbędne do wykazania wywiązywania się z obowiązków określonych w niniejszej Umowie Powierzenia oraz umożliwia przeprowadzenie takiego audytu, w zakresie w jakim nie narusza to poufności danych innych klientów Operatora ani bezpieczeństwa Usługi.

8. Zakończenie powierzenia

Po zakończeniu świadczenia usług związanych z przetwarzaniem, w tym w szczególności po rozwiązaniu lub wygaśnięciu Regulaminu Usługi, Operator, zależnie od decyzji Administratora, usuwa lub zwraca Administratorowi wszelkie Dane osobowe oraz usuwa ich istniejące kopie, chyba że prawo Unii lub prawo polskie nakazują przechowywanie danych osobowych — w szczególności przepisy Kodeksu pracy oraz innych przepisów regulujących okresy przechowywania dokumentacji pracowniczej. W takim przypadku Operator ogranicza przetwarzanie tych danych wyłącznie do celu wynikającego z tych przepisów oraz zapewnia ich poufność zgodnie z zasadami określonymi w niniejszej Umowie Powierzenia.

9. Odpowiedzialność

Odpowiedzialność Stron z tytułu przetwarzania Danych osobowych niezgodnego z niniejszą Umową Powierzenia lub z RODO kształtowana jest zgodnie z art. 82 RODO. Operator odpowiada za szkody spowodowane przetwarzaniem wyłącznie w przypadku, gdy nie dopełnił obowiązków nałożonych przez RODO bezpośrednio na podmioty przetwarzające lub gdy działał poza zgodnymi z prawem instrukcjami Administratora bądź wbrew tym instrukcjom. Operator nie ponosi odpowiedzialności za szkody wynikające z przetwarzania odbywającego się zgodnie z udokumentowanymi poleceniami Administratora.