Polityka prywatności

1. Dwie różne role, dwa różne dokumenty

Rozdzielenie tych dwóch ról jest kluczowe dla zrozumienia, kto za co odpowiada, dlatego zaczynamy od niego:

W drugim przypadku administratorem jest firma-klient. To ona decyduje, czyje dane wprowadza i w jakim celu; my przetwarzamy je wyłącznie na jej polecenie i nie wykorzystujemy do żadnych własnych celów.

2. Administrator danych i kontakt

Administratorem danych opisanych w tej polityce jest podmiot prowadzący serwis upra.pl, którego pełne dane rejestrowe są wskazane w potwierdzeniu zawarcia umowy oraz na fakturze. We wszystkich sprawach dotyczących ochrony danych osobowych można pisać na adres [email protected].

3. Jakie dane przetwarzamy i na jakiej podstawie

3.1. Konto użytkownika aplikacji

Zakres: imię i nazwisko, służbowy adres email, rola w systemie, skrót hasła (jeśli konto korzysta z logowania hasłem), informacja o włączeniu drugiego czynnika, identyfikator konta u dostawcy tożsamości (Google / Microsoft) przy logowaniu przez SSO, data ostatniego logowania.

Cel i podstawa: świadczenie usługi i uwierzytelnianie dostępu — art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w zapewnieniu bezpieczeństwa dostępu).

3.2. Dziennik zdarzeń bezpieczeństwa i audytu

Zakres: identyfikator użytkownika, rodzaj wykonanej operacji, data i godzina, adres IP, informacja o przeglądarce, liczba nieudanych prób logowania.

Cel i podstawa: rozliczalność wymagana przez art. 5 ust. 2 RODO, wykrywanie nieuprawnionego dostępu i ochrona przed atakami — art. 6 ust. 1 lit. c RODO (obowiązek prawny z art. 32 RODO) oraz art. 6 ust. 1 lit. f RODO.

3.3. Rozliczenia

Zakres: nazwa firmy, NIP, adres, dane do faktury, historia płatności.

Cel i podstawa: wystawianie faktur i prowadzenie dokumentacji księgowej — art. 6 ust. 1 lit. c RODO (obowiązki wynikające z przepisów podatkowych i ustawy o rachunkowości).

3.4. Kontakt i zapytania handlowe

Zakres: dane podane w formularzu lub w wiadomości email — zwykle imię, adres email, nazwa firmy i treść pytania.

Cel i podstawa: odpowiedź na zapytanie — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w obsłudze korespondencji), a w razie dalszych ustaleń handlowych art. 6 ust. 1 lit. b RODO.

3.5. Działanie strony internetowej

Zakres: dane techniczne niezbędne do obsłużenia żądania (adres IP, typ przeglądarki), zapisywane w logach serwera, oraz pliki cookie niezbędne do działania sesji i zapamiętania wybranego motywu kolorystycznego.

Cel i podstawa: udostępnienie strony i zapewnienie jej bezpieczeństwa — art. 6 ust. 1 lit. f RODO. Szczegóły: Polityka cookies.

Nie prowadzimy profilowania odwiedzających, nie korzystamy z zewnętrznych narzędzi analitycznych ani z pikseli reklamowych. Nie zbieramy danych w celu budowania profili marketingowych. Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne wobec osób, których dane dotyczą.

4. Okresy przechowywania

5. Komu przekazujemy dane

Korzystamy z usług podmiotów przetwarzających, z którymi zawarliśmy umowy powierzenia i które przetwarzają dane na terenie Unii Europejskiej:

• dostawca infrastruktury serwerowej — hosting aplikacji i bazy danych (Unia Europejska),
• dostawca usługi poczty wychodzącej — wysyłka powiadomień email,
• operator bramki SMS — wysyłka powiadomień SMS,
• biuro rachunkowe — obsługa księgowa i faktury.

Aktualną listę konkretnych podmiotów wraz z ich siedzibami udostępniamy na żądanie oraz w załączniku do Umowy Powierzenia. Klient jest informowany o zamiarze zmiany podprocesora przed jej wprowadzeniem.

Nie przekazujemy danych osobowych do państw trzecich (poza Europejski Obszar Gospodarczy). Nie sprzedajemy danych i nie udostępniamy ich w celach marketingowych podmiotom trzecim.

Dane mogą zostać udostępnione organom publicznym wyłącznie na podstawie wiążącego żądania opartego na przepisach prawa. Jeżeli żądanie dotyczy danych pracowników naszego klienta, a przepisy tego nie zabraniają, informujemy o nim klienta jako administratora.

6. Prawa osób, których dane dotyczą

Osobie, której dane przetwarzamy jako administrator, przysługuje prawo do:

• dostępu do danych i otrzymania ich kopii (art. 15 RODO),
• sprostowania danych (art. 16 RODO),
• usunięcia danych (art. 17 RODO), w zakresie nieobjętym obowiązkiem ich przechowywania,
• ograniczenia przetwarzania (art. 18 RODO),
• przenoszenia danych (art. 20 RODO),
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO),
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Żądania przyjmujemy pod adresem [email protected] i realizujemy bez zbędnej zwłoki, nie później niż w terminie miesiąca.

Jeżeli jesteś pracownikiem firmy korzystającej z upra.pl i chcesz skorzystać ze swoich praw wobec danych o Twoich uprawnieniach — zgłoś się do swojego pracodawcy. To on jest administratorem tych danych i tylko on może decydować o ich zakresie. Jeśli zgłosisz się do nas, przekażemy żądanie pracodawcy i poinformujemy Cię o tym; sami nie możemy zmienić ani usunąć tych danych bez jego polecenia.

7. Bezpieczeństwo przetwarzania

Stosujemy środki techniczne i organizacyjne odpowiadające ryzyku, zgodnie z art. 32 RODO. Pełny, konkretny opis tych środków — wraz z informacją o ich ograniczeniach — znajduje się na stronie Bezpieczeństwo. Jest on częścią tej polityki.

W razie naruszenia ochrony danych osobowych zawiadamiamy Prezesa UODO w terminie 72 godzin, a osoby dotknięte naruszeniem — gdy wiąże się ono z wysokim ryzykiem naruszenia ich praw. Jeżeli naruszenie dotyczy danych przetwarzanych przez nas jako procesora, zawiadamiamy klienta-administratora niezwłocznie, aby umożliwić mu dochowanie własnego terminu.

8. Zmiany polityki

O istotnych zmianach tej polityki informujemy użytkowników aplikacji na adres email co najmniej 14 dni przed ich wejściem w życie. Każda wersja jest archiwizowana i udostępniana na żądanie.