Umowa Powierzenia Przetwarzania Danych Osobowych

Strony umowy

Administrator — firma korzystająca z upra.pl, która wprowadza do systemu dane swoich pracowników i współpracowników. To ona decyduje o celach i sposobach przetwarzania tych danych.

Podmiot przetwarzający (Procesor) — podmiot prowadzący serwis upra.pl, którego pełne dane rejestrowe są wskazane w potwierdzeniu zawarcia umowy. Przetwarza dane wyłącznie na polecenie Administratora.

Umowa jest zawierana na podstawie art. 28 ust. 3 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) i obowiązuje przez cały okres korzystania z usługi.

§ 1. Przedmiot i zakres powierzenia

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w celu i w zakresie niezbędnym do świadczenia usługi ewidencji i nadzoru nad terminami ważności uprawnień, badań i szkoleń pracowników.
2. Kategorie osób, których dane dotyczą: pracownicy i współpracownicy Administratora, a także wskazane przez niego osoby będące przełożonymi tych pracowników.
3. Kategorie danych:
   • imię i nazwisko,
   • stanowisko,
   • służbowy adres email i numer telefonu (jeżeli Administrator je wprowadzi),
   • przypisanie do zespołu i wskazanie przełożonego,
   • status zatrudnienia (aktywny / nieaktywny),
   • rodzaj posiadanego uprawnienia, data jego wydania i data ważności, a także — opcjonalnie — numer dokumentu potwierdzającego uprawnienie.
4. Dane wyłączone z powierzenia. System nie jest przeznaczony do przetwarzania danych szczególnych kategorii z art. 9 RODO. Procesor nie udostępnia pól na wyniki badań, orzeczenia lekarskie, diagnozy, informacje o stanie zdrowia, numery PESEL ani skany dokumentów. Administrator zobowiązuje się nie wprowadzać takich danych, w tym w polach opisowych i w nazwach własnych typów uprawnień. Procesor nie odpowiada za skutki naruszenia tego zobowiązania przez Administratora.
5. Charakter i czas przetwarzania: przetwarzanie zautomatyzowane, w formie elektronicznej, obejmujące przechowywanie, porządkowanie, wyszukiwanie, przeglądanie, wykorzystywanie w celu generowania powiadomień oraz usuwanie — przez okres obowiązywania umowy o świadczenie usługi.

§ 2. Obowiązki Procesora

1. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Samo korzystanie z funkcji systemu przez upoważnionych użytkowników Administratora stanowi takie polecenie. Procesor nie przetwarza powierzonych danych do żadnych własnych celów — w szczególności nie wykorzystuje ich do trenowania modeli uczenia maszynowego, analiz statystycznych poza obsługą usługi, profilowania ani działań marketingowych.
2. Procesor niezwłocznie informuje Administratora, jeżeli w jego ocenie polecenie Administratora narusza RODO lub inne przepisy o ochronie danych.
3. Procesor zapewnia, że osoby upoważnione do przetwarzania powierzonych danych zobowiązały się do zachowania ich w tajemnicy, a zobowiązanie to obowiązuje także po zakończeniu współpracy.
4. Procesor ogranicza dostęp swoich pracowników do powierzonych danych do przypadków niezbędnych do obsługi zgłoszenia serwisowego lub usunięcia awarii. Każdy taki dostęp jest rejestrowany w dzienniku audytowym Administratora, widocznym dla niego w systemie, wraz z informacją, że działał pracownik Procesora, a nie użytkownik Administratora. Procesor nie posiada technicznej możliwości wglądu w dane bez pozostawienia takiego śladu.
5. Procesor stosuje środki techniczne i organizacyjne odpowiadające ryzyku, w szczególności opisane w § 3 poniżej.

§ 3. Środki bezpieczeństwa (art. 32 RODO)

Procesor wdrożył w szczególności następujące środki:

• izolację danych poszczególnych Administratorów wymuszoną na poziomie systemu bazy danych (Row Level Security), działającą niezależnie od poprawności kodu aplikacji i skonfigurowaną tak, że brak kontekstu administratora powoduje odmowę dostępu, a nie jego rozszerzenie,
• szyfrowanie transmisji (TLS 1.2 lub nowszy, wymuszone HSTS),
• szyfrowanie numerów dokumentów na poziomie kolumny bazy danych (AES-256-GCM), kluczem przechowywanym poza bazą danych,
• przechowywanie haseł wyłącznie w postaci skrótów Argon2id,
• obowiązkowe uwierzytelnianie dwuskładnikowe dla kont o uprawnieniach administracyjnych korzystających z logowania hasłem; dla logowania przez dostawcę tożsamości Administratora drugi czynnik jest realizowany po jego stronie,
• możliwość ograniczenia dostępu wyłącznie do kont z domen email wskazanych przez Administratora oraz całkowitego wyłączenia logowania hasłem,
• rejestrowanie każdej operacji na powierzonych danych w dzienniku audytowym bez możliwości jego modyfikacji lub usunięcia, również przez Procesora,
• czasową blokadę konta po serii nieudanych prób logowania oraz ograniczanie liczby żądań z jednego adresu IP,
• szyfrowane kopie zapasowe z regularnie testowaną procedurą odtworzenia,
• brak dostępu do bazy danych z sieci publicznej oraz dostęp administracyjny do infrastruktury wyłącznie z użyciem kluczy kryptograficznych,
• automatyczne skanowanie zależności aplikacji pod kątem znanych podatności.

Aktualny i pełny opis środków, wraz z jawnie wskazanymi ograniczeniami, jest publikowany na stronie upra.pl/bezpieczenstwo i stanowi integralną część tej umowy.

§ 4. Dalsze powierzenie (podprocesorzy)

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z podprocesorów w zakresie niezbędnym do świadczenia usługi.
2. Procesor zawiera z każdym podprocesorem umowę nakładającą na niego obowiązki nie mniejsze niż określone w tej umowie i odpowiada wobec Administratora za ich wykonanie.
3. Wszyscy podprocesorzy przetwarzają dane na terytorium Unii Europejskiej. Procesor nie przekazuje powierzonych danych do państw trzecich.
4. Kategorie podprocesorów: dostawca infrastruktury serwerowej, dostawca usługi poczty wychodzącej, operator bramki SMS. Aktualna lista konkretnych podmiotów wraz z ich siedzibami jest udostępniana Administratorowi na żądanie pod adresem [email protected].
5. O zamiarze dodania lub zmiany podprocesora Procesor informuje Administratora co najmniej 30 dni wcześniej. Administrator może w tym terminie wnieść uzasadniony sprzeciw; jeżeli strony nie uzgodnią rozwiązania, Administrator ma prawo rozwiązać umowę o świadczenie usługi ze skutkiem na dzień planowanej zmiany, z zachowaniem prawa do zwrotu opłaty za niewykorzystany okres.

§ 5. Wsparcie Administratora w wykonywaniu jego obowiązków

1. Prawa osób, których dane dotyczą. Administrator realizuje je samodzielnie z wykorzystaniem funkcji systemu: dostęp i przenoszenie danych poprzez eksport do pliku CSV, sprostowanie i usunięcie poprzez edycję danych pracownika. Jeżeli realizacja żądania wymaga działania po stronie Procesora, podejmuje je on w terminie 7 dni od zgłoszenia.
2. Jeżeli osoba, której dane dotyczą, zgłosi żądanie bezpośrednio do Procesora, Procesor nie realizuje go samodzielnie — przekazuje je Administratorowi bez zbędnej zwłoki i informuje o tym osobę zgłaszającą.
3. Naruszenia ochrony danych. Procesor zgłasza Administratorowi każde naruszenie dotyczące powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego wykrycia, przekazując informacje niezbędne do wykonania przez Administratora obowiązku z art. 33 RODO (72 godziny na zawiadomienie organu nadzorczego). Zgłoszenie zawiera opis charakteru naruszenia, kategorie i przybliżoną liczbę dotkniętych osób oraz podjęte i proponowane środki zaradcze.
4. Procesor udziela Administratorowi pomocy w przeprowadzeniu oceny skutków dla ochrony danych oraz w uprzednich konsultacjach z organem nadzorczym, w zakresie dotyczącym świadczonej usługi.

§ 6. Audyt i kontrola

1. Administrator ma prawo kontrolować sposób wykonywania tej umowy. Procesor udostępnia na żądanie informacje niezbędne do wykazania zgodności, w tym opis wdrożonych środków bezpieczeństwa i wyniki testów odtworzenia kopii zapasowych.
2. Administrator może przeprowadzić audyt, w tym inspekcję, po uprzednim uzgodnieniu terminu z wyprzedzeniem co najmniej 14 dni. Audyt nie może naruszać bezpieczeństwa i tajemnicy danych innych Administratorów — Procesor może w uzasadnionym zakresie ograniczyć wgląd w elementy współdzielone z innymi klientami, zapewniając zamiast tego dokumentację lub wgląd nadzorowany.
3. Pierwszy audyt w roku kalendarzowym odbywa się na koszt Procesora. Koszty kolejnych audytów w tym samym roku, o ile pierwszy nie wykazał nieprawidłowości, ponosi Administrator.
4. Procesor udostępnia Administratorowi — w zakresie, w jakim nimi dysponuje — raporty niezależnych testów bezpieczeństwa. Aktualny status takich testów jest jawnie wskazany na stronie upra.pl/bezpieczenstwo.

§ 7. Retencja i usunięcie danych

1. Dane pracownika oznaczonego przez Administratora jako nieaktywny są usuwane lub nieodwracalnie anonimizowane po upływie skonfigurowanego okresu, domyślnie 24 miesięcy od zmiany statusu. Okres ten odpowiada ogólnemu terminowi przedawnienia roszczeń ze stosunku pracy; Administrator może go skrócić.
2. Po rozwiązaniu umowy o świadczenie usługi Administrator ma 30 dni na wyeksportowanie danych. Po tym terminie Procesor usuwa wszystkie powierzone dane z systemu produkcyjnego.
3. Kopie zapasowe. Usunięcie danych z systemu produkcyjnego staje się nieodwracalne po wygaśnięciu najstarszej szyfrowanej kopii zapasowej, nie później niż po 35 dniach. W tym okresie dane nie są dostępne w aplikacji i nie są przetwarzane do żadnego celu poza odtworzeniem po awarii.
4. Wyjątek dotyczący rozliczalności. Procesor zachowuje zanonimizowane wpisy dziennika audytowego (bez danych identyfikujących pracowników), ponieważ stanowią one dowód prawidłowego wykonywania umowy i są niezbędne do wykazania rozliczalności przez obie strony. Wpisy te są usuwane po 24 miesiącach.
5. Na żądanie Administratora Procesor wydaje pisemne potwierdzenie usunięcia danych.

§ 8. Odpowiedzialność i postanowienia końcowe

1. Każda ze stron odpowiada za szkody wyrządzone przetwarzaniem naruszającym RODO na zasadach określonych w art. 82 RODO. Ograniczenia odpowiedzialności zawarte w Regulaminie nie dotyczą odpowiedzialności wynikającej z RODO.
2. Administrator oświadcza, że ma podstawę prawną do przetwarzania powierzanych danych i że wykonał wobec osób, których dane dotyczą, obowiązek informacyjny z art. 13 RODO, wskazując Procesora jako podmiot przetwarzający.
3. Umowa obowiązuje przez cały okres świadczenia usługi i wygasa po wykonaniu obowiązków z § 7.
4. Zmiana umowy wymaga formy co najmniej dokumentowej. O zmianie Procesor informuje Administratora co najmniej 30 dni wcześniej; brak akceptacji uprawnia Administratora do rozwiązania umowy o świadczenie usługi z zachowaniem prawa do zwrotu opłaty za niewykorzystany okres.
5. W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych i prawo polskie.
6. W razie sprzeczności między tą umową a Regulaminem w zakresie przetwarzania danych osobowych — pierwszeństwo ma ta umowa.

Jak otrzymać podpisany egzemplarz

Jeżeli Twoje procedury wymagają umowy podpisanej (podpisem kwalifikowanym lub odręcznie), napisz na [email protected] — przygotujemy egzemplarz do podpisu bez dodatkowej opłaty, w każdym planie. W planie Business i Enterprise możemy też podpisać wersję uzgodnioną indywidualnie z Twoim działem prawnym.