Umowa powierzenia przetwarzania danych osobowych

Strony:

• Administrator: Klient, czyli firma korzystająca z serwisu Nadzoruj.com, dane jak w koncie firmy;
• Podmiot przetwarzający: ARROW_WORKS – Karolina Prokop, ul. Uranowa 42B lok. 14, 81-160 Gdynia, NIP 9581626609, REGON 385596483, e-mail kontakt@nadzoruj.com (dalej „Przetwarzający”).

§ 1. Przedmiot umowy

1. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usług serwisu Nadzoruj.com opisanych w Regulaminie.
2. Umowa wykonuje art. 28 ust. 3 rozporządzenia (UE) 2016/679 (RODO).

§ 2. Charakter, cel i zakres przetwarzania

1. Charakter: przechowywanie, porządkowanie, wyświetlanie, wyszukiwanie, przesyłanie przypomnień, przygotowanie wniosków, odczyt danych ze zdjęć dokumentów, usuwanie.
2. Cel: prowadzenie ewidencji uprawnień, badań i szkoleń pracowników, rejestru urządzeń technicznych, dziennika konserwacji i zgłoszeń usterek, przypomnienia o terminach, przygotowanie wniosków do UDT, TDT, WDT i komisji SEP.
3. Kategorie osób: pracownicy i współpracownicy Administratora, w tym konserwatorzy i operatorzy urządzeń; osoby kontaktowe Administratora.
4. Rodzaje danych:
   1. imię, nazwisko, stanowisko, oddział, e-mail, telefon;
   2. dane uprawnień: rodzaj, numer, zakres, organ wydający, daty, skany dokumentów;
   3. terminy badań lekarskich i szkoleń BHP oraz informacja o zdolności do pracy (bez wyników badań i rozpoznań);
   4. dane do wniosków urzędowych: PESEL, data i miejsce urodzenia, adres, wykształcenie, przebieg pracy, a przy braku PESEL rodzaj i numer dokumentu tożsamości oraz obywatelstwo;
   5. wpisy w dzienniku konserwacji: data, godzina, wynik, uwagi, zdjęcia, obraz odręcznego podpisu, numer uprawnień;
   6. zgłoszenia usterek: opis, zdjęcie, osoba zgłaszająca.
5. Administrator nie powierza danych o stanie zdrowia w rozumieniu art. 9 RODO i nie wprowadza ich do serwisu.

§ 3. Czas przetwarzania

Przetwarzanie trwa przez czas obowiązywania umowy o świadczenie usług oraz 90 dni po jej zakończeniu (okres na pobranie danych). Następnie Przetwarzający usuwa dane, a kopie zapasowe są nadpisywane w ciągu kolejnych 30 dni, chyba że przepis prawa nakazuje dalsze przechowywanie.

§ 4. Obowiązki Przetwarzającego

Przetwarzający:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem jest w szczególności korzystanie z funkcji serwisu przez Użytkowników Administratora;
2. informuje Administratora, jeżeli polecenie narusza przepisy o ochronie danych;
3. dopuszcza do danych tylko osoby upoważnione i zobowiązane do zachowania poufności, w zakresie niezbędnym do utrzymania serwisu i pomocy technicznej;
4. stosuje środki bezpieczeństwa opisane w § 6;
5. pomaga Administratorowi w realizacji praw osób, których dane dotyczą (w tym udostępnia eksport i usuwanie danych w panelu);
6. pomaga Administratorowi w wykonaniu obowiązków z art. 32–36 RODO;
7. po zakończeniu usług usuwa dane zgodnie z § 3;
8. udostępnia informacje potrzebne do wykazania zgodności i umożliwia audyt zgodnie z § 8.

§ 5. Dalsze powierzenie (podprzetwarzający)

1. Administrator wyraża ogólną zgodę na korzystanie z podprzetwarzających wymienionych niżej.
2. O planowanej zmianie lub dodaniu podprzetwarzającego Przetwarzający informuje Administratora e-mailem lub w panelu co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić sprzeciw, a gdy strony się nie porozumieją, wypowiedzieć umowę.
3. Przetwarzający nakłada na podprzetwarzających obowiązki ochrony danych nie mniejsze niż w tej umowie i odpowiada za ich działania.

§ 6. Środki bezpieczeństwa (art. 32 RODO)

1. Szyfrowanie połączeń (HTTPS/TLS).
2. Oddzielenie danych Administratora od danych innych klientów na poziomie bazy danych (row level security).
3. Dostęp Użytkowników zależny od nadanej roli (administrator, kierownik, konserwator, pracownik).
4. Hasła przechowywane wyłącznie jako skrót kryptograficzny.
5. Pliki w prywatnym magazynie, udostępniane linkami ważnymi kilka minut.
6. Dziennik zmian danych (kto, kiedy, co).
7. Kopie zapasowe bazy danych wykonywane automatycznie przez dostawcę infrastruktury (Supabase).
8. Upoważnienia i zobowiązania do poufności osób po stronie Przetwarzającego.
9. Ograniczenie dostępu osób z zespołu Przetwarzającego do danych pracowników Administratora do sytuacji wymagających pomocy technicznej.

§ 7. Naruszenia ochrony danych

1. Przetwarzający zgłasza Administratorowi stwierdzone naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, na adres e-mail Administratora z konta firmy.
2. Zgłoszenie zawiera co najmniej: opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe konsekwencje, podjęte i proponowane środki, dane kontaktowe osoby odpowiedzialnej.

§ 8. Audyt

1. Administrator może sprawdzić przestrzeganie umowy przez żądanie informacji na piśmie albo audyt w uzgodnionym terminie, po zawiadomieniu z 14-dniowym wyprzedzeniem, nie częściej niż raz w roku, chyba że doszło do naruszenia.
2. Audyt nie może obejmować danych innych klientów ani tajemnicy przedsiębiorstwa Przetwarzającego. Koszty audytu ponosi Administrator.

§ 9. Odpowiedzialność

Odpowiedzialność stron określają przepisy RODO, w szczególności art. 82. W pozostałym zakresie stosuje się § 9 Regulaminu.

§ 10. Postanowienia końcowe

1. Umowa obowiązuje przez czas świadczenia usług i do zakończenia usuwania danych.
2. Zmiany umowy wymagają formy dokumentowej (np. e-mail) lub akceptacji nowej wersji w panelu.
3. W sprawach nieuregulowanych stosuje się RODO i prawo polskie.
4. Na żądanie Administratora Przetwarzający przesyła umowę w PDF podpisaną elektronicznie.