Warunki powierzenia przetwarzania danych

1. Strony i przedmiot

Klient korzystający z Godzinowo i decydujący o danych swojego zespołu jest administratorem danych (Klient). ASTARCODE Adrian Starczewski jest podmiotem przetwarzającym (Dostawca). Jeśli Klient sam jest procesorem, przed dalszym powierzeniem zapewnia stosowne upoważnienie swojego administratora.

Powierzenie stanowi część umowy o Godzinowo. Obejmuje udostępnianie panelu, przechowywanie, porządkowanie, wyświetlanie i eksport danych grafiku, RCP oraz raportów, zapewnienie kopii, wsparcie techniczne i usuwanie danych. Trwa w czasie świadczenia usługi i uzgodnionych czynności zwrotu lub usunięcia danych po jej zakończeniu.

2. Osoby i kategorie danych

Osoby: pracownicy i współpracownicy Klienta, osoby zarządzające zespołem oraz użytkownicy upoważnieni do panelu. Dane: imię, nazwisko, identyfikator lub numer pracownika, dane kontaktowe jeśli dodane, przypisanie do obiektu i stanowiska, uprawnienia, grafik, dyspozycyjność, nieobecności, wejścia, wyjścia, przerwy, odcinki pracy, korekty i ich autorzy, stawki i obliczenia rozliczeń, jeśli Klient używa tych funkcji.

Jeżeli Klient włączy konto pracownika, zakres obejmuje także adres e-mail, dane uwierzytelniające przechowywane w postaci zabezpieczonej, historię logowania, wybrany obiekt oraz informację, że odbicie wykonano z konta pracownika. Identyfikatory QR lub kart służą rozpoznawaniu pracownika. Usługa nie wymaga diagnoz medycznych, dokumentów tożsamości ani danych biometrycznych; nie należy wpisywać ich w notatkach.

3. Polecenia i odpowiedzialność Klienta

Dostawca działa wyłącznie na udokumentowane polecenie Klienta, w tym polecenia realizowane przez uprawnione osoby w panelu, chyba że przetwarzania wymaga prawo. W takim przypadku informuje Klienta przed przetwarzaniem, chyba że przepisy tego zabraniają. Nie wykorzystuje danych zespołu do własnego marketingu ani do oceny pracowników na własne cele.

Klient określa podstawy prawne i okresy przechowywania, spełnia obowiązki informacyjne wobec pracowników i ogranicza dane do niezbędnych. Dostawca informuje, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych; strony wyjaśniają wątpliwości przed jego wykonaniem.

4. Poufność i bezpieczeństwo

Dostęp do danych otrzymują tylko osoby upoważnione, zobowiązane do poufności, w zakresie potrzebnym do obowiązków. Dostawca utrzymuje środki techniczne i organizacyjne adekwatne do ryzyka oraz weryfikuje ich skuteczność.

Środki obejmują kontrolę uprawnień i separację organizacji, bezpieczną transmisję, ochronę danych uwierzytelniających, aktualizacje, rejestrowanie istotnych działań, kopie zapasowe i procedurę odtworzenia oraz obsługę incydentów. Konfiguracja zabezpieczeń i możliwość odtworzenia danych z kopii zapasowej podlegają okresowej weryfikacji.

5. Dalsze powierzenie

Klient udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wskazanych w wersji listy Dostawcy i podwykonawcy towarzyszącej tym warunkom. Zgoda nie obejmuje niejawnych dostawców ani przekazywania szerszego zakresu danych niż potrzebny.

O planowanym dodaniu lub zastąpieniu podwykonawcy mającego dostęp do danych zespołu Dostawca informuje co najmniej 14 dni wcześniej, umożliwiając uzasadniony sprzeciw związany z ochroną danych. Strony ustalają rozwiązanie; jeżeli nie jest możliwe, Klient może zakończyć część usługi wymagającą tego podwykonawcy bez kary, z rozliczeniem niewykorzystanego opłaconego okresu tej części.

Dostawca nakłada na podwykonawcę odpowiednie obowiązki ochrony danych i pozostaje odpowiedzialny za wykonanie jego obowiązków wobec Klienta. Przekazywanie danych poza EOG wymaga odrębnego ustalenia zgodnej z prawem podstawy i poinformowania Klienta.

6. Wsparcie i naruszenia

Uwzględniając charakter przetwarzania i dostępne informacje, Dostawca pomaga Klientowi obsługiwać prawa osób, bezpieczeństwo przetwarzania, ocenę skutków i konsultacje z organem nadzorczym. Wnioski dotyczące danych pracowników przekazuje Klientowi, nie dokonując samodzielnie zmian w ewidencji bez jego polecenia.

Po stwierdzeniu naruszenia ochrony danych Dostawca zawiadamia Klienta bez zbędnej zwłoki, przekazując dostępne informacje o charakterze zdarzenia, możliwych skutkach, danych kontaktowych i działaniach zaradczych. Informacje mogą być uzupełniane etapami. Dostawca nie czeka na pełne zakończenie analizy, by przekazać pierwsze zawiadomienie.

7. Informacje i audyt

Dostawca udostępnia informacje potrzebne do wykazania wykonania obowiązków i umożliwia audyty, w tym inspekcje, prowadzone przez Klienta lub upoważnionego audytora. Organizacja audytu uwzględnia bezpieczeństwo pozostałych klientów i poufność ich danych; nie może uniemożliwiać skutecznej kontroli. Zakres i termin strony uzgadniają odpowiednio do ryzyka, z możliwością pilnego działania przy incydencie.

8. Zakończenie, zwrot i usunięcie

Po zakończeniu świadczenia usług związanych z przetwarzaniem Dostawca, zgodnie z wyborem Klienta, zwraca albo usuwa powierzone dane i usuwa istniejące kopie, chyba że prawo wymaga ich przechowania. Wymóg przechowania konkretnego dokumentu rozliczeniowego Dostawcy nie uzasadnia zachowania całej ewidencji pracowników Klienta.

Dyspozycję uprawniona osoba składa na kontakt@godzinowo.pl. Dostawca potwierdza jej zakres, tożsamość zlecającego, sposób bezpiecznego przekazania oraz termin realizacji. Usunięcie obejmuje bazę, załączniki, eksporty i kopie; przy odtwarzaniu backupu stosuje się rejestr dyspozycji usunięcia, aby dane nie wróciły do użycia.

Klient może odebrać dane w ciągu 30 dni od potwierdzonego zamknięcia konta. Najpóźniej po upływie tego okresu Dostawca usuwa dane robocze z aktywnych systemów, chyba że Klient wcześniej poleci ich usunięcie lub prawo wymaga zachowania określonych informacji. Kopie zapasowe wygasają w ciągu kolejnych 30 dni zgodnie z cyklem retencji LH.pl. Dostawca potwierdza wykonanie dyspozycji, a nie tylko zablokowanie konta.