Umowa powierzenia przetwarzania danych

Strony i przedmiot umowy

Umowa dotyczy powierzenia przetwarzania danych osobowych na podstawie art. 28 ust. 3 RODO. Jest załącznikiem do Regulaminu i Klient akceptuje ją razem z nim. Zaczyna obowiązywać z chwilą zawarcia umowy o Usługę.

Klient jest administratorem Danych Klienta i powierza ich przetwarzanie. Usługodawca, Wisecorner Łukasz Szyszkowski, ul. Hubska 62/30, 50-502 Wrocław, NIP 6151754467, jest podmiotem przetwarzającym. Pojęcia z regulaminu mają to samo znaczenie w tej umowie.

Umowa obowiązuje na czas trwania umowy o Usługę. Kontakt w jej sprawach: contact@tunti.app.

Charakter i cel przetwarzania

Przetwarzanie polega na przechowywaniu danych, udostępnianiu ich osobom wskazanym przez Klienta, tworzeniu z nich zestawień, raportów i eksportów, wysyłaniu powiadomień mailowych i robieniu kopii zapasowych. Celem jest świadczenie Usługi tunti na rzecz Klienta.

Rodzaje danych i kategorie osób

Powierzamy te rodzaje danych: imię i nazwisko, adres e-mail, wpisy czasu i ich opisy, stawki, zatwierdzenia i komentarze, role oraz dane logowania do konta.

Dane dotyczą pracowników i współpracowników Klienta oraz innych osób, które Klient doda do Usługi.

Polecenia Klienta

Przetwarzamy dane wyłącznie na udokumentowane polecenie Klienta. Poleceniem są regulamin, ta umowa i ustawienia, które Klient wybiera w aplikacji. Jeśli prawo wymaga od nas czegoś innego, poinformujemy o tym Klienta, chyba że prawo tego zabrania.

Jeśli uznamy, że polecenie narusza przepisy o ochronie danych, powiemy o tym Klientowi.

Poufność

Dostęp do danych mają tylko osoby upoważnione przez nas, które potrzebują go do świadczenia Usługi. Są one zobowiązane do zachowania poufności, także po zakończeniu pracy dla nas.

Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO): szyfrowanie danych w tranzycie, dostęp tylko dla upoważnionych osób, podział ról w aplikacji, logowanie dwuetapowe, kopie zapasowe bazy danych i zabezpieczenie kluczy dostępu.

Podpowierzenie

Klient zgadza się, żebyśmy korzystali z kolejnych podmiotów przetwarzających. Obecnie są to:

Podmiotów, które przetwarzają dane w naszym imieniu, zobowiązujemy do tych samych obowiązków ochrony danych co w tej umowie. Odpowiadamy za nie wobec Klienta.

O zamiarze zmiany listy informujemy Klienta mailem z 30-dniowym wyprzedzeniem. W tym czasie Klient może się sprzeciwić. Jeśli sprzeciw jest uzasadniony, szukamy wspólnego rozwiązania, a jeśli go nie ma, Klient może wypowiedzieć umowę o Usługę.

Pomoc w realizacji praw osób i obowiązków Klienta

Pomagamy Klientowi, w zakresie, w jakim pozwala na to charakter przetwarzania, odpowiadać na żądania osób, których dane dotyczą, oraz wykonywać obowiązki z art. 32–36 RODO: bezpieczeństwo, zgłaszanie naruszeń, ocenę skutków i konsultacje z organem nadzorczym.

Gdy osoba z zespołu Klienta napisze do nas ze swoim żądaniem, przekazujemy je Klientowi bez zbędnej zwłoki i nie odpowiadamy na nie bez jego polecenia.

Zgłaszanie naruszeń

O naruszeniu ochrony danych informujemy Klienta mailem bez zbędnej zwłoki, a najpóźniej w ciągu 48 godzin od jego stwierdzenia. Piszemy, na czym polegało naruszenie, jakich danych dotyczy, jakie mogą być jego skutki i co zrobiliśmy.

Usunięcie lub zwrot danych

Po zakończeniu umowy o Usługę Klient może wyeksportować dane. Usuwamy je w ciągu 30 dni od usunięcia firmy, także z kopii zapasowych, gdy tylko skończy się ich okres przechowywania u dostawcy. Nie usuwamy danych, które prawo każe nam przechowywać.

Informacje i audyt

Na żądanie Klienta udostępniamy informacje potrzebne do wykazania, że przestrzegamy tej umowy. Klient może raz w roku przeprowadzić audyt, na własny koszt, po uprzedzeniu nas z odpowiednim wyprzedzeniem, z poszanowaniem poufności i bez zakłócania działania Usługi. Audyt nie obejmuje danych innych klientów.

Przekazanie poza Europejski Obszar Gospodarczy

Przekazujemy dane poza EOG tylko z zabezpieczeniami z rozdziału V RODO, czyli na podstawie decyzji o odpowiednim stopniu ochrony (Data Privacy Framework) albo standardowych klauzul umownych. Dotyczy to dostawców z USA z listy w sekcji o podpowierzeniu.

Postanowienia końcowe

W sprawach przetwarzania danych ta umowa ma pierwszeństwo przed regulaminem. W pozostałych sprawach stosuje się regulamin, a do umowy prawo polskie i RODO. Informacje o tym, jak przetwarzamy dane jako administrator, są w Polityce prywatności.