Umowa powierzenia przetwarzania danych

Korzystasz z PrivadiOffice, aby prowadzić swoją firmę. Przechowujesz przy tym dane osób, którymi nie jesteśmy my: Twoich klientów, pracowników, osób kontaktowych. Za te dane odpowiadasz Ty. My przechowujemy je i przetwarzamy wyłącznie dlatego, że nam to zlecasz.

Co dzieje się z Twoimi własnymi danymi, opisano w polityce prywatności, a nie tutaj.

Przedmiot: udostępnianie i prowadzenie oprogramowania PrivadiOffice do zarządzania klientami, ofertami, fakturami, terminami, wydatkami, pismami i pracownikami.

Strona internetowa: Jeżeli masz zamówioną stronę internetową M lub L, prowadzimy również należące do niej skrzynki e-mail (M jedną, L pięć) i przechowujemy w nich dla Ciebie wiadomości u naszego dostawcy hostingu w Niemczech.

Czas trwania: na okres obowiązywania umowy o korzystanie, wraz z okresem próbnym.

Charakter i cel: przechowywanie, porządkowanie, odczytywanie, zmienianie, usuwanie i przekazywanie wprowadzonych przez Ciebie danych, wyłącznie w celu udostępnienia Ci funkcji oprogramowania.

Osoby, których dane dotyczą: Twoi klienci i ich osoby kontaktowe, Twoi pracownicy i kandydaci, Twoi dostawcy.

Kategorie danych: dane podstawowe (imię i nazwisko, firma, adres), dane kontaktowe, dane umowne i rozliczeniowe, dane terminów oraz — jeśli korzystasz z modułu pracowników — dane kadrowe, w tym data i miejsce urodzenia, obywatelstwo, numer identyfikacji podatkowej, klasa podatkowa, wyznanie, numer ubezpieczenia społecznego, kasa chorych, dane bankowe i informacje o stosunku pracy.

Uwaga: wyznanie to szczególna kategoria danych osobowych zgodnie z art. 9 RODO. Zapisuj je tylko w zakresie rzeczywiście potrzebnym do naliczania wynagrodzeń.

Jeśli korzystasz z ewidencji czasu pracy i nieobecności, dochodzą: czas pracy (początek i koniec każdego zlecenia, przypisany obiekt, wyliczone godziny, rejestr zmian) oraz nieobecności z rodzajem, okresem, statusem i notatką.

Informacja, że pracownik chorował w określonych dniach, jest również szczególną kategorią wg art. 9 RODO. Zapisuj rodzaj nieobecności „choroba“ i nie wpisuj żadnych diagnoz.

Jeśli korzystasz z płatności częściowych, księgi kasowej lub rozliczenia w procedurze odwrotnego obciążenia, dochodzą następujące kategorie: dane płatnicze Twoich klientów (kwota, dzień wpływu, sposób płatności — gotówka, bank lub karta —, opcjonalna notatka oraz konto, które je zarejestrowało), odpowiedni zapis w księdze kasowej dla płatności gotówkowych, a także kwalifikacja podatkowa klienta jako zobowiązanego do zapłaty VAT w procedurze odwrotnego obciążenia wraz z ważnością jego zaświadczenia. Te informacje są potrzebne do prawidłowej faktury i prowadzenia ksiąg.

Jeśli korzystasz z listy kandydatów, dochodzą: imię i nazwisko, stanowisko, na które ktoś się zgłosił, numer telefonu, adres e-mail, dowolna notatka oraz data wpisu. Kandydaci nie są pracownikami: nie powstają z tego akta osobowe ani lista płac, a program nie usuwa tych wpisów sam.

Jeżeli korzystasz ze skrzynek e-mail strony internetowej, dochodzą: nadawcy i odbiorcy Twoich wiadomości oraz treść i załączniki wiadomości.

Przetwarzamy dane wyłącznie zgodnie z Twoimi poleceniami. Za podstawowe polecenie uznaje się to, co robisz w samym oprogramowaniu. Dalsze polecenia kieruj na office@privadi.net.

Jeśli uznamy polecenie za niezgodne z prawem, poinformujemy Cię o tym i możemy wstrzymać jego wykonanie.

Nie wykorzystujemy danych Twoich klientów i pracowników do własnych celów — ani do reklamy, ani do analiz, ani do rozwoju oprogramowania.

Wszystkie osoby mające dostęp do danych są zobowiązane do zachowania poufności. Obecnie jest to wyłącznie sam operator. Jeżeli zamówiłeś asystenta back office, dochodzi osoba, którą Privadi w tym celu angażuje (własni pracownicy lub współpracownicy niezależni); przed rozpoczęciem pracy zostaje ona pisemnie zobowiązana do zachowania poufności i ma dostęp wyłącznie do danych zamówionych funkcji.

Zgodnie z art. 32 RODO stosujemy w szczególności następujące środki:

• Szyfrowana transmisja przez TLS, wymuszona na wszystkich stronach
• Hasła przechowywane wyłącznie jako suma kontrolna, nigdy jawnie
• Rozdzielenie kont w bazie danych: każde zapytanie jest filtrowane do własnego konta
• Automatyczne wylogowanie po godzinie bez użycia
• Linki do resetu hasła ważne 60 minut i dokładnie raz
• Serwer w Niemczech, dostęp wyłącznie przez plik klucza
• Regularne kopie zapasowe z wersjonowaniem u dostawcy serwera
• Operator nie ma dostępu do danych klientów użytkowników; dostęp wsparcia tylko za wyraźną, ograniczoną czasowo zgodą i z rejestracją; asystent back office tylko wtedy, gdy go zamówiłeś

Możemy rozwijać te środki, o ile poziom ochrony nie ulega obniżeniu.

Wyrażasz zgodę na korzystanie z następujących podmiotów podprzetwarzających:

• STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin — prowadzenie serwera i kopie zapasowe, a przy zamówionej stronie internetowej także domena i skrzynki e-mail. Lokalizacja: Niemcy. Ponadto wysyłka wiadomości e-mail z naszego adresu nadawcy office@privadi.de.

Jeżeli Privadi angażuje współpracowników niezależnych jako asystentów back office, uznaje się ich za podmioty podprzetwarzające. Działają tylko wtedy, gdy zamówiłeś asystenta back office, i są umownie związani obowiązkami wynikającymi z niniejszej umowy.

W przypadku dodania kolejnego podmiotu poinformujemy Cię wcześniej. Możesz wnieść sprzeciw w ciągu 14 dni; w takim wypadku możesz wypowiedzieć umowę w trybie nadzwyczajnym.

Twój własny dostawca poczty e-mail nie jest podprzetwarzającym: wysyłka Twoich faktur odbywa się przez serwer poczty wychodzącej, który sam wprowadzasz.

Wspieramy Cię w odpowiadaniu na żądania osób, których dane dotyczą, oraz w wypełnianiu Twoich obowiązków z art. 32–36 RODO.

Jeśli dowiemy się o naruszeniu ochrony danych osobowych, zgłosimy Ci to bez zbędnej zwłoki — abyś mógł dotrzymać własnego 72-godzinnego terminu wobec organu nadzorczego.

Na żądanie wykażemy przestrzeganie niniejszej umowy. Możesz się o tym przekonać w rozsądnym zakresie i po uprzednim powiadomieniu. Odbywa się to przede wszystkim w formie pisemnej informacji, aby nie zakłócać pracy innych użytkowników.

Po zakończeniu umowy o korzystanie usuwamy przetwarzane dla Ciebie dane w ciągu 30 dni. Wcześniej możesz je w każdej chwili pobrać samodzielnie.

Skrzynki e-mail strony internetowej istnieją, dopóki strona jest zamówiona; potem usuwamy je wraz z zawartością. Zabezpiecz wcześniej swoje wiadomości.

Wyjątkiem są dane objęte ustawowym obowiązkiem przechowywania. Takie dane są blokowane, a nie usuwane.

Jeżeli coś zmieni się w przetwarzaniu, przedstawimy Ci nową wersję. Do czasu jej przyjęcia obowiązuje dotychczasowa.

Wiążąca jest niemiecka wersja niniejszej umowy.