Umowa powierzenia przetwarzania danych osobowych (DPA)

Administratorem danych jest Organizacja korzystająca z serwisu Taskiter (dalej: Administrator). Podmiotem przetwarzającym jest ScrumSoft Sp. z o.o., ul. Wiejska 9, 43-300 Bielsko-Biała, NIP 9372741849, KRS 0000957030, e-mail [email protected] (dalej: Procesor).

Administrator powierza Procesorowi przetwarzanie danych osobowych zawartych w Treściach Organizacji w zakresie i celu niezbędnym do świadczenia usług opisanych w Regulaminie (art. 28 ust. 3 RODO). Umowa jest częścią umowy o świadczenie usług, obowiązuje przez czas korzystania z serwisu i do zakończenia zwrotu oraz usunięcia danych według punktu 9.

W razie sprzeczności między tą umową a Regulaminem w sprawach ochrony danych osobowych pierwszeństwo ma ta umowa.

Charakter: przechowywanie, porządkowanie, wyświetlanie, przesyłanie, kopie zapasowe, eksport i usuwanie danych w ramach funkcji serwisu. Cel: zarządzanie projektami, zadaniami, czasem pracy, rozliczeniami, bazą wiedzy, komunikacją zespołu i portalem klienta Administratora oraz funkcje dodatkowe włączone przez Administratora (np. Guardian AI, integracje).

Kategorie osób: członkowie organizacji, osoby zaproszone, klienci Administratora korzystający z portalu klienta lub formularzy, osoby wymienione w treściach.

• dane identyfikacyjne i kontaktowe (imię i nazwisko, e-mail, telefon, zdjęcie profilowe),
• dane o pracy (zadania, komentarze, wpisy czasu, stawki i koszty, okresy rozliczeń, zatwierdzenia czasu),
• nieobecności, w tym typy oznaczone jako wrażliwe (np. choroba, art. 9 RODO), jeśli Administrator z nich korzysta,
• treści i pliki dodane przez użytkowników oraz odpowiedzi formularzy,
• dane techniczne niezbędne do bezpieczeństwa (adresy IP i przeglądarka w dzienniku audytu, informacje o sesjach).

Administrator decyduje, jakie dane umieszcza w serwisie, i odpowiada za podstawę prawną ich przetwarzania oraz za informowanie osób, których dane dotyczą.

Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora, także w zakresie przekazywania danych do państwa trzeciego. Poleceniem są: Regulamin, ta umowa, ustawienia organizacji oraz działania wykonane w serwisie przez uprawnionych użytkowników Administratora. Inne polecenia Administrator przekazuje na adres e-mail Procesora.

Jeżeli prawo Unii lub państwa członkowskiego nakłada na Procesora obowiązek przetwarzania, Procesor informuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo zabrania takiej informacji. Procesor niezwłocznie informuje Administratora, jeśli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.

Procesor dopuszcza do danych wyłącznie osoby, które potrzebują dostępu do świadczenia usług, utrzymania lub wsparcia, i które zobowiązały się do zachowania tajemnicy albo podlegają ustawowemu obowiązkowi tajemnicy. Obowiązek trwa także po ustaniu współpracy.

Procesor stosuje środki techniczne i organizacyjne opisane w Załączniku 1, odpowiednie do ryzyka. Procesor może je zmieniać, o ile poziom ochrony nie spada.

Administrator udziela ogólnej pisemnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych w Załączniku 2. Podmioty oznaczone jako warunkowe przetwarzają dane tylko wtedy, gdy Administrator lub jego użytkownik włączy daną funkcję.

• Procesor informuje Administratora o zamiarze dodania lub zastąpienia dalszego podmiotu e-mailem do właściciela organizacji co najmniej 14 dni wcześniej.
• Administrator może zgłosić umotywowany sprzeciw w tym terminie. Jeśli strony nie dojdą do porozumienia, Administrator może wypowiedzieć umowę o świadczenie usług ze skutkiem przed zmianą, a Procesor zwraca opłatę za niewykorzystany okres.
• Procesor nakłada na dalszy podmiot, w drodze umowy, te same obowiązki ochrony danych co w tej umowie, w szczególności gwarancje wdrożenia odpowiednich środków bezpieczeństwa.
• Procesor odpowiada wobec Administratora za wykonanie obowiązków przez dalszy podmiot.

Procesor pomaga Administratorowi, w miarę możliwości, odpowiednimi środkami technicznymi i organizacyjnymi wywiązać się z obowiązku odpowiadania na żądania osób (art. 12-22 RODO). Serwis udostępnia w tym celu: edycję i usuwanie danych przez uprawnionych użytkowników, eksport danych organizacji (JSON, CSV i pliki), dezaktywację członków i anonimizację konta.

Żądanie skierowane bezpośrednio do Procesora Procesor przekazuje Administratorowi bez zbędnej zwłoki i nie odpowiada na nie samodzielnie, chyba że Administrator tak poleci.

Uwzględniając charakter przetwarzania i dostępne informacje, Procesor pomaga Administratorowi w: zapewnieniu bezpieczeństwa (art. 32), zgłaszaniu naruszeń organowi i zawiadamianiu osób (art. 33-34), ocenie skutków dla ochrony danych (art. 35) i uprzednich konsultacjach (art. 36), w szczególności udostępniając opis przetwarzania i środków bezpieczeństwa.

Procesor zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia. Zgłoszenie zawiera informacje z art. 33 ust. 3 RODO dostępne w danej chwili; pozostałe Procesor przekazuje niezwłocznie, gdy je uzyska. Procesor podejmuje działania ograniczające skutki naruszenia i dokumentuje je.

Administrator może w każdej chwili pobrać pełny eksport danych organizacji w panelu (Organizacja › Zgodność i dane): dane w JSON, arkusze CSV, listę plików i opcjonalnie pliki. Archiwum jest dostępne przez 7 dni przez podpisany link ważny 15 minut. To jest forma zwrotu danych.

Po zakończeniu świadczenia usług, zależnie od decyzji Administratora, Procesor zwraca dane (eksport) i usuwa je, w tym istniejące kopie, zgodnie z zasadami usuwania organizacji z Regulaminu. Usunięte obiekty trafiają najpierw do kosza na okres przywracania (30 dni w planach Free i Trial, 60 dni w płatnych). Kopie zapasowe są usuwane w cyklu ich rotacji u dostawcy. Procesor przechowuje dalej tylko dane, których przechowywanie nakazuje prawo Unii lub państwa członkowskiego (np. dane rozliczeniowe), i informuje o tym Administratora.

Procesor udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w szczególności opis środków z Załącznika 1, listę z Załącznika 2 i wpisy dziennika audytu organizacji.

Procesor umożliwia Administratorowi lub upoważnionemu audytorowi przeprowadzanie audytów, w tym inspekcji, i współpracuje przy nich. Audyt na miejscu odbywa się nie częściej niż raz w roku (chyba że wymaga go organ nadzorczy albo nastąpiło naruszenie), po uzgodnieniu terminu z 30-dniowym wyprzedzeniem, w godzinach pracy, bez dostępu do danych innych klientów, na koszt Administratora i z zachowaniem poufności.

Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie do podmiotów z Załącznika 2, na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework) albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.

• Procesor prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO).
• Procesor współpracuje z organem nadzorczym na jego żądanie (art. 31 RODO).
• Kontakt w sprawach ochrony danych: adres e-mail Procesora z punktu 1.

Odpowiedzialność stron określa Regulamin, z zastrzeżeniem przepisów RODO, których nie można wyłączyć. W sprawach nieuregulowanych stosuje się RODO i prawo polskie. Akceptacja w panelu zapisuje wersję dokumentu, osobę akceptującą, datę i skrót treści. Zmiana treści oznacza nową wersję, którą Administrator akceptuje ponownie.

Paddle.com Market Ltd obsługuje płatności jako sprzedawca (Merchant of Record) i jest odrębnym administratorem danych płatniczych, a nie dalszym podmiotem przetwarzającym.