Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu usługi Zauwaguj.

§ 1. Strony i zawarcie umowy

1. Umowa zostaje zawarta między Użytkownikiem jako administratorem danych („Administrator”) a Usługodawcą (Sławomir Ciastek, ul. Magellana 14D lok. 12, 80-288 Gdańsk, NIP 8641831176, REGON 369748310) jako podmiotem przetwarzającym („Przetwarzający”) — z chwilą akceptacji Regulaminu, na czas świadczenia Usługi i usuwania danych po jego zakończeniu.
2. Umowa wykonuje art. 28 RODO. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych, które wprowadza do Usługi albo zbiera przez nią — przez Widget, Stałe dostępy, linki do grafik, wątki, wpisy czasu pracy, Integracje i Asystentów AI.
2. Przetwarzający przetwarza dane wyłącznie w celu świadczenia Usługi zgodnie z Regulaminem: zbiera je, przechowuje, porządkuje, zestawia (np. w Raportach prac), wyświetla, przesyła (maile, Integracje, Asystenci AI) i usuwa — w sposób zautomatyzowany, w systemie informatycznym. Nie wykorzystuje ich do własnych celów.

§ 3. Rodzaj danych i kategorie osób

Administrator nie powierza danych szczególnych kategorii ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 9 i 10 RODO) i nie zbiera ich przez Usługę.

§ 4. Obowiązki Przetwarzającego

Przetwarzający:

1. przetwarza dane tylko na udokumentowane polecenie Administratora — poleceniem są Regulamin, ta umowa oraz ustawienia i działania Administratora w panelu i przez Asystentów AI połączonych z Kontami w jego Przestrzeni (np. wysłanie odpowiedzi mailem albo połączenie Integracji lub Asystenta AI). Jeśli uzna, że polecenie narusza prawo, informuje o tym Administratora;
2. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania ich w tajemnicy;
3. stosuje środki bezpieczeństwa z art. 32 RODO, w tym: szyfrowane połączenia (HTTPS), serwery w centrum danych w Polsce, logowanie jednorazowymi kodami (przechowywane są tylko ich skróty), szyfrowanie kluczy dostępu do Integracji, przechowywanie tokenów Asystentów AI wyłącznie jako skrótów i z ograniczonym zakresem uprawnień, oddzielenie Przestrzeni, limity zapytań, kopie zapasowe, usuwanie adresów IP przy uwagach i odpowiedziach po 90 dniach, dziennik błędów przechowywany 14 dni. Narzędzia analityczne w panelu (za zgodą osoby z Kontem) maskują treść uwag, wątków i zrzutów;
4. pomaga Administratorowi — w miarę możliwości i z uwzględnieniem charakteru przetwarzania — w realizacji praw osób (art. 12–23 RODO) i obowiązków z art. 32–36 RODO. Część żądań Administrator zrealizuje sam w panelu (usuwając uwagi razem z wątkami i plikami, pojedyncze wpisy w wątkach, dostępy, grafiki, projekty albo całą Przestrzeń — dane znikają wtedy z Serwisu od razu); pozostałe Przetwarzający wykona na prośbę wysłaną na biuro@kolaboracja.com;
5. zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, przekazując informacje z art. 33 ust. 3 RODO, które w danej chwili posiada;
6. po zakończeniu świadczenia Usługi usuwa dane w ciągu 30 dni — chyba że prawo nakazuje ich dalsze przechowywanie — a na prośbę złożoną wcześniej przekazuje ich eksport. Kopie zapasowe są nadpisywane w swoim cyklu;
7. udostępnia informacje potrzebne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty: w pierwszej kolejności przez odpowiedzi na pytania na piśmie, a audyt na miejscu — nie częściej niż raz w roku (chyba że doszło do naruszenia), po uprzedzeniu co najmniej 14 dni wcześniej, na koszt Administratora i przez audytora zobowiązanego do poufności.

§ 5. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Obecnie jest to Hostido.pl Gałązka spółka jawna, ul. Kartuska 5, 80-103 Gdańsk — serwery i poczta (Polska).
2. O planowanym dodaniu albo zmianie dalszego podmiotu przetwarzającego informujemy mailem co najmniej 14 dni wcześniej. Administrator może zgłosić sprzeciw, a jeśli nie dojdziemy do porozumienia — rozwiązać umowę przed zmianą.
3. Przetwarzający nakłada na dalszych przetwarzających te same obowiązki ochrony danych i odpowiada za ich działania jak za własne.
4. Integracje i Asystenci AI nie są dalszym powierzeniem: przekazanie danych do narzędzi i asystentów wybranych przez Administratora albo osoby z jego zespołu (np. ClickUp, Asana, Jira, monday.com, Notion, osTicket, webhook; Claude, ChatGPT) odbywa się na jego polecenie, na podstawie jego własnych umów z dostawcami tych narzędzi.

§ 6. Przekazywanie danych poza EOG

Przetwarzający nie przekazuje powierzonych danych poza Europejski Obszar Gospodarczy — z wyjątkiem przekazań do Integracji i Asystentów AI, o których decyduje Administrator.

§ 7. Obowiązki Administratora

Administrator ma podstawę prawną do przetwarzania danych, które powierza, i informuje o przetwarzaniu osoby, których dane dotyczą (m.in. odwiedzających strony z Widgetem i swoich klientów), zgodnie z art. 13 i 14 RODO. Nie wprowadza do Usługi danych, których przetwarzanie w ten sposób byłoby niezgodne z prawem.

§ 8. Odpowiedzialność i postanowienia końcowe

1. Strony odpowiadają zgodnie z art. 82 RODO i Regulaminem, w tym z ograniczeniami z § 11 Regulaminu — w granicach dopuszczalnych przez prawo.
2. W sprawach nieuregulowanych stosuje się Regulamin i RODO. Obowiązki dotyczące poufności i usunięcia danych trwają do czasu ich usunięcia.