Umowa powierzenia przetwarzania danych osobowych

Kiedy ta umowa Cię dotyczy

Umowa zostaje zawarta z chwilą akceptacji Regulaminu przy zakładaniu konta i obowiązuje od momentu wprowadzenia do serwisu pierwszych danych osobowych osób trzecich – w praktyce od dodania pierwszego pracownika.

Stronami umowy są: Administrator – Klient, czyli podmiot, który założył konto i wprowadza dane swoich pracowników, oraz Podmiot przetwarzający (Procesor) – Mirosław Ngo Van, prowadzący działalność gospodarczą pod firmą "Mirosław Ngo Van", NIP 1133205888, ul. Wolska 105/107 lok. 31, 01-235 Warszawa.

§ 1Przedmiot i czas trwania powierzenia

Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i na zasadach określonych w niniejszej umowie, w celu świadczenia przez Procesora usługi dostępu do serwisu, opisanej w Regulaminie.

Powierzenie następuje na czas obowiązywania umowy o świadczenie usługi. Wygasa z chwilą jej rozwiązania lub wygaśnięcia, z zastrzeżeniem obowiązków określonych w § 9 (usunięcie lub zwrot danych).

Ograniczenie dostępu do serwisu z powodu braku płatności NIE kończy powierzenia – dane pozostają przechowywane, a Procesor nadal związany jest wszystkimi obowiązkami wynikającymi z tej umowy.

§ 2Charakter i cel przetwarzania

Przetwarzanie ma charakter zautomatyzowany i obejmuje operacje niezbędne do działania serwisu: zbieranie, utrwalanie, przechowywanie, porządkowanie, przeglądanie, modyfikowanie, wykorzystywanie do obliczeń, udostępnianie upoważnionym użytkownikom Administratora, eksportowanie na jego żądanie oraz usuwanie.

Celem przetwarzania jest wyłącznie:

• planowanie i prowadzenie grafiku pracy w lokalach Administratora,
• rejestracja czasu pracy, w tym rejestracja wejść i wyjść przy użyciu terminala (kiosku),
• obliczanie zestawień przepracowanych godzin oraz kwot wynagrodzenia na podstawie danych i stawek wprowadzonych przez Administratora,
• generowanie zestawień i ich eksport do plików,
• udostępnianie grafiku pracy za pomocą linku tworzonego i unieważnianego przez Administratora,
• utrwalanie zamkniętych okresów rozliczeniowych jako dowodu dokonanego rozliczenia.

§ 3Rodzaj danych i kategorie osób

Powierzenie obejmuje następujące kategorie osób:

• pracownicy Administratora oraz osoby świadczące na jego rzecz pracę na innej podstawie (umowy cywilnoprawne, współpraca w ramach działalności gospodarczej),
• osoby, którym Administrator nadał dostęp do panelu jako managerom lokali.

Powierzenie obejmuje następujące rodzaje danych:

• dane identyfikacyjne: imię i nazwisko,
• dane dotyczące zatrudnienia: stanowisko, przypisanie do lokalu, limit godzin i okres rozliczeniowy limitu,
• dane o czasie pracy: zaplanowane zmiany, zarejestrowane godziny wejścia i wyjścia, źródło wpisu (terminal albo wpis ręczny), potwierdzenia godzin przez pracownika,
• dane finansowe: stawka godzinowa oraz obliczone na jej podstawie kwoty za okres rozliczeniowy,
• dane uwierzytelniające: kod PIN do terminala – przechowywany wyłącznie w postaci skrótu kryptograficznego (hash) z dodatkiem wartości losowej, nigdy jako tekst jawny,
• adres e-mail – wyłącznie w przypadku osób, którym Administrator nadał dostęp do panelu.

Serwis nie przechowuje numerów PESEL, numerów rachunków bankowych ani adresów zamieszkania pracowników – dane te nie są potrzebne do realizacji celu i nie są zbierane.

§ 4Obowiązki Procesora

Procesor zobowiązuje się do:

1. przetwarzania powierzonych danych wyłącznie na udokumentowane polecenie Administratora, przy czym za takie polecenie uznaje się również korzystanie przez Administratora z funkcji serwisu zgodnie z jego przeznaczeniem oraz treść niniejszej umowy i Regulaminu;
2. niezwłocznego poinformowania Administratora, jeżeli jego polecenie stanowi w ocenie Procesora naruszenie RODO lub innych przepisów o ochronie danych – Procesor może wówczas wstrzymać się z jego wykonaniem;
3. zapewnienia, aby osoby upoważnione do przetwarzania powierzonych danych zobowiązały się do zachowania ich w tajemnicy – również po ustaniu współpracy z Procesorem – albo podlegały ustawowemu obowiązkowi zachowania tajemnicy;
4. nadawania upoważnień do przetwarzania danych wyłącznie w zakresie niezbędnym do wykonywania obowiązków i prowadzenia ich ewidencji;
5. stosowania środków technicznych i organizacyjnych odpowiadających ryzyku, zgodnie z art. 32 RODO, opisanych w § 5;
6. pomagania Administratorowi – w miarę możliwości i za pomocą odpowiednich środków – w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie realizacji ich praw z rozdziału III RODO;
7. pomagania Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, w tym w zakresie zgłaszania naruszeń i oceny skutków dla ochrony danych, uwzględniając charakter przetwarzania i dostępne Procesorowi informacje;
8. prowadzenia rejestru kategorii czynności przetwarzania dokonywanych w imieniu Administratora, zgodnie z art. 30 ust. 2 RODO;
9. udostępniania Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków określonych w art. 28 RODO, na zasadach określonych w § 7.

§ 5Środki bezpieczeństwa

Procesor stosuje w szczególności następujące środki techniczne i organizacyjne:

• szyfrowanie transmisji danych między przeglądarką a serwerem (TLS) oraz wymuszanie połączeń szyfrowanych;
• kontrolę dostępu na poziomie bazy danych (row level security), ograniczającą widoczność danych wyłącznie do organizacji, do której należą – rozdzielenie danych poszczególnych Klientów jest egzekwowane przez silnik bazy danych, nie wyłącznie przez kod aplikacji;
• haszowanie haseł oraz kodów PIN wraz z wartością losową (salt) i dodatkowym sekretem aplikacyjnym; brak możliwości odtworzenia PIN-u z zapisanej postaci;
• ograniczanie liczby nieudanych prób logowania oraz prób wprowadzenia PIN-u, z rejestrowaniem tych prób;
• rejestrowanie zdarzeń istotnych dla bezpieczeństwa i integralności rozliczeń (dziennik zdarzeń);
• nagłówki bezpieczeństwa przeglądarki, w tym polityka bezpieczeństwa treści ograniczająca wykonywanie nieautoryzowanych skryptów;
• kopie zapasowe bazy danych realizowane przez dostawcę infrastruktury;
• zasadę minimalizacji: serwis nie zbiera danych, które nie są potrzebne do realizacji celu (§ 3 zdanie ostatnie).

Procesor zastrzega prawo do zmiany poszczególnych środków, pod warunkiem że poziom ochrony nie ulegnie obniżeniu.

§ 6Podprocesorzy

Administrator udziela Procesorowi ogólnej zgody na korzystanie z usług innych podmiotów przetwarzających (podprocesorów), zgodnie z art. 28 ust. 2 RODO. Na dzień zawarcia umowy Procesor korzysta z usług następujących podmiotów:

• Supabase Inc. – infrastruktura AWS, region Frankfurt (EOG). Zakres: przechowywanie wszystkich danych wprowadzonych do serwisu, w tym danych pracowników, oraz obsługa uwierzytelniania.
• Vercel Inc. – USA / EOG, na podstawie standardowych klauzul umownych. Zakres: przetwarzanie danych w pamięci operacyjnej podczas obsługi żądań aplikacji; dane nie są u tego podmiotu trwale przechowywane.
• PayPro S.A. (Przelewy24) – Polska (EOG). Zakres: obsługa płatności za usługę; podmiot NIE otrzymuje danych pracowników Klienta (grafików, czasu pracy, stawek ani kodów PIN).
• Resend (Plus Five Five, Inc.) – region EU (Irlandia), EOG. Zakres: adresy e-mail osób zapraszanych przez Klienta do panelu oraz treść wysyłanych do nich powiadomień; podmiot NIE otrzymuje grafików, czasu pracy, stawek ani kodów PIN pracowników.

Procesor zapewnia, że na każdego podprocesora nakłada – w drodze umowy – obowiązki ochrony danych odpowiadające obowiązkom wynikającym z niniejszej umowy. Procesor ponosi wobec Administratora pełną odpowiedzialność za wywiązanie się przez podprocesorów z ich obowiązków.

Aktualny wykaz podprocesorów dostępny jest zawsze na tej stronie. Data ostatniej aktualizacji widoczna jest na jej górze.

§ 7Kontrola i audyt

Administrator ma prawo do kontroli sposobu wykonywania niniejszej umowy przez Procesora, w tym do przeprowadzania audytów i inspekcji, zgodnie z art. 28 ust. 3 lit. h RODO.

1. W pierwszej kolejności Procesor udostępnia informacje niezbędne do wykazania spełnienia obowiązków – na pisemne żądanie, w terminie 14 dni od jego otrzymania. Dotyczy to w szczególności opisu stosowanych środków bezpieczeństwa, wykazu podprocesorów oraz informacji o naruszeniach dotyczących danych Administratora.
2. Jeżeli informacje te okażą się niewystarczające, Administrator może przeprowadzić inspekcję – samodzielnie lub przez upoważnionego audytora – po uprzednim zawiadomieniu Procesora z co najmniej 14-dniowym wyprzedzeniem, w dni robocze, w sposób niezakłócający ciągłości świadczenia usługi.
3. Audytor niebędący pracownikiem Administratora zobowiązany jest do zachowania poufności; Procesor może odmówić dostępu audytorowi będącemu jego konkurentem.
4. Inspekcja nie może obejmować danych innych klientów Procesora ani informacji stanowiących jego tajemnicę przedsiębiorstwa w zakresie niezwiązanym z ochroną powierzonych danych.
5. Koszty inspekcji ponosi Administrator, chyba że wykaże ona istotne naruszenie obowiązków przez Procesora – wówczas koszty ponosi Procesor.

Procesor zobowiązuje się do usunięcia stwierdzonych uchybień w terminie uzgodnionym z Administratorem, nie dłuższym niż 30 dni, chyba że charakter uchybienia wymaga działania niezwłocznego.

§ 8Przekazywanie danych poza EOG

Powierzone dane przechowywane są na serwerach zlokalizowanych w Europejskim Obszarze Gospodarczym – baza danych serwisu działa w regionie Frankfurt (Niemcy).

Jeżeli w związku ze świadczeniem usługi dojdzie do przekazania danych poza EOG, Procesor zapewnia, że nastąpi to wyłącznie przy zastosowaniu odpowiednich zabezpieczeń w rozumieniu rozdziału V RODO, w szczególności standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, wraz z dodatkowymi środkami technicznymi, w tym szyfrowaniem transmisji.

§ 9Usunięcie lub zwrot danych

Po zakończeniu świadczenia usługi Procesor – zależnie od decyzji Administratora – zwraca powierzone dane albo je usuwa, wraz z usunięciem istniejących kopii, chyba że obowiązek ich dalszego przechowywania wynika z przepisów prawa.

1. Administrator może wskazać wybrany sposób postępowania w terminie 30 dni od zakończenia umowy. Przez ten czas dane pozostają zachowane i możliwy jest ich eksport do plików (CSV, XLSX, PDF) z poziomu serwisu.
2. Brak decyzji w tym terminie oznacza polecenie usunięcia danych.
3. Usunięcie następuje w terminie 14 dni od upływu 30-dniowego okresu, o którym mowa w punkcie pierwszym, z uwzględnieniem czasu potrzebnego na wygaśnięcie kopii zapasowych u dostawcy infrastruktury. Ten sam okres eksportu i ten sam termin usunięcia wskazuje § 8 Regulaminu.

Procesor zachowuje wyłącznie dane niezbędne do wykazania prawidłowego wykonania umowy oraz do celów wynikających z przepisów podatkowych i o rachunkowości – dane te nie obejmują danych pracowników Administratora, a jedynie dane rozliczeniowe samego Administratora.

§ 10Odpowiedzialność i postanowienia końcowe

Każda ze stron odpowiada za szkody wyrządzone drugiej stronie oraz osobom, których dane dotyczą, w zakresie wynikającym z art. 82 RODO oraz przepisów powszechnie obowiązujących.

Administrator oświadcza, że jest administratorem powierzanych danych i posiada podstawę prawną do ich przetwarzania, a także że spełnił wobec osób, których dane dotyczą, obowiązek informacyjny wynikający z art. 13 i 14 RODO – w tym poinformował je o powierzeniu przetwarzania Procesorowi.

Zmiany niniejszej umowy wymagają formy właściwej dla zmiany Regulaminu, którego stanowi ona załącznik, z zachowaniem terminu i prawa wypowiedzenia określonych w Regulaminie.

W sprawach nieuregulowanych zastosowanie mają przepisy RODO, ustawy o ochronie danych osobowych oraz Kodeksu cywilnego.

Niniejsza wersja obowiązuje od dnia 29 września 2026. We wszystkich sprawach dotyczących powierzenia kontakt: kontakt@gastroknowhow.com.