Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: Umowa lub DPA) zostaje zawarta na podstawie art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej: RODO) z chwilą utworzenia konta w portalu SafeDesk.pl i akceptacji regulaminu, pomiędzy:

Klientem — przedsiębiorcą, który utworzył konto w SafeDesk.pl, występującym jako Administrator danych osobowych swoich pracowników i współpracowników;
VENTABE BHP, ul. Zielona 24b, 42-140 Panki, NIP PL 5742073669 (marka ventabe; dalej: Procesor) — dostawcą portalu SafeDesk.pl, występującym jako podmiot przetwarzający.

W zakresie danych konta Klienta (email, NIP, dane osoby rejestrującej) VENTABE BHP pozostaje odrębnym administratorem — zasady opisuje polityka prywatności. Niniejsza Umowa dotyczy wyłącznie danych powierzonych przez Klienta.

§1. Przedmiot i czas trwania

Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usług portalu SafeDesk.pl (ewidencja pracowników, szkoleń BHP, uprawnień, wyposażenia ŚOI, magazynu, zapytań ofertowych). Umowa obowiązuje przez czas korzystania z konta i wygasa z chwilą jego usunięcia, z zastrzeżeniem §7.

§2. Charakter, cel i rodzaj przetwarzania

Przetwarzanie obejmuje: zbieranie, przechowywanie, porządkowanie, modyfikowanie, przeglądanie, udostępnianie w ramach konta oraz usuwanie danych. Cel: realizacja funkcji portalu zleconych przez Administratora. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora (którym jest korzystanie z funkcji portalu i niniejsza Umowa), w tym w zakresie transferu do państwa trzeciego — chyba że obowiązek taki nakłada prawo UE lub państwa członkowskiego.

§3. Kategorie osób i danych

Osoby, których dane dotyczą: pracownicy i współpracownicy Administratora, osoby wskazane w dokumentacji BHP.
Kategorie danych: dane identyfikacyjne (imię, nazwisko), dane zatrudnienia (stanowisko, dział), rozmiary (wzrost, obwód klatki piersiowej, obwód pasa, rozmiar odzieży, obuwia, rękawic, obwód głowy), daty i terminy ważności szkoleń BHP, numery i terminy uprawnień, ewidencja wydań, zwrotów i wymian ŚOI.
Portal nie jest przeznaczony do przetwarzania danych szczególnych kategorii (art. 9 RODO), w tym danych o stanie zdrowia. Administrator zobowiązuje się nie wprowadzać takich danych do pól opisowych.

§4. Obowiązki Procesora

Procesor zobowiązuje się w szczególności do:

przetwarzania danych wyłącznie na polecenie Administratora (art. 28 ust. 3 lit. a);
zapewnienia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności (art. 28 ust. 3 lit. b);
wdrożenia środków technicznych i organizacyjnych zapewniających bezpieczeństwo adekwatne do ryzyka (art. 32) — m.in. izolacja danych między firmami (RLS per firma), szyfrowanie transmisji (TLS), kontrola dostępu, kopie zapasowe bazy danych, rejestr zdarzeń (audit log);
pomocy Administratorowi w realizacji żądań osób, których dane dotyczą (art. 28 ust. 3 lit. e) — poprzez funkcje eksportu i usuwania danych w portalu (eksport danych do JSON, dokumenty PDF, usunięcie konta);
pomocy w wywiązaniu się z obowiązków z art. 32–36 (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków) — w tym powiadomienia Administratora o naruszeniu ochrony danych bez zbędnej zwłoki (art. 28 ust. 3 lit. f, art. 33 ust. 2);
udostępniania informacji niezbędnych do wykazania spełnienia obowiązków oraz umożliwienia audytów (art. 28 ust. 3 lit. h).

§5. Dalsze powierzenie (subprocessorzy)

Administrator wyraża ogólną zgodę na korzystanie przez Procesora z dalszych podmiotów przetwarzających (art. 28 ust. 2 i 4). Aktualna lista znajduje się na stronie podmioty przetwarzające. Procesor nakłada na subprocessorów obowiązki ochrony danych odpowiadające niniejszej Umowie i informuje o zamierzonych zmianach, umożliwiając Administratorowi wyrażenie sprzeciwu.

§6. Miejsce przetwarzania

Baza danych Portalu jest przechowywana w Unii Europejskiej (Supabase, region AWS eu-west-1, Irlandia). Aplikacja jest hostowana na serwerze OVH (Polska, Warszawa). Ewentualny transfer do państwa trzeciego odbywa się wyłącznie na podstawie mechanizmów z rozdziału V RODO (m.in. standardowe klauzule umowne), co opisano w wykazie subprocessorów.

§7. Zakończenie przetwarzania

Przed usunięciem konta Administrator może odebrać dane: pobrać eksport danych firmy w formacie JSON (Ustawienia → Dane i prywatność) oraz dokumenty w formacie PDF (karty wydania, raporty). Stanowi to zwrot danych w rozumieniu art. 28 ust. 3 lit. g RODO.

Po usunięciu konta (ostatniego konta firmy) dane osobowe pracowników Administratora — wraz z powiązanymi szkoleniami, uprawnieniami i kartami wyposażenia — są trwale usuwane z produkcyjnej bazy danych, a dane konta i dane identyfikujące firmę są anonimizowane. Wyjątkiem są dokumenty transakcyjne (wyceny, zamówienia, proformy), których przechowywanie nakazują przepisy o rachunkowości — przechowujemy je do 5 lat w formie pseudonimizowanej.

Kopie zapasowe bazy danych wykonujemy raz dziennie, szyfrujemy (AES-256) i przechowujemy na infrastrukturze Procesora w Polsce przez 14 dni. Usunięte dane pozostają w kopiach do czasu ich rotacji (najpóźniej 14 dni od usunięcia) i nie są w tym czasie wykorzystywane do żadnych celów poza odtworzeniem systemu po awarii.

§8. Odpowiedzialność

Każda ze stron odpowiada za szkody spowodowane przetwarzaniem naruszającym RODO na zasadach art. 82. Procesor odpowiada za szkody wynikłe z niedopełnienia obowiązków nałożonych przez RODO na podmioty przetwarzające lub działania poza zgodnymi z prawem poleceniami Administratora.

§9. Postanowienia końcowe

Umowa zostaje zawarta z chwilą akceptacji regulaminu przy tworzeniu konta. W sprawach nieuregulowanych stosuje się RODO i przepisy krajowe. Pełny tekst na trwałym nośniku oraz pytania: [email protected].