Umowa powierzenia przetwarzania danych osobowych

Strony i zawarcie umowy

Umowa zostaje zawarta pomiędzy:

• Klientem platformy HRmoniq, który zakłada konto w Platformie — jako administratorem danych (dalej: „Administrator”), a
• HRmoniq sp. z o.o. z siedzibą w Warszawie, ul. Grzybowska 87, 00-844 Warszawa, KRS 0001172210 (Sąd Rejonowy dla m.st. Warszawy, XIII Wydział Gospodarczy KRS), NIP 5273163979, REGON 541716509, kapitał zakładowy 5 000 zł — jako podmiotem przetwarzającym (dalej: „HRmoniq”).

Umowa jest zawierana na podstawie art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) w związku z umową o świadczenie usług platformy HRmoniq zawartą na podstawie Regulaminu albo umowy indywidualnej (dalej: „Umowa główna”). Zawarcie następuje w formie elektronicznej (art. 28 ust. 9 RODO) — przez zaznaczenie zgody w kreatorze rejestracji i założenie konta; HRmoniq zapisuje datę, godzinę i wersję treści i udostępnia Klientowi tę wersję na każde żądanie. Jeżeli Strony podpiszą umowę powierzenia w Platformie, ta podpisana umowa zastępuje niniejszą.

§ 1. Przedmiot i czas przetwarzania

1. Administrator powierza HRmoniq przetwarzanie danych osobowych wprowadzanych do Platformy przez Administratora i osoby przez niego upoważnione albo wytwarzanych w Platformie na ich polecenie (dalej: „Dane”), a HRmoniq zobowiązuje się przetwarzać je w imieniu Administratora wyłącznie w zakresie i celu określonych w umowie. Charakter i cel przetwarzania, rodzaj Danych i kategorie osób określa Załącznik 1.
2. Przetwarzanie trwa przez czas obowiązywania Umowy głównej oraz przez okres potrzebny do zwrotu i usunięcia Danych (§ 12).
3. Pojęcia użyte w umowie mają znaczenie nadane im w RODO. „Użytkownik” to osoba, której Administrator nadał dostęp do swojego konta w Platformie.

§ 2. Polecenia Administratora

1. Administrator oświadcza, że jest administratorem Danych, przetwarza je zgodnie z prawem, ma podstawę prawną do ich przetwarzania w Platformie i jest uprawniony do ich powierzenia. Jeżeli Administrator powierza szczególne kategorie danych osobowych (w szczególności dane dotyczące zdrowia), oświadcza, że spełnia przesłanki ich przetwarzania z art. 9 ust. 2 RODO, także w systemie teleinformatycznym podmiotu przetwarzającego.
2. Udokumentowanymi poleceniami Administratora są: niniejsza umowa, Umowa główna oraz czynności wykonywane przez Administratora i Użytkowników za pomocą funkcji Platformy — w szczególności wprowadzanie, edycja, import, eksport i usuwanie Danych, nadawanie uprawnień, generowanie i podpisywanie dokumentów, wysyłanie wiadomości e-mail i SMS, uruchamianie funkcji odczytu dokumentów i innych funkcji sztucznej inteligencji, udostępnianie Danych innym podmiotom w ramach relacji między firmami w Platformie oraz przekazywanie Danych do systemów zewnętrznych wskazanych przez Administratora. Inne polecenia Administrator wydaje w formie dokumentowej.
3. Administrator poleca HRmoniq także: (a) wykonywanie kopii zapasowych i ich odtwarzanie; (b) monitorowanie bezpieczeństwa i prowadzenie dzienników zdarzeń; (c) obsługę zgłoszeń wsparcia; (d) tworzenie zanonimizowanych zestawień statystycznych, które nie pozwalają zidentyfikować Administratora ani żadnej osoby fizycznej.
4. HRmoniq nie przetwarza Danych w celach własnych — w szczególności nie wykorzystuje ich do marketingu ani do trenowania modeli sztucznej inteligencji — i nie udostępnia ich podmiotom trzecim poza przypadkami przewidzianymi w umowie.
5. HRmoniq niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych, i może wstrzymać jego wykonanie do czasu potwierdzenia albo zmiany polecenia.

§ 3. Obowiązki HRmoniq

HRmoniq zobowiązuje się (art. 28 ust. 3 RODO):

1. przetwarzać Dane wyłącznie na udokumentowane polecenie Administratora — co dotyczy także przekazywania danych do państwa trzeciego lub organizacji międzynarodowej — chyba że obowiązek taki nakłada na HRmoniq prawo Unii lub państwa członkowskiego; wówczas przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo nie zabrania tego z uwagi na ważny interes publiczny;
2. zapewnić, by osoby upoważnione do przetwarzania Danych zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi tajemnicy;
3. podejmować środki wymagane na mocy art. 32 RODO, co najmniej opisane w Załączniku 2;
4. przestrzegać warunków korzystania z usług innego podmiotu przetwarzającego (art. 28 ust. 2 i 4 RODO, § 5);
5. w miarę możliwości pomagać Administratorowi, poprzez odpowiednie środki techniczne i organizacyjne, wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO);
6. pomagać Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO;
7. po zakończeniu świadczenia usług, zależnie od decyzji Administratora, usunąć lub zwrócić mu Dane oraz usunąć ich kopie, chyba że prawo nakazuje ich przechowywanie (§ 12);
8. udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwiać audyty, w tym inspekcje (§ 9).

HRmoniq prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO).

§ 4. Osoby upoważnione i dostęp do Danych

1. Do Danych mają dostęp wyłącznie osoby z imiennym upoważnieniem HRmoniq, przeszkolone z ochrony danych i zobowiązane do zachowania tajemnicy także po ustaniu współpracy.
2. Osoby działające w imieniu HRmoniq sięgają do Danych tylko wtedy, gdy jest to niezbędne do obsługi zgłoszenia Administratora, usunięcia awarii lub incydentu bezpieczeństwa, obsługi kopii zapasowych albo wykonania obowiązku prawnego — w zakresie niezbędnym do tego celu. Dostęp administracyjny jest chroniony uwierzytelnianiem wieloskładnikowym i rejestrowany.

§ 5. Dalsze powierzenie

1. Administrator wyraża ogólną pisemną zgodę na korzystanie przez HRmoniq z usług dalszych podmiotów przetwarzających, w tym wymienionych w Załączniku 3 i na stronie hrmoniq.com/podprocesorzy/.
2. O zamierzonym dodaniu lub zastąpieniu dalszego podmiotu HRmoniq informuje Administratora e-mailem co najmniej 14 dni wcześniej; Administrator może w tym terminie wnieść uzasadniony sprzeciw. W pilnych przypadkach, gdy zmiana jest niezbędna do zachowania ciągłości lub bezpieczeństwa Platformy, termin może być krótszy, a sprzeciw — wniesiony po zmianie.
3. Jeżeli wobec sprzeciwu HRmoniq nie może świadczyć usług bez udziału danego podmiotu, a Strony nie znajdą rozwiązania w ciągu 30 dni, Administrator może wypowiedzieć umowę i Umowę główną ze skutkiem natychmiastowym, z prawem do zwrotu opłat zapłaconych z góry za pełne okresy rozliczeniowe przypadające po dniu rozwiązania.
4. HRmoniq wybiera dalsze podmioty z należytą starannością i nakłada na nie w umowie obowiązki ochrony danych odpowiadające niniejszej umowie (art. 28 ust. 4 RODO); wobec Administratora odpowiada za ich działania jak za własne (art. 28 ust. 4 RODO), w granicach ograniczeń odpowiedzialności Stron wobec siebie określonych w § 11.
5. Inny klient Platformy, któremu Administrator udostępnia Dane w ramach relacji między firmami, nie jest dalszym podmiotem przetwarzającym HRmoniq — udostępnienie następuje na polecenie Administratora, na podstawie jego odrębnej umowy z tym podmiotem.

§ 6. Bezpieczeństwo przetwarzania

1. Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania i ryzyko dla osób fizycznych — w szczególności przy danych szczególnych kategorii — HRmoniq stosuje co najmniej środki opisane w Załączniku 2, regularnie testuje i ocenia ich skuteczność i może je zmieniać, jeżeli zmiana nie obniża poziomu bezpieczeństwa.
2. Administrator odpowiada za bezpieczeństwo po swojej stronie — nadawanie uprawnień według zasady niezbędnego dostępu, ochronę danych logowania, korzystanie z uwierzytelniania wieloskładnikowego udostępnionego w Platformie oraz za Dane wyeksportowane z Platformy.

§ 7. Naruszenia ochrony danych osobowych

1. HRmoniq zgłasza Administratorowi naruszenie ochrony Danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem do administratorów konta i w Platformie.
2. Zgłoszenie zawiera co najmniej informacje wymienione w art. 33 ust. 3 RODO; informacje niedostępne od razu HRmoniq przekazuje sukcesywnie.
3. HRmoniq dokumentuje naruszenia, ogranicza ich skutki i współdziała z Administratorem przy zgłoszeniu organowi nadzorczemu i zawiadomieniu osób, których dane dotyczą; bez polecenia Administratora nie zawiadamia o naruszeniu organu ani tych osób, chyba że wymaga tego prawo.

§ 8. Pomoc Administratorowi

1. Platforma pozwala Administratorowi wyszukać, przejrzeć, sprostować, wyeksportować i usunąć Dane osoby, która wykonuje swoje prawa.
2. Żądania osób, których dane dotyczą, skierowane bezpośrednio do HRmoniq, HRmoniq przekazuje Administratorowi w ciągu 3 dni roboczych i nie odpowiada na nie samodzielnie bez jego polecenia.
3. HRmoniq udziela informacji i pomocy przy realizacji praw osób, ocenie skutków dla ochrony danych i uprzednich konsultacjach (art. 35–36 RODO), współdziała z organem nadzorczym i informuje Administratora o kontrolach i żądaniach organów dotyczących Danych, o ile prawo tego nie zabrania.
4. Pomoc ta jest objęta opłatami za Usługę. Prace wykraczające poza funkcje Platformy i rozsądny nakład HRmoniq może wykonać za uprzednio uzgodnionym wynagrodzeniem — z wyjątkiem pomocy przy naruszeniu spowodowanym przez HRmoniq.

§ 9. Informacje i audyty

1. Na żądanie Administratora HRmoniq udostępnia informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO — w pierwszej kolejności przez odpowiedź na kwestionariusz bezpieczeństwa i udostępnienie dokumentacji.
2. Jeżeli to nie wystarcza, Administrator lub upoważniony audytor zobowiązany do poufności i niebędący konkurentem HRmoniq może przeprowadzić audyt, w tym inspekcję, po zawiadomieniu co najmniej 14 dni wcześniej, nie częściej niż raz w roku — chyba że audyt następuje po naruszeniu ochrony Danych albo na żądanie organu nadzorczego. Audyt nie obejmuje danych innych klientów ani infrastruktury dalszych podmiotów; w tym zakresie HRmoniq udostępnia ich certyfikaty i raporty.
3. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie umowy przez HRmoniq. Audyt odbywa się w pierwszej kolejności zdalnie; audyt na miejscu trwa nie dłużej niż 1 dzień roboczy. Jeżeli udział personelu HRmoniq w audycie przekroczy 8 godzin, Administrator pokrywa koszt dalszego czasu według stawek za prace dodatkowe z Umowy głównej, a w ich braku — z cennika HRmoniq; nie dotyczy to audytu po naruszeniu ochrony danych spowodowanym przez HRmoniq. HRmoniq niezwłocznie usuwa stwierdzone uchybienia.

§ 10. Miejsce przetwarzania i przekazywanie danych poza EOG

1. Dane są przechowywane w centrach danych na terytorium Europejskiego Obszaru Gospodarczego — w podstawowym zakresie w Polsce (Microsoft Azure, region „Poland Central”).
2. HRmoniq nie przekazuje Danych do państwa trzeciego, chyba że na polecenie Administratora albo za pośrednictwem dalszego podmiotu wskazanego w Załączniku 3 — i wyłącznie z zastosowaniem podstawy z rozdziału V RODO (decyzja stwierdzająca odpowiedni stopień ochrony, w tym EU–U.S. Data Privacy Framework, albo standardowe klauzule umowne wraz z oceną skutków przekazania).

§ 11. Odpowiedzialność

1. Strony odpowiadają za szkody wyrządzone przetwarzaniem naruszającym RODO na zasadach art. 82 RODO.
2. Do odpowiedzialności Stron wobec siebie, niezależnie od podstawy prawnej roszczenia (w tym czynu niedozwolonego), stosuje się zasady i ograniczenia z Umowy głównej, w granicach dopuszczalnych przez przepisy — limit jest jedną wspólną kwotą dla Umowy głównej i niniejszej umowy; nie dotyczą one odpowiedzialności wobec osób, których dane dotyczą, ani szkody wyrządzonej umyślnie.

§ 12. Czas trwania i zakończenie umowy

1. Umowa obowiązuje przez czas obowiązywania Umowy głównej i wygasa wraz z nią; postanowienia o zwrocie i usunięciu Danych, poufności i odpowiedzialności obowiązują do ich wykonania.
2. Administrator może wypowiedzieć umowę i Umowę główną ze skutkiem natychmiastowym, jeżeli HRmoniq przetwarza Dane niezgodnie z umową lub przepisami i nie usunie naruszenia w terminie 14 dni od wezwania.
3. Po zakończeniu Umowy głównej Administrator może przez 30 dni eksportować Dane albo zażądać ich przekazania w formacie nadającym się do odczytu maszynowego. Następnie HRmoniq usuwa Dane ze środowiska produkcyjnego, chyba że prawo nakazuje ich przechowywanie, i potwierdza usunięcie na żądanie. Brak decyzji Administratora oznacza polecenie usunięcia.
4. Dane w kopiach zapasowych usuwają się wraz z wygaśnięciem kopii, nie później niż po 12 miesiącach. Do tego czasu kopie są szyfrowane, odizolowane i nie są wykorzystywane; jeżeli kopia zostanie odtworzona po awarii, HRmoniq ponownie usuwa z niej Dane.

§ 13. Postanowienia końcowe

1. Osobą kontaktową HRmoniq w sprawach ochrony danych jest Konrad Żurawski, kontakt@hrmoniq.pl, +48 535 254 745. HRmoniq kieruje zawiadomienia do administratorów konta Administratora w Platformie, chyba że Administrator wskaże inną osobę.
2. W sprawach przetwarzania danych osobowych umowa ma pierwszeństwo przed Umową główną i Regulaminem. Zmiany umowy następują w trybie zmiany Regulaminu, z wyjątkiem zmiany listy podprocesorów (§ 5).
3. W sprawach nieuregulowanych stosuje się RODO, ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych i Kodeks cywilny.

Załącznik 1. Zakres powierzenia

Cel: świadczenie usług platformy HRmoniq w zakresie modułów, z których Administrator korzysta — w szczególności prowadzenie kartotek osób, rekrutacji, umów i dokumentacji, legalizacji pobytu i pracy cudzoziemców, grafików, ewidencji i rejestracji czasu pracy, rozliczeń, dokumentacji opieki nad mieszkańcami i pacjentami, rezerwacji, zadań i procesów, komunikacji oraz podpisywania dokumentów.

Charakter: zautomatyzowane przetwarzanie w systemie teleinformatycznym w modelu SaaS — zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie, pobieranie, przeglądanie, wykorzystywanie, generowanie dokumentów, ujawnianie przez przesłanie na polecenie Administratora, ograniczanie, usuwanie, a także kopie zapasowe.

Kategorie osób (w zakresie, w jakim Administrator wprowadza ich dane): pracownicy, zleceniobiorcy, współpracownicy, pracownicy tymczasowi i praktykanci, także byli; kandydaci do pracy; cudzoziemcy objęci legalizacją pobytu i pracy; członkowie rodzin pracowników w zakresie wymaganym przepisami; mieszkańcy, podopieczni, pacjenci i klienci Administratora oraz ich przedstawiciele, opiekunowie, pełnomocnicy i osoby kontaktowe; kontrahenci i ich przedstawiciele; Użytkownicy i osoby podpisujące dokumenty.

Rodzaje danych: dane identyfikacyjne (w tym PESEL, obywatelstwo, wizerunek, dane z dokumentów tożsamości i podróży); kontaktowe i adresowe; dotyczące zatrudnienia i współpracy (umowy, wynagrodzenie, rachunek bankowy, kwalifikacje, szkolenia, badania profilaktyczne, urlopy i nieobecności); czasu pracy (grafiki, rejestracje wejść i wyjść, w tym — gdy Administrator włączy tę funkcję — lokalizacja urządzenia w chwili rejestracji); legalności pobytu i pracy; dane kandydatów (CV, doświadczenie, zgody); dane mieszkańców, podopiecznych i pacjentów (pobyt, opieka, rozliczenia); dane podpisów elektronicznych (telefon, czas, adres IP, przeglądarka); dane Użytkowników (rola, uprawnienia, dzienniki aktywności); inne dane wprowadzone przez Administratora.

Szczególne kategorie danych: dane dotyczące zdrowia (dokumentacja opieki, leczenia i farmakoterapii, diety i alergie, orzeczenia o niepełnosprawności i zdolności do pracy) — gdy Administrator korzysta z modułów, które ich wymagają. Dane biometryczne — wyłącznie gdy Administrator włączy biometrię na terminalu i ma do tego podstawę prawną (art. 22¹ᵇ Kodeksu pracy); dane o wyrokach skazujących (art. 10 RODO) — wyłącznie gdy Administrator wprowadzi je, mając podstawę prawną.

Załącznik 2. Środki techniczne i organizacyjne

• Organizacja: polityka bezpieczeństwa informacji i procedura obsługi naruszeń przeglądane co najmniej raz w roku; rejestr czynności (art. 30 ust. 2 RODO) i rejestr naruszeń; imienne upoważnienia, zobowiązania do poufności i szkolenie przed dopuszczeniem do danych.
• Infrastruktura: wyłącznie chmura Microsoft Azure w Polsce (region Poland Central) — centra danych z kontrolą dostępu fizycznego, certyfikowane m.in. według ISO/IEC 27001, 27017 i 27018; brak danych na serwerach lokalnych i nośnikach przenośnych; szyfrowane dyski stacji roboczych z dostępem administracyjnym.
• Kontrola dostępu i izolacja klientów: logiczna separacja danych każdego klienta — każde zapytanie autoryzowane tokenem wskazującym firmę i uprawnienia, usługi odrzucają dostęp do danych innej firmy; uprawnienia według ról i modułów, dodatkowa ochrona danych osobowych i płacowych; uwierzytelnianie w dedykowanym serwerze tożsamości (OpenID Connect) z ochroną przed odgadywaniem haseł; uwierzytelnianie wieloskładnikowe dostępu administracyjnego; sekrety w Azure Key Vault; bazy danych dostępne tylko z sieci usług Platformy.
• Szyfrowanie: TLS 1.2+ i HSTS w transmisji; szyfrowanie baz danych (Transparent Data Encryption), plików i kopii w spoczynku; podpisane dokumenty zabezpieczone skrótem SHA-256 i pieczęcią PAdES.
• Minimalizacja: środowiska testowe bez danych produkcyjnych (chyba że po anonimizacji); dzienniki techniczne bez treści dokumentów i danych szczególnych kategorii.
• Rozliczalność: rejestr zmian rekordów (kto, kiedy, co), wglądów w dane szczególnie chronione tam, gdzie Platforma to przewiduje, logowań i operacji administracyjnych; poświadczenie podpisów (osoba, metoda, czas, IP, przeglądarka, skrót dokumentu).
• Integralność: kontrola zmian kodu, testy automatyczne, wdrożenia wyłącznie przez potoki CI/CD z zatwierdzeniem; brama API z listą dozwolonych źródeł i limitem zapytań; ochrona formularzy publicznych przed botami; aktualizacje bezpieczeństwa bez zbędnej zwłoki.
• Dostępność i kopie: odtworzenie baz z dowolnej chwili ostatnich 35 dni oraz kopie tygodniowe (5 tygodni) i miesięczne (12 miesięcy), szyfrowane i odrębne od baz produkcyjnych; magazyn plików z ochroną przed usunięciem (30 dni) i wersjonowaniem; blokady zasobów przed usunięciem; test odtworzenia co najmniej raz w roku; monitorowanie i alerty.
• Testowanie: automatyczne testy izolacji danych i uprawnień przy zmianach Platformy; przegląd środków co najmniej raz w roku; testy bezpieczeństwa, w tym penetracyjne, okresowo i adekwatnie do oceny ryzyka.
• Incydenty i usuwanie: procedura obsługi incydentów; zgłoszenie naruszenia w 48 godzin; usuwanie danych po zakończeniu umowy i wygasanie kopii; niszczenie nośników przez dostawcę chmury według NIST 800-88.

Załącznik 3. Dalsze podmioty przetwarzające

Aktualna lista: Podprocesorzy HRmoniq.