Dokumenty prawne

Umowa powierzenia przetwarzania danych osobowych pracowników

To wzór umowy powierzenia przetwarzania danych osobowych, o której mowa w art. 28 RODO, zawieranej między pracodawcą korzystającym ze Zwalniam a serwisem Zwalniam. Określa, jakie dane pracowników przetwarzamy przy prowadzeniu offboardingu, w jakim celu, jak je chronimy i co się z nimi dzieje po zakończeniu współpracy.

§ 1. Strony umowy

1.Administrator: Klient korzystający z Serwisu w ramach Planu, działający jako pracodawca albo w imieniu pracodawcy, oznaczony danymi podanymi w Koncie i na fakturze.
2.Podmiot przetwarzający: administrator serwisu zwalniam.pl, kontakt w sprawach umowy i danych osobowych: kontakt@zwalniam.pl.
3.Administrator i Podmiot przetwarzający są dalej nazywani łącznie Stronami.

§ 2. Zawarcie umowy

1.Umowa zostaje zawarta z chwilą jej akceptacji przez Administratora przy wyborze Planu, przed wprowadzeniem do Serwisu danych osobowych pracowników.
2.Akceptacja jest rejestrowana w Koncie wraz z datą, wersją umowy i adresem e-mail osoby, która jej dokonała. Administrator może w każdej chwili pobrać treść zaakceptowanej wersji z Konta albo otrzymać ją mailem.
3.W Planie Enterprise umowa powierzenia może zostać zawarta na warunkach zaproponowanych przez Administratora. Takie postanowienia mają pierwszeństwo przed tym wzorem.
4.Jednorazowe sprawdzenie przypadku w checkliście ryzyk nie wymaga zawarcia umowy, ponieważ odbywa się na parametrach sprawy, bez danych osobowych pracownika.

§ 3. Przedmiot, charakter i cel przetwarzania

1.Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu określonym w umowie, a Podmiot przetwarzający zobowiązuje się przetwarzać je zgodnie z prawem i umową.
2.Celem przetwarzania jest świadczenie usług Serwisu przy zakończeniu stosunku pracy: prowadzenie checklisty ryzyk, przygotowanie dokumentów, obsługa podpisu elektronicznego, protokół odbioru sprzętu, blokada dostępów do systemów, przekazanie obowiązków, zestawienia do rozliczenia urlopu i premii, exit interview, eksport do systemu płacowego, raporty rotacji oraz archiwum dokumentów ze ścieżką zdarzeń.
3.Charakter przetwarzania obejmuje: zbieranie danych wprowadzonych przez Użytkowników albo pobranych z systemów Administratora przez integracje, utrwalanie, przechowywanie, porządkowanie, wykorzystywanie do tworzenia dokumentów i zestawień, przesyłanie do systemów wskazanych przez Administratora, udostępnianie Użytkownikom Administratora, archiwizowanie oraz usuwanie.
4.Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest w szczególności umowa, regulamin, konfiguracja Konta i integracji oraz działania Użytkowników w Serwisie.
5.Jeżeli przepis prawa Unii albo prawa polskiego zobowiązuje Podmiot przetwarzający do innego przetwarzania, Podmiot przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo zabrania takiego poinformowania.
6.Jeżeli zdaniem Podmiotu przetwarzającego polecenie Administratora narusza RODO albo inne przepisy o ochronie danych, niezwłocznie informuje o tym Administratora.

§ 4. Rodzaj danych i kategorie osób

1.Kategorie osób, których dane dotyczą: pracownicy i byli pracownicy Administratora, a także Użytkownicy Administratora (pracownicy HR, przełożeni, osoby z działu IT) w zakresie ich działań w Serwisie.
2.Rodzaj danych pracowników i byłych pracowników, w zakresie potrzebnym do rozwiązania stosunku pracy i obsługi formalności: imię i nazwisko, stanowisko, dział, przełożony, forma i data zawarcia umowy, staż pracy, okres wypowiedzenia, tryb, przyczyna i data rozwiązania stosunku pracy, treść dokumentów (wypowiedzenie, porozumienie stron, świadectwo pracy, zwolnienie z obowiązku świadczenia pracy, protokoły), dane o przydzielonym sprzęcie, identyfikatory kont i dostępów do systemów, zadania do przekazania, dane potrzebne do rozliczenia urlopu i premii, odpowiedzi udzielone w exit interview oraz ścieżka zdarzeń w sprawie.
3.Dane szczególnych kategorii, o których mowa w art. 9 RODO, oraz dane dotyczące zdrowia są przetwarzane tylko wtedy, gdy Administrator sam je wprowadzi. Dotyczy to na przykład informacji o ciąży albo o zwolnieniu lekarskim wprowadzonej po to, aby checklista wskazała szczególną ochronę przed wypowiedzeniem, albo informacji o członkostwie w związku zawodowym potrzebnej do konsultacji związkowej.
4.Administrator ogranicza dane szczególnych kategorii do minimum: zamiast opisu stanu zdrowia albo dokumentacji medycznej wystarczy zaznaczenie okoliczności w checkliście. Serwis nie wymaga podawania numeru PESEL, rozpoznania choroby ani treści zaświadczeń lekarskich.

§ 5. Czas trwania przetwarzania

1.Umowa obowiązuje przez czas korzystania przez Administratora z Planu, a po jego zakończeniu do chwili usunięcia albo zwrotu danych zgodnie z § 12.
2.W czasie trwania Planu dane w archiwum są przechowywane przez okres właściwy dla Planu albo krótszy, wskazany przez Administratora w ustawieniach Konta. Administrator może w każdej chwili usunąć dane konkretnej sprawy.
3.Administrator odpowiada za ustalenie okresów przechowywania zgodnych z przepisami, które go obowiązują, w tym z przepisami o dokumentacji pracowniczej.

§ 6. Poufność

1.Podmiot przetwarzający dopuszcza do danych wyłącznie osoby, którym dostęp jest potrzebny do świadczenia usług, posiadające upoważnienie i zobowiązane do zachowania tajemnicy, także po zakończeniu współpracy.
2.Podmiot przetwarzający nie wykorzystuje danych do własnych celów, nie łączy ich z danymi innych Klientów i nie udostępnia ich osobom nieupoważnionym.

§ 7. Środki bezpieczeństwa

1.Podmiot przetwarzający stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, o których mowa w art. 32 RODO, uwzględniając charakter danych pracowniczych.
2.Środki te obejmują w szczególności: szyfrowanie połączeń, przechowywanie haseł w postaci skrótu, rozdzielenie danych Klientów, role i uprawnienia Użytkowników nadawane przez Administratora, ścieżkę zdarzeń rejestrującą, kto, co i kiedy zrobił w sprawie, kopie zapasowe, regularne aktualizacje oprogramowania, ograniczenie dostępu administracyjnego do infrastruktury oraz regularne sprawdzanie skuteczności tych środków.
3.Dane są przechowywane na serwerach w Unii Europejskiej. Szczegóły zabezpieczeń opisuje strona bezpieczeństwo danych pracowników.

§ 8. Dalsze powierzenie przetwarzania

1.Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na dalsze powierzenie przetwarzania podmiotom świadczącym usługi potrzebne do działania Serwisu, w szczególności dostawcy hostingu i infrastruktury serwerowej, dostawcy poczty transakcyjnej oraz dostawcom integracji uruchamianych przez Administratora.
2.Aktualną listę dalszych podmiotów przetwarzających Podmiot przetwarzający udostępnia na żądanie wysłane na adres kontakt@zwalniam.pl.
3.O zamierzonym dodaniu albo zastąpieniu dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora mailem co najmniej 14 dni wcześniej. W tym czasie Administrator może zgłosić uzasadniony sprzeciw. Jeżeli Strony nie uzgodnią rozwiązania, Administrator może anulować Plan ze skutkiem przed dniem zmiany i otrzymać zwrot opłaty za niewykorzystaną część Okresu rozliczeniowego.
4.Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający te same obowiązki ochrony danych co w tej umowie i odpowiada wobec Administratora za ich wykonanie.
5.Przekazanie danych poza Europejski Obszar Gospodarczy przez dalszy podmiot przetwarzający następuje wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych, zgodnie z rozdziałem V RODO.

§ 9. Pomoc przy realizacji praw osób i obowiązków administratora

1.Podmiot przetwarzający pomaga Administratorowi w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 15 do 22 RODO), w szczególności przez funkcje Serwisu pozwalające wyszukać, wyeksportować, sprostować i usunąć dane konkretnej osoby.
2.Żądanie osoby, które trafi bezpośrednio do Podmiotu przetwarzającego, jest niezwłocznie przekazywane Administratorowi. Podmiot przetwarzający nie odpowiada na nie samodzielnie, chyba że Administrator o to poprosi.
3.Podmiot przetwarzający, uwzględniając charakter przetwarzania i dostępne mu informacje, pomaga Administratorowi w wypełnianiu obowiązków z art. 32 do 36 RODO, w tym przy ocenie skutków dla ochrony danych, gdy jest ona wymagana.

§ 10. Naruszenie ochrony danych

1.Podmiot przetwarzający zgłasza Administratorowi stwierdzone naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, mailem na adres przypisany do Konta.
2.Zgłoszenie zawiera, w zakresie znanym w danej chwili: opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje, zastosowane i proponowane środki oraz dane osoby kontaktowej. Informacje, których nie da się podać od razu, są przekazywane etapami.
3.Podmiot przetwarzający podejmuje działania ograniczające skutki naruszenia i dokumentuje je, a na prośbę Administratora przekazuje informacje potrzebne do zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych i do zawiadomienia osób, których dane dotyczą.

§ 11. Audyt i informacje

1.Podmiot przetwarzający udostępnia Administratorowi informacje potrzebne do wykazania spełnienia obowiązków z art. 28 RODO, w pierwszej kolejności w formie pisemnych odpowiedzi i opisu stosowanych środków.
2.Administrator może przeprowadzić audyt, w tym inspekcję, samodzielnie albo przez niezależnego audytora zobowiązanego do poufności, po zawiadomieniu wysłanym co najmniej 14 dni wcześniej, w godzinach pracy i w sposób, który nie zakłóca świadczenia usług innym Klientom ani nie narusza poufności ich danych.
3.Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie umowy przez Podmiot przetwarzający.

§ 12. Usunięcie albo zwrot danych po zakończeniu

1.Po zakończeniu Planu Administrator ma 30 dni na pobranie danych i dokumentów z archiwum w formie eksportu. W tym czasie Podmiot przetwarzający przechowuje dane bez dalszego przetwarzania, a na prośbę Administratora zwraca je w formie eksportu.
2.Po upływie tego terminu albo wcześniej, na polecenie Administratora, Podmiot przetwarzający usuwa dane osobowe powierzone na podstawie umowy, w tym ich kopie, i potwierdza to Administratorowi mailem na jego prośbę.
3.Kopie zapasowe zawierające dane są nadpisywane w cyklu ich rotacji, nie dłuższym niż 35 dni, i do tego czasu nie są wykorzystywane do żadnego innego celu.
4.Obowiązek usunięcia nie dotyczy danych, których dalsze przechowywanie nakazuje Podmiotowi przetwarzającemu przepis prawa Unii albo prawa polskiego.

§ 13. Odpowiedzialność i postanowienia końcowe

1.Każda ze Stron odpowiada za szkody wyrządzone przetwarzaniem naruszającym RODO w zakresie określonym w art. 82 RODO.
2.Umowa jest zawarta na czas korzystania z Planu, z uwzględnieniem § 5 i § 12. Rozwiązanie umowy o świadczenie usług oznacza rozwiązanie tej umowy z zachowaniem obowiązków dotyczących usunięcia albo zwrotu danych.
3.Zmiany wzoru umowy Podmiot przetwarzający ogłasza mailem co najmniej 14 dni przed ich wejściem w życie. Zmiana, która obniża poziom ochrony danych, wymaga akceptacji Administratora.
4.W sprawach nieuregulowanych stosuje się RODO, ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych, regulamin Serwisu i przepisy Kodeksu cywilnego. Zasady przetwarzania danych, dla których Zwalniam jest administratorem, opisuje polityka prywatności.
5.Pytania dotyczące umowy albo prośby o jej wersję do podpisu w Planie Enterprise prosimy kierować na adres kontakt@zwalniam.pl.

Wróć na górę