assign2mePrzypisz do mnieENZałóż konto

Dokumenty

Umowa powierzenia przetwarzania danych (DPA)

Ta sama umowa, którą administrator organizacji akceptuje w aplikacji przed zaproszeniem pierwszego gościa. Jest załącznikiem do regulaminu.

Wersja 1.0 · obowiązuje od 1 października 2026 r.

§ 1. Strony i przedmiot umowy

  1. Umowa powierzenia przetwarzania danych osobowych (dalej: „DPA”) zostaje zawarta między: Klient, który zawarł z Usługodawcą umowę o świadczenie usługi assign2me (dane Klienta zawiera wersja PDF pobrana w aplikacji) (dalej: „Administrator”) a Michał Madera, prowadzący działalność gospodarczą pod firmą MADERA Michał Madera, Niechobrz 609, 36-047 Niechobrz, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), NIP 813-316-43-54, REGON 691747301 (dalej: „Podmiot przetwarzający”).
  2. DPA wykonuje art. 28 ust. 3 rozporządzenia (UE) 2016/679 (RODO). Jest załącznikiem do Regulaminu usługi assign2me (dalej: „Regulamin”) i wiąże strony od chwili zawarcia umowy o świadczenie usługi assign2me (dalej: „Usługa”). Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie i w RODO.
  3. Przed pierwszym zaproszeniem Gościa Administrator Organizacji potwierdza akceptację DPA w Usłudze. Usługa zapisuje wersję DPA, datę i osobę, która ją zaakceptowała, i udostępnia DPA z danymi Organizacji jako plik PDF.

§ 2. Zakres, charakter i cel przetwarzania

  1. Podmiot przetwarzający przetwarza dane osobowe wyłącznie w celu świadczenia Usługi: przechowuje je, porządkuje, udostępnia Użytkownikom według uprawnień ustawionych przez Administratora, wysyła powiadomienia, przekazuje do integracji włączonych przez Administratora lub Użytkowników i tworzy kopie zapasowe.
  2. Kategorie osób, których dane dotyczą: Członkowie, Goście oraz osoby, których dane Użytkownicy umieszczą w Organizacji, w szczególności pracownicy i współpracownicy klientów Administratora.
  3. Rodzaje danych: imię, nazwisko, adres e-mail, język i strefa czasowa Użytkowników; treść zadań, komentarzy i plików; historia zmian i dziennik zdarzeń; dane techniczne, takie jak adres IP i czas logowania.
  4. Administrator nie powinien umieszczać w Usłudze szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Jeśli to robi, odpowiada za istnienie podstawy prawnej.
  5. Przetwarzanie trwa przez czas obowiązywania umowy o świadczenie Usługi oraz przez okres potrzebny do zwrotu i usunięcia danych według § 8.

§ 3. Obowiązki Podmiotu przetwarzającego

  1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są Regulamin, DPA oraz ustawienia i działania wykonane w Usłudze przez Administratora i Użytkowników. Podmiot przetwarzający niezwłocznie informuje Administratora, jeśli jego zdaniem polecenie narusza przepisy o ochronie danych.
  2. Podmiot przetwarzający nie wykorzystuje danych do własnych celów, w tym do trenowania modeli sztucznej inteligencji, i nie sprzedaje ich.
  3. Do danych mają dostęp wyłącznie osoby upoważnione przez Podmiot przetwarzający, które potrzebują go do świadczenia Usługi i są zobowiązane do zachowania poufności.
  4. Podmiot przetwarzający stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO, opisane w Załączniku 2.
  5. Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, przede wszystkim przez funkcje Usługi: eksport danych, poprawianie i usuwanie treści, usuwanie Gości z projektów i usunięcie Organizacji. Żądanie skierowane bezpośrednio do Podmiotu przetwarzającego przekazuje Administratorowi bez zbędnej zwłoki.
  6. Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO, w zakresie wynikającym z charakteru przetwarzania i dostępnych mu informacji.

§ 4. Dalsze powierzenie

  1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających. Ich aktualna lista jest w Załączniku 1 i na stronie assign2me.com/dpa.
  2. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratorów Organizacji e-mailem co najmniej 14 dni wcześniej. W tym czasie Administrator może zgłosić uzasadniony sprzeciw. Jeśli strony nie znajdą rozwiązania, Administrator może wypowiedzieć umowę ze skutkiem natychmiastowym i otrzymuje zwrot opłaty za niewykorzystaną część Okresu rozliczeniowego.
  3. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający obowiązki ochrony danych nie mniejsze niż w DPA i odpowiada wobec Administratora za ich wykonanie.

§ 5. Przekazywanie danych poza EOG

  1. Dane Usługi są przechowywane w Europejskim Obszarze Gospodarczym.
  2. Przekazanie danych do państwa trzeciego, w tym dostęp dalszego podmiotu przetwarzającego z siedzibą poza EOG, odbywa się wyłącznie przy zapewnieniu zabezpieczeń z rozdziału V RODO, w szczególności na podstawie decyzji stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul umownych.

§ 6. Naruszenia ochrony danych

  1. Po stwierdzeniu naruszenia ochrony danych osobowych Podmiot przetwarzający zawiadamia Administratora bez zbędnej zwłoki, nie później niż w ciągu 48 godzin, e-mailem na adresy Administratorów Organizacji.
  2. Zawiadomienie zawiera informacje, o których mowa w art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne. Pozostałe informacje Podmiot przetwarzający przekazuje niezwłocznie po ich uzyskaniu.

§ 7. Kontrola

  1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w pierwszej kolejności w formie pisemnych odpowiedzi i dokumentacji.
  2. Jeśli te informacje nie wystarczą, Administrator lub upoważniony przez niego audytor zobowiązany do zachowania poufności może przeprowadzić audyt, zapowiedziany z co najmniej 30-dniowym wyprzedzeniem, nie częściej niż raz na 12 miesięcy, chyba że doszło do naruszenia ochrony danych. Audyt nie może zakłócać Usługi ani naruszać poufności danych innych klientów. Koszty audytu ponosi Administrator.

§ 8. Zwrot i usunięcie danych

  1. Po zakończeniu umowy o świadczenie Usługi Organizacja przez 60 dni jest dostępna w trybie tylko do odczytu, a Administrator Organizacji może pobrać jej dane (pliki CSV i JSON oraz załączniki).
  2. Po upływie tego okresu Podmiot przetwarzający usuwa dane Organizacji, a z kopii zapasowych – w ich zwykłym cyklu rotacji, chyba że przepisy prawa nakazują ich dalsze przechowywanie.
  3. Administrator Organizacji może wcześniej sam pobrać dane i usunąć Organizację w Usłudze.

§ 9. Odpowiedzialność

  1. Odpowiedzialność stron z tytułu DPA podlega ograniczeniom z Regulaminu, w granicach dopuszczonych przez bezwzględnie obowiązujące przepisy prawa.

§ 10. Postanowienia końcowe

  1. W sprawach ochrony danych osobowych DPA ma pierwszeństwo przed Regulaminem.
  2. DPA może zostać zmieniona w trybie przewidzianym dla zmiany Regulaminu. Każda wersja ma numer i datę obowiązywania. Nowa wersja wymaga akceptacji Administratora Organizacji przed kolejnym zaproszeniem Gościa.
  3. W sprawach nieuregulowanych stosuje się przepisy prawa polskiego, w szczególności RODO. Wiążąca jest polska wersja DPA.

Załącznik 1. Dalsze podmioty przetwarzające

  1. Render Services, Inc. – hosting aplikacji, bazy danych i logowania; UE (Frankfurt, Niemcy).
  2. Cloudflare, Inc. (R2) – przechowywanie załączników; UE (jurysdykcja EU).
  3. Resend (Plus Five Five, Inc.) – wysyłka powiadomień e-mail; UE (Irlandia).
  4. Functional Software, Inc. (Sentry) – monitorowanie błędów aplikacji; UE (Niemcy).

Załącznik 2. Środki techniczne i organizacyjne

  1. Szyfrowanie połączeń (TLS) między przeglądarką, aplikacją i usługami zewnętrznymi.
  2. Szyfrowanie danych w spoczynku po stronie dostawców hostingu i przechowywania plików; dane dostępowe do integracji dodatkowo szyfrowane w aplikacji.
  3. Oddzielenie danych każdej Organizacji: każde zapytanie w aplikacji jest ograniczone do Organizacji, do której należy Użytkownik.
  4. Kontrola dostępu według ról i widoczności projektów; Gość ma dostęp wyłącznie do zadań mu przypisanych albo udostępnionych.
  5. Logowanie przez serwer tożsamości (Keycloak) z hasłami przechowywanymi w postaci skrótu; logowanie Gości jednorazowym linkiem ważnym 30 minut.
  6. Historia zmian każdego zadania i dziennik zdarzeń Organizacji, bez możliwości edycji wpisów.
  7. Kopie zapasowe bazy danych z celem utraty danych nie większej niż 1 godzina (RPO) i przywrócenia działania w 4 godziny (RTO).
  8. Dostęp personelu Podmiotu przetwarzającego do danych produkcyjnych tylko w zakresie niezbędnym, z uwierzytelnianiem dwuskładnikowym do paneli dostawców.
  9. Przechowywanie danych Usługi w Europejskim Obszarze Gospodarczym.