Wersja robocza, podlega przeglądowi prawnemu. Nie stanowi oferty ani porady prawnej.
Umowa powierzenia przetwarzania danych osobowych (DPA)
Wersja 0.2 z 04.10.2026
Niniejsza umowa powierzenia przetwarzania danych osobowych („Umowa powierzenia”) stanowi część umowy o korzystanie z usługi Kronika Pracy („Usługa”) zawartej między klientem („Administrator”) a Kronikapracy („Podmiot przetwarzający”). Określa warunki wymagane przez art. 28 rozporządzenia (UE) 2016/679 („RODO”).
1. Przedmiot i czas trwania
1.1. Podmiot przetwarzający przetwarza dane osobowe w imieniu Administratora wyłącznie w celu świadczenia Usługi: prowadzenia ewidencji pracy twórczej na potrzeby 50% autorskich kosztów uzyskania przychodu (art. 22 ust. 9 pkt 3 i ust. 9b ustawy o PIT), procesu weryfikacji i zatwierdzania, raportów i eksportów.
1.2. Umowa powierzenia obowiązuje tak długo, jak Podmiot przetwarzający przetwarza dane osobowe dla Administratora, i wygasa po zwrocie lub usunięciu wszystkich danych zgodnie z pkt 10.
2. Charakter i cel przetwarzania
2.1. Przechowywanie, porządkowanie, wyświetlanie, eksportowanie i usuwanie danych wprowadzanych przez użytkowników Administratora; automatyczna wstępna weryfikacja wpisów o utworach względem kryteriów ustawowych i własnej polityki Administratora (wyłącznie pomocnicza; decyzję zawsze podejmuje człowiek – zatwierdzający); powiadomienia i przypomnienia; bezpieczeństwo i dziennik zdarzeń.
2.2. Podmiot przetwarzający nie wykorzystuje danych Administratora do trenowania modeli AI ani nie sprzedaje ich i nie udostępnia we własnych celach.
3. Kategorie osób i danych osobowych
| Osoby, których dane dotyczą | Dane osobowe |
|---|---|
| Pracownicy i współpracownicy zgłaszający utwory | Imię i nazwisko, służbowy e-mail, rola, stanowisko, zatwierdzający, opisy utworów, daty, godziny, odniesienia do utworów, imiona i udziały współautorów, decyzje i uwagi |
| Zatwierdzający, administratorzy i audytorzy | Imię i nazwisko, służbowy e-mail, role, decyzje i uwagi, działania zapisane w dzienniku zdarzeń |
| Wszyscy użytkownicy | Identyfikatory logowania, wybrany język, adres IP i logi techniczne |
3.2. Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO). Administrator zobowiązuje swoich użytkowników do niewprowadzania takich danych.
4. Polecenia Administratora
4.1. Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora. Pełnym poleceniem są niniejsza Umowa powierzenia, umowa główna oraz ustawienia Administratora w Usłudze.
4.2. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych.
5. Poufność
5.1. Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy.
6. Bezpieczeństwo przetwarzania
6.1. Podmiot przetwarzający stosuje odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO, w tym:
- wszystkie dane są przechowywane i przetwarzane w Unii Europejskiej;
- rozdzielenie danych klientów wymuszone w bazie danych (row-level security) i automatycznie testowane;
- szyfrowanie w transmisji (TLS) i w spoczynku;
- dostęp według ról w każdej organizacji;
- automatyczna wstępna weryfikacja nie otrzymuje imion, nazwisk ani adresów e-mail, a jedynie wpis o utworze;
- dziennik zdarzeń dla zgłoszeń, decyzji i zmian administracyjnych;
- logi bez treści zgłoszeń, imion, nazwisk i adresów e-mail.
7. Podprzetwarzający
7.1. Administrator udziela ogólnej zgody na korzystanie z podprzetwarzających wymienionych poniżej. Podmiot przetwarzający informuje Administratora o zamiarze dodania lub zmiany podprzetwarzającego co najmniej 30 dni wcześniej; Administrator może zgłosić uzasadniony sprzeciw.
| Podprzetwarzający | Cel | Miejsce przetwarzania |
|---|---|---|
| Supabase, Inc. | Baza danych, uwierzytelnianie, przechowywanie plików | UE (Frankfurt, AWS eu-central-1) |
| Vercel Inc. | Hosting aplikacji | UE (Frankfurt, fra1) |
| Amazon Web Services EMEA SARL | Wstępna weryfikacja AI (Amazon Bedrock); wysyłka e-maili (Amazon SES), po uruchomieniu | UE (regiony AWS w UE; główny region Frankfurt, eu-central-1) |
7.2. Podmiot przetwarzający nakłada na każdego podprzetwarzającego obowiązki ochrony danych nie mniej rygorystyczne niż w niniejszej Umowie powierzenia.
7.3. [Do potwierdzenia w przeglądzie prawnym: podstawa przekazania dla podprzetwarzających, których spółka dominująca ma siedzibę poza EOG, np. standardowe klauzule umowne lub EU–US Data Privacy Framework.]
8. Pomoc dla Administratora
8.1. Uwzględniając charakter przetwarzania, Podmiot przetwarzający pomaga Administratorowi w zakresie:
- żądań osób, których dane dotyczą (Usługa pozwala administratorom eksportować i poprawiać dane danej osoby);
- bezpieczeństwa, zgłaszania naruszeń, ocen skutków dla ochrony danych i uprzednich konsultacji (art. 32–36 RODO). Materiał pomocniczy do DPIA jest opublikowany pod adresem /dpia.
9. Naruszenia ochrony danych
9.1. Podmiot przetwarzający zawiadamia Administratora bez zbędnej zwłoki, nie później niż w ciągu [48] godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego danych Administratora, przekazując dostępne wówczas informacje.
10. Zwrot i usunięcie danych
10.1. W trakcie umowy Administrator może w każdej chwili wyeksportować swoje dane. Po zakończeniu umowy Podmiot przetwarzający usuwa dane osobowe Administratora w ciągu [30] dni, chyba że prawo Unii lub państwa członkowskiego nakazuje ich przechowywanie.
10.2. Administrator może ustawić w Usłudze okres przechowywania; dane starsze niż ten okres są usuwane podczas corocznego czyszczenia.
11. Audyty
11.1. Podmiot przetwarzający udostępnia informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia przeprowadzanie audytów, w tym inspekcji, przez Administratora lub upoważnionego audytora, po uprzednim zawiadomieniu i na koszt Administratora.
12. Odpowiedzialność i prawo właściwe
12.1. [Odpowiedzialność zgodnie z umową główną.]
12.2. Umowa powierzenia podlega prawu polskiemu. [Sąd właściwy do potwierdzenia.]
Strony
Podmiot przetwarzający: Kronikapracy [forma prawna, adres i numer rejestrowy do uzupełnienia] Administrator: [klient] Kontakt: formularz kontaktowy na stronie /contact