Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

Niniejsza umowa stanowi nieodłączną część Regulaminu serwisu R-G i wiąże Strony z chwilą rozpoczęcia korzystania z usługi. Klient zawiera ją z FeGrro Dominik Grzenia automatycznie akceptując Regulamin przy rejestracji konta.

§1. Strony umowy

Administrator danych — Klient (firma) korzystająca z Serwisu R-G, której dane konta zostały podane przy rejestracji.
Procesor — FeGrro Dominik Grzenia, ul. Na Równiku 1, 83-314 Sławki, NIP: 5892037971, prowadzący Serwis R-G.

§2. Przedmiot powierzenia

Administrator powierza Procesorowi przetwarzanie danych osobowych pracowników, brygadzistów, podwykonawców oraz innych osób, które Administrator wprowadza do Serwisu w celu prowadzenia ewidencji czasu pracy, dokumentacji BHP, wynagrodzeń i powiązanych operacji.

§3. Zakres i rodzaj danych

• dane identyfikacyjne pracowników: imię, nazwisko, ewentualnie PESEL/NIP, telefon,
• dane czasu pracy: godziny rozpoczęcia/zakończenia, miejsca pracy, urlopy, nieobecności,
• dane wynagrodzeń: stawki, zaliczki, premie, potrącenia (jeżeli Klient z nich korzysta),
• dane BHP: szkolenia, dokumenty, terminy ważności badań,
• zdjęcia (jeżeli Klient przesyła je w ramach raportów),
• dane logowania osób użytkujących aplikację w imieniu Klienta (adres IP, urządzenie).

§4. Cel przetwarzania

Procesor przetwarza powierzone dane wyłącznie w celu i zakresie niezbędnym do świadczenia Administratorowi usługi Serwisu R-G — tj. udostępnienia funkcjonalności ewidencji, raportowania, powiadomień, integracji (Przelewy24, Fakturownia, Resend) — zgodnie z udokumentowanymi poleceniami Administratora.

§5. Czas trwania

Umowa powierzenia obowiązuje przez czas trwania umowy o świadczenie usługi Serwisu R-G, tj. od chwili rejestracji do momentu trwałego usunięcia konta Klienta.

§6. Obowiązki Procesora

• przetwarza dane wyłącznie na udokumentowane polecenie Administratora;
• zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy;
• wdraża odpowiednie środki techniczne i organizacyjne (art. 32 RODO) — w szczególności: szyfrowanie TLS 1.3, bcrypt + AES-256, izolacja danych między tenantami, audyt logowań, 2FA dla administratorów, regularne kopie zapasowe;
• pomaga Administratorowi w realizacji obowiązków wobec osób, których dane dotyczą (art. 12-23 RODO) — m.in. udostępnia narzędzia eksportu i usunięcia danych w panelu;
• pomaga przy ocenie skutków dla ochrony danych (DPIA), gdy jest to wymagane;
• informuje Administratora niezwłocznie (do 24 h) o stwierdzonym naruszeniu ochrony danych;
• po zakończeniu świadczenia usługi — w zależności od decyzji Administratora — zwraca lub usuwa dane, chyba że obowiązek prawny stanowi inaczej.

§7. Podpowierzenie (sub-procesorzy)

Administrator wyraża ogólną zgodę na powierzenie przetwarzania następującym sub-procesorom:

• PayPro S.A. (Przelewy24) — obsługa płatności (siedziba: Poznań, Polska),
• Resend, Inc. — dostarczanie e-maili transakcyjnych (siedziba: USA — przetwarzanie oparte o standardowe klauzule umowne SCC zgodne z art. 46 RODO),
• Fakturownia Sp. z o.o. — wystawianie faktur VAT (Polska),
• MongoDB Atlas (region EU) — hosting bazy danych (Frankfurt, Niemcy),
• Cloudflare, Inc. — proxy CDN i ochrona DDoS (przetwarzanie metadanych ruchu).

O zmianie listy sub-procesorów Procesor poinformuje Administratora z 30-dniowym wyprzedzeniem e-mailem. Administrator ma prawo zgłosić sprzeciw — w takim przypadku Strony rozwiążą umowę.

§8. Transfer poza EOG

Główna infrastruktura znajduje się w EU (MongoDB Atlas Frankfurt). W przypadku Resend (USA) i Cloudflare transfer odbywa się na podstawie standardowych klauzul umownych Komisji Europejskiej (SCC) — Procesor zapewnia adekwatny stopień ochrony zgodnie z art. 46 RODO.

§9. Bezpieczeństwo i audyt

Administrator ma prawo do audytu Procesora w zakresie przestrzegania niniejszej umowy. Audyt poprzedzony zostaje pisemnym powiadomieniem z 30-dniowym wyprzedzeniem i nie może być częstszy niż raz na 12 miesięcy. Procesor udostępnia również okresowe certyfikaty bezpieczeństwa (jeśli zostaną wystawione przez podmioty zewnętrzne).

§10. Naruszenia ochrony danych

W przypadku naruszenia ochrony danych Procesor:

• powiadamia Administratora niezwłocznie, najpóźniej w ciągu 24 godzin od stwierdzenia;
• przekazuje opis zdarzenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, prawdopodobne konsekwencje oraz środki zaradcze;
• współpracuje z Administratorem przy zgłoszeniu naruszenia do PUODO (jeżeli wymagane).

§11. Odpowiedzialność

Każda ze Stron ponosi odpowiedzialność za szkody wyrządzone drugiej Stronie w związku z niewykonaniem lub nienależytym wykonaniem obowiązków wynikających z RODO oraz niniejszej umowy. Odpowiedzialność Procesora ograniczona jest do wysokości opłat zapłaconych przez Administratora w ostatnich 12 miesiącach, z wyjątkiem działania umyślnego lub rażącego niedbalstwa.

§12. Postanowienia końcowe

Zmiany niniejszej Umowy wymagają formy elektronicznej (akceptacji nowej wersji w panelu). W sprawach nieuregulowanych zastosowanie mają przepisy RODO i prawa polskiego.

Data wejścia w życie: 15 czerwca 2026 r. · Wersja: 1.0