Umowa powierzenia przetwarzania danych
Tłumaczenie pomocnicze. Wiążąca jest wersja angielska (Regulamin pkt 12.4).
Wersja 1.0, obowiązuje od 1 listopada 2026 r. Stanowi część Regulaminu.
1. Strony i role
1.1 Administrator: Klient, który zaakceptował Regulamin. Podmiot przetwarzający: KFBASE LTD, numer spółki 17554532, 5 Hereward Close, Impington CB24 9NH, United Kingdom.
1.2 Przedstawiciel Podmiotu przetwarzającego w Unii Europejskiej na podstawie art. 27 RODO: Michal Kolakowski, Dzielin 7, 06-415 Czernice Borowe, Polska, gdpr-representative@kfbase.com.
1.3 Niniejsza Umowa reguluje przetwarzanie danych osobowych zawartych w Danych Klienta (zgodnie z definicją w Regulaminie) na podstawie art. 28 RODO (rozporządzenie (UE) 2016/679) oraz UK GDPR, łącznie zwanych Przepisami o ochronie danych.
2. Przedmiot, czas trwania, charakter i cel
2.1 Przedmiot i cel: świadczenie Usługi opisanej w Regulaminie — planowanie i rejestrowanie pracy w terenie, komunikacja, godziny i nieobecności, finanse projektów, oferty i faktury.
2.2 Charakter: przechowywanie, porządkowanie, wyświetlanie, przesyłanie (w tym do dostawcy usług fakturowych Klienta na jego polecenie), tworzenie kopii zapasowych i usuwanie.
2.3 Czas trwania: przez cały okres obowiązywania Regulaminu i do czasu usunięcia danych zgodnie z sekcją 10.
2.4 Kategorie osób, których dane dotyczą: właściciele, personel biurowy i pracownicy Klienta; klienci Klienta i ich osoby kontaktowe; inne osoby, których dane Klient zapisuje (np. podwykonawcy).
2.5 Rodzaje danych osobowych:
- dane identyfikacyjne i kontaktowe: imię i nazwisko, e-mail, telefon, adres; nazwy klientów, adresy, numery podatkowe (NIP, VAT), osoby kontaktowe;
- ewidencja pracy: zadania i przydziały, godziny rozpoczęcia, wstrzymania, wznowienia i zakończenia pracy, godziny, korekty, zatwierdzenia; lokalizacja (GPS) w chwili rozpoczęcia, wznowienia i zakończenia pracy, wyłącznie jeśli Klient ją włączył (domyślnie wyłączona; nigdy w sposób ciągły);
- treści: wiadomości w rozmowach w zadaniach oraz w czatach firmy i projektów (nie ma rozmów prywatnych; biuro Klienta może czytać wszystkie), notatki, zdjęcia, filmy, notatki głosowe, pliki;
- dane związane z zatrudnieniem: godzinowe stawki kosztowe, nieobecności (urlop wypoczynkowy, urlop bezpłatny, inne);
- szczególne kategorie danych: nieobecności typu zwolnienie lekarskie (w Polsce L4) ujawniają informacje o zdrowiu; Klient określa i dokumentuje przesłankę z art. 9 oraz krajowe przepisy, na których się opiera (np. art. 9 ust. 2 lit. b RODO w związku z Kodeksem pracy, a w Wielkiej Brytanii art. 9 ust. 2 lit. b UK GDPR w związku z przesłanką dotyczącą zatrudnienia z Schedule 1 Part 1 Data Protection Act 2018 oraz odpowiednim dokumentem polityki (appropriate policy document));
- dane finansowe w ofertach i fakturach; dane urządzeń na potrzeby powiadomień push.
3. Obowiązki Podmiotu przetwarzającego
Podmiot przetwarzający:
3.1 przetwarza dane wyłącznie na udokumentowane polecenie Klienta — Regulamin, niniejsza Umowa oraz korzystanie przez Klienta z funkcji Usługi — chyba że prawo stanowi inaczej (w takim przypadku najpierw informuje o tym Klienta, chyba że prawo tego zabrania); oraz informuje Klienta, jeśli uzna, że polecenie narusza Przepisy o ochronie danych;
3.2 zapewnia, że osoby upoważnione do przetwarzania danych są zobowiązane do zachowania poufności;
3.3 wdraża środki techniczne i organizacyjne określone w Załączniku 2;
3.4 korzysta z usług podmiotów podprzetwarzających (dalszych podmiotów przetwarzających) wyłącznie zgodnie z sekcją 4;
3.5 pomaga Klientowi, w miarę możliwości i z uwzględnieniem charakteru przetwarzania, w obsłudze żądań osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, przenoszenie…), głównie za pomocą własnych funkcji Usługi (przeglądanie, eksport, edycja rekordów, usuwanie osób oraz usuwanie danych osób usuniętych i klientów zarchiwizowanych — ich nazwy są zastępowane, a dane kontaktowe usuwane; treści w dzienniku zadań, które nadal pozwalają ich zidentyfikować, takie jak tekst, zdjęcia lub notatki głosowe, są usuwane lub redagowane przez Podmiot przetwarzający na polecenie Klienta), a także w wywiązywaniu się przez Klienta z obowiązków określonych w art. 32–36 RODO / UK GDPR: bezpieczeństwo przetwarzania, zgłaszanie naruszeń ochrony danych osobowych organowi nadzorczemu i zawiadamianie o nich osób, których dane dotyczą, ocena skutków dla ochrony danych oraz uprzednie konsultacje z organem nadzorczym. Jeśli polecenie usunięcia danych jest sprzeczne z obowiązkiem ich przechowywania (np. dokumentacji pracowniczej, którą Klient musi przechowywać), Podmiot przetwarzający informuje o tym Klienta i usuwa lub pseudonimizuje tylko to, co Klient potwierdzi jako możliwe do usunięcia;
3.6 zgłasza Klientowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, a w każdym przypadku w ciągu 48 godzin od jego stwierdzenia, wraz z dostępnymi informacjami, oraz pomaga Klientowi w dokonaniu jego własnych zgłoszeń;
3.7 udostępnia informacje niezbędne do wykazania zgodności i umożliwia przeprowadzanie audytów zgodnie z sekcją 8;
3.8 nie wykorzystuje Danych Klienta do własnych celów, nie sprzedaje ich ani nie łączy ich z danymi innych klientów.
4. Podmioty podprzetwarzające
4.1 Klient udziela ogólnego upoważnienia do korzystania z podmiotów podprzetwarzających wymienionych w Załączniku 1.
4.2 Podmiot przetwarzający informuje Klienta o każdym zamierzonym dodaniu lub zastąpieniu z co najmniej 30-dniowym wyprzedzeniem (e-mailem i w Usłudze). Klient może wnieść sprzeciw z uzasadnionych powodów dotyczących ochrony danych; jeśli strony nie mogą dojść do porozumienia, Klient może rozwiązać umowę na podstawie Regulaminu i otrzymać proporcjonalny zwrot opłat uiszczonych z góry.
4.3 Podmiot przetwarzający nakłada na każdy podmiot podprzetwarzający w drodze umowy te same obowiązki w zakresie ochrony danych i pozostaje za nie odpowiedzialny.
4.4 Własny dostawca usług fakturowych Klienta (Fakturownia, Xero) nie jest podmiotem podprzetwarzającym: Klient zawiera z nim umowę bezpośrednio i poleca przekazywanie danych, podłączając swoje konto.
5. Dostęp serwisowy
Upoważniony personel Podmiotu przetwarzającego może przeglądać firmę Klienta w trybie tylko do odczytu wyłącznie w celu zbadania problemu zgłoszonego przez Klienta lub zapewnienia bezpieczeństwa Usługi. Taki dostęp jest ograniczony czasowo (jedna godzina na sesję), rejestrowany w dzienniku audytu i nie pozwala na zmianę żadnych danych.
6. Lokalizacja danych i przekazywanie danych
6.1 Dane Klienta są przechowywane w Unii Europejskiej (serwer: Hetzner, Niemcy; pliki i kopie zapasowe: Cloudflare R2 z jurysdykcją UE).
6.2 Przekazywanie danych podmiotom podprzetwarzającym spoza Wielkiej Brytanii/EOG (Załącznik 1) odbywa się: w przypadku danych podlegających RODO — na podstawie Ram ochrony danych UE–USA (EU–US Data Privacy Framework), jeśli odbiorca posiada certyfikację, a w pozostałych przypadkach na podstawie standardowych klauzul umownych Komisji Europejskiej (decyzja (UE) 2021/914, moduł trzeci: podmiot przetwarzający – podmiot przetwarzający); w przypadku danych podlegających UK GDPR — na podstawie brytyjskiego rozszerzenia Ram ochrony danych (UK Extension to the Data Privacy Framework), jeśli odbiorca do niego przystąpił, a w pozostałych przypadkach na podstawie brytyjskiej umowy o międzynarodowym przekazywaniu danych (UK International Data Transfer Agreement) lub brytyjskiego aneksu do tych klauzul (UK Addendum).
6.3 Przekazywanie danych do Podmiotu przetwarzającego (UE → Wielka Brytania). Podmiot przetwarzający ma siedzibę w Wielkiej Brytanii. Dane osobowe podlegające RODO są mu przekazywane na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony w odniesieniu do Wielkiej Brytanii (odnowionej 19 grudnia 2025 r., obowiązującej do 27 grudnia 2031 r.), tak długo, jak ta decyzja obowiązuje.
6.4 Rozwiązanie awaryjne: standardowe klauzule umowne. Jeśli ta decyzja stwierdzająca odpowiedni stopień ochrony przestanie obowiązywać albo zostanie zawieszona lub unieważniona, a nie zostanie zastąpiona nową, przekazywanie danych przez Klienta (jako podmiot eksportujący dane) do Podmiotu przetwarzającego (jako podmiotu importującego dane) od tej chwili podlega standardowym klauzulom umownym Komisji Europejskiej (decyzja wykonawcza (UE) 2021/914), moduł drugi (administrator – podmiot przetwarzający), uzupełnionym w sposób określony w Załączniku 3 i włączonym do niniejszej Umowy przez odesłanie; akceptując Regulamin, obie strony zgadzają się być nimi związane od tej chwili, a akceptacja ta stanowi podpisanie klauzul. Pełny, urzędowy tekst klauzul jest publikowany przez Unię Europejską pod adresem https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj (ma zastosowanie moduł drugi, z wyborami określonymi w Załączniku 3). W razie sprzeczności z niniejszą Umową pierwszeństwo mają klauzule. Rozwiązanie awaryjne obejmuje wyłącznie przekazywanie danych do Podmiotu przetwarzającego; dalsze przekazywanie danych podmiotom podprzetwarzającym nadal podlega pkt 6.2 i Załącznikowi 1.
7. Obowiązki Klienta
Klient odpowiada za zgodność z prawem przetwarzania, które zleca, w tym za podstawę prawną dla każdej kategorii danych — w przypadku danych o zdrowiu w nieobecnościach typu zwolnienie lekarskie za przesłankę z art. 9 i mające do nich zastosowanie przepisy krajowe (pkt 2.5); w przypadku zdarzeń lokalizacji przy pracy za swój prawnie uzasadniony interes lub przepisy prawa pracy — oraz za informowanie swoich pracowników i klientów w sposób wymagany przez Przepisy o ochronie danych i prawo pracy, w tym przez przepisy dotyczące monitorowania pracowników (w Polsce Kodeks pracy art. 22³).
Włączenie lokalizacji przy pracy (w Ustawieniach lub podczas łączenia telefonu) stanowi udokumentowane polecenie Klienta przetwarzania danych o lokalizacji; osoba, która ją włącza, potwierdza wyświetlone oświadczenia, a Podmiot przetwarzający przechowuje zapis (kto, kiedy, która wersja). Potwierdzenie dokumentuje decyzję Klienta; nie czyni przetwarzania zgodnym z prawem, za co nadal odpowiada Klient. Wyłączenie lokalizacji cofa polecenie w odniesieniu do nowych wpisów.
Klient zwalnia Podmiot przetwarzający z odpowiedzialności zgodnie z pkt 9A Regulaminu (do limitu określonego w pkt 9A.4, w odniesieniu do roszczeń, szkód i kosztów spowodowanych przez Klienta, w tym przetwarzania zleconego bez podstawy prawnej lub bez poinformowania osób, których dane dotyczą). Odpowiedzialność Podmiotu przetwarzającego na podstawie niniejszej Umowy jest ograniczona zgodnie z pkt 9 Regulaminu.
8. Audyty
Podmiot przetwarzający odpowiada na uzasadnione pisemne pytania dotyczące przestrzegania przez niego przepisów i udostępnia odpowiednią dokumentację. Audyty na miejscu są możliwe raz w roku, z 30-dniowym wyprzedzeniem, w godzinach pracy, na koszt Klienta, przez audytora zobowiązanego do zachowania poufności, chyba że naruszenie lub organ nadzorczy wymaga innego trybu.
9. Odpowiedzialność
Odpowiedzialność na podstawie niniejszej Umowy określa Regulamin, z wyjątkiem przypadków, w których Przepisy o ochronie danych nie pozwalają jej ograniczyć.
10. Zakończenie przetwarzania
10.1 Klient może w dowolnym momencie bezpłatnie eksportować swoje dane (Regulamin pkt 4.4); zmiana dostawcy na inną usługę, okres przejściowy i okres pobierania danych podlegają pkt 10A Regulaminu (unijny akt w sprawie danych, Data Act).
10.2 Zwrot lub usunięcie. Po zakończeniu świadczenia usług Klient wybiera, czy jego dane mają zostać zwrócone (eksport określony w pkt 4.4 Regulaminu, dostępny do końca okresu pobierania danych), czy usunięte. Kolejność jest następująca: zamknięcie firmy; okres pobierania danych wynoszący 30 dni, w którym firmę można przywrócić i eksportować (Regulamin pkt 4.5, 10A.6); następnie usunięcie Danych Klienta z Usługi; następnie ich zniknięcie z kopii zapasowych w ciągu kolejnych 30 dni. Dane są przechowywane dłużej tylko wtedy, gdy wymaga tego prawo Unii, prawo państwa członkowskiego lub prawo Wielkiej Brytanii. Na żądanie Podmiot przetwarzający potwierdza usunięcie na piśmie.
11. Prawo właściwe
Niniejsza Umowa oraz wszelkie spory lub roszczenia (w tym spory lub roszczenia pozaumowne) wynikające z niej lub z nią związane podlegają prawu Anglii i Walii, a wyłączną jurysdykcję mają sądy Anglii i Walii, na tych samych zasadach co w sekcji 12 Regulaminu.
Załącznik 1 – Podmioty podprzetwarzające
Aktualna lista jest prowadzona w rejestrze podmiotów podprzetwarzających i publikowana wraz z niniejszą Umową; o zmianach informujemy zgodnie z pkt 4.2.
| Podmiot podprzetwarzający | Usługa | Dane | Lokalizacja |
|---|---|---|---|
| Hetzner Online GmbH | Serwer, na którym działa Usługa, i baza danych | wszystkie Dane Klienta | UE (Niemcy) |
| Cloudflare, Inc. | Szyfrowane połączenie (Tunnel/HTTPS); przechowywanie plików i kopii zapasowych bazy danych w R2; routing poczty e-mail dla adresów @kfbase.com | wszystkie Dane Klienta (w transmisji; pliki i kopie zapasowe w spoczynku w UE); e-maile wysyłane do nas | przechowywanie w UE, sieć globalna |
| Expo (650 Industries, Inc.) | Dostarczanie powiadomień push | treść powiadomienia (np. tytuł zadania, imię i nazwisko nadawcy), token urządzenia | USA |
| Google LLC (Firebase Cloud Messaging) | Powiadomienia push na telefony z Androidem | treść powiadomienia, token urządzenia | USA / globalnie |
| Apple Inc. (Push Notification service) | Powiadomienia push na iPhone’y | treść powiadomienia, token urządzenia | USA / globalnie |
| GitHub, Inc. | Zgłoszenia problemów wysyłane z aplikacji (prywatne repozytorium) | treść zgłoszenia i dane diagnostyczne, tylko z identyfikatorami (bez imienia i nazwiska, e-maila i nazwy firmy) | USA |
| Google LLC (Google Workspace) | Nasza firmowa poczta e-mail i dokumenty (zgłoszenia do wsparcia i korespondencja z klientami) | Dane Klienta, które klienci lub ich ludzie nam przesyłają, np. w zgłoszeniach do wsparcia | USA / globalnie |
Stripe (płatności) oraz logowanie przez Google lub Apple przetwarzają dane posiadaczy kont Klienta do własnych celów Podmiotu przetwarzającego (zob. Polityka prywatności), a nie Dane Klienta.
Załącznik 2 – Środki techniczne i organizacyjne
- Szyfrowanie w transmisji: HTTPS/TLS dla wszystkich połączeń (strona internetowa, aplikacja na telefon, wysyłanie i pobieranie plików z magazynu danych za pomocą krótkotrwałych podpisanych linków).
- Szyfrowanie w spoczynku: sekrety podmiotów trzecich (tokeny fakturowe) szyfrowane za pomocą AES-256-GCM; kopie zapasowe i pliki przechowywane przez Cloudflare R2 (szyfrowane w spoczynku przez dostawcę). Dysk serwera (Hetzner Cloud, Niemcy) nie jest szyfrowany na poziomie systemu operacyjnego ani wolumenu. Fizyczny dostęp do sprzętu jest kontrolowany przez zabezpieczenia centrum danych dostawcy hostingu; logiczny dostęp do serwera jest ograniczony regułami zapory sieciowej i uwierzytelnianiem SSH opartym na kluczach.
- Rozdzielenie klientów: każdy rekord należy do jednej firmy, a każde żądanie jest sprawdzane pod tym kątem; testy automatyczne sprawdzają, że żadna firma nie może odczytać danych innej.
- Kontrola dostępu: logowanie przez Google lub Apple (nie przechowujemy haseł); telefony łączone za pomocą jednorazowych kodów QR; role (właściciel, administrator, pracownik); pracownicy widzą tylko swoje zadania; nie ma prywatnych rozmów, każda rozmowa jest widoczna dla biura Klienta (właściciel, administratorzy); rozmowy projektów również dla zespołu projektu.
- Integralność ewidencji: dziennika zadań i wpisów pracy nie można w Usłudze edytować ani usuwać; korekty godzin wprowadzane przez biuro są dodawane jako nowe wpisy z oznaczeniem autora. Wyjątki, oba odnotowywane: położenia starsze niż okres przechowywania usuwane na podstawie decyzji Klienta oraz treści usuwane lub redagowane na polecenie Klienta w celu usunięcia danych osoby (pkt 3.5).
- Dostępność i odtwarzanie: ciągła replikacja bazy danych do odrębnego magazynu z 30-dniową historią i codziennymi migawkami; automatyczne odtworzenie na nowym serwerze.
- Administracja: dostęp do serwera wyłącznie za pomocą kluczy SSH, zapora sieciowa zamknięta z wyjątkiem SSH, automatyczne aktualizacje zabezpieczeń; wdrożenia wyłącznie ze zweryfikowanego repozytorium kodu; dostęp serwisowy tylko do odczytu i rejestrowany.
- Minimalizacja: lokalizacja domyślnie wyłączona; gdy Klient ją włączy, zapisywana tylko w chwili rozpoczęcia, wznowienia i zakończenia pracy, nigdy w sposób ciągły ani w tle; położenia przechowywane domyślnie przez 36 miesięcy, po czym Klient jest proszony w Ustawieniach o ich usunięcie lub zachowanie na kolejne 12, 24 lub 36 miesięcy (decyzja jest odnotowywana); brak narzędzi analitycznych i reklamowych narzędzi śledzących; dane demonstracyjne usuwane automatycznie.
- Ludzie: dostęp ograniczony do upoważnionego personelu Podmiotu przetwarzającego, zobowiązanego do zachowania poufności.
Załącznik 3 – Standardowe klauzule umowne (rozwiązanie awaryjne na podstawie pkt 6.4)
Moduł drugi (administrator – podmiot przetwarzający) klauzul zawartych w decyzji wykonawczej (UE) 2021/914 ma zastosowanie z następującymi wyborami:
- Klauzula 7 (klauzula dokująca): nie jest stosowana.
- Klauzula 9 lit. a (podmioty podprzetwarzające): opcja 2, ogólne pisemne upoważnienie; podmiot importujący dane informuje podmiot eksportujący dane o zamierzonych zmianach z co najmniej 30-dniowym wyprzedzeniem (pkt 4.2 niniejszej Umowy). Listę zawiera Załącznik 1.
- Klauzula 11 lit. a (środki ochrony prawnej): fakultatywny niezależny organ rozstrzygania sporów nie jest stosowany.
- Klauzula 13 (nadzór): właściwym organem nadzorczym jest organ odpowiedzialny za zapewnienie przestrzegania przez podmiot eksportujący dane rozporządzenia (UE) 2016/679 w odniesieniu do przekazania danych — zwykle organ państwa członkowskiego UE, w którym Klient ma siedzibę (w przypadku Klienta z Polski Prezes Urzędu Ochrony Danych Osobowych). Przedstawiciel Podmiotu przetwarzającego na podstawie art. 27 RODO znajduje się w Polsce (pkt 1.2).
- Klauzula 17 (prawo właściwe): opcja 2, prawo państwa członkowskiego UE, w którym podmiot eksportujący dane ma siedzibę; jeśli prawo to nie przewiduje praw osób trzecich będących beneficjentami, prawo Polski.
- Klauzula 18 (wybór sądu): sądy państwa członkowskiego UE, w którym podmiot eksportujący dane ma siedzibę.
Załącznik I do klauzul. A. Strony: podmiot eksportujący dane — Klient: jego nazwa, adres siedziby, kraj i numer podatkowy zapisane w Usłudze (Ustawienia → Firma, uzupełniane na podstawie jego danych rozliczeniowych w Stripe, dopóki są puste), kontakt: e-mail jego właściciela w Usłudze; rola: administrator; podmiot importujący dane — KFBASE LTD (pkt 1.1, kontakt office@kfbase.com), rola: podmiot przetwarzający; obie strony podpisują, akceptując Regulamin. B. Opis przekazania: zgodnie z sekcją 2 niniejszej Umowy (kategorie osób, których dane dotyczą, i danych osobowych, szczególne kategorie danych — nieobecności, w tym zwolnienia lekarskie — z zabezpieczeniami określonymi w Załączniku 2; ciągłe przekazywanie przez okres obowiązywania Regulaminu; charakter i cel przetwarzania; przechowywanie zgodnie z sekcją 10; podmioty podprzetwarzające zgodnie z Załącznikiem 1). C. Właściwy organ nadzorczy: organ państwa członkowskiego Klienta, zgodnie z klauzulą 13 powyżej.
Załącznik II do klauzul. Środki techniczne i organizacyjne określone w Załączniku 2 niniejszej Umowy.
Załącznik III do klauzul. Podmioty podprzetwarzające wymienione w Załączniku 1 niniejszej Umowy.