Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu usługi TrainingHub. Umowa w rozumieniu art. 28 ust. 3 RODO, zawierana w formie elektronicznej (art. 28 ust. 9 RODO) wraz z akceptacją Regulaminu.

§ 1. Strony i zawarcie

1. Umowę powierzenia przetwarzania danych osobowych (dalej: Umowa powierzenia) zawierają:
   1. Klient w rozumieniu Regulaminu — jako Administrator danych osobowych, oraz
   2. Andrzej Pawłowski Consulting, ul. Na Laski 42L/1, 05-825 Grodzisk Mazowiecki, NIP 5222621389 — jako Procesor.
2. Umowa powierzenia jest zawierana z chwilą zawarcia Umowy (Regulamin § 8), także o Wersję testową (Regulamin § 7). Administrator może zapoznać się z jej treścią przed akceptacją; Procesor przechowuje zaakceptowaną wersję tak, aby można ją było odtworzyć.
3. Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie. RODO oznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.
4. W sprawach przetwarzania powierzonych danych Umowa powierzenia ma pierwszeństwo przed Regulaminem.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Przedmiotem jest przetwarzanie danych osobowych w imieniu Administratora przy świadczeniu usługi TrainingHub na podstawie Umowy.
2. Charakter: przetwarzanie w systemach informatycznych Procesora i jego podprocesorów — zbieranie (w tym przez ankietę i import raportów obecności), utrwalanie, przechowywanie, porządkowanie, przeglądanie, tworzenie dokumentów i raportów, udostępnianie na Stronach weryfikacji, usuwanie.
3. Cel: wyłącznie świadczenie usług opisanych w Regulaminie: prowadzenie ewidencji szkoleń, uczestników i obecności, ankieta poszkoleniowa, raport z podsumowaniem AI, certyfikaty, zaświadczenia i inne dokumenty szkolenia, Strony weryfikacji, Link trenera, statystyki, pomoc techniczna.
4. Procesor nie przetwarza powierzonych danych do celów własnych, w szczególności nie wykorzystuje ich do marketingu ani do trenowania modeli sztucznej inteligencji.

§ 3. Czas przetwarzania

1. Umowa powierzenia obowiązuje przez czas trwania Umowy i przez okres dostępu tylko do odczytu po jej zakończeniu (Regulamin § 14 ust. 4).
2. Po tym czasie Procesor przetwarza dane tylko w zakresie i przez czas potrzebny do ich usunięcia (§ 10) oraz utrzymania Stron weryfikacji (§ 11).

§ 4. Rodzaje danych i kategorie osób

1. Powierzenie obejmuje:

2. Powierzenie nie obejmuje szczególnych kategorii danych (art. 9 RODO) ani danych o wyrokach (art. 10 RODO). Aplikacja nie ma pól na PESEL ani numery dokumentów, a Administrator zobowiązuje się nie wpisywać takich danych w pola notatek.
3. Administrator odpowiada za podstawę prawną przetwarzania, realizację obowiązku informacyjnego wobec osób, których dane wprowadza (art. 13 i 14 RODO), i za zakres danych wpisywanych w pola tekstowe.

§ 5. Obowiązki i uprawnienia Administratora

1. Administrator:
   1. wydaje Procesorowi udokumentowane polecenia (§ 6 ust. 1);
   2. zapewnia podstawę prawną przetwarzania i informuje osoby, których dane dotyczą;
   3. zarządza Kontami i Linkami trenera w Aplikacji i odpowiada za działania osób, którym dał dostęp;
   4. decyduje o wydaniu, poprawieniu i usunięciu certyfikatów oraz o danych na Stronach weryfikacji.
2. Administrator ma prawo żądać od Procesora informacji niezbędnych do wykazania zgodności z art. 28 RODO i prawo audytu (§ 12).

§ 6. Obowiązki Procesora

Procesor:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem jest Umowa, Umowa powierzenia, konfiguracja i czynności wykonane przez Administratora w Aplikacji oraz polecenia przesłane e-mailem — także co do przekazywania danych do państwa trzeciego (§ 9), chyba że obowiązek przetwarzania nakłada na Procesora prawo Unii albo państwa członkowskiego; wtedy przed rozpoczęciem przetwarzania informuje o nim Administratora, o ile prawo nie zabrania tego z uwagi na ważny interes publiczny;
2. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy albo podlegają ustawowemu obowiązkowi tajemnicy, a upoważnienia są udokumentowane;
3. stosuje środki bezpieczeństwa wymagane przez art. 32 RODO, co najmniej opisane w załączniku A;
4. przestrzega warunków korzystania z podprocesorów (§ 7);
5. pomaga Administratorowi odpowiadać na żądania osób, których dane dotyczą (rozdział III RODO), w szczególności przez funkcje Aplikacji: podgląd i poprawianie danych, usunięcie danych osoby ze wszystkich miejsc w Aplikacji jednym poleceniem („Usuń dane (RODO)”); żądanie skierowane bezpośrednio do Procesora przekazuje Administratorowi bez zbędnej zwłoki, najpóźniej w ciągu 5 dni roboczych;
6. pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń — § 13, ocena skutków i uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne mu informacje;
7. po zakończeniu świadczenia usług usuwa albo zwraca dane na zasadach § 10 i § 11;
8. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty (§ 12);
9. niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO albo inne przepisy o ochronie danych;
10. prowadzi rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO) w zakresie, w jakim jest do tego zobowiązany, i współpracuje z Prezesem UODO.

§ 7. Podprocesorzy

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z podprocesorów wymienionych w załączniku B.
2. O każdej zamierzonej zmianie (dodanie albo zastąpienie podprocesora) Procesor informuje Administratora na Trwałym nośniku co najmniej 30 dni przed powierzeniem mu danych.
3. Administrator może w tym czasie zgłosić uzasadniony sprzeciw. Strony szukają wtedy w dobrej wierze innego rozwiązania. Jeżeli nie jest ono możliwe, Administrator może rozwiązać Umowę ze skutkiem na dzień poprzedzający powierzenie danych nowemu podprocesorowi; przy opłaconym okresie rocznym Procesor zwraca opłatę za pełne niewykorzystane miesiące.
4. Procesor nakłada na każdego podprocesora — umową albo innym aktem prawnym — te same obowiązki ochrony danych co w Umowie powierzenia, w szczególności obowiązek stosowania odpowiednich środków bezpieczeństwa. Za wykonanie obowiązków przez podprocesora Procesor odpowiada wobec Administratora jak za własne działania.

§ 8. Środki bezpieczeństwa

1. Procesor stosuje co najmniej środki opisane w załączniku A.
2. Procesor może zmieniać środki, jeżeli nie obniża to ogólnego poziomu bezpieczeństwa przetwarzania.

§ 9. Przekazywanie danych poza EOG

1. Aplikacja i baza danych działają na serwerach w Polsce.
2. Przekazanie danych do państwa trzeciego następuje wyłącznie przez podprocesorów z załącznika B i wyłącznie z zabezpieczeniami z rozdziału V RODO: decyzją Komisji stwierdzającą odpowiedni stopień ochrony (w tym EU-U.S. Data Privacy Framework dla podmiotów certyfikowanych) albo standardowymi klauzulami umownymi.
3. Na żądanie Administratora Procesor podaje podstawę przekazania stosowaną przez danego podprocesora i udostępnia kopię odpowiednich zabezpieczeń (np. standardowych klauzul umownych).

§ 10. Zwrot i usunięcie danych po zakończeniu Umowy

1. Po zakończeniu Umowy Procesor udostępnia dane w trybie tylko do odczytu przez 90 dni od końca ostatniego opłaconego okresu (Regulamin § 14 ust. 4). W tym czasie Administrator może pobrać eksport danych w powszechnie używanych formatach (CSV albo XLSX) i wydane dokumenty w PDF.
2. Po tym czasie — albo wcześniej, na żądanie Administratora — Procesor trwale usuwa powierzone dane i pliki z systemów produkcyjnych, z wyjątkiem danych z § 11, i na żądanie potwierdza usunięcie.
3. Dane znikają z kopii zapasowych w cyklu ich rotacji, nie później niż w ciągu 90 dni od usunięcia z systemów produkcyjnych. Do tego czasu kopie służą wyłącznie odtworzeniu po awarii.
4. Dane Wersji testowej Procesor usuwa 14 dni po jej końcu (Regulamin § 7 ust. 5), z kopiami na zasadach ust. 3.
5. Procesor może zachować dane w zakresie i przez czas, w jakim wymaga tego prawo Unii albo państwa członkowskiego.

§ 11. Strony weryfikacji po zakończeniu Umowy

1. Administrator poleca Procesorowi, aby po zakończeniu Umowy o Abonament utrzymywał Strony weryfikacji wydanych certyfikatów i zaświadczeń (nie dotyczy dokumentów z Wersji testowej — te są usuwane razem z nią, § 10 ust. 4) — w celu potwierdzania ich autentyczności osobom, którym uczestnicy je pokazują.
2. Do tego celu Procesor zachowuje wyłącznie dane potrzebne do wyświetlenia Strony weryfikacji i odtworzenia dokumentu w wydanym wyglądzie: imię i nazwisko uczestnika, nazwę i termin szkolenia, liczbę godzin, numer i datę wydania, stan dokumentu (ważny, poprawiony, unieważniony), dane wystawcy z dokumentu (nazwa, logo, imię i nazwisko i podpis osoby podpisującej) oraz elementy treści wydrukowane na dokumencie. Pozostałe dane usuwa na zasadach § 10.
3. Procesor utrzymuje Strony weryfikacji bezpłatnie, dopóki świadczy usługę TrainingHub, nie wykorzystuje tych danych do innych celów, a strony nie są indeksowane przez wyszukiwarki, chyba że Administrator włączy to w ustawieniach Aplikacji — wtedy tylko strona ważnego certyfikatu, bez plików PDF i obrazów, a pojedynczą stronę Administrator ukrywa na żądanie osoby, której dane dotyczą. Przy zakończeniu usługi dla wszystkich Klientów przekazuje Administratorowi Strony weryfikacji i pliki dokumentów (Regulamin § 14 ust. 6), a po przekazaniu usuwa dane.
4. Administrator może w każdej chwili odwołać polecenie z ust. 1 w całości albo dla wybranych dokumentów (e-mail do Procesora). Procesor usuwa wtedy dane w ciągu 14 dni, a Strona weryfikacji pokazuje tylko informację, że dokument nie jest dostępny.
5. Żądanie osoby, której dane dotyczą, Procesor przekazuje Administratorowi. Jeżeli Administrator nie odpowie w ciągu 30 dni albo przestał istnieć, Procesor może usunąć dane tej osoby ze Strony weryfikacji.

§ 12. Audyt

1. Administrator może sprawdzić zgodność przetwarzania z Umową powierzenia i art. 28 RODO — sam albo przez upoważnionego audytora zobowiązanego do poufności.
2. W pierwszej kolejności Procesor udostępnia informacje i dokumenty (opis środków bezpieczeństwa, lista podprocesorów, dokumenty podprocesorów). Inspekcja na miejscu albo zdalna odbywa się, gdy te informacje nie wystarczą.
3. Audyt wymaga zawiadomienia co najmniej 14 dni wcześniej, odbywa się w dni robocze bez zakłócania świadczenia usług i nie częściej niż raz w roku kalendarzowym, chyba że uzasadnia go naruszenie ochrony danych albo żądanie organu nadzorczego. Każda strona ponosi własne koszty.

§ 13. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail Konta właściciela Administratora i inny adres wskazany do zgłoszeń.
2. Zgłoszenie zawiera — w miarę dostępności informacji, które mogą być uzupełniane — opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe skutki, zastosowane albo proponowane środki i dane kontaktowe.
3. Procesor współpracuje z Administratorem przy ocenie naruszenia, zgłoszeniu do Prezesa UODO (art. 33 RODO) i zawiadomieniu osób (art. 34 RODO) oraz dokumentuje naruszenia (art. 33 ust. 5 RODO). Decyzja o zgłoszeniu należy do Administratora.

§ 14. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność stron z tytułu Umowy powierzenia podlega ograniczeniom z § 15 Regulaminu; ograniczenia te nie naruszają odpowiedzialności wobec osób, których dane dotyczą, ani uprawnień organu nadzorczego wynikających z RODO (w tym art. 82 RODO).
2. Zmiany Umowy powierzenia następują w trybie zmian Regulaminu (§ 18 Regulaminu), a zmiany listy podprocesorów — w trybie § 7.
3. W sprawach nieuregulowanych stosuje się RODO, ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych i Regulamin.
4. Umowa powierzenia w wersji 1.0 obowiązuje od dnia wskazanego na górze tej strony.

Załącznik A. Środki techniczne i organizacyjne

1. Szyfrowanie połączeń: cała komunikacja z Aplikacją odbywa się przez HTTPS, z nagłówkiem HSTS.
2. Logowanie: konta imienne; logowanie kluczem dostępu (passkey), hasłem (co najmniej 12 znaków) albo linkiem jednorazowym; hasła, kody awaryjne i kody logowania przechowywane wyłącznie jako skróty kryptograficzne; limity prób logowania; ponowne potwierdzenie tożsamości przed operacjami wrażliwymi (np. usunięcie danych osoby, zmiana kluczy dostępu); zakończenie innych sesji po zmianie hasła albo kluczy; wyłączanie kont.
3. Oddzielenie danych: każdy rekord jest przypisany do organizacji Administratora, a Aplikacja udostępnia Użytkownikom wyłącznie dane ich organizacji, co sprawdzają testy automatyczne. Wersja testowa działa w osobnej instalacji z osobną bazą danych.
4. Ograniczenie danych: ankieta jest anonimowa — bez adresu IP i przeglądarki, z czasem zaokrąglonym do godziny; do AI trafiają wyłącznie komentarze z ankiety i notatka trenera po zastąpieniu danych osób znacznikami; dziennik wywołań AI nie zawiera treści; wgrane raporty obecności z Teams, Zoom i Meet są usuwane zaraz po odczycie; Link trenera daje dostęp tylko do jednego szkolenia i wygasa 7 dni po jego końcu.
5. Ochrona aplikacji: ścisła polityka bezpieczeństwa treści (CSP) na stronach publicznych, ochrona przed osadzaniem w ramkach, limity żądań, Strony weryfikacji wyłączone z indeksowania, chyba że Administrator włączy je w ustawieniach (§ 11 ust. 3).
6. Rozliczalność: dziennik zmian (kto, co i kiedy zmienił) dla szkoleń, klientów, trenerów, kont i ustawień; rejestr usunięć danych osób.
7. Usuwanie: jedno polecenie usuwa dane osoby ze wszystkich tabel, dzienników i plików Aplikacji; certyfikaty w koszu są usuwane automatycznie po 30 dniach.
8. Kopie zapasowe: kopie bazy danych na serwerze w Polsce — wykonywane przed każdą zmianą wersji Aplikacji (najwyżej 14 ostatnich, nie starsze niż 30 dni) — oraz kopie dostawcy hostingu (30 dni); odtwarzalność kopii jest okresowo sprawdzana.
9. Dostęp administracyjny: dostęp do serwera i bazy danych ma wyłącznie Procesor osobiście, przez połączenie szyfrowane z uwierzytelnieniem kluczem; inne osoby mogą go otrzymać tylko z upoważnieniem i zobowiązaniem do poufności.
10. Aktualizacje: bieżąca aktualizacja komponentów oprogramowania i testy automatyczne przed wdrożeniem nowej wersji.

Załącznik B. Podprocesorzy

LH.pl

LH.pl Sp. z o.o., Pl. Wolności 6/4, 61-738 Poznań, KRS 0000503852.

• Zadanie: serwer aplikacji i bazy danych, poczta wysyłana przez aplikację, kopie zapasowe
• Dane: wszystkie powierzone dane
• Gdzie: Polska
• Zabezpieczenie przekazania: bez przekazywania poza EOG

Cloudflare

Cloudflare, Inc., San Francisco, USA.

• Zadanie: tworzenie plików PDF i obrazów dokumentów (usługa Browser Rendering)
• Dane: treść tworzonego dokumentu — certyfikatu, zaświadczenia, listy obecności, programu, raportu albo slajdu z kodem QR (np. imię i nazwisko uczestnika, nazwa szkolenia, numer certyfikatu); gotowy plik wraca do aplikacji
• Gdzie: sieć Cloudflare, w tym USA
• Zabezpieczenie przekazania: EU-U.S. Data Privacy Framework, a w razie jego utraty — standardowe klauzule umowne

OpenAI

OpenAI Ireland Ltd, Dublin, Irlandia (strona umowy dla klientów z EOG).

• Zadanie: podsumowanie AI w raporcie poszkoleniowym
• Dane: komentarze z ankiety i notatka trenera po zastąpieniu imion i nazwisk osób zapisanych w aplikacji, nazwy klienta, adresów e-mail, numerów telefonów i linków znacznikami; zapytania nie trafiają do historii (store: false), dostawca nie używa ich do trenowania modeli i przechowuje je najwyżej 30 dni wyłącznie do wykrywania nadużyć
• Gdzie: USA
• Zabezpieczenie przekazania: standardowe klauzule umowne albo decyzja Komisji o odpowiednim stopniu ochrony (umowa powierzenia OpenAI)