Umowa powierzenia przetwarzania danych osobowych

§ 1. Przedmiot i czas trwania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych, które Administrator lub jego Użytkownicy wprowadzają do Aplikacji, w zakresie i celu określonym w Umowie.
2. Umowa obowiązuje przez czas trwania umowy o świadczenie usług na podstawie Regulaminu oraz przez okres potrzebny do zwrotu i usunięcia danych zgodnie z § 9.

§ 2. Charakter i cel przetwarzania

Dane są przetwarzane wyłącznie w celu świadczenia usług Aplikacji Klino na rzecz Administratora: planowania i rozliczania sprzątań, organizacji pracy zespołu, kierowców i pościeli, pobierania rezerwacji z kalendarzy, tworzenia i udostępniania raportów, obsługi usterek, przygotowywania dokumentów dla klientów Administratora, wysyłki powiadomień oraz wsparcia technicznego. Przetwarzanie obejmuje zbieranie, utrwalanie, przechowywanie, porządkowanie, przeglądanie, udostępnianie Użytkownikom Administratora, tworzenie kopii zapasowych i usuwanie danych, wyłącznie w sposób zautomatyzowany w systemach informatycznych.

§ 3. Rodzaj danych i kategorie osób

• Użytkownicy Administratora (właściciel, koordynatorzy): imię, nazwisko, e-mail, telefon, rola, zdjęcie profilowe, ustawienia, historia działań w Aplikacji.
• Pracownicy i współpracownicy (osoby sprzątające, kierowcy): imię, nazwisko, telefon, e-mail (także techniczny), rola, stawki, wypłaty i rozliczenia, grafik i dostępność, nieobecności z rodzajem (urlop, choroba, inne) i notatką, przypisane sprzątania i zmiany, raporty i zdjęcia z pracy, dane logowania (skrót kodu PIN, linki logowania, skrócony adres IP prób logowania).
• Klienci Administratora (właściciele i zarządcy apartamentów): imię i nazwisko lub nazwa, e-mail, telefon, adres, NIP, notatki, dane do dokumentów pro forma i faktur.
• Goście apartamentów: daty przyjazdu i wyjazdu, liczba gości, identyfikator i opis rezerwacji z kalendarza iCal (opis może zawierać imię gościa, jeśli tak przekazuje go portal), zdjęcia z raportów lub usterek, jeśli przypadkiem utrwalono na nich rzeczy lub dane gościa.
• Apartamenty (dane mogące dotyczyć osób fizycznych): adres i współrzędne, kody dostępu (drzwi, domofon, skrytka na klucze), wyposażenie, notatki, załączniki.

Administrator nie wprowadza do Aplikacji szczególnych kategorii danych (art. 9 RODO) poza informacją, że nieobecność pracownika wynika z choroby, bez wskazania jej przyczyny ani dokumentów medycznych.

§ 4. Obowiązki Podmiotu przetwarzającego

1. Przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest Regulamin, Umowa oraz działania Administratora i jego Użytkowników w Aplikacji (np. dodanie pracownika, podłączenie kalendarza, udostępnienie raportu). Jeżeli przepisy prawa nakładają obowiązek innego przetwarzania, Podmiot przetwarzający informuje o tym Administratora przed jego rozpoczęciem, o ile prawo tego nie zakazuje.
2. Niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy.
3. Dopuszcza do danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności, i tylko w zakresie niezbędnym (np. do usunięcia błędu albo na prośbę Administratora o pomoc).
4. Stosuje środki bezpieczeństwa wymagane przez art. 32 RODO, opisane w § 6.
5. Pomaga Administratorowi, w miarę możliwości i przy uwzględnieniu charakteru przetwarzania, w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw). Żądanie skierowane bezpośrednio do Podmiotu przetwarzającego przekazuje Administratorowi bez zbędnej zwłoki i nie odpowiada na nie samodzielnie.
6. Pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje).
7. Prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO.

§ 5. Obowiązki Administratora

1. Administrator odpowiada za to, że ma podstawę prawną do przetwarzania danych wprowadzanych do Aplikacji, i spełnia wobec osób, których dane dotyczą, obowiązki informacyjne z art. 13–14 RODO.
2. Administrator nadaje Użytkownikom role i dostęp zgodnie z zasadą minimalizacji oraz dba o poufność haseł, kodów PIN i linków do raportów, które udostępnia.

§ 6. Środki bezpieczeństwa

• szyfrowanie połączeń (HTTPS/TLS) oraz szyfrowanie bazy danych i plików w spoczynku u dostawcy infrastruktury;
• oddzielenie danych różnych firm na poziomie bazy danych (reguły dostępu do wierszy, Row Level Security) oraz uprawnienia zależne od roli Użytkownika;
• hasła i kody PIN przechowywane wyłącznie w postaci skrótów; ograniczenie liczby prób logowania;
• ochrona formularzy logowania i rejestracji przed botami (Cloudflare Turnstile);
• linki do raportów zawierające losowy token, przechowywany w postaci skrótu, z domyślnym terminem ważności 90 dni i możliwością wcześniejszego wyłączenia;
• regularne kopie zapasowe bazy danych u dostawcy infrastruktury;
• dostęp administracyjny do systemów tylko dla upoważnionych osób, z uwierzytelnianiem wieloskładnikowym;
• monitorowanie błędów i nieprawidłowego działania aplikacji.

§ 7. Dalsze powierzenie (podprzetwarzający)

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających. Aktualna lista znajduje się poniżej.
2. O zamiarze dodania lub zmiany podprzetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw, a jeżeli strony nie dojdą do porozumienia — wypowiedzieć umowę ze skutkiem natychmiastowym, bez dodatkowych kosztów.
3. Podmiot przetwarzający nakłada na podprzetwarzających obowiązki ochrony danych co najmniej takie jak w Umowie i odpowiada wobec Administratora za ich wykonanie.
4. Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework) albo standardowych klauzul umownych przyjętych przez Komisję.

Dane mogą też przechodzić przez podmioty, które nie są podprzetwarzającymi:

• dostawcy powiadomień push przeglądarek (Google, Apple, Mozilla) — przekazują zaszyfrowane powiadomienia na urządzenie Użytkownika, który włączył powiadomienia;
• portale i systemy rezerwacyjne (np. Airbnb, Booking.com, IdoBooking, Smoobu) — Aplikacja pobiera z nich kalendarze iCal pod adresami podanymi przez Administratora;
• WhatsApp i inne komunikatory — tylko gdy Użytkownik sam udostępni link (np. raport, zaproszenie z PIN-em) przyciskiem „Wyślij”;
• Microsoft i Google jako dostawcy logowania (OAuth) — tylko gdy Użytkownik wybierze logowanie przez ich konto.

§ 8. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres właściciela Konta.
2. Zgłoszenie zawiera informacje dostępne w chwili zgłoszenia, w szczególności te wymienione w art. 33 ust. 3 RODO, i jest uzupełniane, gdy pojawiają się nowe informacje.

§ 9. Zwrot i usunięcie danych

1. Po zakończeniu świadczenia usług Podmiot przetwarzający przechowuje dane Administratora przez 90 dni. W tym czasie Administrator może zażądać ich kopii (eksportu) na adres kontakt@klino.pl.
2. Po upływie tego terminu Podmiot przetwarzający usuwa dane Administratora, w tym zdjęcia i załączniki, a z kopii zapasowych — w ramach normalnego cyklu ich nadpisywania, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie. Na żądanie potwierdza usunięcie e-mailem.

§ 10. Audyt

1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w tym odpowiada na pytania i ankiety bezpieczeństwa.
2. Administrator może przeprowadzić audyt lub inspekcję, samodzielnie albo przez upoważnionego audytora zobowiązanego do poufności, po zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku, chyba że doszło do naruszenia ochrony danych. Koszty audytu ponosi Administrator.

§ 11. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność stron za szkody wynikające z naruszenia Umowy określa art. 82 RODO. W stosunkach między stronami zastosowanie ma limit z § 10 Regulaminu, w zakresie dopuszczalnym przez prawo.
2. W sprawach nieuregulowanych stosuje się Regulamin i przepisy RODO. W razie sprzeczności pierwszeństwo ma Umowa.
3. Umowa podlega prawu polskiemu.