Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: „Umowa Powierzenia” lub „DPA”) stanowi integralną część Regulaminu Serwisu JobKit i wiąże Strony z chwilą utworzenia Konta Wykonawcy lub rozpoczęcia przetwarzania danych klientów w Serwisie.

Zawarta pomiędzy:

1. Wykonawcą - przedsiębiorcą korzystającym z Konta w Serwisie JobKit, wprowadzającym do Serwisu dane osobowe swoich klientów (Inwestorów),
zwanym w dalszej części Umowy „Administratorem”,

a

2. Damianem Millerem, prowadzącym działalność gospodarczą pod firmą AZ-BUD Damian Miller,
z siedzibą pod adresem: ul. Stanisława Moniuszki 94a/3, 95-200 Pabianice,
NIP: 7252031989, REGON: 101655183,
wpisanym do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG) prowadzonej przez Ministra Rozwoju i Technologii,
operatorem platformy JobKit,
zwanym w dalszej części Umowy „Podmiotem Przetwarzającym” lub „Procesorem”.

Administrator i Podmiot Przetwarzający zwani są dalej łącznie „Stronami”, a każdy z osobna „Stroną”.

Preambuła

Mając na uwadze, że: A. Strony łączy Umowa o świadczenie usług drogą elektroniczną w ramach platformy JobKit (dalej: „Umowa Główna”), B. Wykonawca w celu sporządzania wycen, prowadzenia zlecenia budowlanego, obiegu transz i robót dodatkowych, prowadzenia fotodokumentacji oraz komunikacji z Inwestorami korzysta z infrastruktury teleinformatycznej Podmiotu Przetwarzającego, C. Świadczenie powyższych usług wiąże się z koniecznością przetwarzania przez Podmiot Przetwarzający danych osobowych, których Administratorem jest Wykonawca, D. Przepis art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: „RODO”) nakłada na Administratora i Procesora obowiązek zawarcia umowy powierzenia w formie pisemnej lub elektronicznej,

Strony zawierają niniejszą Umowę o następującej treści:

§ 1. Oświadczenia Stron i Przedmiot Powierzenia

1. Administrator oświadcza, że jest administratorem danych osobowych podlegających powierzeniu lub posiada skuteczne uprawnienie prawne do ich dalszego powierzenia, a dane te zostały zebrane zgodnie z obowiązującymi przepisami prawa.
2. Podmiot Przetwarzający oświadcza, że dysponuje infrastrukturą techniczną, wiedzą fachową, doświadczeniem oraz personelem zapewniającym wdrożenie odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą.
3. Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych określonych w § 2 niniejszej Umowy, a Podmiot Przetwarzający zobowiązuje się do ich przetwarzania wyłącznie w celu i zakresie określonym niniejszą Umową oraz Umową Główną.

§ 2. Charakter, Cel, Czas trwania i Zakres Przetwarzania

1. Charakter przetwarzania: Przetwarzanie danych ma charakter zautomatyzowany w chmurowym systemie teleinformatycznym SaaS (Software as a Service) oraz aplikacji mobilnej PWA, polegający na zbieraniu, utrwalaniu, organizowaniu, porządkowaniu, przechowywaniu, przeglądaniu, modyfikowaniu, udostępnianiu przez bezpieczne tokeny dostępowe oraz usuwaniu danych.
2. Cel przetwarzania: Jedynym celem powierzenia jest umożliwienie Administratorowi korzystania z funkcjonalności Serwisu JobKit, w tym:
   • sporządzania ofert i kosztorysów robót budowlano-remontowych,
   • elektronicznego podpisywania ofert w formie dokumentowej (Art. 77² KC),
   • zarządzania realizacją Zleceń budowlanych,
   • aneksowania robót dodatkowych,
   • zarządzania harmonogramem transz i wnioskowaniem o zaliczki,
   • prowadzenia magazynu fotodokumentacji (w tym instalacji zanikających),
   • prowadzenia dwustronnej komunikacji w czasie rzeczywistym (Czat budowy),
   • generowania i podpisywania protokołów odbioru robót budowlanych.
3. Czas trwania: Umowa zostaje zawarta na czas trwania Umowy Głównej (posiadania Konta w Serwisie JobKit) i wygasa wraz z jej rozwiązaniem lub likwidacją Konta.
4. Kategorie osób, których dane dotyczą:
   • Klienci i Inwestorzy Administratora (osoby fizyczne, osoby reprezentujące podmioty gospodarcze),
   • Pracownicy, współpracownicy, majstrowie i podwykonawcy Administratora wprowadzeni do projektów budowlanych,
   • Osoby trzecie, których wizerunek został incydentalnie utrwalony na zdjęciach z placu budowy.
5. Rodzaje powierzanych danych osobowych:
   • dane identyfikacyjne (imię i nazwisko, nazwa firmy),
   • dane teleadresowe (numer telefonu, adres poczty elektronicznej, adres nieruchomości / budowy),
   • dane finansowo-rozliczeniowe (wartość wyceny, harmonogram i numery wpłat transz, numer konta),
   • metadane oświadczeń woli (adres IP, sygnatura czasowa UTC, identyfikator urządzenia User-Agent, status akceptacji),
   • treść korespondencji na Czacie budowy wraz z załączonymi plikami,
   • zdjęcia nieruchomości, wnętrz lokali i instalacji budowlanych utrwalone w module Fotodokumentacji.

§ 3. Obowiązki Podmiotu Przetwarzającego

Zgodnie z art. 28 ust. 3 RODO, Podmiot Przetwarzający zobowiązuje się do:

1. Przetwarzania na udokumentowane polecenie:
   Przetwarzania danych osobowych wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie uznaje się bieżące dyspozycje Administratora wynikające z korzystania z interfejsu i konfiguracji Serwisu JobKit. Jeżeli prawo Unii lub prawo państwa członkowskiego nakłada na Podmiot Przetwarzający obowiązek przetwarzania danych, informuje on o tym Administratora przed rozpoczęciem przetwarzania, o ile prawo to nie zabrania udzielania takiej informacji.

2. Poufności personelu:
   Zapewnienia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi zachowania tajemnicy, zarówno w trakcie zatrudnienia, jak i po jego ustaniu.

3. Środków bezpieczeństwa (Art. 32 RODO):
   Podejmowania wszelkich środków wymaganych na mocy art. 32 RODO, w szczególności:

   • stosowania bezpiecznego szyfrowania połączeń sieciowych protokołem TLS/SSL,
   • kryptograficznego zabezpieczenia kluczy i tokenów sesyjnych algorytmem AES-GCM,
   • pełnej logicznej separacji danych pomiędzy różnymi Kontami Wykonawców (architektura multi-tenant),
   • regularnego tworzenia kopii zapasowych baz danych i testowania procedur Disaster Recovery,
   • kontroli dostępu opartej na rolach (RBAC) oraz rejestrowania logów operacji systemowych.

4. Wsparcia w prawach osób, których dane dotyczą:
   Biorąc pod uwagę charakter przetwarzania, pomagania Administratorowi poprzez odpowiednie środki techniczne i organizacyjne w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania praw określonych w rozdziale III RODO (prawo do informacji, dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia danych).

5. Wsparcia w obowiązkach Administratora (Art. 32-36 RODO):
   Pomagania Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo przetwarzania, zgłaszanie naruszeń, zawiadamianie osób, ocena skutków dla ochrony danych).

6. Zgłaszania naruszeń (Incydentów):
   Niezwłocznego, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych powierzonych przez Administratora, zgłoszenia tego faktu Administratorowi wraz ze wskazaniem:

   • charakteru naruszenia i przybliżonej liczby osób/wpisów,
   • możliwych konsekwencji naruszenia,
   • środków zaradczych podjętych lub proponowanych w celu zminimalizowania negatywnych skutków.

7. Zwrotu lub usunięcia danych po zakończeniu umowy:
   Po zakończeniu świadczenia usług związanych z przetwarzaniem, zależnie od decyzji Administratora, usunięcia lub zwrócenia Administratorowi wszelkich danych osobowych oraz usunięcia wszelkich ich istniejących kopii, chyba że prawo Unii lub prawo krajowe nakazuje przechowywanie danych (np. logi audytowe oświadczeń woli i faktury księgowe).

8. Udostępniania informacji i audytów:
   Udostępnienia Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwienia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzania audytów, w tym inspekcji, z zachowaniem co najmniej 14-dniowego uprzedzenia i zobowiązania do zachowania tajemnicy przedsiębiorstwa.

§ 4. Dalsze Powierzenie Przetwarzania (Podprocesorzy / Sub-processors)

1. Administrator niniejszym udziela Podmiotowi Przetwarzającemu ogólnej pisemnej zgody na korzystanie z usług dalszych podmiotów przetwarzających (subprocesorów) w celu realizacji funkcjonalności Serwisu JobKit.
2. Aktualna lista zaufanych podprocesorów Podmiotu Przetwarzającego obejmuje:
   • Vercel Inc. (USA / UE) - dostawca chmurowej infrastruktury hostingowej i bezserwerowej (Serverless Runtime),
   • Vercel Blob / Podmioty magazynowania obiektowego - bezpieczne przechowywanie plików fotodokumentacji,
   • Dostawcy baz danych SQL w regionie UE - hosting i replikacja relacyjnych baz danych,
   • Operatorzy bramek SMS i Web Push - realizacja wysyłki kodów autoryzacyjnych, tokenów dostępowych oraz powiadomień w czasie rzeczywistym.
3. Podmiot Przetwarzający zobowiązuje się do poinformowania Administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających (np. poprzez informację w panelu Serwisu lub wiadomość e-mail), dając tym samym Administratorowi możliwość wyrażenia sprzeciwu wobec takich zmian w terminie 7 dni.
4. W przypadku korzystania z usług podprocesora Podmiot Przetwarzający nakłada na ten podmiot te same obowiązki ochrony danych, jakie ciążą na nim na mocy niniejszej Umowy, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych.

§ 5. Transfer danych do państw trzecich

1. Podmiot Przetwarzający przetwarza dane osobowe w granicach Europejskiego Obszaru Gospodarczego (EOG).
2. W zakresie, w jakim infrastruktura podprocesorów (np. Vercel Inc.) wiąże się z technicznym transferem danych do państw trzecich (np. Stanów Zjednoczonych), transfer taki opiera się wyłącznie na mechanizmach przewidzianych przez rozdział V RODO:
   • decyzji Komisji Europejskiej o odpowiednim stopniu ochrony danych (EU-U.S. Data Privacy Framework), lub
   • zawartych z dostawcami Standardowych Klauzulach Umownych (SCC) zatwierdzonych przez Komisję Europejską, popartych odpowiednimi technicznymi środkami kryptograficznymi.

§ 6. Odpowiedzialność Stron

1. Podmiot Przetwarzający ponosi odpowiedzialność za szkody spowodowane przetwarzaniem naruszającym przepisy RODO lub niniejszą Umowę, jeżeli nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem poleceniami Administratora lub wbrew tym poleceniom.
2. Administrator ponosi wyłączną odpowiedzialność za zgodność z prawem zebrania powierzonych danych, w tym za posiadanie podstawy prawnej do wprowadzenia danych swoich Inwestorów do Serwisu oraz za treść wgrywanych materiałów fotodokumentacji.
3. W relacjach B2B pomiędzy Administratorem a Podmiotem Przetwarzającym całkowita odpowiedzialność odszkodowawcza Podmiotu Przetwarzającego z tytułu niewykonania lub nienależytego wykonania niniejszej Umowy jest ograniczona do wysokości rzeczywistych strat (damnum emergens) i limitowana do kwoty opłat abonamentowych uiszczonych przez Administratora na rzecz Serwisu w okresie ostatnich 6 miesięcy poprzedzających zdarzenie szkodowe (z wyłączeniem szkód wyrządzonych umyślnie).

§ 7. Postanowienia Końcowe

1. Umowa Powierzenia wchodzi w życie z chwilą utworzenia Konta Wykonawcy w Serwisie i podlega prawu polskiemu.
2. W sprawach nieuregulowanych niniejszą Umową zastosowanie mają bezpośrednio przepisy RODO oraz Kodeksu cywilnego.
3. Wszelkie spory wynikające z realizacji niniejszej Umowy będą rozstrzygane przez sąd powszechny właściwy miejscowo dla siedziby Podmiotu Przetwarzającego.
4. Niniejsza Umowa została sporządzona w formie elektronicznej zgodnie z art. 28 ust. 9 RODO.