Umowa powierzenia przetwarzania danych osobowych (DPA)
Ostatnia aktualizacja: 19 maja 2026 • Wersja 1.0
Akceptując Regulamin TimeHunter (§5 RODO), Klient zawiera z TimeHunter także niniejszą Umowę Powierzenia Przetwarzania Danych zgodną z art. 28 RODO.
Wersja PDF dostępna na żądanie. Kontakt: kontakt@timehunter.pl
§1. Strony
Administrator danych (Klient) — firma rejestrująca konto w TimeHunter i wprowadzająca dane osobowe swoich pracowników.
Podmiot przetwarzający (Procesor):
- Nazwa: Mroauto Autodily s.r.o.
- Marka: TimeHunter
- E-mail kontaktowy: kontakt@timehunter.pl
§2. Przedmiot powierzenia
Administrator powierza Procesorowi przetwarzanie danych osobowych w celu świadczenia usługi SaaS TimeHunter — systemu rejestracji i ewidencji czasu pracy.
2.1. Kategorie osób, których dane są przetwarzane:
- Pracownicy Administratora
- Współpracownicy (umowy zlecenia, B2B)
- Administratorzy konta firmowego
2.2. Kategorie przetwarzanych danych:
- Identyfikacyjne: imię, nazwisko, e-mail
- Pracownicze: stanowisko, grupa robocza, lokalizacja
- Ewidencyjne: czas rozpoczęcia/zakończenia pracy, przerwy, urlopy, nadgodziny
- Lokalizacyjne (opcjonalnie, na podstawie zgody): GPS przy rejestracji obecności
- Wizualne (opcjonalnie): zdjęcia przy foto-rejestracji
- Techniczne: adres IP, typ urządzenia, datę ostatniego logowania
§3. Cel i zakres przetwarzania
Procesor przetwarza dane wyłącznie w celu:
- Świadczenia usługi rejestracji czasu pracy
- Generowania raportów dla Administratora
- Zapewnienia bezpieczeństwa konta (logi, audit trail)
- Wsparcia technicznego
- Wykonywania obowiązków prawnych (np. wezwania sądowe)
Procesor nie wykorzystuje danych w żadnym innym celu, w szczególności nie sprzedaje danych, nie tworzy profili marketingowych ani nie udostępnia danych podmiotom trzecim poza wymienionymi w §6.
§4. Czas trwania
Umowa obowiązuje przez cały czas trwania subskrypcji TimeHunter. Po jej zakończeniu:
- Dane są przechowywane przez okres 30 dni (możliwość przywrócenia konta)
- Po 30 dniach dane są bezpowrotnie usuwane z aktywnych baz danych
- Kopie zapasowe są usuwane w ciągu kolejnych 90 dni (rotacja backupu)
- Logi audytu mogą być przechowywane do 6 lat zgodnie z polskim prawem (Kodeks pracy)
§5. Obowiązki Procesora
- Przetwarzanie wyłącznie na udokumentowane polecenie Administratora
- Zapewnienie poufności (umowy NDA z pracownikami)
- Wdrożenie odpowiednich środków technicznych i organizacyjnych (art. 32 RODO):
- Szyfrowanie SSL/TLS (HTTPS) w transmisji
- Hashowanie haseł algorytmem bcrypt (12 rund)
- 2FA dla administratorów (opcjonalne)
- Logowanie wszystkich operacji (audit trail)
- Backup codzienny z retencją 30 dni
- Monitoring bezpieczeństwa (Helmet, CORS, rate limiting)
- Pomoc Administratorowi w realizacji żądań osób (art. 15-22 RODO)
- Pomoc w raportowaniu naruszeń ochrony danych (art. 33-34 RODO) — w ciągu 24h od wykrycia
- Po zakończeniu umowy usunięcie lub zwrot danych (art. 28 ust. 3 lit. g RODO)
- Udostępnianie audytu na żądanie Administratora (max 1× w roku, koszt pokrywa Administrator)
§6. Podpowierzenie (Sub-procesorzy)
Procesor korzysta z następujących sub-procesorów:
| Sub-procesor | Cel | Lokalizacja | Zgodność |
|---|---|---|---|
| Supabase Inc. | Baza danych (PostgreSQL), Storage | EU (Frankfurt) | GDPR-compliant, SCC, DPF |
| Render Services Inc. | Hosting backendu i frontendu | EU (Frankfurt) | SOC 2 Type II, GDPR, SCC |
| Anthropic / OpenAI* | AI asystent (opcjonalnie) | USA | SCC, DPF, opt-in |
| Google LLC | Analytics (po wyrażeniu zgody) | USA | SCC, DPF |
| Expo / EAS | Build aplikacji mobilnej | USA | SCC, DPF |
* — używany tylko jeśli Klient aktywuje dodatek "Asystent AI". Dane są anonimizowane przed wysłaniem.
Administrator wyraża ogólne pozwolenie na korzystanie z powyższych sub-procesorów. O nowych sub-procesorach Procesor poinformuje z 30-dniowym wyprzedzeniem.
§7. Prawa Administratora
Administrator ma prawo do:
- Wypowiedzenia umowy w przypadku niewykonania obowiązków przez Procesora
- Żądania potwierdzenia zgodności z RODO
- Eksportu wszystkich danych w formacie CSV/JSON (Self-service w panelu admin)
- Audytu raz w roku (na własny koszt)
- Wycofania zgody na sub-procesorów
§8. Naruszenia ochrony danych
W przypadku stwierdzenia naruszenia ochrony danych osobowych Procesor:
- Niezwłocznie informuje Administratora (max 24h)
- Dostarcza pełne informacje: charakter naruszenia, kategorie i liczba osób, kategorie i liczba rekordów, możliwe konsekwencje, środki podjęte
- Pomaga Administratorowi w zgłoszeniu do organu nadzoru (max 72h od stwierdzenia)
- Pomaga w powiadomieniu osób, jeśli to konieczne
§9. Postanowienia końcowe
Umowa wchodzi w życie z chwilą akceptacji Regulaminu przez Administratora. Zmiany Umowy wymagają formy pisemnej (e-mail jest wystarczający). W sprawach nieuregulowanych stosuje się przepisy RODO, polskiego Kodeksu cywilnego oraz Ustawy o ochronie danych osobowych z 10 maja 2018 r.
§10. Kontakt w sprawach RODO
- E-mail: kontakt@timehunter.pl
- Inspektor Ochrony Danych: dostępny na żądanie
- Adres do korespondencji: Mroauto Autodily s.r.o.
Powiązane dokumenty: Polityka prywatności • Polityka cookies • Regulamin