Umowa powierzenia przetwarzania danych (DPA)

1. Role

• Administrator: Twoja firma. Ty decydujesz, którzy pracownicy trafiają do Labourix, jakie dokumenty są przesyłane i po co.
• Podmiot przetwarzający: Labourix. Przetwarzamy te dane wyłącznie w celu świadczenia usługi i wyłącznie na Twoje polecenia.

Korzystanie z funkcji produktu jest Twoim poleceniem: gdy składasz deklarację LIMOSA, polecasz nam przekazać te dane belgijskiemu organowi; gdy wysyłasz raport godzin, polecasz nam ujawnić go temu klientowi.

2. Przedmiot i czas trwania

Przetwarzamy dane tak długo, jak istnieje Twoje konto, plus okresy przechowywania opisane w polityce prywatności. Przedmiotem jest administracja pracownicza i zgodność prawna w budownictwie.

3. Kategorie osób i danych

• Osoby, których dane dotyczą: Twoi pracownicy i pracownicy podwykonawców, których rejestrujesz; Twój własny personel; osoby kontaktowe u Twoich klientów.
• Dane: dane tożsamości i numery krajowe; dokumenty tożsamości, A1 i LIMOSA oraz dane z nich wyodrębnione; czasy logowania/wylogowania i pozycja GPS w tych dwóch momentach; godziny, zadania i urlopy; dane o wynagrodzeniu lub stawce; przydziały zakwaterowania i pojazdów; dokumenty, które przesyłasz.

4. Nasze obowiązki

• Przetwarzać wyłącznie na Twoje udokumentowane polecenia i informować Cię, jeśli uznamy, że polecenie narusza prawo.
• Zobowiązać każdego z dostępem do zachowania poufności.
• Stosować odpowiednie środki techniczne i organizacyjne (klauzula 6).
• Wspierać Cię przy wnioskach osób, których dane dotyczą, ocenach skutków i konsultacjach z organem.
• Według Twojego wyboru usunąć lub zwrócić dane po zakończeniu usługi.
• Udostępniać informacje potrzebne do wykazania zgodności i umożliwiać audyty (klauzula 8).

5. Podprzetwarzający

Udzielasz ogólnej zgody na poniższych podprzetwarzających. Poinformujemy Cię co najmniej 30 dni przed dodaniem lub zastąpieniem któregoś, i możesz się sprzeciwić; jeśli nie rozwiążemy Twojego sprzeciwu, możesz zrezygnować bez kary.

• Hosting w chmurze & baza danych — aplikacja i przechowywanie danych — Unia Europejska.
• E-mail transakcyjny — wysyłka powiadomień, linków do zatwierdzeń i e-maili z hasłami — Unia Europejska.
• Dostawca płatności — rozliczanie abonamentu. Otrzymuje wyłącznie dane rozliczeniowe; nigdy dane pracowników.
• Przetwarzanie AI — używane do skanowania dokumentów i analizy umów. Dane są wysyłane wyłącznie w celu uzyskania tego wyniku, nie są zatrzymywane przez dostawcę do trenowania i są objęte umową powierzenia z ustaleniem zerowej retencji.

Wszyscy podprzetwarzający są związani warunkami co najmniej tak surowymi jak ta DPA. Tam, gdzie przetwarzanie odbywa się poza EOG, jest objęte standardowymi klauzulami umownymi Komisji Europejskiej.

6. Środki bezpieczeństwa

• Szyfrowanie w transmisji (TLS) na każdym kanale, w każdej aplikacji Labourix.
• Szyfrowanie w spoczynku dla bazy danych i przechowywanych dokumentów.
• Izolacja najemców egzekwowana przy każdym żądaniu API — nie tylko ukryta w interfejsie.
• Dostęp oparty na rolach: właściciel, administrator, koordynator, brygadzista, pracownik. Pracownicy widzą tylko własne dane. Klienci widzą tylko to, co im wyślesz.
• Dostęp o najmniejszych uprawnieniach dla personelu Labourix; dostęp produkcyjny jest ograniczony, logowany i używany wyłącznie do naprawy problemu, który zgłosiłeś.
• Regularne kopie zapasowe z przetestowanym przywracaniem.
• Minimalizacja danych w założeniu: GPS jest rejestrowany tylko przy logowaniu i wylogowaniu. Nie ma ciągłego śledzenia ani śledzenia w tle i nie zamierzamy tego budować.
• Twoje dane nigdy nie są używane do trenowania modeli AI.

7. Naruszenie ochrony danych osobowych

Jeśli naruszenie dotknie Twoich danych, powiadomimy Cię bez zbędnej zwłoki, a w każdym razie w ciągu 48 godzin od powzięcia wiadomości, z tym, co wiemy: co się stało, jakie dane i mniej więcej ile osób jest dotkniętych, prawdopodobne konsekwencje i co z tym robimy. To Ty pozostajesz tym, kto powiadamia organ nadzorczy — w swoim oknie 72 godzin — a my damy Ci wszystko, czego do tego potrzebujesz.

8. Audyty

Możesz weryfikować naszą zgodność raz w roku oraz po każdym naruszeniu: zadając nam pisemny zestaw pytań, przeglądając dostarczoną przez nas dokumentację, lub — dla większych klientów — poprzez audyt na miejscu lub zdalny z rozsądnym uprzedzeniem, na Twój koszt, z zachowaniem poufności i bez zakłócania pracy innych klientów.

9. Usunięcie i zwrot

Gdy Twoja umowa się kończy, możesz wszystko wyeksportować. Następnie usuwamy lub anonimizujemy dane w ciągu 90 dni, z wyjątkiem sytuacji, gdy prawo nakazuje nam je zachować (faktury; dokumentacja zgodności będąca jeszcze w ustawowym okresie przechowywania). Kopie zapasowe wygasają w ciągu 35 dni.

10. Pierwszeństwo

Jeśli ta DPA i Regulamin różnią się w kwestii ochrony danych, pierwszeństwo ma ta DPA.