REGULAMIN SERWISU HOURLY

Zasady korzystania z systemu do generowania grafików pracy Hourly

§ 1. Postanowienia ogólne i definicje

1. Regulamin określa zasady świadczenia usług drogą elektroniczną za pośrednictwem serwisu Hourly (adres: https://hourly.pl), sporządzony na podstawie art. 8 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (t.j. Dz.U. 2024 poz. 1513 ze zm., dalej: „uSUDE”).

2. Definicje:

  • Twórca Serwisu / Beneficjent - Sebastian Kuliński, ur. 14.05.2009, zam. Łosiów, woj. opolskie, posiadający ograniczoną zdolność do czynności prawnych (art. 15 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (t.j. Dz.U. 2025 poz. 1071 ze zm., dalej: „KC”)). Twórca jest autorem oprogramowania Serwisu i beneficjentem ekonomicznym dochodów z Serwisu jako swojego zarobku własnego (art. 21 KC);
  • Przedstawiciel Ustawowy - Elżbieta Kulińska, zam. Łosiów, woj. opolskie, będący/a rodzicem i przedstawicielem ustawowym Twórcy (art. 97-98 ustawy z dnia 25 lutego 1964 r. - Kodeks rodzinny i opiekuńczy (t.j. Dz.U. 2026 poz. 236 ze zm., dalej: „KRO”)), reprezentujący Twórcę przy wszystkich czynnościach prawnych;
  • Użytkownik - każda osoba fizyczna, prawna lub jednostka organizacyjna zawierająca Umowę; Twórca działa przez Przedstawiciela Ustawowego (art. 97 KRO);
  • Użytkownik-Konsument - osoba fizyczna zawierająca Umowę w celach niezwiązanych z działalnością gospodarczą; przepisy o konsumencie stosuje się również do osób fizycznych prowadzących działalność, gdy umowa nie ma dla nich charakteru zawodowego (art. 7aa ustawy z dnia 30 maja 2014 r. o prawach konsumenta (t.j. Dz.U. 2024 poz. 1796 ze zm., dalej: „UoPK”));
  • Użytkownik-Przedsiębiorca - podmiot korzystający z Serwisu w związku z prowadzoną działalnością gospodarczą;
  • Subskrypcja - odpłatna umowa o dostarczanie Usługi Cyfrowej w trybie ciągłym (miesiączny okres rozliczeniowy);
  • Usługa Cyfrowa - Serwis Hourly jako usługa cyfrowa w rozumieniu art. 2 pkt 5 ustawy z dnia 30 maja 2014 r. o prawach konsumenta (t.j. Dz.U. 2024 poz. 1796 ze zm., dalej: „UoPK”) implementującego dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/770 z dnia 20 maja 2019 r. (Dz.Urz. UE L 136 z 22.05.2019);
  • Pracownik - osoba fizyczna, której dane są wprowadzane przez Użytkownika wyłącznie w celu planowania grafiku; dane przetwarzane jako Podmiot Przetwarzający;
  • Grafik - harmonogram czasu pracy generowany lub tworzony przez Serwis;
  • Algorytm - oprogramowanie do automatycznego generowania Grafiku (VNS i Simulated Annealing);
  • Asystent Zgodności - moduł weryfikujący wybrane parametry Grafiku; nie stanowi porady prawnej;
  • Stripe - Stripe Payments Europe, Limited, The Embankment, Haddington Road, Dublin 4, Irlandia; konto Stripe na dane Przedstawiciela Ustawowego;
  • DPA - Umowa Powierzenia Przetwarzania Danych (art. 28 Rozporządzenia (UE) 2016/679 - RODO);
  • RODO - Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.

§ 2. Status prawny Twórcy Serwisu

2.1. Twórca jako strona Umowy

1. Twórca Serwisu Sebastian Kuliński, ur. 14.05.2009, jest osobą małoletnią z ograniczoną zdolnością do czynności prawnych (art. 15 KC). Autorskie prawa osobiste i majątkowe do oprogramowania przysługują mu niezależnie od wieku (art. 8 ust. 1 i 2 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (t.j. Dz.U. 2022 poz. 2509 ze zm.)).

2. Na mocy art. 17 KC do ważności umowy zawieranej przez Twórcę wymagana jest zgoda Przedstawiciela Ustawowego. Umowy z Użytkownikami zawierane są przez Twórcę reprezentowanego przez Przedstawiciela Ustawowego (art. 97 KRO). Stroną Umowy jest Twórca.

3. Dochód z Serwisu stanowi zarobek własny Twórcy (art. 21 KC). Twórca może swobodnie nim dysponować bez zgody Przedstawiciela.

2.2. Rola Przedstawiciela Ustawowego

1. Przedstawiciel Ustawowy Elżbieta Kulińska:

  • reprezentuje Twórcę przy zawieraniu Umów (art. 97-98 KRO);
  • prowadzi konto Stripe na własne dane (wymog regulaminu Stripe - pełnoletność posiadacza); przekazuje środki na konto Twórcy na podstawie Umowy Wewnętrznej o Przepływie Środków;
  • podpisuje zeznanie podatkowe PIT-36 z załącznikiem PIT-M składane w imieniu Twórcy.

2. Przedstawiciel nie jest właścicielem dochodów Twórcy i nie wlicza ich do swojego PIT.

2.3. Model podatkowy

Serwis prowadzony jest w ramach działalności nierejestrowanej Twórcy, zgodnie z art. 5 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców (t.j. Dz.U. z 2025 r. poz. 1480).

Przedstawiciel Ustawowy prowadzi konto rozliczeniowe w systemie Stripe na własne dane osobowe i przekazuje środki z Subskrypcji na rzecz Twórcy. Przedstawiciel nie jest stroną umów o świadczenie usług ani właścicielem przychodów z Serwisu.

Z uwagi na prowadzenie działalności nierejestrowanej, Twórca nie jest płatnikiem podatku VAT i nie wystawia faktur VAT (wystawiane są rachunki/dowody zakupu generowane przez platformę Stripe).

§ 3. Wymagania techniczne

Niezbędne: dostęp do Internetu; przeglądarka obsługująca JavaScript ES6+, HTML5, CSS3; aktywny adres e-mail. Wyłączenie JavaScript uniemożliwia korzystanie. Koszty łącza ponosi Użytkownik.

§ 4. Rejestracja, zawarcie Umowy i tryb Demo

4.1. Tryb Demo

Bezpłatny tryb Demo: konto tymczasowe aktywne 1 dzień; limit 3 konta Demo / 24h z jednego IP. Zablokowane: import, edycja konta, limity, dodawanie/usuwanie Pracowników. Nie stanowi Umowy.

4.2. Zawarcie Umowy o Subskrypcję

1. Umowa zawierana przez Twórcę działającego przez Przedstawiciela Ustawowego.

2. Proces:

  • (I) formularz rejestracyjny;
  • (II) płatność przez Stripe Checkout;
  • (III) potwierdzenie Stripe → aktywacja konta.

3. Umowa zostaje zawarta z chwilą aktywacji konta. Potwierdzenie na e-mail.

4. Usługa Cyfrowa uważana jest za dostarczoną z chwilą uzyskania przez Użytkownika lub jego urządzenie dostępu do Serwisu (art. 43j ust. 3 ustawy z dnia 30 maja 2014 r. o prawach konsumenta (t.j. Dz.U. 2024 poz. 1796 ze zm., dalej: „UoPK”)).

5. Akceptacja niniejszego Regulaminu jest równoznaczna z zawarciem Umowy Powierzenia Przetwarzania Danych Osobowych (DPA), stanowiącej załącznik do Regulaminu.

6. Serwis przeznaczony wyłącznie dla osób z pełną zdolnością lub działających za zgodą przedstawiciela ustawowego.

§ 4a. Infrastruktura techniczna Serwisu

1. Serwis Hourly jest hostowany na infrastrukturze dostawcy SeoHost.pl (SeoHost Sp. z o.o., ul. Obornicka 330, 60-689 Poznań, NIP: 527-289-79-99) - podmiot posiadający serwery w Polsce, w ramach Europejskiego Obszaru Gospodarczego (EOG). Dane Użytkowników i Pracowników są przechowywane na serwerach zlokalizowanych na terytorium EOG.

2. Serwis korzysta z usługi Cloudflare (plan darmowy) - świadczonej przez Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Cloudflare pełni funkcję pośrednika sieciowego (reverse proxy) zapewniającego:

  • (I) ochronę przed atakami DDoS (rozproszonymi atakami odmowy usługi);
  • (II) zapora sieciowa aplikacji (WAF);
  • (III) przyspieszenie ładowania Serwisu (CDN - Content Delivery Network);
  • (IV) obsługę DNS domeny Serwisu.

3. W związku z korzystaniem z Cloudflare, ruch sieciowy Użytkowników (adresy IP, nagłówki HTTP) przechodzi przez infrastrukturę Cloudflare zlokalizowaną również poza EOG (USA). Cloudflare stosuje odpowiednie mechanizmy ochrony danych: certyfikat EU-US Data Privacy Framework (EU-US DPF) oraz Standardowe Klauzule Umowne (SCC), zgodnie z art. 45 i 46 RODO. Cloudflare nie ma dostępu do treści danych Pracowników wpisanych do Serwisu - przetwarza wyłącznie metadane sieciowe.

4. Polityka prywatności Cloudflare: cloudflare.com/privacypolicy/. Warunki DPA Cloudflare: cloudflare.com/cloudflare-customer-dpa/. Lista podprocesorów Cloudflare: cloudflare.com/pl-pl/gdpr/subprocessors/.

5. Treść danych osobowych Użytkowników (dane konta, Grafiki, dane Pracowników) nie jest przekazywana do Cloudflare. Cloudflare przetwarza wyłącznie dane sieciowe niezbędne do realizacji usługi ochrony i routingu.

6. Treści Serwisu i płatności są obsługiwane przez Stripe Payments Europe, Limited, The Embankment, Haddington Road, Dublin 4, Irlandia (siedziba w EOG). Stripe może przetwarzać dane poza EOG zgodnie ze swą polityką: stripe.com/privacy.

7. Szczegółowe informacje o przetwarzaniu danych przez Podprocesorów zawiera Załącznik 2 do DPA (Umowy Powierzenia Przetwarzania Danych).

§ 5. Usługa Cyfrowa - zgodność z Umową

5.1. Zgodność Usługi Cyfrowej z Umową

1. Twórca zobowiązuje się, że Usługa Cyfrowa będzie przez cały czas trwania Subskrypcji zgodna z Umową (art. 43k ust. 2 UoPK - dostarczanie ciągłe).

2. Usługa jest zgodna z Umową, gdy spełnia kryteria z art. 43k ust. 1 i 2 UoPK - m.in.: opis i funkcjonalności z Regulaminu, przydatność do celu (planowanie grafiku), nadawanie się do celów, w których zwykle używa się usługi tego rodzaju.

3. Twórca dostarcza aktualizacje Serwisu w zakresie wymaganym do zachowania zgodności z Umową (art. 43k ust. 3 UoPK).

4. Twórca może dokonywać zmian Usługi Cyfrowej niebędących niezbędnymi dla zachowania zgodności z Umową, jeżeli Regulamin tak stanowi i istnieje uzasadniona przyczyna. Jeżeli zmiana istotnie i negatywnie wpływa na dostęp do Usługi, Twórca informuje o niej z wyprzedzeniem na trwałym nośniku (art. 43p ust. 1 i art. 43q ust. 1 UoPK).

5.2. Uprawnienia Konsumenta w razie braku zgodności

1. W przypadku braku zgodności Usługi z Umową, Konsument może żądać doprowadzenia jej do zgodności (art. 43m ust. 1 UoPK).

2. Jeżeli doprowadzenie do zgodności jest niemożliwe lub wymaga nadmiernych kosztów, Konsument może żądać proporcjonalnego obniżenia ceny lub odstąpić od Umowy (art. 43n ust. 1 i 2 UoPK).

3. Po odstąpieniu Konsumenta od Umowy dane wygenerowane przez Konsumenta dostępne do pobrania przez 30 dni w formacie .csv lub .xlsx.

4. Konsument może wypowiedzieć Umowę w terminie 30 dni od niekorzystnej i istotnej zmiany Usługi (art. 43q ust. 2 UoPK).

§ 6. Subskrypcja i płatności

6.1. Plany

Plany: Mały Zespół, Średni Zespół, Duży Zespół. Ceny i zakres: strona cennikowa Serwisu. Subskrypcja odnawiana automatycznie co miesiąc, chyba że Użytkownik anuluje przed końcem okresu.

6.2. Stripe

Płatności przez Stripe. Konto Stripe: dane Przedstawiciela Ustawowego. Twórca nie przechowuje danych kart płatniczych.

6.3. Anulowanie

Przez Panel Klienta Stripe. Dostęp aktywny do końca opłaconego okresu. Po wygaśnięciu: tryb odczytu. Brak opłaty → status „wygasła”.

§ 7. Wyłączenie odpowiedzialności

OSTRZEŻENIE:

Hourly to narzędzie informatyczne, nie świadczy usług prawnych.

1. HOURLY NIE ŚWIADCZY USŁUG PRAWNYCH. WYNIKI ALGORYTMU I ASYSTENTA ZGODNOŚCI NIE STANOWIĄ PORADY PRAWNEJ.

2. Algorytm i Asystent Zgodności - oprogramowanie oparte na predefiniowanych regułach (VNS, Simulated Annealing). Asystent odzwierciedla (wg wiedzy Twórcy): art. 132 KP (11h odpoczynek dobowy), art. 133 KP (35h tygodniowy), art. 151¹² KP (wolne niedziele).

3. Twórca nie ponosi odpowiedzialności za: błędy Algorytmu, naruszenia prawa pracy wynikłe z wdrożenia Grafiku, sankcje PIP, brak uwzględnienia układów zbiorowych.

4. WYŁĄCZNA ODPOWIEDZIALNOŚĆ ZA ZGODNOŚĆ GRAFIKU Z KP SPOCZYWA NA UŻYTKOWNIKU JAKO PRACODAWCY.

5. Wobec Użytkownika-Przedsiębiorcy: odpowiedzialność ograniczona do opłat z ostatnich 3 miesięcy.

§ 8. Prawa i obowiązki Użytkownika

Obowiązki: korzystanie zgodnie z prawem i Regulaminem; nieudostępnianie konta; weryfikacja Grafiku. Zakazy: ataki brute-force i injection; dane inne niż imię/nazwisko Pracownika; odsprzedaż; >30 zapytań/10s.

§ 9. Import, eksport danych

Eksport: .xlsx i .csv. Import: transakcyjny, plik .csv max 5 MB. Twórca nie ponosi odpowiedzialności za treść importowanych plików.

§ 10. Usunięcie konta

Nieodwracalne. Etapy:

  • (I) potwierdzenie hasłem;
  • (II) anulowanie Stripe;
  • (III) trwałe i nieodwracalne usunięcie konta oraz wszelkich powiązanych z nim danych z bazy danych Serwisu.

Zalecamy eksport przed usunięciem. Usunięcie nie zwalnia z opłaty za bieżący okres.

§ 11. Prawo odstąpienia od Umowy (Konsumenci)

1. Prawo odstąpienia bez przyczyny: 14 dni od zawarcia Umowy (art. 27 ust. 1 ustawy z dnia 30 maja 2014 r. o prawach konsumenta (t.j. Dz.U. 2024 poz. 1796 ze zm., dalej: „UoPK”)).

2. Prawo NIE przysługuje, gdy Konsument wyraził wyraźną zgodę na natychmiastowe świadczenie Usługi Cyfrowej i przyjął do wiadomości utratę prawa odstąpienia (art. 38 pkt 13 ustawy z dnia 30 maja 2014 r. o prawach konsumenta (t.j. Dz.U. 2024 poz. 1796 ze zm., dalej: „UoPK”)).

3. Zgoda wyrażana przez checkbox przy zakupie Subskrypcji (niezaznaczony domyślnie).

4. Jeżeli Konsument odstąpi przed wyrażeniem zgody, może być zobowiązany do zapłaty części ceny proporcjonalnie do zakresu dostarczonej Usługi.

5. Aby odstąpić od umowy prosimy wypełnić Formularz odstąpienia od umowy i wysłać go na e-mail - [email protected]. Czas na rozpatrzenie - 14 dni.

§ 12. Reklamacje

Na: [email protected]. Opis + data. Odpowiedź: 14 dni. Konsumenci: platforma ODR (https://ec.europa.eu/consumers/odr).

§ 13. Własność intelektualna

Prawa autorskie majątkowe i osobiste do Serwisu, kodu i Algorytmu: Twórca Serwisu (art. 8 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (t.j. Dz.U. 2022 poz. 2509 ze zm.)). Korzystanie nie przenosi praw. Dane Użytkownika - jego własność.

§ 14. Zmiany Regulaminu

14 dni wyprzedzenia drogą e-mail. W przypadku braku akceptacji zmian, Użytkownik ma prawo wypowiedzieć Umowę przed wejściem ich w życie. Możliwa aktualizacja po pełnoletności Twórcy lub przekroczeniu limitu nierejestrowanej.

§ 15. Prawo właściwe i sąd

Prawo polskie. Przedsiębiorca: sąd w miejscu zamieszkania Twórcy. Konsument: sąd wg KPC z prawem wyboru sądu miejsca zamieszkania.

§ 16. Postanowienia końcowe

Obowiązuje od: 04.05.2026. Nieważność jednego postanowienia nie wpływa na pozostałe.

ZAŁĄCZNIK DPA

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

§ 1. Strony Umowy

1. Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: „DPA” lub „Umowa”) zawierana jest pomiędzy:

PODMIOTEM PRZETWARZAJĄCYM (Procesorem):

Sebastian Kuliński, reprezentowany przez Przedstawiciela Ustawowego Elżbietę Kulińską, adres korespondencyjny: Łosiów, woj. opolskie, e-mail: [email protected] (dalej: „Podmiot Przetwarzający” lub „Hourly”),

a

ADMINISTRATOREM (Administratorem Danych):

Użytkownik Serwisu, który zaakceptował Regulamin Serwisu Hourly i przetwarza w Serwisie dane osobowe Pracowników jako ich Administrator w rozumieniu art. 4 pkt 7 RODO (dalej: „Administrator”).

2. DPA wchodzi w życie w chwili akceptacji Regulaminu Serwisu Hourly przez Administratora. Forma elektroniczna spełnia wymogi art. 28 ust. 9 RODO (pisemna lub elektroniczna).

§ 2. Definicje

  • RODO - Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.;
  • Dane Osobowe Pracowników - dane osobowe przetwarzane przez Hourly na zlecenie Administratora w ramach świadczenia Usługi; zakres określony w Załączniku 1;
  • Usługa - Serwis Hourly - platforma SaaS do planowania grafików pracy;
  • Incydent - naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do Danych Osobowych (art. 4 pkt 12 RODO);
  • Podprocesor - podmiot trzeci korzystający z Danych Osobowych Pracowników w celu wsparcia Hourly w świadczeniu Usługi; lista w Załączniku 2.

§ 3. Przedmiot, charakter, cel i czas przetwarzania

1. Podmiot Przetwarzający przetwarza Dane Osobowe Pracowników na udokumentowane polecenie Administratora, wyłącznie w celu świadczenia Usługi zgodnie z Regulaminem.

2. Charakter przetwarzania: automatyczne, ciągłe, na serwerach Podmiotu Przetwarzającego.

3. Cel przetwarzania: planowanie i zarządzanie grafikami pracy Pracowników Administratora.

4. Czas przetwarzania: przez cały czas obowiązywania Umowy między Administratorem a Podmiotem Przetwarzającym (Subskrypcja).

5. Zakres danych osobowych i kategorie osób, których dane dotyczą: określone w Załączniku 1.

§ 4. Przetwarzanie wyłącznie na polecenie Administratora [art. 28 ust. 3 lit. a RODO]

1. Podmiot Przetwarzający przetwarza Dane Osobowe Pracowników wyłącznie na udokumentowane polecenie Administratora, to jest wyłącznie w celach określonych w § 3 niniejszej DPA i zgodnie z Regulaminem Serwisu.

2. Jeżeli prawo Unii Europejskiej lub prawo polskie nakłada na Podmiot Przetwarzający obowiązek przetwarzania danych w innym celu, Podmiot Przetwarzający informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, chyba że prawo zabrania udzielania takiej informacji.

3. Podmiot Przetwarzający niezwłocznie informuje Administratora, jeżeli uzna, że polecenie Administratora narusza RODO lub inne przepisy o ochronie danych.

§ 5. Poufność [art. 28 ust. 3 lit. b RODO]

1. Podmiot Przetwarzający zapewnia, aby osoby upoważnione do przetwarzania Danych Osobowych Pracowników zobowiązały się do zachowania poufności lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.

2. Podmiot Przetwarzający prowadzi bieżącą listę osób upoważnionych do przetwarzania Danych Osobowych Pracowników (wzorzec Upoważnienia do Przetwarzania Danych stanowi Załącznik 3 do niniejszej DPA).

3. Obowiązek poufności wiąże również po wygaśnięciu lub rozwiązaniu Umowy.

§ 6. Środki bezpieczeństwa [art. 28 ust. 3 lit. c RODO i art. 32 RODO]

1. Podmiot Przetwarzający wdraża i utrzymuje następujące środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiedni do ryzyka:

6.1. Środki techniczne:

  • Jednokierunkowe szyfrowanie haseł z wykorzystaniem nowoczesnych algorytmów solących (np. bcrypt) z zabezpieczeniem przed atakami typu timing attack.
  • HTTPS - cały ruch szyfrowany protokołem TLS; certyfikat SSL na serwerze SeoHost.
  • Logiczna separacja danych na poziomie aplikacji (weryfikacja uprawnień dostępu przy każdym żądaniu do API), gwarantująca dostęp do zasobów wyłącznie autoryzowanemu Użytkownikowi.
  • Rate limiting - blokada >30 zapytań/10 sekund (HTTP 429 Too Many Requests).
  • Session guard (guard.php) - weryfikacja User-Agent przy każdym żądaniu API.
  • Ochrona przed brute-force - monitoring i blokada prób logowania per IP i e-mail; logi kasowane automatycznie po 24h.
  • Date Guard - blokada planowania grafiku dalej niż koniec następnego miesiąca.
  • Idempotentność webhooków Stripe - Mechanizmy gwarantujące idempotentność operacji transakcyjnych.
  • Cloudflare - ochrona warstwy sieciowej (DDoS protection, firewall WAF na planie darmowym); ruch przechodzi przez sieć Cloudflare przed dotarciem do serwera SeoHost.

6.2. Środki organizacyjne:

  • Ograniczenie dostępu do danych wyłącznie do Twórcy Serwisu (administrator techniczny) i Przedstawiciela Ustawowego jako osób upoważnionych.
  • Cotygodniowe kopie zapasowe bazy danych MySQL.
  • Procedura obsługi Incydentów opisana w § 9 niniejszej DPA.

2. Podmiot Przetwarzający dokonuje regularnego testowania, mierzenia i oceniania skuteczności środków (art. 32 ust. 1 lit. d RODO).

§ 7. Podprocesory [art. 28 ust. 2 i 4 RODO]

1. Administrator udziela Podmiotowi Przetwarzającemu ogólnego upoważnienia do korzystania z Podprocesorów wymienionych w Załączniku 2 do niniejszej DPA.

2. Podmiot Przetwarzający może zmienić lub dodać nowego Podprocesora pod warunkiem poinformowania Administratora z co najmniej 14 (czternastu) dniowym wyprzedzeniem drogą elektroniczną (e-mail na adres wskazany w koncie Użytkownika lub ogłoszenie w Serwisie).

3. Administrator ma prawo złożyć sprzeciw wobec nowego Podprocesora w terminie 14 dni od powiadomienia. Jeżeli sprzeciw jest uzasadniony i Podmiot Przetwarzający nie może korzystać z alternatywnego Podprocesora, każda ze stron może wypowiedzieć DPA ze skutkiem natychmiastowym.

4. Na każdego Podprocesora nakładane są te same obowiązki ochrony danych, jakie wynikają z niniejszej DPA (art. 28 ust. 4 RODO). Jeżeli Podprocesor nie wywiąże się ze swoich obowiązków, pełna odpowiedzialność wobec Administratora obciąża Podmiot Przetwarzający.

§ 8. Pomoc w realizacji praw podmiotów danych [art. 28 ust. 3 lit. e RODO]

1. Podmiot Przetwarzający, biorąc pod uwagę charakter przetwarzania, pomaga Administratorowi w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (prawa z art. 15-22 RODO).

2. W praktyce:

  • Użytkownik-Administrator może w każdej chwili eksportować dane Pracowników do pliku .csv (prawo do przenoszenia danych) lub usunąć je z Serwisu (prawo do usunięcia).
  • Jeżeli żądanie Pracownika wymaga działania po stronie Podmiotu Przetwarzającego (np. potwierdzenia usunięcia danych z backupów), Podmiot Przetwarzający udzieli odpowiedzi w terminie 72 godzin od zgłoszenia przez Administratora.

§ 9. Pomoc w obowiązkach z art. 32-36 RODO [art. 28 ust. 3 lit. f RODO]

9.1. Naruszenie bezpieczeństwa danych (Incydent)

1. Podmiot Przetwarzający powiadamia Administratora o stwierdzeniu Incydentu dotyczącego Danych Osobowych Pracowników BEZ ZBĘDNEJ ZWŁOKI, nie później niż w ciągu 36 (trzydzieści sześciu) godzin od stwierdzenia Incydentu.

2. Powiadomienie Administratora zawiera (o ile jest dostępne):

  • opis charakteru Incydentu (kategorie i przybliżona liczba osób i rekordów);
  • dane kontaktowe inspektora ochrony danych lub punktu kontaktowego ([email protected]);
  • opis prawdopodobnych konsekwencji Incydentu;
  • opis środków podjętych lub proponowanych w celu zaradzenia Incydentowi.

3. Jeżeli nie wszystkie informacje są dostępne w momencie powiadomienia, Podmiot Przetwarzający dostarcza je sukcesywnie bez zbędnej zwłoki.

9.2. Ocena skutków dla ochrony danych (DPIA) i uprzednie konsultacje

Podmiot Przetwarzający wspiera Administratora w przeprowadzaniu ocen skutków dla ochrony danych (art. 35 RODO) i w uprzednich konsultacjach z organem nadzorczym (art. 36 RODO), w zakresie dotyczącym przetwarzania przez Podmiot Przetwarzający.

§ 10. Usunięcie lub zwrot danych [art. 28 ust. 3 lit. g RODO]

1. Po wygaśnięciu lub rozwiązaniu Umowy (Subskrypcji), Podmiot Przetwarzający:

  • na żądanie Administratora - zwraca Dane Osobowe Pracowników w formacie .csv w terminie 30 dni od żądania;
  • usuwa Dane Osobowe Pracowników z systemów produkcyjnych niezwłocznie po usunięciu konta przez Administratora (kaskadowa transakcja SQL).

2. Podmiot Przetwarzający, na żądanie Administratora, przesyła pisemne (elektroniczne) potwierdzenie usunięcia Danych Osobowych Pracowników, w tym z kopii zapasowych (backupy), w terminie 30 dni od daty usunięcia konta.

3. Podmiot Przetwarzający może zachować Dane Osobowe Pracowników dłużej, wyłącznie w zakresie, w jakim wymagają tego przepisy prawa Unii lub prawa polskiego, o czym informuje Administratora.

§ 11. Prawo do audytu [art. 28 ust. 3 lit. h RODO]

1. Podmiot Przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania zgodności z obowiązkami określonymi w art. 28 RODO.

2. Administrator ma prawo do przeprowadzenia audytu lub kontroli zgodności przetwarzania przez Podmiot Przetwarzający z niniejszą DPA i RODO. Audyt może być przeprowadzony:

  • przez Administratora samodzielnie lub z udziałem upoważnionego audytora;
  • nie częściej niż 1 (jeden) raz w roku, chyba że Urząd Ochrony Danych Osobowych (UODO) lub inne okoliczności uzasadniają przeprowadzenie dodatkowego audytu;
  • po uprzednim pisemnym (elektronicznym) powiadomieniu Podmiotu Przetwarzającego z co najmniej 14 (czternastu) dniowym wyprzedzeniem.

3. Podmiot Przetwarzający współpracuje z Administratorem w toku audytu i udziela dostępu do dokumentacji, dzienników i konfiguracji systemów związanych z przetwarzaniem Danych Osobowych Pracowników.

4. Koszty audytu ponosi Administrator, chyba że audyt wykazie naruszenie niniejszej DPA - wówczas koszty ponosi Podmiot Przetwarzający.

§ 12. Transfer danych do państwa trzeciego przez Cloudflare (USA)

1. Rola Cloudflare: Cloudflare działa jako świadczeniodawca usług sieciowych (reverse proxy, DDoS protection, WAF). Dane przetwarzane przez Cloudflare obejmują: adresy IP użytkowników, nagłówki HTTP, metadane sesji - w celu filtrowania ruchu i ochrony przed atakami.

2. Podstawa transferu: Cloudflare, Inc. (USA) posiada certyfikat EU-US Data Privacy Framework (EU-US DPF) i stosuje Standardowe Klauzule Umowne (SCC) jako mechanizm transferu danych z EOG do USA, zgodnie z Decyzją Wykonawczą Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. Podstawa prawna: art. 45 RODO (decyzja adekwatności dla DPF) oraz art. 46 ust. 2 lit. c RODO (SCC jako środek alternatywny jeśli DPF zostanie unieważniony).

3. DPA Cloudflare: Podmiot Przetwarzający zaakceptował warunki Cloudflare Customer Data Processing Addendum (DPA), dostępne pod adresem: cloudflare.com/cloudflare-customer-dpa/. Cloudflare jako podprocesor może korzystać z własnych podpodprocesorów; ich lista dostępna jest na: cloudflare.com/pl-pl/gdpr/subprocessors/.

4. Dane Pracowników: Dane Osobowe Pracowników (imię i nazwisko, shiftId, scheduleDate) nie są przekazywane do Cloudflare w treści żądań. Cloudflare przetwarza wyłącznie metadane sieciowe (IP, nagłówki), które nie zawierają treści danych Pracowników. Mimo to Cloudflare występuje w tej DPA jako Podprocesor z uwagi na przetwarzaną dane osobową (IP Użytkownika).

5. Plan darmowy a RODO: Cloudflare DPA obejmuje również użytkowników planu darmowego (Self-Serve). Podmiot Przetwarzający potwierdza zaakceptowanie warunków Cloudflare jako część aktywacji usługi.

ZAŁĄCZNIKI DO DPA

Załącznik 1 - Zakres danych i kategorie osób

Podmiot Przetwarzający przetwarza na zlecenie Administratora następujące dane osobowe Pracowników:

Kategoria danych Konkretne dane Podstawa zbierania przez ADM
Dane identyfikacyjne Imię i nazwisko Pracownika Art. 22¹ § 1 Kodeksu pracy
Dane harmonogramu Identyfikator zmiany roboczej (shiftId: 1-6, 0=urlop, -1=chorobowe) Art. 22¹ § 1 Kodeksu pracy
Dane harmonogramu Data pracy (scheduleDate) Art. 22¹ § 1 Kodeksu pracy
Dane harmonogramu Planowana zmiana przy zastępstwie (plannedShiftId - opcjonalne) Art. 22¹ § 1 Kodeksu pracy
Dane NIE przetwarzane PESEL, adres zamieszkania, numer telefonu, e-mail, dane płacowe Pracowników Nie dotyczy - Serwis ich nie zbiera

Kategorie osób, których dane dotyczą:

Pracownicy, zleceniobiorcy i inne osoby, których czas pracy planuje Administrator. Orientacyjna liczba: 1-30 osób (w zależności od planu Subskrypcji).

Załącznik 2 - Lista zatwierdzonych Podprocesorów

Podprocesor Siedziba Rola Dane Transfer poza EOG Zabezpieczenie
SeoHost.pl (SeoHost Sp. z o.o.) Polska (EOG) Hosting serwera, baza MySQL, SMTP (e-maile systemowe) Wszystkie dane przetwarzane przez Serwis NIE
serwery w Polsce		 Umowa powierzenia z SeoHost; serwery w Polsce - brak transferu poza EOG
Cloudflare, Inc. USA (poza EOG) Reverse proxy, ochrona DDoS, WAF, CDN, DNS Metadane sieciowe: adresy IP, nagłówki HTTP. Nie przetwarza treści danych Pracowników. TAK
serwery globalne (także USA)		 EU-US DPF + SCC (Cloudflare Customer DPA, cloudflare.com/cloudflare-customer-dpa/)
Stripe Payments Europe, Ltd. Irlandia (EOG) Obsługa płatności Subskrypcji (dane płatnicze Użytkownika-Menedżera) Dane płatnicze Użytkownika: Stripe Customer ID, dane karty (przechowywane wyłącznie przez Stripe). Nie dotyczy Pracowników. POTENCJALNIE
Stripe może przetwarzać poza EOG		 SCC + EU-US DPF (stripe.com/privacy)
SeoHost Sp. z o.o., Polska ul. Obornicka 330 60-689 Poznań Wysyłanie e-maili systemowych (potwierdzenia, reset hasła) Adres e-mail Użytkownika, treść e-maila NIE
serwery w Polsce		 -

§ 13. Odpowiedzialność

1. Jeżeli Podmiot Przetwarzający przetwarza Dane Osobowe Pracowników z naruszeniem niniejszej DPA lub RODO, ponosi odpowiedzialność jak administrator w zakresie tego naruszenia (art. 28 ust. 10 RODO).

2. Strony ponoszą odpowiedzialność wobec osób, których dane dotyczą, na zasadach określonych w art. 82 RODO.

§ 14. Zmiany DPA

1. DPA może być zmieniona przez Podmiot Przetwarzający z co najmniej 14-dniowym wyprzedzeniem ogłoszonym w Serwisie lub przesłanym na e-mail Administratora.

2. Aktualna wersja DPA jest zawsze dostępna w Serwisie jako załącznik do Regulaminu.

§ 15. Prawo właściwe i organ nadzorczy

1. Organem nadzorczym właściwym dla Podmiotu Przetwarzającego jest Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa.

2. W sprawach nieuregulowanych zastosowanie mają przepisy RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz.U. 2019 poz. 1781 ze zm.).