Umowa powierzenia przetwarzania danych (DPA)

Strony umowy

Niniejsza umowa zostaje zawarta pomiędzy:

• Administratorem: Firmą Klienta — przedsiębiorcą rejestrującym konto na Platformie Gorilla HR
• Procesorem: Softgorillas Sp. z o.o., NIP [TBD], z siedzibą Warszawa, ul. Przykładowa 1, 00-001

zwanymi dalej łącznie „Stronami”.

§1. Przedmiot umowy

1. Niniejsza umowa określa zasady, na jakich Procesor (Softgorillas) przetwarza dane osobowe kandydatów w imieniu Administratora w ramach platformy Gorilla HR.
2. Uwaga: Strony pełnią różne role w zależności od scenariusza:
   • Wobec danych kandydatów na opublikowanych briefach Firmy — Firma jest Współadministratorem (joint controller) wraz z Gorilla HR (Art. 26 RODO).
   • Wobec danych kandydatów przed akceptacją zaproszenia od Firmy — Gorilla HR jest Samodzielnym Administratorem danych.
   • Wobec danych Firmy (członkowie zespołu, faktury) — Gorilla HR jest Administratorem.

§2. Zakres przetwarzania

§3. Obowiązki Procesora

Procesor zobowiązuje się:

1. Przetwarzać dane wyłącznie na udokumentowane polecenie Administratora (Art. 28 ust. 3 lit. a RODO).
2. Zapewnić, że osoby uprawnione do przetwarzania zobowiązały się do zachowania poufności (NDA z pracownikami).
3. Wdrożyć środki bezpieczeństwa odpowiednie do ryzyka (Art. 32 RODO):
   • Szyfrowanie at-rest (AES-256) i w tranzycie (TLS 1.3)
   • Audit logging dostępów
   • Regularne kopie zapasowe (codziennie, 30-dniowa retencja)
   • 2FA dla pracowników z dostępem do PII
   • Roczne testy penetracyjne
4. Pomagać Administratorowi w realizacji praw podmiotów danych (rozdział III RODO).
5. Pomagać Administratorowi w wypełnieniu obowiązków z Art. 32-36 RODO (bezpieczeństwo, naruszenia, ocena skutków).
6. Po zakończeniu świadczenia usług usunąć lub zwrócić wszystkie dane osobowe (do wyboru Administratora).

§4. Subprocesory

Procesor jest uprawniony do korzystania z dalszych podmiotów przetwarzających (subprocesorów) wymienionych poniżej. Lista jest aktualizowana 30 dni przed zmianą — Administrator może wyrazić sprzeciw.

§5. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi każde stwierdzone naruszenie ochrony danych w ciągu 24 godzin od jego wykrycia.
2. Zgłoszenie zawiera: charakter naruszenia + kategorie danych, liczbę dotkniętych podmiotów, skutki, środki zaradcze.
3. Administrator jest odpowiedzialny za ewentualne zgłoszenie naruszenia do UODO (Art. 33 RODO) i do podmiotów danych (Art. 34 RODO).

§6. Prawa podmiotów danych

1. Procesor pomaga Administratorowi obsłużyć żądania kandydatów dotyczące ich praw RODO (dostęp, sprostowanie, usunięcie, przenoszenie).
2. Procesor udostępnia Administratorowi panel z którego Administrator może samodzielnie:
   • Eksportować dane konkretnego kandydata
   • Skasować dane na żądanie kandydata
   • Wyeksportować audit log
3. SLA odpowiedzi na żądania: 72 godziny od zgłoszenia.

§7. Audyt

Administrator ma prawo do audytu zgodności Procesora z niniejszą umową 1 raz w roku z 30-dniowym wyprzedzeniem. Koszt audytu pokrywa Administrator. W przypadku audytu prowadzonego przez UODO, Procesor współpracuje bez warunków.

§8. Lokalizacja przetwarzania

1. Główne przetwarzanie odbywa się w EU (Niemcy — Hetzner / Frankfurt).
2. Wybrane usługi pomocnicze wykorzystują dostawców z USA (Postmark, Sentry) — patrz §4. Transfery oparte na EU-US Data Privacy Framework lub Standardowych Klauzulach Umownych (SCC).

§9. Czas trwania i zakończenie

1. Umowa obowiązuje przez czas korzystania Firmy z Platformy.
2. Po zakończeniu, Procesor:
   • W ciągu 30 dni eksportuje wszystkie dane Firmy w formacie JSON na żądanie
   • W ciągu 90 dni anonimizuje dane PII (zachowując faktury — wymóg prawny 7 lat)

§10. Postanowienia końcowe

1. Umowa wchodzi w życie z dniem akceptacji przy rejestracji konta.
2. Zmiany wymagają formy pisemnej (e-mail + akceptacja administratora konta wystarczy w ramach Platformy).
3. W zakresie nieuregulowanym stosuje się RODO + ustawę o ochronie danych osobowych (PL).
4. Sądem właściwym jest sąd w Warszawie.

Powiązane dokumenty: Polityka prywatności · Regulamin · Twoje prawa RODO