Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

1. Stronami umowy są: Klient w rozumieniu Regulaminu jako administrator („Administrator”) oraz Mirosław Kapinos prowadzący działalność gospodarczą pod firmą Agileo.pl Mirosław Kapinos, NIP 8171833685, jako podmiot przetwarzający („Procesor”).
2. Umowa jest zawierana razem z Umową o świadczenie usługi Rekrutnia, na zasadach § 5 Regulaminu, i spełnia wymagania art. 28 ust. 3 RODO. Pojęcia niezdefiniowane mają znaczenie nadane w Regulaminie i w RODO.
3. Kontakt w sprawach ochrony danych: po stronie Procesora — mk@agileo.pl; po stronie Administratora — adresy administratorów Konta oraz adres e-mail w sprawach danych osobowych wpisany w ustawieniach Konta.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w celu świadczenia usługi Rekrutnia, czyli udostępnienia systemu do prowadzenia rekrutacji przez Administratora.
2. Przetwarzanie ma charakter zautomatyzowany i obejmuje operacje niezbędne do świadczenia usługi: zbieranie danych przez formularz aplikacyjny i import, przechowywanie, porządkowanie, wyszukiwanie (także w tekście wyodrębnionym z CV), udostępnianie Użytkownikom Administratora, wysyłanie wiadomości do Kandydatów, tworzenie kopii zapasowych, eksport, anonimizację i usuwanie.
3. Procesor nie wykorzystuje powierzonych danych do własnych celów, w szczególności do marketingu, trenowania modeli sztucznej inteligencji ani tworzenia profili, i nie łączy danych różnych Klientów.

§ 3. Rodzaje danych i kategorie osób

1. Powierzenie obejmuje następujące kategorie osób i rodzaje danych:

   Kategorie osób i rodzaje danych

   Kategoria osób	Rodzaje danych
   Kandydaci (osoby aplikujące oraz dodane przez Użytkowników ręcznie lub z importu)	dane identyfikacyjne i kontaktowe (imię, nazwisko, adres e-mail, numer telefonu, miejscowość, profil LinkedIn); CV i inne dokumenty wraz z tekstem z nich wyodrębnionym; odpowiedzi na pytania formularza; przebieg rekrutacji (aplikacje, etapy, statusy, powody odrzucenia, źródło zgłoszenia, rozmowy i ich terminy); oceny i karty ocen, notatki, tagi; korespondencja wysłana z systemu; zgody wraz z treścią, datą, adresem IP i danymi przeglądarki; żądania dotyczące danych osobowych; dane placementów; termin przechowywania danych
   Użytkownicy Administratora	imię i nazwisko, adres e-mail i rola widoczne w danych rekrutacyjnych; autorstwo notatek, ocen i wiadomości; wpisy dziennika zdarzeń (audytu) z datą, adresem IP i danymi przeglądarki
   Osoby kontaktowe klientów i działów Administratora	imię i nazwisko, stanowisko, adres e-mail, numer telefonu
   Inne osoby wskazane w treściach Administratora	dane zawarte w notatkach, wiadomościach lub plikach dodanych przez Użytkowników

2. System nie pozwala zbierać w formularzu danych szczególnych kategorii (art. 9 RODO) ani danych o wyrokach skazujących (art. 10 RODO). Kandydaci mogą jednak umieścić takie dane w CV lub innych dokumentach z własnej inicjatywy; w takim zakresie powierzenie obejmuje także te dane, a ocena podstawy ich przetwarzania i decyzja o ich usunięciu należy do Administratora.
3. Dane Użytkowników w zakresie kont, logowania, bezpieczeństwa i rozliczeń Procesor przetwarza jako administrator, zgodnie z Polityką prywatności; umowa ich nie obejmuje.

§ 4. Czas trwania

Umowa obowiązuje przez czas świadczenia usługi Rekrutnia oraz okres potrzebny do zwrotu i usunięcia danych zgodnie z § 14.

§ 5. Udokumentowane polecenia

1. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest: niniejsza umowa i Regulamin, konfiguracja Konta (w szczególności polityka retencji, treść formularzy i zgód, uprawnienia Użytkowników) oraz każda czynność wykonana w systemie przez Użytkowników, a także polecenia przesłane e-mailem przez administratora Konta.
2. Przetwarzanie bez polecenia jest dopuszczalne tylko wtedy, gdy wymaga tego prawo Unii lub państwa członkowskiego; Procesor informuje wówczas Administratora o tym obowiązku przed rozpoczęciem przetwarzania, chyba że prawo zabrania takiej informacji.
3. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.

§ 6. Poufność

Do danych mają dostęp wyłącznie osoby upoważnione przez Procesora, w zakresie niezbędnym do świadczenia usługi, wsparcia i utrzymania systemu, zobowiązane do zachowania poufności także po zakończeniu współpracy. Dostęp do danych Konta odbywa się przez mechanizm logowania w imieniu Klienta, a każde takie logowanie jest rejestrowane w dzienniku operatora i w dzienniku zdarzeń Konta.

§ 7. Środki bezpieczeństwa (art. 32 RODO)

1. Procesor stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:
   1. separację danych — każdy Klient ma osobną bazę danych i osobny obszar plików; hasła dostępu do baz są przechowywane w postaci zaszyfrowanej;
   2. szyfrowanie transmisji — połączenia z systemem odbywają się wyłącznie przez HTTPS (TLS);
   3. ochronę plików — CV i załączniki leżą w obszarze niedostępnym publicznie; pobranie jest możliwe tylko przez krótkotrwały podpisany link wystawiany po sprawdzeniu uprawnień, a pliki od Kandydatów są weryfikowane pod kątem typu i makr;
   4. kontrolę dostępu — imienne konta Użytkowników, role i uprawnienia (hiring manager widzi tylko swoje rekrutacje), hasła przechowywane jako skróty kryptograficzne, tokeny sesji z ograniczonym czasem ważności, limity prób i zapytań;
   5. rozliczalność — dziennik zdarzeń rejestrujący zmiany danych, pobrania plików i eksporty; rejestr zgód z treścią, którą widział Kandydat; rejestr żądań osób z terminami;
   6. minimalizację i retencję — automatyczne wyliczanie terminu przechowywania danych każdego Kandydata i codzienną anonimizację po jego upływie, obejmującą pliki, wiadomości, dziennik wysyłek i dziennik zdarzeń;
   7. bezpieczne linki dla Kandydatów — losowe tokeny przechowywane w bazie wyłącznie jako skróty, z terminem ważności, wymieniane na krótką sesję; usunięcie danych wymaga dodatkowego potwierdzenia jednorazowym linkiem;
   8. kopie zapasowe — codzienne, przechowywane w Polsce nie dłużej niż 30 dni, w katalogu niedostępnym z Internetu; po odtworzeniu kopii system ponawia anonimizację danych zanonimizowanych po dacie kopii;
   9. rozwój i utrzymanie — testy automatyczne, aktualizacje oprogramowania, kopia przed każdym wdrożeniem, upoważnienia i zobowiązania do poufności osób z dostępem.
2. Procesor może zmieniać środki bezpieczeństwa, jeżeli nie obniża to poziomu ochrony danych.

§ 8. Dalsze powierzenie (podprocesorzy)

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Aktualna lista, z celem, zakresem danych i miejscem przetwarzania, jest opublikowana na stronie Podprocesorzy.
2. O zamiarze dodania lub zmiany podprocesora Procesor informuje administratorów Konta e-mailem co najmniej 14 dni wcześniej i aktualizuje listę. Administrator może w tym terminie zgłosić uzasadniony sprzeciw. Jeżeli strony nie uzgodnią rozwiązania, Administrator może wypowiedzieć Umowę ze skutkiem na dzień przed wprowadzeniem zmiany, bez opłat za kolejne okresy.
3. W sytuacji nagłej, gdy zmiana jest konieczna dla ciągłości lub bezpieczeństwa usługi, Procesor może wprowadzić ją wcześniej, informując Administratora niezwłocznie; prawo sprzeciwu i wypowiedzenia przysługuje wtedy przez 14 dni od informacji.
4. Procesor nakłada na podprocesora te same obowiązki ochrony danych co w tej umowie, w szczególności obowiązek zapewnienia odpowiednich środków bezpieczeństwa, i odpowiada wobec Administratora za jego działania jak za własne.

§ 9. Pomoc w realizacji praw osób

1. Procesor pomaga Administratorowi wywiązywać się z obowiązku odpowiadania na żądania osób (art. 12–22 RODO) przede wszystkim przez narzędzia systemu:
   1. samoobsługę Kandydata przez osobisty link: podgląd danych, eksport (archiwum ZIP), wycofanie zgód i usunięcie danych z potwierdzeniem e-mailem;
   2. rejestr żądań z terminem odpowiedzi (miesiąc od otrzymania) i przypomnieniami;
   3. eksport danych Kandydata, anonimizację, ograniczenie przetwarzania i edycję danych z poziomu Panelu;
   4. rejestr zgód z eksportem do CSV i historią wersji klauzuli informacyjnej.
2. Jeżeli osoba zwróci się bezpośrednio do Procesora, Procesor bez zbędnej zwłoki przekazuje żądanie Administratorowi i nie odpowiada na nie merytorycznie bez jego polecenia, poza wskazaniem, do kogo należy się zwrócić.
3. Pomoc wykraczającą poza narzędzia systemu Procesor świadczy na żądanie Administratora w rozsądnym terminie.

§ 10. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adresy administratorów Konta i adres w sprawach danych osobowych.
2. Zgłoszenie zawiera, w miarę dostępnych informacji: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, możliwe konsekwencje, podjęte lub proponowane środki zaradcze oraz dane osoby do kontaktu. Informacje niedostępne od razu Procesor przekazuje sukcesywnie.
3. Procesor dokumentuje naruszenia, podejmuje działania ograniczające ich skutki i współpracuje z Administratorem przy zgłoszeniu do Prezesa UODO i zawiadomieniu osób. Decyzja o zgłoszeniu należy do Administratora.

§ 11. Inne obowiązki pomocowe

Uwzględniając charakter przetwarzania i dostępne informacje, Procesor pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, w szczególności przekazując opis środków bezpieczeństwa i informacje potrzebne do oceny skutków dla ochrony danych. System udostępnia Administratorowi wzór wpisu do rejestru czynności przetwarzania dla procesu rekrutacji.

§ 12. Audyty i informacje

1. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO — w pierwszej kolejności przez odpowiedzi na pytania przesłane e-mailem, w terminie 14 dni.
2. Administrator lub upoważniony przez niego audytor związany obowiązkiem poufności może przeprowadzić audyt, nie częściej niż raz w roku (a także po naruszeniu ochrony danych lub na żądanie organu nadzorczego), po uprzedzeniu Procesora co najmniej 14 dni wcześniej, w Dni robocze i w sposób, który nie zakłóca świadczenia usługi innym Klientom i nie narusza poufności ich danych. Koszty audytu ponosi Administrator.

§ 13. Miejsce przetwarzania i transfery poza EOG

1. Powierzone dane są przechowywane i przetwarzane w Polsce. Wyjątki — z celem, zakresem danych i podstawą transferu — wskazuje Lista podprocesorów; obecnie jest to ochrona formularza aplikacyjnego przed spamem (Cloudflare Turnstile), w ramach której do Cloudflare trafiają adres IP i dane przeglądarki osoby wypełniającej formularz.
2. Procesor przekazuje dane do państwa trzeciego wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo z zastosowaniem standardowych klauzul umownych lub innych zabezpieczeń z rozdziału V RODO.

§ 14. Zakończenie: zwrot i usunięcie danych

1. Po rozwiązaniu Umowy Strona kariery przestaje zbierać dane, a Panel jest przez 30 dni dostępny w trybie tylko do odczytu. W tym okresie Procesor przekazuje Administratorowi pełny eksport danych (dane w formacie JSON wraz z plikami; link ważny 7 dni), co stanowi zwrot danych.
2. Po upływie 30 dni od rozwiązania Umowy — albo wcześniej, na polecenie Administratora — Procesor trwale usuwa bazę danych i pliki Konta. Dane w kopiach zapasowych są usuwane przez nadpisanie, nie później niż 30 dni po usunięciu z systemu.
3. Procesor może przechowywać dane dłużej tylko wtedy, gdy wymaga tego prawo Unii lub państwa członkowskiego. Na żądanie Administratora Procesor potwierdza usunięcie danych e-mailem.

§ 15. Obowiązki Administratora

Administrator zapewnia, że ma podstawę prawną do przetwarzania danych i ich powierzenia, wykonuje obowiązki informacyjne wobec osób, których dane dotyczą (w tym przez poprawne dane w klauzuli generowanej przez system), ustala okresy przechowywania zgodne z prawem, nadaje uprawnienia wyłącznie osobom upoważnionym i nie wydaje poleceń sprzecznych z prawem.

§ 16. Odpowiedzialność

Strony odpowiadają za szkody wyrządzone przetwarzaniem danych zgodnie z art. 82 RODO. W stosunkach między stronami odpowiedzialność Procesora jest ograniczona na zasadach § 15 Regulaminu; ograniczenie nie dotyczy szkody wyrządzonej umyślnie i nie wpływa na prawa osób, których dane dotyczą.

§ 17. Postanowienia końcowe

1. W sprawach danych osobowych umowa ma pierwszeństwo przed Regulaminem. W sprawach nieuregulowanych stosuje się Regulamin, RODO i przepisy prawa polskiego.
2. Zmiany umowy następują w trybie § 20 Regulaminu, a zmiany Listy podprocesorów — w trybie § 8.
3. Na żądanie Administratora Procesor przekazuje treść umowy w postaci pliku PDF. Strony mogą zawrzeć umowę powierzenia w formie odrębnego dokumentu; ma on wtedy pierwszeństwo przed niniejszą umową.