Polityka prywatności CrewTango

Dostawca usługi

Usługę CrewTango świadczy: STAFFMONITOR SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ.

Określenia „my”, „nas” i „nasz” w tym dokumencie odnoszą się do powyższej spółki.

Zakres Polityki prywatności

Polityka opisuje przetwarzanie danych związane z CrewTango. Stanowi informacyjną część Regulaminu i umowy, a dla wygody jest udostępniona także osobno. Zapoznanie się z nią nie jest zgodą na wszystkie operacje przetwarzania i nie zastępuje podstaw prawnych wymaganych przez RODO.

Kto jest administratorem danych

Dla danych pracowników i innych osób przetwarzanych w organizacji Klienta administratorem jest Klient, np. pracodawca lub podmiot prowadzący placówkę opieki. STAFFMONITOR SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, dostawca CrewTango, działa jako procesor według umowy powierzenia zawartej w Regulaminie. Administrator konta działa w ramach uprawnień nadanych przez organizację.

Powyższa spółka jest odrębnym administratorem danych przetwarzanych we własnych celach: nawiązania relacji z Klientem, rozliczenia usługi, korespondencji, obsługi zgłoszeń oraz ochrony własnych praw i bezpieczeństwa serwisu. Jej adres i dane identyfikacyjne podano na początku dokumentu; kontakt w sprawach danych: [email protected]. Dane z konta Klienta udostępnione przy rozwiązywaniu zgłoszenia pozostają powierzone, jeśli są przetwarzane wyłącznie na jego polecenie.

Cele i podstawy przetwarzania przez Usługodawcę

• Zawarcie i wykonanie Umowy z osobą fizyczną będącą Klientem: dane identyfikacyjne, kontaktowe i zamówienia — art. 6 ust. 1 lit. b RODO. Kontakt z osobami reprezentującymi organizację: imię, nazwisko, rola i dane służbowe — art. 6 ust. 1 lit. f, uzasadniony interes w nawiązaniu i obsłudze relacji z organizacją.
• Obsługa płatności za abonament i jego odnowień: identyfikatory klienta, transakcji i subskrypcji, kontakt rozliczeniowy, kwota, waluta, data i status płatności oraz identyfikator metody płatności — art. 6 ust. 1 lit. b RODO wobec osoby fizycznej będącej stroną Umowy; wobec przedstawiciela organizacji art. 6 ust. 1 lit. f, uzasadniony interes w pobieraniu i rozliczaniu należności. Przekazanie Stripe danych potrzebnych do płatności służy temu celowi; upoważnienie do obciążania karty nie jest ogólną zgodą na przetwarzanie danych osobowych.
• Fakturowanie, podatki i rachunkowość: dane nabywcy, identyfikatory podatkowe, adres i dane rozliczeń — art. 6 ust. 1 lit. c RODO w związku z właściwymi obowiązkami ustawowymi.
• Odpowiedzi na korespondencję i zgłoszenia, ustalenie, dochodzenie lub obrona roszczeń: dane kontaktowe i treść niezbędnej korespondencji — art. 6 ust. 1 lit. f RODO, uzasadniony interes w obsłudze zgłoszeń i ochronie praw; art. 6 ust. 1 lit. b, gdy realizujemy obowiązek umowny wobec osoby będącej stroną Umowy.
• Bezpieczeństwo serwisu, wykrywanie nadużyć i diagnostyka: niezbędne dane techniczne i dzienniki zdarzeń — art. 6 ust. 1 lit. f RODO, uzasadniony interes w zapewnieniu bezpiecznej i prawidłowej obsługi. Nie obejmuje to dowolnego wykorzystania treści powierzonych przez pracodawcę.
• Jeżeli określona opcjonalna czynność wymaga zgody, uzyskujemy ją odrębnie dla konkretnego celu. Można ją wycofać bez wpływu na legalność wcześniejszego przetwarzania. Akceptacja Regulaminu i uprawnienie aplikacji w urządzeniu nie zastępują takiej zgody.

Dane przetwarzane na polecenie Klienta

Zależnie od używanych funkcji są to dane profilu i konta, dane służbowe, ewidencja czasu i nieobecności, grafiki, zadania, projekty, rozliczenia, kontakty, dokumenty, podpisy, zdjęcia i inne pliki, komentarze, dane GPS oraz informacje o korzystaniu z komputera, jeżeli Klient uruchomił odpowiednie funkcje. Moduły branżowe mogą obejmować historię czynności opiekuńczych, informacje o podopiecznych, operacje magazynowe i zgłoszenia dotyczące czystości. Dokładne kategorie określa część o powierzeniu w Regulaminie.

Klient określa zgodny z prawem cel, podstawę i zakres przetwarzania oraz przekazuje osobom własną informację wymaganą art. 13 lub 14 RODO. Dane o zdrowiu w module opieki i uzasadnionej dokumentacji nieobecności wymagają dodatkowej przesłanki z art. 9 ust. 2 RODO. Usługodawca nie ustala jej za Klienta ani nie uznaje ogólnej zgody pracownika za podstawę każdego procesu.

Źródła danych i obowiązek ich podania

Dane otrzymujemy od osoby korzystającej z usługi, od Klienta lub upoważnionych Użytkowników oraz z urządzeń podczas korzystania z uruchomionych funkcji. Dane reprezentanta organizacji mogą pochodzić od tej organizacji. Dane techniczne są przekazywane przez przeglądarkę lub aplikację.

Dane konieczne do utworzenia konta, zawarcia Umowy i rozliczeń są wymagane odpowiednio do realizacji tych czynności lub wykonania prawa; ich brak może uniemożliwić obsługę. Pozostałe dane są zależne od wybranych funkcji i instrukcji Klienta. Wobec pracownika obowiązek podania danych, jego źródło i skutki odmowy wyjaśnia pracodawca.

Lokalizacja i uprawnienia urządzeń

Funkcje GPS mogą przetwarzać dokładne współrzędne, czas i dokładność zapisu, dane ruchu i urządzenia oraz powiązanie z ewidencją pracy w zakresie uruchomionym przez Klienta. Cel i zasady użycia ustala Klient i wyjaśnia je Użytkownikom przed rozpoczęciem. Uprawnienia lokalizacji można zmienić w ustawieniach urządzenia; ograniczenie dostępu może uniemożliwić korzystanie z funkcji wymagających lokalizacji. Nie usuwa to automatycznie wcześniejszych zapisów.

Dostęp do aparatu i plików służy korzystaniu z funkcji zdjęć, dokumentacji lub skanowania, a powiadomienia informują o zdarzeniach usługi. Zakres uprawnień zależy od funkcji i systemu urządzenia. Opcjonalne zrzuty ekranu, informacje o programach, stronach oraz aktywności klawiatury i myszy dotyczą konfiguracji aplikacji komputerowej. Użytkownik powinien otrzymać od Klienta informację, jakie funkcje są włączone i kto ma dostęp do zapisów.

Odbiorcy, hosting i operator płatności

Wskazanym zewnętrznym dostawcą hostingu jest Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Niemcy; sąd rejestrowy w Ansbach, HRB 6089; VAT UE DE812871812; [email protected]. Dla danych powierzonych CrewTango Hetzner jest dalszym procesorem, a dla danych przetwarzanych przez Usługodawcę we własnych celach działa w odpowiednim zakresie jako jego procesor.

Operatorem płatności za abonament jest Stripe: Stripe Payments Europe, Limited (Irlandia), z udziałem Stripe Technology Europe, Limited w zakresie regulowanych usług płatniczych. Adres Stripe Technology Europe, Limited: One Wilton Park, Wilton Place, Dublin 2, Irlandia; numer w rejestrze Central Bank of Ireland: C187865. Zakres obsługi płatności obejmuje niezbędne dane płatnika i kontaktu rozliczeniowego, identyfikatory klienta oraz subskrypcji, kwotę, walutę, datę i status transakcji oraz dane metody płatności podawane przy płatności. Stripe może również pozyskiwać dane urządzenia i połączenia na potrzeby bezpieczeństwa transakcji. Dane te dotyczą rozliczenia z Usługodawcą, odrębnie od dokumentacji powierzanej przez pracodawcę.

Gdy Stripe obsługuje płatność na polecenie Usługodawcy, działa jako jego procesor. W zakresie własnych obowiązków prawnych, zapobiegania oszustwom i innych własnych celów określonych w dokumentach Stripe działa jako administrator. Zależnie od czynności podmioty Stripe mogą działać jako współadministratorzy; główną jednostką europejską do celów RODO jest Stripe Technology Company, Limited. Szczegóły podziału ról i praw osób zawierają dokumenty Stripe. Kontakt w sprawach prywatności: [email protected]; Stripe Technology Company Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irlandia, z dopiskiem „Stripe Legal”.

Polityka prywatności Stripe · Role i kontakt Stripe · Umowa przetwarzania danych Stripe

Dane z konta organizacji są dostępne osobom upoważnionym przez Klienta i odbiorcom wskazanym w jego instrukcjach, zgodnie z nadanym zakresem. Upoważniony personel Usługodawcy uzyskuje dostęp tylko w zakresie potrzebnym do wykonania obowiązków. Organy publiczne mogą otrzymać dane, jeżeli wymagają tego przepisy. Wskazanie dostawców nie wyłącza takich obowiązkowych ujawnień ani udostępnień zleconych przez Klienta.

Lokalizacja i okresy przechowywania

Powierzone dane aplikacji CrewTango są przechowywane na serwerach Hetzner Online GmbH w Niemczech. Umowa nie upoważnia Usługodawcy do przekazywania powierzonych danych poza EOG; ewentualna zmiana wymaga uprzedniego spełnienia warunków opisanych w części o powierzeniu.

Dane powierzone są przetwarzane w czasie korzystania z usługi według instrukcji Klienta. Po zamknięciu konta organizacji usuwa się je z systemu oraz kopii zapasowych w ciągu 30 dni, po zapewnieniu wyboru zwrotu lub usunięcia. Wyjątek dotyczy wyłącznie konkretnego obowiązku przechowywania wynikającego z prawa Unii lub państwa członkowskiego. Zamknięcie konta pojedynczego pracownika nie musi oznaczać usunięcia ewidencji prowadzonej przez pracodawcę. Samo zawieszenie dostępu za brak płatności nie uruchamia tego 30-dniowego terminu.

W odrębnym zakresie, w którym Usługodawca jest administratorem: dane Umowy i kontaktów przechowuje przez czas obsługi relacji, a następnie w niezbędnym zakresie do upływu właściwych terminów przedawnienia roszczeń; dokumenty księgowe i podatkowe przez okres wymagany właściwymi przepisami; korespondencję przez czas potrzebny do załatwienia sprawy i ewentualnej ochrony roszczeń. Dane diagnostyczne i bezpieczeństwa przechowuje tylko tak długo, jak jest to potrzebne do ustalenia i usunięcia problemu lub obsługi incydentu, z okresowym przeglądem tej potrzeby. Nie uzasadnia to zachowywania całej dokumentacji Klienta.

Informacja o hostingu w Niemczech nie określa lokalizacji wszystkich danych płatniczych obsługiwanych przez Stripe. W ramach jego usług dane rozliczeniowe mogą być przekazywane poza EOG, w tym do Stanów Zjednoczonych. Stripe opisuje stosowanie decyzji stwierdzających odpowiedni stopień ochrony oraz standardowych klauzul umownych, zależnie od konkretnego przekazania. Szczegóły zabezpieczeń i treść klauzul są dostępne w dokumentach Stripe wskazanych poniżej; o ich kopię można również wystąpić na podany kontakt prywatności Stripe. W zakresie własnych celów Stripe ustala okresy przechowywania według potrzeb obsługi płatności, przeciwdziałania nadużyciom oraz obowiązków prawnych, księgowych i finansowych. Termin 30 dni dla powierzonych danych zamkniętego konta nie oznacza usunięcia w tym terminie wszystkich danych transakcji w Stripe.

Przekazywanie danych przez Stripe · Przechowywanie i ochrona danych w Stripe

Prawa osób i sposób złożenia wniosku

W granicach określonych RODO przysługują prawa dostępu i uzyskania kopii danych, sprostowania, usunięcia, ograniczenia przetwarzania oraz przenoszenia danych. Gdy podstawą jest uzasadniony interes, można wnieść sprzeciw z przyczyn związanych ze swoją szczególną sytuacją; sprzeciw wobec marketingu bezpośredniego jest bezwarunkowy. Zgodę można wycofać w dowolnym momencie bez wpływu na legalność wcześniejszych działań.

Wnioski dotyczące danych pracowniczych lub danych w organizacji należy kierować do Klienta będącego administratorem. Wniosek otrzymany przez CrewTango zostanie bez zbędnej zwłoki przekazany właściwemu Klientowi, któremu pomagamy w realizacji praw. W sprawach, w których administratorem jest Usługodawca, wniosek można skierować na [email protected] lub adres siedziby. Nie jest wymagane użycie konkretnego formularza. W razie uzasadnionych wątpliwości można poprosić o niezbędne informacje potwierdzające tożsamość.

Odpowiedź następuje bez zbędnej zwłoki, co do zasady w ciągu miesiąca. W przypadkach przewidzianych RODO termin może zostać przedłużony o dwa miesiące, po poinformowaniu o powodach w pierwszym miesiącu. Usunięcie danych może być ograniczone m.in. obowiązkiem ustawowym lub koniecznością ochrony roszczeń; ewentualna odmowa wymaga uzasadnienia. Prawo do wniosku nie zależy od tego, kto zarządza kontem.

Można złożyć skargę do właściwego organu nadzorczego, w Polsce do Prezesa Urzędu Ochrony Danych Osobowych. Informacje o sposobie złożenia skargi są dostępne na uodo.gov.pl. Nie ogranicza to prawa do sądowej ochrony praw.

Raporty i decyzje dotyczące osób

Raporty czasu, kosztów i produktywności wspierają pracę Klienta. Samo wygenerowanie raportu nie upoważnia do podejmowania wobec osoby decyzji wywołującej skutki prawne lub podobnie istotnej wyłącznie automatycznie. Jeżeli Klient zamierza stosować taki proces lub profilowanie, odpowiada za ustalenie jego podstawy, spełnienie art. 22 RODO, wymagane informacje i zabezpieczenia, w tym udział człowieka, gdy jest wymagany. Powierzone dane nie są przeznaczone do własnego profilowania osób przez Usługodawcę.

Ochrona danych

Zakres zobowiązań dotyczących uprawnień, poufności personelu, szyfrowania transmisji, kopii zapasowych, incydentów i kontroli zabezpieczeń opisuje część „Poufność i środki bezpieczeństwa” w Regulaminie. Użytkownicy powinni chronić urządzenia, aktualizować aplikacje i nie udostępniać haseł. Podejrzenie naruszenia można zgłosić na [email protected].

Osoby małoletnie

CrewTango jest usługą dla organizacji i nie jest kierowane do dzieci jako samodzielnych Klientów. Jeżeli w zgodnym z prawem procesie Klient przetwarza dane osoby małoletniej, np. pracownika młodocianego lub podopiecznego, musi uwzględnić właściwe przepisy, uprawnienia przedstawiciela i szczególne potrzeby ochrony. Wątpliwości dotyczące takich danych należy zgłosić właściwemu administratorowi lub na adres kontaktowy CrewTango.

Zmiany Polityki i kontakt

Aktualna wersja i data dokumentu są podane w jego nagłówku. O istotnych zmianach dotyczących sposobu przetwarzania Usługodawca informuje osoby, których dotyczą, odpowiednio do sytuacji, przed rozpoczęciem zmienionego przetwarzania. Zmiana Polityki nie tworzy nowej podstawy prawnej, nie zastępuje wymaganej zgody i nie rozszerza instrukcji dotyczących powierzonych danych. Zmiany części umownej podlegają zasadom zmiany Umowy.

W sprawach Polityki, ról stron i przekazania wniosku można kontaktować się z Usługodawcą pod adresem [email protected] lub listownie na adres wskazany na początku dokumentu.

Kontakt

Jeśli masz pytania dotyczące tego dokumentu, napisz do nas: [email protected].