Regulamin i umowa CrewTango

Dostawca usługi

Usługę CrewTango świadczy: STAFFMONITOR SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ.

Określenia „my”, „nas” i „nasz” w tym dokumencie odnoszą się do powyższej spółki.

§ 1. Umowa i jej strony

Niniejszy Regulamin stanowi umowę o świadczenie usług CrewTango między spółką wskazaną w części „Dostawca usługi” (Usługodawca) a firmą lub organizacją wskazaną podczas rejestracji lub w zamówieniu (Klient). Obejmuje warunki korzystania, umowę powierzenia przetwarzania danych oraz Politykę prywatności zamieszczoną w końcowej części tego samego dokumentu. Nie jest potrzebna odrębna umowa powierzenia między Klientem a Usługodawcą dla opisanego tu zakresu.

Osoba zawierająca Umowę musi być uprawniona do reprezentowania Klienta. Administrator konta to Użytkownik zarządzający ustawieniami i dostępem w aplikacji; samo nadanie mu tej roli nie czyni go administratorem danych w rozumieniu RODO. Użytkownicy to osoby, którym Klient udzielił dostępu, w tym pracownicy i współpracownicy.

Umowa zostaje zawarta przez wyraźną akceptację Regulaminu przez uprawnionego przedstawiciela Klienta i uruchomienie konta przez Usługodawcę albo przez obustronne potwierdzenie zamówienia odwołującego się do oznaczonej wersji Regulaminu, również e-mailem. Regulamin jest udostępniany przed zawarciem Umowy w formie umożliwiającej jego zapisanie i odtworzenie. Samo przeglądanie strony ani akceptacja zaproszenia przez pracownika nie oznacza zawarcia Umowy w imieniu pracodawcy.

CrewTango służy działalności zawodowej i organizacyjnej Klientów. Regulamin nie wyłącza bezwzględnie obowiązujących praw, w tym ochrony przysługującej przedsiębiorcy będącemu osobą fizyczną, jeżeli znajduje ona zastosowanie do danej Umowy.

§ 2. Usługa i okres próbny

Usługa obejmuje dostęp do aplikacji internetowej oraz dostępnych w wybranym planie aplikacji mobilnych i komputerowych. Funkcje służą organizacji pracy, ewidencji czasu, grafikom, zadaniom, projektom, dokumentom, raportowaniu i operacjom branżowym. Zakres funkcji, limity i wymagane aktywacje określają cennik oraz przyjęte zamówienie.

Bezpłatny okres próbny trwa 14 dni od uruchomienia konta. Obejmuje wszystkie moduły poza wymagającymi ręcznej aktywacji zgodnie z cennikiem. Domy opieki, utrzymanie czystości i magazyn wymagają aktywacji na życzenie Klienta, również podczas testu. Aktywacja modułu nie zastępuje ustalenia podstaw prawnych ani uprawnień do przetwarzania danych.

Do korzystania potrzebne są połączenie z internetem, adres e-mail oraz urządzenie i aktualne oprogramowanie zgodne z wymaganiami danej aplikacji. Zakres dostępu do aparatu, plików, lokalizacji i powiadomień zależy od używanej funkcji i ustawień urządzenia. Użytkownik pobiera aplikacje z oficjalnych kanałów wskazanych przez CrewTango.

§ 3. Abonament i rozliczenia

Płatna usługa wymaga zamówienia określającego plan, cenę, okres zobowiązania, cykl rozliczeniowy, sposób i termin płatności oraz zasady odnowienia. Klient otrzymuje te informacje przed akceptacją zamówienia. Sam upływ okresu próbnego nie stanowi zgody na niezamówione opłaty.

W planach rozliczanych według aktywnych kont abonament wynika z liczby aktywnych kont i stawki planu, z uwzględnieniem minimalnej wartości abonamentu wskazanej w cenniku. Minimum nie oznacza pakietu kont w cenie. Sposób ustalania liczby kont w okresie rozliczeniowym określa zamówienie. Ceny netto powiększa się o należny VAT.

Abonament miesięczny po zakończeniu każdego miesięcznego okresu automatycznie przedłuża się na następny miesięczny okres, a opłata za ten okres jest automatycznie pobierana z karty płatniczej za pośrednictwem Stripe. Przy zamawianiu abonamentu miesięcznego Klient upoważnia do cyklicznego obciążania wskazanej karty zgodnie z zaakceptowanymi warunkami cenowymi. Odnowienia trwają do skutecznej rezygnacji, z uwzględnieniem uzgodnionego okresu zobowiązania. Rezygnację z kolejnego odnowienia należy zgłosić przed rozpoczęciem następnego okresu w ustawieniach rozliczeń lub na adres kontaktowy Usługodawcy; jest skuteczna z końcem obowiązującego okresu, z zastrzeżeniem uzgodnionego zobowiązania i bezwzględnie obowiązującego prawa.

Przy rozliczeniu rocznym ceny podawane za miesiąc są miesięcznym odpowiednikiem opłaty rocznej. Każda opłata roczna jest jednorazową płatnością dokonywaną przez Klienta z góry. Płatność za jeden rok nie upoważnia do automatycznego obciążenia karty za kolejny rok. Kontynuacja dostępu w kolejnym rocznym okresie wymaga odrębnej jednorazowej płatności za ten okres w terminie wskazanym w zamówieniu lub dokumencie płatności. Jeżeli opłata za kolejny roczny okres nie zostanie dokonana, po zakończeniu opłaconego okresu dostęp do konta może zostać zawieszony. Zawieszenie nie jest zamknięciem konta; jego skutki dla danych określa część „Czas trwania i zakończenie usługi”.

Warunki rabatu migracyjnego dla pakietu GRAFIK I RCP wymagają potwierdzenia w zamówieniu: rabat 30% na maksymalnie 12 miesięcy, nie dłużej niż udokumentowany okres korzystania z poprzedniego płatnego systemu, płatność roczna i zobowiązanie na 24 miesiące. Po rabacie stosuje się cenę regularną ustaloną w zamówieniu.

Płatności obsługuje Stripe. Podmiotem umownym świadczącym usługi Stripe dla przedsiębiorcy w Polsce jest Stripe Payments Europe, Limited (Irlandia), a regulowane usługi płatnicze świadczy Stripe Technology Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, Irlandia — instytucja pieniądza elektronicznego nadzorowana przez Central Bank of Ireland, numer referencyjny C187865. Zasady przetwarzania danych rozliczeniowych opisano w Polityce prywatności stanowiącej część tej Umowy.

Dane podmiotów Stripe · Rejestr Central Bank of Ireland

Zmiana cennika na stronie nie zmienia automatycznie ceny już przyjętego zamówienia. Zmiany planu i dodatkowe płatne usługi wymagają uzgodnienia z Klientem.

§ 4. Konta i zasady korzystania

• Klient podaje prawdziwe dane, wyznacza uprawnionych administratorów konta, utrzymuje aktualny kontakt i odbiera dostęp osobom, które utraciły upoważnienie. Użytkownicy chronią dane logowania i zgłaszają podejrzenia nieuprawnionego dostępu.
• Zakazane jest dostarczanie treści bezprawnych, naruszanie praw osób trzecich, udostępnianie kont osobom nieuprawnionym, obchodzenie zabezpieczeń i zakłócanie działania usługi.
• Klient odpowiada za zgodność wykorzystania GPS, zrzutów ekranu, informacji o programach i stronach oraz innych funkcji kontroli pracy z właściwymi przepisami, w tym prawem pracy. Przed ich włączeniem określa cel, niezbędny zakres i dostęp do danych oraz przekazuje osobom wymagane informacje. Dostępność techniczna funkcji nie przesądza o dopuszczalności jej użycia.
• Komunikaty dotyczące konta, realizacji usługi i bezpieczeństwa są odrębne od marketingu. Akceptacja Regulaminu nie stanowi zgody na marketing ani zgody pracownika na każdy rodzaj monitorowania.
• Klient weryfikuje raporty i rozliczenia przed ich wykorzystaniem oraz zachowuje dokumentację wymaganą prawem. Ograniczenie funkcji lub zamknięcie konta nie znosi tych obowiązków.

§ 5. Licencja i materiały Klienta

Na czas Umowy Usługodawca udziela Klientowi niewyłącznego prawa korzystania z CrewTango przez uprawnionych Użytkowników w ramach zamówionego zakresu. Nie obejmuje ono odsprzedaży usługi, udostępniania kodu ani kopiowania i modyfikacji oprogramowania poza zakresem dozwolonym przez prawo. Prawa do oprogramowania i marki pozostają przy uprawnionych podmiotach.

Klient zachowuje przysługujące mu prawa do wprowadzonych materiałów. Upoważnia Usługodawcę do ich technicznego przetwarzania wyłącznie w zakresie potrzebnym do realizacji Umowy. Nie oznacza to nabycia własności danych osobowych ani ograniczenia praw osób, których dotyczą. Naruszenia praw do materiałów można zgłaszać na adres kontaktowy Usługodawcy, wskazując materiał, naruszone prawo i uzasadnienie.

§ 6. Wsparcie, reklamacje i dostępność

Wsparcie i reklamacje dotyczące usługi można zgłaszać na [email protected]. Zgłoszenie powinno umożliwiać identyfikację konta, opisywać problem i oczekiwany sposób jego rozwiązania; nie należy przesyłać haseł ani zbędnych danych pracowników lub podopiecznych. Usługodawca rozpatruje zgłoszenie bez zbędnej zwłoki, przekazuje wynik na adres zgłaszającego i przestrzega terminów wymaganych przez właściwe przepisy.

Usługodawca utrzymuje usługę z należytą starannością, usuwa stwierdzone usterki i udostępnia niezbędne aktualizacje. O planowanych pracach ograniczających dostęp informuje z wyprzedzeniem, gdy jest to możliwe. Natychmiastowe prace mogą być potrzebne dla bezpieczeństwa lub usunięcia awarii. Gwarantowane parametry dostępności, godziny wsparcia i czasy reakcji obowiązują tylko wtedy, gdy zostały wyraźnie uzgodnione w zamówieniu; nie ogranicza to obowiązków wynikających z RODO ani przepisów bezwzględnie obowiązujących.

§ 7. Czas trwania i zakończenie usługi

Okres próbny trwa 14 dni, a okres płatnej usługi wynika z zaakceptowanego zamówienia. Klient może zgłosić rezygnację lub żądanie zamknięcia konta na adres kontaktowy. Termin zakończenia uwzględnia przyjęty okres zobowiązania i bezwzględnie obowiązujące prawo. Zamknięcie konta pracownika nie jest równoznaczne z zamknięciem konta całej organizacji ani automatycznym usunięciem jej dokumentacji.

Usługodawca może ograniczyć dostęp w zakresie niezbędnym do powstrzymania bezprawnego działania lub realnego zagrożenia bezpieczeństwa. Przy naruszeniu Umowy, w tym zaległości w płatności, przed rozwiązaniem Umowy wzywa Klienta do usunięcia naruszenia w odpowiednim terminie, chyba że niezwłoczne działanie jest wymagane prawem lub konieczne dla ochrony danych. Informuje o przyczynie i zakresie ograniczenia, o ile prawo tego nie zabrania.

W przypadku braku opłaty za kolejny roczny okres Usługodawca może zawiesić dostęp zgodnie z częścią „Abonament i rozliczenia”, informując Klienta o przyczynie. Samo zawieszenie za brak płatności nie rozwiązuje Umowy, nie zamyka konta organizacji i nie uruchamia 30-dniowego terminu usunięcia danych. W czasie zawieszenia obowiązki ochrony danych, pomocy przy prawach osób oraz zapewnienia zwrotu lub usunięcia danych pozostają w mocy; w sprawie ich wykonania Klient może skontaktować się z Usługodawcą.

Zakończenie usługi nie uchyla obowiązku bezpiecznego zwrotu lub usunięcia powierzonych danych. Zasady eksportu, wyboru zwrotu lub usunięcia i 30-dniowy termin określa część „Zwrot i usunięcie danych”. Rozliczenie opłat po zakończeniu następuje zgodnie z zaakceptowanym zamówieniem i prawem; Regulamin nie wprowadza bezwarunkowego wyłączenia prawa do zwrotu.

§ 8. Odpowiedzialność stron

Każda strona odpowiada za wykonanie swoich obowiązków na zasadach wynikających z właściwego prawa. Usługodawca odpowiada za powierzony mu zakres przetwarzania, w tym za wykonanie obowiązków ochrony danych przez dalszego procesora zgodnie z art. 28 ust. 4 RODO. Obowiązki Klienta dotyczące prawidłowego korzystania z systemu nie zwalniają Usługodawcy z jego własnych obowiązków.

Żadne postanowienie nie wyłącza odpowiedzialności za szkodę wyrządzoną umyślnie, odpowiedzialności, której nie można wyłączyć ustawowo, ani praw osób do odszkodowania na podstawie art. 82 RODO.

§ 9. Zmiany Umowy

Usługodawca może zaproponować zmianę Regulaminu z powodu zmiany prawa, funkcji, warunków usługi lub wymagań bezpieczeństwa. Przekazuje Klientowi nową wersję, opis istotnych zmian i proponowaną datę ich stosowania w formie umożliwiającej zapisanie treści. Sama publikacja na stronie nie zmienia istniejącej Umowy ani udokumentowanych instrukcji dotyczących danych.

Zmiana wymaga uzgodnienia z Klientem, z zachowaniem bezwzględnie obowiązujących przepisów. Do czasu skutecznego uzgodnienia stosuje się dotychczasowe postanowienia w zakresie dozwolonym prawem. Zmiana dalszego procesora wymaga wcześniejszego pisemnego, również elektronicznego, zezwolenia zgodnie z częścią „Dalszy procesor i lokalizacja danych”.

§ 10. Prawo właściwe i interpretacja

Do Umowy stosuje się prawo polskie oraz bezpośrednio obowiązujące prawo Unii Europejskiej, w szczególności rozporządzenie (UE) 2016/679 (RODO). Wybór prawa nie pozbawia strony ochrony wynikającej z przepisów bezwzględnie obowiązujących, które mają do niej zastosowanie. Właściwość sądu określają obowiązujące przepisy.

Wersje polska i angielska opisują te same obowiązki. Rozbieżności należy wyjaśniać zgodnie z celem Umowy i RODO, bez ograniczania praw osób. Nieważność pojedynczego postanowienia nie uchyla pozostałych. Indywidualnie uzgodnione warunki handlowe mogą uzupełniać Regulamin, ale nie mogą uchylać obowiązków wynikających z RODO.

§ 11. Powierzenie danych — role i pierwszeństwo zasad

W odniesieniu do danych osobowych wprowadzanych lub zbieranych w CrewTango na potrzeby działalności Klienta, Klient jest administratorem danych, a Usługodawca podmiotem przetwarzającym działającym w jego imieniu. Dotyczy to w szczególności pracodawcy i danych jego pracowników. Niniejsza część, od „Powierzenie danych” do „Zwrot i usunięcie danych”, stanowi wiążącą umowę powierzenia w rozumieniu art. 28 ust. 3 RODO, również w formie elektronicznej.

Jeżeli Klient sam przetwarza określone dane na rzecz innego administratora, przed ich powierzeniem informuje Usługodawcę i uzyskuje wymagane upoważnienie tego administratora. Dla tego zakresu Usługodawca działa jako dalszy procesor, a instrukcje Klienta muszą odpowiadać instrukcjom administratora. Nie zmienia to obowiązków ochrony danych opisanych poniżej.

Powierzenie nie obejmuje przetwarzania przez Usługodawcę we własnych celach danych potrzebnych do zawarcia i rozliczenia Umowy, kontaktu oraz ochrony własnych praw. Ten odrębny zakres opisuje Polityka prywatności. W razie sprzeczności część o powierzeniu ma pierwszeństwo dla powierzonych danych; postanowienia handlowe ani polityka nie rozszerzają instrukcji Klienta.

§ 12. Przedmiot, zakres i czas przetwarzania

Przedmiotem jest obsługa danych organizacji Klienta w CrewTango. Celem jest realizacja wybranych przez Klienta procesów pracy i funkcji usługi. Przetwarzanie obejmuje pozyskiwanie, zapisywanie, porządkowanie, przechowywanie, wyszukiwanie, udostępnianie uprawnionym odbiorcom według instrukcji, sporządzanie raportów, eksport, aktualizację, wykonywanie kopii, odtwarzanie oraz usuwanie danych. Trwa przez okres usługi oraz niezbędny okres jej zakończenia opisany poniżej.

Poniższy katalog określa zakres dopuszczalny zależnie od aktywowanych modułów i instrukcji Klienta, a nie obowiązek zbierania wszystkich wymienionych danych. Klient ogranicza dane do niezbędnych i nie umieszcza danych poza uzgodnionym zakresem.

• Osoby: Użytkownicy, pracownicy i współpracownicy Klienta; jego klienci, kontrahenci, ich przedstawiciele i osoby kontaktowe; podopieczni lub mieszkańcy placówek opieki, opiekunowie i kontakty alarmowe; osoby zgłaszające uwagi dotyczące usług i podpisujące dokumenty.
• Dane podstawowe: imiona i nazwiska, identyfikatory kont i pracowników, służbowe dane kontaktowe, role, zespoły, stanowiska i uprawnienia; dane kontaktów i organizacji wprowadzone przez Klienta.
• Dane pracy: czas pracy i przerw, obecność, grafiki, dostępność, nieobecności, zadania, projekty, stawki i składniki rozliczeń, raporty, komentarze i historia operacji; w aktywnych funkcjach także lokalizacja GPS, identyfikatory QR/NFC, dane używanych programów i stron, informacje o aktywności klawiatury i myszy oraz zrzuty ekranu.
• Materiały i dane techniczne: dokumenty, podpisy i ich dane weryfikacyjne, pliki i zdjęcia, treść korespondencji w ramach procesów Klienta, daty, adresy IP i identyfikatory urządzeń związane z użyciem usługi.
• Szczególne kategorie: dane o zdrowiu zawarte w uzasadnionych zapisach nieobecności oraz, po ręcznej aktywacji modułu domów opieki, dane o stanie zdrowia, alergiach, lekach, planach i wykonaniu opieki nad podopiecznymi. Ich powierzenie wymaga ustalenia przez Klienta właściwej przesłanki z art. 9 ust. 2 RODO, oprócz podstawy z art. 6, oraz wymaganych zabezpieczeń przed rozpoczęciem przetwarzania. Inne szczególne kategorie, dane z art. 10 RODO i biometryczna identyfikacja osób nie są objęte standardowym zakresem tej Umowy.

§ 13. Instrukcje i obowiązki Klienta

Klient określa cele i istotne sposoby przetwarzania, podstawy prawne, zakres dostępów oraz okresy przechowywania podczas korzystania z usługi. Realizuje obowiązki informacyjne wobec osób, weryfikuje legalność zbierania danych i przekazuje Usługodawcy informacje o szczególnych ryzykach oraz wymaganiach. Ma prawo wydawać instrukcje, uzyskiwać informacje i kontrolować zgodność przetwarzania.

Udokumentowane instrukcje stanowią ta Umowa, uzgodnione zamówienie, ustawienia i polecenia wydane przez upoważnione osoby w aplikacji oraz zweryfikowana korespondencja kierowana na [email protected]. Usługodawca weryfikuje uprawnienie osoby wydającej instrukcję i przetwarza dane wyłącznie na tych instrukcjach, także w sprawie przekazania poza EOG, chyba że obowiązek wynika z prawa Unii lub państwa członkowskiego. W takim przypadku informuje Klienta przed przetwarzaniem, chyba że prawo tego zabrania ze względu na ważny interes publiczny.

Usługodawca nie wykorzystuje powierzonych danych do własnego marketingu, sprzedaży danych ani szkolenia modeli AI. Niezwłocznie informuje Klienta, jeśli instrukcja w jego ocenie narusza przepisy ochrony danych, i wstrzymuje jej zakwestionowaną część do wyjaśnienia. Zmiana celu lub istotnego zakresu wymaga uprzedniego uzgodnienia.

§ 14. Poufność i środki bezpieczeństwa

Usługodawca zobowiązuje się utrzymywać środki techniczne i organizacyjne odpowiednie do ryzyka zgodnie z art. 32 RODO. Poniższe środki określają wymagany poziom wykonania Umowy. Przed rozpoczęciem przetwarzania i przy istotnej zmianie zakresu Usługodawca ocenia ich adekwatność, dokumentuje zabezpieczenia i udostępnia Klientowi informacje potrzebne do ich oceny. Nie może obniżyć uzgodnionego poziomu ochrony.

• Dostęp i poufność: indywidualne uprawnienia według obowiązków, ograniczenie dostępu personelu do niezbędnego zakresu, odbieranie zbędnych uprawnień, poufność osób dopuszczonych do danych wynikająca ze zobowiązania lub prawa oraz instruktaż ochrony danych.
• Ochrona kont i transmisji: szyfrowanie transmisji do usługi i dostępu administracyjnego, bezpieczne przechowywanie skrótów haseł, ochrona danych uwierzytelniających i weryfikacja uprawnień do kont oraz organizacji. Dostęp personelu Usługodawcy do systemów administracyjnych wymaga dodatkowej ochrony uwierzytelnienia dobranej do ryzyka.
• Rozdzielenie danych i minimalizacja: ograniczenie dostępu między organizacjami, wydzielanie dostępów do dokumentów i danych o zdrowiu, ograniczenie danych używanych do diagnostyki i unikanie rzeczywistych danych osobowych w testach, gdy nie są niezbędne.
• Ciągłość i odtwarzanie: wykonywanie chronionych przed nieuprawnionym dostępem kopii zapasowych, procedura odtworzenia oraz okresowe sprawdzanie możliwości przywrócenia danych i dostępności. Rotacja i usuwanie kopii muszą zapewniać dotrzymanie 30-dniowego terminu po zamknięciu konta.
• Utrzymanie i rozliczalność: aktualizacje bezpieczeństwa, ograniczenie uprawnień systemowych, rejestrowanie istotnych operacji administracyjnych i zdarzeń bezpieczeństwa, obsługa podatności i incydentów oraz regularna ocena skuteczności zabezpieczeń.
• Dane o zdrowiu: dostęp tylko dla osób upoważnionych do danego procesu, ochrona przed ujawnieniem w ogólnych raportach i zgłoszeniach wsparcia oraz uwzględnienie podwyższonego ryzyka w ocenie zabezpieczeń. Jeśli wymagane środki nie są zapewnione, przetwarzanie tego zakresu nie może się rozpocząć.

§ 15. Dalszy procesor i lokalizacja danych

Klient udziela szczegółowego zezwolenia na korzystanie z Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Niemcy; sąd rejestrowy w Ansbach, HRB 6089, VAT UE DE812871812, [email protected]. Jest to wskazany w tej Umowie zewnętrzny dostawca hostingu i przechowywania danych. Powierzone dane aplikacji są przechowywane na serwerach Hetznera w Niemczech.

Usługodawca powierza temu dostawcy dane wyłącznie w zakresie koniecznym do hostingu, przechowywania i obsługi infrastruktury. Przed powierzeniem musi zapewnić wiążącą umowę nakładającą na dalszego procesora obowiązki ochrony danych odpowiadające niniejszej Umowie. Umowa Klienta z CrewTango nie zastępuje umowy Usługodawcy z Hetznerem.

Dodanie lub zastąpienie dalszego procesora wymaga uprzedniego pisemnego zezwolenia Klienta, również elektronicznego, po przekazaniu informacji o podmiocie, czynnościach, lokalizacji i zabezpieczeniach. Brak odpowiedzi nie oznacza zgody. Zasada obejmuje również dalszy łańcuch powierzenia w zakresie powierzonych danych. Usługodawca pozostaje odpowiedzialny wobec Klienta za obowiązki dalszych procesorów.

Powierzenie nie upoważnia do przeniesienia hostingu poza Niemcy ani do przekazywania powierzonych danych poza EOG. Takie zmiany wymagają uprzednich udokumentowanych instrukcji Klienta, a przekazanie poza EOG dodatkowo spełnienia wymagań rozdziału V RODO. Dane nie mogą zostać przekazane wyłącznie na podstawie zmiany treści strony.

Stripe obsługuje odrębne dane płatności za abonament, opisane w Polityce prywatności. Samo korzystanie ze Stripe do rozliczeń nie upoważnia Usługodawcy do przekazywania mu dokumentacji pracowników, danych podopiecznych ani innych treści powierzonych przez Klienta do prowadzenia jego organizacji.

§ 16. Wnioski osób i pomoc administratorowi

Osoba, której dane dotyczą, może żądać realizacji praw przewidzianych RODO. W sprawach danych przetwarzanych na polecenie pracodawcy wniosek rozpatruje pracodawca jako administrator. Jeśli otrzyma go Usługodawca, bez zbędnej zwłoki przekazuje go właściwemu Klientowi oraz informuje wnioskodawcę o sposobie dalszej obsługi.

Klient odpowiada za weryfikację tożsamości, ocenę przesłanek i odpowiedź. Usługodawca, uwzględniając charakter przetwarzania, pomaga przez odszukanie danych, przygotowanie kopii lub eksportu, sprostowanie, ograniczenie albo usunięcie zgodnie z udokumentowaną instrukcją. Strony ograniczają dane potrzebne do weryfikacji tożsamości. Usługodawca nie rozstrzyga samodzielnie zasadności wniosku w zakresie powierzonych danych, chyba że został do tego wyraźnie upoważniony w zgodnych z prawem instrukcjach.

Pomoc jest udzielana bez zbędnej zwłoki i tak, aby Klient mógł dotrzymać terminów RODO: co do zasady odpowiedź następuje w ciągu miesiąca, z możliwością ustawowego przedłużenia o dwa kolejne miesiące i obowiązkiem poinformowania o tym w pierwszym miesiącu. Prawo do usunięcia nie jest bezwarunkowe, w szczególności gdy przepisy nakazują dalsze przechowywanie. Ustalony poniżej termin 30 dni po zamknięciu konta nie zastępuje terminów obsługi indywidualnego wniosku.

Usługodawca pomaga Klientowi również w realizacji obowiązków z art. 32–36 RODO, odpowiednio do charakteru przetwarzania i dostępnych mu informacji, przez przekazanie opisu operacji, zabezpieczeń, ryzyk i incydentów oraz współpracę przy ocenie skutków dla ochrony danych, konsultacji z organem i wymaganych zawiadomieniach.

§ 17. Naruszenia ochrony danych

Po stwierdzeniu naruszenia ochrony powierzonych danych Usługodawca zawiadamia Klienta bez zbędnej zwłoki na aktualny adres kontaktowy przypisany do konta lub uzgodniony kontakt bezpieczeństwa. Nie czeka na zakończenie całego dochodzenia. Przekazuje dostępne informacje o charakterze naruszenia, kategoriach i przybliżonej liczbie osób i rekordów, możliwych skutkach, podjętych lub planowanych środkach zaradczych oraz kontakcie do dalszych wyjaśnień; brakujące informacje uzupełnia stopniowo.

Usługodawca zabezpiecza dowody, ogranicza skutki, dokumentuje działania i współpracuje z Klientem. Klient ocenia obowiązek zgłoszenia organowi i zawiadomienia osób. Termin 72 godzin przewidziany w art. 33 RODO dla administratora nie jest dodatkowym terminem, przez który Usługodawca może wstrzymywać informację dla Klienta.

§ 18. Informacje, audyty i kontrola

Usługodawca udostępnia Klientowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia audyty, w tym inspekcje, prowadzone przez Klienta lub upoważnionego audytora, i przyczynia się do nich. Informacje mogą obejmować dokumentację zabezpieczeń, upoważnień i poufności, wyniki kontroli, informacje o dalszym powierzeniu oraz potwierdzenia usunięcia danych.

Strony uzgadniają praktyczny sposób kontroli, chroniąc poufność i dane innych Klientów. Nie może to wyłączać ani nadmiernie utrudniać kontroli, ograniczać jej do ustalonej liczby audytów lub uniemożliwiać pilnej kontroli po incydencie. Ustalenia organizacyjne nie ograniczają uprawnień organu nadzorczego.

§ 19. Zwrot i usunięcie danych

Przez okres korzystania z usługi Klient ustala okresy przechowywania zgodnie z celami i prawem oraz wydaje instrukcje usunięcia lub ograniczenia danych. Przed zamknięciem konta organizacji wybiera zwrot danych albo ich usunięcie. Zwrot odbywa się przez dostępny eksport, a dla danych nim nieobjętych przez uzgodnione bezpieczne przekazanie elektroniczne w formacie umożliwiającym odczyt. Klient może zlecić przygotowanie zwrotu na adres kontaktowy.

Zamknięcie konta oznacza uzgodniony koniec świadczenia usługi dla organizacji, potwierdzony Klientowi. Usługodawca organizuje zwrot tak, aby mógł zostać zakończony przed tym terminem. Po zamknięciu konta usuwa powierzone dane z systemu oraz z kopii zapasowych w ciągu 30 dni, także po uprzednim zwrocie, chyba że prawo Unii lub państwa członkowskiego nakazuje ich dalsze przechowywanie. Wyjątek stosuje się tylko do danych i czasu objętych konkretnym obowiązkiem, o którym Klient jest informowany, o ile prawo tego nie zabrania.

Do czasu usunięcia dane są chronione i przetwarzane wyłącznie w celu zakończenia usługi, usunięcia lub wykonania obowiązku ustawowego. Kopii nie wykorzystuje się do bieżącej obsługi; w razie niezbędnego odtworzenia ponownie wykonuje się uprzednie instrukcje usunięcia. Usługodawca zapewnia wykonanie tych obowiązków również u dalszego procesora i na żądanie potwierdza ich wykonanie. Obowiązki poufności i bezpieczeństwa trwają do ostatecznego usunięcia.

Odrębne dane rozliczeniowe i kontaktowe, dla których Usługodawca jest administratorem, podlegają zasadom Polityki prywatności. Nie jest to ogólne zezwolenie na zachowanie dokumentacji pracowniczej lub danych podopiecznych po zakończeniu powierzenia.

§ 20. Polityka prywatności: Zakres Polityki prywatności

Polityka opisuje przetwarzanie danych związane z CrewTango. Stanowi informacyjną część Regulaminu i umowy, a dla wygody jest udostępniona także osobno. Zapoznanie się z nią nie jest zgodą na wszystkie operacje przetwarzania i nie zastępuje podstaw prawnych wymaganych przez RODO.

§ 21. Polityka prywatności: Kto jest administratorem danych

Dla danych pracowników i innych osób przetwarzanych w organizacji Klienta administratorem jest Klient, np. pracodawca lub podmiot prowadzący placówkę opieki. STAFFMONITOR SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, dostawca CrewTango, działa jako procesor według umowy powierzenia zawartej w Regulaminie. Administrator konta działa w ramach uprawnień nadanych przez organizację.

Powyższa spółka jest odrębnym administratorem danych przetwarzanych we własnych celach: nawiązania relacji z Klientem, rozliczenia usługi, korespondencji, obsługi zgłoszeń oraz ochrony własnych praw i bezpieczeństwa serwisu. Jej adres i dane identyfikacyjne podano na początku dokumentu; kontakt w sprawach danych: [email protected]. Dane z konta Klienta udostępnione przy rozwiązywaniu zgłoszenia pozostają powierzone, jeśli są przetwarzane wyłącznie na jego polecenie.

§ 22. Polityka prywatności: Cele i podstawy przetwarzania przez Usługodawcę

• Zawarcie i wykonanie Umowy z osobą fizyczną będącą Klientem: dane identyfikacyjne, kontaktowe i zamówienia — art. 6 ust. 1 lit. b RODO. Kontakt z osobami reprezentującymi organizację: imię, nazwisko, rola i dane służbowe — art. 6 ust. 1 lit. f, uzasadniony interes w nawiązaniu i obsłudze relacji z organizacją.
• Obsługa płatności za abonament i jego odnowień: identyfikatory klienta, transakcji i subskrypcji, kontakt rozliczeniowy, kwota, waluta, data i status płatności oraz identyfikator metody płatności — art. 6 ust. 1 lit. b RODO wobec osoby fizycznej będącej stroną Umowy; wobec przedstawiciela organizacji art. 6 ust. 1 lit. f, uzasadniony interes w pobieraniu i rozliczaniu należności. Przekazanie Stripe danych potrzebnych do płatności służy temu celowi; upoważnienie do obciążania karty nie jest ogólną zgodą na przetwarzanie danych osobowych.
• Fakturowanie, podatki i rachunkowość: dane nabywcy, identyfikatory podatkowe, adres i dane rozliczeń — art. 6 ust. 1 lit. c RODO w związku z właściwymi obowiązkami ustawowymi.
• Odpowiedzi na korespondencję i zgłoszenia, ustalenie, dochodzenie lub obrona roszczeń: dane kontaktowe i treść niezbędnej korespondencji — art. 6 ust. 1 lit. f RODO, uzasadniony interes w obsłudze zgłoszeń i ochronie praw; art. 6 ust. 1 lit. b, gdy realizujemy obowiązek umowny wobec osoby będącej stroną Umowy.
• Bezpieczeństwo serwisu, wykrywanie nadużyć i diagnostyka: niezbędne dane techniczne i dzienniki zdarzeń — art. 6 ust. 1 lit. f RODO, uzasadniony interes w zapewnieniu bezpiecznej i prawidłowej obsługi. Nie obejmuje to dowolnego wykorzystania treści powierzonych przez pracodawcę.
• Jeżeli określona opcjonalna czynność wymaga zgody, uzyskujemy ją odrębnie dla konkretnego celu. Można ją wycofać bez wpływu na legalność wcześniejszego przetwarzania. Akceptacja Regulaminu i uprawnienie aplikacji w urządzeniu nie zastępują takiej zgody.

§ 23. Polityka prywatności: Dane przetwarzane na polecenie Klienta

Zależnie od używanych funkcji są to dane profilu i konta, dane służbowe, ewidencja czasu i nieobecności, grafiki, zadania, projekty, rozliczenia, kontakty, dokumenty, podpisy, zdjęcia i inne pliki, komentarze, dane GPS oraz informacje o korzystaniu z komputera, jeżeli Klient uruchomił odpowiednie funkcje. Moduły branżowe mogą obejmować historię czynności opiekuńczych, informacje o podopiecznych, operacje magazynowe i zgłoszenia dotyczące czystości. Dokładne kategorie określa część o powierzeniu w Regulaminie.

Klient określa zgodny z prawem cel, podstawę i zakres przetwarzania oraz przekazuje osobom własną informację wymaganą art. 13 lub 14 RODO. Dane o zdrowiu w module opieki i uzasadnionej dokumentacji nieobecności wymagają dodatkowej przesłanki z art. 9 ust. 2 RODO. Usługodawca nie ustala jej za Klienta ani nie uznaje ogólnej zgody pracownika za podstawę każdego procesu.

§ 24. Polityka prywatności: Źródła danych i obowiązek ich podania

Dane otrzymujemy od osoby korzystającej z usługi, od Klienta lub upoważnionych Użytkowników oraz z urządzeń podczas korzystania z uruchomionych funkcji. Dane reprezentanta organizacji mogą pochodzić od tej organizacji. Dane techniczne są przekazywane przez przeglądarkę lub aplikację.

Dane konieczne do utworzenia konta, zawarcia Umowy i rozliczeń są wymagane odpowiednio do realizacji tych czynności lub wykonania prawa; ich brak może uniemożliwić obsługę. Pozostałe dane są zależne od wybranych funkcji i instrukcji Klienta. Wobec pracownika obowiązek podania danych, jego źródło i skutki odmowy wyjaśnia pracodawca.

§ 25. Polityka prywatności: Lokalizacja i uprawnienia urządzeń

Funkcje GPS mogą przetwarzać dokładne współrzędne, czas i dokładność zapisu, dane ruchu i urządzenia oraz powiązanie z ewidencją pracy w zakresie uruchomionym przez Klienta. Cel i zasady użycia ustala Klient i wyjaśnia je Użytkownikom przed rozpoczęciem. Uprawnienia lokalizacji można zmienić w ustawieniach urządzenia; ograniczenie dostępu może uniemożliwić korzystanie z funkcji wymagających lokalizacji. Nie usuwa to automatycznie wcześniejszych zapisów.

Dostęp do aparatu i plików służy korzystaniu z funkcji zdjęć, dokumentacji lub skanowania, a powiadomienia informują o zdarzeniach usługi. Zakres uprawnień zależy od funkcji i systemu urządzenia. Opcjonalne zrzuty ekranu, informacje o programach, stronach oraz aktywności klawiatury i myszy dotyczą konfiguracji aplikacji komputerowej. Użytkownik powinien otrzymać od Klienta informację, jakie funkcje są włączone i kto ma dostęp do zapisów.

§ 26. Polityka prywatności: Odbiorcy, hosting i operator płatności

Wskazanym zewnętrznym dostawcą hostingu jest Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Niemcy; sąd rejestrowy w Ansbach, HRB 6089; VAT UE DE812871812; [email protected]. Dla danych powierzonych CrewTango Hetzner jest dalszym procesorem, a dla danych przetwarzanych przez Usługodawcę we własnych celach działa w odpowiednim zakresie jako jego procesor.

Operatorem płatności za abonament jest Stripe: Stripe Payments Europe, Limited (Irlandia), z udziałem Stripe Technology Europe, Limited w zakresie regulowanych usług płatniczych. Adres Stripe Technology Europe, Limited: One Wilton Park, Wilton Place, Dublin 2, Irlandia; numer w rejestrze Central Bank of Ireland: C187865. Zakres obsługi płatności obejmuje niezbędne dane płatnika i kontaktu rozliczeniowego, identyfikatory klienta oraz subskrypcji, kwotę, walutę, datę i status transakcji oraz dane metody płatności podawane przy płatności. Stripe może również pozyskiwać dane urządzenia i połączenia na potrzeby bezpieczeństwa transakcji. Dane te dotyczą rozliczenia z Usługodawcą, odrębnie od dokumentacji powierzanej przez pracodawcę.

Gdy Stripe obsługuje płatność na polecenie Usługodawcy, działa jako jego procesor. W zakresie własnych obowiązków prawnych, zapobiegania oszustwom i innych własnych celów określonych w dokumentach Stripe działa jako administrator. Zależnie od czynności podmioty Stripe mogą działać jako współadministratorzy; główną jednostką europejską do celów RODO jest Stripe Technology Company, Limited. Szczegóły podziału ról i praw osób zawierają dokumenty Stripe. Kontakt w sprawach prywatności: [email protected]; Stripe Technology Company Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irlandia, z dopiskiem „Stripe Legal”.

Polityka prywatności Stripe · Role i kontakt Stripe · Umowa przetwarzania danych Stripe

Dane z konta organizacji są dostępne osobom upoważnionym przez Klienta i odbiorcom wskazanym w jego instrukcjach, zgodnie z nadanym zakresem. Upoważniony personel Usługodawcy uzyskuje dostęp tylko w zakresie potrzebnym do wykonania obowiązków. Organy publiczne mogą otrzymać dane, jeżeli wymagają tego przepisy. Wskazanie dostawców nie wyłącza takich obowiązkowych ujawnień ani udostępnień zleconych przez Klienta.

§ 27. Polityka prywatności: Lokalizacja i okresy przechowywania

Powierzone dane aplikacji CrewTango są przechowywane na serwerach Hetzner Online GmbH w Niemczech. Umowa nie upoważnia Usługodawcy do przekazywania powierzonych danych poza EOG; ewentualna zmiana wymaga uprzedniego spełnienia warunków opisanych w części o powierzeniu.

Dane powierzone są przetwarzane w czasie korzystania z usługi według instrukcji Klienta. Po zamknięciu konta organizacji usuwa się je z systemu oraz kopii zapasowych w ciągu 30 dni, po zapewnieniu wyboru zwrotu lub usunięcia. Wyjątek dotyczy wyłącznie konkretnego obowiązku przechowywania wynikającego z prawa Unii lub państwa członkowskiego. Zamknięcie konta pojedynczego pracownika nie musi oznaczać usunięcia ewidencji prowadzonej przez pracodawcę. Samo zawieszenie dostępu za brak płatności nie uruchamia tego 30-dniowego terminu.

W odrębnym zakresie, w którym Usługodawca jest administratorem: dane Umowy i kontaktów przechowuje przez czas obsługi relacji, a następnie w niezbędnym zakresie do upływu właściwych terminów przedawnienia roszczeń; dokumenty księgowe i podatkowe przez okres wymagany właściwymi przepisami; korespondencję przez czas potrzebny do załatwienia sprawy i ewentualnej ochrony roszczeń. Dane diagnostyczne i bezpieczeństwa przechowuje tylko tak długo, jak jest to potrzebne do ustalenia i usunięcia problemu lub obsługi incydentu, z okresowym przeglądem tej potrzeby. Nie uzasadnia to zachowywania całej dokumentacji Klienta.

Informacja o hostingu w Niemczech nie określa lokalizacji wszystkich danych płatniczych obsługiwanych przez Stripe. W ramach jego usług dane rozliczeniowe mogą być przekazywane poza EOG, w tym do Stanów Zjednoczonych. Stripe opisuje stosowanie decyzji stwierdzających odpowiedni stopień ochrony oraz standardowych klauzul umownych, zależnie od konkretnego przekazania. Szczegóły zabezpieczeń i treść klauzul są dostępne w dokumentach Stripe wskazanych poniżej; o ich kopię można również wystąpić na podany kontakt prywatności Stripe. W zakresie własnych celów Stripe ustala okresy przechowywania według potrzeb obsługi płatności, przeciwdziałania nadużyciom oraz obowiązków prawnych, księgowych i finansowych. Termin 30 dni dla powierzonych danych zamkniętego konta nie oznacza usunięcia w tym terminie wszystkich danych transakcji w Stripe.

Przekazywanie danych przez Stripe · Przechowywanie i ochrona danych w Stripe

§ 28. Polityka prywatności: Prawa osób i sposób złożenia wniosku

W granicach określonych RODO przysługują prawa dostępu i uzyskania kopii danych, sprostowania, usunięcia, ograniczenia przetwarzania oraz przenoszenia danych. Gdy podstawą jest uzasadniony interes, można wnieść sprzeciw z przyczyn związanych ze swoją szczególną sytuacją; sprzeciw wobec marketingu bezpośredniego jest bezwarunkowy. Zgodę można wycofać w dowolnym momencie bez wpływu na legalność wcześniejszych działań.

Wnioski dotyczące danych pracowniczych lub danych w organizacji należy kierować do Klienta będącego administratorem. Wniosek otrzymany przez CrewTango zostanie bez zbędnej zwłoki przekazany właściwemu Klientowi, któremu pomagamy w realizacji praw. W sprawach, w których administratorem jest Usługodawca, wniosek można skierować na [email protected] lub adres siedziby. Nie jest wymagane użycie konkretnego formularza. W razie uzasadnionych wątpliwości można poprosić o niezbędne informacje potwierdzające tożsamość.

Odpowiedź następuje bez zbędnej zwłoki, co do zasady w ciągu miesiąca. W przypadkach przewidzianych RODO termin może zostać przedłużony o dwa miesiące, po poinformowaniu o powodach w pierwszym miesiącu. Usunięcie danych może być ograniczone m.in. obowiązkiem ustawowym lub koniecznością ochrony roszczeń; ewentualna odmowa wymaga uzasadnienia. Prawo do wniosku nie zależy od tego, kto zarządza kontem.

Można złożyć skargę do właściwego organu nadzorczego, w Polsce do Prezesa Urzędu Ochrony Danych Osobowych. Informacje o sposobie złożenia skargi są dostępne na uodo.gov.pl. Nie ogranicza to prawa do sądowej ochrony praw.

§ 29. Polityka prywatności: Raporty i decyzje dotyczące osób

Raporty czasu, kosztów i produktywności wspierają pracę Klienta. Samo wygenerowanie raportu nie upoważnia do podejmowania wobec osoby decyzji wywołującej skutki prawne lub podobnie istotnej wyłącznie automatycznie. Jeżeli Klient zamierza stosować taki proces lub profilowanie, odpowiada za ustalenie jego podstawy, spełnienie art. 22 RODO, wymagane informacje i zabezpieczenia, w tym udział człowieka, gdy jest wymagany. Powierzone dane nie są przeznaczone do własnego profilowania osób przez Usługodawcę.

§ 30. Polityka prywatności: Ochrona danych

Zakres zobowiązań dotyczących uprawnień, poufności personelu, szyfrowania transmisji, kopii zapasowych, incydentów i kontroli zabezpieczeń opisuje część „Poufność i środki bezpieczeństwa” w Regulaminie. Użytkownicy powinni chronić urządzenia, aktualizować aplikacje i nie udostępniać haseł. Podejrzenie naruszenia można zgłosić na [email protected].

§ 31. Polityka prywatności: Osoby małoletnie

CrewTango jest usługą dla organizacji i nie jest kierowane do dzieci jako samodzielnych Klientów. Jeżeli w zgodnym z prawem procesie Klient przetwarza dane osoby małoletniej, np. pracownika młodocianego lub podopiecznego, musi uwzględnić właściwe przepisy, uprawnienia przedstawiciela i szczególne potrzeby ochrony. Wątpliwości dotyczące takich danych należy zgłosić właściwemu administratorowi lub na adres kontaktowy CrewTango.

§ 32. Polityka prywatności: Zmiany Polityki i kontakt

Aktualna wersja i data dokumentu są podane w jego nagłówku. O istotnych zmianach dotyczących sposobu przetwarzania Usługodawca informuje osoby, których dotyczą, odpowiednio do sytuacji, przed rozpoczęciem zmienionego przetwarzania. Zmiana Polityki nie tworzy nowej podstawy prawnej, nie zastępuje wymaganej zgody i nie rozszerza instrukcji dotyczących powierzonych danych. Zmiany części umownej podlegają zasadom zmiany Umowy.

W sprawach Polityki, ról stron i przekazania wniosku można kontaktować się z Usługodawcą pod adresem [email protected] lub listownie na adres wskazany na początku dokumentu.

Kontakt

Jeśli masz pytania dotyczące tego dokumentu, napisz do nas: [email protected].