Umowa powierzenia przetwarzania danych (DPA)

1. Zawarcie umowy

Zakładając Organizację w serwisie deskandpark.com i akceptując Umowę, Regulamin oraz Politykę prywatności, Klient działający jako administrator danych osobowych (w szczególności danych swoich pracowników i współpracowników) powierza spółce Pixel of Software sp. z o.o. z siedzibą pod adresem: ul. Adama Mickiewicza 37/58, 01-625 Warszawa, KRS 0001261874, NIP 5253103170 („Desk & Park” / „Usługodawca” / „Podmiot przetwarzający”) przetwarzanie tych danych na zasadach określonych w niniejszej umowie.

Umowa powierzenia jest częścią Umowy (Załącznik D) i zostaje zawarta wraz z nią, bez konieczności składania odrębnych podpisów. W zakresie danych rozliczeniowych Klienta oraz danych osób kontaktowych Usługodawca jest odrębnym administratorem; zasady opisuje Polityka prywatności.

2. Zakres przetwarzania

• Przedmiot: świadczenie Usługi zgodnie z Umową.
• Charakter i cel: przechowywanie i udostępnianie danych na potrzeby rezerwacji zasobów biurowych (biurek, miejsc parkingowych, sal spotkań) oraz rejestracji obecności.
• Kategorie osób, których dane dotyczą: pracownicy i współpracownicy Klienta; goście zarejestrowani przez Klienta.
• Szczególne kategorie danych: nie są przetwarzane. Klient zobowiązuje się ich nie wprowadzać.

Przetwarzane dane mogą obejmować:

• imię, nazwisko, służbowy adres e-mail, dział i zespół;
• opcjonalnie numer telefonu i zdjęcie profilowe;
• dane rezerwacji i obecności;
• adres IP i identyfikator sesji;
• dane uwierzytelniania (skrót hasła, dane 2FA i kluczy dostępu);
• token urządzenia mobilnego do powiadomień push;
• treść zgłoszeń wsparcia wraz z dołączonymi zrzutami ekranu.

Dane każdej Organizacji przechowywane są w odrębnej, odizolowanej bazie danych tej Organizacji.

3. Obowiązki Desk & Park jako Podmiotu przetwarzającego

Desk & Park zobowiązuje się do:

• przetwarzania danych wyłącznie na udokumentowane polecenie Klienta, którym jest także Umowa;
• zapewnienia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności;
• stosowania środków bezpieczeństwa opisanych w § 10 ust. 2 Umowy, w szczególności: szyfrowania transmisji (TLS), rozdzielenia danych klientów na poziomie odrębnych baz danych, kontroli dostępu opartej na rolach, obowiązkowego uwierzytelniania wieloskładnikowego dla kont operatora platformy, uwierzytelniania dwuskładnikowego (TOTP) i kluczy dostępu (passkey) dostępnych dla każdego Użytkownika, rejestrowania zdarzeń administracyjnych oraz codziennych kopii zapasowych bazy danych Organizacji (chyba że Administrator wyłączy je w ustawieniach);
• pomocy Klientowi w realizacji żądań osób, których dane dotyczą, w tym poprzez funkcję eksportu danych dostępną w Usłudze oraz usunięcie Organizacji na żądanie Klienta;
• zgłaszania Klientowi naruszenia ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia (§ 8 ust. 3 Umowy);
• usunięcia danych po zakończeniu Umowy zgodnie z § 11 ust. 5 Umowy (pkt 7 poniżej);
• udostępniania informacji niezbędnych do wykazania zgodności z art. 28 RODO.

4. Podprocesorzy

Klient udziela ogólnej zgody na korzystanie z następujących podprocesorów. O zamierzonej zmianie Desk & Park informuje z 30-dniowym wyprzedzeniem; Klient może zgłosić uzasadniony sprzeciw, a w razie braku rozwiązania — wypowiedzieć Umowę bez zachowania okresu wypowiedzenia, ze zwrotem wynagrodzenia za niewykorzystany okres.

5. Prawo do audytu

Desk & Park udostępnia Klientowi, na jego pisemny wniosek złożony nie częściej niż raz w roku, informacje niezbędne do wykazania zgodności powierzenia z RODO. Audyt na miejscu wymaga uprzedniego uzgodnienia terminu i zakresu oraz odbywa się na koszt Klienta.

6. Przekazywanie danych poza EOG

Dane Klienta mogą być przekazywane poza Europejski Obszar Gospodarczy wyłącznie w zakresie, w jakim przetwarzają je podprocesorzy wskazani w pkt 4, i wyłącznie na podstawie decyzji o odpowiednim stopniu ochrony albo innych zabezpieczeń przewidzianych w rozdziale V RODO, w szczególności standardowych klauzul umownych. O każdym innym przekazaniu Desk & Park uprzednio informuje Klienta.

7. Okresy przechowywania i usuwanie danych

• Po zakończeniu Umowy Klient zachowuje przez 30 dni możliwość uzyskania danych w formacie eksportu udostępnianym przez Usługę; po upływie tego okresu dane oraz baza danych Organizacji są trwale usuwane (§ 11 ust. 5 Umowy).
• Przy odstąpieniu od Umowy dane oraz baza danych Organizacji są trwale usuwane po upływie 14 dni od złożenia oświadczenia o odstąpieniu (Załącznik C pkt C.5).
• Pliki przesłane do Usługi, dane Organizacji w centralnej bazie danych Usługi oraz kopie zapasowe usuwane są zgodnie z Załącznikiem C pkt C.5 ust. 3 Umowy. Dokumentacja rozliczeniowa i umowna przechowywana jest przez okres wymagany przepisami rachunkowymi i podatkowymi.

Klient może w każdej chwili zgłosić w Usłudze żądanie usunięcia Organizacji albo skontaktować się pod adresem hello@pixelofsoftware.com.

8. Czas obowiązywania

Umowa powierzenia obowiązuje przez okres obowiązywania Umowy oraz przez okresy usuwania danych wskazane w pkt 7.

9. Odpowiedzialność

Odpowiedzialność stron określa § 9 Umowy. Ograniczenia odpowiedzialności nie mają zastosowania w przypadkach, w których odpowiedzialności nie można ograniczyć na podstawie przepisów bezwzględnie obowiązujących, w tym naruszenia przepisów o ochronie danych osobowych. Desk & Park nie ponosi odpowiedzialności za działania Klienta podejmowane w jego roli administratora danych.

10. Kontakt

W sprawach dotyczących niniejszej umowy powierzenia prosimy o kontakt pod adresem hello@pixelofsoftware.com.