Polityka prywatności i umowa powierzenia

Administratorem danych osób zakładających konto w Serwisie jest Patryk Koski prowadzący działalność gospodarczą pod firmą Patryk Koski Software Development, ul. Xawerego Dunikowskiego 6A/274, 02-784 Warszawa, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej, NIP 9512500727, REGON 385940207.

Kontakt w sprawach danych osobowych: kontakt@ewidencjo.pl.

Nie wyznaczyliśmy inspektora ochrony danych - skala i charakter przetwarzania nie rodzą takiego obowiązku. We wszystkich sprawach dotyczących danych prosimy o kontakt na powyższy adres.

Administratorem danych osób wprowadzonych do Serwisu jest Klient, czyli podmiot albo osoba, która założyła konto. My przetwarzamy te dane wyłącznie na jego polecenie, na zasadach opisanych w części Umowa powierzenia.

Przetwarzając dane osobowe stosujemy zasady wynikające z RODO, w szczególności: minimalizacji danych i ograniczenia celu przetwarzania, przetwarzania zgodnego z prawem, rzetelnego i przejrzystego, integralności i poufności oraz ograniczenia czasu przechowywania do niezbędnego minimum.

Nie przechowujemy numerów kart płatniczych - obsługuje je operator płatności.

Nie prowadzimy profilowania, nie podejmujemy decyzji w sposób zautomatyzowany, nie sprzedajemy danych i nie wykorzystujemy ich do reklamy.

Podanie danych jest dobrowolne, ale niezbędne do zawarcia i wykonania umowy: bez adresu e-mail nie da się założyć konta, a bez danych wystawcy nie da się wystawić protokołu. Numer NIP podaje Klient prowadzący działalność gospodarczą - osoba fizyczna, która jej nie prowadzi, dostaje fakturę na imię, nazwisko i adres. Niepodanie danych oznacza brak możliwości korzystania z Serwisu.

Jeżeli jakiekolwiek przetwarzanie opieramy na Twojej zgodzie, jest ona dobrowolna i możesz ją wycofać w każdej chwili. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Lista zainteresowanych. Do startu potwierdzania zapoznania z dokumentami online można było na stronie wzoru procedury antymobbingowej zostawić adres e-mail, żeby dostać wiadomość o starcie tej funkcji. Nowych zapisów już nie zbieramy. Na zebrane adresy wysyłamy jedną wiadomość o starcie funkcji i nic poza nią, a po jej wysłaniu adresy usuwamy. Podstawą przetwarzania jest Twoja zgoda (art. 6 ust. 1 lit. a RODO), wyrażona przez zapisanie się na listę; możesz ją cofnąć, pisząc na kontakt@ewidencjo.pl. Adresów nie przekazujemy nikomu poza podmiotami przetwarzającymi wymienionymi w punkcie 4.

Generator protokołu online. Dane wpisane w formularz na stronie generatora protokołu (nazwa, adres i NIP firmy, imię, nazwisko i dział pracownika, opis sprzętu) przechowujemy do 30 dni, żeby można było pobrać plik i przenieść protokół do konta, a potem je usuwamy. Po przeniesieniu do konta stają się danymi w Serwisie i przetwarzamy je na zasadach umowy powierzenia. Podstawą przetwarzania jest wykonanie usługi, o którą prosisz (art. 6 ust. 1 lit. b RODO), oraz nasz uzasadniony interes w udostępnieniu pliku i przeniesieniu go do konta (art. 6 ust. 1 lit. f RODO). Nie używamy tych danych do niczego innego. Razem ze szkicem, przez te same 30 dni, przechowujemy skrót adresu IP, z którego go wysłano (jednokierunkowy, bez samego adresu), żeby ograniczyć liczbę protokołów z jednego miejsca i chronić generator przed nadużyciami (art. 6 ust. 1 lit. f RODO).

Używamy wyłącznie plików niezbędnych do działania Serwisu. Na dziś jest to jedno ciasteczko, i to dopiero po zalogowaniu:

Osobno ciasteczka ustawia operator płatności na swojej stronie, w trakcie realizacji płatności. Nie mamy do nich dostępu i nie są ustawiane w naszym Serwisie.

Nie stosujemy ciasteczek analitycznych ani marketingowych, dlatego nie prosimy o zgodę na nie i nie wyświetlamy bannera cookie.

Korzystamy ze statystyk odwiedzin Vercel Web Analytics. Narzędzie to nie zapisuje ciasteczek ani innych identyfikatorów na Twoim urządzeniu i liczy odwiedziny zbiorczo, bez tworzenia profilu pojedynczej osoby. Dlatego nie wymaga zgody w rozumieniu przepisów o ciasteczkach; podstawą przetwarzania jest nasz uzasadniony interes w sprawdzeniu, które strony są używane.

Korzystamy też z PostHog (PostHog Cloud EU, serwery w Unii Europejskiej). Działa u nas bez ciasteczek i bez zapisywania czegokolwiek na Twoim urządzeniu, więc nie nadaje przeglądarce trwałego identyfikatora: identyfikator wizyty znika po przeładowaniu strony. Zbieramy wyłącznie zdarzenia nazwane w kodzie Serwisu, na przykład pobranie wzoru albo założenie konta. Po zalogowaniu łączymy je z identyfikatorem konta, bez adresu e-mail i nazwy firmy; z kontem łączymy też zdarzenia z wizyty, podczas której je zakładasz. Na stronach publicznych, w tym przy logowaniu i rejestracji, nagrywamy przebieg wizyty: przewijanie, kliknięcia i ruch kursora, a wpisywane treści i teksty strony są w nagraniu zamaskowane. W aplikacji po zalogowaniu niczego nie nagrywamy. Podstawą jest nasz uzasadniony interes w ulepszaniu Serwisu (art. 6 ust. 1 lit. f RODO).

Statystyk celowo nie prowadzimy na stronie podpisu protokołu ani na stronie potwierdzenia zapoznania się z dokumentem. Występujemy tam jako podmiot przetwarzający dane pracowników Klienta i wolno nam robić z nimi wyłącznie to, po co Klient powierzył nam te dane.

Jeżeli w przyszłości wprowadzimy narzędzia zapisujące ciasteczka lub inne identyfikatory na Twoim urządzeniu, zaktualizujemy tę politykę i wdrożymy mechanizm zgody przed ich uruchomieniem.

Ograniczenie obsługi plików cookie w przeglądarce może uniemożliwić zalogowanie się do Serwisu.

Korzystamy z następujących podmiotów przetwarzających:

Poza tym dane mogą być udostępniane: biuru rachunkowemu i doradcom prawnym w zakresie niezbędnym do obsługi naszej działalności, a także uprawnionym organom państwowym (np. organom podatkowym) w wykonaniu ciążących na nas obowiązków prawnych.

O zmianie listy podprocesorów informujemy Klientów pocztą elektroniczną z wyprzedzeniem co najmniej 14 dni.

Część naszych dostawców ma siedzibę w Stanach Zjednoczonych. Dane przechowywane są w regionach Unii Europejskiej, jednak nie można wykluczyć dostępu do nich z państwa trzeciego. Transfery odbywają się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (SCC) wraz z dodatkowymi zabezpieczeniami stosowanymi przez dostawców.

• Dane konta i dane wystawcy - przez czas trwania umowy, a następnie przez 30 dni po jej zakończeniu; w zakresie niezbędnym do dochodzenia lub obrony przed roszczeniami - do upływu okresu przedawnienia.
• Dane rozliczeniowe - przez okres wymagany przepisami podatkowymi i o rachunkowości.
• Logi serwera - przez okres niezbędny do zapewnienia bezpieczeństwa.
• Historia zdarzeń przy protokole - tak długo jak protokół, którego dotyczy. Rozdzielenie tych dwóch rzeczy pozbawiłoby dokument wartości dowodowej.
• Adres na liście zainteresowanych - do wysłania wiadomości o starcie funkcji albo do cofnięcia zgody, zależnie od tego, co nastąpi wcześniej; po wysłaniu wiadomości adres usuwamy.
• Dane wpisane w generator protokołu online - do 30 dni albo do przeniesienia protokołu do konta, zależnie od tego, co nastąpi wcześniej.
• Statystyki korzystania z Serwisu (PostHog) - zdarzenia do 12 miesięcy, nagrania wizyt do 30 dni.
• Dane pracowników Klienta - dopóki Klient ich nie usunie; po zakończeniu umowy usuwamy je w terminie 30 dni, chyba że Klient wcześniej wystąpi o ich wydanie. Klient może usunąć dane konkretnej osoby w każdej chwili z poziomu jej karty; potwierdzenia zapoznania się z dokumentami zachowujemy wtedy w sposób opisany niżej.
• Pliki dokumentów i potwierdzenia zapoznania - dopóki Klient ich nie usunie, a najpóźniej do usunięcia konta; po zakończeniu umowy usuwamy je w terminie 30 dni, tak jak pozostałe dane pracowników Klienta. Dokumentu, z którym choć jedna osoba potwierdziła zapoznanie się, Klient nie usunie z poziomu konta, może go jedynie zarchiwizować; plik i potwierdzenia zostają wtedy w Serwisie jako dowód zapoznania. Po usunięciu osoby z jej karty potwierdzenia zachowujemy bez jej danych identyfikujących: zostaje data, godzina, kanał, treść dokumentu i uwaga wpisana przez Klienta przy potwierdzeniu papierowym; znika imię i nazwisko, adres e-mail, adres IP i przeglądarka. Prośby o potwierdzenie, których ta osoba jeszcze nie potwierdziła, usuwamy.

Obniżenie planu ani zaprzestanie opłacania abonamentu nie powoduje usunięcia danych. Konto przechodzi wtedy na plan darmowy: odczyt, przyjmowanie zwrotów i eksport, w tym eksport potwierdzeń zapoznania się z dokumentami, pozostają dostępne bez ograniczenia czasowego, blokowane jest wyłącznie dodawanie nowych pozycji ponad limit tego planu. Powyższe terminy biegną dopiero od zakończenia umowy, czyli od usunięcia konta.

Stosujemy szyfrowanie połączeń (SSL/TLS), szyfrowanie danych w spoczynku, kontrolę dostępu na poziomie bazy danych izolującą organizacje Klientów od siebie, ograniczenie dostępu do danych do osób upoważnionych oraz regularne kopie zapasowe.

Przysługuje Ci prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie administratora.

Masz również prawo wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Aby skorzystać z tych praw, napisz na kontakt@ewidencjo.pl.

Jeżeli sprzęt albo dokument do zapoznania się przekazał Ci Klient tego Serwisu - skieruj żądanie do niego, to on jest administratorem Twoich danych. Każde takie zgłoszenie otrzymane przez nas przekażemy mu niezwłocznie.

O zmianach polityki informujemy Klientów pocztą elektroniczną z wyprzedzeniem co najmniej 14 dni. Aktualna wersja wraz z datą obowiązywania jest zawsze dostępna w Serwisie. Zachowujemy informację o wersji dokumentu zaakceptowanej przez każdego Klienta.

Poniższe postanowienia stanowią umowę powierzenia przetwarzania danych osobowych między Klientem (administratorem) a Patryk Koski Software Development (podmiotem przetwarzającym), zawartą w chwili jej akceptacji podczas zakładania konta.

1. Przedmiot i cel. Powierzenie obejmuje dane osób, którym Klient wydaje sprzęt albo przekazuje dokumenty do zapoznania się - pracowników, współpracowników albo innych osób - przetwarzane wyłącznie w celu świadczenia usługi ewidencji sprzętu i dokumentów: prowadzenia rejestru, wystawiania protokołów wydania i zwrotu, zbierania podpisów oraz potwierdzeń zapoznania się z dokumentami.
2. Zakres danych. Imię i nazwisko, adres e-mail, dział, daty zatrudnienia i zakończenia współpracy, informacje o powierzonym sprzęcie oraz obraz podpisu odręcznego złożonego na protokole. Wraz z podpisem zapisujemy historię zdarzeń wokół dokumentu: datę i godzinę wysłania linku wraz z adresem, na który został wysłany, a także otwarcia linku, podpisania oraz pobrania kopii, w każdym przypadku z adresem IP i oznaczeniem przeglądarki. Służy on wyłącznie wykazaniu, że protokół został podpisany, i jest dla Klienta dostępny tylko do odczytu. Przechowujemy wyłącznie graficzny obraz podpisu - nie zbieramy i nie zapisujemy parametrów dynamicznych podpisu (nacisku, prędkości, przebiegu czasowego). Poza plikami wgrywanymi przez Klienta Serwis nie zbiera numeru PESEL, danych dokumentów tożsamości ani danych szczególnych kategorii w rozumieniu art. 9 RODO. Wprowadzania takich danych bez podstawy prawnej, również w plikach, zakazuje regulamin (§ 7 ust. 1).
3. Dokumenty do zapoznania się. Przy dokumentach, które Klient przekazuje pracownikom, przetwarzamy adres e-mail, na który wysłano link, datę i godzinę otwarcia dokumentu i potwierdzenia zapoznania się z nim, imię i nazwisko wpisane przy potwierdzeniu, adres IP i oznaczenie przeglądarki, a przy potwierdzeniu papierowym - datę i uwagę wpisaną przez Klienta. Przechowujemy także pliki dokumentów wgrywane przez Klienta. Mogą one zawierać dane osobowe, za które administratorem jest Klient; przetwarzamy je wyłącznie po to, żeby udostępnić plik pracownikowi i zachować go jako treść, z którą pracownik się zapoznał. Dokumenty w Serwisie pochodzą wyłącznie od Klienta; Usługodawca nie tworzy ich treści. Za bezpieczeństwo danych w Serwisie odpowiadamy my; za to, jakie dane i po co wprowadzasz, odpowiadasz Ty.
4. Czas trwania. Umowa obowiązuje przez okres korzystania przez Klienta z Serwisu.
5. Polecenia administratora. Przetwarzamy dane wyłącznie na udokumentowane polecenie Klienta, którym są jego działania w Serwisie oraz treść niniejszej umowy. Jeżeli uznamy, że polecenie narusza RODO lub inne przepisy o ochronie danych, niezwłocznie poinformujemy o tym Klienta.
6. Poufność. Osoby mające dostęp do powierzonych danych są zobowiązane do zachowania ich w poufności.
7. Bezpieczeństwo. Stosujemy środki techniczne i organizacyjne opisane w punkcie 7 niniejszego dokumentu, odpowiadające wymogom art. 32 RODO.
8. Podprocesorzy. Klient wyraża ogólną zgodę na korzystanie z podprocesorów wymienionych w punkcie 4. O zmianach informujemy z wyprzedzeniem 14 dni; Klient może wnieść sprzeciw, rezygnując z usługi. Na każdego podprocesora nakładamy - w drodze umowy - te same obowiązki ochrony danych, które wynikają z niniejszej umowy, i odpowiadamy wobec Klienta za wywiązanie się przez niego z tych obowiązków.
9. Pomoc administratorowi. Pomagamy Klientowi w realizacji żądań osób, których dane dotyczą, oraz w wypełnianiu obowiązków wynikających z art. 32-36 RODO, w zakresie odpowiadającym charakterowi przetwarzania i dostępnym nam informacjom.
10. Naruszenia. O naruszeniu ochrony powierzonych danych informujemy Klienta bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, przekazując informacje niezbędne do wykonania przez Klienta jego obowiązków.
11. Zakończenie. Po rozwiązaniu umowy usuwamy powierzone dane w terminie 30 dni, chyba że Klient wcześniej wystąpi o ich wydanie albo obowiązek dalszego przechowywania wynika z przepisów prawa.
12. Kontrola. Na żądanie Klienta udostępniamy informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO i umożliwiamy audyt przeprowadzony przez Klienta lub upoważnionego przez niego audytora, w terminie uzgodnionym przez strony i w sposób nieingerujący w bezpieczeństwo danych innych klientów.