Umowa powierzenia przetwarzania danych

1. Strony i zakres

Niniejsza umowa uzupełnia Regulamin hilighter zawarty między SkillsBoard SAS, 509 avenue des Églantines, 62176 Camiers, Francja, RCS Boulogne-sur-Mer 978 379 709 („Podmiot przetwarzający”), a Organizacją Kliencką („Administratorem”), w zakresie danych osobowych przetwarzanych przez SkillsBoard na zlecenie organizacji w jej przestrzeni. Umowa realizuje art. 28 ust. 3 RODO. Nie obejmuje przetwarzania, za które SkillsBoard odpowiada samodzielnie jako administrator, w szczególności niezależnych kont i portfolio osobistych, obsługi własnych umów, bezpieczeństwa i dobrowolnej własnej komunikacji marketingowej. W sprawach przetwarzania powierzonego DPA ma pierwszeństwo.

2. Udokumentowane polecenia

SkillsBoard przetwarza dane wyłącznie na podstawie udokumentowanych poleceń organizacji, w tym konfiguracji i wniosków dopuszczonych umową, chyba że obowiązek prawny wymaga inaczej; w miarę możliwości informuje o takim wymogu. Informuje o poleceniach, które jego zdaniem naruszają RODO. Organizacja samodzielnie ustala cele, podstawy prawne, okresy przechowywania, obowiązki informacyjne oraz zgodność ocen pracowniczych z prawem pracy, w tym wymogi konsultacji z przedstawicielami pracowników.

3. Opis przetwarzania – Załącznik I

Przedmiot: SaaS do zarządzania rolami, kompetencjami, dowodami rozwoju, ocenami, ścieżkami i analizami zespołów. Okres: czas utrzymania przestrzeni organizacji i uzgodnionego przekazania/usunięcia danych, z uwzględnieniem prawa. Operacje: zbieranie, przechowywanie, porządkowanie, dostęp uprawniony, porównywanie, sugestie AI, kopie bezpieczeństwa, sprostowanie, eksport i usuwanie. Cele: zarządzanie kompetencjami i rozwojem personelu zgodnie z poleceniami organizacji, bez własnego marketingu SkillsBoard na tych danych. Osoby: pracownicy, kierownicy, administratorzy, wykonawcy, kandydaci, gdy wykorzystywanie jest legalne, oraz osoby przypadkowo opisane w dowodach. Dane: dane zawodowe i kontaktowe, stanowiska, role, umiejętności i poziomy, oceny i autorzy, cele, dowody szkolenia i pracy, przekazane CV/LinkedIn oraz niezbędne metadane techniczne. Szczególne kategorie danych z art. 9 RODO nie powinny być wprowadzane bez szczególnej podstawy prawnej, polecenia i dodatkowych zabezpieczeń.

4. Poufność i upoważnienie

SkillsBoard daje dostęp tylko osobom potrzebującym danych do realizacji Usługi i zobowiązanym do stosownej poufności. Stosuje procedury nadawania i cofania uprawnień. Organizacja zarządza dostępem własnych administratorów i pracowników oraz bezpieczeństwem urządzeń.

5. Środki bezpieczeństwa – Załącznik II

Potwierdzone środki art. 32 RODO: AWS we Francji, TLS 1.3 na ALB, Secrets Manager, IAM/MFA administracji AWS, logiczna separacja organizacji we wspólnej bazie, CloudWatch/Sentry, codzienne kopie przez 30 dni; logi CloudWatch produkcja 30 dni, inne środowiska 7 dni. MFA użytkowników aplikacji nie wdrożono, audyt jest częściowy, testy odtwarzania manualne, brak udokumentowanego formalnego planu incydentów. Planowane zabezpieczenia nie są deklarowane jako istniejące. Szczegóły w załączniku II.

6. Dalsze podmioty przetwarzające – Załącznik III

Organizacja udziela ogólnej zgody na dalsze podmioty przetwarzające, z informacją o ważnych zmianach zasadniczo 30 dni wcześniej i prawem uzasadnionego sprzeciwu. Istotni dostawcy: AWS, OpenAI i Sentry. Należy udokumentować kontrahentów, kraje i transfery. LinkedIn, analityka, Clarity, reCAPTCHA i Brandfetch wymagają odrębnej kwalifikacji; nie są automatycznie dalszymi podmiotami przetwarzającymi organizacji. Obowiązki art. 28 RODO są przekazywane dalszym podmiotom.

7. Transfer poza EOG

Główne dane AWS są we Francji, ale projekt OpenAI API ma ustawienie Global, bez wyłącznej rezydencji w UE. Możliwe jest przetwarzanie poza EOG, wymagające gwarancji rozdziału V RODO. Należy udokumentować DPA OpenAI, mechanizmy transferu oraz ustawienia treningu i retencji Responses. Hosting AWS w UE nie oznacza unijnego przetwarzania AI.

8. Pomoc przy prawach osób i DPIA

SkillsBoard pomaga organizacji, w rozsądnym zakresie, realizować prawa dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu i przenoszenia danych, a także obowiązki bezpieczeństwa, powiadamiania o naruszeniach, oceny skutków dla ochrony danych i ewentualnych konsultacji. Wnioski dotyczące danych organizacji są kierowane do właściwego administratora, o ile jest to zgodne z prawem. SkillsBoard sam odpowiada za prawa związane z niezależnymi kontami osobistymi, dla których jest administratorem.

9. Naruszenie ochrony danych

Po stwierdzeniu naruszenia danych powierzonych SkillsBoard zawiadamia organizację bez zbędnej zwłoki i przekazuje dostępne informacje o charakterze, osobach, danych, następstwach i działaniach naprawczych. Informacje można uzupełniać etapami. Organizacja odpowiada za wymagane prawem zgłoszenie organowi i osobom, z pomocą SkillsBoard. Strony informują się o incydentach wspólnych.

10. Kontrole i audyty

SkillsBoard udostępnia rozsądnie niezbędne informacje do wykazania zgodności z art. 28 i umożliwia wymagane prawem audyty przy odpowiednim wyprzedzeniu, poufności i ochronie danych innych klientów. Dostępne niezależne raporty mogą zostać udostępnione w pierwszej kolejności. Koszty nadzwyczajnej pomocy można uzgodnić z góry bez naruszania bezwzględnie obowiązujących praw kontrolnych.

11. Zwrot i usunięcie danych

Organizacja z odpowiednimi uprawnieniami żąda eksportu lub usunięcia przez contact@hilighter.io. Sprawdza się uprawnienia i oddziela poufne dokumenty firmowe od kont osobistych. Cel: 30 dni na bezpieczny eksport CSV/JSON i dozwolone pliki lub usunięcie aktywnych danych, z uwzględnieniem prawa. Codzienne kopie: 30 dni. S3: brak ogólnego automatycznego usuwania; konieczna jest jawna procedura i ponowne usuwanie po odtworzeniu kopii. Zakończenie umowy przez pracodawcę nie usuwa prywatnego konta pracownika.

12. Zakaz niezależnego marketingu i nieautoryzowanego treningu AI

SkillsBoard nie wykorzystuje danych otrzymanych wyłącznie jako podmiot przetwarzający do własnego marketingu lub targetowania partnerów, nawet jeśli pracownik wyrazi zgodę na e-maile w prywatnym koncie. Nowe cele wymagałyby odpowiedniej podstawy prawnej i upoważnienia. SkillsBoard nie poleci dostawcy AI trenowania modeli na danych organizacji bez odrębnej instrukcji, legalnej podstawy i zabezpieczeń; konfigurację API należy zweryfikować.

13. Prawo i przyjęcie umowy

Stosuje się prawo francuskie w zakresie dopuszczalnym przez prawo UE. DPA może być przyjęta elektronicznie przez uprawnionego przedstawiciela i obowiązuje podczas przetwarzania danych na zlecenie. Wiążąca jest wersja francuska.

---

Załącznik II – Potwierdzone środki techniczne

Załącznik III – Wstępny rejestr podwykonawców

Dokumenty powiązane

• Polityka prywatności
• Nota prawna
• Warunki korzystania i sprzedaży
• Polityka plików cookie