Umowa powierzenia przetwarzania danych (DPA)

1. Role stron i przedmiot

Klient działa jako administrator (art. 4 pkt 7 RODO) danych osobowych swoich pracowników i kandydatów; Egalis działa jako podmiot przetwarzający (art. 4 pkt 8). Przedmiot przetwarzania: świadczenie platformy zgodności z jawnością wynagrodzeń — import, obliczenia, wartościowanie stanowisk, raportowanie, wnioski o informację, remediacja.

2. Charakter i cel przetwarzania; kategorie danych

• Osoby, których dane dotyczą: pracownicy klienta oraz — w module rekrutacyjnym — kandydaci.
• Kategorie danych: identyfikator wewnętrzny (płacowy), płeć, stanowisko, kod zawodu (np. ISCO-08), dział, data zatrudnienia, wymiar etatu, składniki wynagrodzenia, nieobecności, zmiany płacy; opcjonalnie nazwisko (przechowywane oddzielnie, szyfrowane); e-mail kontaktowy do wniosków o informację. Nie przetwarza się krajowych numerów identyfikacyjnych i żadna szczególna kategoria danych nie trafia do danych obliczeniowych.
• Czas trwania: przez okres umowy, plus ustawowa retencja raportów wymagana dyrektywą i właściwym prawem krajowym, chyba że administrator poleci inaczej.

3. Obowiązki Egalis (art. 28 ust. 3 RODO)

• Przetwarza dane wyłącznie na udokumentowane polecenia administratora (korzystanie z aplikacji stanowi polecenie).
• Zapewnia poufność osób upoważnionych do przetwarzania.
• Stosuje środki techniczne i organizacyjne (art. 32): hosting wyłącznie w UE, pseudonimizacja by design, szyfrowanie tożsamości nominalnych, kontrola dostępu oparta na rolach, niezmienialny dziennik audytowy.
• Nie angażuje nowych podwykonawców bez uprzedniego poinformowania administratora (załącznik 1), z 15-dniowym prawem sprzeciwu.
• Wspiera administratora przy wnioskach osób, których dane dotyczą, i przy ocenach skutków.
• Powiadamia administratora bez zbędnej zwłoki, najpóźniej w 72 godziny, o każdym naruszeniu ochrony danych, o którym się dowie.
• Po zakończeniu umowy: zwraca dane (pełny eksport, format ustrukturyzowany) i trwale je usuwa, z wyjątkiem dziennika audytowego (dowód prawny, bez danych płacowych) i ustawowych obowiązków retencji.
• Udostępnia informacje niezbędne do wykazania zgodności i umożliwia audyty, z rozsądnym wyprzedzeniem.

4. Transfery

Dane są przetwarzane i przechowywane wyłącznie w Unii Europejskiej. Transfery do państw trzecich nie mają miejsca.

5. Zanonimizowane agregaty na potrzeby statystyk rynkowych

Klient upoważnia Egalis do obliczania z danych przetwarzanych w jego imieniu nieodwracalnie zanonimizowanych agregatów statystycznych i do korzystania z nich, także publicznie, w statystykach rynkowych dotyczących wynagrodzeń. Obliczenia wykonywane są w roli podmiotu przetwarzającego, na podstawie tego udokumentowanego polecenia; opublikowany wynik jest anonimowy (motyw 26 RODO) i nie stanowi już danych osobowych. Klient jako administrator zamieszcza tę informację we własnej klauzuli informacyjnej; Egalis udostępnia wzorcowy akapit.

• Domyślnie wyłączone. Agregacja następuje dopiero po wyraźnym włączeniu przez klienta w aplikacji; włączenie i wycofanie są zapisywane w dzienniku audytu.
• Progi publikacji. Żadna publikowana wartość nie pochodzi z grupy liczącej mniej niż 5 pracowników lub mniej niż 5 firm, ani z grupy, w której jedna firma wnosi ponad 40 % obserwacji; wartości publikujemy zaokrąglone.
• Nigdy nie publikujemy ani nie przekazujemy. Danych indywidualnych, tożsamości klienta, imiennych porównań firm ani zbiorów niezagregowanych osobom trzecim. Agregatów nie sprzedajemy.
• Wycofanie. Klient może wyłączyć funkcję w każdej chwili, ze skutkiem na przyszłe edycje; edycje już opublikowane, jako anonimowe, nie mogą zostać wycofane.

6. Załącznik 1 — zatwierdzeni podwykonawcy przetwarzania

• Hetzner Online GmbH, Niemcy — infrastruktura hostingowa.
• E-mail transakcyjny: nasz własny serwer, hostowany w UE — bez zewnętrznego dostawcy poczty.
• Stripe Payments Europe, Ltd., Irlandia — obsługa płatności kartą (wyłącznie dane rozliczeniowe; dane płacowe nigdy nie trafiają do Stripe).

7. Strony

Egalis: ADDO VISION SOLUTIONS SRL, siedziba: Bukareszt, Șos. Berceni 96, Monaco Towers, A9.06, Rumunia, nr rejestru J2013010973404, EUID ROONRC.J2013010973404, VAT RO32203240 (kontakt: office@addovision.ro). Klient: podmiot wskazany w umowie o świadczenie usługi.