Umowa Powierzenia Przetwarzania Danych Osobowych

Administrator danych powierza Procesorowi, w trybie art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), dane osobowe do przetwarzania na zasadach i w celu określonym w niniejszej Umowie.

ADO oświadcza i zapewnia, że posiada podstawy prawne przetwarzania powierzanych danych, a samo powierzenie nie naruszy praw i wolności osób, których dane dotyczą, ani obowiązujących przepisów prawa, w szczególności RODO.

Procesor zobowiązuje się przetwarzać powierzone dane osobowe wyłącznie na udokumentowane polecenie ADO, zgodnie z niniejszą Umową i obowiązującymi przepisami prawa.

Procesor stosuje techniczne i organizacyjne środki bezpieczeństwa, aby chronić dane osobowe przed zniszczeniem, utratą, zmodyfikowaniem, nieuprawnionym ujawnieniem lub dostępem. Szczegóły zabezpieczeń dostępne są na wniosek ADO kierowany na: office.ninjas.pl@gmail.com.

Celem przetwarzania danych osobowych jest świadczenie przez Procesora usług dostępu do Platformy NinjaOS — systemu do zarządzania operacjami biurowymi — na podstawie zawartej umowy o świadczenie usług.

Zakres powierzonych danych osobowych obejmuje dane pracowników, współpracowników i gości Organizacji (ADO), wprowadzane przez ADO do Platformy, w szczególności:

• imię i nazwisko, adres e-mail, numer telefonu,
• stanowisko, dział, dane organizacyjne,
• daty zatrudnienia, urlopy, nieobecności, ewidencja czasu pracy,
• dane delegacji, wydatków służbowych,
• dane kontraktowe i dokumenty pracownicze wprowadzone przez ADO,
• inne dane osobowe wprowadzone przez ADO w ramach korzystania z modułów Platformy.

Kategorie osób, których dane dotyczą: pracownicy, współpracownicy (B2B), osoby na umowach cywilnoprawnych, goście biura — będący podmiotami danych ADO.

Procesor przetwarza dane wyłącznie w celu świadczenia usług Platformy NinjaOS i nie wykorzystuje ich w żadnym innym celu.

Procesor zobowiązuje się do:

1. przetwarzania danych wyłącznie na udokumentowane polecenie ADO,
2. zapewnienia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy,
3. stosowania środków bezpieczeństwa zgodnych z art. 32 RODO,
4. niezwłocznego informowania ADO o wszelkich naruszeniach ochrony danych osobowych, zawierającego: opis charakteru naruszenia, kategorie i liczbę osób, których dane dotyczą, opis możliwych konsekwencji oraz opis zastosowanych środków zaradczych,
5. udzielania ADO wsparcia w wykonywaniu obowiązków wynikających z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków),
6. usunięcia lub zwrotu danych po zakończeniu świadczenia usług, zgodnie z decyzją ADO,
7. udostępniania ADO wszelkich informacji niezbędnych do wykazania spełnienia obowiązków z art. 28 RODO.

Procesor korzysta z następujących podprocesorów w celu świadczenia usług NinjaOS:

Akceptacja niniejszej Umowy przez ADO oznacza wyrażenie zgody na korzystanie z powyższych podprocesorów. O planowanych zmianach w liście podprocesorów Procesor informuje ADO z co najmniej 14-dniowym wyprzedzeniem drogą e-mailową. ADO przysługuje prawo wyrażenia sprzeciwu wobec takich zmian.

Base44 jest objęty certyfikatami SOC 2 Type II i ISO 27001 oraz posiada własne DPA: base44.com/dpa.

ADO, zgodnie z art. 28 ust. 3 lit. h RODO, ma prawo weryfikacji, czy środki zastosowane przez Procesora przy przetwarzaniu i zabezpieczeniu danych spełniają postanowienia niniejszej Umowy.

Prawo kontroli może być wykonywane:

• zdalnie — poprzez przesłanie listy pytań kontrolnych na adres: office.ninjas.pl@gmail.com, na które Procesor odpowie w ciągu 14 dni roboczych,
• na miejscu — z uprzedzeniem wynoszącym minimum 30 dni i po przedłożeniu Procesorowi ramowego planu czynności kontrolnych.

Audyty przeprowadzane są na koszt ADO. Procesor zobowiązuje się do usunięcia stwierdzonych uchybień w terminie wskazanym przez ADO, nie dłuższym niż 30 dni.

W przypadku złożenia przez osobę, której dane dotyczą, żądania bezpośrednio do Procesora (np. żądania dostępu, usunięcia, sprostowania danych), Procesor niezwłocznie — nie później niż w ciągu 5 dni roboczych — przekazuje to żądanie do ADO.

ADO jest wyłącznie odpowiedzialny za udzielenie odpowiedzi na żądanie osoby, której dane dotyczą. Procesor, w miarę możliwości, udziela ADO pomocy technicznej w realizacji takich żądań.

Niniejsza Umowa obowiązuje przez okres świadczenia usług NinjaOS na rzecz ADO (Trial lub Subskrypcja). Umowa wygasa automatycznie z chwilą zakończenia lub rozwiązania umowy o świadczenie usług.

Po zakończeniu świadczenia usług Procesor:

• umożliwia ADO pobranie/eksport danych osobowych przez okres 30 dni od daty wygaśnięcia dostępu,
• po upływie 30 dni trwale i nieodwracalnie usuwa wszystkie dane ADO oraz ich kopie z systemów Procesora i podprocesorów,
• na żądanie ADO potwierdza fakt usunięcia danych w formie pisemnej (e-mail).

Wyjątek stanowią dane, których przechowywanie wymagane jest przez prawo polskie lub unijne (np. dokumentacja rozliczeniowa — do 5 lat).

Procesor odpowiada wobec ADO za szkody wynikłe z naruszenia niniejszej Umowy lub przepisów RODO, które nastąpiły z winy Procesora, do wysokości opłat uiszczonych przez ADO w ciągu ostatnich 3 miesięcy przed zdarzeniem powodującym szkodę.

ADO jako Administrator danych odpowiada za legalność powierzenia danych oraz prawidłowość podstaw prawnych ich przetwarzania.

W sprawach nieuregulowanych niniejszą Umową stosuje się przepisy RODO, polskiego prawa powszechnie obowiązującego oraz Regulaminu świadczenia usług NinjaOS.

Niniejsza Umowa jest integralną częścią umowy o świadczenie usług NinjaOS. Jej akceptacja następuje przez zaznaczenie odpowiedniego checkboxa przy rejestracji lub zamówieniu.

Kontakt w sprawach ochrony danych: office.ninjas.pl@gmail.com

Umowa wchodzi w życie z dniem 26 czerwca 2026 r.