Umowa powierzenia przetwarzania danych osobowych (DPA)

Ostatnia aktualizacja: 2 czerwca 2026

Niniejsza Umowa powierzenia przetwarzania danych osobowych (DPA) reguluje przetwarzanie danych osobowych, którego Timelista dokonuje w imieniu Klientów korzystających z usługi Timelista. Stanowi ona integralną część Regulaminu i ma zastosowanie we wszystkich przypadkach, w których Timelista działa jako podmiot przetwarzający.

1. Strony

• Administrator: Klient – osoba fizyczna lub prawna korzystająca z usługi Timelista.
• Podmiot przetwarzający: ALEKSANDER MARIANSKI (usługa Timelista / Timelista.no), numer organizacyjny 926 341 979, Hanaveien 12A, 4327 SANDNES, Norwegia – e-mail: kontakt@timelista.no.

2. Cel przetwarzania

Timelista przetwarza dane osobowe wyłącznie w celu świadczenia i ulepszania usługi Timelista, nigdy we własnych, niezależnych celach. Typowe cele obejmują:

• rejestrację czasu pracy i zarządzanie nim (ewidencję godzin);
• prowadzenie personalliste (wymaganej przepisami listy osób obecnych w miejscu pracy) zgodnie z wymogami prawa;
• zarządzanie urlopami, nieobecnościami i grafikami pracy;
• fakturowanie i administrowanie subskrypcją usługi;
• wsparcie użytkowników i obsługę związaną z platformą.

3. Kategorie danych i osób, których dane dotyczą

Osoby, których dane dotyczą: Klient i jego personel korzystający z usługi, pracownicy Klienta oraz właściciele i administratorzy działalności Klienta.

Dane: imię, nazwisko, e-mail, telefon, norweski numer identyfikacyjny (fødselsnummer) / D-nummer, numer organizacyjny, przynależność do firmy, zarejestrowane godziny pracy, przerwy, nieobecności i urlopy, godziny wejścia i wyjścia w personalliste, metadane systemowe oraz dane logowania.

Przetwarzanie numerów identyfikacyjnych i innych unikalnych identyfikatorów odbywa się zgodnie z § 12 personopplysningsloven (norweskiej ustawy o ochronie danych osobowych) – wyłącznie wtedy, gdy istnieje uzasadniona potrzeba bezpiecznej identyfikacji, w tym w związku z ustawowym obowiązkiem prowadzenia personalliste. Co do zasady Timelista nie jest przeznaczona do przetwarzania szczególnych kategorii danych osobowych (art. 9 RODO (GDPR)).

4. Podmioty podprzetwarzające

Aby zapewnić bezpieczną i skalowalną platformę, Timelista korzysta z zaufanych podmiotów podprzetwarzających, które przetwarzają dane osobowe wyłącznie w imieniu Timelista i zgodnie z niniejszą Umową:

• Dostawca infrastruktury chmurowej (EOG): hosting aplikacji, baz danych i przestrzeni dyskowej. Dane są przechowywane na terenie EOG i szyfrowane zarówno w spoczynku, jak i podczas przesyłania.
• Dostawca poczty transakcyjnej: wysyłanie powiadomień, przypomnień i wiadomości e-mail związanych z kontem do użytkowników.
• Dostawca usług płatniczych: obsługa płatności i subskrypcji.
• Dostawca kopii zapasowych i monitoringu (EOG): kopie zapasowe, monitorowanie dostępności i śledzenie błędów aplikacji.

Wszystkie podmioty podprzetwarzające są związane umowami zapewniającymi co najmniej taki sam poziom ochrony danych jak niniejsza Umowa. Aktualna lista z dokładnymi nazwami i adresami jest dostępna na żądanie pod adresem kontakt@timelista.no.

5. Miejsce przetwarzania i przekazywanie danych

Timelista zapewnia, że całe przetwarzanie co do zasady odbywa się na terenie UE/EOG. Jeżeli w wyjątkowych przypadkach dane są przekazywane do państwa trzeciego, stosuje się prawnie wiążące mechanizmy przekazywania, takie jak standardowe klauzule umowne UE (SCC) lub decyzje stwierdzające odpowiedni stopień ochrony.

6. Środki techniczne i organizacyjne

Timelista stosuje środki techniczne i organizacyjne chroniące poufność, integralność i dostępność danych, w tym:

• szyfrowaną transmisję danych (TLS) oraz szyfrowanie przechowywanych danych i kopii zapasowych;
• hashowanie haseł użytkowników;
• regularne kopie zapasowe i procedury przywracania po incydentach;
• kontrolę dostępu, monitorowanie zdarzeń, logowanie i alerty bezpieczeństwa;
• obowiązek zachowania poufności dla całego personelu;
• regularne aktualizacje bezpieczeństwa i przeglądy systemów;
• fizyczne zabezpieczenie centrów danych zapewniane przez dostawców infrastruktury.

7. Naruszenia ochrony danych osobowych

W przypadku naruszenia ochrony danych osobowych Timelista powiadomi Klienta bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od wykrycia naruszenia, przekazując informacje o charakterze naruszenia, możliwych konsekwencjach i podjętych środkach. Obowiązek zgłoszenia naruszenia norweskiemu organowi ochrony danych (Datatilsynet) oraz osobom, których dane dotyczą, spoczywa na Kliencie jako administratorze.

8. Pomoc dla Klienta

Timelista pomaga Klientowi, w miarę możliwości i z uwzględnieniem charakteru usługi, w realizacji praw osób, których dane dotyczą (art. 15–22 RODO), oraz obowiązków wynikających z art. 32–36 RODO – za pomocą funkcji usługi umożliwiających dostęp do danych, ich eksport, zmianę i usunięcie.

9. Audyt

Klient ma prawo sprawdzić, czy Timelista wywiązuje się ze swoich obowiązków wynikających z niniejszej Umowy. Timelista udostępni niezbędną dokumentację i informacje. Audyty mogą być przeprowadzane po uzgodnieniu i z rozsądnym wyprzedzeniem, w sposób niezakłócający zwykłej działalności Timelista. Klient ponosi wszelkie koszty związane z przeprowadzeniem audytu, w tym koszty audytorów zewnętrznych, koszty organizacyjne oraz wszelkie koszty poniesione przez Timelista w związku z przygotowaniem do audytu i udziałem w nim. Na żądanie Timelista Klient zwróci wszystkie uzasadnione koszty poniesione przez Timelista przed rozpoczęciem audytu.

10. Przechowywanie i usuwanie danych

Timelista przechowuje dane osobowe tak długo, jak jest to niezbędne do realizacji uzgodnionych celów, lub tak długo, jak Klient posiada aktywne konto. Po rozwiązaniu Umowy dane są usuwane lub zwracane Klientowi, z wyjątkiem zakresu, w jakim dalsze przechowywanie jest wymagane przez prawo norweskie (w tym bokføringsforskriften (norweskie rozporządzenie o prowadzeniu ksiąg) w odniesieniu do personalliste oraz ustawowe obowiązki przechowywania, do pięciu lat).

11. Odpowiedzialność i prawo właściwe

Strony ponoszą odpowiedzialność za szkody zgodnie z art. 82 RODO. Odpowiedzialność Timelista jest ograniczona do opłat uiszczonych w okresie 12 miesięcy poprzedzających zdarzenie. Umowa podlega prawu norweskiemu, w szczególności personopplysningsloven; spory rozstrzyga sąd właściwy dla miejsca prowadzenia działalności przez Timelista.

12. Aktualizacje

Timelista może aktualizować niniejszą Umowę. Obowiązująca w danym momencie wersja jest dostępna na stronie timelista.no.