Załącznik do DPA — TaskLine Business

Wersja: 1.0 Obowiązuje od: 2026-10-06

1. Zastosowanie

Niniejszy załącznik ma zastosowanie wyłącznie w takim zakresie, w jakim dostawca TaskLine faktycznie przetwarza dane osobowe w imieniu klienta w związku z TaskLine Business. W modelu self-hosted samo dostarczenie oprogramowania, bez dostępu dostawcy do lokalnych danych, nie rozszerza automatycznie zakresu powierzenia na całą bazę Business lub Beauty.

2. Przedmiot i czas

Przetwarzanie może obejmować utrzymanie hostowanej instancji, uprawniony dostęp serwisowy, realizację integracji pozostającej pod kontrolą dostawcy lub inną czynność wykonywaną w imieniu klienta zgodnie z udokumentowanym zakresem usługi. Czas przetwarzania odpowiada okresowi świadczenia danej usługi oraz retencji wymaganej dla konkretnej kategorii danych, z uwzględnieniem obowiązków prawnych i legal hold.

3. Kategorie osób

• pracownicy, współpracownicy i specjaliści klienta,
• użytkownicy administracyjni Business,
• osoby kontaktowe po stronie klienta,
• osoby występujące w dokumentach wprowadzonych do Business, jeżeli klient korzysta z modułu Dokumenty i dane są objęte powierzonym hostingiem lub dostępem serwisowym.

Klienci końcowi TaskLine Beauty nie są kategorią danych przewidzianą do przekazywania przez standardową integrację Beauty -> Business.

4. Kategorie danych

Standardowy zakres analityczny może obejmować:

• identyfikator i nazwę specjalisty,
• wykonane usługi, przypisany przychód, czas wykonania i dane potrzebne do rentowności osoby,
• dostępne minuty specjalisty per dzień potrzebne do analizy wykorzystania czasu,
• dane kont użytkowników i uprawnień,
• techniczne identyfikatory workspace, źródeł i zdarzeń.

W modelu hostowanym lub przy uprawnionym dostępie serwisowym mogą wystąpić również dane zawarte w dokumentach klienta. Zakres takiego dostępu musi być ograniczony do celu usługi.

5. Dane szczególnych kategorii

Standardowy zakres TaskLine Business i integracji Beauty -> Business nie wymaga danych zdrowotnych ani innych szczególnych kategorii danych. Dane takie nie powinny być przekazywane do Business ani Center, chyba że wcześniej zostanie zaprojektowana odrębna funkcja, podstawa prawna, ocena ryzyka i zabezpieczenia.

6. Operacje

Operacje mogą obejmować odbiór przez API, zapis, porządkowanie, agregację, obliczenia analityczne, pseudonimizację, kopię zapasową, ograniczony dostęp serwisowy, eksport, usunięcie lub anonimizację — wyłącznie w zakresie udokumentowanej usługi.

7. Granica Beauty -> Business

Business nie odczytuje bazy Beauty. Integracja korzysta z kontrolowanych endpointów i zdarzeń, uwierzytelniania per workspace, mechanizmów anti-replay oraz idempotencji. Do Business nie powinny trafiać dane identyfikujące klienta końcowego salonu ani dane zabiegowe/zdrowotne. Dane specjalisty mogą być przekazywane wyłącznie w zakresie potrzebnym do analiz produktu.

8. Granica Business -> Center

Center jest control-plane i standardowo nie otrzymuje danych finansowych firmy, dokumentów, danych klientów końcowych ani szczegółowej analityki pracowników. Licencja, heartbeat i monitoring obejmują ograniczone dane techniczne. Support jest oddzielnym przepływem i może zawierać dane kontaktowe osoby zgłaszającej oraz treść zgłoszenia.

9. Polecenia i dostęp

Dostęp serwisowy do danych lokalnych wymaga uprawnienia wynikającego z umowy, konfiguracji usługi lub udokumentowanego żądania klienta. Dostęp powinien być czasowy, ograniczony do minimum i rozliczalny.

10. Zwrot/usunięcie

Po zakończeniu usługi dane powierzone podlegają zwrotowi, usunięciu lub anonimizacji zgodnie z wyborem administratora i możliwościami technicznymi, z wyjątkiem danych przechowywanych na własnej podstawie prawnej dostawcy lub objętych legal hold.

11. Odpowiedzialność administratora

Klient jako administrator odpowiada za legalność źródła danych, prawidłowe poinformowanie pracowników/współpracowników, zakres powierzonych danych oraz niewprowadzanie do systemu danych, których przetwarzanie nie jest potrzebne do celu Business.

12. Zmiana zakresu

Każde dodanie nowej kategorii danych do payloadu Beauty -> Business, nowe udostępnienie Business -> Center lub nowy podprocesor wymaga przeglądu niniejszego załącznika, ROPA, TOMs i polityki prywatności przed produkcyjnym uruchomieniem.