Ramowa umowa powierzenia przetwarzania danych — TaskLine

Wersja: 1.0 Obowiązuje od: 2026-10-08

1. Strony i zakres

Podmiot przetwarzający: Janusz Sromek, osoba fizyczna prowadząca działalność nierejestrowaną, adres: Łączna 8B 33-395 Chełmiec, Polska. Administratorem jest klient biznesowy w zakresie procesów, dla których określa cele i sposoby przetwarzania, a TaskLine przetwarza dane w jego imieniu.

DPA nie obejmuje procesów, w których TaskLine działa jako niezależny administrator dla własnych celów, takich jak własne bezpieczeństwo, licencjonowanie, rozliczenia, dowody prawne albo centralne konto platformowe w zakresie opisanym w Polityce prywatności.

2. Dokumenty składające się na powierzenie

DPA stosuje się łącznie z:

• właściwym załącznikiem produktowym DPA,
• profilem wdrożenia konkretnej instancji,
• TOMs,
• wykazem podprocesorów,
• właściwą polityką retencji i umową/licencją.

Załącznik produktowy określa kategorie danych i operacje, a profil instancji wskazuje m.in. hosting, właściciela backupu i faktyczny zakres roli TaskLine.

3. Czas trwania

Powierzenie trwa przez okres świadczenia usługi lub wykonywania uzgodnionej operacji oraz przez technicznie niezbędny okres usunięcia z kopii i retencji, z zastrzeżeniem obowiązków prawnych.

4. Udokumentowane polecenia

TaskLine przetwarza dane powierzone wyłącznie na udokumentowane polecenie administratora, chyba że obowiązek wynika z prawa. Konfiguracja produktu, wybór integracji, ustawienia funkcji, signed system-to-system request oraz dyspozycja supportowa mogą stanowić techniczną formę instrukcji w granicach uzgodnionej usługi.

5. Poufność

Dostęp do danych powierzonych mają tylko osoby upoważnione, zobowiązane do poufności i działające w zakresie potrzebnym do wykonywania obowiązków.

6. Bezpieczeństwo

TaskLine stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, opisane w TOMs i dokumentacji produktu. Obejmują one stosownie do funkcji m.in. separację tenantów, kontrolę dostępu, szyfrowanie transmisji i wybranych danych/kopii, ochronę credentials, audyt, mechanizmy integralności, sanitizację telemetrii i zarządzanie podatnościami.

7. Szczególne kategorie danych

Jeżeli załącznik Beauty lub HALO obejmuje dane dotyczące zdrowia, TaskLine przetwarza je wyłącznie w zakresie funkcji zleconej przez administratora, z ograniczeniem dostępu i bez wykorzystywania ich do własnych, niezwiązanych celów.

8. Podprocesorzy

Administrator udziela ogólnej zgody na dalszych procesorów wymienionych w aktualnym wykazie mającym zastosowanie do usługi. TaskLine przed powierzeniem nowemu podprocesorowi zapewnia wiążącą umowę z obowiązkami ochrony danych nie mniej rygorystycznymi niż właściwe wymogi art. 28 ust. 3 RODO, odpowiednimi do danego zakresu.

TaskLine nadal ponosi wobec administratora odpowiedzialność za wykonanie obowiązków ochrony danych przez dalszego procesora zgodnie z art. 28 ust. 4 RODO. Dla dostawców bezpośrednio kontraktowanych przez klienta rolę ustala się odrębnie.

9. Zmiana podprocesora

TaskLine informuje administratora o planowanym dodaniu lub zastąpieniu dalszego procesora z wyprzedzeniem **co najmniej 14 dni kalendarzowych**, na adres kontaktowy klienta lub inny uzgodniony trwały kanał, chyba że bezwzględnie obowiązujące prawo lub szczególny przypadek konieczności natychmiastowej zmiany dla bezpieczeństwa wymaga odrębnego trybu.

Zawiadomienie identyfikuje podmiot, zakres przetwarzania, państwo przetwarzania, datę rozpoczęcia i ewentualne transfery. Administrator może zgłosić umotywowany sprzeciw przed rozpoczęciem korzystania z nowego podprocesora. TaskLine rozpatruje sprzeciw i proponuje racjonalną alternatywę; jeżeli nie da się zapewnić zgodnego z prawem wariantu, strony ustalają sposób zakończenia dotkniętej usługi bez dalszego przekazywania spornych danych. Nadzwyczajne zmiany i przyczyny skrócenia terminu są dokumentowane.

10. Pomoc administratorowi

Uwzględniając charakter przetwarzania i dostępne informacje, TaskLine pomaga administratorowi w realizacji praw osób, bezpieczeństwie, obsłudze naruszeń, DPIA i konsultacji z organem w zakresie dotyczącym powierzonych danych.

11. Naruszenia

TaskLine informuje administratora bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych powierzonych i przekazuje dostępne informacje potrzebne do oceny zdarzenia i wykonania obowiązków administratora.

12. Audyt

TaskLine udostępnia informacje potrzebne do wykazania zgodności z obowiązkami procesora i umożliwia uzasadnione audyty w zakresie, który nie narusza bezpieczeństwa innych klientów, tajemnic ani poufności osób trzecich. Strony mogą uzgodnić w pierwszej kolejności dokumenty, raporty i dowody techniczne zamiast dostępu do systemów produkcyjnych.

13. Instrukcja sprzeczna z prawem

Jeżeli w ocenie TaskLine instrukcja administratora narusza przepisy ochrony danych, TaskLine informuje administratora i może wstrzymać jej wykonanie do czasu wyjaśnienia, o ile prawo na to pozwala.

14. Transfery

Transfer danych poza EOG następuje tylko na właściwej podstawie prawnej i z wymaganymi zabezpieczeniami. Zakres transferu ocenia się dla konkretnego odbiorcy i procesu.

15. Backup

Kopie zawierające dane powierzone są objęte DPA w takim samym zakresie jak dane źródłowe. Odpowiedzialność za tworzenie i przechowywanie kopii zależy od profilu wdrożenia. Customer Hosted nie przenosi automatycznie odpowiedzialności infrastrukturalnej na TaskLine.

16. Support

Zwykły Support nie powinien zawierać danych klientów końcowych. Jeżeli do rozwiązania problemu konieczny jest wyjątkowy dostęp do danych powierzonych, powinien być ograniczony do niezbędnego zakresu, celu i czasu oraz odpowiednio audytowany.

17. Zwrot i usunięcie

Po zakończeniu usługi TaskLine, według wyboru administratora (jeżeli wybór nie wynika z odrębnego przepisu prawa), usuwa albo zwraca dane powierzone i usuwa istniejące kopie, chyba że obowiązujące prawo wymaga dalszego przechowania konkretnych danych. TaskLine dokumentuje wykonanie dyspozycji i, na żądanie, udostępnia jej potwierdzenie.

Kopie zapasowe podlegają kontrolowanej rotacji w uzgodnionym, możliwym do wykazania okresie; w okresie oczekiwania na trwałe usunięcie nie wolno przywracać ich do zwykłego użycia, z wyjątkiem uzasadnionej potrzeby ciągłości działania. Niezależne dane TaskLine (rozliczenia, dowody prawne, własne logi bezpieczeństwa) zachowuje się tylko na odrębnej i udokumentowanej podstawie prawnej.

18. Profile wdrożenia

TaskLine Hosted

TaskLine przetwarza dane znajdujące się na swojej infrastrukturze jako procesor w zakresie określonym przez administratora, chyba że dla konkretnego procesu ma odrębną rolę administratora.

Customer Hosted

Samo dostarczenie oprogramowania nie powoduje powierzenia całej lokalnej bazy TaskLine. Powierzenie dotyczy danych, do których TaskLine faktycznie uzyskuje dostęp w ramach hostowanych integracji, Center, supportu lub uzgodnionego serwisu.

Local Desktop

Standardowe lokalne przetwarzanie na urządzeniu klienta nie oznacza powierzenia treści lokalnych dokumentów TaskLine, jeżeli nie opuszczają one urządzenia do infrastruktury TaskLine.

19. Załączniki

Aktualnie przewidziane są odrębne załączniki dla Beauty, HALO, Business i KSeF Gateway. Zakres danego załącznika ma pierwszeństwo w opisie kategorii danych i operacji dla konkretnego produktu.

20. Zmiany zakresu

Nowa kategoria danych, nowy przepływ między produktami, nowy podprocesor lub zmiana modelu hostingu wymagają przeglądu DPA i profilu instancji przed produkcyjnym uruchomieniem.