Umowa powierzenia przetwarzania danych (AVV) — Wersja dla Polski

1. Przedmiot i czas trwania

(1) Podmiot przetwarzający udostępnia administratorowi oprogramowanie NymTime jako oprogramowanie jako usługę (Software-as-a-Service): planowanie harmonogramu, ewidencję czasu pracy smartfonem pracownika przy tagach NFC (zastępczo wpis z lokalizacji z weryfikacją geograficzną bez NFC), weryfikację lokalizacji w chwili wpisu, ewidencję przerw według zasady wybranej przez administratora, nieobecności, informacje o dostępności, zamianę zmian, komunikaty firmy (tablica ogłoszeń), konto czasu pracy, analizę godzin, eksport na potrzeby rozliczania wynagrodzeń oraz opcjonalnie przechowywanie dokumentów, w tym wgląd pracownika, którego dotyczą, dokumenty płacowe, dane o obrotach dla każdej lokalizacji i wewnętrzne koszty personelu. W tym zakresie przetwarza on dane osobowe w imieniu administratora.

(2) Czas trwania niniejszej umowy wynika z umowy o korzystanie z usługi (ogólne warunki handlowe, nymtime.com/agb). Umowa kończy się wraz z umową o korzystanie z usługi; pkt 10 obowiązuje także po tym terminie, dopóki wszystkie dane nie zostaną zwrócone lub usunięte.

(3) Dane administratora są przechowywane wyłącznie w centrach danych na terytorium Unii Europejskiej. W trakcie przesyłania przechodzą one przez serwer pośredniczący (reverse proxy) Cloudflare; wiadomości e-mail i powiadomienia push są wysyłane za pośrednictwem usług wymienionych w załączniku 2. Następujące przy tym przekazania do państw trzecich i ich podstawę (art. 45 i art. 46 ust. 2 lit. c RODO) wskazuje załącznik 2.

(4) Jeżeli klient zgodnie z § 12 ust. 5 ogólnych warunków handlowych zezwala na korzystanie z NymTime jednostkom z nim powiązanym, administratorem danych osobowych pracowników danej lokalizacji jest jednostka wpisana w Back Office jako pracodawca tej lokalizacji (załącznik 4). Klient zawiera niniejszą umowę we własnym imieniu i jednocześnie w imieniu i na podstawie pełnomocnictwa każdej jednostki powiązanej wskazanej w załączniku 4; każda z tych jednostek jest tym samym administratorem danych swoich lokalizacji w rozumieniu niniejszej umowy i art. 28 RODO. Klient zapewnia, że pełnomocnictwo zostało mu udzielone przed dokonaniem wpisu, i na żądanie przedstawia je podmiotowi przetwarzającemu. Polecenia (pkt 3), zawiadomienia i zgłoszenia na podstawie niniejszej umowy klient wydaje i otrzymuje zbiorczo dla wszystkich jednostek powiązanych; prawa określone w pkt 11 wykonuje w ich imieniu, chyba że bezwzględnie obowiązujące przepisy wymagają bezpośredniego działania jednostki powiązanej. Każda jednostka powiązana pozostaje odpowiedzialna za zgodność z prawem przetwarzania danych swoich pracowników (art. 5 ust. 2 i art. 24 RODO); do danych danej lokalizacji stosuje się część B państwa, w którym jest ona położona. W odniesieniu do lokalizacji bez wpisanej jednostki powiązanej administratorem jest klient.

2. Charakter i cel przetwarzania, kategorie danych i osoby, których dane dotyczą

(1) Charakter i cel przetwarzania, kategorie danych osobowych oraz kategorie osób, których dane dotyczą, opisano w załączniku 1. W skrócie: zarządzanie danymi podstawowymi, harmonogram, ewidencja czasu pracy zgodnie z prawem państwa lokalizacji, nieobecności, wynik weryfikacji lokalizacji przy wpisie, dane urządzeń, zgłoszenia pracowników oraz — o ile administrator z nich korzysta — dokumenty i dane o kosztach personelu, każdorazowo w celu planowania obsady, wypełniania obowiązków ewidencyjnych wynikających z prawa pracy i przygotowania rozliczania wynagrodzeń.

(2) Nie są zapisywane żadne współrzędne GPS, trasy ani profile przemieszczania się. Wynik weryfikacji lokalizacji jest rejestrowany wyłącznie w chwili wpisu w trakcie zmiany jako „w strefie”, „poza strefą” lub „lokalizacja niedostępna” wraz z czasem i dokładnością; ustalanie położenia w tle nie ma miejsca. Weryfikacja następuje wyłącznie w lokalizacjach, w których dopuszcza ją prawo państwa lokalizacji i w których administrator jej nie wyłączył; administrator zapewnia, że kroki wymagane przez to prawo zostały wykonane przed jej użyciem (część B).

(3) Przyczyna nieobecności „zwolnienie lekarskie” jest rejestrowana bez diagnozy i bez podania przyczyny choroby. Szczególne kategorie danych osobowych w rozumieniu art. 9 RODO są ponadto przedmiotem przetwarzania wyłącznie wtedy, gdy administrator korzysta z funkcji „zaświadczenie lekarskie”: zaświadczenie o rozpoczęciu i przewidywanym czasie trwania niezdolności do pracy stanowi dane dotyczące zdrowia. Administrator może je zapisywać wyłącznie w zakresie, w jakim może go żądać zgodnie z prawem państwa, w którym pracownik jest zatrudniony (przepisy wskazuje część B); podstawą prawną jest art. 9 ust. 2 lit. b RODO w związku z tymi przepisami oraz art. 88 RODO. Podmiot przetwarzający ogranicza dostęp do tych dokumentów do osób upoważnionych do tego przez administratora oraz pracownika, którego dotyczą, i nie analizuje ich treści. Administrator zapewnia, aby w polach tekstowych i w innych dokumentach nie były zapisywane diagnozy ani inne dane dotyczące zdrowia.

(4) Uzupełniająco podmiot przetwarzający przetwarza w imieniu administratora: informacje pracowników o dostępności (dobrowolna informacja do celów planowania; nie jest to gotowość do pracy ani dyżur w rozumieniu przepisów o czasie pracy i nie rodzi roszczenia o wynagrodzenie), oferty i akceptacje przy zamianie zmian (dla koleżanek i kolegów z tej samej lokalizacji i tej samej roli widoczne są imię i nazwisko, rola lub dział oraz godziny danej zmiany — bez danych o obecności ani o wynikach pracy), dane kontaktowe udostępnione koleżankom i kolegom przez samego pracownika (zgoda na podstawie art. 6 ust. 1 lit. a RODO, ustawienie domyślne „wyłączone”, możliwość wycofania w każdym czasie zgodnie z art. 7 ust. 3 RODO ze skutkiem natychmiastowym w aplikacji), potwierdzenia przeczytania komunikatów firmy (tablica ogłoszeń) oraz zarejestrowane przerwy i krótkie przerwy wraz z komunikatem „Nie zarejestrowano przerwy”. Komunikat ten służy wyłącznie korekcie ewidencji czasu pracy i nie stanowi sankcji ani oceny wyników pracy; korekty dokonuje osoba po stronie administratora, podając uzasadnienie.

(5) Dane o obrotach dla każdej lokalizacji, które administrator wprowadza lub importuje na potrzeby wskaźników, dotyczą lokalizacji, a nie osób, i same w sobie nie są danymi osobowymi; są one analizowane wyłącznie w powiązaniu z kosztami personelu, które są dostępne wyłącznie dla Kierownictwa administratora i menedżerów, którym Kierownictwo udzieliło do tego dostępu.

3. Polecenia administratora (art. 28 ust. 3 lit. a)

(1) Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo Austrii; w takim przypadku przed rozpoczęciem przetwarzania informuje administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji.

(2) Polecenia są wydawane przez konfigurację w Back Office — w szczególności lokalizacje i strefę lokalizacji, role i uprawnienia, zasadę przerw dla każdej lokalizacji, termin na podanie informacji o dostępności, obowiązek zatwierdzania zamiany zmian, widoczność dokumentów dla pracowników, okresy przechowywania, włączanie i wyłączanie NFC oraz weryfikacji lokalizacji przy wpisie dla każdej lokalizacji, udzielenie dostępu wsparcia (Ustawienia → Subskrypcja → Dostęp wsparcia), eksport i usunięcie — a także na piśmie na adres office@nymtime.com, przy czym wystarczy wiadomość e-mail (forma uzgodniona zgodnie z § 886 ABGB — austriacki powszechny kodeks cywilny, Allgemeines bürgerliches Gesetzbuch). Administrator określa, którzy z jego użytkowników są uprawnieni do wydawania poleceń (rola Kierownictwo).

(3) Jeżeli podmiot przetwarzający uzna, że polecenie jest niedopuszczalne w świetle przepisów o ochronie danych, niezwłocznie informuje o tym administratora i może wstrzymać wykonanie polecenia do czasu jego potwierdzenia lub zmiany.

4. Poufność (art. 28 ust. 3 lit. b)

(1) Podmiot przetwarzający zapewnia, aby wszystkie osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy oraz aby obowiązek ten trwał także po zakończeniu ich działalności.

(2) W zwykłym trybie działania podmiot przetwarzający nie uzyskuje dostępu do treści konta klienta. Dostęp wsparcia jest możliwy wyłącznie wtedy, gdy administrator wyraźnie udzieli go w Back Office — z określeniem zakresu, czasu trwania i możliwością cofnięcia w każdym czasie. Każdy dostęp jest utrwalany w dzienniku zdarzeń administratora wraz z czasem, osobą i czynnością.

5. Bezpieczeństwo przetwarzania (art. 28 ust. 3 lit. c, art. 32)

(1) Podmiot przetwarzający stosuje środki techniczne i organizacyjne opisane w załączniku 3 i utrzymuje je przez cały okres obowiązywania umowy. Regularnie je weryfikuje i dostosowuje do stanu wiedzy technicznej.

(2) Podmiot przetwarzający może rozwijać środki i zastępować je równoważnymi, o ile poziom ochrony nie zostanie obniżony. Istotne zmiany są dokumentowane w załączniku 3 i wyświetlane administratorowi w Back Office.

6. Dalsze podmioty przetwarzające (art. 28 ust. 2 i 4, ust. 3 lit. d)

(1) Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających (innych podmiotów przetwarzających w rozumieniu art. 28 ust. 2 RODO) wymienionych w załączniku 2. Z każdym dalszym podmiotem przetwarzającym zawarta jest umowa, która nakłada na niego te same obowiązki w zakresie ochrony danych, jakie niniejsza umowa nakłada na podmiot przetwarzający.

(2) Jeżeli podmiot przetwarzający zamierza zaangażować lub zastąpić dalszy podmiot przetwarzający, informuje o tym administratora co najmniej 30 dni wcześniej pocztą elektroniczną i w Back Office. Administrator może w tym terminie wyrazić sprzeciw z ważnej przyczyny związanej z ochroną danych; jeżeli strony nie dojdą do porozumienia, każda z nich może wypowiedzieć umowę o korzystanie z usługi na koniec bieżącego miesiąca.

(3) Przekazanie danych osobowych do państwa trzeciego spoza Europejskiego Obszaru Gospodarczego następuje wyłącznie wtedy, gdy spełnione są warunki określone w art. 44–49 RODO (decyzja stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule ochrony danych zgodnie z art. 46 ust. 2 lit. c RODO). Podmiot przetwarzający odpowiada za dalsze podmioty przetwarzające jak za własne działania.

7. Pomoc w realizacji praw osób, których dane dotyczą (art. 28 ust. 3 lit. e)

(1) Podmiot przetwarzający pomaga administratorowi za pomocą odpowiednich środków technicznych i organizacyjnych w odpowiadaniu w terminach ustawowych na żądania osób, których dane dotyczą, w zakresie dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu (art. 15–22 RODO).

(2) W tym celu produkt udostępnia: wgląd i miesięczny eksport własnej ewidencji czasu pracy w aplikacji dla pracowników (art. 15 i 20 RODO); eksport wszystkich danych pracownika z Back Office; korekty z zapisem w dzienniku zdarzeń; archiwizację, anonimizację i usuwanie zgodnie z okresami przechowywania; w aplikacji dla pracowników wniosek pracownika o usunięcie jego konta, który jest przekazywany administratorowi do decyzji (ewidencja czasu pracy jest zachowywana przez ustawowy okres zgodnie z częścią B).

(3) Jeżeli osoba, której dane dotyczą, skieruje żądanie bezpośrednio do podmiotu przetwarzającego, przekazuje on je niezwłocznie administratorowi i sam na nie nie odpowiada, chyba że administrator mu to poleci.

8. Zgłaszanie naruszeń ochrony danych osobowych (art. 28 ust. 3 lit. f, art. 33)

(1) Podmiot przetwarzający zgłasza administratorowi każde naruszenie ochrony danych osobowych niezwłocznie, najpóźniej w ciągu 48 godzin od jego stwierdzenia, pocztą elektroniczną na adres osoby kontaktowej. Zgłoszenie zawiera informacje określone w art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów danych, których dotyczy, prawdopodobne konsekwencje, zastosowane i proponowane środki oraz punkt kontaktowy.

(2) Podmiot przetwarzający pomaga administratorowi w zgłoszeniu naruszenia organowi nadzorczemu w ciągu 72 godzin (art. 33) i w zawiadomieniu osób, których dane dotyczą (art. 34), oraz dokumentuje wszystkie naruszenia wraz z ich skutkami i podjętymi działaniami zaradczymi.

9. Ocena skutków dla ochrony danych i uprzednie konsultacje (art. 28 ust. 3 lit. f, art. 35 i 36)

(1) Systematyczna rejestracja obecności pracowników może wymagać przeprowadzenia oceny skutków dla ochrony danych zgodnie z art. 35 ust. 3 lit. a RODO. Podmiot przetwarzający udostępnia administratorowi w tym celu wzór oceny skutków dla ochrony danych dla NymTime oraz informacje techniczne o produkcie i pomaga mu w ewentualnych uprzednich konsultacjach z organem nadzorczym (art. 36).

(2) Przeprowadzenie oceny skutków dla ochrony danych dla własnego zastosowania, ocena, czy prawo danego państwa wymaga dla weryfikacji lokalizacji układu zbiorowego pracy lub porozumienia z radą pracowników, konsultacji, poinformowania lub zgody, a także ich zawarcie lub uzyskanie należą do administratora. Podmiot przetwarzający udostępnia w tym celu listy kontrolne dla poszczególnych państw i wzory; nie blokują one żadnej funkcji i nie zastępują doradztwa prawnego.

10. Usunięcie i zwrot po zakończeniu umowy (art. 28 ust. 3 lit. g)

(1) Po zakończeniu umowy o korzystanie z usługi administrator może przez 30 dni w pełni eksportować swoje dane z Back Office (Excel, CSV, dokumenty w formacie oryginalnym). Po upływie tego terminu podmiot przetwarzający usuwa wszystkie dane osobowe administratora, chyba że prawo Unii lub prawo austriackie nakłada na sam podmiot przetwarzający obowiązek ich przechowywania; w takim przypadku przetwarzanie ogranicza się do przechowywania. Obowiązki przechowywania ciążące na administratorze (zgodnie z prawem państwa lokalizacji, część B) pozostają jego własnym obowiązkiem (§ 14 ust. 3 ogólnych warunków handlowych); wypełnia je przez terminowy eksport.

(2) Usunięcie jest na żądanie potwierdzane administratorowi na piśmie. Kopie zapasowe są nadpisywane najpóźniej 35 dni po usunięciu danych podstawowych (danych pierwotnych).

(3) W okresie obowiązywania umowy administrator może archiwizować, anonimizować lub usuwać poszczególnych pracowników oraz samodzielnie określać okresy przechowywania dla każdego rodzaju danych w granicach ustawowych wartości minimalnych. Codzienny proces automatyczny realizuje te okresy i zapisuje w dzienniku zdarzeń liczbę i rodzaj usuniętych wpisów danych.

11. Dowody i audyty (art. 28 ust. 3 lit. h)

(1) Podmiot przetwarzający udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO, w szczególności niniejszą umowę, załączniki, rejestr zgodnie z art. 30 ust. 2 RODO oraz sprawozdania z weryfikacji środków technicznych i organizacyjnych.

(2) Administrator lub upoważniony przez niego audytor zobowiązany do zachowania tajemnicy może po odpowiednim zawiadomieniu, z wyprzedzeniem co najmniej 14 dni, w zwykłych godzinach pracy sprawdzać przestrzeganie niniejszej umowy, nie częściej niż raz w roku kalendarzowym, chyba że naruszenie ochrony danych osobowych lub nakaz organu nadzorczego wymaga dodatkowego audytu. Podmiot przetwarzający współpracuje przy audytach.

(3) Podmiot przetwarzający niezwłocznie informuje administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy Unii lub Austrii o ochronie danych.

12. Odpowiedzialność i postanowienia końcowe

(1) Odpowiedzialność stron określa art. 82 RODO, a w pozostałym zakresie § 15 ogólnych warunków handlowych. W stosunkach między stronami każda strona odpowiada za naruszenie obowiązków, które ciążą na niej na podstawie niniejszej umowy i RODO.

(2) Obowiązuje prawo austriackie z wyłączeniem norm kolizyjnych prawa prywatnego międzynarodowego. Jako wyłącznie właściwy uzgadnia się zgodnie z § 104 JN (austriacka ustawa o jurysdykcji, Jurisdiktionsnorm) — w przypadku administratorów mających siedzibę w innym państwie członkowskim dodatkowo zgodnie z art. 25 rozporządzenia (UE) nr 1215/2012 (Bruksela I bis) — sąd właściwy rzeczowo dla Wiednia, Innere Stadt. Zmiany i uzupełnienia niniejszej umowy wymagają formy pisemnej; strony uzgadniają w tym zakresie zgodnie z § 886 ABGB formę uproszczoną, wystarczy wiadomość e-mail na zapisany adres. Dotyczy to również uchylenia tego wymogu.

(3) Elektroniczne potwierdzenie niniejszej umowy przy zakupie lub — jeżeli podmiot przetwarzający założył konto klienta na prośbę — przy pierwszym logowaniu Kierownictwa do Back Office, wraz z czasem, wersją, sumą kontrolną (SHA-256) potwierdzonego tekstu dokumentu, adresem IP i użytkownikiem, jest utrwalane na koncie klienta i stanowi zawarcie umowy w formie elektronicznej w rozumieniu art. 28 ust. 9 RODO. W razie sprzeczności między niniejszą umową a ogólnymi warunkami handlowymi w kwestiach ochrony danych pierwszeństwo ma niniejsza umowa.

Załącznik 1 — Przedmiot przetwarzania: kategorie danych, osoby, których dane dotyczą, cele

Kategorie danych osobowych (dla każdej kategorii: dane — cel — podstawa prawna po stronie administratora):

• Dane podstawowe: imię i nazwisko, adres e-mail, numer telefonu, stanowisko, rola, przypisanie do lokalizacji, numer ewidencyjny pracownika, rodzaj zatrudnienia, data rozpoczęcia i zakończenia zatrudnienia — zarządzanie, harmonogram, rozliczenia — art. 6 ust. 1 lit. b i c RODO.
• Dane umowne (warunki zatrudnienia): umowny wymiar czasu pracy (godziny tygodniowo, miesięcznie lub rocznie), kategoria zatrudnienia (pełny etat, niepełny etat, młodociani poniżej 18 lat, nauka zawodu, praca sezonowa, inne), okres rozliczeniowy, mający zastosowanie układ zbiorowy pracy (Kollektivvertrag), wymiar urlopu w dniach, każdorazowo z datą rozpoczęcia obowiązywania i historią wersji — harmonogram, konto czasu pracy, stan urlopu, sprawdzanie limitów wynikających z przepisów o czasie pracy — art. 6 ust. 1 lit. b i c RODO.
• Harmonogram: zaplanowane zmiany, role, minimalna obsada, otwarte zmiany, momenty publikacji i potwierdzenia (kto i kiedy opublikował plan, kiedy pracownik go zobaczył i potwierdził), zmiany po publikacji wraz z uzasadnieniem — planowanie obsady, wykazanie terminowego podania do wiadomości — art. 6 ust. 1 lit. b i c RODO.
• Dostępność: informacja dla każdego dnia lub połowy dnia („dostępny”, „niechętnie”, „niedostępny”), moment wprowadzenia — dobrowolna informacja do celów planowania, nie jest to gotowość do pracy ani dyżur w rozumieniu przepisów o czasie pracy — art. 6 ust. 1 lit. b RODO.
• Zamiana zmian: oferta, odpowiedzi koleżanek i kolegów z tej samej lokalizacji i tej samej roli (widoczne dla nich: imię i nazwisko, rola lub dział, godziny zmiany), decyzja przełożonego, wynik sprawdzenia limitów wynikających z przepisów o czasie pracy — planowanie obsady — art. 6 ust. 1 lit. b RODO.
• Udostępnienie kontaktu (kontakty): oznaczenie, czy pracownik udostępnił swój numer telefonu i adres e-mail koleżankom i kolegom z tej samej lokalizacji, wraz z momentem udzielenia zgody i ewentualnego jej wycofania — osiągalność w zespole — zgoda na podstawie art. 6 ust. 1 lit. a RODO, ustawienie domyślne „wyłączone”, wycofanie w każdym czasie zgodnie z art. 7 ust. 3 RODO.
• Komunikaty firmy (tablica ogłoszeń): tekst, plakat (obraz lub PDF, bez metadanych obrazu), krąg adresatów (lokalizacje, działy), okres obowiązywania, potwierdzenie przeczytania i zapoznania się przez każdego pracownika wraz z czasem — wykazanie zapoznania się z informacjami firmowymi — art. 6 ust. 1 lit. b i f RODO; bez kontroli wyników pracy.
• Ewidencja czasu pracy: faktyczne rozpoczęcie i zakończenie, przerwy (niepłatne; zaplanowane bloki przerw dla każdej zmiany, płatne lub niepłatne, oraz przerwa potwierdzona przez kierownika lokalizacji wraz z osobą, która jej dokonała) i krótkie przerwy wraz z oznaczeniem „Nie zarejestrowano przerwy”, sposób rejestracji (NFC lub wpis z lokalizacji bez NFC), dziennik odchyleń przy umownym czasie pracy (dni potwierdzone „zgodnie z planem”, faktyczne godziny w razie odchylenia, zgłoszenie pracownika i potwierdzenie przełożonego), konto czasu pracy dla każdego okresu rozliczeniowego (godziny umowne, zaliczone godziny, saldo, przeniesienie i zamknięcie okresu), korekty wraz z uzasadnieniem i osobą, która ich dokonała — obowiązek prowadzenia ewidencji zgodnie z prawem państwa lokalizacji (część B) — art. 6 ust. 1 lit. c RODO.
• Nieobecności: rodzaj (urlop, zwolnienie lekarskie, czas wolny za nadgodziny, zwolnienie na opiekę nad bliskim, święto, urlop okolicznościowy, szkolenie, bezpłatna), okres, status, osoba rozpatrująca; w przypadku zwolnienia lekarskiego bez diagnozy — harmonogram, wynagrodzenie za czas niezdolności do pracy — art. 6 ust. 1 lit. b i c RODO.
• Weryfikacja lokalizacji przy wpisie: wynik „w strefie”, „poza strefą” lub „lokalizacja niedostępna” wraz z czasem i dokładnością w metrach; bez współrzędnych, bez tras — wiarygodność wpisu — zgodnie z prawem państwa lokalizacji (część B); art. 88 RODO.
• Potwierdzenia konfiguracji (zgodność z przepisami): informacje administratora o państwie, wielkości przedsiębiorstwa i przedstawicielstwie pracowników, przesłane porozumienia i protokoły, data oceny skutków dla ochrony danych, potwierdzenia zapoznania się i zgody każdego pracownika wraz z czasem i wersją dokumentu, wycofania zgody — wykazanie, że kroki wymagane przez prawo krajowe zostały wykonane przed użyciem funkcji — art. 6 ust. 1 lit. c i f RODO, w przypadku zgód art. 7 RODO.
• Dane urządzeń: identyfikator urządzenia, klucz publiczny, model i wersja systemu operacyjnego, token push do powiadomień, status (aktywne, zastąpione, zablokowane), moment rejestracji — jedno urządzenie na osobę, ochrona przed fałszerstwem — art. 6 ust. 1 lit. f RODO.
• Dokumenty (opcjonalnie): zgłoszenie do ubezpieczenia społecznego, pisemna informacja o istotnych warunkach pracy, umowa o pracę, zaświadczenia wraz z ewentualną datą ważności, dokumenty zażądane przez firmę i przesłane przez pracownika, paski płacowe i roczne informacje o wynagrodzeniu wraz z automatycznie proponowanymi polami z adnotacją o sprawdzeniu, każdorazowo z oznaczeniem, czy dokument jest widoczny w aplikacji dla pracownika, którego dotyczy — akta osobowe, przygotowanie rozliczania wynagrodzeń — art. 6 ust. 1 lit. c RODO w związku z prawem państwa lokalizacji (część B); dokumenty te mogą zawierać krajowe numery identyfikacyjne (na przykład numer ubezpieczenia społecznego), które administrator zapisuje wyłącznie w granicach prawa swojego państwa. Dokumenty płacowe widzą wyłącznie Kierownictwo, osoby wyraźnie upoważnione przez administratora oraz pracownik, którego dotyczą; każdy dostęp jest rejestrowany w dzienniku zdarzeń. Przechowywanie: dokumenty płacowe zgodnie z rodzajem danych „dokumenty płacowe” (okres i jego początek według części B), pozostałe dokumenty zgodnie z rodzajem danych „dokumenty pracowników”.
• Zaświadczenie lekarskie (opcjonalnie): rozpoczęcie i przewidywany czas trwania niezdolności do pracy bez diagnozy — wykazanie zwolnienia lekarskiego i wynagrodzenie za czas niezdolności do pracy — dane dotyczące zdrowia, art. 9 ust. 2 lit. b RODO w związku z przepisem państwa, w którym pracownik jest zatrudniony, na podstawie którego pracodawca może żądać zaświadczenia (część B). Jeżeli niezdolność do pracy jest zgłaszana elektronicznie za pośrednictwem instytucji ubezpieczenia społecznego, administrator zapisuje wyłącznie przysługującą mu informację bez diagnozy; jeżeli zaświadczenie zawiera kod diagnozy, administrator czyni go nieczytelnym przed przesłaniem. Dostęp wyłącznie dla Kierownictwa, osób wyraźnie upoważnionych do tego przez administratora oraz pracownika, którego dotyczy; każdy dostęp jest rejestrowany w dzienniku zdarzeń. Przechowywanie zgodnie z rodzajem danych „dokumenty pracowników”.
• Koszty personelu (opcjonalnie, widoczne dla Kierownictwa i menedżerów, którym Kierownictwo udzieliło dostępu („Koszty personelu”)): wynagrodzenie brutto wraz z historią (kwota, jednostka, liczba pensji w roku, godziny tygodniowo, rodzaj zatrudnienia, wskaźnik kosztów pracodawcy), dodatki, zaliczki, korekty wraz z historią — kalkulacja wewnętrzna — art. 6 ust. 1 lit. f RODO.
• Dane o obrotach dla każdej lokalizacji (opcjonalnie): obrót dzienny i wartość docelowa — wskaźnik udziału kosztów personelu — nie są to dane osobowe; są analizowane wyłącznie łącznie z kosztami personelu.
• Dzienniki: dziennik zdarzeń (kto, co, kiedy, przed/po), powiadomienia — rozliczalność, bezpieczeństwo — art. 5 ust. 2 i art. 32 RODO.
• Kategorie osób, których dane dotyczą: pracownicy, osoby wykonujące pracę na podstawie umów cywilnoprawnych (freie Dienstnehmer), pracownicy tymczasowi, praktykanci i uczniowie nauki zawodu administratora. Użytkownicy Back Office (Kierownictwo, menedżerowie, doradztwo podatkowe) oraz osoba kontaktowa administratora nie są przedmiotem niniejszej umowy; w odniesieniu do ich danych podmiot przetwarzający jest sam administratorem (polityka prywatności, sekcje 6 i 7).
• Cele: planowanie obsady; wypełnianie obowiązku prowadzenia ewidencji czasu pracy, w tym przerw, zgodnie z prawem państwa lokalizacji; wiarygodność wpisu; zarządzanie nieobecnościami; organizacja dostępności, zamiany zmian i komunikatów firmowych; przechowywanie i udostępnianie dokumentów kadrowych; przygotowanie rozliczania wynagrodzeń; bezpieczeństwo i identyfikowalność działań w systemie.
• Przechowywanie (z możliwością zmiany przez administratora w granicach ustawowych wartości minimalnych): wartości domyślne i minimalne dla ewidencji czasu pracy, dziennika zdarzeń, dokumentów pracowników (rodzaj danych „employee_documents”, w tym przesłane zaświadczenia i zaświadczenia lekarskie), dokumentów płacowych, kosztów personelu i zarchiwizowanych profili pracowników (następnie anonimizacja) wskazuje część B zgodnie z prawem państwa lokalizacji; surowe zdarzenia obecności 3 miesiące, krócej, jeżeli wymaga tego prawo danego państwa (część B); powiadomienia 6 miesięcy. Informacje o dostępności, zamiany i potwierdzenia przeczytania są usuwane wraz z odpowiednim harmonogramem lub komunikatem, najpóźniej po 12 miesiącach.

Załącznik 2 — Zatwierdzone dalsze podmioty przetwarzające

Stan na 28 września 2026 r. Podmiot przetwarzający korzysta z następujących dalszych podmiotów przetwarzających; aktualna lista jest dostępna w Back Office w sekcji Ustawienia → Subskrypcja.

• Hosting usługi (serwery, baza danych, przechowywanie plików, kopie zapasowe): Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Niemcy — centrum danych Falkenstein (Niemcy, region fsn1), Object Storage w tym samym regionie. Gwarancja: umowa powierzenia przetwarzania danych zgodnie z art. 28 RODO; brak przetwarzania poza UE.
• Hosting i dostarczanie strony internetowej nymtime.com oraz przekierowywanie całego ruchu danych do api.nymtime.com, app.nymtime.com i admin.nymtime.com (serwer pośredniczący — reverse proxy, szyfrowanie transmisji, ochrona przed atakami przeciążeniowymi): Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 Monachium / Cloudflare, Inc., San Francisco, USA). Połączenie TLS kończy się w Cloudflare; Cloudflare przetwarza tym samym technicznie wszystkie przesyłane dane, w tym dane pracowników w trakcie przesyłania, ale nie przechowuje żadnych treści usługi — w pamięci podręcznej przechowywane są wyłącznie pliki statyczne, a ponadto dzienniki połączeń w celu odpierania ataków. Gwarancja: umowa powierzenia przetwarzania danych zgodnie z art. 28 RODO; przekazanie do USA na podstawie certyfikacji w ramach ram ochrony danych UE-USA (EU-US Data Privacy Framework, art. 45 RODO) i standardowych klauzul ochrony danych (art. 46 ust. 2 lit. c RODO).
• Wysyłka wiadomości e-mail (linki do logowania i zaproszeń, kody aktywacyjne aplikacji dla pracowników, powiadomienia, komunikaty dotyczące umowy i płatności, faktury): Resend, Inc., San Francisco, USA — wysyłka za pośrednictwem Amazon Simple Email Service w regionie eu-west-1 (Irlandia). Przetwarzane dane: adres odbiorcy, temat, treść i status doręczenia wiadomości. Gwarancja: Data Processing Addendum z dnia 28.09.2026 (art. 28 RODO); przekazanie do USA na podstawie ram ochrony danych UE-USA (EU-US Data Privacy Framework, art. 45 RODO) i standardowych klauzul ochrony danych (art. 46 ust. 2 lit. c RODO).
• Powiadomienia push do aplikacji dla pracowników: Expo (650 Industries, Inc., USA), doręczanie na urządzenia za pośrednictwem Apple Push Notification service (Apple Inc.) lub Firebase Cloud Messaging (Google). Przetwarzane dane: token push urządzenia, identyfikator i rodzaj powiadomienia, ogólny tekst bez treści osobowych. Gwarancja: umowa powierzenia przetwarzania danych zgodnie z art. 28 RODO; przekazanie do USA na podstawie ram ochrony danych UE-USA (EU-US Data Privacy Framework, art. 45 RODO) i standardowych klauzul ochrony danych (art. 46 ust. 2 lit. c RODO).
• Automatyczne rozpoznawanie pól w dokumentach (wyłącznie gdy administrator aktywuje tę funkcję): dostawca z przetwarzaniem w UE, bez wykorzystywania danych do celów trenowania — zostanie tu uzupełniony przed aktywacją funkcji; do tego czasu funkcja jest wyłączona.
• Wyszukiwanie adresów w Back Office (podpowiedzi przy wprowadzaniu adresu lokalizacji): Komoot GmbH, Hauptstraße 35, 12159 Berlin, Niemcy (usługa Photon, serwery w UE; źródło danych OpenStreetMap, ODbL 1.0). Przekazywany jest wyłącznie wprowadzony tekst adresu; zapytanie wysyła nasz serwer, a nie przeglądarka. Dane pracowników nie są przekazywane. Zastępczo w razie awarii: Nominatim fundacji OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Zjednoczone Królestwo — zawarcie umowy powierzenia przetwarzania danych z fundacją nie jest możliwe; usługa otrzymuje wyłącznie tekst adresu i jest odpytywana wyłącznie jako rozwiązanie awaryjne. Dla publicznej usługi Photon Komoot nie oferuje umowy powierzenia przetwarzania danych; przekazywany jest wyłącznie wpisany tekst adresu lokalizacji, żadne dane pracowników.

Dla kompletności — samodzielni administratorzy, niebędący dalszymi podmiotami przetwarzającymi: Komisja Europejska, Rue de la Loi 200, 1049 Bruksela, Belgia (potwierdzanie numeru VAT UE administratora w systemie wymiany informacji o VAT (VIES); przekazywane są wyłącznie kod państwa i numer VAT UE, podstawa prawna art. 6 ust. 1 lit. c RODO w związku z § 11 ust. 1a UStG 1994 — austriacka ustawa o podatku od towarów i usług, Umsatzsteuergesetz; bez danych pracowników), Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irlandia (obsługa płatności, wystawianie faktur i zarządzanie subskrypcją dla administratora jako klienta; przekazania do Stripe, Inc. (USA) na podstawie ram ochrony danych UE-USA (EU-US Data Privacy Framework) i standardowych klauzul ochrony danych) oraz Österreichische Post AG, Rochusplatz 1, 1030 Wiedeń, lub firma kurierska (doręczenie tagów NFC na adres siedziby lub adres dostawy; otrzymuje wyłącznie dane do wysyłki: firmę, osobę kontaktową, adres, w stosownych przypadkach numer telefonu). Żaden z tych odbiorców nie przetwarza danych pracowników administratora.

Załącznik 3 — Środki techniczne i organizacyjne (art. 32 RODO)

Podmiot przetwarzający stosuje w szczególności następujące środki:

• Kontrola wstępu i dostępu: działanie usługi wyłącznie w centrach danych w UE; fizyczna kontrola wstępu i certyfikacja zgodna z ISO 27001 stanowią wymóg wobec dostawcy hostingu usługi (Hetzner Online GmbH, załącznik 2); dostęp administracyjny wyłącznie przez imienne konta z kluczami SSH, uwierzytelnianie dwuskładnikowe do konsoli administracyjnej również jako wymóg wobec dostawcy hostingu; brak kont współdzielonych.
• Kontrola dostępu w produkcie: system uprawnień oparty na rolach i prawach (Kierownictwo, menedżerowie, pracownicy, inne role z pojedynczymi uprawnieniami), ograniczenie menedżerów do przypisanych lokalizacji; dane o kosztach personelu wyłącznie dla Kierownictwa; zaświadczenia lekarskie i dokumenty płacowe wyłącznie dla Kierownictwa, osób wyraźnie upoważnionych przez administratora oraz pracownika, którego dotyczą, każdy dostęp do nich jest rejestrowany w dzienniku zdarzeń; logowanie do Back Office przez imienne konta z adresem e-mail jako identyfikatorem użytkownika i hasłem przechowywanym wyłącznie jako wartość skrótu z losową solą (scrypt) — ustalenie hasła za pomocą jednorazowego linku (ważnego 24 godziny), resetowanie za pomocą jednorazowego linku (ważnego 1 godzinę), potwierdzenie nowego adresu e-mail kodem wysłanym na nowy adres, blokada na 15 minut po 10 nieudanych próbach, zakończenie wszystkich istniejących sesji przy każdej zmianie hasła, plik cookie sesji wygasający po 14 dniach, opcjonalne logowanie dwuskładnikowe (aplikacja TOTP, możliwe do aktywowania przez administratora dla całej firmy, kody odzyskiwania wyłącznie jako wartość skrótu, sekret TOTP przechowywany w postaci zaszyfrowanej); aktywacja aplikacji dla pracowników za pomocą jednorazowego kodu wysyłanego na zapisany adres e-mail (ograniczona ważność, maksymalnie 5 prób, ograniczona liczba zapytań na adres i adres IP); dostępy są rejestrowane w dzienniku zdarzeń.
• Powiązanie z urządzeniem: dokładnie jedno aktywne urządzenie na pracownika; kryptograficzna para kluczy w bezpiecznej pamięci urządzenia; każda rejestracja jest podpisywana przez urządzenie; nowe urządzenie jest powiązywane wyłącznie po potwierdzeniu kodu z wiadomości e-mail i wykazaniu obecności w lokalizacji (tag NFC lub weryfikacja lokalizacji) — dotychczasowe urządzenie jest przy tym automatycznie blokowane, firma otrzymuje powiadomienie, a zmiana jest rejestrowana w dzienniku zdarzeń; firma może w każdym czasie zablokować urządzenie.
• Tagi NFC: NXP NTAG 424 DNA, skonfigurowane do generowania dynamicznej, kryptograficznie podpisanej wiadomości przy każdym zbliżeniu (Secure Unique NFC) ze sprawdzaniem licznika — zaprojektowane tak, aby zapobiegać kopiowaniu i ponownemu odtwarzaniu; klucz chipu nie jest ujawniany ani telefonowi, ani użytkownikom; kod QR na tabliczce lokalizacji prowadzi wyłącznie do strony pobierania aplikacji dla pracowników i nie jest sposobem rejestracji; wpis z lokalizacji bez NFC wyłącznie w obrębie strefy lokalizacji.
• Minimalizacja danych: brak zapisywania współrzędnych i tras; przy rejestracji brak zdjęć — obrazy trafiają do systemu wyłącznie jako dokumenty przesłane przez samego pracownika (na przykład zaświadczenie lekarskie); z lokalizacji wyłącznie wynik weryfikacji przy wpisie („w strefie”, „poza strefą”, „lokalizacja niedostępna”, czas, dokładność); brak ustalania położenia w tle; weryfikacja wyłącznie w trakcie zmiany i wyłącznie w lokalizacjach, w których dopuszcza ją prawo państwa i w których administrator jej nie wyłączył; surowe zdarzenia są usuwane po 3 miesiącach, krócej, jeżeli wymaga tego prawo danego państwa; powiadomienia push bez treści osobowych.
• Szyfrowanie: transmisja wyłącznie z użyciem TLS 1.2 lub wyższego (do serwera pośredniczącego Cloudflare i stamtąd ponownie szyfrowana do serwerów usługi); baza danych znajduje się na woluminach zaszyfrowanych za pomocą LUKS (dm-crypt, AES-XTS) u dostawcy hostingu; dokumenty są szyfrowane przez aplikację przed zapisaniem w Object Storage za pomocą AES-256-GCM, klucze znajdują się wyłącznie na serwerach aplikacji; kopie zapasowe bazy danych są szyfrowane przez pgBackRest przed zapisaniem w Object Storage za pomocą AES-256; klucze i dane dostępowe poza kodem źródłowym; hasła i kody logowania wyłącznie jako wartość skrótu z losową solą.
• Integralność i identyfikowalność: niezmienny dziennik zdarzeń (dopisywanie dozwolone, zmiana i usuwanie uniemożliwione regułą bazy danych) dla wszystkich czynności istotnych dla bezpieczeństwa; wyłącznie usuwanie logiczne (soft delete) ze znacznikiem czasu; korekty czasu pracy wraz z uzasadnieniem, osobą, która ich dokonała, i wartością poprzednią.
• Dzienniki serwerów: dzienniki serwerów aplikacji (interfejs, serwer WWW) zawierają adresy IP, ale nie zawierają treści dokumentów ani danych płacowych; są one rotowane według rozmiaru (maksymalnie pięć plików po 10 MB na usługę) i usuwane najpóźniej po 30 dniach.
• Dostępność: dwa serwery bazy danych z bieżącą replikacją; codzienne kopie zapasowe (co tydzień pełne, codziennie różnicowe, a ponadto ciągła archiwizacja dzienników transakcji) z okresem przechowywania do 35 dni, zaszyfrowane w Object Storage dostawcy hostingu w UE; comiesięczny automatyczny test odtwarzania; monitorowanie z alarmowaniem; tymczasowe zapisywanie rejestracji na urządzeniu w razie utraty połączenia.
• Separacja: logiczne oddzielenie danych klientów za pomocą klucza organizacji w każdym zapytaniu; oddzielne środowiska do rozwoju, testów i działania produkcyjnego; brak danych produkcyjnych w środowiskach testowych i rozwojowych.
• Przechowywanie i usuwanie: konfigurowalne okresy dla każdego rodzaju danych z wymuszonymi ustawowymi wartościami minimalnymi; codzienny automatyczny proces usuwania i anonimizacji z zapisem w dzienniku zdarzeń; zwrot i usunięcie zgodnie z pkt 10.
• Dostęp wsparcia: brak dostępu podmiotu przetwarzającego do danych klientów w zwykłym trybie działania; dostęp wyłącznie po udzieleniu go przez administratora z określeniem zakresu, czasu trwania i możliwością cofnięcia w każdym czasie; każdy dostęp jest rejestrowany w dzienniku zdarzeń.
• Organizacja: zobowiązanie wszystkich uczestników do zachowania poufności; udokumentowany proces postępowania w przypadku naruszeń ochrony danych ze zgłoszeniem w ciągu 48 godzin; rejestr czynności przetwarzania zgodnie z art. 30 ust. 2 RODO; coroczna weryfikacja niniejszych środków; aktualizacje bezpieczeństwa w odpowiednim terminie; zasady uwzględniania ochrony danych w fazie projektowania oraz domyślnej ochrony danych (art. 25 RODO) w procesie rozwoju.

Załącznik 4 — Jednostki powiązane jako administratorzy (pkt 1 ust. 4)

Załącznik 4 stanowi listę jednostek powiązanych, w imieniu których klient zawiera niniejszą umowę zgodnie z pkt 1 ust. 4: firma, państwo, adres, numer VAT UE (o ile został podany) oraz lokalizacje, których pracodawcą jest dana jednostka. Klient prowadzi listę w Back Office; jej aktualna wersja jest tam dostępna w każdym czasie, a każda zmiana listy jest uważana za udokumentowane polecenie w rozumieniu pkt 3. Dopóki nie wpisano żadnej jednostki powiązanej, administratorem w odniesieniu do wszystkich lokalizacji jest klient.

B1. Podstawy prawne w kontekście zatrudnienia

(1) Do przetwarzania w kontekście zatrudnienia stosuje się art. 6 i art. 88 RODO oraz art. 22¹–22³ Kodeksu pracy (KP). Cele, zakres i sposób kontroli administrator ustala w układzie zbiorowym pracy, w regulaminie pracy albo w obwieszczeniu i obejmuje nimi rejestrację przy tagu NFC; kontrola rozpoczyna się najwcześniej dwa tygodnie po podaniu do wiadomości, a każdy pracownik jest informowany przed dopuszczeniem do pracy (art. 22² § 6–8 w związku z art. 22³ § 3 i 4 KP). Back Office wskazuje te kroki w formie listy kontrolnej; administrator stosuje te funkcje dopiero po upływie 14 dni od podania do wiadomości (pkt 9 części A).

(2) Weryfikacja lokalizacji przy wpisie (pkt 2 ust. 2 i załącznik 1 części A) jest inną formą monitorowania w rozumieniu art. 22³ § 4 KP; podstawą prawną jest art. 6 ust. 1 lit. f RODO w związku z art. 22³ KP, o ile jest ona niezbędna do organizacji pracy (art. 22³ § 1 KP), co administrator uzasadnia dla każdej lokalizacji. Wymaga ona przeprowadzenia oceny skutków dla ochrony danych, ponieważ wykaz Prezesa Urzędu Ochrony Danych Osobowych wydany na podstawie art. 35 ust. 4 RODO (Monitor Polski 2019 poz. 666) wymienia przetwarzanie danych lokalizacyjnych pracowników i systematyczne monitorowanie (kryteria 12 i 3); dla rejestracji przy tagu NFC ocena skutków jest zalecana, ponieważ wykaz podaje jako przykład systemy monitorowania czasu pracy. Do osób wykonujących pracę na podstawie umowy cywilnoprawnej przepisy Kodeksu pracy nie mają zastosowania; podstawą prawną jest wówczas art. 6 ust. 1 lit. b lub f RODO.

B2. Ewidencja czasu pracy

Zapisy czasu pracy (pkt 2 ust. 1 i załącznik 1 części A) służą prowadzeniu ewidencji czasu pracy zgodnie z art. 149 KP oraz § 6 pkt 1 lit. a rozporządzenia z dnia 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej; podstawą prawną jest art. 6 ust. 1 lit. c RODO w związku z tymi przepisami. Przerwy są rejestrowane zgodnie z art. 134 KP (wliczane do czasu pracy) i ewentualnie art. 141 KP (niewliczane). Informacje o dostępności nie są ani czasem pracy, ani dyżurem (art. 151⁵ KP).

B3. Niezdolność do pracy i dokumenty

(1) W Polsce niezdolność do pracy jest poświadczana elektronicznie (e-ZLA); pracodawca otrzymuje zaświadczenie za pośrednictwem portalu Zakładu Ubezpieczeń Społecznych (ZUS) bez diagnozy. Dowód niezdolności do pracy (pkt 2 ust. 3 i załącznik 1 części A) administrator zapisuje wyłącznie w zakresie, w jakim przysługuje mu ta informacja na podstawie ustawy z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa, i wyłącznie bez diagnozy; podstawą prawną jest art. 9 ust. 2 lit. b RODO w związku z tą ustawą i art. 22¹ KP.

(2) Do dokumentów, o których mowa w załączniku 1 części A, należą w Polsce w szczególności umowa o pracę, informacja o warunkach zatrudnienia (art. 29 § 3 KP) oraz dokumentacja pracownicza zgodnie z art. 94 pkt 9a KP; podstawą prawną jest art. 6 ust. 1 lit. c RODO w związku z art. 22¹ KP. Numer PESEL administrator zapisuje wyłącznie w zakresie tych przepisów.

B4. Przechowywanie

Wartości domyślne dla lokalizacji w Polsce, które administrator może zmieniać w granicach wartości minimalnych: zapisy czasu pracy 120 miesięcy (minimum 120 miesięcy); surowe zdarzenia obecności 3 miesiące; wynik weryfikacji lokalizacji — zalecane najwyżej 3 miesiące po zamknięciu miesiąca; dziennik audytu 84 miesiące (minimum 24 miesiące); dokumenty pracowników (typ danych „employee_documents”, w tym przesłane dowody) 120 miesięcy (minimum 120 miesięcy); dokumenty płacowe 120 miesięcy (minimum 120 miesięcy); koszty osobowe 84 miesiące; powiadomienia 6 miesięcy; zarchiwizowane profile pracowników 120 miesięcy (minimum 120 miesięcy), następnie anonimizacja. Okresy przechowywania zapisów czasu pracy, dokumentów pracowników i zarchiwizowanych profili pracowników liczy się od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł; dopóki stosunek pracy trwa, nic z nich nie jest usuwane. Odpowiada to art. 94 pkt 9b KP (dokumentacja pracownicza, w tym ewidencja czasu pracy, przez okres zatrudnienia oraz przez dziesięć lat od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł). Ustawowe obowiązki przechowywania pozostają własnym obowiązkiem administratora (pkt 10 ust. 1 części A). Okres przechowywania dokumentów płacowych liczy się od końca roku kalendarzowego, którego dotyczy rozliczenie (w przypadku przesłanych pasków wynagrodzeń — od końca roku przesłania).

B5. Organ nadzorczy

Organem nadzorczym właściwym dla administratora jest Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, www.uodo.gov.pl. Organem nadzorczym właściwym dla podmiotu przetwarzającego jest austriacki organ ochrony danych (Österreichische Datenschutzbehörde, DSB), Barichgasse 40–42, 1030 Wiedeń, www.dsb.gv.at.