Informacja RODO

Twoje dane mają swój cel. I swoje granice.

1. Kto odpowiada za dane?

Obsługę systemu dla firm i ich pracowników prowadzi BackOffice Outsourcing Sp. z o.o., Aleja Stanów Zjednoczonych 72/12, 04-036 Warszawa, NIP 1132867570. Kontakt w sprawach ochrony danych: formularz kontaktowy.

Administratorem danych pracowniczych dotyczących urlopów i nieobecności jest co do zasady Twój pracodawca. Jego pełna nazwa, adres, dane kontaktowe oraz kontakt do inspektora ochrony danych, jeżeli został wyznaczony, muszą zostać podane w informacji właściwej dla Twojej firmy przed rozpoczęciem przetwarzania. BackOffice, obsługując te dane na zlecenie pracodawcy, działa jako podmiot przetwarzający na podstawie umowy zgodnej z art. 28 RODO. Ostateczny zakres ról wynika z faktycznych czynności i umów.

W zakresie własnej korespondencji i obsługi zapytań BackOffice jest odrębnym administratorem. Samo świadczenie obsługi systemu nie daje BackOffice prawa do dowolnego wykorzystywania dokumentacji pracowników.

2. Cele i podstawy przetwarzania

Dane związane z obsługą pracowniczą służą identyfikacji uprawnionego pracownika, przyjęciu i obsłudze wniosków o różne rodzaje urlopu, rejestracji nieobecności z powodu zwolnienia lekarskiego oraz realizacji obowiązków związanych z zatrudnieniem.

Przetwarzanie przez pracodawcę wynika w szczególności z obowiązków prawa pracy i ubezpieczeń społecznych - art. 6 ust. 1 lit. c RODO. W zakresie danych o zdrowiu właściwą przesłanką jest art. 9 ust. 2 lit. b RODO, w granicach uprawnień i obowiązków wynikających z prawa. Szczegółowe przepisy i podstawy należy określić dla konkretnego procesu i rodzaju zatrudnienia. Sam art. 6 RODO nie wystarcza do przetwarzania danych o zdrowiu.

Ochrona systemu i dochodzenie roszczeń mogą opierać się na art. 6 ust. 1 lit. f RODO w zakresie dopuszczalnym prawem, po ocenie interesów i praw osób. Obsługa zapytań do BackOffice opiera się na art. 6 ust. 1 lit. f RODO, a działania przed zawarciem umowy z osobą fizyczną mogą opierać się na art. 6 ust. 1 lit. b RODO.

Logowanie ani zapoznanie się z regulaminem nie stanowią zgody na przetwarzanie danych o zdrowiu. Obsługa obowiązków pracowniczych nie powinna być uzależniana od ogólnej zgody na dane osobowe.

3. Jakie dane i skąd?

Zakres danych obejmuje niezbędne dane identyfikacyjne i służbowe, powiązanie z pracodawcą, rodzaj i termin nieobecności oraz informacje potrzebne do jej obsługi. Dane mogą pochodzić od Ciebie, pracodawcy i jego upoważnionych osób. Dane ze źródeł ustawowych mogą być wykorzystywane wyłącznie w ramach legalnego, rzeczywiście uruchomionego dostępu.

Informacja o zwolnieniu lekarskim jest daną dotyczącą zdrowia. Należy ograniczyć ją do minimum wymaganego do obsługi nieobecności. Nie podawaj diagnozy, kodu choroby, opisu objawów, historii leczenia ani dokumentacji medycznej. Nie przekazuj takich danych przez ogólny formularz kontaktowy.

4. Kto może otrzymać dane?

Dostęp do dokumentacji powinny mieć wyłącznie osoby upoważnione przez właściwego administratora, w tym osoby obsługujące kadry i płace, oraz dostawcy niezbędni do świadczenia usługi, związani odpowiednimi umowami. Zakres dostępu przełożonego należy ograniczyć do informacji potrzebnych do jego obowiązków. Informacja o zdrowiu nie powinna trafiać do publicznego kalendarza ani do osób bez upoważnienia.

Przekazanie danych organom publicznym następuje w przypadkach przewidzianych prawem. Informacje o odbiorcach danych dotyczących zatrudnienia określa właściwy pracodawca.

5. Przechowywanie i transfery

Okres przechowywania dokumentacji zależy od jej rodzaju, podstawy prawnej i właściwych przepisów pracowniczych oraz ubezpieczeniowych. Czas przechowywania kont, kopii bezpieczeństwa, logów i danych wniosków określa właściwy administrator. Nie ma jednego, wspólnego okresu dla wszystkich tych danych.

Przed rozpoczęciem przetwarzania należy ustalić lokalizację danych i dostęp podwykonawców. Ewentualne przekazanie poza Europejski Obszar Gospodarczy wymaga właściwej podstawy z rozdziału V RODO, np. decyzji o odpowiednim stopniu ochrony lub standardowych klauzul umownych, oraz wymaganych ocen. Informacje o miejscu przetwarzania określa właściwy administrator danych.

6. Twoje prawa

Na warunkach określonych w RODO możesz żądać dostępu do danych i ich kopii, sprostowania oraz ograniczenia przetwarzania. Usunięcie danych, przenoszenie i sprzeciw przysługują w przypadkach przewidzianych prawem; nie są bezwzględne. Obowiązek prowadzenia dokumentacji może uniemożliwiać jej usunięcie na żądanie. Jeśli określony proces opiera się na zgodzie, można ją wycofać bez wpływu na zgodność wcześniejszego przetwarzania.

W sprawach dokumentacji pracowniczej zwróć się do pracodawcy. W sprawach przetwarzania, za które odpowiada BackOffice, skontaktuj się ze spółką. Masz prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych: uodo.gov.pl.

7. Obowiązek podania danych i decyzje

Podanie danych wymaganych prawem może być konieczne do obsługi zatrudnienia i określonej nieobecności. Skutek niepodania danych zależy od konkretnego obowiązku; nie należy zbierać informacji ponad niezbędny zakres. Decyzje dotyczące wniosków należą do uprawnionych osób. Rejestracja zwolnienia nie jest decyzją o przyznaniu urlopu.

8. Rozliczenia abonamentów i Stripe

Abonament opłaca pracodawca poprzez uprawnionego administratora firmy po zalogowaniu. BackOffice jest administratorem danych dotyczących zawarcia umowy, rozliczeń i obsługi płatności. Obejmują one dane firmy i jej przedstawiciela, dane do faktury, identyfikatory klienta i abonamentu, kwoty oraz statusy transakcji. Podstawą jest art. 6 ust. 1 lit. b RODO przy umowie z osobą fizyczną, art. 6 ust. 1 lit. c RODO w zakresie obowiązków rachunkowych i podatkowych oraz art. 6 ust. 1 lit. f RODO dla kontaktu z przedstawicielami firm i ochrony roszczeń.

W przypadku płatności przez Stripe dane niezbędne do realizacji transakcji trafiają do właściwego podmiotu grupy Stripe. Stripe może działać jako podmiot przetwarzający lub odrębny administrator, zależnie od celu, w szczególności dla przeciwdziałania oszustwom i obowiązków prawnych. Do Stripe nie przekazujemy wniosków urlopowych, dokumentacji pracowników ani danych o zdrowiu. Szczegóły, właściwe podmioty, okresy przechowywania i zabezpieczenia transferów poza EOG opisuje polityka prywatności Stripe.

Dane rozliczeniowe przechowujemy przez okres wykonania umowy, obowiązkowej retencji dokumentacji rachunkowej i podatkowej oraz dochodzenia lub obrony roszczeń. Podanie danych rozliczeniowych jest konieczne do obsługi płatnego abonamentu, nie do rozliczania prywatnych płatności pracowników. Wnioski dotyczące tych danych kieruj przez formularz kontaktowy BackOffice.