Umowa powierzenia przetwarzania danych osobowych (Oretta by HEHE.studio)

Ostatnia aktualizacja: 29 października 2026

Strony. Studio, które zakłada konto w aplikacji Oretta („Administrator”) i Oretta by HEHE.studio, prowadzone przez HEHE.studio Marcin Michalak, jednoosobowa działalność gospodarcza wpisana do CEIDG, ul. Na Miasteczku 12C/255, 61-144 Poznań, Polska, NIP PL7773193269 (7773193269) („Podmiot przetwarzający”). Kontakt w sprawach danych i powiadomień z tej umowy: contact@oretta.app. Umowa wchodzi w życie z akceptacją regulaminu i staje się jego częścią. Na żądanie przesyłamy umowę podpisaną kwalifikowanym podpisem elektronicznym.

1. Przedmiot, charakter i cel

Podmiot przetwarzający świadczy usługę Oretta (rejestrowanie czasu pracy, raporty, budżety, eksport). W jej ramach przechowuje dane osobowe w imieniu Administratora, udostępnia je jego osobom według ról i generuje z nich raporty. Przetwarzanie obejmuje: zbieranie, przechowywanie, wyświetlanie, zestawianie w raportach, wysyłanie do Slacka studia (gdy Administrator to włączy), kopiowanie zapasowe, eksport i usuwanie. Cel: wyłącznie świadczenie usługi zgodnie z tą umową i udokumentowanymi poleceniami Administratora (jego ustawienia i działania w aplikacji są takimi poleceniami).

2. Czas trwania

Tak długo, jak trwa umowa o korzystanie z Oretty. Po jej zakończeniu pkt 9.

3. Rodzaje danych i osoby

Osoby, których dane dotyczą: pracownicy, współpracownicy i freelancerzy Administratora, którzy mają konta w jego studiu; w danych projektowych mogą pojawić się też nazwy klientów Administratora (zwykle firmy, czasem osoby fizyczne).

Kategorie danych: imię, adres e-mail, rola, stan konta; wpisy czasu (projekt, zadanie, tagi, opis, czas rozpoczęcia i zakończenia); klienci, projekty, budżety; stawki godzinowe; koszty osób: koszt godzinowy albo, opcjonalnie, miesięczna pensja (wprowadzanie kosztów osób jest opcjonalne; Administrator decyduje, czy wpisuje koszt indywidualny, czy uśredniony; widoczne tylko dla administratorów studia; to dane o wynagrodzeniu, nie szczególna kategoria z art. 9, ale wrażliwe, więc traktowane ostrożniej); logo studia; osobiste tokeny API (w bazie tylko ich skrót SHA-256); token bota Slacka studia (gdy podłączony); adresy IP i logi żądań. Nie przetwarzamy zrzutów ekranu, nagrań ani danych o aktywności na komputerze. Administrator zobowiązuje się nie wpisywać do opisów wpisów szczególnych kategorii danych (art. 9) ani danych o wyrokach.

4. Obowiązki Podmiotu przetwarzającego

Przetwarza dane wyłącznie na udokumentowane polecenie Administratora, także w sprawie transferów poza EOG, chyba że wymaga tego prawo UE lub państwa członkowskiego (wtedy informuje Administratora przed przetwarzaniem, o ile prawo na to pozwala).
Zapewnia, że osoby upoważnione do danych (dziś: właściciel HEHE.studio) zobowiązały się do poufności.
Stosuje środki z pkt 6.
Przestrzega warunków korzystania z dalszych podmiotów z pkt 5.
Pomaga Administratorowi, w rozsądnym zakresie, w odpowiadaniu na żądania osób (dostęp, sprostowanie, usunięcie, przenoszenie): eksport CSV jest dostępny dla administratora w aplikacji; usunięcie na żądanie wg pkt 9. Żądanie otrzymane bezpośrednio od osoby przekazujemy Administratorowi bez zbędnej zwłoki.
Pomaga w obowiązkach z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, DPIA, konsultacje), przekazując informacje, którymi dysponuje.
Udostępnia informacje potrzebne do wykazania zgodności i umożliwia audyty (pkt 8).
Niezwłocznie informuje Administratora, jeśli uzna, że polecenie narusza RODO.

5. Dalsze podmioty przetwarzające

Administrator udziela ogólnej zgody na podmioty z listy podmiotów przetwarzających (w wersji z datą podaną na liście): Vercel (hosting, w tym ochrona formularza rejestracji Vercel BotID), Supabase (baza, logowanie, wysyłka maili), Cloudflare (kopie zapasowe w R2, zaszyfrowane), GitHub (uruchamianie zadania kopii zapasowej); Slack tylko po podłączeniu go przez Administratora, na jego własnej umowie ze Slackiem.

Zmiany. O nowym lub zastąpionym podmiocie informujemy administratora studia mailem co najmniej 30 dni przed rozpoczęciem przetwarzania przez ten podmiot, a jeśli zmiana wynika z decyzji naszego dostawcy, o której dowiemy się później, lub jest pilna ze względów bezpieczeństwa, niezwłocznie po tym, jak się o niej dowiemy. Administrator może w tym czasie sprzeciwić się z uzasadnionych powodów; jeśli nie znajdziemy rozwiązania, może wypowiedzieć umowę bez kary i z eksportem danych.

Z każdym podmiotem mamy lub zawrzemy umowę nakładającą obowiązki co najmniej odpowiadające tej umowie. Odpowiadamy wobec Administratora za dalsze podmioty zgodnie z art. 28 ust. 4 RODO.

Transfery poza EOG: baza danych jest w Irlandii (Supabase), a funkcje aplikacji działają w Dublinie (Vercel). Sieć i logi Vercel są globalne, a zadanie kopii zapasowej działa na maszynach GitHub bez przypiętego regionu. Mechanizm transferu poza EOG opisuje umowa powierzenia danych (DPA) każdego z dostawców; szczegóły i źródła podaje polityka prywatności.

6. Środki bezpieczeństwa

Te, które istnieją dziś:

Rozdzielenie danych studiów na poziomie bazy (Row Level Security, kolumna organizacji na każdej tabeli); rozdzielenie sprawdzają automatyczne testy.
Role: administrator, lider zespołu, osoba. Stawki i koszty osób widzi tylko administrator; osoba widzi swoje wpisy, lider zespół.
Tokeny API przechowywane jako skrót SHA-256; token nie może tworzyć kolejnych tokenów. Hasła przechowuje i haszuje usługa logowania Supabase. Wyłączone konto traci dostęp, także przez token.
Transmisja po HTTPS. Funkcje aplikacji przypięte do regionu UE (Dublin).
Kopie zapasowe: codzienne Supabase (7 dni) i tygodniowy zrzut zaszyfrowany narzędziem age przed wysłaniem do magazynu, 8 ostatnich; klucz prywatny trzymany offline, poza GitHubem i magazynem. Procedura odtwarzania jest opisana.
Dostęp do produkcyjnej bazy ma właściciel HEHE.studio.
Brak monitoringu aktywności użytkowników.

Czego nie mamy i nie obiecujemy: certyfikatów (ISO 27001, SOC 2), uwierzytelniania dwuskładnikowego (nie jest dostępne), dziennika audytowego zmian, szyfrowania pól w bazie na poziomie aplikacji (szyfrowanie dysku zapewnia Supabase), gwarancji dostępności (SLA).

7. Naruszenia ochrony danych

Informujemy administratora studia mailem bez zbędnej zwłoki, a pierwsze zawiadomienie, choćby niepełne, nie później niż w ciągu 48 godzin od stwierdzenia przez nas naruszenia dotyczącego danych Administratora; brakujące informacje przekazujemy etapami, gdy je uzyskamy. Zgłoszenie zawiera: opis, kategorie i przybliżoną liczbę osób i rekordów, możliwe skutki, podjęte i planowane środki oraz kontakt. Zgłoszenie do organu (72 h) i powiadomienie osób to obowiązek Administratora; pomagamy.

8. Audyty

Podmiot przetwarzający udostępnia informacje potrzebne do wykazania przestrzegania tej umowy. Audyt odbywa się w pierwszej kolejności przez udostępnienie dokumentacji i odpowiedzi na pisemne pytania. Audyt na miejscu (przez Administratora lub niezależnego audytora związanego poufnością) jest możliwy raz w roku, po 30 dniach uprzedzenia, jeśli dokumentacja okaże się niewystarczająca albo doszło do naruszenia, na koszt Administratora. Audyt nie obejmuje danych innych studiów ani systemów dostawców (zamiast tego udostępniamy ich dokumentację i raporty, jakie sami dostajemy).

9. Zakończenie: zwrot i usunięcie

Przed zakończeniem i do 30 dni po nim administrator studia może pobrać wszystkie dane jednym plikiem ZIP z plikami CSV (UTF-8, separator średnik): osoby (bez haszy haseł i tokenów), klienci, projekty, zadania, tagi, stawki, wpisy czasu, koszty osób. Ten okres jest też okresem pobrania danych przy zmianie dostawcy (regulamin, pkt 8a). Potem, na żądanie lub 30 dni po zakończeniu umowy, usuwamy dane studia z bazy produkcyjnej. Kopie zapasowe wygasają samoczynnie w ciągu około 8 tygodni od usunięcia i w tym czasie nie są odtwarzane do produkcji w celu przywrócenia usuniętych danych. Dane wymagane przepisami (np. faktury) zachowujemy jako administrator. Na prośbę potwierdzamy usunięcie mailem.

10. Postanowienia końcowe

Prawo polskie. Spory rozstrzyga sąd powszechny właściwy dla siedziby Podmiotu przetwarzającego, chyba że przepisy przyznają Administratorowi prawo do innego sądu. Odpowiedzialność stron z tytułu tej umowy podlega ograniczeniom z pkt 9 regulaminu, z wyjątkiem odpowiedzialności wobec osób, których dane dotyczą, i kar nałożonych przez organ nadzorczy, które ponosi strona, która je spowodowała.