Polityka prywatności - Plenti Enterprise

Tekst jednolity – Polityka prywatności Plenti Enterprise

Wersja 3, obowiązuje od 05.11.2026 - GL

Spis treści

1. Preambuła

2. Artykuł 1 – Tożsamość Administratora Danych

3. Artykuł 2 – Gromadzone Dane i Cele Przetwarzania

4. Artykuł 3 – Odbiorcy Danych i Podwykonawcy Przetwarzania

5. Artykuł 4 – Okresy Przechowywania Danych

6. Artykuł 5 – Bezpieczeństwo Danych

7. Artykuł 6 – Prawa Osób, Których Dane Dotyczą

8. Artykuł 7 – Pliki Cookies i Podobne Technologie

9. Artykuł 8 – Przetwarzanie Danych – Umowa Powierzenia (DPA)

10. Artykuł 9 – Polityka Retencji i Usuwania Danych

11. Artykuł 10 – Ocena Skutków dla Ochrony Danych (DPIA)

12. Artykuł 11 – Kontakt i Skargi

13. Artykuł 12 – Aktualizacje Polityki

14. Załącznik nr 1 – Umowa Powierzenia Przetwarzania Danych Osobowych

Preambuła

Plenti przywiązuje najwyższą wagę do zarządzania i ochrony danych osobowych. W ramach prowadzonej działalności Plenti udostępnia platformę Plenti Enterprise – narzędzie do zarządzania sprzętem IT i procesami operacyjnymi w modelu DaaS (Device as a Service) dla przedsiębiorców („Klienci”). Plenti utrzymuje również relacje z różnymi dostawcami usług („Partnerzy”), z którymi zawarło umowy o współpracy.

W związku z powyższym Plenti gromadzi, za pośrednictwem platformy enterprise.plenti.app („Platforma”) oraz w toku świadczenia usług, dane osobowe dotyczące: osób korzystających z funkcjonalności Platformy, współpracowników Klientów korzystających ze sprzętu IT udostępnianego lub zarządzanego przez Plenti, osób działających w imieniu Klientów oraz osób działających w imieniu Partnerów (łącznie: „Użytkownicy”).

Niniejszy dokument ma na celu poinformowanie wszystkich Użytkowników o sposobie, w jaki Plenti gromadzi, wykorzystuje, przetwarza i przekazuje dane osobowe, zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (dalej: „RODO”) oraz ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych.

Plenti nie przetwarza szczególnych kategorii danych w rozumieniu art. 9 RODO (dane dotyczące zdrowia, przekonań politycznych, dane biometryczne itp.) w związku ze świadczeniem Usług na Platformie Enterprise. Platforma jest przeznaczona wyłącznie dla firm i nie jest skierowana do konsumentów ani osób niepełnoletnich. Plenti nie podejmuje w pełni zautomatyzowanych decyzji wywołujących skutki prawne lub w podobny sposób istotnie wpływających na Użytkowników w rozumieniu art. 22 RODO.

Niniejsza Polityka wraz z załącznikami stanowi integralną część Regulaminu Plenti Enterprise.

O ile niniejsza Polityka nie stanowi inaczej, pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie Plenti Enterprise dostępnym pod adresem enterprise.plenti.app/regulamin.

Artykuł 1 – Tożsamość Administratora Danych

Z zastrzeżeniem postanowień Artykułu 8, administratorem danych osobowych gromadzonych w związku z korzystaniem z Platformy Plenti Enterprise jest:

Plenti S.A.

Siedziba: ul. Marszałkowska 107, 00-110 Warszawa

KRS: 0000985653 (Sąd Rejonowy dla m.st. Warszawy, XII Wydział Gospodarczy)

NIP: 7010891435

REGON: 381758718

Strona: enterprise.plenti.app

Kontakt: hello@plenti.app

Przedstawiciel ds. ochrony danych:

Inspektor Ochrony Danych Osobowych

E-mail: hello@plenti.app

Artykuł 2 – Gromadzone Dane i Cele Przetwarzania

2.1 Kategorie gromadzonych danych

Dane osobowe gromadzone przez Plenti obejmują w szczególności:

a) Dane rejestracyjne i identyfikacyjne:

• Imiona, nazwiska, adresy e-mail, numery telefonów kontaktów Klientów lub ich przedstawicieli, pełnomocników i współpracowników

• Nazwa firmy, NIP, adres siedziby, dane do faktury

b) Dane uwierzytelniające:

• Dane logowania użytkowników Platformy (hasła przechowywane w formie zaszyfrowanej, klucze uwierzytelniania dwuskładnikowego 2FA)

c) Dane współpracowników Klienta (wprowadzane przez Klienta):

• Imię i nazwisko, służbowy adres e-mail, służbowy numer telefonu

• Stanowisko, dział/zespół, rola na Platformie

• Dane onboardingowe i offboardingowe

• Informacje o Sprzęcie przypisanym do współpracownika (nazwa, model, numer seryjny, status)

• Historia przypisań Sprzętu, Zgłoszenia serwisowe powiązane z współpracownikiem

d) Dane dotyczące Sprzętu i operacji:

• Informacje o Sprzęcie ewidencjonowanym na Platformie (nazwa, producent, model, numer seryjny, stan, status)

• Historia Zapytań Ofertowych i Ofert (Najem, Kupno, Leasing)

• Treść Zgłoszeń serwisowych i usługowych, załączniki

e) Dane rozliczeniowe:

• Dane niezbędne do wystawienia faktur VAT, historia płatności, dane dotyczące kaucji

f) Dane techniczne i nawigacyjne:

• Adres IP, typ i wersja przeglądarki, typ urządzenia, system operacyjny

• Identyfikatory sesji, znaczniki czasu, źródło ruchu

• Logi audytu (data, typ akcji, autor, adres IP)

g) Dane komunikacyjne:

• Treść korespondencji e-mailowej z Plenti

• Treść powiadomień i komunikatów systemowych

• Dane z formularzy kontaktowych

2.2 Okoliczności gromadzenia danych

Dane są gromadzone w szczególności przy okazji:

• Rejestracji Organizacji i Konta na Platformie

• Korzystania z Platformy i logowania się do niej

• Składania Zapytań Ofertowych i akceptacji Ofert

• Zawarcia i wykonywania umów Najmu, Kupna lub Leasingu Sprzętu

• Składania i obsługi Zgłoszeń serwisowych i usługowych (service desk)

• Zarządzania współpracownikami i Sprzętem w ramach Organizacji

• Dokonywania płatności za usługi i Sprzęt

• Korespondencji z Plenti (e-mail, formularz kontaktowy, telefon)

2.3 Cele przetwarzania i podstawy prawne

Plenti przetwarza dane osobowe w następujących celach i na następujących podstawach prawnych:

• Zawarcie i wykonanie Umowy o korzystanie z Platformy (rejestracja, prowadzenie Konta, świadczenie Usługi) – podstawa prawna: art. 6 ust. 1 lit. b) RODO (wykonanie umowy)

• Przygotowanie i obsługa Ofert na Najem, Kupno i Leasing Sprzętu – podstawa prawna: art. 6 ust. 1 lit. b) RODO (wykonanie umowy)

• Obsługa Zgłoszeń serwisowych i usługowych – podstawa prawna: art. 6 ust. 1 lit. b) RODO (wykonanie umowy)

• Wystawianie faktur, rozliczenia, prowadzenie dokumentacji księgowej – podstawa prawna: art. 6 ust. 1 lit. c) RODO (obowiązek prawny)

• Wypełnianie obowiązków informacyjnych wynikających z RODO – podstawa prawna: art. 6 ust. 1 lit. c) RODO (obowiązek prawny)

• Zapewnienie bezpieczeństwa Platformy, wykrywanie i zapobieganie oszustwom – podstawa prawna: art. 6 ust. 1 lit. f) RODO (uzasadniony interes)

• Prowadzenie logów audytu i historii zmian w Organizacji – podstawa prawna: art. 6 ust. 1 lit. f) RODO (uzasadniony interes)

• Dochodzenie, ustalanie lub obrona przed roszczeniami – podstawa prawna: art. 6 ust. 1 lit. f) RODO (uzasadniony interes)

• Analityka, pomiary wydajności i ulepszanie Platformy – podstawa prawna: art. 6 ust. 1 lit. f) RODO (uzasadniony interes)

• Marketing bezpośredni własnych produktów i usług Plenti – podstawa prawna: art. 6 ust. 1 lit. f) RODO (uzasadniony interes) lub art. 6 ust. 1 lit. a) RODO (zgoda)

• Pomiar skuteczności kampanii reklamowych, remarketing i wyświetlanie dopasowanych reklam z użyciem plików cookies reklamowych i pikseli – podstawa prawna: art. 6 ust. 1 lit. a) RODO (zgoda)

• Komunikacja z Użytkownikiem (powiadomienia, informacje administracyjne) – podstawa prawna: art. 6 ust. 1 lit. b) RODO (wykonanie umowy)

• Przetwarzanie danych współpracowników Klienta w ramach Usługi (Plenti jako procesor) – podstawa prawna: art. 28 RODO (umowa powierzenia)

Podanie danych osobowych jest dobrowolne, natomiast brak ich podania może skutkować brakiem możliwości korzystania z Platformy lub poszczególnych jej funkcjonalności.

Artykuł 3 – Odbiorcy Danych i Podwykonawcy Przetwarzania

Plenti przekazuje dane osobowe podmiotom trzecim wyłącznie w zakresie ściśle niezbędnym do świadczenia Usług i wyłącznie odbiorcom zapewniającym wystarczające gwarancje ochrony danych zgodnie z RODO.

3.1 Odbiorcy

Dane osobowe mogą być przekazywane następującym odbiorcom, działającym jako niezależni administratorzy danych:

• Upoważnieni współpracownicy Klienta (Administratorzy Organizacji)

• Partnerzy uczestniczący w realizacji usług świadczonych przez Plenti (firmy kurierskie i logistyczne, firmy leasingowe, ubezpieczyciele, dostawcy Sprzętu i usług)

• Organy administracji publicznej i sądowe – na żądanie uprawnionych organów, na podstawie obowiązujących przepisów prawa (sądy, prokuratura, organy skarbowe, Prezes UODO, Policja)

• Partnerzy reklamowi (operatorzy serwisów społecznościowych i sieci reklamowych) – wyłącznie w zakresie danych z plików cookies reklamowych i pikseli, po uzyskaniu zgody Użytkownika (Artykuł 7.3). W zakresie zbierania i przekazania tych danych partnerzy mogą działać jako współadministratorzy wraz z Plenti, a w zakresie dalszego przetwarzania – jako niezależni administratorzy, na zasadach określonych w ich politykach prywatności.

W przypadku zmiany struktury korporacyjnej Plenti (sprzedaż, fuzja, przejęcie), Plenti zapewni, że podmiot przejmujący będzie przestrzegał obowiązujących przepisów o ochronie danych osobowych.

3.2 Podwykonawcy przetwarzania (subprocesorzy)

Plenti korzysta z podwykonawców przetwarzania w celu świadczenia swoich Usług. Korzystając z podwykonawców, Plenti zapewnia zgodność z obowiązującymi standardami, stosując w szczególności:

• Standardowe klauzule umowne (SCC) przyjęte przez Komisję Europejską (Decyzja 2021/914 z dnia 4 czerwca 2021 r.)

• Decyzje o adekwatności Komisji Europejskiej

• Umowy powierzenia przetwarzania danych (DPA) obejmujące każdego podwykonawcę (art. 28 RODO)

Kompletna i aktualna lista podwykonawców przetwarzania dostępna jest na żądanie pod adresem hello@plenti.app. Plenti zobowiązuje się do informowania Klientów o każdej zmianie podwykonawcy mającej wpływ na ich dane, zgodnie z art. 28 ust. 2 RODO.

Plenti nie sprzedaje danych osobowych podmiotom trzecim i nie wykorzystuje ich do trenowania modeli sztucznej inteligencji. Dane z plików cookies reklamowych i pikseli są przekazywane partnerom reklamowym wyłącznie za zgodą Użytkownika, na zasadach opisanych w Artykule 3.1 i 7.3.

Artykuł 4 – Okresy Przechowywania Danych

Plenti przechowuje dane osobowe przez ograniczone okresy, proporcjonalne do celów, dla których zostały zebrane, oraz do obowiązujących wymogów prawnych.

• Dane Konta (rejestracyjne, profilowe, uwierzytelniające) – czas trwania Umowy + 5 lat (wykonanie umowy / przedawnienie roszczeń, art. 118 KC)

• Dane rozliczeniowe, faktury, dokumenty księgowe – 5 lat od końca roku podatkowego (obowiązek prawny: Ordynacja podatkowa, ustawa o rachunkowości)

• Dane z Ofert i umów (Najem, Kupno, Leasing) – 6 lat od zakończenia umowy (okres przedawnienia roszczeń, art. 118 KC)

• Dane współpracowników Klienta (Plenti jako procesor) – czas trwania Umowy + 3 miesiące, lub usunięcie na żądanie Klienta (wykonanie umowy / DPA, art. 28 RODO)

• Dane dotyczące Sprzętu (ewidencja, stan, raporty) – 5 lat od zakończenia umowy dotyczącej Sprzętu (uzasadniony interes: roszczenia, gwarancja)

• Dane serwisowe (Zgłoszenia service desk) – czas trwania Umowy + 3 lata (uzasadniony interes: jakość usług)

• Logi audytu – zgodnie z aktywnym Planem, od 30 dni do bezterminowo (uzasadniony interes: bezpieczeństwo, rozliczalność)

• Dane techniczne (logi serwera) – 12 miesięcy, w trybie kroczącym (uzasadniony interes: bezpieczeństwo, diagnostyka)

• Dane z kaucji – 5 lat od zwrotu lub rozliczenia kaucji (obowiązek prawny / przedawnienie roszczeń)

• Dane komunikacyjne (korespondencja) – czas trwania Umowy + 3 lata (uzasadniony interes)

• Dane marketingowe (prospecting) – 3 lata od ostatniego kontaktu (uzasadniony interes / wytyczne PUODO)

• Pliki cookies analityczne, funkcjonalne i reklamowe – do czasu wycofania zgody lub wygaśnięcia pliku cookie (zgoda)

• Dane z podpisu elektronicznego – 10 lat (wartość dowodowa, eIDAS)

Po upływie powyższych okresów dane są usuwane lub nieodwracalnie anonimizowane. Niektóre dane mogą być przechowywane dłużej w przypadku toczących się postępowań sądowych, kontroli organów nadzoru lub obowiązujących przepisów prawa wymagających dłuższego przechowywania.

Artykuł 5 – Bezpieczeństwo Danych

Plenti wdraża odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych przed utratą, zniszczeniem, zmianą, nieuprawnionym dostępem lub ujawnieniem, zgodnie z art. 32 RODO.

5.1 Środki techniczne

• Szyfrowanie danych w transmisji i w spoczynku

• Hasła użytkowników przechowywane z użyciem algorytmów; klucze 2FA szyfrowane algorytmami

• Uwierzytelnianie dwuskładnikowe (2FA) dostępne dla wszystkich Użytkowników, z możliwością wymuszenia przez Administratora Organizacji

• Bezpieczna architektura chmurowa z izolacją sieciową i zaporą aplikacyjną

• Automatyczne, szyfrowane kopie zapasowe z regularnymi testami przywracania

• Pliki cookie z flagami

• Polityka bezpieczeństwa treści (CSP) ograniczająca źródła zasobów

• Monitoring bezpieczeństwa i logowanie zdarzeń

5.2 Środki organizacyjne

• Kontrola dostępu oparta na rolach (RBAC) zgodnie z zasadą najmniejszych uprawnień

• Zobowiązanie do zachowania poufności podpisywane przez każdego współpracownika Plenti mającego dostęp do danych osobowych

• Umowy powierzenia przetwarzania danych (DPA) obejmujące każdego podwykonawcę przetwarzania (art. 28 RODO)

• Plenti dobiera podwykonawców przetwarzania na podstawie ich zdolności do zagwarantowania bezpieczeństwa przetwarzania poprzez odpowiednie środki

5.3 Procedura naruszenia ochrony danych

W przypadku naruszenia ochrony danych osobowych mogącego powodować ryzyko naruszenia praw i wolności osób fizycznych, Plenti zobowiązuje się do:

• Zgłoszenia naruszenia Prezesowi UODO w ciągu 72 godzin od jego wykrycia (art. 33 RODO)

• Powiadomienia Klienta jako administratora danych (w kontekście DPA) w ciągu 24 godzin od potwierdzenia naruszenia, aby Klient mógł wypełnić własne obowiązki notyfikacyjne

• Poinformowania osób, których dane dotyczą, bez zbędnej zwłoki w przypadku wysokiego ryzyka naruszenia ich praw (art. 34 RODO)

• Udokumentowania każdego naruszenia w wewnętrznym rejestrze incydentów bezpieczeństwa

Artykuł 6 – Prawa Osób, Których Dane Dotyczą

Zgodnie z art. 15–22 RODO, każda osoba, której dane są przetwarzane przez Plenti, posiada następujące prawa:

• Prawo dostępu (art. 15) – uzyskanie potwierdzenia, czy dane są przetwarzane, wraz z kopią danych i informacjami o warunkach przetwarzania.

• Prawo do sprostowania (art. 16) – żądanie niezwłocznego sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych.

• Prawo do usunięcia (art. 17) – żądanie usunięcia danych, gdy nie są już niezbędne, zgoda została cofnięta lub dane przetwarzane niezgodnie z prawem — z zastrzeżeniem obowiązków prawnych.

• Prawo do ograniczenia przetwarzania (art. 18) – żądanie tymczasowego zawieszenia przetwarzania w przypadkach przewidzianych przez RODO.

• Prawo do przenoszenia danych (art. 20) – otrzymanie danych w formacie CSV lub JSON, lub przesłanie ich do innego administratora. Platforma umożliwia eksport danych Organizacji w formacie CSV.

• Prawo do sprzeciwu (art. 21) – sprzeciw wobec przetwarzania opartego na uzasadnionym interesie Plenti, w tym wobec marketingu bezpośredniego. W przypadku sprzeciwu wobec marketingu Plenti niezwłocznie zaprzestanie przetwarzania.

• Prawo do cofnięcia zgody (art. 7 ust. 3) – cofnięcie zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego wcześniej.

Przypadek szczególny – współpracownicy Klienta lub Partnera: Jeśli jesteś współpracownikiem Klienta lub Partnera Plenti i chcesz skorzystać z przysługujących Ci praw w zakresie danych przetwarzanych przez Plenti jako podmiot przetwarzający, skontaktuj się bezpośrednio ze swoim pracodawcą (Klientem lub Partnerem), który jest administratorem Twoich danych. Plenti rozpatrzy każde żądanie przekazane przez Klienta lub Partnera w ciągu trzydziestu (30) dni.

Jak skorzystać z praw: Drogą e-mailową na adres hello@plenti.app lub listownie na adres Plenti S.A. – Inspektor Ochrony Danych Osobowych – ul. Marszałkowska 107, 00-110 Warszawa. Do żądania należy dołączyć potwierdzenie tożsamości. Plenti zobowiązuje się udzielić odpowiedzi w ciągu jednego (1) miesiąca, z możliwością przedłużenia o kolejne dwa (2) miesiące w przypadku skomplikowanych żądań, o czym osoba składająca żądanie zostanie uprzednio poinformowana.

Artykuł 7 – Pliki Cookies i Podobne Technologie

Platforma enterprise.plenti.app wykorzystuje pliki cookies i podobne technologie (skrypty, piksele, pamięć lokalna). Zgodnie z wytycznymi Prezesa UODO, pliki cookies inne niż niezbędne są umieszczane dopiero po uzyskaniu zgody Użytkownika.

7.1 Pliki cookies niezbędne

Umieszczane bez uprzedniej zgody — niezbędne do działania Platformy:

• Pliki cookies sesji i uwierzytelniania (utrzymanie zalogowania na Platformie)

• Pliki cookies bezpieczeństwa (ochrona CSRF, zapobieganie oszustwom)

• Pliki cookies preferencji interfejsu (język, ustawienia widoku, motyw kolorystyczny)

7.2 Pliki cookies analityczne i wydajnościowe

Umieszczane wyłącznie po uzyskaniu zgody:

• Narzędzia do pomiaru ruchu na Platformie: odwiedzane strony, źródło ruchu, czas spędzony na stronie

• Narzędzia do monitoringu wydajności i diagnostyki błędów

7.3 Pliki cookies funkcjonalne i reklamowe

Umieszczane wyłącznie po uzyskaniu zgody:

• Narzędzia do śledzenia formularzy kontaktowych i kampanii marketingowych

• Piksele reklamowe i narzędzia retargetingu

• Śledzenie konwersji

Pliki cookies reklamowe i piksele mogą być umieszczane przez Plenti lub przez partnerów reklamowych (Artykuł 3.1). Służą do pomiaru skuteczności kampanii, remarketingu i wyświetlania dopasowanych reklam, również w serwisach partnerów. Na tej podstawie Plenti i partnerzy reklamowi mogą dopasowywać wyświetlane reklamy do aktywności Użytkownika; nie wywołuje to wobec Użytkownika skutków prawnych ani w podobny sposób istotnie na niego nie wpływa.

7.4 Zarządzanie zgodami

Użytkownik może zarządzać swoimi preferencjami dotyczącymi plików cookies w dowolnym momencie:

• Za pomocą bannera cookies wyświetlanego przy pierwszej wizycie oraz „Ustawień cookies” dostępnych w stopce strony, w tym w celu wycofania zgody

• Za pomocą ustawień przeglądarki internetowej (Chrome, Firefox, Safari, Edge)

• Za pomocą ustawień urządzenia mobilnego (iOS, Android)

• Kontaktując się z Plenti pod adresem hello@plenti.app

Wycofanie zgody jest równie proste jak jej wyrażenie i nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Ograniczenie stosowania plików cookies może wpłynąć na niektóre funkcjonalności Platformy.

Artykuł 8 – Przetwarzanie Danych – Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

8.1 Plenti jako podmiot przetwarzający

W przypadkach, gdy Plenti przetwarza dane osobowe w imieniu Klienta — w szczególności w związku z zarządzaniem współpracownikami Klienta na Platformie (onboarding, offboarding, przypisanie Sprzętu), obsługą Zgłoszeń serwisowych dotyczących Sprzętu przypisanego do współpracowników, ewidencją aktywów sprzętowych powiązanych z współpracownikami oraz prowadzeniem logów audytu dotyczących działań współpracowników, wsparciem świadczonym przez Plenti przy wdrożeniu Platformy, w tym wprowadzaniem (importem) danych współpracowników do Platformy na podstawie materiałów przekazanych przez Klienta, także poza Platformą (np. drogą elektroniczną), oraz bieżącym korzystaniem przez Użytkowników Klienta z funkcjonalności Platformy — Plenti działa jako podmiot przetwarzający (procesor) w rozumieniu art. 28 RODO.

8.2 Obowiązki Administratora (Klienta)

Klient, jako administrator danych osobowych swoich współpracowników, jest zobowiązany zapewnić Plenti:

• Udokumentowane polecenia dotyczące przetwarzania wykonywanego przez Plenti

• Określenie kategorii przetwarzanych danych i osób, których dane dotyczą

• Informacje o wymaganiach dotyczących bezpieczeństwa, poufności i zgłaszania naruszeń ochrony danych

• Współpracę w zakresie realizacji praw osób, których dane dotyczą

• Warunki usunięcia lub zwrotu danych po zakończeniu świadczenia usługi

• Ogólną autoryzację dla Plenti do korzystania z podwykonawców przetwarzania (art. 28 ust. 2 RODO). Plenti poinformuje Klienta o każdym dodaniu lub zastąpieniu podwykonawcy, umożliwiając mu skorzystanie z prawa sprzeciwu

8.3 Zobowiązania Plenti jako podmiotu przetwarzającego

Plenti, działając jako podmiot przetwarzający, zobowiązuje się w szczególności do:

• Przetwarzania danych osobowych wyłącznie na udokumentowane polecenie Klienta

• Zapewnienia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności

• Wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania

• Przestrzegania warunków korzystania z dalszych podmiotów przetwarzających

• Udzielania Klientowi pomocy w realizacji praw osób, których dane dotyczą

• Udostępniania Klientowi informacji niezbędnych do wykazania zgodności z art. 28 RODO oraz umożliwienia przeprowadzenia audytów

• Zawiadomienia Klienta o każdym naruszeniu ochrony danych osobowych w ciągu 24 godzin od jego wykrycia

• Po zakończeniu Umowy — usunięcia lub zwrotu danych osobowych oraz usunięcia wszelkich kopii, zgodnie z decyzją Klienta, chyba że przepisy prawa wymagają dalszego przechowywania

8.4 Akceptacja Polityki i zawarcie Umowy Powierzenia

Akceptując Regulamin Plenti Enterprise, Klient akceptuje niniejszą Politykę oraz zawiera z Plenti umowę powierzenia przetwarzania danych osobowych w rozumieniu art. 28 RODO, na którą składają się postanowienia niniejszego Artykułu 8 oraz Załącznika nr 1 do niniejszej Polityki („Umowa Powierzenia Przetwarzania Danych Osobowych”), obowiązującą od dnia rejestracji Organizacji na Platformie. Klient i Plenti mogą, zamiast lub obok powyższego, zawrzeć odrębną, indywidualnie uzgodnioną i podpisaną Umowę Powierzenia Przetwarzania Danych Osobowych (DPA) — w takim przypadku jej postanowienia mają pierwszeństwo przed postanowieniami niniejszego Artykułu 8 i Załącznika nr 1 w zakresie zasad przetwarzania powierzonych danych osobowych. Wzór takiej odrębnej Umowy Powierzenia jest dostępny na żądanie pod adresem hello@plenti.app.

Artykuł 9 – Polityka Retencji i Usuwania Danych

9.1 Cykl życia danych

Dane aktywne: przechowywane w aktywnej bazie danych przez czas trwania usługi

Dane zarchiwizowane: przenoszone do bezpiecznej pamięci z ograniczonym dostępem i logowaniem dostępu, w celu realizacji obowiązków prawnych dotyczących przechowywania

Dane wygasłe: usuwane lub nieodwracalnie anonimizowane po upływie obowiązującego okresu przechowywania

9.2 Usuwanie na żądanie

Po otrzymaniu żądania usunięcia od osoby, której dane dotyczą, Klienta lub Partnera (w ramach DPA), Plenti przystępuje do usunięcia lub anonimizacji danych w ciągu trzydziestu (30) dni, z zastrzeżeniem obowiązków prawnych dotyczących przechowywania. Plenti zapewnia, że podwykonawcy przetwarzania dokonują analogicznych usunięć, zgodnie z zawartymi umowami powierzenia.

9.3 Dane po rozwiązaniu Umowy

Po rozwiązaniu Umowy o korzystanie z Platformy dane Organizacji są przechowywane i przetwarzane przez Plenti na podstawie udzielonych zgód oraz w celu realizacji obowiązków wynikających z przepisów prawa (w tym przepisów księgowo-podatkowych), a także w celach dochodzenia roszczeń — w okresach i na zasadach określonych w Artykule 4. Usunięcie danych Klienta w jakimkolwiek trybie pozostaje bez uszczerbku dla możliwości przechowywania danych przez Plenti w innych celach przewidzianych w niniejszej Polityce.

Artykuł 10 – Ocena Skutków dla Ochrony Danych (DPIA)

Plenti przeprowadza oceny skutków dla ochrony danych (DPIA) w odniesieniu do operacji przetwarzania, które mogą stwarzać wysokie ryzyko naruszenia praw i wolności osób, których dane dotyczą, zgodnie z art. 35 RODO.

Operacje przetwarzania podlegające DPIA obejmują w szczególności:

• Przetwarzanie danych współpracowników Klientów na dużą skalę (zarządzanie flotą sprzętu IT)

• Synchronizacja danych z systemami HR Klientów (jeśli dotyczy)

• Monitorowanie Sprzętu za pośrednictwem rozwiązań MDM (Mobile Device Management)

• Każde nowe przetwarzanie obejmujące systematyczne monitorowanie lub dane szczególnie chronione

Artykuł 11 – Kontakt i Skargi

11.1 Kontakt z Plenti

Plenti S.A. – Inspektor Ochrony Danych Osobowych

E-mail: hello@plenti.app

Adres: ul. Marszałkowska 107, 00-110 Warszawa

Telefon: 732 123 345

11.2 Organ nadzorczy

Jeśli odpowiedź Plenti jest niezadowalająca lub nie zostanie udzielona w terminie, przysługuje Ci prawo wniesienia skargi do właściwego organu nadzorczego:

Prezes Urzędu Ochrony Danych Osobowych (PUODO)

Adres: ul. Stawki 2, 00-193 Warszawa

Telefon: 22 531 03 00

E-mail: kancelaria@uodo.gov.pl

Strona: <u>https://uodo.gov.pl/</u>

11.3 Skargi transgraniczne

W przypadku Klientów mających siedzibę w innych państwach członkowskich UE, PUODO jest wiodącym organem nadzorczym Plenti. Możesz również skontaktować się z organem ochrony danych w swoim kraju zamieszkania lub siedziby.

Artykuł 12 – Aktualizacje Polityki

Plenti zastrzega sobie prawo do modyfikacji niniejszej Polityki Ochrony Danych Osobowych w dowolnym momencie, w szczególności w przypadku zmian dotyczących wykonywanych operacji przetwarzania lub podwykonawców przetwarzania, nowych obowiązków prawnych lub regulacyjnych, bądź uruchomienia nowych usług lub funkcjonalności Platformy.

W przypadku istotnej zmiany Plenti powiadomi Klientów za pośrednictwem powiadomienia na Platformie lub drogą e-mailową, w rozsądnym terminie przed wejściem w życie nowych postanowień (nie krótszym niż 14 dni).

Aktualna wersja niniejszej Polityki jest stale dostępna pod adresem: enterprise.plenti.app/polityka-prywatnosci

Zmiany niniejszej Polityki obowiązują wyłącznie od daty ich wejścia w życie i nie mają mocy wstecznej. Niniejsza Polityka jest spójna z Regulaminem Plenti Enterprise dostępnym pod adresem enterprise.plenti.app/regulamin. W przypadku konfliktu, Regulamin ma pierwszeństwo w zakresie aspektów umownych, a niniejsza Polityka ma pierwszeństwo w zakresie ochrony danych osobowych.

Dziękujemy za uważną lekturę!

W razie pytań jesteśmy zawsze do Państwa dyspozycji.

Zapraszamy do korzystania z naszych usług, Plenti

Załącznik nr 1 do Polityki prywatności Plenti Enterprise

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

(„Umowa powierzenia”)

Niniejsza Umowa powierzenia zostaje zawarta pomiędzy:

Klientem — administratorem danych osobowych swoich współpracowników i innych osób działających w jego imieniu, w rozumieniu RODO („Administrator”),

oraz

Plenti S.A. z siedzibą w Warszawie (00-110), ul. Marszałkowska 107, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy, pod numerem KRS 0000985653, NIP 7010891435, REGON 381758718 („Procesor”),

zwanymi dalej łącznie „Stronami”, a każde z osobna „Stroną”.

Umowa powierzenia zostaje zawarta automatycznie z chwilą rejestracji Organizacji Klienta na Platformie Plenti Enterprise i akceptacji Regulaminu oraz niniejszej Polityki prywatności, chyba że Strony postanowią zawrzeć odrębną, indywidualnie uzgodnioną Umowę Powierzenia Przetwarzania Danych Osobowych — w takim przypadku jej postanowienia mają pierwszeństwo przed poniższymi.

1. Przedmiot Umowy

1.1. Umowa powierzenia zostaje zawarta w związku z Umową o korzystanie z Platformy Plenti Enterprise zawartą między Stronami na podstawie Regulaminu Plenti Enterprise („Umowa główna”) i w celu jej wykonania, co wiąże się z koniecznością przetwarzania przez Procesora danych osobowych, których administratorem jest Administrator.

1.2. Przetwarzanie danych osobowych w związku z wykonywaniem Umowy głównej podlega przepisom Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE („RODO”).

1.3. Na podstawie Umowy powierzenia Administrator powierza Procesorowi do przetwarzania dane osobowe w zakresie określonym w Załączniku A do niniejszej Umowy powierzenia („Dane osobowe”).

1.4. Zmiana zakresu powierzenia przetwarzania nie wymaga aneksu, a jedynie zgody obu Stron wyrażonej w formie pisemnej lub elektronicznej (w tym e-mailowej) przez osoby uprawnione do składania oświadczeń w imieniu Stron.

1.5. Procesor przetwarza Dane osobowe wyłącznie w celu realizacji Umowy głównej i w zakresie niezbędnym do jej wykonania oraz jedynie w czasie jej obowiązywania.

1.6. Procesor zobowiązany jest przetwarzać Dane osobowe zgodnie z RODO, innymi obowiązującymi przepisami prawa oraz niniejszą Umową powierzenia.

1.7. Procesor oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel umożliwiające należyte wykonanie niniejszej Umowy powierzenia, zgodnie z obowiązującymi przepisami prawa.

2. Obowiązki Stron

Procesor zobowiązany jest do:

• stosowania wszelkich środków technicznych i organizacyjnych zabezpieczających Dane osobowe, na zasadach określonych w art. 32 RODO, w tym środków wskazanych w Artykule 5 niniejszej Polityki;

• pomagania Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO;

• przetwarzania Danych osobowych wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek taki nakłada na Procesora obowiązujące prawo krajowe lub unijne — w takim przypadku przed rozpoczęciem przetwarzania Procesor informuje Administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; za udokumentowane polecenie uważa się w szczególności Umowę główną, Regulamin, niniejszą Umowę powierzenia oraz instrukcje dotyczące przetwarzania Danych osobowych przekazywane Procesorowi w trakcie wykonywania Umowy głównej, w tym w związku ze wsparciem świadczonym przez Procesora przy wdrożeniu Platformy i importem Danych osobowych na podstawie materiałów przekazanych przez Administratora;

• pomagania Administratorowi poprzez odpowiednie środki techniczne i organizacyjne w wywiązywaniu się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III RODO;

• zapewnienia, by osoby upoważnione do przetwarzania Danych osobowych zobowiązywały się do zachowania tajemnicy, chyba że będą to osoby zobowiązane do zachowania tajemnicy na podstawie ustawy;

• prowadzenia rejestru wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora;

• w razie stwierdzenia naruszenia ochrony Danych osobowych — zawiadomienia Administratora o takim naruszeniu niezwłocznie, lecz nie później niż w ciągu 24 godzin od jego wykrycia;

• po zakończeniu Umowy głównej, zależnie od decyzji Administratora — usunięcia lub zwrotu Danych osobowych oraz usunięcia ich wszelkich kopii, chyba że przepisy prawa bezwzględnie obowiązującego przewidują inaczej, i złożenia względem Administratora oświadczenia potwierdzającego wykonanie powyższego zobowiązania, na każde jego wezwanie.

3. Dalsze powierzenie (podprocesorzy)

3.1. Procesor jest uprawniony do dalszego powierzenia przetwarzania Danych osobowych dalszym podmiotom przetwarzającym (podwykonawcom).

3.2. Procesor zapewnia, że będzie korzystał wyłącznie z usług takich dalszych podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, tak by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Procesor zobowiązany jest zapewnić, by na dalsze podmioty przetwarzające zostały nałożone co najmniej takie same obowiązki, jakie nałożono na Procesora w niniejszej Umowie powierzenia. Procesor zapewni, by dalsze podmioty przetwarzające usunęły lub zwróciły Dane osobowe, zależnie od decyzji Administratora, w każdym wypadku rozwiązania Umowy głównej.

3.3. Procesor odpowiada za działania i zaniechania dalszych podmiotów przetwarzających jak za własne działania i zaniechania.

3.4. Procesor udostępni Administratorowi informacje niezbędne do wykazania zgodności z obowiązkami wynikającymi z niniejszej Umowy powierzenia. Procesor umożliwi Administratorowi przeprowadzenie audytów, w tym inspekcji, w zakresie dotyczącym powierzenia przetwarzania Danych osobowych, i zapewni w tym zakresie współpracę. Koszty audytu ponosi każda ze Stron we własnym zakresie.

4. Transfer danych poza EOG

Procesor nie będzie przekazywał Danych osobowych do państw trzecich (tj. poza terytorium Europejskiego Obszaru Gospodarczego), chyba że uzyska w tym zakresie odrębną, uprzednią zgodę Administratora wyrażoną w formie pisemnej lub elektronicznej, a taki transfer będzie się odbywać zgodnie z właściwymi przepisami RODO (w szczególności na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub decyzji o adekwatności).

5. Odpowiedzialność

Procesor ponosi odpowiedzialność wobec Administratora z tytułu naruszenia niniejszej Umowy powierzenia na zasadach określonych w Regulaminie Plenti Enterprise, w szczególności w zakresie ograniczeń i wyłączeń odpowiedzialności tam wskazanych, z zastrzeżeniem bezwzględnie obowiązujących przepisów prawa.

6. Czas trwania i rozwiązanie

6.1. Niniejsza Umowa powierzenia zawarta jest na czas obowiązywania Umowy głównej i wygasa z chwilą jej rozwiązania.

6.2. Administrator może wypowiedzieć niniejszą Umowę powierzenia ze skutkiem natychmiastowym w przypadku rażącego lub powtarzającego się naruszania przez Procesora niniejszej Umowy powierzenia, RODO lub innych obowiązujących przepisów o ochronie danych osobowych. Wypowiedzenie niniejszej Umowy powierzenia stanowi jednocześnie podstawę wypowiedzenia Umowy głównej.

7. Postanowienia końcowe

7.1. Wszelkie pojęcia pisane wielką literą, a niezdefiniowane w niniejszej Umowie powierzenia, mają znaczenie nadane im w Regulaminie Plenti Enterprise lub niniejszej Polityce prywatności.

7.2. W zakresie nieuregulowanym niniejszą Umową powierzenia zastosowanie mają odpowiednio postanowienia Regulaminu Plenti Enterprise, w tym dotyczące prawa właściwego i sądu właściwego dla rozstrzygania sporów.

7.3. Załącznik A stanowi integralną część niniejszej Umowy powierzenia.

Załącznik A — Zakres powierzenia danych osobowych

1. Charakter oraz cele przetwarzania: świadczenie przez Procesora Usługi na rzecz Administratora w ramach Platformy Plenti Enterprise w modelu DaaS (Device as a Service), obejmujące w szczególności: ewidencję Sprzętu i przypisywanie go współpracownikom, zarządzanie współpracownikami Administratora na Platformie (onboarding, offboarding, przydzielanie ról), obsługę Zgłoszeń serwisowych i usługowych dotyczących Sprzętu przypisanego współpracownikom; prowadzenie logów audytu działań współpracowników na Platformie; wsparcie przy wdrożeniu Platformy, w tym wprowadzanie (import) danych współpracowników na podstawie materiałów przekazanych przez Administratora, także poza Platformą; oraz bieżące korzystanie przez współpracowników Administratora z funkcjonalności Platformy (w tym powiadomienia, komunikacja w module service desk). Przetwarzanie nie obejmuje zautomatyzowanego podejmowania decyzji ani profilowania w rozumieniu art. 22 RODO.

2. Kategorie osób, których dane dotyczą: współpracownicy Administratora oraz inne osoby działające w jego imieniu (np. pełnomocnicy) korzystające z Platformy lub którym przypisany jest Sprzęt zarządzany za pośrednictwem Platformy.

3. Rodzaj danych osobowych: dane zwykłe, w szczególności: imię i nazwisko, służbowy adres e-mail, służbowy numer telefonu; stanowisko, dział/zespół, rola na Platformie; dane onboardingowe i offboardingowe; informacje o Sprzęcie przypisanym do współpracownika (nazwa, model, numer seryjny, status) oraz historia przypisań; treść Zgłoszeń serwisowych powiązanych z współpracownikiem i załączniki do nich; dane logowania do Platformy (w zakresie, w jakim dotyczą danego współpracownika); wpisy w logach audytu dotyczące działań współpracownika (data, typ akcji, adres IP). Procesor nie przetwarza w tym zakresie szczególnych kategorii danych osobowych w rozumieniu art. 9 RODO.

4. Dane kontaktowe Stron: dane kontaktowe Administratora — zgodnie z danymi podanymi przy rejestracji Organizacji na Platformie (osoba kontaktowa: Administrator Organizacji). Dane kontaktowe Procesora — Plenti S.A., e-mail: hello@plenti.app, adres: ul. Marszałkowska 107, 00-110 Warszawa.