Umowa powierzenia przetwarzania danych osobowych (DPA)

Wersja 2.0 · Obowiązuje od 18 września 2026 r

Strony, zawarcie umowy i definicje
1. Niniejsza Umowa powierzenia przetwarzania danych osobowych („DPA”) zostaje zawarta pomiędzy IT-Dev spółką z ograniczoną odpowiedzialnością, ul. gen. Władysława Sikorskiego 26, 53-659 Wrocław, Polska, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego (KRS) pod numerem 0000252663, prowadzonego przez Sąd Rejonowy dla Wrocławia-Fabrycznej we Wrocławiu, VI Wydział Gospodarczy Krajowego Rejestru Sądowego, NIP 8971713178, REGON 020240415, kapitał zakładowy 60 000 zł, działającą pod marką Engagy360 („Engagy”), a Klientem.
2. „Klient” oznacza podmiot, który zamawia Usługi u Engagy na podstawie Zamówienia, a w przypadku nabycia Usług za pośrednictwem Odsprzedawcy – podmiot wskazany w Zamówieniu jako klient końcowy korzystający z Usług.
3. Niniejsza DPA stanowi część Warunków korzystania z usług Engagy360, opublikowanych pod adresem https://engagy360.com/pl/warunki-korzystania-z-uslug, oraz właściwego Zamówienia (łącznie „Umowa”). Zostaje zawarta w formie elektronicznej z chwilą zawarcia Umowy, w wersji obowiązującej w dniu złożenia Zamówienia, i nie wymaga odrębnego podpisu.
4. Osoba składająca Zamówienie w imieniu Klienta oświadcza, że jest umocowana do zawarcia niniejszej DPA w imieniu Klienta.
5. Klient zawiera niniejszą DPA we własnym imieniu oraz w imieniu swoich Podmiotów Powiązanych uprawnionych do korzystania z Usług na podstawie Umowy. Klient jest jedynym podmiotem kontaktowym dla Engagy i wykonuje wszelkie prawa wynikające z niniejszej DPA w imieniu tych Podmiotów Powiązanych.
6. Klient działa jako administrator, a Engagy jako podmiot przetwarzający Dane Osobowe. Jeżeli Klient działa jako podmiot przetwarzający w imieniu administratora będącego osobą trzecią, Engagy działa jako podprocesor (dalszy podmiot przetwarzający), a Klient zapewnia, że uzyskał od tego administratora wszelkie upoważnienia wymagane do wydawania poleceń na podstawie niniejszej DPA oraz do powierzenia przetwarzania Engagy i jej Podprocesorom.
7. Niniejsza DPA nie obejmuje służbowych danych kontaktowych i danych konta przedstawicieli Klienta (osoby składającej Zamówienie, osoby kontaktowej ds. licencji, Kontaktu ds. Ochrony Danych oraz osób korespondujących z Engagy w sprawach handlowych lub dotyczących wsparcia). Engagy przetwarza te dane jako administrator, we własnych celach związanych z zawarciem i wykonaniem Umowy, fakturowaniem, rachunkowością i komunikacją dotyczącą usług, na podstawie swoich prawnie uzasadnionych interesów i ciążących na niej obowiązków prawnych, oraz przechowuje je przez okres obowiązywania Umowy, a także przez okres wymagany przepisami prawa podatkowego i wynikający z terminów przedawnienia roszczeń. Engagy informuje te osoby odrębnie, zgodnie z art. 13 RODO, pod adresem https://engagy360.com/pl/polityka-prywatnosci.
8. Na żądanie Klienta Engagy przedstawi niniejszą DPA do podpisu w tym samym brzmieniu. Wszelkie odmienne postanowienia wiążą strony wyłącznie wtedy, gdy zostały uzgodnione w odrębnym dokumencie podpisanym przez obie strony.
9. Terminy użyte w niniejszej DPA mają znaczenie nadane im w rozporządzeniu (UE) 2016/679 („RODO”); terminy pisane wielką literą, które nie zostały zdefiniowane w niniejszej DPA, mają znaczenie nadane im w Warunkach korzystania z usług. Ponadto:
  1. Usługi – platforma Engagy360 udostępniana na podstawie Umowy („Produkt” w rozumieniu Warunków korzystania z usług), w tym Cloud Control Panel, aplikacja kliencka SharePoint (SPFx), aplikacja Microsoft Teams, Funkcje AI oraz Aplikacja.
  2. Aplikacja – aplikacja mobilna EngagyApp wraz z jej panelem administracyjnym i powiązanymi usługami po stronie serwera.
  3. Funkcje AI – funkcje Usług opisane w pkt 4.
  4. Tenant Klienta – środowisko Microsoft 365 Klienta (w tym SharePoint Online, Microsoft Teams i Microsoft Entra ID).
  5. Partycja Danych Klienta – dane Klienta przechowywane w infrastrukturze Engagy, obejmujące dedykowane konto Azure Storage Klienta, rekordy Klienta w centralnej bazie danych Engagy oraz magazyn danych Aplikacji.
  6. Użytkownicy – osoby korzystające z Usług w ramach Tenanta Klienta, w tym administratorzy, właściciele portali i współtwórcy treści, właściciele i redaktorzy witryn oraz pracownicy Klienta.
  7. Pracownicy – osoby, dla których Klient utworzył konto w Aplikacji.
  8. Kontakt ds. Ochrony Danych – adres e-mail wskazany przez Klienta w Zamówieniu lub w ustawieniach konta, a w przypadku jego braku – adres e-mail osoby, która złożyła Zamówienie.
  9. Podprocesor – każda osoba trzecia, w tym każdy Podmiot Powiązany Engagy, której Engagy powierza przetwarzanie Danych Osobowych w imieniu Klienta (dalszy podmiot przetwarzający). Osoby zaangażowane przez Engagy na podstawie umów o pracę lub umów o świadczenie usług, które działają w ramach organizacji i systemów Engagy, zgodnie z jej poleceniami i są zobowiązane do zachowania poufności, są osobami upoważnionymi do przetwarzania Danych Osobowych w rozumieniu art. 29 RODO i nie są Podprocesorami.
  10. Lista Podprocesorów – aktualna lista Podprocesorów opublikowana pod adresem https://engagy360.com/pl/podprocesorzy.
  11. Naruszenie Ochrony Danych Osobowych – naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO dotyczące Danych Osobowych przetwarzanych na podstawie niniejszej DPA.
Przedmiot, cel i czas trwania przetwarzania
1. Klient powierza Engagy przetwarzanie Danych Osobowych Użytkowników i Pracowników w zakresie i w celach opisanych w Załączniku 1.
2. Engagy przetwarza Dane Osobowe wyłącznie w celu świadczenia Usług, w szczególności w celu: projektowania, wdrażania i utrzymywania portali intranetowych w Tenancie Klienta; zarządzania treściami, rolami i ładem portalu (w tym przeglądami dostępu i audytami konfiguracji); obsługi zgłoszeń Użytkowników i zadań redakcyjnych; wysyłania powiadomień i zarządzania subskrypcjami; udostępniania Funkcji AI; przechowywania treści przekazywanych przez Klienta, dostarczania ich Pracownikom w Aplikacji i rejestrowania potwierdzeń zapoznania się z dokumentami obowiązkowymi; a także świadczenia wsparcia technicznego, w tym przetwarzania Danych Wsparcia Technicznego.
3. Engagy nie przetwarza Danych Osobowych do własnych celów, nie sprzedaje ich ani nie wykorzystuje ich do celów reklamowych lub marketingowych. Dane Osobowe i Dane Klienta nie stanowią Informacji Zwrotnych w rozumieniu Warunków korzystania z usług.
4. Przetwarzanie trwa przez okres obowiązywania Umowy, a po jej zakończeniu – do czasu usunięcia lub zwrotu Danych Osobowych zgodnie z pkt 9.
5. W Aplikacji, po dezaktywacji konta, dane Pracownika są przechowywane przez 12 miesięcy, a następnie automatycznie usuwane. Klient może ustawić inny okres w ustawieniach Aplikacji i odpowiada za dostosowanie go do swoich obowiązków prawnych, w tym obowiązków dotyczących dokumentacji szkoleń z zakresu bezpieczeństwa i higieny pracy.
6. Klient może objąć konto w Aplikacji blokadą prawną (legal hold), na przykład w związku z roszczeniem prawnym lub postępowaniem wyjaśniającym. Dopóki blokada obowiązuje, dane nie są usuwane, nawet po upływie okresu, o którym mowa w pkt 2.5.
7. Aplikacja jest przeznaczona wyłącznie dla osób pełnoletnich. Klient będzie tworzył konta w Aplikacji wyłącznie dla Pracowników, którzy ukończyli 18 lat, i odpowiada za przestrzeganie tego ograniczenia.
8. Pozostałe Dane Osobowe przechowywane w Partycji Danych Klienta, w tym zgłoszenia Użytkowników i historia operacji, są przechowywane przez okres obowiązywania Umowy, chyba że Klient usunie je wcześniej, a następnie są usuwane zgodnie z pkt 9.8.
Tenant Klienta i narzędzia podmiotów trzecich
1. Engagy uzyskuje dostęp do Tenanta Klienta wyłącznie w granicach uprawnień przyznanych przez administratora Klienta (zgoda administratora na aplikacje Engagy360) i wyłącznie w celu świadczenia Usług.
2. Poza Aplikacją Dane Osobowe Użytkowników, które Engagy przechowuje w Partycji Danych Klienta, ograniczają się do identyfikatorów obiektów Microsoft Entra ID wraz z nieustrukturyzowanymi treściami wprowadzanymi przez Użytkowników lub generowanymi dla Klienta, wymienionymi w Załączniku 1, część A. Dane profilowe i katalogowe (w tym imię i nazwisko, adres e-mail, stanowisko, dział, zdjęcie, członkostwo w grupach i uprawnienia do witryn) są w razie potrzeby pobierane z Tenanta Klienta za pośrednictwem Microsoft Graph i nie są trwale zapisywane; istnieją wyłącznie w pamięci operacyjnej serwera, nie dłużej niż 5 minut, oraz w pamięci podręcznej przeglądarki na urządzeniu Użytkownika.
3. Dane przechowywane w Tenancie Klienta (w tym witryny, treści, dokumenty, komentarze i katalog użytkowników) pozostają w Tenancie Klienta. Microsoft świadczy usługi Microsoft 365 na podstawie umowy zawartej z Klientem i w tym zakresie nie jest Podprocesorem Engagy. Wyjątek stanowią treści publikowane przez Klienta w Aplikacji: artykuły i pliki, w tym pliki pobrane z SharePoint, są kopiowane do Partycji Danych Klienta, aby Aplikacja mogła wyświetlać je Pracownikom. Oryginały pozostają w Tenancie Klienta, a kopie są aktualizowane lub usuwane wyłącznie za pośrednictwem panelu administracyjnego Aplikacji; usunięcie lub zmiana oryginału w Tenancie Klienta nie wpływa na kopię.
4. Google Analytics i Microsoft Clarity są własnymi narzędziami Klienta. Engagy przechowuje wyłącznie identyfikatory śledzenia przekazane przez Klienta i nie otrzymuje danych zbieranych przez te narzędzia. Klient odpowiada za podstawę prawną, zgody na pliki cookie oraz umowy z dostawcami tych narzędzi.
5. Klient może w każdej chwili cofnąć uprawnienia Engagy, usuwając zgodę administratora oraz aplikacje Engagy360 z Tenanta Klienta – w takim przypadku Usługi przestaną działać.
Funkcje AI
1. Funkcje AI (w tym generowanie projektu architektury informacji, początkowej zawartości portalu i sugerowanej treści powiadomień) przetwarzają dane przekazane przez Klienta: informacje o firmie, przesłane dokumenty źródłowe, adres strony internetowej Klienta oraz treść artykułów.
2. Funkcje AI korzystają z usługi Microsoft Azure OpenAI Service w regionie Sweden Central (wdrożenie regionalne). Microsoft nie wykorzystuje tych danych do trenowania modeli OpenAI ani Azure OpenAI i nie udostępnia ich innym usługom. Zapytania (prompty) i wygenerowane odpowiedzi są przechowywane przez Microsoft przez okres do 30 dni w celu monitorowania nadużyć, aby zapobiegać niewłaściwemu wykorzystaniu i generowaniu szkodliwych treści.
3. Dokumenty źródłowe przesłane w kreatorze tworzenia portalu są przechowywane wyłącznie do czasu utworzenia portalu lub usunięcia projektu portalu, a następnie są usuwane. Wygenerowane na ich podstawie wyniki (architektura informacji, początkowe teksty artykułów oraz nazwy i podstawowe definicje społeczności Viva Engage, które mają zostać utworzone) są przechowywane jako treści Klienta i mogą zawierać Dane Osobowe; zastosowanie ma do nich pkt 2.8.
4. Klient nie powinien przekazywać do Funkcji AI szczególnych kategorii danych osobowych (art. 9 RODO) ani żadnych Danych Osobowych, które nie są potrzebne do wykonania zadania. Wyniki działania Funkcji AI stanowią sugestie, które Klient weryfikuje przed publikacją.
Obowiązki Engagy
Engagy zobowiązuje się:
1. Przetwarzać Dane Osobowe wyłącznie na udokumentowane polecenie Klienta. Poleceniami Klienta są niniejsza DPA, Umowa oraz konfiguracja Usług dokonana przez Klienta; Klient może wydawać dodatkowe polecenia na piśmie lub e-mailem. Jeżeli prawo Unii lub prawo państwa członkowskiego wymaga innego przetwarzania, Engagy poinformuje o tym Klienta przed rozpoczęciem przetwarzania, chyba że prawo to tego zabrania.
2. Niezwłocznie informować Klienta, jeżeli jej zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych.
3. Zapewnić, aby osoby upoważnione do przetwarzania Danych Osobowych zobowiązały się do zachowania poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania poufności.
4. Wdrożyć środki techniczne i organizacyjne opisane w Załączniku 2, odpowiednie do ryzyka (art. 32 RODO). Engagy może aktualizować te środki, pod warunkiem że ogólny poziom ochrony nie ulegnie obniżeniu.
5. Uzyskiwać dostęp do Tenanta Klienta w celu realizacji prac wdrożeniowych (w tym pakietów Tailor-Made i portali opartych na szablonach) oraz wsparcia technicznego wyłącznie na żądanie Klienta i w uzgodnionym zakresie.
6. Prowadzić rejestr czynności przetwarzania zgodnie z art. 30 ust. 2 RODO i udostępniać go Klientowi na żądanie.
7. Wyznaczyć osobę kontaktową w sprawach ochrony danych: Grzegorz Łuszczyński, gluszczynski@it-dev.pl.
Podprocesorzy
1. Klient udziela Engagy ogólnej zgody na korzystanie z usług Podprocesorów wskazanych na Liście Podprocesorów. Lista według stanu na dzień publikacji niniejszej wersji DPA stanowi Załącznik 3. Podmioty Powiązane Engagy mogą przetwarzać Dane Osobowe wyłącznie wtedy, gdy zostały wskazane jako Podprocesorzy.
2. Engagy zawiadomi o każdym zamierzonym dodaniu lub zastąpieniu Podprocesora z co najmniej 30-dniowym uprzedzeniem, aktualizując Listę Podprocesorów i wysyłając zawiadomienie e-mailem na adres Kontaktu ds. Ochrony Danych. Klient odpowiada za aktualność tego adresu.
3. W okresie uprzedzenia Klient może zgłosić sprzeciw z uzasadnionych przyczyn związanych z ochroną danych, wskazując te przyczyny na piśmie. Przyczyny nie są uzasadnione, jeżeli nowy Podprocesor wykonuje te same czynności przetwarzania w odniesieniu do tych samych kategorii Danych Osobowych, w lokalizacji zapewniającej równoważny poziom ochrony i na podstawie równoważnego mechanizmu przekazywania, a jego środki techniczne i organizacyjne zapewniają co najmniej taki sam poziom ochrony. Engagy dołoży wówczas w dobrej wierze starań, aby znaleźć rozwiązanie, które może polegać na dalszym korzystaniu przez Klienta z dotychczasowego Podprocesora lub na zaoferowaniu alternatywnej konfiguracji. Jeżeli rozwiązanie nie zostanie znalezione, Klient może rozwiązać Umowę w zakresie Usług objętych zmianą ze skutkiem na dzień zmiany, bez ponoszenia jakichkolwiek kar i niezależnie od postanowień Warunków korzystania z usług wyłączających zwrot opłat, a Engagy przyzna Klientowi kredyt w wysokości opłat uiszczonych z góry za niewykorzystany okres, do wykorzystania na poczet przyszłych opłat za Usługi. Jeżeli zmiana powoduje przeniesienie przetwarzania Danych Osobowych poza Europejski Obszar Gospodarczy lub opiera się na mechanizmie przekazywania zapewniającym niższy poziom ochrony, Klient może zamiast tego zażądać proporcjonalnego zwrotu tych opłat w formie pieniężnej, płatnego w terminie 30 dni od rozwiązania Umowy.
4. Jeżeli Klient nie zgłosi sprzeciwu w okresie uprzedzenia, zmianę uważa się za zaakceptowaną.
5. Jeżeli zastąpienie jest pilnie konieczne dla zapewnienia ciągłości lub bezpieczeństwa Usług, Engagy może niezwłocznie zastąpić Podprocesora i zawiadomi o tym Klienta najpóźniej w dniu zmiany; pkt 6.3 stosuje się odpowiednio.
Pomoc: prawa osób, których dane dotyczą, ocena skutków dla ochrony danych i Naruszenia Ochrony Danych Osobowych
Prawa osób, których dane dotyczą
1. Engagy pomaga Klientowi w odpowiadaniu na żądania osób, których dane dotyczą (art. 15–22 RODO). W Aplikacji panel administracyjny udostępnia funkcje edycji danych, dezaktywacji kont, stosowania blokady prawnej, anonimizacji i eksportu. W pozostałych Usługach dane Użytkowników pochodzą z Tenanta Klienta i są obsługiwane przez Klienta w Microsoft 365; na żądanie Engagy zlokalizuje i usunie identyfikatory i zgłoszenia danego Użytkownika w Partycji Danych Klienta.
2. Engagy przekaże każde żądanie otrzymane bezpośrednio od osoby, której dane dotyczą, na adres Kontaktu ds. Ochrony Danych w terminie 5 dni roboczych i nie udzieli na nie merytorycznej odpowiedzi bez polecenia Klienta.
Ocena skutków dla ochrony danych i uprzednie konsultacje
1. Engagy przekaże Klientowi informacje w uzasadniony sposób niezbędne do przeprowadzenia oceny skutków dla ochrony danych (art. 35 RODO) oraz uprzednich konsultacji z organem nadzorczym (art. 36 RODO). Informacje te obejmują opis przetwarzania zawarty w Załączniku 1, środki techniczne i organizacyjne określone w Załączniku 2, listę Podprocesorów oraz odpowiedzi na pytania Klienta dotyczące Usług.
Naruszenia Ochrony Danych Osobowych
1. Engagy zgłosi Klientowi Naruszenie Ochrony Danych Osobowych bez zbędnej zwłoki, a w każdym razie w terminie 48 godzin od jego stwierdzenia, e-mailem na adres Kontaktu ds. Ochrony Danych.
2. Zgłoszenie będzie zawierać co najmniej: opis naruszenia; kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz rekordów, których dotyczy naruszenie; prawdopodobne konsekwencje; zastosowane lub proponowane środki; a także dane kontaktowe osoby kontaktowej Engagy w sprawach ochrony danych. Informacje niedostępne w chwili zgłoszenia będą przekazywane etapami.
3. Engagy dokumentuje każde Naruszenie Ochrony Danych Osobowych i pomaga Klientowi w zgłaszaniu naruszeń organowi nadzorczemu oraz w zawiadamianiu osób, których dane dotyczą (art. 33–34 RODO). Engagy nie dokona zgłoszenia organowi ani zawiadomienia osób, których dane dotyczą, w imieniu Klienta bez jego polecenia, chyba że wymagają tego przepisy prawa.
4. Zgłoszenie Naruszenia Ochrony Danych Osobowych nie stanowi przyznania się przez Engagy do winy ani uznania odpowiedzialności.
Przekazywanie danych do państw trzecich
1. Dane Osobowe są przechowywane i przetwarzane w centrach danych na terenie Unii Europejskiej, w tym w Szwecji w przypadku przetwarzania przez Funkcje AI.
2. Engagy sama nie przekazuje Danych Osobowych poza Europejski Obszar Gospodarczy, z jednym wyjątkiem: przekazania numeru telefonu Pracownika do Twilio Inc. w celu wysłania kodu aktywacyjnego SMS – i to wyłącznie wtedy, gdy Pracownik aktywuje Aplikację tą metodą.
3. Przekazanie to odbywa się na podstawie certyfikacji Twilio Inc. zgodnie z Ramami ochrony danych UE-USA (EU-U.S. Data Privacy Framework) (decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony z dnia 10 lipca 2023 r.). Umowa powierzenia przetwarzania danych zawarta z Twilio przewiduje alternatywny mechanizm przekazywania na wypadek wygaśnięcia certyfikacji.
4. Microsoft jako Podprocesor może uzyskiwać dostęp do Danych Osobowych spoza EOG w celu świadczenia wsparcia i zapewnienia bezpieczeństwa, na podstawie własnych warunków przetwarzania danych, swoich zobowiązań w ramach granicy danych UE (EU Data Boundary) oraz, w stosownych przypadkach, Ram ochrony danych UE-USA lub Standardowych Klauzul Umownych.
5. Każde inne przekazanie poza EOG wymaga uprzedniego zawiadomienia zgodnie z pkt 6.2 oraz odpowiednich zabezpieczeń zgodnie z rozdziałem V RODO. Niniejszy punkt ma pierwszeństwo przed wszelkimi postanowieniami Warunków korzystania z usług, które poddają wszelkie przekazania danych Standardowym Klauzulom Umownym.
Audyty, odpowiedzialność, zakończenie Umowy i usunięcie danych
Audyty
1. Engagy udostępni Klientowi informacje niezbędne do wykazania przestrzegania art. 28 RODO, przede wszystkim w formie dokumentacji, certyfikatów i odpowiedzi na kwestionariusze bezpieczeństwa.
2. Jeżeli informacje te okażą się niewystarczające, Klient może przeprowadzić audyt samodzielnie lub za pośrednictwem audytora zobowiązanego do zachowania poufności, który nie jest konkurentem Engagy, nie częściej niż raz w roku, z 30-dniowym uprzedzeniem, w dni robocze i bez zakłócania świadczenia usług na rzecz innych klientów. Ograniczenie częstotliwości nie ma zastosowania po wystąpieniu Naruszenia Ochrony Danych Osobowych dotyczącego danych Klienta ani gdy wymaga tego organ nadzorczy.
3. Klient ponosi wszelkie koszty audytu, w tym wynagrodzenie wyznaczonego przez siebie audytora oraz uzasadnione koszty Engagy związane ze wsparciem audytu, rozliczane według stawek za usługi profesjonalne Engagy obowiązujących w danym czasie. Engagy może zażądać, aby audyty, o które wystąpiło kilku klientów, były przeprowadzane wspólnie. Jeżeli Engagy posiada aktualny niezależny certyfikat lub raport z audytu obejmujący Usługi, taki jak ISO/IEC 27001, Engagy może w odpowiedzi na żądanie audytu w pierwszej kolejności przedstawić ten dokument, a audyt na podstawie pkt 9.2 może wówczas zostać przeprowadzony wyłącznie w zakresie, w jakim certyfikat lub raport w uzasadniony sposób nie odpowiada na zastrzeżenia Klienta.
4. Niniejszy punkt uzupełnia postanowienia Warunków korzystania z usług dotyczące RODO i audytów ochrony danych, a w sprawach ochrony danych ma przed nimi pierwszeństwo.
Odpowiedzialność
1. Odpowiedzialność każdej ze stron na podstawie niniejszej DPA podlega ograniczeniom odpowiedzialności przewidzianym w Umowie, w zakresie dopuszczalnym przez Przepisy o Ochronie Danych. Żadne postanowienie niniejszej DPA nie ogranicza odpowiedzialności którejkolwiek ze stron wobec osób, których dane dotyczą, na podstawie art. 82 RODO.
2. Żadne postanowienie Umowy wyłączające odpowiedzialność ani dotyczące siły wyższej nie zwalnia Engagy z obowiązków wynikających z art. 28 i 32 RODO oraz z niniejszej DPA, w tym z odpowiedzialności za Podprocesorów (w tym Microsoft Azure) oraz z obowiązku zgłaszania Naruszeń Ochrony Danych Osobowych, w tym spowodowanych cyberatakami.
Zakończenie Umowy, zwrot i usunięcie danych
1. Przed zakończeniem Umowy Klient może wyeksportować potwierdzenia zapoznania się zarejestrowane w Aplikacji przy użyciu funkcji eksportu dostępnej dla użytkowników posiadających rolę Administrator lub Communicator. Danych kont nie można wyeksportować za pośrednictwem Usług; Engagy przekaże je, wraz z pozostałymi danymi Klienta, na żądanie zgłoszone nie później niż 30 dni po zakończeniu Umowy.
2. Engagy usunie Partycję Danych Klienta, w tym dedykowane konto Azure Storage Klienta oraz rekordy Klienta w centralnej bazie danych Engagy, w terminie 30 dni od upływu terminu na zgłoszenie żądania, o którym mowa w pkt 9.7, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje dalsze przechowywanie. Niniejszy punkt nie obejmuje danych, które Engagy przetwarza jako administrator zgodnie z pkt 1.7. Portale, witryny i treści w Tenancie Klienta nie są usuwane, a odłączenie ich od Usług nie wpływa na ich zawartość. Usunięcie aplikacji Engagy360 i cofnięcie zgody administratora w Tenancie Klienta należy do Klienta.
3. Engagy nie przechowuje kopii zapasowych danych Klienta poza usługami Azure, w których dane te się znajdują. Kopie zapasowe utrzymywane przez usługi Azure są usuwane automatycznie w ciągu 35 dni od usunięcia danych, dzięki czemu usunięcie, o którym mowa w pkt 9.8, obejmuje wszystkie kopie przechowywane przez Engagy najpóźniej po upływie 35 dni od tego usunięcia.
4. Engagy może przechowywać zagregowane statystyki, których nie można powiązać z Użytkownikami ani Pracownikami.
5. Na żądanie Klienta Engagy potwierdzi usunięcie danych e-mailem.
Zmiany, przeniesienie praw i obowiązków oraz postanowienia końcowe
1. Niezależnie od postanowień Warunków korzystania z usług dotyczących zmian, Engagy może zmienić niniejszą DPA, publikując nową wersję pod adresem https://engagy360.com/pl/dpa-pl i zawiadamiając Klienta na adres Kontaktu ds. Ochrony Danych co najmniej 30 dni przed jej wejściem w życie. Poprzednie wersje pozostają dostępne w archiwum na tej stronie.
2. Zmiana nie może obniżać poziomu ochrony danych ani ograniczać praw Klienta wynikających z RODO. Zmiany wymagane przepisami prawa lub decyzją organu mogą wejść w życie wcześniej.
3. Klient, który nie akceptuje zmiany, może przed jej wejściem w życie rozwiązać Umowę ze skutkiem na dzień wejścia zmiany w życie, bez ponoszenia jakichkolwiek kar i niezależnie od postanowień Warunków korzystania z usług wyłączających zwrot opłat, a Engagy przyzna mu kredyt w wysokości opłat uiszczonych z góry za niewykorzystany okres, do wykorzystania na poczet przyszłych opłat za Usługi. Jeżeli zmiana obniżałaby poziom ochrony danych lub ograniczała prawa Klienta wynikające z RODO, Klient może zamiast tego zażądać proporcjonalnego zwrotu tych opłat w formie pieniężnej, płatnego w terminie 30 dni od rozwiązania Umowy. Dalsze korzystanie z Usług po dniu wejścia zmiany w życie oznacza jej akceptację.
4. Klient wyraża zgodę na przeniesienie przez IT-Dev sp. z o.o. praw i obowiązków wynikających z niniejszej DPA i Umowy na podmiot, który przejmie działalność prowadzoną pod marką Engagy360, w szczególności w wyniku jej wydzielenia do odrębnej spółki („Podmiot Przejmujący”). Engagy zawiadomi Klienta na adres Kontaktu ds. Ochrony Danych z co najmniej 30-dniowym wyprzedzeniem, podając dane Podmiotu Przejmującego. Przeniesienie staje się skuteczne pod warunkiem, że Podmiot Przejmujący przejmie wszystkie obowiązki wynikające z niniejszej DPA, a poziom ochrony danych nie ulegnie obniżeniu. Do Klienta, który nie akceptuje przeniesienia, pkt 10.3 stosuje się odpowiednio.
5. Zawiadomienia na podstawie niniejszej DPA mogą być przekazywane e-mailem i spełniają wszelkie wymogi formy pisemnej przewidziane w Umowie.
6. Niniejsza DPA obowiązuje przez okres obowiązywania Umowy oraz do czasu wykonania obowiązków określonych w pkt 9.7–9.11.
7. W sprawach ochrony danych osobowych niniejsza DPA ma pierwszeństwo przed pozostałymi dokumentami składającymi się na Umowę, w tym przed Warunkami korzystania z usług i SLA, chyba że Zamówienie wyraźnie stanowi inaczej. Środki przysługujące na podstawie SLA nie ograniczają praw Klienta wynikających z niniejszej DPA.
8. Niniejsza DPA podlega prawu Rzeczypospolitej Polskiej. Spory rozstrzyga sąd właściwy zgodnie z Umową.

Załącznik 1. Opis przetwarzania

Kategorie osób, których dane dotyczą: Użytkownicy (administratorzy Engagy360 i Microsoft 365 po stronie Klienta, właściciele portali i współtwórcy treści, właściciele i redaktorzy witryn oraz pracownicy Klienta korzystający z intranetu); Pracownicy korzystający z Aplikacji (w tym pracownicy tymczasowi i współpracownicy) oraz ich przełożeni; osoby wymienione w treściach, dokumentach, zgłoszeniach i Danych Wsparcia Technicznego.

Szczególne kategorie danych (art. 9 RODO): Usługi nie wymagają takich danych i nie są do nich przeznaczone. Aplikacja nie zbiera informacji o przyczynach nieobecności. Klient nie będzie przekazywał takich danych w zgłoszeniach Użytkowników ani do Funkcji AI; Klient odpowiada za treści, które publikuje w Tenancie Klienta.

Operacje przetwarzania: zbieranie, przechowywanie, pobieranie, porządkowanie, wyświetlanie, przesyłanie, anonimizacja i usuwanie – w zakresie niezbędnym do świadczenia Usług.

A. Dane przechowywane w Partycji Danych Klienta (platforma Engagy360)

Kategoria	Elementy danych	Cel
Identyfikatory Użytkowników	Identyfikatory obiektów Microsoft Entra ID powiązane z rolami w portalu, zadaniami, przeglądami dostępu, subskrypcjami, historią operacji (Settings → Requests) i raportami Site Score Audit	Obsługa Usług, ład portalu, rozliczalność operacji
Zgłoszenia Użytkowników	Tytuł i treść zgłoszenia (tekst dowolny), adres strony, data, identyfikatory zgłaszającego i osób przypisanych	Obsługa zgłoszeń problemów ze stronami i wniosków dotyczących witryn
Treść powiadomień	Tekst powiadomień o artykułach wysyłanych do Microsoft Teams	Powiadomienia i subskrypcje
Projekty portali i wygenerowane treści	Architektura informacji, początkowe teksty artykułów oraz nazwy i podstawowe definicje społeczności Viva Engage, które mają zostać utworzone – w zakresie, w jakim zawierają Dane Osobowe	Tworzenie portali na podstawie projektu
Przesłane pliki	Pliki graficzne wykorzystywane do generowania motywów wizualnych; dokumenty źródłowe dla Funkcji AI, przechowywane wyłącznie do czasu utworzenia portalu lub usunięcia projektu	Projektowanie i generowanie portalu
Adresy i struktury SharePoint	Adresy witryn i stron, nazwy witryn, list, bibliotek i grup	Raporty Score Cards, powiadomienia, ład portalu
Tokeny dostępu	Tokeny dostępu Użytkowników wykorzystywane do długotrwałych operacji, przechowywane w Azure Key Vault przez czas trwania operacji	Wykonywanie operacji w Tenancie Klienta w imieniu Użytkownika
Dane Wsparcia Technicznego	Dane przekazane w zgłoszeniach do wsparcia lub udostępnione za zgodą Klienta w trakcie świadczenia wsparcia	Wsparcie techniczne
Dane techniczne	Logi operacyjne i logi błędów. Logi nie są wykorzystywane do identyfikacji Użytkowników i nie zawierają danych profilowych; mogą zawierać adresy witryn i stron SharePoint	Obsługa i utrzymanie Usług

B. Dane pobierane na żądanie z Tenanta Klienta (nieprzechowywane trwale)

Imię i nazwisko, główna nazwa użytkownika (UPN), adres e-mail, stanowisko, dział, numer telefonu, zdjęcie, członkostwo w grupach, uprawnienia do witryn, statystyki wyświetleń treści oraz nazwy i identyfikatory istniejących społeczności Viva Engage i ich grup. Dane te są pobierane za pośrednictwem interfejsów Microsoft Graph i SharePoint w momencie wyświetlania lub w razie potrzeby (w tym na potrzeby książki adresowej (Address Book), wizytówek osób, ról w portalu, przeglądów dostępu i odbiorców powiadomień w Teams) i nie są trwale zapisywane (pkt 3.2).

C. Dane przetwarzane przez Funkcje AI

Informacje o firmie, dokumenty źródłowe, treść strony internetowej i artykułów Klienta – w zakresie, w jakim zawierają Dane Osobowe. Przetwarzane w Azure OpenAI Service (Sweden Central, wdrożenie regionalne) w celu wygenerowania wyników i przechowywane przez Microsoft przez okres do 30 dni w celu monitorowania nadużyć; niewykorzystywane do trenowania modeli. Dokumenty źródłowe są usuwane po utworzeniu portalu lub usunięciu projektu (pkt 4).

D. Dane przechowywane w Aplikacji (EngagyApp)

Kategoria	Elementy danych	Źródło	Cel
Dane identyfikacyjne	Imię, nazwisko, numer pracowniczy	Klient (import CSV lub panel)	Identyfikacja Pracownika w Aplikacji
Dane organizacyjne	Dział, miejsce pracy (nazwa lokalizacji), przełożony (konto Microsoft 365)	Klient	Kierowanie treści do odbiorców, uprawnienia, parowanie urządzeń
Dane kontaktowe	Numer telefonu (opcjonalnie)	Klient	Wyłącznie aktywacja przez SMS
Dane uwierzytelniające	PIN (w postaci nieodwracalnej), token aktywacyjny, kod SMS	Pracownik / system	Logowanie i aktywacja
Kod urządzenia	Kod wiążący konto z telefonem	Urządzenie Pracownika	Ograniczenie konta do jednego urządzenia
Dane konta	Status, daty utworzenia i dezaktywacji, ostatnia aktywność, oznaczenia blokady prawnej i anonimizacji	System / Klient	Zarządzanie kontem
Treści publikowane w Aplikacji	Tekst artykułów i dokumentów, pliki i obrazy oraz ich metadane (autor, wersja, data, kategoria, grupa docelowa) – w zakresie, w jakim zawierają Dane Osobowe	Klient (integracja z SharePoint lub przesłanie w panelu)	Udostępnianie treści Pracownikom w Aplikacji
Potwierdzenia zapoznania się	Pracownik, dokument, wersja, data i godzina potwierdzenia	Pracownik	Ścieżka audytu dla dokumentów obowiązkowych; widoczne z imienia i nazwiska dla przełożonych, osób publikujących treści i administratorów po stronie Klienta, w tym w eksportach
Status przeczytania	Informacja, które pozycje Pracownik otworzył	Pracownik	Oznaczanie nowych treści w Aplikacji; Klient widzi wyłącznie liczbę osób, które otworzyły daną pozycję
Dane techniczne	Logi błędów i wydajności	System	Wyłącznie obsługa Aplikacji

Aplikacja nie przetwarza danych o lokalizacji urządzenia, kontaktów, zdjęć, plików, kalendarza ani mikrofonu i nie wysyła powiadomień. Aparat jest wykorzystywany wyłącznie do odczytania kodu aktywacyjnego; żaden obraz nie jest zapisywany.

Załącznik 2. Środki techniczne i organizacyjne

Poufność i kontrola dostępu

Szyfrowanie danych przesyłanych i przechowywanych przy użyciu kluczy zarządzanych przez platformę Azure.
Logowanie do Cloud Control Panel za pośrednictwem Microsoft Entra ID Klienta, z zastosowaniem zasad Klienta (w tym MFA i dostępu warunkowego).
Dane każdego klienta są przechowywane na jego własnym, dedykowanym koncie Azure Storage; centralna baza danych zawiera rekordy licencyjne i techniczne identyfikujące klienta.
Dostęp do Tenanta Klienta ograniczony do uprawnień Microsoft Graph i SharePoint zatwierdzonych przez administratora Klienta; pełna lista wraz z przykładami zastosowania jest opublikowana w broszurze technicznej Engagy360. Najszersze z nich to uprawnienie aplikacji Sites.FullControl.All w SharePoint.
Dostępny jest tryb ograniczonych uprawnień, w którym Usługi korzystają wyłącznie z uprawnienia aplikacji Sites.Selected: dostęp do odczytu witryny administracyjnej SharePoint oraz pełna kontrola ograniczona do witryn zarejestrowanych w Usługach.
Uprawnienie aplikacji Community.ReadWrite.All jest wykorzystywane wyłącznie do tworzenia społeczności Viva Engage i odczytu listy społeczności; konwersacje i ich treść pozostają w Tenancie Klienta.
Konto Pracownika w Aplikacji działa wyłącznie na urządzeniu, na którym zostało aktywowane.
PIN nie jest przechowywany na urządzeniu; na serwerach jest przechowywany wyłącznie w postaci, z której nie można odtworzyć PIN-u.
Tokeny aktywacyjne ważne przez 7 dni i unieważniane po użyciu; kody SMS ważne przez 5 minut.
Dostęp oparty na rolach w panelu administracyjnym Aplikacji: Administrator, Deskless Team Manager, Deskless Staff Communicator.
Dostęp personelu Engagy do środowiska produkcyjnego za pośrednictwem imiennych kont z MFA; uprawnienia są nadawane i odbierane za pośrednictwem Azure Privileged Identity Management, które rejestruje również korzystanie z nich. Konta usługowe oraz konto wykorzystywane do operacji DevOps mają stały dostęp.

Integralność

Potwierdzeń zapoznania się z dokumentami nie można modyfikować; są one powiązane z wersją dokumentu.
Aplikacja mobilna nie łączy się bezpośrednio z systemami Klienta (SharePoint, Microsoft 365); otrzymuje wyłącznie kopie treści przekazywanych za pośrednictwem integracji.

Dostępność i odporność

Hosting w centrach danych Microsoft Azure: West Europe – baza danych, konta magazynu, logi usług i magazyn kluczy; Sweden Central – Funkcje AI.
Engagy nie przechowuje kopii zapasowych danych Klienta poza usługami Azure, w których dane te się znajdują; usługi te utrzymują swoje kopie zapasowe i repliki na terenie Unii Europejskiej. Kopie zapasowe utrzymywane przez usługi Azure są usuwane automatycznie w ciągu 35 dni od usunięcia danych.
Monitorowanie działania i błędów wyłącznie na serwerach Engagy.

Minimalizacja danych i uwzględnianie ochrony danych w fazie projektowania (privacy by design)

Poza Aplikacją przechowywane są wyłącznie identyfikatory Entra ID oraz treści wprowadzane lub generowane dla Klienta; dane profilowe i katalogowe są pobierane z Tenanta Klienta w momencie użycia.
Dane z Microsoft Graph przechowywane w pamięci operacyjnej serwera nie dłużej niż 5 minut.
Raporty Site Score Audit i historia operacji zawierają wyłącznie identyfikatory Użytkowników.
Logi techniczne nie są wykorzystywane do identyfikacji Użytkowników i nie zawierają danych profilowych; mogą zawierać adresy witryn i stron SharePoint.
Dokumenty źródłowe dla Funkcji AI usuwane po utworzeniu portalu lub usunięciu projektu; dane przesyłane do Azure OpenAI nie są wykorzystywane do trenowania modeli i są przechowywane przez Microsoft przez okres do 30 dni w celu monitorowania nadużyć.
W Aplikacji mobilnej brak zewnętrznych bibliotek analitycznych, reklamowych i do raportowania awarii; brak dostępu do lokalizacji, kontaktów, zdjęć, plików, kalendarza i mikrofonu; brak powiadomień push.
Anonimizacja kont, blokada prawna i automatyczne usuwanie danych Aplikacji po upływie okresu ustalonego przez Klienta.

Środki organizacyjne

Pisemne upoważnienia i zobowiązania do zachowania poufności dla osób mających dostęp do Danych Osobowych.
Procedura reagowania na Naruszenia Ochrony Danych Osobowych i rejestr naruszeń.
Rejestr czynności przetwarzania (art. 30 ust. 2 RODO).
Ocena Podprocesorów przed ich zaangażowaniem oraz okresowy przegląd.
Osoba kontaktowa w sprawach ochrony danych: Grzegorz Łuszczyński, gluszczynski@it-dev.pl.

Załącznik 3. Podprocesorzy – według stanu na dzień publikacji niniejszej wersji DPA

Aktualna lista jest prowadzona pod adresem https://engagy360.com/pl/podprocesorzy i w razie jakichkolwiek rozbieżności ma pierwszeństwo przed niniejszym Załącznikiem (pkt 6).

Podprocesor	Zakres	Dane	Lokalizacja	Mechanizm przekazywania
Microsoft Ireland Operations Ltd. (Microsoft Azure)	Hosting Partycji Danych Klienta i Aplikacji, przechowywanie danych, logi techniczne	Załącznik 1, części A i D	UE: West Europe	Zob. pkt 8.4
Microsoft Ireland Operations Ltd. (Azure OpenAI Service)	Funkcje AI	Załącznik 1, część C	Szwecja (Sweden Central)	Zob. pkt 8.4
Twilio Inc. (Twilio Verify)	Wysyłanie kodów aktywacyjnych SMS w Aplikacji	Numer telefonu, kod jednorazowy	Stany Zjednoczone	Ramy ochrony danych UE-USA (EU-U.S. Data Privacy Framework)

Microsoft jako dostawca Microsoft 365 dla Tenanta Klienta nie jest Podprocesorem Engagy (pkt 3.3).