Umowa powierzenia przetwarzania dpa-2026-10-29-v7 Dustless | eenmanszaak | Stelhout 5, 3991 PD Houten, NL | KVK 97524549 | VAT NL005275384B13 Strony i zakres Klient wskazany w potwierdzeniu jest administratorem danych firmy i pracowników; Dustless, jednoosobowa działalność, Stelhout 5, 3991 PD Houten, KVK 97524549, contact@dustless.nl, jest podmiotem przetwarzającym. Dotyczy to także prób bezpłatnych i trwa przez okres przetwarzania. Dustless jest osobnym administratorem bezpieczeństwa kont, rozliczeń i własnej dokumentacji ustawowej; patrz polityka prywatności. Inne usługi nie są automatycznie objęte. Polecenia i odpowiedzialność Dustless działa wyłącznie na udokumentowane polecenia, w tym dozwolone ustawienia, chyba że wymaga tego prawo; informuje wcześniej, jeśli wolno. Natychmiast zgłasza podejrzenie bezprawnego polecenia i wstrzymuje tylko tę czynność. Klient określa podstawę, informacje, układ zbiorowy i role. Własne obowiązki RODO, bezpieczeństwa i odpowiedzialność Dustless pozostają. Załącznik A — przetwarzanie Cel i czynności: przechowywanie, porządkowanie, wyświetlanie, zmiany, powiadomienia, eksport i usuwanie dla wybranych modułów. Osoby: pracownicy, administratorzy, kontakty klientów/lokalizacji i dostawcy. Dane: tożsamość i kontakt służbowy, role, umowy i układy, planowanie, dostępność, urlop bez powodów medycznych, godziny i oceny, oferty, lokalizacje, materiały, notatki, dozwolone dokumenty i historia. Bez dokumentacji medycznej, BSN, kopii dokumentów tożsamości, danych karnych lub szczególnych. Bez reklam, sprzedaży danych i trenowania AI. Załącznik B — bezpieczeństwo i poufność Niezbędny dostęp otrzymują wyłącznie przeszkolone osoby zobowiązane do poufności. Środki: HTTPS, rozdzielenie firm, kontrola serwera, minimalne prawa, haszowanie haseł/sesji, MFA za pomocą aplikacji uwierzytelniającej (obowiązkowe dla wszystkich użytkowników portalu i administratorów witryny, opcjonalne dla zwykłych kont klientów), walidacja, prywatne pobieranie, integralność i spójne kopie. Oceny okresowe i po incydentach. Bez certyfikacji ISO, gwarancji antywirusowej lub szyfrowania wszystkich nośników/USB. Nowe własne kopie danych są przechowywane wyłącznie na podłączonym i odblokowanym Kingston ze sprawdzonym szyfrowaniem. Komputer przechowuje konieczne techniczne odniesienia odtworzeniowe; starsze kopie wymagają osobnej oceny. Prywatny GitHub zawiera tylko wybrany kod źródłowy, bez baz danych i danych personelu. Przed udostępnieniem klientom trzeba wykazać kontrolę dostępu i usuwania w każdej lokalizacji. Obowiązujące umowy hostingowe mijn.host B.V., Pietersbergweg 291, 1105 BM Amsterdam, Niderlandy; privacy@mijn.host. Podstawą hostingu są zaakceptowane przez Dustless umowy przetwarzania i dalszego przetwarzania z załącznikami z października 2026 r. Dla danych klienta Dustless jest podmiotem przetwarzającym, a mijn.host dalszym podmiotem; Dustless jest odrębnym administratorem własnych kont i dokumentacji podatkowej. Potwierdzenie z 29 października 2026 r. określa hosting, SMTP, odzyskiwanie i wsparcie. Akceptacja nie uruchamia płatności, abonamentu ani dodatkowych modułów. Załącznik C — dalsi przetwarzający i transfery Bezpośredni dalszy podmiot: mijn.host B.V. Dla h47: Voxility GmbH, Messeturm, Friedrich-Ebert-Anlage 49, 60308 Frankfurt am Main, Niemcy (hosting w UE); Leaseweb Netherlands B.V., Hessenbergweg 95, 1101 CX Amsterdam (kopie w Niderlandach). Aplikację, bazę, SMTP i zabezpieczenia prowadzi mijn.host, bez dodatkowego zewnętrznego SMTP. Wsparcie zgłoszeń przez AI: Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco CA 94104, USA (Claude), oraz Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irlandia (Gemini); przekazanie do USA na podstawie SCC i art. 10 umów. Przetwarzane mogą być zgłoszenia, kontakty i niezbędny oczyszczony kontekst techniczny; bez akt pracowniczych, zrzutów baz, tajemnic i linków logowania. Brak gwarancji wsparcia wyłącznie w EOG lub ZDR. Tożsamość, rola i kontakt: https://mijn.host/trust/subverwerkers oraz privacy@mijn.host. Inni dostawcy hostingu, Microsoft365 i domen nie otrzymują automatycznie danych portalu. Dustless informuje bezpośrednio przed zmianą podmiotu, zapewniając rzeczywisty sprzeciw, alternatywę lub zakończenie przed wdrożeniem. Host zawiadamia co najmniej 14 dni wcześniej w panelu; Dustless sprawdza codziennie i przekazuje bez zbędnej zwłoki. Nie gwarantuje to klientowi pełnych 14 dni. Wybrane logowanie Google/Microsoft i płatności Stripe mają odrębne role. Pomoc, incydenty i audyt Dustless pomaga w prawach osób, bezpieczeństwie, DPIA i konsultacjach według przetwarzania i wiedzy. Bezpośrednie wnioski przekazuje bez zbędnej zwłoki, nie decydując za klienta. Naruszenia zgłasza kontaktowi firmowemu bez nieuzasadnionej zwłoki, w miarę możliwości w 24 godziny od stwierdzenia, z uzupełnieniami. Klient ocenia ustawowe zgłoszenie w 72 godziny. Dustless dostarcza informacje i umożliwia konieczne audyty/inspekcje, chroniąc innych klientów i bezpieczeństwo. Terminy i opłaty nie mogą blokować praw ani pilnych kontroli. Załącznik D — zmiana i eksport Pełny eksport lub zakończenie zgłasza tylko główny administrator z ponowną weryfikacją. W razie braku dostępu: contact@dustless.nl po sprawdzeniu umocowania. Bez wymogu nowej umowy do wykonywania istniejących praw. Zmiana dostawcy/własna infrastruktura: bez dodatkowego wypowiedzenia, przejście bez zwłoki w 30 dni kalendarzowych od wniosku, ciągłość, pomoc i bezpieczeństwo. Tylko prawnie dopuszczalne wyjątki techniczne z terminowym uzasadnieniem; dłuższy okres na wniosek klienta. Potem minimum 30 dni kalendarzowych na odbiór. Bez opłat za eksport lub zmianę. Zwykłe wypowiedzenie i pozostałe płatności są odrębne, z pierwszeństwem prawa bezwzględnego. Format i zakres eksportu Format eksportu: prywatny TAR.GZ z UTF-8 JSON/NDJSON (obiekt na wiersz), słownikiem, relacjami, datami/strefą i oryginałami z nazwą, typem i SHA256. Tylko główny administrator po weryfikacji. Własne dane i historia obecnych modułów; bez innych firm, prywatnych adresów, koszyków, haszy, sesji, tokenów, sekretów OAuth/MFA i linków płatności. Kontakty dostarczone we wnioskach firmowych pozostają w dossier. Bez prywatnych profili aktorów zewnętrznych. Niebezpieczne relacje, uszkodzenia lub nieoceniony schemat blokują całość. Limit 512 MiB, 250 000 rekordów lub 20 000 plików; większe przekazanie przez contact@dustless.nl bez obcinania. CSV godzin osobno. Brak gwarancji importu u każdego dostawcy. Sprawdź zapisany plik przed potwierdzeniem przekazania. Zwrot, usunięcie i przechowywanie Klient wybiera zwrot i usunięcie albo usunięcie bez zwrotu, z możliwością zmiany przed wykonaniem. Po uzgodnionym okresie odbioru dane operacyjne i kopie usuwa się bez zbędnej zwłoki; przy zmianie minimum 30 dni kalendarzowych odbioru. Brak ogólnego obowiązku dalszych 90 dni dla akt/kopii i brak bezterminowego przechowywania. Tylko konkretne obowiązki ustawowe uzasadniają osobne ograniczone archiwum z podstawą i datą końcową. Własne podstawowe dokumenty fiskalne Dustless zwykle siedem lat, wyjątki dłużej; nie wszystkie akta klienta. Klient odpowiada za własną dokumentację i eksport. Wspólne konta i inne usługi nie są automatycznie usuwane. Kopie i dowód wykonania Dustless usuwa dane według lokalizacji i stosuje niezależny rejestr usunięć, aby nie przywrócić dostępu po odtworzeniu. Kopie hostingu znikają przez rotację: dla Hosting Starter potwierdzono 30 dni aktywnej retencji; umowa przewiduje maksymalnie 90 dni dla pozostałych kopii/archiwów, chyba że zapisano krótszy okres. Brak obietnicy natychmiastowego selektywnego usunięcia ze starego obrazu. Pozostałe kopie są odizolowane i nie służą normalnej usłudze; przed ponownym otwarciem stosuje się aktualny rejestr. Przy zakończeniu zapisuje się inwentarz, przekazanie/kontrolę klienta, termin odbioru, wyjątki prawne/datę końca, usunięcie według miejsca, pozostałe kopie i przewidywaną rotację. Blokada lub usunięcie operacyjne nie dowodzą usunięcia wszystkich kopii. Zamknięcie tylko po właściwym dowodzie; umowa nie uruchamia zadania usuwania ani kopii. Pierwszeństwo i zmiany Umowa/załączniki mają pierwszeństwo w razie sprzeczności w danych. Rozstrzyga tekst niderlandzki i bezwzględne prawo NL/UE. Zmiany nie są wsteczne: nowa wersja, osobny akcept z firmą, językiem, czasem i integralnością. Bez dopisywania dawnych zgód. Zwrot/usunięcie, poufność i kontrola trwają do zakończenia. Wykonanie i status Proces osobno zapisuje odbiór i zakończenie przekazania. Przy zmianie dostawcy co najmniej 30 dni kalendarzowych na odbiór zaczyna się po potwierdzonym zakończeniu; dane służą wtedy tylko do odbioru. Wyraźne usunięcie bez zwrotu jest inną instrukcją, bez fikcyjnego potwierdzenia odbioru. Główny administrator potwierdza trwałe usunięcie hasłem i drugim składnikiem. Usuwany jest tylko własny kontekst operacyjny firmy. Koniec abonamentu i konkretne rozliczenie podatkowe są sprawdzane osobno; należność nie uzasadnia przechowywania wszystkich akt pracowników. Własna podstawowa dokumentacja podatkowa Dustless ma zweryfikowany rzeczywisty początek i zwykle siedem lat; szczególny dłuższy termin wymaga osobnej oceny. Upływ terminu wymaga kontroli i realizacji, nie bezterminowego przedłużenia. Konta osobiste i inne usługi nie są usuwane automatycznie. Niezależny chroniony rejestr zawiera tylko niezbędne identyfikatory, sumy kontrolne, daty i statusy kopii, bez dokumentów pracowników. Jest potrzebny, dopóki odtworzenie może przywrócić dane; potem także ten dowód należy usunąć lub zanonimizować, chyba że konkretna własna podstawa uzasadnia dalsze przechowywanie. Usunięcie operacyjne nie dowodzi usunięcia kopii. Zakończenie pozostaje otwarte do udokumentowanej kontroli każdej lokalizacji.