Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

Załącznik nr 1 do Regulaminu Serwisu BHPAlfa | Wersja 1.2 (5 sierpnia 2026)

Umowa stanowi integralną część Regulaminu; zawarta z chwilą akceptacji Regulaminu przez Użytkownika będącego przedsiębiorcą podczas rejestracji, na podstawie art. 28 ust. 3 RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679).

Strony

Procesor (Podmiot przetwarzający) — Usługodawca w rozumieniu §2 Regulaminu: BHPAlfa Wiktor Frątczak, jednoosobowa działalność gospodarcza, ul. Bułgarska 126 A/9, 60-382 Poznań, NIP 7792608228, REGON 545132952. Kontakt RODO: kontakt@bhpalfa.pl.
Administrator — Użytkownik w rozumieniu §2 Regulaminu (przedsiębiorca korzystający z Serwisu w celach zawodowych BHP).

§1. Przedmiot, charakter, cel i czas przetwarzania

Administrator powierza Procesorowi przetwarzanie danych osobowych wyłącznie w zakresie i celu niezbędnym do świadczenia usług Serwisu (zgodnie z §3 Regulaminu), obejmujących:
- (A) Generator Dokumentów — tworzenie projektów Dokumentów BHP;
- (B) Terminarz szkoleń — zapisywanie i aktualizowanie danych rejestru szkoleń. W trybie obsługującym automatyczne wyliczanie — również ustalanie terminów na podstawie danych wpisu i wysyłkę przypomnień, jeżeli funkcja jest dostępna dla konta. Dane wpisów Terminarza nie są przekazywane do modelu AI.
Charakter: przetwarzanie zautomatyzowane. W zakresie (A) — przekazanie danych potrzebnych do generacji do modelu AI oraz przechowywanie metadanych, oryginałów i zapisanych poprawek wszystkich sześciu rodzajów Dokumentów, w tym protokołu powypadkowego i karty Z-KW, na koncie w bazie PostgreSQL. W zakresie (B) — trwałe przechowywanie danych rejestru, porównanie zapisanych terminów z datą bieżącą oraz, gdy funkcja jest dostępna dla konta, wysyłka wiadomości e-mail. Dane rejestru z zakresu (B) nie są przekazywane do modelu AI; z historii programu szkolenia można otworzyć wstępnie uzupełniony formularz wpisu; użytkownik sprawdza dane i zapisuje termin.
Cel: wyłącznie wykonanie usługi — w zakresie (A) wygenerowanie projektów Dokumentów, w zakresie (B) umożliwienie Administratorowi kontroli terminów szkoleń okresowych. Procesor nie przetwarza danych w celach własnych, w szczególności nie wykorzystuje ich do trenowania modeli ani do marketingu.
Czas: na czas obowiązywania umowy o korzystanie z Serwisu (Abonament), do momentu usunięcia lub zwrotu danych zgodnie z §6. Dane Terminarza przechowywane są do chwili ich usunięcia przez Administratora albo do zakończenia umowy — Procesor nie ustala samodzielnie okresu retencji i nie usuwa tych danych samoczynnie.

§2. Rodzaj danych i kategorie osób

Powierzenie obejmuje wyłącznie dane zwykłe, z bezwzględnymi wyłączeniami z §4.
Rodzaj danych — Generator Dokumentów: dane organizacyjne stanowisk pracy (nazwa stanowiska, kategoria) oraz ewentualne zwykłe dane osobowe wprowadzone przez Administratora w treści Dokumentów, w zakresie niezbędnym.
Rodzaj danych — Terminarz szkoleń: imię, nazwisko, nazwa stanowiska pracy, grupa stanowisk decydująca o rodzaju szkolenia okresowego (w rozumieniu § 14 ust. 2 rozporządzenia Ministra Gospodarki i Pracy z dnia 27 lipca 2004 r. w sprawie szkolenia w dziedzinie bezpieczeństwa i higieny pracy, Dz.U. z 2024 r. poz. 1327 ze zm.), data przeprowadzenia szkolenia, termin ważności szkolenia, opcjonalnie data zatrudnienia, opcjonalna notatka tekstowa Administratora oraz oznaczenie podmiotu, którego wpis dotyczy. Powierzenie nie obejmuje numeru PESEL, daty urodzenia, adresu, danych kontaktowych osoby, której dane dotyczą, danych o wynagrodzeniu ani jakichkolwiek danych o stanie zdrowia — Serwis nie udostępnia pól na te dane i nie prowadzi ewidencji terminów badań lekarskich.
Kategorie osób: (a) pracownicy i współpracownicy Administratora; (b) pracownicy i współpracownicy podmiotów będących klientami Administratora, na rzecz których Administrator wykonuje zadania służby bezpieczeństwa i higieny pracy lub świadczy usługi BHP; (c) osoby, których dane Administrator wprowadza do treści Dokumentów — z bezwzględnym wyłączeniem danych osób poszkodowanych w zakresie określonym w §4.
Wprowadzając do Terminarza dane osób wskazanych w ust. 4 lit. b, Administrator oświadcza, że dysponuje wobec tych danych odpowiednią podstawą prawną, a jeżeli ich administratorem jest jego klient — że uzyskał uprzednią zgodę na dalsze powierzenie przetwarzania Procesorowi (art. 28 ust. 2 i 4 RODO). Procesor nie jest stroną relacji między Administratorem a jego klientem i nie weryfikuje istnienia tej podstawy.
Notatka w Terminarzu jest polem swobodnego tekstu i nie podlega automatycznej redakcji stosowanej w Generatorze (§4 ust. 3). Administrator zobowiązuje się nie wprowadzać do niej danych, o których mowa w §4 ust. 1, w szczególności informacji o stanie zdrowia, niezdolności do pracy, badaniach lekarskich i przyczynach nieobecności. Serwis wyświetla ostrzeżenie przy rozpoznaniu typowych sformułowań tego rodzaju i wymaga potwierdzenia zapisu; ostrzeżenie nie zastępuje zobowiązania Administratora.

§3. Obowiązki Procesora (art. 28 ust. 3 RODO)

Procesor:

przetwarza dane wyłącznie na udokumentowane polecenie Administratora (którym jest niniejsza Umowa oraz korzystanie z Serwisu zgodnie z jego przeznaczeniem), w tym co do transferów — z zastrzeżeniem §5;
zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności;
stosuje środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), w tym szyfrowanie transmisji, kontrolę dostępu oraz mechanizm minimalizacji z §4;
korzysta z podprocesorów wyłącznie na zasadach z §5;
w miarę możliwości pomaga Administratorowi w realizacji żądań osób, których dane dotyczą (rozdz. III RODO);
pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO, w zakresie dostępnych mu informacji;
po zakończeniu świadczenia usług usuwa lub zwraca dane (zgodnie z §6);
udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich. Audyt odbywa się w godzinach pracy Procesora, w terminie uzgodnionym z co najmniej 14-dniowym wyprzedzeniem, po zobowiązaniu audytora do zachowania poufności i w sposób nie zakłócający ciągłości świadczenia usług, co do zasady nie częściej niż raz w roku kalendarzowym. Ograniczenia częstotliwości nie stosuje się, gdy: (a) doszło do naruszenia ochrony danych osobowych dotyczącego danych powierzonych przez Administratora, (b) nastąpiła istotna zmiana zakresu lub sposobu przetwarzania, albo (c) audytu żąda organ nadzorczy lub wynika on z obowiązku prawnego Administratora. Każda ze Stron ponosi własne koszty udziału w audycie. Procesor może obciążyć Administratora uzasadnionym i udokumentowanym kosztem czynności wykraczających poza udostępnienie posiadanej dokumentacji, po uprzednim przedstawieniu kosztorysu i uzyskaniu akceptacji Administratora. Jeżeli audyt wykaże naruszenie niniejszej Umowy po stronie Procesora, koszty audytu ponosi Procesor.

§4. Ograniczenia zakresu danych i techniczne granice ochrony

Niniejsza Umowa stanowi udokumentowane polecenie Administratora (art. 28 ust. 3 lit. a RODO). Umowne ograniczenie zakresu powierzenia wyklucza dane szczególnych kategorii (art. 9 RODO), w szczególności dane o stanie zdrowia, oraz dane identyfikujące osoby poszkodowane w wypadkach (imię, nazwisko, PESEL, numer dokumentu tożsamości). Ograniczenie umowne nie jest techniczną gwarancją wykluczenia tych danych: Serwis nie rozpoznaje wszystkich danych osobowych ani informacji o zdrowiu w swobodnym tekście. Jeśli Administrator wpisze je do zapisywanej poprawki dokumentu, Serwis zapisze dokładną treść tej poprawki na koncie, bez automatycznej redakcji.
Administrator ZOBOWIĄZUJE SIĘ BEZWZGLĘDNIE NIE WPROWADZAĆ takich danych do Serwisu w żadnym polu, w tym w polach opisowych. Dane te Administrator uzupełnia wyłącznie LOKALNIE, we własnej infrastrukturze, po pobraniu Dokumentu (np. w pliku Word/PDF).
Mechanizmy techniczne mają następujący zakres:
- strukturalne dane tożsamości pracownika na skierowaniu są przetwarzane na serwerze przy składaniu pliku, poza promptem modelu AI. Dane tożsamości osoby poszkodowanej należy uzupełnić po pobraniu Dokumentu, zgodnie z ust. 2;
- treść opisowa wpisywana przez Administratora przechodzi automatyczną redakcję PRZED przekazaniem do modelu: rozpoznane numery PESEL oraz rozpoznane imiona i nazwiska są zastępowane oznaczeniem zastępczym (placeholderem);
- oryginały i zapisane poprawki Dokumentów powypadkowych są przechowywane na koncie w bazie PostgreSQL. Treść protokołu i Z-KW nie jest zapisywana w lokalnej pamięci dokumentów przeglądarki.
Formularz zbiera opis urazu bez wymagania danych identyfikujących poszkodowanego. Nie gwarantuje to anonimowości opisu w kontekście pozostałych informacji o zdarzeniu. Nie wpisuj tożsamości poszkodowanego ani zbędnych danych osobowych. Procesor zastrzega, że redakcja automatyczna działa na rozpoznanych wzorcach i nie zastępuje obowiązku Administratora z ust. 2, by nie wprowadzać danych osobowych do pól opisowych.
Zakres zastosowania mechanizmów z ust. 3. Redakcja automatyczna dotyczy opisów przekazywanych przez Generator Dokumentów do modelu AI. Zapisane poprawki zachowują dokładną treść przesłaną przez Administratora i nie podlegają automatycznej redakcji. W Terminarzu szkoleń dane nie są przekazywane do modelu AI, wobec czego redakcja automatyczna nie ma tam zastosowania; ochronę zapewnia w tym module ograniczenie zakresu pól opisane w §2 ust. 3 oraz zobowiązanie Administratora z §2 ust. 6. Dane wprowadzone przez Administratora wbrew temu zobowiązaniu — w szczególności do pola notatki — są przechowywane w postaci, w jakiej je wprowadził, i stosuje się do nich ust. 5 zdanie drugie i trzecie.
Procesor dokłada najwyższej staranności technicznej w utrzymaniu mechanizmów ochrony z ust. 3 (środki z art. 32 RODO) i ponosi odpowiedzialność za ich prawidłowe wdrożenie i utrzymanie. Wprowadzenie przez Administratora danych, o których mowa w ust. 1, z obejściem lub wbrew tym mechanizmom (w szczególności przez celowe wpisanie ich w pola opisowe), stanowi naruszenie niniejszej Umowy oraz działanie wykraczające poza zakres powierzenia; w odniesieniu do tak wprowadzonych danych Administrator pozostaje ich wyłącznym administratorem i odpowiada za obowiązki z art. 33–34 RODO oraz wobec organu nadzorczego (UODO). Niniejsze postanowienie nie wyłącza odpowiedzialności Procesora za naruszenia wynikające z jego własnych zaniedbań technicznych lub organizacyjnych (art. 28 ust. 10 i art. 82 RODO).

§5. Podprocesorzy i transfery

Administrator udziela Procesorowi ogólnej pisemnej zgody na korzystanie z podprocesorów. Aktualny wykaz (spójny z §12 Regulaminu):

Podprocesor	Podmiot / siedziba	Cel	Lokalizacja danych
Render	Render Services, Inc. (USA) ¹	hosting aplikacji	UE — Frankfurt
Neon	Neon, Inc. (grupa Databricks) ¹	baza danych PostgreSQL, w tym historia przeglądów i decyzji BHP Radaru	UE — Frankfurt
Google	Google (Gemini Developer API) ²	generowanie treści dokumentów; zakres danych opisano poniżej	Warunki dla używanej konfiguracji wymagają potwierdzenia ²
OpenAI	OpenAI — opcjonalny dostawca modelu V2 ²	generowanie treści; zakres danych opisano poniżej	Warunki dla używanej konfiguracji wymagają potwierdzenia ²
Stripe	Stripe Payments Europe, Limited (Irlandia)	płatności	EOG / USA
Stripto	Stripto (Polska) ¹	automatyczne fakturowanie do inFakt — dane rozliczeniowe (nazwa, NIP, adres, kwota)	UE
Resend	Resend, Inc. (USA) ¹	e-maile transakcyjne; przypomnienia Terminarza z nazwą firmy, liczbą terminów i rodzajami szkoleń, bez imion, nazwisk i stanowisk; podsumowania BHP Radaru z tytułami publikacji oraz wybranymi nazwami stanowisk i firm z powiązanych dokumentów, bez treści dokumentów i notatek z przeglądu; po wybraniu wysyłki dokumentu e-mailem: adres odbiorcy, temat, treść wiadomości i pełny załącznik PDF, w tym treść dokumentu i ewentualne logo	USA (EU-US DPF)
Sentry	Functional Software, Inc. (USA) ¹	monitoring błędów — przy włączonej integracji aplikacja przekazuje ograniczone dane techniczne; przed wysłaniem usuwa ze zdarzeń treści żądań, dokumenty, załączniki i dane użytkownika	USA (SCC)
Airtable	Formagrid, Inc. (USA) ¹	starsza integracja metadanych technicznych bazy wiedzy; trwałe przeglądy BHP Radaru korzystają z PostgreSQL	USA
Cloudflare	Cloudflare, Inc. (USA) ¹	CDN, ochrona DDoS, szyfrowanie połączeń — adresy IP i metadane żądań; przy włączonym Turnstile także ochrona formularzy przed automatycznymi nadużyciami, token weryfikacji i sygnały techniczne przeglądarki	serwery brzegowe UE / USA (EU-US DPF, SCC)

¹ Dokładną nazwę prawną i aktualne DPA podprocesora należy potwierdzić na jego stronie — podmioty mogą ulec zmianie.
² Generator V2 korzysta z Gemini albo OpenAI zależnie od konfiguracji; Asystent BHP jest wyłączony w tym wydaniu i nie przekazuje pytań do modelu AI. Do wybranego modelu trafiają dane opisowe potrzebne do generacji, a w odpowiednich dokumentach także nazwa i adres pracodawcy oraz podany kontakt służbowy. Automatyczna redakcja rozpoznanych wzorców nie jest pełną anonimizacją. Warunki przetwarzania i transferów wymagają potwierdzenia dla używanej konfiguracji.

O zamierzonych zmianach podprocesorów Procesor informuje z wyprzedzeniem, umożliwiając Administratorowi wyrażenie sprzeciwu (rozwiązanie umowy zgodnie z §13 Regulaminu).
Procesor nakłada na podprocesorów obowiązki ochrony danych nie mniejsze niż wynikające z niniejszej Umowy. W zakresie transferu poza EOG Procesor zapewnia mechanizmy z rozdz. V RODO (m.in. standardowe klauzule umowne / DPA dostawcy).

§6. Usunięcie danych i minimalizacja

Zgodnie z §12 Regulaminu historia konta przechowuje oryginały i zapisane poprawki wszystkich sześciu rodzajów Dokumentów, w tym protokołu powypadkowego i karty Z-KW. Zapis zachowuje dokładną treść i jej identyfikację wersji. Starsze wpisy bez zapisanej treści pozostają niedostępne. Zasady czasu przetwarzania oraz usunięcia lub zwrotu danych określają §1 i niniejszy paragraf; zakres dozwolonych danych pozostaje ograniczony przez §4.
Dane Terminarza szkoleń są przechowywane trwale, do chwili ich usunięcia. Administrator może w każdej chwili, samodzielnie i bez udziału Procesora:
- usunąć pojedynczy wpis pracownika;
- usunąć wszystkie wpisy dotyczące jednego klienta — wraz z klientem usuwane są wszystkie powiązane wpisy pracowników oraz rejestr wysłanych im przypomnień;
- usunąć konto — co powoduje usunięcie wszystkich danych Terminarza tego konta, w tym wpisów nieprzypisanych do żadnego klienta.
Usunięcie jest trwałe i nie polega na ukryciu wpisu. Dane mogą pozostawać w szyfrowanych kopiach zapasowych bazy danych przez okres do 7 dni (okno przywracania u dostawcy bazy), po czym są nadpisywane.
Rejestr wysłanych przypomnień (identyfikator wpisu, data i powód wysyłki) przechowywany jest przez 365 dni i po tym okresie usuwany automatycznie. Służy wyłącznie zapobieganiu wielokrotnej wysyłce tej samej wiadomości.
Procesor nie ustala własnego okresu retencji danych Terminarza. Obowiązek przechowywania dokumentacji szkoleń wynikający z przepisów prawa pracy (w szczególności art. 94 pkt 9b Kodeksu pracy oraz rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej z dnia 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej, Dz.U. poz. 2369) obciąża pracodawcę; Serwis nie jest miejscem prowadzenia dokumentacji pracowniczej w rozumieniu tych przepisów, a Terminarz nie zastępuje akt osobowych ani nie stanowi dowodu odbycia szkolenia.
Po zakończeniu umowy Procesor usuwa lub zwraca dane na żądanie Administratora, chyba że obowiązek przechowywania wynika z przepisów prawa.

§7. Odpowiedzialność i postanowienia końcowe

Odpowiedzialność Stron regulują RODO oraz Regulamin, w tym ograniczenie odpowiedzialności z §11 ust. 5–6 Regulaminu (limit do opłat z ostatnich 3 miesięcy; wyłączenie utraconych korzyści — z zastrzeżeniem bezwzględnie obowiązujących przepisów). Postanowienie §4 ust. 5 niniejszej Umowy stosuje się wprost.
W sprawach nieuregulowanych stosuje się Regulamin oraz prawo polskie.
Umowa wchodzi w życie z chwilą akceptacji przez Administratora w Serwisie.

Wersja 1.1 z dnia 02.08.2026 r. | Regulamin · Polityka Prywatności · ← Strona główna