Umowa Powierzenia Przetwarzania Danych (DPA)

• Administrator: firma-klient rejestrująca się w GetUp i wprowadzająca dane swoich pracowników, klientów, dostawców („Klient”). Klient określa cele i sposoby przetwarzania Danych Osobowych, które wprowadza.
• Podmiot Przetwarzający: GetUp („Dostawca”, „my”). Przetwarza Dane Osobowe wyłącznie na udokumentowane polecenia Klienta i w zakresie dozwolonym przez niniejsze DPA.

W odniesieniu do Danych Konta Klienta (rejestracja, płatności) GetUp działa jako Administrator i przetwarza je zgodnie z Polityką prywatności.

• Przedmiot: hosting, przetwarzanie i udostępnianie danych pracowników, klientów, faktur, zmian, płac, wydatków i podobnych danych operacyjnych wprowadzanych przez Klienta.
• Czas: przez cały okres aktywnej subskrypcji GetUp Klienta, w tym okres zwrotu/ usunięcia danych po rozwiązaniu umowy.
• Charakter: przechowywanie (baza danych Postgres + przechowywanie plików), wyświetlanie, wyszukiwanie, filtrowanie, raportowanie, e-maile transakcyjne, interfejs płatności, integracja z KSeF.
• Cel: umożliwienie Klientowi realizacji obowiązków operacyjnych, kadrowych, finansowych i KSeF w wielu firmach.
• Kategorie osób: pracownicy, klienci, partnerzy biznesowi, dostawcy Klienta.
• Kategorie danych osobowych: imię i nazwisko, kontakt (e-mail, telefon), dane wynagrodzenia/płacowe, godziny pracy, identyfikatory (NIP/REGON), adres, szczegóły faktur, numery referencyjne KSeF.

GetUp przetwarza Dane Osobowe wyłącznie:

• (a) zgodnie z udokumentowanymi poleceniami wydanymi w ramach niniejszego DPA i Umowy Głównej,
• (b) o ile inaczej nie wymaga tego prawo UE lub prawo polskie,
• (c) w zakresie technicznie niezbędnym do świadczenia Usługi.

Jeśli uznamy, że polecenie narusza RODO lub obowiązujące prawo, niezwłocznie informujemy Klienta (art. 28 ust. 3 lit. h).

Podłączenie przez Klienta do Usługi aplikacji podmiotu trzeciego, np. asystenta AI za pomocą konektora GetUp, stanowi udokumentowane polecenie Klienta, aby przez czas trwania połączenia udostępniać tej aplikacji do odczytu dane, których ona zażąda. Jeśli Klient pozwoli aplikacji także proponować zmiany, GetUp przechowuje każdą propozycję i wprowadza zaproponowaną zmianę dopiero po jej zatwierdzeniu przez Klienta w Usłudze; każde takie zatwierdzenie stanowi udokumentowane polecenie Klienta. Jeśli Klient pozwoli aplikacji wprowadzać zmiany, każda zmiana, której aplikacja zażąda w czasie trwania połączenia, stanowi udokumentowane polecenie Klienta, z wyjątkiem usunięcia danych osobowych pracownika, które GetUp wykonuje dopiero po zatwierdzeniu przez Klienta w Usłudze. Dostawca takiej aplikacji nie jest podprocessorem GetUp, lecz odbiorcą wybranym przez Klienta; za umowę z tym dostawcą odpowiada Klient.

Klient udziela ogólnej uprzedniej zgody na korzystanie z następujących podprocessorów:

• Supabase — baza danych i przechowywanie plików (Frankfurt)
• Cloudflare — hosting aplikacji, CDN, przetwarzanie obrazów, analityka bez plików cookie, routing poczty przychodzącej (support@, quote@, privacy@)
• Anthropic — asystent AI
• OpenAI — asystent AI (model zapasowy)
• Upstash — pamięć podręczna i limity zapytań
• Google — logowanie przez Google i synchronizacja z Kalendarzem Google (jeśli używane)
• Stripe — obsługa płatności, zarządzanie subskrypcją
• Resend — poczta transakcyjna

Przy dodawaniu nowego podprocessora lub zmianie dotychczasowego informujemy Klienta e-mailem co najmniej 14 dni wcześniej. Jeśli Klient zgłosi sprzeciw w tym terminie, podejmiemy próbę rozsądnego rozwiązania; w braku porozumienia Klient może rozwiązać umowę bez kary.

Z każdym podprocessorem utrzymujemy pisemną umowę na poziomie ochrony równoważnym art. 28. Aktualną listę podprocessorów można zawsze znaleźć na stronie /compliance.

GetUp stosuje co najmniej następujące środki:

• Szyfrowanie w tranzycie: TLS 1.3 na całym ruchu
• Szyfrowanie w spoczynku: AES-256 (Supabase), warstwa AES-GCM dla hashy haseł
• Kontrola dostępu: autoryzacja oparta na rolach, token sesji podpisany HMAC-SHA256, obowiązkowe 2FA TOTP dla administratorów
• Izolacja danych: polityki dostępu po stronie serwera (dopasowanie companyId per firma), Postgres Row Level Security w tabelach klientów
• Bezpieczeństwo sieci: HTTPS-only, CSP, CORS, weryfikacja podpisu webhooków HMAC
• Region: Supabase, AWS eu-central-1 (Frankfurt) — baza danych i pliki w UE
• Obserwowalność: log aktywności, log zdarzeń subskrypcji, codzienny cron retencji
• Reakcja na incydenty: pisemny breach playbook + rejestr incydentów (art. 33–34)
• Minimalizacja danych: samoobsługowe usuwanie (art. 17), kasowanie kaskadowe, cron retencji

Aktualna, szczegółowa lista TOM jest zawsze dostępna dla Klienta pod adresem /compliance.

Każdy członek personelu GetUp uprawniony do dostępu do Danych Osobowych podlega pisemnemu zobowiązaniu do zachowania poufności lub ustawowym obowiązkom w tym zakresie. Dostęp jest ograniczony zasadą wiedzy koniecznej.

GetUp w rozsądnym zakresie wspiera Klienta w odpowiadaniu na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, przeniesienie, sprzeciw), za pomocą odpowiednich środków technicznych i organizacyjnych. Narzędzia samoobsługowe:

• Art. 20 — Przenoszalność: /api/account/export — zrzut JSON wszystkich danych firmy
• Art. 17 — Usunięcie: samoobsługowe usuwanie konta na stronie Subskrypcja
• Art. 16 — Sprostowanie: ekrany edycji w aplikacji
• Inne żądania: privacy@getup.dev — odpowiedź w ciągu 30 dni

Po uzyskaniu wiedzy o naruszeniu ochrony Danych Osobowych GetUp informuje poszkodowanego Klienta bez zbędnej zwłoki, a w miarę możliwości w ciągu 24 godzin, drogą e-mailową. Zawiadomienie zawiera:

• Charakter naruszenia, kategorie i przybliżoną liczbę osób
• DPO / osoba kontaktowa: privacy@getup.dev
• Prawdopodobne skutki
• Podjęte lub proponowane środki

Każde naruszenie — zgłoszone lub nie — zapisywane jest w wewnętrznym rejestrze incydentów GetUp (art. 33 ust. 5).

Klient ma prawo do corocznej weryfikacji zgodności GetUp z niniejszym DPA. W praktyce prawo to realizowane jest przede wszystkim poprzez wgląd do publikowanych na stronie /compliance rejestru RoPA, TOM i listy podprocessorów oraz, w miarę dostępności, udostępnianie niezależnych raportów audytowych (np. raporty SOC 2 Supabase, Cloudflare i Stripe). Audyt na miejscu wymaga pisemnego zgłoszenia z wyprzedzeniem co najmniej 30 dni; mogą obowiązywać rozsądne zobowiązania dotyczące poufności oraz kosztów.

GetUp przekazuje dane poza UE wyłącznie z zachowaniem odpowiednich zabezpieczeń:

• Standardowe klauzule umowne UE (SCC) — wersja 2021, Moduł 2 (Administrator–Procesor)
• EU-U.S. Data Privacy Framework (DPF) — dla certyfikowanych podprocessorów
• W razie potrzeby — ocena skutków przekazania (TIA) i dodatkowe środki techniczne

Dane podstawowe (firmy, zawartość, przesłane pliki) są przechowywane w regionie Supabase we Frankfurcie — w praktyce większość danych pozostaje w UE.

Po zakończeniu umowy Klient może wybrać:

• (a) Zwrot: Klient może pobrać zrzut danych przez /api/account/export przed zakończeniem.
• (b) Usunięcie: Jeśli Klient wybierze usunięcie samoobsługowe lub nie wyda innego polecenia w ciągu 30 dni od zakończenia, GetUp usuwa kaskadowo wszystkie Dane Osobowe — poza metadanymi KSeF i zapisami faktur, które muszą być przechowywane zgodnie z prawem podatkowym Zjednoczonego Królestwa (6 lat).

W ścieżce audytu (subscriptionEvents) companyId jest pseudonimizowane do "__deleted__", co zrywa powiązanie z danymi osobowymi przy zachowaniu zapisu zdarzenia.

Sprawy poza zakresem niniejszego DPA regulowane są Umową Główną. W przypadku sprzeczności pierwszeństwo ma niniejsze DPA. Prawo właściwe: prawo angielskie i walijskie oraz bezpośrednio stosowane prawo UE (RODO/UK GDPR). Właściwość: sądy angielskie i walijskie — z zastrzeżeniem bezwzględnie obowiązujących ochronnych przepisów konsumenckich i dla małych przedsiębiorców.

Aktualna wersja niniejszego DPA to 2026-10-19, publikowana pod adresem getup.dev/dpa. O istotnych zmianach Klient informowany jest e-mailem z wyprzedzeniem co najmniej 30 dni.

Wersja zaakceptowana przez Klienta podczas rejestracji zapisywana jest na Koncie (wersja DPA, znacznik czasu, IP, user-agent) jako ścieżka audytu.