Umowa powierzenia przetwarzania danych

Data wejścia w życie: 1 września 2026 r.

Niniejsza Umowa powierzenia przetwarzania danych („DPA”) stanowi część Regulaminu usług zawartego pomiędzy MARMEND OÜ, numer rejestrowy 16861477, Narva mnt 5, 10117 Tallinn, Estonia („Marmend”, „Procesor”) a Klientem („Administrator”), i ma zastosowanie automatyczne do wszystkich Klientów w każdym przypadku, gdy Marmend przetwarza dane osobowe na zlecenie Klienta. Umowa ta wdraża postanowienia Artykułu 28 RODO.

1. Role i zakres

W odniesieniu do Danych Klienta — danych osobowych przesyłanych przez Klienta lub jego użytkowników do przestrzeni roboczej Klienta — Klient jest administratorem, a Marmend procesorem. Marmend przetwarza Dane Klienta wyłącznie w celu świadczenia Usługi i wyłącznie zgodnie z udokumentowanymi instrukcjami Klienta, przekazywanymi poprzez konfigurację Usługi i korzystanie z niej oraz niniejszy Regulamin, chyba że wymagają tego przepisy prawa UE lub estońskiego (w takim przypadku Marmend poinformuje Klienta przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania).

2. Szczegóły przetwarzania

1. Przedmiot i czas trwania: świadczenie platformy HR i rekrutacyjnej Marmend przez czas trwania umowy, plus 30-dniowy okres po zakończeniu umowy na eksport danych.
2. Charakter i cel: hosting, przechowywanie, przesyłanie, wyświetlanie, analiza (w tym opcjonalne funkcje wspomagane przez AI, włączone przez Klienta) oraz powiązane przetwarzanie niezbędne do realizacji procesów HR i rekrutacyjnych.
3. Kategorie osób, których dane dotyczą: kandydaci do pracy, pracownicy, kontrahenci oraz użytkownicy platformy Klienta.
4. Kategorie danych osobowych: dane identyfikacyjne i kontaktowe, CV i materiały aplikacyjne, dokumentacja zatrudnienia, notatki i oceny z rozmów kwalifikacyjnych, komunikacja, dane dotyczące planowania oraz wszelkie inne dane osobowe, które Klient zdecyduje się przechowywać. Klient jest odpowiedzialny za nieprzesyłanie szczególnych kategorii danych, chyba że posiada do tego podstawę prawną.

3. Obowiązki Procesora

Marmend zobowiązuje się do: (a) zapewnienia, aby osoby upoważnione do przetwarzania Danych Klienta były związane tajemnicą poufności; (b) wdrożenia odpowiednich środków technicznych i organizacyjnych zgodnie z Art. 32 RODO, w tym izolacji danych dla poszczególnych klientów (multi-tenancy), szyfrowania danych w transporcie oraz kontroli dostępu; (c) przy uwzględnieniu charakteru przetwarzania, wspierania Klienta w odpowiadaniu na żądania osób, których dane dotyczą, oraz w wypełnianiu jego obowiązków wynikających z Art. 32–36 RODO; (d) powiadomienia Klienta bez zbędnej zwłoki po powzięciu informacji o naruszeniu ochrony danych osobowych dotyczących Danych Klienta; (e) po zakończeniu umowy, umożliwienia Klientowi eksportu Danych Klienta przez okres 30 dni, a następnie usunięcia ich z systemów produkcyjnych (kopie zapasowe są usuwane zgodnie z harmonogramem rotacji); (f) udostępnienia informacji niezbędnych do wykazania zgodności z niniejszą umową DPA oraz umożliwienia audytów, zgodnie z Sekcją 6.

4. Podprocesorzy

Klient udziela Marmend ogólnej zgody na korzystanie z usług podprocesorów. Marmend obecnie korzysta z:

1. Hetzner Online GmbH (Niemcy) — hosting chmurowy Usługi.
2. Amazon Web Services (region Frankfurt, Niemcy) — przechowywanie plików (Amazon S3), w tym przesłanych dokumentów takich jak CV, oraz przesyłanie transakcyjnych wiadomości e-mail (Amazon SES).
3. Stripe — przetwarzanie płatności.
4. OpenAI (USA) — niektóre opcjonalne funkcje wspomagane przez AI, angażowane tylko wtedy, gdy Klient włączy te funkcje.

Mldele AI należące do Marmend działają na prywatnej infrastrukturze w Polsce i nie wymagają zaangażowania dodatkowych podprocesorów. Marmend poinformuje Klientów o planowanych zmianach lub zastępstwach, dając Klientowi możliwość zgłoszenia sprzeciwu z uzasadnionych powodów związanych z ochroną danych; Marmend nakłada na podprocesorów obowiązki ochrony danych równoważne tym zawartym w niniejszej umowie DPA i ponosi odpowiedzialność za ich wykonywanie.

Integracje stron trzecich, które Klient podłącza samodzielnie (np. Google, Microsoft, LinkedIn, Telegram, Robota.ua), są angażowane bezpośrednio przez Klienta i nie są podprocesorami Marmend.

5. Przekazywanie danych za granicę

Dany Klienta są przetwarzane w Europejskim Obszarze Gospodarczym — w Niemczech (Hetzner i region AWS Frankfurt) oraz w Polsce (własna infrastruktura AI Marmend). Przekazywanie danych poza EOG następuje tylko wtedy, gdy Klient włączy opcjonalne funkcje AI oparte na OpenAI (USA); takie przekazywanie jest chronione decyzją o stopniu adekwatności (EU–US Data Privacy Framework) lub Standardowymi Klauzulami Umownymi wraz z odpowiednimi środkami uzupełniającymi.

6. Audyty

Marmend udostępni dokumentację (w tym podsumowania środków bezpieczeństwa oraz, jeśli są dostępne, certyfikaty stron trzecich) wystarczającą do wykazania zgodności. Jeśli Klient uzasadnienie będzie wymagał więcej, audyt może zostać przeprowadzony nie częściej niż raz w roku, z co najmniej 30-dniowym wyprzedzeniem, w godzinach pracy, bez zakłócania świadczenia Usługi i z zachowaniem poufności.

7. Odpowiedzialność i pierwszeństwo

Do niniejszej umowy DPA stosują się przepisy o odpowiedzialności zawarte w Regulaminie usług. W przypadku konfliktu między niniejszą umową DPA a Regulaminem w zakresie przetwarzania danych osobowych, pierwszeństwo ma niniejsza umowa DPA.

Kontakt: [email protected] — MARMEND OÜ, Narva mnt 5, 10117 Tallinn, Estonia. Klienci wymagający egzemplarza umowy DPA podpisanego przez obie strony mogą o niego poprosić pod tym samym adresem.