KLAUZULA INFORMACYJNA
dla Zleceniobiorcy / Pracownika / Kandydata
(art. 13 RODO — obowiązek informacyjny administratora danych)
Dokument wręczany osobie onboardowanej w trakcie procesu rejestracji w aplikacji Onboardly.
1. KTO PRZETWARZA TWOJE DANE — ADMINISTRATOR DANYCH
Administratorem Twoich danych osobowych jest pracodawca / zleceniodawca wskazany w treści Twojej umowy (dalej: „Administrator"). Dane kontaktowe Administratora znajdziesz w nagłówku swojej umowy zlecenia lub umowy o pracę.
Onboardly to aplikacja dostarczana przez High5Club Sp. z o.o., ul. M. K. Ogińskiego 11 lok 9, 03-318 Warszawa, NIP 7011064562 (dalej: „Operator"). Operator przetwarza Twoje dane wyłącznie w imieniu Administratora (jako podmiot przetwarzający w rozumieniu art. 28 RODO) — nie jest odrębnym administratorem Twoich danych onboardingowych.
W sprawach dotyczących ochrony danych osobowych możesz skontaktować się z Administratorem pod adresem e-mail wskazanym w umowie lub pod adresem Operatora: dpo@onboardly.work
2. INSPEKTOR OCHRONY DANYCH
Jeśli Administrator powołał Inspektora Ochrony Danych (IOD), dane kontaktowe IOD znajdziesz w dokumentacji kadrowej lub możesz uzyskać je na żądanie od Administratora.
Operator powołał własnego IOD — dostępnego pod adresem: dpo@onboardly.work
3. CELE I PODSTAWY PRAWNE PRZETWARZANIA
| # | Cel przetwarzania | Podstawa prawna | Czas retencji |
|---|---|---|---|
| 1 | Zawarcie i wykonanie umowy (zlecenia / o pracę): weryfikacja tożsamości, zebranie danych niezbędnych do zawarcia umowy | art. 6 ust. 1 lit. b RODO | Czas trwania umowy + terminy z pkt 4 |
| 2 | Obowiązki prawne pracodawcy: zgłoszenie do ZUS (ZUA/ZZA), zaliczki PIT, dokumentacja kadrowa | art. 6 ust. 1 lit. c RODO | Terminy z pkt 4 |
| 3 | Weryfikacja tożsamości KYC (skan/zdjęcie dokumentu, selfie): zapobieganie fraudom i zatrudnieniu osób nieupoważnionych | art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) lub — w zakresie danych biometrycznych — Twoja zgoda (art. 9 ust. 2 lit. a RODO) | Do zakończenia onboardingu + 30 dni bufor |
| 4 | Archiwizacja dokumentacji pracowniczej (UoP): obowiązki wynikające z art. 94 pkt 9b–9c KP | art. 6 ust. 1 lit. c RODO | 10 lat od zakończenia roku kalendarzowego ustania stosunku pracy (dla umów po 01.01.2019) |
| 5 | Archiwizacja dokumentacji zlecenia (UZ): dokumentacja ZUS / podatkowa | art. 6 ust. 1 lit. c RODO | 5 lat podatkowych + 5 lat ZUS (liczy się późniejszy) |
| 6 | Dochodzenie i obrona roszczeń | art. 6 ust. 1 lit. f RODO | Do przedawnienia roszczeń |
| 7 | Badania wstępne / BHP / medycyna pracy: skierowanie, rejestracja wyników | art. 6 ust. 1 lit. c RODO w zw. z art. 229 KP | Do daty ważności orzeczenia lub ustania zatrudnienia |
| 8 | Statystyki i analiza techniczna (zanonimizowane) | art. 6 ust. 1 lit. f RODO | Zanonimizowane — bez limitu |
4. OKRESY PRZECHOWYWANIA DANYCH
| Typ dokumentu | Okres retencji | Podstawa |
|---|---|---|
| Dokumentacja pracownicza UoP (po 01.01.2019) | 10 lat od końca roku kalendarzowego ustania stosunku pracy | art. 94 pkt 9b KP |
| Dokumentacja zlecenia UZ | 5 lat podatkowych od wystawienia PIT-11 | Ordynacja podatkowa |
| Dokumentacja ZUS (ZUA, ZZA, ZWUA) | 5 lat od złożenia deklaracji | ustawa o systemie ubezpieczeń społecznych |
| Dane KYC / biometryczne | Do zakończenia procesu onboardingu + 30 dni | Umowa powierzenia z Sumsub |
| Dane konta w aplikacji Onboardly | Do usunięcia konta lub przez 12 miesięcy od ostatniej aktywności | art. 6 ust. 1 lit. f RODO |
5. SZCZEGÓLNE KATEGORIE DANYCH (ART. 9 RODO)
5.1. Dane o zdrowiu (zaświadczenia lekarskie)
Przetwarzamy dane o Twoim stanie zdrowia (zaświadczenia medycyny pracy) wyłącznie w zakresie niezbędnym do realizacji obowiązków pracodawcy wynikających z art. 229 KP — na podstawie art. 9 ust. 2 lit. b RODO (wykonanie obowiązków w dziedzinie prawa pracy) w zw. z art. 229 KP.
5.2. Dane biometryczne (KYC)
W trakcie procesu onboardingu możemy poprosić o:
- zdjęcie dokumentu tożsamości (awers / rewers),
- selfie / zdjęcie twarzy do porównania z dokumentem.
Te dane są danymi biometrycznymi w rozumieniu art. 4 pkt 14 RODO.
Podstawa przetwarzania: Twoja wyraźna zgoda (art. 9 ust. 2 lit. a RODO). Zgoda jest dobrowolna, jednak jej brak może uniemożliwić ukończenie weryfikacji tożsamości wymaganej przez pracodawcę / zleceniodawcę.
Logika: porównanie danych z dokumentu z danymi z formularza; ocena techniczna jakości obrazu i autentyczności dokumentu. Funkcja nie obejmuje automatycznego scoringu AML ani sprawdzania na listach sankcyjnych.
Odwołanie zgody: masz prawo cofnąć zgodę w dowolnym momencie — cofnięcie nie wpływa na legalność przetwarzania dokonanego przed cofnięciem.
5.3. AML / CASP
Operator nie jest na dzień wydania niniejszej klauzuli instytucją obowiązaną w rozumieniu ustawy z 1.03.2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ustawa AML) ani dostawcą usług w zakresie kryptoaktywów (CASP) w rozumieniu rozporządzenia (UE) 2023/1114 (MiCA). W konsekwencji nie stosujemy art. 9 ust. 2 lit. g RODO — jedyną podstawą przetwarzania danych biometrycznych pozostaje Twoja zgoda.
6. ODBIORCY DANYCH
Twoje dane mogą być udostępniane następującym kategoriom odbiorców:
| Odbiorca | Cel |
|---|---|
| High5Club Sp. z o.o. (Operator Onboardly) | Dostarczanie i utrzymanie aplikacji (podmiot przetwarzający) |
| Sumsub (Sum and Substance Ltd, Londyn) | Weryfikacja tożsamości KYC (podmiot przetwarzający) |
| Resend Inc. (USA) | Wysyłka e-mail transakcyjnych (podmiot przetwarzający, DPF) |
| Vercel Inc. (USA) | Hosting aplikacji (podmiot przetwarzający, DPF) |
| Google LLC (USA) | Archiwizacja dokumentów w Google Drive, e-mail (podmiot przetwarzający, DPF) |
| Neon Inc. (USA) | Baza danych (podmiot przetwarzający, SCC) |
| ZUS, US, PIP, sądy, organy ścigania | Wyłącznie w zakresie wynikającym z obowiązków prawnych |
| Dostawca usług kadrowo-płacowych | Naliczanie wynagrodzeń, deklaracje ZUS/PIT |
| Dostawca BHP / medycyny pracy | Obsługa szkoleń BHP i badań wstępnych |
GIIF nie jest odbiorcą Twoich danych z Onboardly, ponieważ Operator nie jest instytucją obowiązaną w rozumieniu ustawy AML.
7. TRANSFERY POZA EOG
Część podprocesorów (Vercel, Resend, Neon, Google, Sumsub) ma siedzibę w USA. Transfery są zabezpieczone:
- EU-U.S. Data Privacy Framework (DPF) — dla podmiotów zarejestrowanych w DPF (Vercel, Resend, Google),
- standardowymi klauzulami umownymi (SCC) wg decyzji KE (UE) 2021/914 — dla pozostałych.
Aktualny rejestr podprocesorów dostępny na żądanie: dpo@onboardly.work
8. ZAUTOMATYZOWANE PODEJMOWANIE DECYZJI / PROFILOWANIE
Operator nie stosuje profilowania marketingowego, scoringu kredytowego ani scoringu na potrzeby zatrudnienia.
Wyniki weryfikacji KYC (porównanie zdjęcia z dokumentem) mają charakter technicznej oceny jakości obrazu — ostateczna decyzja o zatrudnieniu należy do Administratora (pracodawcy).
9. TWOJE PRAWA
Na podstawie RODO przysługują Ci następujące prawa (z zastrzeżeniem ograniczeń wynikających z przepisów szczególnych):
| Prawo | Jak z niego skorzystać |
|---|---|
| Dostęp do danych (art. 15) | Wniosek do Administratora lub Operatora |
| Sprostowanie danych (art. 16) | j.w. |
| Usunięcie danych (art. 17) | j.w. — z zastrzeżeniem obowiązków archiwizacyjnych (pkt 4) |
| Ograniczenie przetwarzania (art. 18) | j.w. |
| Przeniesienie danych (art. 20) — tylko dla przetwarzania na podstawie zgody lub umowy | j.w. |
| Sprzeciw wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 21) | j.w. |
| Cofnięcie zgody (art. 7 ust. 3) — na przetwarzanie danych biometrycznych | j.w. |
Wnioski realizowane w ciągu 30 dni (art. 12 ust. 3 RODO); w sprawach złożonych — do 3 miesięcy z poinformowaniem o przedłużeniu.
10. PRAWO DO SKARGI DO ORGANU NADZORCZEGO
Masz prawo wnieść skargę do organu nadzorczego, jeżeli uważasz, że przetwarzanie Twoich danych narusza RODO. Organem nadzorczym w Polsce jest:
Prezes Urzędu Ochrony Danych Osobowych (PUODO) ul. Stawki 2, 00-193 Warszawa e-mail: kancelaria@uodo.gov.pl infolinia: 606-950-000
11. DOBROWOLNOŚĆ PODANIA DANYCH
Podanie danych wymaganych przez prawo pracy (PESEL, adres, nr konta) jest obowiązkowe — bez nich zawarcie umowy nie jest możliwe.
Podanie danych biometrycznych (zdjęcie twarzy, skan dokumentu) jest dobrowolne — oparte na Twojej zgodzie; brak zgody może uniemożliwić ukończenie procesu weryfikacji tożsamości.
12. FORMULARZ POTWIERDZENIA I ZGÓD
Poniższy blok jest wypełniany przez osobę onboardowaną (wydruk lub e-podpis w aplikacji).
Ja, niżej podpisana/podpisany:
Imię i nazwisko: …………………………………………………………
Data urodzenia: ……………………… | PESEL: ………………………………………
potwierdzam, że:
- przed podpisaniem umowy zapoznałem(-am) się z niniejszą klauzulą informacyjną (art. 13 RODO),
- przyjąłem(-am) do wiadomości informacje o przetwarzaniu moich danych osobowych przez Administratora wskazanego w mojej umowie.
□ ZGODA NA WERYFIKACJĘ BIOMETRYCZNĄ (dobrowolna)
Wyrażam wyraźną zgodę na przetwarzanie moich danych biometrycznych (zdjęcie twarzy, porównanie ze zdjęciem z dokumentu tożsamości) przez Administratora oraz Operatora (High5Club Sp. z o.o., NIP 7011064562), w celu zautomatyzowanej weryfikacji mojej tożsamości w procesie onboardingu.
Wiem, że:
- zgoda jest dobrowolna i mogę ją cofnąć w dowolnym momencie,
- cofnięcie zgody nie wpływa na legalność wcześniejszego przetwarzania,
- dane biometryczne nie będą wykorzystywane w celach AML.
Data: ………………………… | Podpis: …………………………………………
Wersja: 2.0 — High5Club Sp. z o.o., Onboardly. Aktualna wersja dostępna na: https://onboardly.work/klauzula-informacyjna*