Prawnie wiążąca jest wersja niemiecka.

Umowa powierzenia przetwarzania danych (art. 28 RODO)

Wersja 2026-10, stan na: 13 października 2026 r.

Niniejsza umowa (dalej „ADV”, od niem. Auftragsverarbeitungsvertrag) obowiązuje pomiędzy Klientem a wskazanym w nocie prawnej (Impressum) dostawcą todo.monster. Klient jest administratorem (art. 4 pkt 7 RODO): decyduje, jakie dane trafiają do todo.monster i w jakim celu. Usługodawca jest podmiotem przetwarzającym (art. 4 pkt 8 RODO): przechowuje i przetwarza te dane wyłącznie na rzecz Klienta. Kim są strony i kto je reprezentuje, wynika z umowy o korzystanie z todo.monster (dalej „umowa główna”: Ogólne Warunki Handlowe wraz z zamówioną taryfą lub umowa pilotażowa).

Zakres obowiązywania i hierarchia

(1) todo.monster jest skierowany wyłącznie do przedsiębiorców (§ 14 BGB). Niniejsza ADV jest zawierana przy rejestracji razem z Ogólnymi Warunkami Handlowymi. Znajduje zastosowanie, gdy tylko w projektach, obszarach firmowych, skrzynkach pocztowych lub kalendarzach Klienta znajdą się dane innych osób, na przykład nazwisko zainteresowanego w zadaniu, dostawczyni jako nadawczyni wiadomości e-mail lub uczestnicy spotkania. Jeżeli Klient przetwarza tam wyłącznie własne dane, niniejsza ADV nie rodzi żadnych obowiązków.

(2) W odniesieniu do niektórych kwestii Usługodawca sam jest administratorem, a nie podmiotem przetwarzającym: w odniesieniu do konta użytkownika każdej poszczególnej osoby, logowania, rozliczeń, protokołów zgód, bezpieczeństwa i ochrony Usługi przed nadużyciami, programu pilotażowego i onboardingu oraz systemowych wiadomości e-mail do właścicieli kont. Te operacje przetwarzania nie należą do powierzenia; opisano je w polityce prywatności.

(3) W razie sprzeczności między niniejszą ADV a umową główną w kwestiach ochrony danych obowiązuje niniejsza ADV. Umowa pilotażowa może uzupełniać niniejszą ADV, ale nie może osłabiać żadnego wynikającego z niej obowiązku.

(4) Wiążąca jest wyłącznie wersja niemiecka. Tłumaczenia pomagają w zrozumieniu; w razie rozbieżności obowiązuje tekst niemiecki.

(5) Klient zawiera niniejszą ADV w formie elektronicznej (art. 28 ust. 9 RODO), potwierdzając ją przy rejestracji. Jeżeli później zamówi taryfę firmową lub umowę pilotażową, potwierdza ponownie wersję obowiązującą w tym momencie. Dla każdego potwierdzenia Usługodawca zapisuje wersję, czas i sumę kontrolną potwierdzonego tekstu.

§ 1 Przedmiot i czas trwania

(1) Usługodawca udostępnia Klientowi todo.monster jako oprogramowanie przez Internet. Obejmuje to: zadania i projekty, rejestrację czasu pracy, komentarze i załączniki, firmowe skrzynki pocztowe oraz skrzynki pocztowe i kalendarze, które Klient lub jego użytkownicy połączą, powiadomienia, konwersję AI wiadomości e-mail w zadanie (tylko gdy uruchomi ją użytkownik) oraz zgłoszenia błędów ze zrzutem ekranu. Przetwarzanie oznacza przy tym: przechowywanie, wyświetlanie, przekazywanie do wybranych przez Klienta systemów docelowych (np. wysłanie odpowiedzi przez połączoną skrzynkę pocztową), tworzenie kopii zapasowych, umieszczanie w koszu oraz pomoc w ramach wsparcia. Co dokładnie dzieje się z jakimi danymi, opisano w Załączniku A.

(2) Niniejsza ADV obowiązuje tak długo jak umowa główna. Kończy się dopiero wtedy, gdy dane zostaną zwrócone lub usunięte zgodnie z § 11.

§ 2 Charakter i cel przetwarzania, rodzaje danych, osoby, których dane dotyczą

Co Usługodawca robi z jakimi danymi, w jakim celu, jakich rodzajów danych to dotyczy i których osób, opisano w Załączniku A, uporządkowanym według funkcji Usługi.

§ 3 Polecenia

(1) Usługodawca przetwarza dane Klienta wyłącznie w celu świadczenia Usługi zgodnie z umową i wyłącznie tak, jak Klient to nakazuje poprzez niniejszą umowę, OWH i korzystanie z Usługi. Każde wprowadzenie danych, ustawienie i uruchomienie funkcji w Usłudze uznaje się za polecenie. Tylko jeżeli prawo Unii Europejskiej lub Niemiec zobowiązuje Usługodawcę do innego przetwarzania, np. do wydania danych organowi lub przechowywania danych fakturowych, może on od tego odstąpić. W takim przypadku informuje Klienta uprzednio, o ile prawo tego nie zabrania.

(2) Poleceniami są na przykład: utworzenie, zmiana lub usunięcie zadania; zaproszenie członka lub gościa; połączenie skrzynki pocztowej lub kalendarza dostawcy zewnętrznego; uruchomienie funkcji AI dla pojedynczej wiadomości e-mail; wysłanie zgłoszenia błędu ze zrzutem ekranu; uruchomienie eksportu danych. Usługodawca wykonuje wówczas dokładnie to, co obiecuje dana funkcja, i nic ponadto.

(3) Jeżeli Klient życzy sobie czegoś, czego nie obejmuje żadna funkcja Usługi, na przykład przywrócenia projektu, którego nie znajduje już w koszu, przesyła polecenie w formie tekstowej na adres support@todo.monster. Polecenia wydaje sam Klient; w przypadku firmy w todo.monster jej właściciel oraz zarządcy wskazani w zarządzaniu firmą. Usługodawca potwierdza otrzymanie i odnotowuje, co i kiedy wykonał.

(4) Przywracanie: Usunięte projekty, moduły, zadania, skrzynki pocztowe i kalendarze pozostają w koszu przez okres wskazany w Załączniku B, pkt 3. Klient i jego uprawnieni użytkownicy przywracają je stamtąd samodzielnie. Jeżeli Klient prosi Usługodawcę o przywrócenie, stanowi to polecenie w rozumieniu ustępu 3. Usługodawca wykonuje je, jeżeli dane są jeszcze technicznie dostępne; nie może zagwarantować terminu ani powodzenia. Jakie dane Usługodawca przy tym widzi, opisano w Załączniku B, pkt 5.

(5) Jeżeli Usługodawca uzna polecenie za naruszenie RODO lub innego przepisu o ochronie danych, niezwłocznie informuje o tym Klienta. Do czasu potwierdzenia lub zmiany polecenia przez Klienta Usługodawca może wstrzymać się z jego wykonaniem.

§ 4 Obowiązki Klienta

(1) Klient odpowiada za to, że w ogóle może przetwarzać dane: potrzebuje podstawy prawnej, informuje osoby, których dane dotyczą, i odpowiada na ich żądania. Przykład: Jeżeli pracownik Klienta tworzy zadanie z nazwiskiem i numerem telefonu zainteresowanego, to Klient, a nie Usługodawca, musi być w stanie uzasadnić to wobec zainteresowanego.

(2) Jeżeli Klient prowadzi firmę w todo.monster, sam nadaje role (właściciel, zarządca, członek, gość) i odbiera je, gdy ktoś odchodzi. Informuje swoich użytkowników, że ich treści w obszarach firmowych należą do firmy.

(3) Jeżeli Klient lub jeden z jego użytkowników łączy skrzynkę pocztową lub kalendarz dostawcy zewnętrznego, na przykład konto Microsoft, to Klient wybrał tego odbiorcę. Ponosi odpowiedzialność za to, że dane mogą tam trafić, również jeżeli dostawca zewnętrzny przetwarza je poza Europejskim Obszarem Gospodarczym (§ 13 ust. 3).

(4) Funkcja AI przekształca wiadomość e-mail w zadanie tylko wtedy, gdy użytkownik uruchomi to dla dokładnie tej wiadomości; każdy użytkownik może wyłączyć tę funkcję dla siebie. Klient decyduje, czy jego użytkownicy mogą z niej korzystać, i odpowiada za podstawę prawną wobec swoich użytkowników i nadawców wiadomości e-mail. Swoją własną rolę w tym zakresie Usługodawca opisuje w polityce prywatności.

(5) todo.monster nie jest przeznaczony do szczególnych kategorii danych (art. 9 RODO, np. dane dotyczące zdrowia), danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO) ani danych objętych tajemnicą zawodową (§ 203 niemieckiego Kodeksu karnego, StGB, np. akta klientów kancelarii). Jeżeli Klient mimo to chce zlecić przetwarzanie takich danych, uzgadnia to uprzednio z Usługodawcą w formie tekstowej.

(6) Klient utrzymuje w aktualności adres e-mail swojego konta, a w przypadku firmy adres właściciela firmy. Na ten adres kierowane są zawiadomienia według § 7 i § 10.

§ 5 Poufność

Wszystkie osoby, które u Usługodawcy mogą mieć do czynienia z danymi Klienta, są pisemnie zobowiązane do zachowania poufności lub podlegają ustawowemu obowiązkowi zachowania tajemnicy (art. 28 ust. 3 lit. b RODO). Obowiązek ten trwa również po zakończeniu ich działalności. Do treści Klienta mają one zresztą dostęp wyłącznie w przypadkach wyczerpująco wymienionych w Załączniku B, pkt 5.

§ 6 Środki techniczne i organizacyjne

(1) Usługodawca chroni dane za pomocą środków opisanych w Załączniku B (art. 32 RODO), na przykład poprzez szyfrowane przechowywanie tekstów zadań oraz model ról, który weryfikuje każde żądanie po stronie serwera. Środki te stanowią minimalny standard, na który strony umawiają się przy zawarciu umowy.

(2) Usługodawca może rozwijać te środki, o ile ochrona nie ulegnie przez to pogorszeniu. Istotne zmiany odnotowuje; aktualna wersja Załącznika B jest dostępna na tej stronie.

§ 7 Podwykonawcy przetwarzania

(1) Usługodawca może korzystać z przedsiębiorstw wymienionych w Załączniku C, sekcja 1, na przykład z hostingodawcy, u którego działa baza danych. Rejestrując się, Klient zatwierdza tę listę (ogólna zgoda, art. 28 ust. 2 RODO).

(2) Jeżeli Usługodawca chce dodać kolejne przedsiębiorstwo lub wymienić jedno z nich, wysyła uprzednio do Klienta systemową wiadomość e-mail na adres według § 4 ust. 6 i aktualizuje Załącznik C. Klient ma 30 dni od otrzymania na wniesienie sprzeciwu w formie tekstowej z powodów związanych z ochroną danych. Przed upływem tego terminu zmiana nie staje się wobec niego skuteczna.

(3) Jeżeli Klient wniesie sprzeciw, może wypowiedzieć umowę główną ze skutkiem na dzień, w którym zmiana staje się skuteczna. Zwrot i usunięcie danych regulują postanowienia § 11.

(4) Również zmiana usługi dostarczającej model językowy dla funkcji AI stanowi zmianę w rozumieniu ustępu 2, nawet jeżeli Usługodawca zmienia w tym celu jedynie ustawienie.

(5) Na każdego podwykonawcę przetwarzania Usługodawca nakłada w drodze umowy te same obowiązki w zakresie ochrony danych, które sam ma na podstawie niniejszej ADV, przede wszystkim wystarczające środki ochrony (art. 28 ust. 4 RODO). Jeżeli podwykonawca przetwarzania czegoś zaniedba, Usługodawca odpowiada za to wobec Klienta jak za własne zaniedbanie.

(6) Podwykonawcami przetwarzania nie są odbiorcy z Załącznika C, sekcja 2, którzy nie otrzymują żadnych danych z powierzenia, ani usługi z Załącznika C, sekcja 3, które Klient lub jego użytkownicy łączą samodzielnie.

§ 8 Wsparcie przy realizacji praw osób, których dane dotyczą

(1) Jeżeli osoba zwraca się do Klienta o dostęp do swoich danych, ich sprostowanie, usunięcie, ograniczenie przetwarzania lub przeniesienie albo wnosi sprzeciw wobec przetwarzania (rozdział III RODO), Usługodawca pomaga Klientowi odpowiedzieć na żądanie (art. 28 ust. 3 lit. e RODO). Pierwszym środkiem są funkcje Usługi: wyszukiwanie i wyświetlanie, edycja i usuwanie treści, usuwanie członków i gości oraz eksport danych (§ 11 ust. 3). Przykład: Jeżeli były partner biznesowy żąda dostępu do danych, Klient sam wyszukuje jego nazwisko w swoich projektach i skrzynkach pocztowych. Jeżeli to nie wystarcza, Usługodawca pomaga na wniosek w formie tekstowej; może za to żądać stosownego wynagrodzenia według nakładu pracy, chyba że żądanie wynika z błędu Usługodawcy.

(2) Jeżeli osoba zwraca się bezpośrednio do Usługodawcy i chodzi o dane, które Usługodawca przetwarza na rzecz Klienta, Usługodawca niezwłocznie przekazuje żądanie Klientowi i nie odpowiada na nie samodzielnie. Osobę tę informuje o przekazaniu.

§ 9 Wsparcie przy obowiązkach według art. 32 do 36 RODO

Usługodawca pomaga Klientowi w wywiązywaniu się z obowiązków wynikających z art. 32 do 36 RODO (art. 28 ust. 3 lit. f RODO): w zakresie bezpieczeństwa przetwarzania poprzez środki z Załącznika B, w przypadku naruszeń ochrony danych poprzez zgłoszenie według § 10 oraz poprzez informacje o przetwarzaniu, gdy Klient przeprowadza ocenę skutków dla ochrony danych lub musi uprzednio skonsultować się ze swoim organem nadzorczym. Uwzględnia przy tym to, co wie o przetwarzaniu i jak ono przebiega. Wnioski kierowane są w formie tekstowej na adres support@todo.monster.

§ 10 Zgłaszanie naruszeń ochrony danych osobowych

(1) Jeżeli Usługodawca dowie się o naruszeniu ochrony danych osobowych dotyczącym danych Klienta, np. o nieuprawnionym dostępie do bazy danych lub wycieku z kopii zapasowej, zgłasza to Klientowi niezwłocznie na adres według § 4 ust. 6 (art. 33 ust. 2 RODO). Zgłasza tak szybko, aby Klient mógł dotrzymać własnego terminu 72 godzin wobec organu nadzorczego (art. 33 ust. 1 RODO).

(2) Zgłoszenie zawiera, o ile Usługodawca już to wie: co się stało, jakie rodzaje danych i w przybliżeniu ile osób i rekordów danych jest dotkniętych, jakie są prawdopodobne konsekwencje, co Usługodawca zrobił i proponuje oraz kto u Usługodawcy jest osobą kontaktową (art. 33 ust. 3 RODO). To, czego jeszcze nie wie, uzupełnia, gdy tylko się dowie.

(3) Usługodawca natychmiast zabezpiecza dane, ogranicza szkodę i uzgadnia dalsze kroki z Klientem.

§ 11 Zakończenie powierzenia, zwrot i usunięcie danych

(1) Dla firmy powierzenie kończy się, gdy taryfa firmowa lub umowa pilotażowa zostanie wypowiedziana lub w inny sposób zakończona bez bezpośredniego przejścia do innej taryfy firmowej, albo gdy firma zostanie rozwiązana (dalej „zakończenie umowy”). Zmiana między taryfami firmowymi lub przejście z umowy pilotażowej do taryfy firmowej nie kończy powierzenia. Dla Klienta bez firmy powierzenie kończy się z chwilą usunięcia przez niego konta; przebieg opisuje polityka prywatności.

(2) Po zakończeniu umowy właściciel firmy może jeszcze przez 30 dni odczytywać i eksportować dane firmy. W tym czasie samodzielnie odzyskuje dane za pomocą eksportu firmowego. Jeżeli Klient chce zamiast tego, aby dane zostały natychmiast usunięte, informuje o tym Usługodawcę w formie tekstowej; Usługodawca usuwa je wówczas niezwłocznie. W ten sposób Klient ma wybór między zwrotem a usunięciem (art. 28 ust. 3 lit. g RODO).

(3) Eksport firmowy jest drogą zwrotu danych: Właściciel firmy pobiera archiwum w powszechnych formatach nadających się do odczytu maszynowego (JSON, CSV) zawierające projekty, moduły, zadania, komentarze, wpisy czasu, przypisania, tagi, reguły cykliczności, historię zmian i załączniki. Nie są objęte treści firmowych skrzynek pocztowych i połączonych skrzynek pocztowych, kalendarze i terminy, faktury i dowody księgowe oraz profile innych osób. Jeżeli Klient potrzebuje treści skrzynek pocztowych lub kalendarzy, żąda ich w formie tekstowej w ciągu 30 dni z ustępu 2; Usługodawca udostępnia je w ciągu 30 dni od otrzymania żądania, o ile są jeszcze dostępne. Klienci bez firmy korzystają z osobistego eksportu danych o tym samym zakresie dla swoich własnych projektów.

(4) Faktury i dowody księgowe, które Usługodawca wystawił Klientowi jako administrator, pozostają w każdej chwili dostępne na koncie; nie należą do powierzenia.

(5) 60 dni po zakończeniu umowy automatyczny proces porządkujący usuwa dane firmy wraz z koszem, o ile żaden przepis nie wymaga dłuższego przechowywania. W kopiach zapasowych hostingodawcy dane są nadpisywane w ciągu kolejnych 30 dni. Kopia zapasowa zawierająca usunięte dane jest przywracana wyłącznie po awarii; następnie Usługodawca ponownie wykonuje już dokonane usunięcia.

(6) Osobiste konta członków i gości pozostają nienaruszone przez zakończenie umowy; ich własne dane poza firmą pozostają na ich kontach. Nie są usuwane dane, które Usługodawca musi przechowywać jako administrator: faktury i dowody księgowe (§ 147 niemieckiej Ordynacji podatkowej (AO), § 257 niemieckiego Kodeksu handlowego (HGB)), protokoły zgód oraz protokoły audytu bez danych treściowych. Do tych danych po zakończeniu umowy nie stosuje się już niniejsza ADV, lecz polityka prywatności.

(7) Na wniosek Usługodawca potwierdza usunięcie w formie tekstowej. Do czasu zakończenia zwrotu i usunięcia niniejsza ADV obowiązuje nadal.

§ 12 Dowody i udział w audytach

(1) Klient może sprawdzać, czy Usługodawca przestrzega niniejszej ADV (art. 28 ust. 3 lit. h RODO). Usługodawca udziela mu w tym celu wszystkich niezbędnych informacji i uczestniczy w audytach przeprowadzanych przez samego Klienta lub przez upoważnionego przez niego audytora zobowiązanego do zachowania poufności.

(2) Audyt odbywa się na podstawie dokumentów: Na wniosek Usługodawca udostępnia aktualną wersję Załączników B i C, własne oświadczenie dotyczące środków z Załącznika B, dowody, raporty i certyfikaty swojego hostingodawcy i pozostałych podwykonawców przetwarzania oraz odpowiedzi na pytania Klienta w formie tekstowej. Audyt na miejscu u Usługodawcy lub u jego podwykonawców przetwarzania nie jest przewidziany. W audytach organu nadzorczego Usługodawca uczestniczy bez zmian.

(3) Usługodawca może chronić tajemnice przedsiębiorstwa i dane innych klientów oraz ograniczyć informacje do systemów i dokumentów dotyczących Klienta.

§ 13 Miejsce przetwarzania i państwa trzecie

(1) Usługodawca i jego podwykonawcy przetwarzania z Załącznika C, sekcja 1 przetwarzają dane Klienta wyłącznie w Niemczech.

(2) Do państwa poza UE i Europejskim Obszarem Gospodarczym Usługodawca z własnej decyzji niczego nie przekazuje. Gdyby kiedykolwiek chciał to zrobić, stanowiłoby to zmianę w rozumieniu § 7 ust. 2, a warunki art. 44 i nast. RODO musiałyby być spełnione.

(3) Inaczej jest w przypadku usług, które Klient lub jego użytkownicy sami łączą z todo.monster (Załącznik C, sekcja 3): skrzynki pocztowe przez IMAP i SMTP, kalendarze przez CalDAV oraz kalendarze Google i Microsoft. Usługodawca przekazuje tam tylko to, czego wymaga dana funkcja, na przykład termin utworzony w Usłudze do połączonego kalendarza. To, czy taka usługa przetwarza dane poza Europejskim Obszarem Gospodarczym, zależy od wybranej usługi; w przypadku Google i Microsoft należy liczyć się z przetwarzaniem w USA. Za dopuszczalność tego przekazania i istnienie niezbędnych gwarancji odpowiada Klient (§ 4 ust. 3).

§ 14 Odpowiedzialność i postanowienia końcowe

(1) Do odpowiedzialności stron stosuje się klauzulę odpowiedzialności z Ogólnych Warunków Handlowych. Ustawowa odpowiedzialność wobec osób, których dane dotyczą, na podstawie art. 82 RODO pozostaje nienaruszona.

(2) Zmiany niniejszej ADV wymagają formy tekstowej. Usługodawca może je zmieniać, jeżeli zmieni się przetwarzanie, podwykonawcy przetwarzania lub stan prawny; informuje Klienta systemową wiadomością e-mail z wyprzedzeniem co najmniej 30 dni. Do Załącznika C stosuje się § 7 ust. 2.

(3) Obowiązuje prawo niemieckie. Sądem właściwym jest sąd w Berlinie, jeżeli Klient jest kupcem (Kaufmann), osobą prawną prawa publicznego lub publicznoprawnym funduszem specjalnym.

(4) Jeżeli jedno z postanowień niniejszej ADV jest nieskuteczne, pozostałe pozostają skuteczne; w jego miejsce wchodzi regulacja ustawowa.

Załącznik A: Przedmiot przetwarzania

1. Funkcje i cele

Usługodawca przetwarza dane Klienta w celu udostępnienia Klientowi i jego firmie następujących funkcji. Funkcja przetwarza dane tylko wtedy, gdy Klient lub jego użytkownicy z niej korzystają.

2. Kategorie osób, których dane dotyczą

• Sam Klient oraz właściciel, zarządcy i członkowie jego firmy (pracownicy, zleceniobiorcy, pełnomocnicy).
• Goście projektów i zaproszone osoby zewnętrzne: osoby bez własnego miejsca w firmie, które Klient lub jego użytkownicy zapraszają do projektów, również takie, których zaproszenie jest jeszcze otwarte. Ich treści w projektach Klienta są danymi Klienta. W odniesieniu do własnego konta użytkownika w todo.monster są użytkownikami Usługodawcy; w tym zakresie obowiązuje polityka prywatności.
• Nadawcy i odbiorcy wiadomości e-mail w firmowych skrzynkach pocztowych i połączonych skrzynkach pocztowych oraz osoby wymienione w wiadomościach.
• Uczestnicy terminów w kalendarzu.
• Klienci, partnerzy biznesowi, dostawcy i inne osoby trzecie, których dane użytkownicy Klienta rejestrują w zadaniach, komentarzach, załącznikach, wpisach czasu, uwagach dotyczących aplikacji lub zrzutach ekranu.

3. Czas trwania

Przetwarzanie trwa tak długo jak umowa główna, do zwrotu lub usunięcia danych zgodnie z § 11. W okresie obowiązywania stosuje się okresy z Załącznika B, pkt 3 dla kosza i protokołów.

Załącznik B: Środki techniczne i organizacyjne (art. 32 RODO)

Środki opisano według ich miejsca: w Usłudze (opracowane i obsługiwane przez Usługodawcę), u hostingodawcy (przez podwykonawcę przetwarzania z Załącznika C, sekcja 1) lub organizacyjnie u Usługodawcy. Usługodawca zobowiązuje się wyłącznie do środków, które są wdrożone.

1. Poufność

• Dostęp fizyczny i dostęp do systemów u hostingodawcy: Serwery znajdują się w centrach danych hostingodawcy w Niemczech z ochroną wstępu i kontrolą dostępu zgodnie z jego koncepcją bezpieczeństwa; Usługodawca udostępnia ją na wniosek jako dowód (§ 12). Sam Usługodawca nie ma dostępu fizycznego.
• Dostęp do Usługi: Logowanie adresem e-mail i hasłem lub przez link logowania wysyłany na zapisany adres e-mail. Hasła są przechowywane wyłącznie jako hash; nowe hasła muszą spełniać minimalne wymagania i są sprawdzane pod kątem znanych wycieków danych, przy czym hasło nie opuszcza Usługi. Próby logowania są ograniczone na adres nadawcy i na konto. Sesje wygasają po dwóch godzinach bez aktywności; pliki cookie sesji obowiązują wyłącznie przez HTTPS i są niedostępne dla skryptów. Tokeny dostępu aplikacji mobilnej i interfejsu programistycznego wygasają po 30 dniach i mogą zostać w każdej chwili unieważnione.
• Dostęp w ramach Usługi: Model ról na firmę (właściciel, zarządca, członek, gość) i na projekt; każdy dostęp do odczytu i zapisu zadań, projektów i firm serwer weryfikuje względem centralnych reguł uprawnień. Konto administracyjne Usługodawcy nie może odczytywać opisów, komentarzy, załączników, treści skrzynek pocztowych i kalendarzy; to, co widzi, wyczerpująco opisano w pkt 5.
• Separacja: Dane wszystkich klientów znajdują się we wspólnej bazie danych i są logicznie rozdzielone poprzez przypisanie do firmy i projektu; przypisanie to ustala serwer i nigdy nie przejmuje go z żądania. Rozwój, testy i produkcja są odrębnymi systemami; środowisko deweloperskie jest dodatkowo chronione blokadą dostępu i nie zawiera danych produkcyjnych.
• Szyfrowanie przechowywanych danych: Tytuły i opisy projektów i zadań, komentarze, temat i treść wiadomości e-mail, treści terminów oraz dane dostępowe połączonych skrzynek pocztowych i kalendarzy są przechowywane w postaci zaszyfrowanej po stronie serwera (AES-256); hasła są przechowywane wyłącznie jako hash Argon2id. Jest to szyfrowanie po stronie serwera, nie szyfrowanie typu end-to-end: Usługodawca może technicznie uzyskać dostęp do danych; kiedy to robi, opisano w pkt 5.
• Szyfrowanie transmisji: Usługa jest dostępna wyłącznie przez HTTPS (przekierowanie i HSTS); połączenia ze skrzynkami pocztowymi, kalendarzami, modelem językowym, serwerem zgłoszeń i usługą płatniczą są szyfrowane na poziomie transportu.
• Poufność osób: Wszystkie osoby mające u Usługodawcy dostęp do systemów produkcyjnych są pisemnie zobowiązane do zachowania poufności.

2. Integralność

• Kontrola wprowadzania danych: Zmiany zadań są odnotowywane w historii z osobą edytującą, czasem, starą i nową wartością. Czynności zarządcze w firmie (role, zaproszenia, skrzynki pocztowe, rozwiązanie) są zapisywane w protokole audytu firmy. Logowania są odnotowywane z czasem, adresem nadawcy i klientem. Dostępy Usługodawcy według pkt 5 są protokołowane.
• Ochrona aplikacji: Ochrona przed podstawionymi żądaniami (CSRF) za pomocą tokenów sesji; czyszczenie sformatowanych danych wejściowych po stronie serwera; konsekwentne maskowanie danych wyjściowych; nagłówki bezpieczeństwa przeciwko osadzaniu w obcych stronach i zgadywaniu typu oraz do sterowania referrerem. Załączniki są przyjmowane tylko wtedy, gdy rozszerzenie pliku i rozpoznany typ treści są zgodne; są przechowywane pod losowymi nazwami poza katalogiem głównym serwera WWW i udostępniane z izolującą polityką bezpieczeństwa. Zdjęcia profilowe są ponownie kodowane bez metadanych.
• Kontrola przekazywania: Dane opuszczają Usługę wyłącznie do podmiotów wymienionych w Załączniku C i wyłącznie w opisanym tam zakresie; do modelu językowego nie trafiają załączniki, do usługi płatniczej nie trafiają dane treściowe; dane księgowe i bankowe Usługodawcy nie opuszczają systemu. Dostępy administracyjne i do bazy danych Usługodawcy odbywają się przez interfejs administracyjny hostingodawcy i szyfrowane połączenia.
• Proces rozwoju: Każda zmiana w Usłudze przechodzi przed wdrożeniem zautomatyzowane testy, w tym testy kontraktowe reguł uprawnień, szyfrowania i granic modułów, i jest łączona w sposób możliwy do prześledzenia. Wdrożenie odbywa się w sposób odtwarzalny jako obraz kontenera; komunikaty o błędach nigdy nie są wyświetlane w przeglądarce w środowisku produkcyjnym.

3. Dostępność, odporność i usuwanie

• Kopie zapasowe: Bazę danych i magazyn plików zabezpiecza hostingodawca; kopie zapasowe są przechowywane do 30 dni, a następnie nadpisywane.
• Przywracanie: Aplikacja działa jako stos kontenerów z odrębnymi procesami dla WWW, harmonogramu i zadań w tle; tryb konserwacji w sposób kontrolowany wstrzymuje Usługę na czas przywracania. Punkt końcowy stanu umożliwia monitorowanie.
• Odporność: Ograniczenie liczby żądań na adres nadawcy i konto dla logowania, rejestracji, zaproszeń, dostępów do zapisu przez interfejs programistyczny i funkcji administracyjnych; limity rozmiaru, liczby i przestrzeni dla załączników; miesięczne kontyngenty dla funkcji AI.
• Kosz: Usunięte projekty, moduły, zadania, skrzynki pocztowe i kalendarze są najpierw jedynie oznaczane jako usunięte i ostatecznie usuwane dopiero po skonfigurowanym okresie (domyślnie 30 dni, dolna granica jeden dzień); usunięte wiadomości e-mail pozostają 45 dni w koszu skrzynki pocztowej. Do tego czasu uprawnieni użytkownicy przywracają je samodzielnie. Osierocone pliki załączników są usuwane codziennie.
• Okresy przechowywania protokołów i usuwania: Powiadomienia 30 dni; protokoły synchronizacji skrzynek pocztowych i kalendarzy trzy dni, w razie błędów siedem dni; archiwa eksportu 24 godziny; protokoły logowania 90 dni; protokół użycia funkcji AI 90 dni; protokoły audytu firmy i przywracania trzy lata, protokół audytu rozliczeń dziesięć lat (przechowywanie podatkowe); adres IP zgód do zakończenia umowy plus trzy lata; zrzuty ekranu ze zgłoszeń błędów 90 dni; protokoły aplikacji 30 dni.
• Zobowiązanie dotyczące dostępności: Dostępność Usługi regulują Ogólne Warunki Handlowe, nie niniejsza ADV.

4. Procedura regularnego przeglądu

• Regularna automatyczna kontrola, czy dane podlegające szyfrowaniu są przechowywane w postaci zaszyfrowanej, oraz regularne porównanie magazynu załączników z bazą danych.
• Zautomatyzowane testy przy każdej zmianie; udokumentowane instrukcje wdrażania, rotacji kluczy, trybu konserwacji i zakłóceń.
• Zmiany środków z niniejszego załącznika są dokumentowane (§ 6 ust. 2).
• Ochrona danych w ustawieniach domyślnych: Funkcja AI działa tylko wtedy, gdy użytkownik uruchomi ją dla wiadomości e-mail, i może zostać wyłączona dla każdego użytkownika; zgłoszenia błędów ze zrzutem ekranu są wysyłane wyłącznie po uruchomieniu przez użytkownika; skrzynki pocztowe i kalendarze są połączone tylko wtedy, gdy użytkownik je połączy; zdjęcia profilowe widzą wyłącznie osoby ze wspólnym projektem lub wspólną firmą.

5. Dostęp Usługodawcy do danych Klienta (reguła dostępu)

Pracownicy Usługodawcy nie przeglądają treści Klienta rutynowo. Człowiek uzyskuje dostęp tylko wtedy, gdy istnieje ku temu powód (polecenie Klienta albo incydent bezpieczeństwa lub operacyjny), tylko w niezbędnym zakresie, a każdy dostęp jest protokołowany. Automatyczne przetwarzanie przez Usługę według Załącznika A pozostaje przez to nienaruszone. Innych dostępów niż poniższe nie ma:

• Przywracanie (§ 3 ust. 4): Na wniosek Klienta konto administracyjne Usługodawcy z uprawnieniem do przywracania widzi nazwę użytkownika, adres e-mail, status i czas usunięcia danego użytkownika oraz nazwy jego projektów i modułów, tytuły jego zadań i czasy usunięcia usuniętych rekordów. Niewidoczne są opisy, komentarze, załączniki, wpisy czasu oraz treści skrzynek pocztowych i kalendarzy. Każde przywrócenie jest protokołowane z osobą wykonującą i czasem.
• Diagnostyka wsparcia: Na wniosek Klienta konto administracyjne Usługodawcy widzi członkostwa, zaproszenia i połączenia skrzynek pocztowych firmy (nazwy hostów, status, czas ostatniego pobrania), nie treści wiadomości. Każda diagnostyka jest przed wyświetleniem odnotowywana w protokole audytu firmy.
• Zgłoszenia błędów: Zrzuty ekranu i opisy, które użytkownik wysyła przez funkcję zgłaszania błędów, Usługodawca widzi w celu usunięcia zgłoszonego błędu; są one usuwane po okresie z pkt 3.
• Eksploatacja i bezpieczeństwo: Dostęp do bazy danych, magazynu plików i protokołów w celu usunięcia zakłócenia, zbadania incydentu bezpieczeństwa lub wykonania polecenia. Powód jest dokumentowany; treści Klienta Usługodawca widzi przy tym tylko w zakresie, jakiego wymaga powód.

Załącznik C: Podwykonawcy przetwarzania i inni odbiorcy

1. Podwykonawcy przetwarzania (§ 7 ust. 1)

2. Odbiorcy poza powierzeniem

Następujące podmioty nie otrzymują żadnych danych z powierzenia Klienta. Usługodawca korzysta z nich jako administrator do własnych celów; wymieniono je tutaj wyłącznie dla rozgraniczenia, szczegóły znajdują się w polityce prywatności. Dane księgowe i bankowe Usługodawcy są przetwarzane w ramach Usługi i nie są przekazywane żadnemu innemu odbiorcy.

• Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Holandia: Obsługa płatności za taryfy płatne. Mollie otrzymuje imię i nazwisko oraz adres e-mail konta rozliczeniowego i dane płatnicze, bez danych treściowych; przy obsłudze płatności Mollie działa jako samodzielny administrator.
• EU-Captcha (Myra Security GmbH, Monachium): ochrona przed botami przy rejestracji i w formularzu kontaktowym; przekazywane są adres IP, identyfikator przeglądarki i token captcha osoby rejestrującej się lub piszącej. Weryfikacja jest przetwarzaniem Usługodawcy jako administratora.
• Have I Been Pwned (api.pwnedpasswords.com, operator Troy Hunt, Australia): Przy ustawianiu hasła przekazywany jest krótki fragment wartości hash, nigdy hasło ani żaden identyfikator osoby; przypisanie do osoby nie jest możliwe.

3. Usługi zewnętrzne zlecone przez Klienta

Jeżeli Klient lub użytkownik Klienta połączy jedną z poniższych usług z todo.monster, Klient sam wybrał tę usługę i pozostaje z nią we własnym stosunku umownym. Usługa ta nie jest podwykonawcą przetwarzania Usługodawcy; Usługodawca przekazuje tam wyłącznie to, czego wymaga dana funkcja, i pobiera stamtąd to, co użytkownik udostępnił (§ 13 ust. 3).

• Skrzynki pocztowe przez IMAP i SMTP u dostawcy poczty e-mail Klienta lub użytkownika: Pobieranie i wysyłanie wiadomości z danymi dostępowymi zapisanymi przez użytkownika.
• Kalendarze przez CalDAV (na przykład Nextcloud lub Fastmail): Synchronizacja terminów z danymi dostępowymi zapisanymi przez użytkownika.
• Kalendarz Google (Google LLC bądź Google Ireland Limited): Użytkownik loguje się bezpośrednio w Google i tam udziela zgody; Usługodawca odczytuje terminy z wybranych kalendarzy i przekazuje do Google terminy utworzone lub zmienione w Usłudze. Przetwarzanie regularnie również w USA. Dostępne tylko w zakresie, w jakim Usługodawca aktywował tę funkcję.
• Kalendarz Microsoft (Microsoft Corporation bądź Microsoft Ireland Operations Limited) dla prywatnych kont Microsoft: Użytkownik loguje się bezpośrednio w Microsoft i tam udziela zgody; Usługodawca odczytuje terminy z wybranych kalendarzy i przekazuje do Microsoft terminy utworzone lub zmienione w Usłudze wraz z ich uczestnikami, a Microsoft może wysyłać zaproszenia. Przetwarzanie regularnie również w USA.

W odniesieniu do Google i Microsoft obowiązuje: To, jakie gwarancje zabezpieczają przekazanie do USA, zależy od stosunku umownego, który Klient lub jego użytkownik sam ma z daną usługą (§ 4 ust. 3).

Jeżeli użytkownik rozłączy połączenie, Usługodawca usuwa dane dostępowe i tokeny dostępu; już pobrane wiadomości i terminy pozostają w Usłudze, dopóki użytkownik ich nie usunie lub dopóki konto bądź firma nie zostaną usunięte.