Polityka prywatności systemu OMS

1. Niniejsza Polityka prywatności opisuje zasady przetwarzania danych osobowych w związku z korzystaniem z systemu OMS - System Zarządzania Zamówieniami, zwanego dalej „Systemem".
2. System jest zamkniętą aplikacją webową przeznaczoną wyłącznie dla uprawnionych użytkowników wskazanych przez Klienta.
3. System nie jest publicznym serwisem internetowym i nie umożliwia samodzielnej rejestracji kont przez osoby trzecie.

1. Administratorem danych osobowych użytkowników korzystających z Systemu w ramach działalności Klienta jest co do zasady Klient wskazany w umowie głównej.
2. Podmiotem przetwarzającym dane osobowe w imieniu Klienta w zakresie utrzymania, hostingu, obsługi technicznej i wsparcia Systemu jest Usługodawca wskazany w umowie głównej, zwany dalej „Procesorem".
3. Szczegółowe zasady powierzenia przetwarzania danych osobowych określa odrębna umowa powierzenia przetwarzania danych osobowych zawarta pomiędzy Klientem a Procesorem.
4. W sprawach dotyczących danych osobowych można kontaktować się pod adresem e-mail wskazanym w umowie głównej.

System może przetwarzać dane następujących kategorii osób:

1. użytkowników Systemu z rolą ADMIN,
2. użytkowników Systemu z rolą OPERATOR,
3. użytkowników Systemu z rolą VIEWER / Podgląd,
4. osób kontaktowych po stronie dostawców, magazynów, kontrahentów lub podwykonawców Klienta,
5. osób wskazanych w danych importowanych z plików Excel, jeżeli takie dane znajdują się w importowanych plikach,
6. osób, których dane pojawiają się w dokumentach WZ, raportach, notatkach lub danych operacyjnych Systemu.

1. W ramach kont użytkowników System może przetwarzać:
   1. imię i nazwisko,
   2. adres e-mail,
   3. zaszyfrowane hasło,
   4. rolę systemową,
   5. status konta,
   6. datę utworzenia i modyfikacji konta,
   7. informacje o operacjach wykonanych przez użytkownika w Systemie.
2. W ramach danych technicznych System może przetwarzać:
   1. znaczniki czasu operacji,
   2. dane sesji użytkownika,
   3. tokeny techniczne niezbędne do działania logowania,
   4. informacje zapisane w historii audytu,
   5. dane dotyczące wysyłki dokumentów e-mail.
3. W ramach danych operacyjnych System może przetwarzać:
   1. dane stacji BTS/5G,
   2. numery zamówień SAP,
   3. dane dokumentów WZ,
   4. dane produktów, ilości, statusów i zamówień,
   5. dane dostawców,
   6. dane magazynów,
   7. dane osób kontaktowych,
   8. dane adresowe,
   9. dane z importowanych plików Excel,
   10. dane zawarte w raportach PDF, XLSX i CSV.
4. System nie powinien być używany do przetwarzania szczególnych kategorii danych osobowych, takich jak dane o zdrowiu, dane biometryczne, dane dotyczące przekonań religijnych, politycznych lub inne dane wrażliwe, chyba że Strony odrębnie ustalą takie przetwarzanie i zapewnią wymaganą podstawę prawną oraz zabezpieczenia.

Dane osobowe są przetwarzane w następujących celach:

1. umożliwienie logowania i korzystania z Systemu,
2. zarządzanie kontami użytkowników i uprawnieniami,
3. zapewnienie bezpieczeństwa Systemu,
4. prowadzenie historii audytu i rozliczalności operacji,
5. obsługa dokumentów WZ,
6. import i przetwarzanie danych operacyjnych z plików Excel,
7. generowanie raportów,
8. wysyłka dokumentów i komunikatów technicznych,
9. obsługa zgłoszeń supportowych,
10. utrzymanie, diagnozowanie i rozwój Systemu,
11. realizacja obowiązków prawnych i umownych,
12. ochrona roszczeń i obrona przed roszczeniami.

1. Dane osobowe mogą być przetwarzane na podstawie:
   1. art. 6 ust. 1 lit. b RODO - gdy przetwarzanie jest niezbędne do wykonania umowy lub podjęcia działań przed jej zawarciem,
   2. art. 6 ust. 1 lit. c RODO - gdy przetwarzanie jest niezbędne do wykonania obowiązku prawnego,
   3. art. 6 ust. 1 lit. f RODO - gdy przetwarzanie jest niezbędne do realizacji prawnie uzasadnionego interesu, w szczególności zapewnienia bezpieczeństwa, audytu, obrony przed roszczeniami i utrzymania Systemu,
   4. art. 28 RODO - w zakresie, w jakim Klient powierza Procesorowi przetwarzanie danych osobowych.
2. W przypadku danych użytkowników będących pracownikami lub współpracownikami Klienta, szczegółowa podstawa przetwarzania danych przez Klienta wynika z relacji prawnej pomiędzy Klientem a daną osobą.

1. Dane osobowe mogą być udostępniane następującym kategoriom odbiorców:
   1. Usługodawcy jako podmiotowi technicznie utrzymującemu System,
   2. dostawcy hostingu,
   3. dostawcy usług poczty elektronicznej / SMTP,
   4. dostawcy backupu,
   5. podmiotom świadczącym usługi IT, bezpieczeństwa lub utrzymania infrastruktury,
   6. organom publicznym, jeżeli wynika to z obowiązujących przepisów prawa.
2. Dane nie są sprzedawane ani udostępniane do celów marketingowych.
3. Dane nie są przekazywane podmiotom trzecim niezwiązanym z utrzymaniem, obsługą lub realizacją celów Systemu.

1. Dane osobowe są co do zasady przetwarzane na terytorium Polski lub Unii Europejskiej.
2. Jeżeli dostawca hostingu, poczty, backupu lub innej usługi technicznej będzie powodował przekazywanie danych poza Europejski Obszar Gospodarczy, przekazanie nastąpi wyłącznie przy zastosowaniu mechanizmów wymaganych przez RODO, w szczególności standardowych klauzul umownych lub innej prawidłowej podstawy prawnej.
3. Procesor poinformuje Administratora, jeżeli wybrany dostawca techniczny będzie powodował transfer danych poza EOG.

1. Dane kont użytkowników są przechowywane przez okres obowiązywania umowy pomiędzy Klientem a Usługodawcą oraz przez okres wynikający z umowy powierzenia, chyba że dłuższe przechowywanie jest wymagane przepisami prawa lub uzasadnione ochroną roszczeń.
2. Dane operacyjne są przechowywane przez okres korzystania przez Klienta z Systemu oraz przez okres ustalony w umowie głównej, polityce backupu lub umowie powierzenia.
3. Historia audytu jest przechowywana przez okres określony w umowie głównej, chyba że Strony ustalą dłuższy okres retencji.
4. Dane z importów Excel, w tym surowe dane importu, są przechowywane przez okres ustalony z Klientem lub do czasu ich usunięcia zgodnie z polityką retencji.
5. Backupy są przechowywane zgodnie z polityką backupu.
6. Po zakończeniu współpracy dane mogą zostać przekazane Klientowi w formie eksportu, a następnie usunięte lub zanonimizowane zgodnie z umową.

1. Osobom, których dane dotyczą, przysługuje - w zakresie wynikającym z RODO - prawo do:
   1. dostępu do danych,
   2. sprostowania danych,
   3. usunięcia danych,
   4. ograniczenia przetwarzania,
   5. przenoszenia danych,
   6. sprzeciwu wobec przetwarzania,
   7. wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
2. Żądania dotyczące danych osobowych należy kierować do Klienta jako administratora danych albo na adres e-mail wskazany w umowie głównej.
3. Niektóre żądania mogą wymagać współdziałania Klienta i Usługodawcy, w szczególności gdy dane są przechowywane w historii audytu, backupach lub dokumentach operacyjnych.

1. System nie służy do profilowania użytkowników.
2. System nie podejmuje wobec użytkowników zautomatyzowanych decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na użytkowników.

1. System używa wyłącznie niezbędnych technicznie plików cookies służących do logowania, utrzymywania sesji i zapewnienia bezpieczeństwa.
2. System może wykorzystywać w szczególności cookies związane z NextAuth, takie jak token sesji, token CSRF oraz adres przekierowania po logowaniu.
3. Cookies te są niezbędne do prawidłowego działania Systemu i nie mogą zostać wyłączone bez utraty możliwości korzystania z aplikacji.
4. System nie wykorzystuje cookies analitycznych ani marketingowych.
5. System nie wykorzystuje narzędzi takich jak Google Analytics, Facebook Pixel, Hotjar ani innych zewnętrznych skryptów śledzących, chyba że zostanie to wyraźnie wskazane w zaktualizowanej Polityce prywatności.

1. Usługodawca stosuje środki techniczne i organizacyjne mające na celu ochronę danych przed nieuprawnionym dostępem, utratą, zmianą lub ujawnieniem.
2. Stosowane lub planowane środki bezpieczeństwa obejmują w szczególności:
   1. hashowanie haseł użytkowników,
   2. kontrolę dostępu opartą na rolach,
   3. historię audytu operacji użytkowników,
   4. dostęp do Systemu wyłącznie po zalogowaniu,
   5. szyfrowane połączenie HTTPS,
   6. backupy danych,
   7. ograniczenie dostępu administracyjnego,
   8. aktualizacje bezpieczeństwa,
   9. monitoring błędów i zdarzeń,
   10. zabezpieczenie sekretów i danych konfiguracyjnych.
3. Część środków bezpieczeństwa może wymagać wdrożenia przed uruchomieniem produkcyjnym lub w ramach dalszego utrzymania Systemu.

1. Polityka prywatności może zostać zmieniona w przypadku zmiany przepisów prawa, funkcji Systemu, dostawców technicznych, sposobu przetwarzania danych lub zasad bezpieczeństwa.
2. O istotnych zmianach Usługodawca lub Klient poinformuje użytkowników w Systemie lub drogą elektroniczną.
3. Polityka prywatności obowiązuje od dnia wdrożenia Systemu.