POLITYKA PRYWATNOŚCI ONBOARDLY

SPIS TREŚCI

1. Administrator danych i kontakt — multi-tenant grupy SoCap
2. Zakres polityki — dwie ścieżki przetwarzania
3. Definicje
4. Inspektor Ochrony Danych (IOD)
5. Kategorie danych przetwarzanych
6. Dane szczególnej kategorii (art. 9 RODO)
7. Cele przetwarzania i podstawy prawne
8. Okresy retencji (przechowywania) danych
9. Odbiorcy danych
10. Transfer danych poza Europejski Obszar Gospodarczy (EOG)
11. Obowiązek informacyjny wobec zleceniobiorców / pracowników SoCap (art. 13 RODO — ścieżka B)
12. Prawa osób, których dane dotyczą
13. Profilowanie i decyzje zautomatyzowane (art. 22 RODO); wykorzystanie AI
14. Pliki cookies i technologie śledzące
15. Bezpieczeństwo danych
16. Zgłaszanie naruszeń ochrony danych
17. Zmiany Polityki Prywatności
18. Kontakt i organ nadzorczy (one-stop-shop)

1. ADMINISTRATOR DANYCH I KONTAKT — MULTI-TENANT GRUPY SoCap

Administratorem danych osobowych przetwarzanych w ramach aplikacji Onboardly (dostępnej pod adresem https://onboardly-inky.vercel.app — docelowo https://onboardly.work — dalej „Onboardly" lub „Aplikacja") jest, w zakresie wskazanym w pkt 2 niniejszej Polityki:

Socap Bonus Sp. z o.o. ul. Hetmańska 25, 15-727 Białystok KRS: 0000789100 | NIP: 5252791618 | REGON: 383512909 e-mail: privacy@socapbonus.pl telefon: [+48 XXX XXX XXX]

(dalej: „SoCap" lub „Usługodawca")

1.1. Onboardly jako narzędzie wewnętrzne grupy SoCap (multi-tenant)

Onboardly jest wykorzystywany do procesów onboardingowych spółek z grupy SoCap. Administratorem danych zleceniobiorcy lub pracownika pozostaje konkretna spółka zatrudniająca, wskazana w treści umowy zlecenia lub umowy o pracę — nie SoCap Bonus Sp. z o.o. jako usługodawca Onboardly.

Aktualna lista spółek grupy SoCap korzystających z Onboardly:

Aktualizacja listy spółek może następować bez konieczności zmiany Polityki — pod warunkiem, że dodanie spółki nie zmienia zasadniczych celów ani sposobów przetwarzania. Aktualna lista dostępna jest na żądanie pod adresem dpo@socapbonus.pl.

1.2. Architektura logiczna multi-tenant

Onboardly oddziela logicznie dane między spółkami grupy SoCap (multi-tenant na poziomie EmployerEntityId). Dane jednej spółki nie są dostępne dla użytkowników drugiej spółki bez wyraźnego upoważnienia. Wszelkie wewnętrzne udostępnienia między spółkami grupy odbywają się wyłącznie na podstawie art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — konsolidacja w ramach grupy kapitałowej) z zachowaniem zasady minimalizacji danych.

2. ZAKRES POLITYKI — DWIE ŚCIEŻKI PRZETWARZANIA

Onboardly jest aplikacją wykorzystywaną w dwóch zasadniczo różnych modelach prawnych. W zależności od ścieżki, role i obowiązki SoCap są odmienne. Niniejsza Polityka stosuje się do obu ścieżek; w razie wątpliwości decydujące znaczenie ma treść umowy łączącej osobę, której dane dotyczą, z podmiotem zatrudniającym lub Klientem.

A. ŚCIEŻKA SaaS — SoCap jako podmiot przetwarzający (procesor)

Kiedy ma zastosowanie: gdy Onboardly jest udostępniany Klientowi (zewnętrznemu pracodawcy lub zleceniodawcy spoza grupy SoCap) jako usługa SaaS w celu prowadzenia przez niego procesów onboardingowych własnego personelu (pracowników, zleceniobiorców, kandydatów).

Role:

• Administrator danych: Klient SoCap (podmiot zatrudniający osobę objętą onboardingiem)
• Podmiot przetwarzający (procesor): Socap Bonus Sp. z o.o.

Podstawa: umowa powierzenia przetwarzania danych (DPA) zawarta między Klientem a SoCap, na podstawie art. 28 RODO.

Co to oznacza dla osoby, której dane dotyczą: prawa z RODO (dostęp, sprostowanie, usunięcie itd.) wykonuje się wobec Klienta (Administratora). SoCap działa wyłącznie zgodnie z udokumentowanymi poleceniami Klienta. SoCap zapewnia wsparcie Klientowi w realizacji obowiązków RODO, w szczególności w odpowiedzi na wnioski podmiotów danych.

B. ŚCIEŻKA WEWNĘTRZNA — spółka z grupy SoCap jako administrator danych

Kiedy ma zastosowanie: gdy Onboardly jest wykorzystywany przez którąś ze spółek grupy SoCap (zob. pkt 1.1) do onboardingu własnych zleceniobiorców, pracowników, kandydatów lub kontrahentów.

Role:

• Administrator danych: spółka z grupy SoCap wskazana w umowie zlecenia / umowie o pracę jako zatrudniający (zob. tabela pkt 1.1)
• Brak ścieżki procesorskiej

Podstawa: bezpośrednie relacje kontraktowe i ustawowe między daną spółką grupy SoCap a osobą onboardowaną (zob. pkt 11 — pełny obowiązek informacyjny art. 13 RODO).

Co to oznacza dla osoby, której dane dotyczą: prawa z RODO wykonuje się wprost wobec spółki zatrudniającej. Stosuje się pełny obowiązek informacyjny art. 13 RODO opisany w pkt 11. W praktyce zgłoszenia można kierować na adres dpo@socapbonus.pl ze wskazaniem spółki, której dotyczy sprawa — IOD pełniony jest wspólnie dla całej grupy.

Jak rozpoznać ścieżkę

3. DEFINICJE

• RODO — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (Ogólne rozporządzenie o ochronie danych).
• Dane osobowe — informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
• Przetwarzanie — operacja lub zestaw operacji wykonywanych na danych osobowych.
• Administrator — podmiot ustalający cele i sposoby przetwarzania danych.
• Podmiot przetwarzający (procesor) — podmiot przetwarzający dane w imieniu Administratora.
• Klient — przedsiębiorca korzystający z Onboardly w modelu SaaS (ścieżka A).
• Użytkownik końcowy — osoba fizyczna, której dane są przetwarzane w Onboardly w związku z procesem onboardingowym (zleceniobiorca, kandydat, pracownik).
• Grupa SoCap — wskazane w pkt 1.1 spółki kapitałowo lub gospodarczo powiązane, prowadzące wspólnie politykę kadrowo-płacową na podstawie m.in. Porozumienia P-III z 22.01.2025 (przystąpienie do PUZP).
• PUZP SoCap — Ponadzakładowy Układ Zbiorowy Pracy SoCap; w odniesieniu do Workflex 1 stosowanie nastąpiło na podstawie Porozumienia P-III z 22.01.2025 (przystąpienie do ZUZP nr U-CDLXXXII/1 z 28.05.2024, OIP Białystok).
• EOG — Europejski Obszar Gospodarczy.
• DPF — EU-U.S. Data Privacy Framework (decyzja wykonawcza Komisji Europejskiej (UE) 2023/1795 z 10.07.2023).
• SCC — standardowe klauzule umowne (Standard Contractual Clauses) przyjęte decyzją wykonawczą Komisji (UE) 2021/914 z 04.06.2021.
• TIA — Transfer Impact Assessment, ocena skutków transferu danych poza EOG.
• DPIA — Data Protection Impact Assessment, ocena skutków przetwarzania dla ochrony danych (art. 35 RODO).
• CASP — Crypto-Asset Service Provider w rozumieniu rozporządzenia (UE) 2023/1114 (MiCA); na dzień wydania niniejszej Polityki żadna spółka grupy SoCap nie posiada statusu CASP.

4. INSPEKTOR OCHRONY DANYCH (IOD)

Administrator powołał Inspektora Ochrony Danych (IOD) na podstawie art. 37 RODO; IOD pełni funkcję wspólnie dla wszystkich spółek grupy SoCap wskazanych w pkt 1.1.

Dane kontaktowe IOD:

• Imię i nazwisko: [IOD: imię nazwisko]
• E-mail: dpo@socapbonus.pl
• Telefon: [+48 XXX XXX XXX]
• Adres do korespondencji: ul. Hetmańska 25, 15-727 Białystok (z dopiskiem „IOD")

Z IOD można skontaktować się we wszystkich sprawach dotyczących przetwarzania danych osobowych i wykonywania praw przysługujących na mocy RODO — niezależnie od tego, która spółka grupy SoCap jest administratorem konkretnej sprawy.

5. KATEGORIE DANYCH PRZETWARZANYCH

W ramach procesów onboardingowych przetwarzane są w szczególności następujące kategorie danych:

A. Dane identyfikacyjne i kontaktowe

• imię i nazwisko
• PESEL (lub data urodzenia i obywatelstwo dla cudzoziemców)
• seria i numer dokumentu tożsamości / paszportu
• adres zamieszkania, adres korespondencyjny
• adres e-mail, numer telefonu
• numer NIP (gdy dotyczy)

B. Dane finansowe i podatkowe

• numer rachunku bankowego (IBAN)
• urząd skarbowy właściwy dla rozliczeń
• oddział NFZ
• certyfikat rezydencji podatkowej (dla nierezydentów)
• informacja o kosztach uzyskania przychodu, kosztach autorskich, statusie podatkowym

C. Dane dotyczące zatrudnienia i statusu ubezpieczeniowego

• status ZUS (umowa o pracę u innego pracodawcy, praca nakładcza, inna umowa zlecenia, emeryt/rencista, student do 26 lat, bezrobotny zarejestrowany w PUP)
• oświadczenie o dobrowolnym ubezpieczeniu chorobowym
• inne dane wymagane do ustalenia obowiązków składkowych

D. Dane szczególnej kategorii (art. 9 RODO) — zob. pkt 6

• informacja o niepełnosprawności (gdy dotyczy)
• dane biometryczne (wyłącznie po wdrożeniu funkcji weryfikacji biometrycznej KYC — funkcja wyłączona w MVP za pomocą feature flag, zob. pkt 6.2 i 13.1)

E. Dane techniczne i behawioralne

• adres IP, identyfikator urządzenia
• logi systemowe (data, godzina, działanie wykonane w Aplikacji)
• dane przeglądarki, system operacyjny
• znaczniki czasu podpisów elektronicznych

F. Dane wynikające z dokumentów onboardingowych

• treść oświadczeń zleceniobiorcy / pracownika
• treść pełnomocnictw
• treść zgód na potrącenie
• skany dokumentów tożsamości (gdy konieczne do realizacji obowiązków ustawowych — np. weryfikacja tożsamości w procesie zawarcia umowy o pracę)

6. DANE SZCZEGÓLNEJ KATEGORII (art. 9 RODO)

Niektóre kategorie danych podlegają wzmocnionej ochronie na podstawie art. 9 RODO. SoCap (lub Klient — w ścieżce A) przetwarza takie dane wyłącznie w oparciu o jedną z podstaw wymienionych w art. 9 ust. 2 RODO.

6.1. Informacja o niepełnosprawności

Cel: prawidłowe ustalenie składek ZUS i obowiązków pracodawcy / zleceniodawcy wobec osoby z niepełnosprawnością; korzystanie z dofinansowań i ulg przewidzianych prawem.

Podstawa prawna: art. 9 ust. 2 lit. b RODO — przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, w związku z ustawą z 27.08.1997 r. o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych (Dz. U. z 2024 r. poz. 44 z późn. zm.) oraz ustawą o systemie ubezpieczeń społecznych.

Zakres: stopień niepełnosprawności (lekki / umiarkowany / znaczny), data wydania orzeczenia, okres ważności orzeczenia.

Dobrowolność: podanie informacji o niepełnosprawności jest dobrowolne — brak takiej informacji oznacza traktowanie osoby na zasadach ogólnych, bez ulg i dofinansowań przewidzianych dla osób z niepełnosprawnością.

6.2. Dane biometryczne (weryfikacja KYC)

Onboardly może (opcjonalnie, w zależności od konfiguracji procesu) wykorzystywać weryfikację biometryczną tożsamości (porównanie zdjęcia twarzy ze zdjęciem z dokumentu tożsamości — selfie-matching realizowane przez dostawcę Sumsub).

STATUS NA DZIEŃ WYDANIA POLITYKI v3.0: funkcja biometrii jest wyłączona w wersji produkcyjnej Onboardly (feature flag KYC_BIOMETRIC=false). Sumsub działa w trybie wyłącznie OCR dokumentu tożsamości, bez selfie-matching. Funkcja zostanie aktywowana wyłącznie po:

(i) zakończeniu i zatwierdzeniu DPIA biometrii przez IOD lub niezależnego audytora,

(ii) odpowiedniej aktualizacji niniejszej Polityki w trybie pkt 17,

(iii) wdrożeniu odrębnego mechanizmu zgody (zob. niżej).

Cele i podstawy prawne — po aktywacji funkcji:

• Cel: dobrowolna weryfikacja tożsamości na potrzeby onboardingu — weryfikacja, że osoba zawierająca umowę jest tożsama z osobą wskazaną w dokumencie tożsamości.

Podstawa: wyłącznie art. 9 ust. 2 lit. a RODO — wyraźna zgoda osoby, której dane dotyczą.

Wyjaśnienie: żadna ze spółek grupy SoCap nie jest na dzień wydania Polityki instytucją obowiązaną w rozumieniu ustawy z 1.03.2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ustawa AML); żadna nie jest również dostawcą usług w zakresie kryptoaktywów (CASP) w rozumieniu rozporządzenia (UE) 2023/1114 (MiCA). W konsekwencji nie znajduje zastosowania art. 9 ust. 2 lit. g RODO (ważny interes publiczny — AML) ani inne podstawy ustawowe nakazujące przetwarzanie biometrii w celach przeciwdziałania praniu pieniędzy.

Klauzula otwarta: w przypadku gdyby którakolwiek ze spółek grupy SoCap stała się w przyszłości instytucją obowiązaną w rozumieniu ustawy AML lub uzyskała status CASP — niniejsza Polityka zostanie zaktualizowana w trybie pkt 17 i może zostać dodana podstawa prawna art. 9 ust. 2 lit. g RODO oraz odpowiedni obowiązek informacyjny.

Mechanizm zgody (po aktywacji funkcji): zgoda na przetwarzanie danych biometrycznych jest wyrażana wprost, w odrębnym oświadczeniu, oddzielnie od zgody na ogólne przetwarzanie danych. Zgodę można wycofać w każdym czasie — pisemnie lub e-mailem na adres dpo@socapbonus.pl. Wycofanie zgody, jeżeli była ona jedyną podstawą przetwarzania, skutkuje natychmiastowym usunięciem (lub trwałą anonimizacją) danych biometrycznych — chyba że ustawa nakazuje ich zachowanie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Okres przetwarzania (po aktywacji): dane biometryczne są przetwarzane wyłącznie przez czas niezbędny do weryfikacji tożsamości, a następnie niezwłocznie usuwane lub trwale anonimizowane.

Brak konsekwencji: brak zgody na weryfikację biometryczną nie powoduje odmowy zawarcia umowy — alternatywą jest weryfikacja tradycyjna (osobiste okazanie dokumentu tożsamości lub OCR dokumentu bez selfie-matching).

DPIA: dla funkcji biometrycznej przeprowadzona zostanie obowiązkowa ocena skutków dla ochrony danych (DPIA) zgodnie z art. 35 RODO oraz wykazem UODO z 17.06.2019 r. Bez zatwierdzonej DPIA — funkcja pozostaje wyłączona.

7. CELE PRZETWARZANIA I PODSTAWY PRAWNE

Prawnie uzasadnione interesy administratora (art. 6 ust. 1 lit. f RODO) obejmują m.in.:

• bezpieczeństwo Aplikacji i ochronę przed nadużyciami,
• ustalenie, dochodzenie i obronę roszczeń,
• prowadzenie wewnętrznych dokumentów księgowych i operacyjnych,
• prowadzenie statystyk i analizy działania Aplikacji w sposób niezagrażający prywatności,
• procesy administracyjne w ramach grupy kapitałowej (motyw 48 RODO).

W każdym z tych celów Administrator dokonał testu równowagi interesów. Osoba, której dane dotyczą, ma prawo zgłosić sprzeciw (zob. pkt 12).

8. OKRESY RETENCJI (PRZECHOWYWANIA) DANYCH

Dane osobowe są przechowywane wyłącznie przez okres niezbędny do realizacji celu, dla którego zostały zebrane, a po jego zrealizowaniu — przez okres wymagany przepisami prawa. Po upływie okresu przechowywania dane są usuwane lub trwale anonimizowane.

Reżim retencji dokumentacji pracowniczej w grupie SoCap:

Socap Bonus Sp. z o.o. została zarejestrowana w KRS w dniu 31.05.2019 — to znaczy wszystkie umowy o pracę prowadzone przez Administratora są umowami nawiązanymi po 01.01.2019 i podlegają wyłącznie 10-letniemu okresowi retencji wynikającemu z art. 94 pkt 9b KP w zw. z art. 125a ust. 4 ustawy o emeryturach i rentach z FUS. Reżim 50-letni (sprzed 01.01.2019) nie znajduje zastosowania do żadnej z umów Administratora.

W przypadku trwających postępowań sądowych, podatkowych, administracyjnych lub karnych — okres przechowywania wydłuża się do prawomocnego ich zakończenia oraz do upływu terminów na ewentualne środki nadzwyczajne.

Klient w ścieżce A (SaaS): o okresach retencji decyduje Klient jako Administrator. SoCap stosuje minimalne okresy określone w umowie powierzenia i kasuje dane na polecenie Klienta — z zastrzeżeniem własnych obowiązków SoCap (np. archiwizacja logów dla bezpieczeństwa Aplikacji).

9. ODBIORCY DANYCH

Dane osobowe mogą być przekazywane następującym kategoriom odbiorców — wyłącznie w zakresie niezbędnym do realizacji opisanych celów:

Uwaga: na dzień wydania niniejszej Polityki GIIF (Generalny Inspektor Informacji Finansowej) nie jest odbiorcą danych z Onboardly, ponieważ żadna spółka grupy SoCap nie jest instytucją obowiązaną w rozumieniu ustawy AML. W razie zmiany tego statusu — Polityka zostanie zaktualizowana w trybie pkt 17.

Aktualny rejestr odbiorców i podprocesorów (dla ścieżki A) jest dostępny na żądanie — kontakt: dpo@socapbonus.pl.

Klient w ścieżce A (SaaS): SoCap działa jako procesor i nie udostępnia danych Klienta innym podmiotom bez polecenia lub zgody Klienta, z wyjątkiem dalszych podprocesorów, których lista stanowi załącznik do umowy powierzenia.

10. TRANSFER DANYCH POZA EUROPEJSKI OBSZAR GOSPODARCZY (EOG)

Niektórzy dostawcy SoCap mają siedzibę lub przetwarzają dane poza EOG — w szczególności w Stanach Zjednoczonych (np. Vercel, Sentry, Stripe Inc., Anthropic). Przekazywanie danych osobowych poza EOG odbywa się wyłącznie w zgodzie z rozdziałem V RODO.

10.1. Podstawy transferu

A. Decyzja Komisji Europejskiej o adekwatności — EU-U.S. Data Privacy Framework (DPF)

W przypadku transferu do podmiotów ze Stanów Zjednoczonych, które są certyfikowane w ramach DPF — transfer odbywa się na podstawie decyzji wykonawczej Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r. Status certyfikacji DPF danego podmiotu można zweryfikować w oficjalnej liście pod adresem https://www.dataprivacyframework.gov/list**.

B. Standardowe klauzule umowne — SCC 2021/914

Dla transferów do podmiotów, które nie są objęte DPF lub w celu zwielokrotnienia gwarancji prawnych — SoCap zawiera ze swoimi dostawcami Standardowe Klauzule Umowne (SCC) przyjęte decyzją wykonawczą Komisji (UE) 2021/914 z 4 czerwca 2021 r., w odpowiednim module.

W szczególności w odniesieniu do Anthropic, PBC — niezależnie od ewentualnej certyfikacji DPF — Administrator zawarł SCC 2021/914 (moduł 2: administrator–procesor) z dodatkowymi środkami technicznymi (pseudonimizacja w treści zapytań, ograniczenie zakresu danych, zakaz wykorzystywania danych do trenowania modeli).

C. Ocena skutków transferu — Transfer Impact Assessment (TIA)

W zgodzie z wyrokiem TSUE w sprawie C-311/18 (Schrems II) oraz wytycznymi EROD 01/2020 — SoCap przed zawarciem SCC dokonuje oceny prawnej i faktycznej kraju docelowego (TIA) pod kątem ryzyka dla podmiotów danych. W przypadku zidentyfikowania ryzyka — stosuje dodatkowe środki techniczne, organizacyjne lub umowne. Aktualne TIA są dostępne wewnętrznie u IOD.

10.2. Procedura uzyskania kopii zabezpieczeń

Osoba, której dane dotyczą, ma prawo otrzymać:

• listę aktualnie obowiązujących SCC z dostawcami SoCap (zanonimizowaną w zakresie tajemnic handlowych),
• streszczenie wyników TIA dla najistotniejszych transferów,
• informację o statusie DPF danego dostawcy.

Wniosek o powyższe należy skierować na adres dpo@socapbonus.pl z dopiskiem „Wniosek — kopia SCC / TIA". SoCap udostępnia dokumenty w terminie miesiąca od otrzymania wniosku (z możliwością przedłużenia o kolejne 2 miesiące zgodnie z art. 12 ust. 3 RODO).

10.3. Lista państw spoza EOG, do których odbywa się transfer

11. OBOWIĄZEK INFORMACYJNY WOBEC ZLECENIOBIORCÓW / PRACOWNIKÓW SPÓŁEK GRUPY SoCap (art. 13 RODO — ścieżka B)

Niniejszy punkt stosuje się wyłącznie do ścieżki B (zob. pkt 2 lit. B) — gdy osoba onboardowana jest zleceniobiorcą / pracownikiem / kandydatem jednej ze spółek grupy SoCap.

Zgodnie z art. 13 RODO informujemy, że:

11.1. Administrator danych

Administratorem Państwa danych osobowych jest konkretna spółka grupy SoCap wskazana w treści Państwa umowy zlecenia lub umowy o pracę (zob. pkt 1.1):

• Socap Bonus Sp. z o.o. (NIP 5252791618),
• Socap Bonus Białystok Sp. z o.o. (NIP 9662182022),
• SoCap Polska Sp. z o.o. (NIP 8982325132),
• Workflex 1 Sp. z o.o. (NIP 8982325161),
• Workflex 2 Sp. z o.o. (NIP 8982325178).

Dane kontaktowe wspólne — zob. pkt 1; dane kontaktowe IOD wspólne dla całej grupy — zob. pkt 4.

11.2. Cele przetwarzania, podstawy prawne i okresy retencji — zestawienie

11.3. Odbiorcy danych

Dane mogą być przekazywane: biuru rachunkowemu SoCap, dostawcom infrastruktury IT (zob. pkt 9), bankom, ZUS, US, KAS, PIP, sądom — w zakresie wynikającym z umowy i przepisów prawa, oraz wewnątrz grupy kapitałowej SoCap (motyw 48 RODO; cele administracyjne).

11.4. Transfer poza EOG

Zob. pkt 10. W zakresie czynności kadrowo-płacowych dane nie są transferowane poza EOG; transfer może wystąpić wyłącznie w odniesieniu do infrastruktury technicznej Aplikacji (hosting, monitoring, AI helpdesk) — z zachowaniem zabezpieczeń DPF / SCC.

11.5. Prawa osoby, której dane dotyczą

Zob. pkt 12.

11.6. Skarga do organu nadzorczego

Mają Państwo prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (zob. pkt 18). Mechanizm „one-stop-shop" (art. 56 RODO): UODO jest organem wiodącym dla grupy SoCap z uwagi na siedziby spółek grupy w Polsce; szczegóły zob. pkt 18.

11.7. Wymóg podania danych

Podanie danych objętych zakresem umowy zlecenia / o pracę, ZUS i PIT jest wymogiem ustawowym lub wymogiem umownym — brak ich podania uniemożliwia zawarcie i wykonanie umowy. Podanie danych o niepełnosprawności jest dobrowolne (zob. pkt 6.1). Podanie zgody na biometrię (po aktywacji funkcji) jest dobrowolne (zob. pkt 6.2).

11.8. Profilowanie i AI

Zob. pkt 13.

12. PRAWA OSÓB, KTÓRYCH DANE DOTYCZĄ

Na podstawie RODO przysługują Państwu następujące prawa:

12.1. Prawo dostępu (art. 15 RODO)

Prawo uzyskania potwierdzenia, czy dane są przetwarzane, oraz uzyskania kopii danych i informacji o przetwarzaniu.

12.2. Prawo do sprostowania (art. 16 RODO)

Prawo żądania sprostowania nieprawidłowych danych lub uzupełnienia danych niekompletnych.

12.3. Prawo do usunięcia („prawo do bycia zapomnianym") — art. 17 RODO

Prawo żądania usunięcia danych w przypadkach określonych w art. 17 ust. 1 RODO.

Wycofanie zgody = natychmiastowe usunięcie: w przypadku, gdy podstawą przetwarzania była wyłącznie zgoda (art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a RODO — w szczególności dane biometryczne po aktywacji funkcji KYC) — wycofanie zgody powoduje niezwłoczne usunięcie (lub trwałą anonimizację) danych. Wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem.

Ograniczenia prawa do usunięcia: zgodnie z art. 17 ust. 3 lit. b RODO prawo do usunięcia nie ma zastosowania, jeżeli przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego (np. obowiązki przechowywania dokumentacji ZUS, PIT, dokumentacji pracowniczej — zob. pkt 8). W praktyce oznacza to, że dane niezbędne do realizacji tych obowiązków będą przechowywane do upływu wymaganego prawem okresu, nawet w razie żądania ich usunięcia.

12.4. Prawo do ograniczenia przetwarzania (art. 18 RODO)

W przypadkach określonych w art. 18 ust. 1 RODO mogą Państwo żądać ograniczenia przetwarzania.

12.5. Prawo do przenoszenia danych (art. 20 RODO)

Prawo otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego i przesłania ich innemu administratorowi.

Ograniczenia prawa do przenoszenia: zgodnie z art. 20 ust. 4 RODO prawo do przenoszenia nie może naruszać praw i wolności innych osób. Ponadto prawo to przysługuje wyłącznie wobec danych przetwarzanych na podstawie zgody (art. 6 ust. 1 lit. a) lub umowy (art. 6 ust. 1 lit. b) i wyłącznie w sposób zautomatyzowany — nie obejmuje danych przetwarzanych na podstawie obowiązków ustawowych ani prawnie uzasadnionych interesów.

12.6. Prawo sprzeciwu (art. 21 RODO)

Prawo wniesienia sprzeciwu wobec przetwarzania danych w oparciu o prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO), w tym profilowania. Sprzeciw może zostać uwzględniony, chyba że Administrator wykaże istnienie ważnych prawnie uzasadnionych podstaw nadrzędnych wobec interesów osoby lub podstaw do ustalenia, dochodzenia lub obrony roszczeń.

12.7. Prawo do cofnięcia zgody

Jeżeli przetwarzanie odbywa się na podstawie zgody (art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a RODO) — mają Państwo prawo cofnięcia zgody w dowolnym momencie. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem. Gdy zgoda była jedyną podstawą przetwarzania — cofnięcie skutkuje natychmiastowym usunięciem danych (zob. pkt 12.3).

12.8. Weryfikacja tożsamości wnioskodawcy

Zgodnie z art. 12 ust. 6 RODO, jeżeli mamy uzasadnione wątpliwości co do tożsamości osoby fizycznej składającej wniosek, możemy zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości. Weryfikacja może obejmować pytania kontrolne (np. dotyczące daty zawarcia umowy, numeru identyfikacyjnego) lub okazanie dokumentu tożsamości — w zakresie niezbędnym i proporcjonalnym. Wniosek bez wystarczającej identyfikacji nie zostanie rozpatrzony — w celu ochrony przed dostępem osób nieuprawnionych.

12.9. Terminy i tryb realizacji praw

Wnioski rozpatrujemy w terminie miesiąca od ich otrzymania. W przypadku skomplikowanego charakteru wniosku lub liczby wniosków termin może zostać przedłużony o kolejne 2 miesiące — z poinformowaniem o tym fakcie w pierwszym miesiącu (art. 12 ust. 3 RODO).

Tryb składania wniosków:

• e-mail: dpo@socapbonus.pl
• pisemnie: SoCap Bonus Sp. z o.o., ul. Hetmańska 25, 15-727 Białystok, z dopiskiem „IOD"

Realizacja praw jest bezpłatna. Jeżeli wnioski są ewidentnie nieuzasadnione lub nadmierne (zwłaszcza z powodu powtarzalnego charakteru) — możemy pobrać rozsądną opłatę lub odmówić podjęcia działania (art. 12 ust. 5 RODO).

13. PROFILOWANIE I DECYZJE ZAUTOMATYZOWANE (art. 22 RODO); WYKORZYSTANIE AI

13.1. Zautomatyzowana weryfikacja tożsamości (KYC) — OCR i biometria

W ramach procesu onboardingowego SoCap (lub Klient — w ścieżce A) może stosować zautomatyzowaną weryfikację tożsamości (KYC) realizowaną przez dostawcę Sumsub:

• Aktualnie (MVP): tryb wyłącznie OCR dokumentu tożsamości — automatyczne odczytanie danych z dokumentu; weryfikacja zgodności z danymi z formularza wykonywana przez pracownika SoCap (człowieka).
• Po aktywacji funkcji biometrycznej (zob. pkt 6.2 — wymaga zatwierdzonej DPIA i aktualizacji Polityki): porównanie zdjęcia twarzy ze zdjęciem z dokumentu (selfie-matching) — w zakresie, w jakim Użytkownik końcowy wyrazi wyraźną zgodę (art. 9 ust. 2 lit. a RODO).

Logika decyzji: porównanie danych z dokumentu i danych podanych w formularzu; ocena techniczna jakości obrazu i autentyczności dokumentu. Funkcja nie obejmuje aktualnie automatycznego scoringu AML ani sprawdzania na listach sankcyjnych — żadna spółka grupy SoCap nie jest instytucją obowiązaną w rozumieniu ustawy AML, a Onboardly nie pełni tej funkcji.

Znaczenie: pozytywny wynik weryfikacji umożliwia zawarcie umowy. Negatywny wynik powoduje skierowanie sprawy do weryfikacji manualnej przez pracownika SoCap (lub Klienta) — z zachowaniem prawa Użytkownika końcowego do interwencji człowieka.

Przewidywane konsekwencje: nieuwzględniony pozytywny wynik weryfikacji może skutkować odmową zawarcia umowy lub koniecznością uzupełniającej weryfikacji tradycyjnej.

13.2. Wykorzystanie sztucznej inteligencji (AI) w obsłudze helpdesku

SoCap wykorzystuje narzędzia sztucznej inteligencji dostarczane przez Anthropic, PBC (model Claude) wyłącznie jako asystę dla operatorów helpdesku SoCap — w szczególności:

• generowanie wstępnych szkiców odpowiedzi na zapytania Użytkowników końcowych,
• klasyfikacja i kategoryzacja zapytań,
• wskazywanie operatorowi odpowiednich procedur i artykułów wiedzy.

Logika przetwarzania: zapytanie Użytkownika końcowego (z pseudonimizacją danych identyfikacyjnych w zakresie, w jakim nie są one niezbędne do udzielenia odpowiedzi) jest przekazywane do modelu Anthropic, który generuje propozycję odpowiedzi. Propozycja AI jest zawsze weryfikowana i akceptowana przez operatora-człowieka przed wysłaniem do Użytkownika. AI nie podejmuje samodzielnych decyzji o charakterze prawnym, kadrowym ani finansowym wobec Użytkownika końcowego.

Znaczenie i konsekwencje (art. 22 RODO): wykorzystanie AI w opisanym powyżej trybie nie stanowi „decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu" w rozumieniu art. 22 ust. 1 RODO, ponieważ ostateczną decyzję (w tym wybór treści odpowiedzi) podejmuje człowiek. Niezależnie od powyższego — przysługują Państwu pełne prawa z art. 22 ust. 3 RODO:

• prawo do interwencji ze strony człowieka — żądania pełnej obsługi przez operatora-człowieka, bez wykorzystania AI,
• prawo do wyrażenia własnego stanowiska,
• prawo do zakwestionowania jakiejkolwiek decyzji, jeżeli ma ona charakter zautomatyzowany.

Wniosek o wyłączenie AI z obsługi Państwa zapytań należy złożyć na adres dpo@socapbonus.pl z dopiskiem „art. 22 RODO — bez AI". Rozpatrzenie — w terminie 14 dni roboczych.

Zabezpieczenia umowne i techniczne dotyczące Anthropic:

• SCC 2021/914 moduł 2 (administrator–procesor) zawarte bezpośrednio z Anthropic,
• zakaz wykorzystywania zapytań Użytkowników do trenowania modeli (zerowy retention dla danych klienta — Zero Data Retention Anthropic API),
• pseudonimizacja danych identyfikacyjnych w treści zapytań w zakresie, w jakim nie są one niezbędne do udzielenia odpowiedzi,
• ograniczenie zakresu danych do minimum niezbędnego (art. 5 ust. 1 lit. c RODO).

DPIA dla AI: dla wykorzystania AI w obsłudze danych osobowych przeprowadzona zostanie ocena skutków dla ochrony danych (DPIA) zgodnie z art. 35 RODO, z uwagi na potencjalne ryzyko dla praw i wolności osób, których dane dotyczą — w szczególności w kontekście automatyzacji obsługi i przepływu danych poza EOG.

13.3. Inne formy profilowania

SoCap nie stosuje profilowania marketingowego, scoringu kredytowego, scoringu na potrzeby zatrudnienia ani innych form profilowania wpływających istotnie na sytuację Użytkowników końcowych. Jeżeli takie profilowanie zostanie wdrożone w przyszłości — Polityka zostanie zaktualizowana w trybie pkt 17, a osoby, których dane dotyczą, zostaną odrębnie poinformowane.

14. PLIKI COOKIES I TECHNOLOGIE ŚLEDZĄCE

Onboardly wykorzystuje pliki cookies i podobne technologie. Stosujemy zasadę „opt-in" dla cookies innych niż niezbędne — żadne cookies marketingowe ani analityczne nie są instalowane bez Państwa zgody.

14.1. Panel ustawień zgód

Aplikacja udostępnia panel ustawień zgód cookies (banner i panel konfiguracji preferencji), dostępny:

• w momencie pierwszej wizyty na stronie Aplikacji (banner),
• w dowolnym momencie pod linkiem „Ustawienia cookies" w stopce każdej strony Aplikacji.

W panelu mogą Państwo:

• zaakceptować wszystkie cookies,
• odrzucić wszystkie cookies inne niż niezbędne,
• skonfigurować zgody granularnie (per kategoria),
• wycofać udzieloną wcześniej zgodę w dowolnym czasie (z natychmiastowym skutkiem).

Decyzje są zapisywane w cookie onboardly_consent (lub cookie panelu zarządzania zgodami) — przez okres 12 miesięcy. Po upływie 12 miesięcy banner pojawia się ponownie z prośbą o odnowienie zgody.

14.2. Cookies wykorzystywane przez Onboardly

14.3. Wycofanie zgody na cookies

Zgodę na cookies inne niż niezbędne można wycofać:

• w panelu zgód dostępnym pod linkiem „Ustawienia cookies" w stopce — z natychmiastowym skutkiem,
• w ustawieniach przeglądarki — przez usunięcie cookies i blokowanie ich w przyszłości; instrukcje dla popularnych przeglądarek:
• Chrome: chrome://settings/cookies
• Firefox: about:preferences#privacy
• Safari: Preferences → Privacy
• Edge: edge://settings/content/cookies

Blokada cookies niezbędnych może uniemożliwić korzystanie z Aplikacji.

14.4. Inne technologie

Onboardly nie korzysta z technologii fingerprintingu, pixela Facebooka, Google Analytics ani innych technologii marketingowych śledzących między domenami — chyba że zostanie to wyraźnie zakomunikowane i Państwo wyrażą na to zgodę.

15. BEZPIECZEŃSTWO DANYCH

Administrator stosuje środki techniczne i organizacyjne zapewniające ochronę danych osobowych odpowiednią do ryzyka — zgodnie z art. 32 RODO. W szczególności:

• Szyfrowanie w spoczynku: AES-256 dla bazy danych
• Szyfrowanie w tranzycie: TLS 1.2+ dla wszystkich połączeń
• Kontrola dostępu: dostęp ograniczony do upoważnionych osób, na zasadzie najmniejszego przywileju (least privilege)
• Logowanie i audyt: kompletne logi zdarzeń bezpieczeństwa
• Kopie zapasowe: regularne kopie zapasowe z szyfrowaniem
• Polityki haseł: wymóg silnych haseł, opcjonalna 2FA
• Testy bezpieczeństwa: regularne testy penetracyjne i przeglądy kodu
• Szkolenia personelu: cykliczne szkolenia w zakresie ochrony danych
• Rejestr Czynności Przetwarzania (RCPD): prowadzony zgodnie z art. 30 RODO
• DPIA: przeprowadzona / planowana dla przetwarzań wysokiego ryzyka — w szczególności dla biometrii (przed jej aktywacją) oraz dla wykorzystania AI w helpdesku

16. ZGŁASZANIE NARUSZEŃ OCHRONY DANYCH

W razie naruszenia ochrony danych osobowych SoCap działa zgodnie z procedurą art. 33–34 RODO:

• Zgłoszenie do Prezesa UODO w terminie 72 godzin od stwierdzenia naruszenia (jeżeli zagraża prawom lub wolnościom osób fizycznych)
• Powiadomienie osoby, której dane dotyczą — bez zbędnej zwłoki, jeżeli naruszenie może powodować wysokie ryzyko naruszenia jej praw lub wolności
• Dokumentacja każdego naruszenia (data, charakter, kategorie i liczba osób, kategorie i liczba wpisów danych, prawdopodobne konsekwencje, środki zaradcze)

Zgłaszanie podejrzeń: jeżeli posiadają Państwo informacje o naruszeniu lub podejrzewacie naruszenie — prosimy o kontakt: security@socapbonus.pl lub dpo@socapbonus.pl.

17. ZMIANY POLITYKI PRYWATNOŚCI

Polityka może być aktualizowana. O istotnych zmianach informujemy:

• przez wiadomość e-mail (na adres podany podczas onboardingu) — z minimum 14-dniowym wyprzedzeniem,
• przez komunikat w Aplikacji.

Aktualna wersja jest zawsze dostępna pod adresem https://onboardly.work/prywatnosc (do czasu migracji domeny — pod adresem https://onboardly-inky.vercel.app/prywatnosc).

Archiwum poprzednich wersji jest dostępne na żądanie — kontakt: dpo@socapbonus.pl.

18. KONTAKT I ORGAN NADZORCZY (one-stop-shop, art. 56 RODO)

Kontakt w sprawach ochrony danych:

• Inspektor Ochrony Danych: dpo@socapbonus.pl
• Adres: ul. Hetmańska 25, 15-727 Białystok (z dopiskiem „IOD")

18.1. Organ nadzorczy wiodący (lead supervisory authority)

Z uwagi na fakt, że wszystkie spółki grupy SoCap mają siedzibę w Polsce — organem nadzorczym wiodącym (lead supervisory authority) w rozumieniu art. 56 RODO jest:

Prezes Urzędu Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa e-mail: kancelaria@uodo.gov.pl strona: https://uodo.gov.pl**

Mechanizm „one-stop-shop" oznacza, że dla przetwarzania transgranicznego (gdyby takie wystąpiło) Prezes UODO jest organem właściwym do prowadzenia postępowania we współpracy z organami nadzorczymi innych państw członkowskich, zgodnie z art. 60 RODO.

18.2. Skarga do organu nadzorczego

Mają Państwo prawo wniesienia skargi do Prezesa UODO, jeżeli uważają, że przetwarzanie Państwa danych narusza RODO — niezależnie od miejsca Państwa zwykłego pobytu, miejsca pracy lub miejsca popełnienia domniemanego naruszenia (art. 77 RODO).

Niniejsza Polityka stanowi również realizację obowiązku informacyjnego wynikającego z art. 13 RODO. Wersja [XX.YY.2026] 3.0, wchodzi w życie z dniem [DD.MM.2026]. Zastępuje poprzednią wersję 2.0.