Umowa powierzenia przetwarzania danych osobowych (DPA)

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH — WERSJA ROBOCZA

Wersja: TODO. Data wejścia w życie: TODO.

Niniejszy dokument jest roboczym projektem przeznaczonym do przeglądu prawnego przed publikacją. Sam w sobie nie gwarantuje zgodności z przepisami.

§1. Strony

Podmiot przetwarzający: STREFA OXYGEN SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, ul. Zielonogórska 31/54, 41-218 Sosnowiec, Polska, KRS 0000945099, NIP 6443564590, REGON 520938057, kapitał zakładowy 5 000 PLN. Kontakt: tirpilotpro.kontakt@gmail.com.

Administrator: Klient TIRPilotPro — przedsiębiorstwo korzystające z usługi.

Paweł Kalicki i Robert Zachariasz są właścicielami praw do TIRPilotPro. Z tego tytułu nie są stroną niniejszej umowy ani administratorami danych Klienta. Usługę świadczy STREFA OXYGEN jako Operator.

• TODO: Określić sposób zawarcia DPA (akceptacja elektroniczna przy rejestracji albo podpis).

§2. Charakter powierzenia

Klient jest Administratorem danych osobowych, dla których sam określa cele i sposoby przetwarzania. STREFA OXYGEN przetwarza te dane w imieniu Klienta wyłącznie w celu świadczenia usługi TIRPilotPro.

STREFA OXYGEN nie wykorzystuje powierzonych danych do własnych celów niezwiązanych ze świadczeniem usługi. Wyjątkiem są wyłącznie procesy, w których STREFA OXYGEN działa jako odrębny administrator (np. konta użytkowników, bezpieczeństwo, rozliczenia abonamentu, kontakt, analityka strony) — są one opisane w Polityce prywatności i nie są objęte niniejszą umową.

§3. Przedmiot przetwarzania

Przedmiotem przetwarzania jest świadczenie usługi TIRPilotPro, w szczególności:

• obsługa zleceń transportowych, zarządzanie flotą i kierowcami;
• obsługa dokumentów, w tym CMR i POD, oraz OCR;
• dane lokalizacyjne: GPS, trasy, geofencing, parkingi;
• komunikacja, zgłoszenia, incydenty i SOS;
• dane czasu pracy i dane rozliczeniowe;
• dane kontrahentów i osób kontaktowych;
• funkcje analityczne dostępne w ramach usługi;
• inne funkcje TIRPilotPro uruchomione przez Klienta.

• TODO: KSeF, telematyka (integracje zewnętrzne), integracje z systemami księgowymi i publiczne API są w przygotowaniu i nie są obecnie aktywnymi funkcjami. Po ich uruchomieniu DPA wymaga aktualizacji.

§4. Czas przetwarzania

Umowa obowiązuje przez okres świadczenia usługi TIRPilotPro. Po zakończeniu umowy dane są zwracane Administratorowi, eksportowane na jego żądanie (jeżeli dana funkcja eksportu jest dostępna) albo usuwane — zgodnie z umową główną i Regulaminem.

Okres dostępności danych do eksportu po zakończeniu usługi: DO UZUPEŁNIENIA.

§5. Cel przetwarzania

Dane są przetwarzane wyłącznie w celu:

• świadczenia TIRPilotPro i realizacji funkcji aktywowanych przez Klienta;
• przechowywania danych Klienta;
• obsługi zleceń, zarządzania flotą i obsługi kierowców;
• przetwarzania dokumentów i OCR;
• realizacji funkcji GPS / lokalizacji;
• funkcji AI — jeżeli Klient z nich korzysta (funkcje AI mają charakter wspierający; nie podejmują wiążących decyzji wobec osób);
• generowania raportów i obsługi komunikacji;
• zapewnienia bezpieczeństwa usługi;
• wykonywania udokumentowanych poleceń Administratora.

§6. Kategorie osób

W szczególności (lista otwarta):

• kierowcy;
• pracownicy Klienta;
• użytkownicy systemu;
• osoby kontaktowe i przedstawiciele kontrahentów;
• osoby wskazane w dokumentach transportowych;
• inne osoby, których dane Klient zgodnie z prawem wprowadzi do systemu.

§7. Kategorie danych

Możliwość wprowadzenia przez Klienta innych danych nie oznacza, że Operator może wykorzystywać je we własnych celach.

• imię, nazwisko, e-mail, telefon, rola, zdjęcie;
• dane firmy, NIP;
• dane kierowcy, numer karty kierowcy, dane czasu pracy;
• dane rozliczeniowe, diety, potrącenia;
• GPS, lokalizacja, trasy, zdarzenia geofence, wizyty parkingowe;
• zlecenia, dane kontrahentów i osób kontaktowych;
• CMR, POD, zdjęcia (w tym dokumentów i pojazdów);
• incydenty, zgłoszenia SOS, wiadomości;
• dane finansowe znajdujące się w danych Klienta.

§8. Dane szczególnych kategorii

TIRPilotPro nie jest przeznaczony do przetwarzania danych szczególnych kategorii (art. 9 RODO). Administrator nie powinien ich wprowadzać, jeżeli nie jest to niezbędne do konkretnej funkcji i nie posiada odpowiedniej podstawy prawnej.

Jeżeli w przyszłości funkcja będzie wymagała takich danych, dokumentacja i środki ochrony zostaną odpowiednio zaktualizowane.

§9. Instrukcje Administratora

STREFA OXYGEN przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Instrukcjami są w szczególności:

• korzystanie z funkcji TIRPilotPro i konfiguracja konta;
• wprowadzanie, usuwanie i eksport danych;
• ustawienia Klienta i polecenia przekazane za pośrednictwem systemu;
• inne udokumentowane polecenia.

§9a. Obowiązki wynikające z prawa

Jeżeli obowiązek przetwarzania wynika bezpośrednio z prawa Unii lub państwa członkowskiego, STREFA OXYGEN przed rozpoczęciem przetwarzania informuje o tym Administratora, chyba że prawo zabrania udzielenia takiej informacji (art. 28 ust. 3 lit. a RODO). Jeżeli polecenie Administratora w ocenie STREFY OXYGEN narusza przepisy, STREFA OXYGEN niezwłocznie informuje o tym Administratora.

§10. Poufność

STREFA OXYGEN zapewnia, że osoby upoważnione do przetwarzania danych:

• posiadają odpowiednie upoważnienie;
• są zobowiązane do zachowania poufności;
• mają dostęp wyłącznie w zakresie niezbędnym do wykonywania obowiązków.

§11. Bezpieczeństwo (art. 32 RODO)

STREFA OXYGEN stosuje środki techniczne i organizacyjne adekwatne do ryzyka, w szczególności:

• kontrolę dostępu, w tym uprawnienia oparte na rolach (RBAC);
• izolację danych Klientów na poziomie bazy danych (RLS);
• uwierzytelnianie dwuskładnikowe (2FA) i zaufane urządzenia;
• logi bezpieczeństwa i audyt działań;
• monitoring;
• kopie zapasowe;
• mechanizmy izolacji błędów modułów.

§11a. Zastrzeżenie

Szczegóły techniczne zabezpieczeń nie są ujawniane w niniejszym dokumencie ze względów bezpieczeństwa. STREFA OXYGEN nie deklaruje posiadania certyfikatów bezpieczeństwa.

§12. Naruszenia ochrony danych

Jeżeli STREFA OXYGEN stwierdzi naruszenie ochrony danych powierzonych przez Klienta, poinformuje Administratora bez zbędnej zwłoki po stwierdzeniu naruszenia.

Powiadomienie zawiera dostępne informacje potrzebne Administratorowi do oceny naruszenia i wykonania jego obowiązków (art. 33–34 RODO), w szczególności charakter naruszenia, przybliżoną liczbę osób i rekordów, możliwe konsekwencje oraz podjęte lub proponowane środki. Informacje mogą być przekazywane etapami.

Szczegółowy termin i sposób powiadomienia: DO UZUPEŁNIENIA.

§13. Pomoc Administratorowi

STREFA OXYGEN, uwzględniając charakter przetwarzania i dostępne jej informacje, pomaga Administratorowi w zakresie art. 28 RODO, dotyczącym m.in.:

• realizacji praw osób, których dane dotyczą;
• bezpieczeństwa przetwarzania;
• obsługi naruszeń;
• oceny skutków dla ochrony danych;
• uprzednich konsultacji z organem nadzorczym;
• przekazywania informacji potrzebnych do wykazania zgodności.

§14. Podpowierzenie

STREFA OXYGEN korzysta z dostawców wymienionych w tabeli poniżej. Dostawca jest podprocesorem wyłącznie w zakresie, w jakim w danym procesie faktycznie przetwarza dane powierzone przez Klienta. Część dostawców przetwarza wyłącznie dane techniczne lub nie przetwarza danych osobowych Klienta.

STREFA OXYGEN nakłada na podprocesorów obowiązki ochrony danych odpowiadające niniejszej umowie i odpowiada wobec Administratora za ich wykonanie.

§15. Zmiany podprocesorów

Administrator udziela ogólnej zgody na korzystanie z podprocesorów — jeżeli strony przyjmą ten model. STREFA OXYGEN informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia podprocesorów.

Administrator może zgłosić uzasadniony sprzeciw wobec zmiany. W razie braku porozumienia Administrator może zakończyć korzystanie z usługi zgodnie z Regulaminem.

• TODO: Określić sposób i termin informowania o zmianach oraz termin na zgłoszenie sprzeciwu.

§16. Transfery poza EOG

Jeżeli przetwarzanie lub dostęp do danych odbywa się poza Europejskim Obszarem Gospodarczym, STREFA OXYGEN stosuje odpowiedni mechanizm transferu zgodny z rozdziałem V RODO, jeżeli jest wymagany. Konkretny mechanizm dla danego dostawcy zostanie wskazany po jego potwierdzeniu.

• TODO: Lokalizacja przetwarzania i mechanizm transferu dla każdego dostawcy: DO UZUPEŁNIENIA (patrz tabela).

§17. Audyt

Administrator ma prawo uzyskać informacje niezbędne do wykazania zgodności przetwarzania oraz przeprowadzać audyty, w tym inspekcje, zgodnie z art. 28 ust. 3 lit. h RODO — samodzielnie lub przez upoważnionego audytora.

Zasady organizacyjne: wcześniejsze uzgodnienie terminu, zachowanie zasad bezpieczeństwa i poufności, brak dostępu do danych innych klientów oraz nieingerowanie w działanie infrastruktury. Zasady te nie ograniczają prawa do audytu.

• TODO: Ewentualne zasady kosztów audytu — nie zostały zatwierdzone.

§18. Usunięcie lub zwrot danych

Po zakończeniu świadczenia usług STREFA OXYGEN, zgodnie z decyzją Administratora, zwraca dane, umożliwia ich eksport albo je usuwa, z wyjątkiem sytuacji, w których dalsze przechowywanie jest wymagane przez prawo.

Termin eksportu: DO UZUPEŁNIENIA. Termin usunięcia danych: DO UZUPEŁNIENIA.

§19. Kopie zapasowe

Dane mogą znajdować się w kopiach zapasowych. Po zakończeniu usługi dane w kopiach zapasowych są usuwane zgodnie z technicznym cyklem retencji kopii, który zostanie określony w dokumentacji.

Okres retencji kopii zapasowych: DO UZUPEŁNIENIA.

§20. Żądania osób, których dane dotyczą

Jeżeli osoba zwróci się bezpośrednio do STREFY OXYGEN w sprawie danych przetwarzanych w imieniu Klienta, STREFA OXYGEN — w zakresie dopuszczalnym przez prawo — przekazuje żądanie Administratorowi i nie podejmuje samodzielnie decyzji co do danych Klienta bez jego instrukcji, chyba że prawo stanowi inaczej.

§21. Aktualizacja DPA

DPA może wymagać aktualizacji w przypadku nowych funkcji, nowych kategorii danych, nowych podprocesorów, zmian technologicznych lub zmian prawa. Zmiana nie oznacza automatycznie rozszerzenia zakresu przetwarzania bez odpowiedniej podstawy.

§22. Dane kontaktowe

Kontakt z Operatorem w sprawach niniejszej umowy: tirpilotpro.kontakt@gmail.com. Po utworzeniu dedykowanego adresu do spraw ochrony danych adres zostanie zaktualizowany.

§23. Wersja i data

Wersja: TODO.

Data wejścia w życie: TODO.

Tabela podprocesorów (struktura robocza)

Załącznik — opis przetwarzania