Załącznik nr 2 — Umowa powierzenia przetwarzania danych osobowych (DPA)
Umowa powierzenia stanowi integralny załącznik do Regulaminu serwisu TachoPing i zostaje zawarta z chwilą akceptacji Regulaminu. Dotyczy danych kierowców wprowadzanych przez Klienta.
Strony umowy
Umowa powierzenia zostaje zawarta pomiędzy: Klientem korzystającym z Serwisu — „Administratorem” (administratorem danych osobowych swoich kierowców), oraz DDSoftware Damian Dziura, ul. Adama Śnieżka 10, 75-386 Koszalin, NIP 6692552025 — „Podmiotem przetwarzającym” (operatorem Serwisu TachoPing).
§1. Przedmiot i cel powierzenia
Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych swoich kierowców w zakresie i celu niezbędnym do świadczenia usług TachoPing, zgodnie z art. 28 RODO. Cel: ewidencjonowanie kierowców i pojazdów Administratora oraz wyliczanie i przypominanie o terminach cyklicznego sczytywania danych z kart kierowców i tachografów. Charakter: przechowywanie i porządkowanie danych w systemie teleinformatycznym Serwisu; Podmiot przetwarzający nie wykorzystuje powierzonych danych do własnych celów.
§2. Rodzaj danych i kategorie osób
Kategorie osób: kierowcy zatrudnieni lub współpracujący z Administratorem. Rodzaj danych: imię, nazwisko, 4-cyfrowy kod PIN (służący wyłącznie logowaniu kierowcy do jego widoku terminów) oraz daty odczytów; pośrednio — powiązanie z numerem rejestracyjnym pojazdu. Powierzenie nie obejmuje plików .ddd ani danych odczytanych z tachografu/karty kierowcy — Serwis ich nie przetwarza.
§3. Czas powierzenia
Powierzenie obowiązuje przez czas korzystania przez Administratora z Serwisu i wygasa z chwilą jego zakończenia, z zastrzeżeniem §7 (usunięcie/zwrot danych).
§4. Obowiązki Podmiotu przetwarzającego
Podmiot przetwarzający zobowiązuje się do (art. 28 ust. 3 RODO): a) przetwarzania danych wyłącznie na udokumentowane polecenie Administratora — za takie polecenie uznaje się czynności Administratora w Serwisie oraz postanowienia Regulaminu i niniejszej Umowy; b) zapewnienia, by osoby upoważnione zobowiązały się do zachowania poufności; c) zastosowania środków bezpieczeństwa zgodnie z art. 32 RODO (m.in. szyfrowanie transmisji, kontrola dostępu, kopie zapasowe, pseudonimizacja PIN); d) przestrzegania zasad korzystania z podprzetwarzających (§5); e) pomocy Administratorowi w realizacji żądań osób, których dane dotyczą (art. 15–22 RODO); f) pomocy Administratorowi w obowiązkach z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków); g) usunięcia lub zwrotu danych po zakończeniu świadczenia (§7); h) udostępnienia informacji niezbędnych do wykazania zgodności oraz umożliwienia audytów (§8).
§5. Podprzetwarzający (subprocessors)
Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających w zakresie niezbędnym do świadczenia usług. Na dzień zawarcia Umowy są to w szczególności: • Stripe Payments Europe, Ltd. (Stripe) — obsługa płatności; • Fakturownia — wystawianie i doręczanie faktur; • dostawca poczty i hostingu (SMTP) — wysyłka e-mail; • SmsPlanet — wysyłka SMS (gdy kanał aktywny); • Meta Platforms (WhatsApp) — wysyłka WhatsApp (gdy kanał aktywny); • Sentry — monitorowanie błędów (region UE); • dostawca infrastruktury/hostingu Serwisu. O zamierzonej zmianie podprzetwarzających Podmiot przetwarzający poinformuje Administratora, dając możliwość wniesienia uzasadnionego sprzeciwu. Na podprzetwarzających nakłada obowiązki ochrony danych odpowiadające niniejszej Umowie.
§6. Przekazywanie poza EOG
Przekazanie danych poza EOG może nastąpić wyłącznie przy zachowaniu mechanizmów z rozdziału V RODO (decyzja o adekwatności — EU-US Data Privacy Framework — lub standardowe klauzule umowne). Dotyczy to w szczególności narzędzi działających w USA oraz kanału WhatsApp (Meta), jeśli zostanie aktywowany.
§7. Usunięcie lub zwrot danych
Po zakończeniu świadczenia usług Podmiot przetwarzający — w zależności od wyboru Administratora — usuwa lub zwraca powierzone dane oraz usuwa ich istniejące kopie, chyba że obowiązek przechowywania wynika z przepisów prawa. Mechanizm usunięcia konta (z okresem przywrócenia 14 dni, po którym następuje trwałe usunięcie) realizuje ten obowiązek.
§8. Audyt
Podmiot przetwarzający umożliwia Administratorowi przeprowadzenie audytu (w tym inspekcji) zgodności przetwarzania, w rozsądnym zakresie i terminie uzgodnionym przez strony, lub udostępnia stosowne informacje/atesty. Audyt nie może naruszać bezpieczeństwa danych innych klientów.
§9. Zgłaszanie naruszeń
Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki po jego stwierdzeniu, przekazując informacje niezbędne do wypełnienia obowiązków Administratora z art. 33–34 RODO.
§10. Odpowiedzialność i postanowienia końcowe
Każda ze stron odpowiada za szkody spowodowane przetwarzaniem niezgodnym z RODO na zasadach art. 82 RODO. Administrator oświadcza, że dysponuje podstawą prawną przetwarzania danych kierowców i dopełnił wobec nich obowiązku informacyjnego. W sprawach nieuregulowanych stosuje się Regulamin oraz przepisy RODO i prawa polskiego.