UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH
Smart Fleet Planner - załącznik RODO do Regulaminu lub umowy z Klientem
I. Strony
Powierzający: Klient korzystający ze Smart Fleet Planner, wskazany w zamówieniu, umowie, formularzu rejestracji lub panelu klienta.
Przetwarzający: KAMPO Przemysław Kędzierski, Zębowice 50, 59-411 Paszowice, NIP: 6951438816, REGON: 391077790.
Umowa powierzenia stanowi załącznik do Regulaminu lub odrębnej umowy o korzystanie z Platformy.
II. Przedmiot i czas trwania
Powierzający powierza Przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usług Smart Fleet Planner, w tym prowadzenia Planera, Tablicy naczep, kont użytkowników, wsparcia technicznego oraz obsługi jednomiesięcznego okresu testowego i płatnej subskrypcji.
Powierzenie trwa przez okres obowiązywania umowy o korzystanie z Platformy, obejmujący okres testowy oraz okres płatnej subskrypcji miesięcznej lub rocznej, a następnie przez okres niezbędny do usunięcia, zwrotu, anonimizacji lub zabezpieczenia danych zgodnie z poleceniem Powierzającego, Regulaminem, procedurą blokady i usuwania konta oraz obowiązującym prawem.
Po zakończeniu subskrypcji albo po blokadzie konta z powodu braku płatności Powierzający traci dostęp do Platformy i powinien wcześniej pobrać dane, które chce zachować, jeżeli Platforma udostępnia eksport danych. Jeżeli konto zostało zablokowane z powodu braku płatności, Powierzający ma 30 dni na podjęcie decyzji o dalszym korzystaniu z usługi, uregulowaniu zaległości lub odnowieniu subskrypcji; brak takiej decyzji powoduje samoistne skasowanie konta. Przetwarzający może zachować dane wyłącznie w zakresie wymaganym prawem, bezpieczeństwem, rozliczeniami, dochodzeniem lub obroną roszczeń albo udokumentowanym poleceniem Powierzającego.
III. Cel i charakter przetwarzania
Celem przetwarzania jest udostępnienie, utrzymanie, zabezpieczenie, rozwój i wsparcie techniczne Platformy, w tym Planera, Tablicy naczep, kont użytkowników, historii zmian, kopii zapasowych i zgłoszeń serwisowych.
Przetwarzanie ma charakter ciągły, automatyczny i ręczny w zakresie obsługi technicznej, obejmuje przechowywanie, odczyt, utrwalanie, organizowanie, modyfikowanie, udostępnianie w ramach uprawnień, usuwanie i archiwizację.
IV. Kategorie osób i danych
Osoby
| Kategorie danych
| pracownicy, kierowcy, zleceniobiorcy Klienta
| imię, nazwisko, numer telefonu, e-mail, identyfikatory, stanowisko/rola, dostępność, urlopy, przypisania do pojazdów i zadań, notatki operacyjne
| kontrahenci i osoby kontaktowe
| nazwa firmy, imię, nazwisko, e-mail, telefon, adresy załadunku/rozładunku, dane kontaktowe
| użytkownicy panelu
| imię, nazwisko, e-mail, login, rola, uprawnienia, logi aktywności
| inne osoby wpisane przez Klienta
| dane wpisane przez Klienta w polach opisowych, notatkach lub importach
| V. Obowiązki Przetwarzającego
Przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Powierzającego, chyba że obowiązek wynika z prawa.
Przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do poufności.
Przetwarzający stosuje odpowiednie środki techniczne i organizacyjne, uwzględniając stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób.
Przetwarzający pomaga Powierzającemu, w miarę możliwości, w realizacji praw osób, których dane dotyczą, obsłudze naruszeń, ocenie skutków dla ochrony danych oraz konsultacjach z organem nadzorczym, jeżeli jest to wymagane.
Po zakończeniu świadczenia usług, skasowaniu konta na wniosek e-mail albo samoistnym skasowaniu konta po 30 dniach od blokady Przetwarzający usuwa, zwraca albo anonimizuje dane zgodnie z decyzją Powierzającego, Regulaminem i obowiązującym prawem, chyba że prawo wymaga dalszego przechowywania.
VI. Obowiązki Powierzającego
Powierzający oświadcza, że jest administratorem danych lub posiada inną właściwą podstawę do powierzenia danych.
Powierzający odpowiada za legalność, rzetelność, minimalizację i aktualność danych wprowadzanych do Platformy.
Powierzający zobowiązuje się nie wpisywać do Platformy szczególnych kategorii danych, danych o wyrokach i naruszeniach prawa ani danych nadmiarowych, chyba że jest to konieczne i zgodne z prawem oraz uzgodnione z Przetwarzającym.
Powierzający odpowiada za nadawanie i odbieranie uprawnień swoim użytkownikom.
VII. Podprocesorzy
Powierzający wyraża ogólną zgodę na korzystanie przez Przetwarzającego z dalszych podmiotów przetwarzających, w szczególności dostawców hostingu, utrzymania IT, kopii zapasowych, poczty e-mail, analityki, obsługi zgłoszeń, księgowości oraz narzędzi wspierających płatności i fakturowanie.
Operatorzy płatności online, banki i dostawcy usług finansowych mogą w określonych zakresach działać jako odrębni administratorzy danych, a nie wyłącznie jako podprocesorzy. Ich status należy potwierdzić po wyborze konkretnego dostawcy płatności i odzwierciedlić w dokumentacji RODO.
Aktualna lista podprocesorów powinna obejmować co najmniej: hosting, bazę danych, backup, pocztę e-mail, monitoring błędów, system zgłoszeń, analitykę, operatora płatności, system fakturowania/księgowości oraz ewentualnych dostawców AI lub integracji.
Przetwarzający informuje Powierzającego o planowanych zmianach dotyczących dodania lub zastąpienia podprocesorów, umożliwiając Powierzającemu zgłoszenie uzasadnionego sprzeciwu na zasadach określonych w Regulaminie lub odrębnej umowie.
VIII. Bezpieczeństwo
Obszar
| Minimalne środki
| dostęp
| indywidualne konta, role, ograniczenie dostępu według potrzeb, odbieranie uprawnień
| transmisja
| szyfrowanie połączeń, certyfikat SSL/TLS
| infrastruktura
| hosting u profesjonalnego dostawcy, aktualizacje, monitoring, kopie zapasowe
| personel
| poufność, upoważnienia, zasada wiedzy koniecznej
| incydenty
| procedura zgłaszania i obsługi naruszeń, analiza przyczyn, działania naprawcze
| IX. Naruszenia ochrony danych
Przetwarzający zawiadomi Powierzającego o stwierdzonym naruszeniu ochrony danych osobowych bez zbędnej zwłoki po jego wykryciu.
Zawiadomienie powinno obejmować co najmniej opis charakteru naruszenia, możliwe konsekwencje, środki zastosowane lub proponowane oraz dane kontaktowe osoby odpowiedzialnej, o ile informacje te są dostępne.
Powierzający odpowiada za ocenę obowiązku zgłoszenia naruszenia do organu nadzorczego i osób, których dane dotyczą, chyba że strony pisemnie uzgodnią inaczej.
X. Audyt i informacje
Przetwarzający udostępnia Powierzającemu informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO w rozsądnym zakresie, z poszanowaniem tajemnicy przedsiębiorstwa, bezpieczeństwa innych klientów i poufności systemów.
Audyt na miejscu wymaga wcześniejszego uzgodnienia terminu, zakresu i zasad bezpieczeństwa. Audyt nie może nadmiernie zakłócać działalności Przetwarzającego ani naruszać danych innych klientów.
Jeżeli audyt wykaże niezgodności, strony uzgodnią rozsądny plan działań naprawczych.
XI. Transfer danych poza EOG
Przetwarzający może korzystać z dostawców spoza EOG wyłącznie przy zastosowaniu mechanizmów zgodnych z RODO, np. decyzji stwierdzającej odpowiedni poziom ochrony, standardowych klauzul umownych albo innych przewidzianych prawem zabezpieczeń.
Informacja o takich transferach powinna zostać uzupełniona w liście podprocesorów, jeżeli występują.
XII. Postanowienia końcowe
W sprawach nieuregulowanych stosuje się RODO i prawo polskie.
Umowa powierzenia wygasa wraz z zakończeniem umowy głównej, z zastrzeżeniem obowiązków dotyczących usunięcia, zwrotu, archiwizacji i poufności.
Zmiana Umowy powierzenia może nastąpić w trybie zmiany Regulaminu lub odrębnie uzgodnionym przez strony.