Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu usługi Odbiorek · obowiązuje od [DATA WEJŚCIA W ŻYCIE]

Umowa zostaje zawarta między Klientem (wypożyczalnią korzystającą z Usługi), jako Administratorem, a [NAZWA USŁUGODAWCY], [ADRES], NIP [NIP], jako Podmiotem przetwarzającym, razem z umową o korzystanie z Usługi i na czas jej trwania. Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie, a pozostałe — w rozporządzeniu (UE) 2016/679 (RODO).

§ 1. Przedmiot

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu opisanym w Załączniku nr 1, wyłącznie w celu świadczenia Usługi.
2. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są w szczególności Regulamin, ta umowa oraz działania Użytkowników w Usłudze (np. zapis inspekcji, wysyłka Protokołu e-mailem, usunięcie danych). Jeśli polecenie zdaniem Podmiotu przetwarzającego narusza prawo, niezwłocznie informuje o tym Administratora.
3. Jeżeli prawo Unii lub państwa członkowskiego nakłada na Podmiot przetwarzający obowiązek przetwarzania danych w inny sposób, informuje on o tym Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.

§ 2. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający:
   1. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy;
   2. stosuje środki techniczne i organizacyjne opisane w Załączniku nr 2 (art. 32 RODO);
   3. korzysta z dalszych podmiotów przetwarzających wyłącznie na zasadach § 3;
   4. pomaga Administratorowi, w miarę możliwości i przy uwzględnieniu charakteru przetwarzania, wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO) — przekazuje mu niezwłocznie, nie później niż w 5 dni roboczych, wnioski skierowane bezpośrednio do siebie;
   5. pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, uwzględniając informacje, którymi dysponuje;
   6. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty na zasadach § 6.
2. Podmiot przetwarzający nie wykorzystuje danych do własnych celów, w szczególności marketingowych ani do trenowania modeli sztucznej inteligencji.

§ 3. Dalsze powierzenie (podprocesorzy)

1. Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Aktualna lista stanowi Załącznik nr 3.
2. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw; jeśli strony nie dojdą do porozumienia, Administrator może wypowiedzieć umowę o korzystanie z Usługi ze skutkiem natychmiastowym.
3. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający te same obowiązki ochrony danych co w tej umowie i odpowiada wobec Administratora za ich wykonanie.

§ 4. Przekazywanie danych poza EOG

Dane w bazie i magazynie plików są przechowywane w Unii Europejskiej (Frankfurt). Przekazanie danych do państwa trzeciego następuje wyłącznie w zakresie wskazanym w Załączniku nr 3 i na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) albo standardowych klauzul umownych Komisji Europejskiej.

§ 5. Naruszenia ochrony danych

1. Po stwierdzeniu naruszenia ochrony danych osobowych Podmiot przetwarzający zgłasza je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 36 godzin, na adres e-mail właściciela Konta Firmy.
2. Zgłoszenie zawiera — w miarę dostępności — opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje oraz zastosowane lub proponowane środki. Informacje, których nie da się przekazać od razu, przekazuje się sukcesywnie.

§ 6. Kontrola

1. Administrator może kontrolować zgodność przetwarzania z tą umową, w pierwszej kolejności przez pytania na piśmie lub e-mailem, na które Podmiot przetwarzający odpowiada w ciągu 14 dni.
2. Audyt w miejscu przetwarzania jest możliwy po zawiadomieniu co najmniej 14 dni wcześniej, w dni robocze, nie częściej niż raz w roku (chyba że nastąpiło naruszenie), na koszt Administratora. W zakresie infrastruktury dostawców chmurowych Podmiot przetwarzający może zamiast audytu udostępnić ich raporty i certyfikaty (np. SOC 2).

§ 7. Zakończenie przetwarzania

1. Po zakończeniu umowy o korzystanie z Usługi Podmiot przetwarzający, zależnie od decyzji Administratora, zwraca dane (eksport w formacie elektronicznym) albo je usuwa — w ciągu 30 dni — i usuwa istniejące kopie, chyba że prawo nakazuje ich przechowywanie.
2. Kopie zapasowe są nadpisywane automatycznie w cyklu nie dłuższym niż [7] dni; do tego czasu dane w kopiach są chronione tak jak dane w Usłudze i nie są używane.

§ 8. Odpowiedzialność i postanowienia końcowe

1. Strony odpowiadają za szkody wyrządzone przetwarzaniem danych na zasadach art. 82 RODO.
2. Umowa obowiązuje przez czas świadczenia Usługi i do wykonania obowiązków z § 7.
3. W sprawach nieuregulowanych stosuje się Regulamin, RODO i przepisy prawa polskiego. W razie sprzeczności z Regulaminem w sprawach ochrony danych pierwszeństwo ma ta umowa.

Załącznik nr 1 — zakres przetwarzania

Załącznik nr 2 — środki techniczne i organizacyjne

• szyfrowanie połączeń (HTTPS/TLS) między aplikacją, panelem i serwerem;
• szyfrowanie danych w spoczynku po stronie dostawcy infrastruktury (Supabase / AWS, region UE);
• oddzielenie danych Klientów na poziomie bazy danych (Row Level Security — każdy Użytkownik widzi wyłącznie dane swojej firmy);
• prywatny magazyn plików; zdjęcia, podpisy i PDF-y udostępniane tylko przez linki ważne 1 godzinę;
• role Użytkowników (właściciel, biuro, pracownik) i możliwość natychmiastowej dezaktywacji konta;
• hasła przechowywane wyłącznie w postaci skrótu; klucze dostawców (np. poczty) wyłącznie po stronie serwera;
• dziennik zdarzeń (audit log) z możliwością tylko dopisywania wpisów;
• skrót SHA-256 każdego zdjęcia i Protokołu, pozwalający wykryć zmianę pliku;
• codzienne kopie zapasowe bazy danych u dostawcy infrastruktury;
• dostęp administracyjny do infrastruktury tylko dla Podmiotu przetwarzającego, z uwierzytelnianiem dwuskładnikowym [potwierdzić];
• dane z telefonu zapisane bez zasięgu są przechowywane w pamięci aplikacji tylko do wysłania na serwer; wylogowanie usuwa z urządzenia kopię wczytanych danych.

Załącznik nr 3 — dalsze podmioty przetwarzające

Expo / 650 Industries, Inc. i Apple Inc. uczestniczą w budowaniu i dystrybucji aplikacji mobilnej, ale nie przetwarzają danych z inspekcji.

Załącznik nr 4 — wzór informacji dla klientów wypożyczalni

Wypożyczalnia jako administrator musi poinformować swoich klientów o przetwarzaniu ich danych (art. 13 RODO). Poniższy wzór można dodać do umowy najmu, regulaminu wypożyczalni lub wywiesić w punkcie wydań — po uzupełnieniu pól.