Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie

1. Umowa powierzenia przetwarzania danych osobowych (Umowa powierzenia) zostaje zawarta między Klientem jako administratorem (Administrator) a FHU Marcin Ranoszek, Pasieka 14a, 98-354 Radoszewice, NIP 5080105719, jako podmiotem przetwarzającym (Procesor), z chwilą akceptacji Regulaminu serwisu Trasio, w formie elektronicznej (art. 28 ust. 9 RODO). 2. Pojęcia użyte w Umowie powierzenia mają znaczenie nadane im w rozporządzeniu (UE) 2016/679 (RODO) i w Regulaminie. Umowa powierzenia obowiązuje przez czas świadczenia usług i do chwili usunięcia danych zgodnie z § 9. 3. W razie sprzeczności między Regulaminem a Umową powierzenia w sprawach danych osobowych pierwszeństwo ma Umowa powierzenia.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych wprowadzanych do Serwisu przez Administratora i jego Użytkowników albo wytwarzanych w Serwisie w wyniku ich działań – wyłącznie w celu świadczenia usług opisanych w Regulaminie. 2. Charakter przetwarzania: przechowywanie, porządkowanie, wyświetlanie, wyszukiwanie, zestawianie, eksport, przesyłanie powiadomień (e-mail, SMS, push), tworzenie kopii zapasowych, usuwanie – w systemie informatycznym, w sposób zautomatyzowany. 3. Czas przetwarzania: okres obowiązywania umowy o świadczenie usług oraz okres wskazany w § 9.

§ 3. Rodzaj danych i kategorie osób

1. Kategorie osób: kierowcy Administratora; pracownicy i współpracownicy biura Administratora (Użytkownicy); osoby kontaktowe kontrahentów (zleceniodawców, odbiorców, warsztatów, ubezpieczycieli); kontrahenci będący osobami fizycznymi prowadzącymi działalność; inne osoby wskazane przez Administratora w zleceniach i notatkach. 2. Rodzaje danych: imię i nazwisko; numer telefonu; adres e-mail; data urodzenia; numer i kategorie prawa jazdy; daty ważności badań lekarskich i psychologicznych, szkoleń, uprawnień i dokumentów; rola i status; dane logowania (skróty haseł i PIN, sesje, informacje o urządzeniu); dane o realizacji zleceń (adresy, terminy, statusy, czas zdarzeń); jednorazowa lokalizacja przy zgłoszeniu SOS i rozładunku; wnioski (urlop, usterka, wymiana naczepy) i decyzje; wydatki i zaliczki; dane z napraw i tankowań powiązane z kierowcą; dane kontrahentów (nazwa, NIP, adres, dane kontaktowe) i należności; treść ogłoszeń i notatek; historia wysłanych powiadomień; dziennik zdarzeń; subskrypcje powiadomień push. 3. Serwis nie jest przeznaczony do przetwarzania szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO), numerów PESEL ani numerów dowodów osobistych i paszportów. Administrator nie wprowadza takich danych, w szczególności w polach opisowych i uwagach. Data ważności badania lekarskiego jest wprowadzana wyłącznie jako termin – bez wyników, diagnoz i przeciwwskazań.

§ 4. Obowiązki Procesora

1. Procesor: a) przetwarza dane wyłącznie na udokumentowane polecenie Administratora – za które uznaje się Regulamin, Umowę powierzenia, konfigurację Konta i działania Użytkowników w Serwisie – także w odniesieniu do przekazywania danych do państwa trzeciego, chyba że obowiązek przetwarzania nakłada na Procesora prawo Unii lub prawo polskie; w takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo nie zabrania udzielenia takiej informacji (art. 28 ust. 3 lit. a RODO); b) zapewnia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi zachowania tajemnicy (lit. b); c) stosuje środki bezpieczeństwa wymagane na mocy art. 32 RODO, opisane w § 7 (lit. c); d) przestrzega warunków korzystania z usług innego podmiotu przetwarzającego określonych w § 5 (lit. d); e) pomaga Administratorowi, poprzez odpowiednie środki techniczne i organizacyjne, wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą – w szczególności udostępniając w Serwisie funkcje przeglądania, poprawiania, usuwania i eksportu danych (lit. e); f) uwzględniając charakter przetwarzania i dostępne mu informacje, pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO (lit. f); g) po zakończeniu świadczenia usług usuwa albo zwraca dane zgodnie z § 9 (lit. g); h) udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia przeprowadzanie audytów zgodnie z § 8 (lit. h). 2. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych. 3. Jeżeli osoba, której dane dotyczą, zwróci się z żądaniem bezpośrednio do Procesora, Procesor przekazuje je Administratorowi bez zbędnej zwłoki i nie odpowiada na nie samodzielnie, chyba że Administrator go do tego upoważni. 4. Procesor prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO). 5. Procesor nie wykorzystuje powierzonych danych do własnych celów, w tym do marketingu lub trenowania modeli sztucznej inteligencji. Procesor może tworzyć zbiorcze statystyki techniczne o korzystaniu z Serwisu (np. liczba zleceń, kierowców, wysłanych SMS-ów) bez danych osobowych – w celu rozliczeń, limitów Pakietów i utrzymania Serwisu. 6. Dostęp pracowników Procesora do danych w Koncie Administratora (podgląd serwisowy) jest możliwy wyłącznie na zgłoszenie Administratora albo gdy jest to niezbędne do usunięcia awarii lub zapewnienia bezpieczeństwa, na czas nie dłuższy niż 15 minut na jedno otwarcie, z podaniem powodu i zapisem w rejestrze.

§ 5. Dalsze powierzenie (podprocesorzy)

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z usług innych podmiotów przetwarzających (podprocesorów) (art. 28 ust. 2 RODO). Aktualna lista podprocesorów stanowi Dodatek A. 2. O zamiarze dodania lub zastąpienia podprocesora Procesor informuje Administratora e-mailem lub w Serwisie co najmniej 14 dni wcześniej. W tym czasie Administrator może zgłosić uzasadniony sprzeciw. W przypadku sprzeciwu strony podejmą próbę porozumienia; jeżeli to nie będzie możliwe, Administrator może rozwiązać umowę ze skutkiem na dzień wprowadzenia zmiany, a Procesor zwraca proporcjonalną część opłaty za niewykorzystany, opłacony okres. 3. Procesor nakłada na podprocesora – w drodze umowy – te same obowiązki ochrony danych, które wynikają z Umowy powierzenia, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 28 ust. 4 RODO). Procesor odpowiada wobec Administratora za wypełnienie obowiązków przez podprocesora. 4. Przekazanie danych do państwa trzeciego przez Procesora lub podprocesora odbywa się wyłącznie przy zastosowaniu mechanizmów z rozdziału V RODO: decyzji stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework – wobec podmiotów certyfikowanych) albo standardowych klauzul umownych. 5. Przy wysyłce powiadomień push dane trafiają do usługi powiadomień producenta przeglądarki urządzenia kierowcy, wybranej przez użytkownika urządzenia; treść powiadomienia jest szyfrowana i nie może być odczytana przez tę usługę. Zapytania do publicznych rejestrów (wykaz podatników VAT, VIES) wykonywane na polecenie Użytkownika zawierają wyłącznie numer NIP kontrahenta.

§ 6. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi każde stwierdzone naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, na adres e-mail Konta (właściciela) – tak, aby Administrator mógł dochować 72-godzinnego terminu z art. 33 RODO. 2. Zgłoszenie zawiera, w miarę dostępności, informacje wymienione w art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób i wpisów, możliwe konsekwencje, zastosowane lub proponowane środki. Informacje, których nie można podać od razu, Procesor przekazuje sukcesywnie. 3. Procesor dokumentuje naruszenia i podejmuje niezwłocznie działania w celu ograniczenia ich skutków.

§ 7. Środki bezpieczeństwa

Procesor stosuje co najmniej następujące środki (art. 32 RODO): a) szyfrowanie transmisji danych (HTTPS/TLS) i szyfrowanie danych w spoczynku zapewniane przez dostawcę bazy danych; b) logiczne oddzielenie danych każdego Klienta w bazie danych (zabezpieczenie na poziomie wierszy – row level security) oraz odrębne role bazy dla aplikacji, logowania i administracji; c) przechowywanie haseł i kodów PIN wyłącznie jako skrótów, szyfrowanie sekretów logowania dwuetapowego i kluczy integracji; d) limity prób logowania, blokada PIN po nieudanych próbach, wygasanie sesji, możliwość logowania dwuetapowego; logowanie dwuetapowe dla kont administracyjnych Procesora; e) dziennik zdarzeń rejestrujący operacje na danych oraz rejestr podglądów serwisowych; f) codzienne kopie zapasowe bazy danych i okresowy test ich odtworzenia; g) zasada minimalnych uprawnień, dostęp do środowiska produkcyjnego tylko dla upoważnionych osób, zabezpieczonych kont z uwierzytelnianiem dwuskładnikowym; h) aktualizacje bezpieczeństwa oprogramowania i automatyczne alerty o podatnościach; i) brak przyjmowania plików od użytkowników (ograniczenie ryzyka złośliwego oprogramowania); j) regularna ocena skuteczności środków.

§ 8. Kontrola (audyt)

1. Procesor udostępnia Administratorowi na żądanie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO – w pierwszej kolejności w formie pisemnych wyjaśnień, opisu środków bezpieczeństwa oraz kopii umów z podprocesorami w zakresie ochrony danych (bez warunków handlowych). 2. Jeżeli informacje te okażą się niewystarczające, Administrator może przeprowadzić audyt lub zlecić go audytorowi zobowiązanemu do zachowania tajemnicy, po zawiadomieniu Procesora z wyprzedzeniem co najmniej 14 dni, w dni robocze, w sposób niezakłócający działalności Procesora i nie częściej niż raz w roku – chyba że audyt jest konieczny w związku z naruszeniem ochrony danych lub żądaniem organu nadzorczego. Audyt nie obejmuje dostępu do danych innych Klientów ani do infrastruktury podprocesorów, w odniesieniu do której Procesor przekazuje raporty i certyfikaty podprocesorów. 3. Koszty audytu ponosi Administrator.

§ 9. Zakończenie przetwarzania

1. Przed zakończeniem umowy Administrator może w każdej chwili pobrać eksport danych w Serwisie (zwrot danych). 2. Po zamknięciu Konta Procesor przechowuje dane przez 30 dni (możliwość przywrócenia Konta lub otrzymania eksportu na wniosek Administratora), a następnie trwale je usuwa z bazy danych. Z kopii zapasowych dane są usuwane w cyklu ich nadpisywania, nie później niż po 7 dniach od usunięcia z bazy; do tego czasu kopie są chronione i nie są używane, chyba że do odtworzenia Serwisu po awarii. 3. Obowiązek usunięcia nie obejmuje danych, których dalsze przechowywanie nakazuje Procesorowi prawo Unii lub prawo polskie; dane rozliczeniowe Klienta przetwarzane przez Procesora jako administratora nie są danymi powierzonymi. 4. Na żądanie Procesor potwierdza usunięcie danych e-mailem.

§ 10. Odpowiedzialność

1. Procesor odpowiada za szkody spowodowane przetwarzaniem na zasadach art. 82 RODO. W pozostałym zakresie stosuje się postanowienia Regulaminu dotyczące odpowiedzialności, w granicach dopuszczonych przez art. 82 RODO. 2. Administrator odpowiada za legalność danych powierzonych Procesorowi, w tym za istnienie podstawy prawnej przetwarzania i wykonanie obowiązków informacyjnych.

Dodatek A – Lista podprocesorów (stan na 01.11.2026)

1. Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA – hosting aplikacji; region przetwarzania: Unia Europejska; podstawa transferu: decyzja Komisji Europejskiej w sprawie EU-US Data Privacy Framework (art. 45 RODO) lub standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO). 2. Supabase Inc., USA – baza danych PostgreSQL i kopie zapasowe; region: Unia Europejska; podstawa transferu: standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO) lub EU-US Data Privacy Framework (art. 45 RODO). 3. Vercom S.A., ul. Roosevelta 22, 60-829 Poznań (EmailLabs), Polska – wysyłka e-mail; UE. 4. LINK Mobility Poland sp. z o.o. (SMSAPI), Polska – wysyłka SMS; UE.

Dodatek B – Okres przechowywania wybranych danych w Serwisie

1. Dane Konta – przez czas umowy, po zamknięciu Konta 30 dni. 2. Dziennik zdarzeń i historia powiadomień – przez czas umowy, nie dłużej niż 24 miesiące od zdarzenia. 3. Kolejka powiadomień push – do 1 dnia; subskrypcje push – do wylogowania kierowcy lub wygaśnięcia urządzenia. 4. Adres IP w limitach prób – do 2 dni (dane Procesora jako administratora).