Umowa powierzenia przetwarzania danych osobowych
Umowę zawierają Klient – warsztat korzystający z MechanikPilot (dalej „Administrator”) – oraz MROAUTO AUTODÍLY s.r.o., IČO 06630405, Čs. armády 360, Pudlov, 735 51 Bohumín, Republika Czeska (dalej „Podmiot przetwarzający”), zgodnie z art. 28 rozporządzenia (UE) 2016/679 (RODO). Umowa zostaje zawarta z chwilą zawarcia umowy o świadczenie Usługi.
1. Przedmiot, charakter i cel przetwarzania
Podmiot przetwarzający przetwarza dane osobowe wprowadzone przez Administratora do Usługi wyłącznie w celu jej świadczenia: przechowywanie, wyświetlanie uprawnionym użytkownikom, synchronizacja między urządzeniami, tworzenie dokumentów i eksportów, wysyłka faktur do KSeF i sprawdzanie NIP w białej liście VAT na polecenie Administratora, kopie zapasowe oraz wsparcie techniczne.
2. Kategorie osób i danych
| Osoby, których dane dotyczą | Rodzaje danych |
|---|---|
| klienci Administratora i ich osoby kontaktowe | imię i nazwisko lub nazwa, adres, telefon, e-mail, NIP, korespondencja, zgody |
| pojazdy klientów | numer rejestracyjny, VIN, marka, model, przebieg, termin badania technicznego, zdjęcia z naprawy |
| zlecenia i dokumenty | opis napraw, pozycje, ceny, płatności, numery paragonów, faktury i ich numery KSeF, podpisy na protokołach |
| pracownicy Administratora | imię, rola, telefon, zapis pracy przy zleceniach |
| uwierzytelnienie w KSeF | token KSeF Administratora (przechowywany w postaci zaszyfrowanej) |
Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO); Administrator ich do Usługi nie wprowadza.
3. Czas trwania
Przez czas obowiązywania umowy o świadczenie Usługi oraz przez czas niezbędny do usunięcia danych zgodnie z pkt 9.
4. Obowiązki Podmiotu przetwarzającego
- przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniami są regulamin oraz czynności wykonywane w Usłudze przez Administratora i jego użytkowników (np. wystawienie faktury, włączenie KSeF). Jeżeli uzna polecenie za naruszające przepisy, informuje o tym Administratora;
- zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy;
- stosuje środki techniczne i organizacyjne zgodnie z art. 32 RODO (załącznik A);
- pomaga Administratorowi w wykonywaniu obowiązków wobec osób, których dane dotyczą, w ocenie skutków i konsultacjach z organem nadzorczym w zakresie, w jakim pozwala na to charakter przetwarzania;
- udostępnia informacje niezbędne do wykazania spełnienia obowiązków i umożliwia audyt – po uprzednim uzgodnieniu, nie częściej niż raz w roku i na koszt Administratora, chyba że audyt dotyczy incydentu.
5. Dalsze podmioty przetwarzające
Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych w załączniku B. O zamierzonej zmianie Podmiot przetwarzający informuje co najmniej 30 dni wcześniej; Administrator może z uzasadnionych powodów wnieść sprzeciw i rozwiązać umowę. Z dalszymi podmiotami zawierane są umowy nakładające te same obowiązki ochrony danych. Ministerstwo Finansów (KSeF, biała lista VAT) nie jest dalszym podmiotem przetwarzającym, lecz odbiorcą danych przekazywanych na polecenie Administratora w wykonaniu jego obowiązków podatkowych.
6. Przekazywanie poza UE
Dane są przechowywane w UE. Jeżeli dalszy podmiot przetwarzający może mieć do nich dostęp z państwa trzeciego, przekazanie jest zabezpieczone standardowymi klauzulami umownymi UE lub decyzją stwierdzającą odpowiedni stopień ochrony (EU-US Data Privacy Framework).
7. Naruszenie ochrony danych
Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, najpóźniej w ciągu 48 godzin od jego stwierdzenia, wraz z dostępnymi informacjami z art. 33 ust. 3 RODO, i współpracuje przy jego wyjaśnieniu i zgłoszeniu.
8. Żądania osób, których dane dotyczą
Jeżeli Podmiot przetwarzający otrzyma żądanie osoby, której dane dotyczą, przekazuje je Administratorowi i sam go nie realizuje, chyba że Administrator go do tego upoważni. Większość żądań Administrator może zrealizować bezpośrednio w Usłudze (sprostowanie, eksport, usunięcie rekordu).
9. Usunięcie i zwrot danych
Po zakończeniu świadczenia Usługi Administrator ma 30 dni na pobranie kopii danych. Następnie Podmiot przetwarzający usuwa dane, a z kopii zapasowych najpóźniej w ciągu kolejnych 30 dni, chyba że przepisy wymagają ich przechowywania. Token KSeF jest usuwany natychmiast po usunięciu go przez Administratora w Usłudze lub po zakończeniu umowy.
10. Odpowiedzialność
Odpowiedzialność stron określa art. 82 RODO i regulamin.
Załącznik A – środki techniczne i organizacyjne
- szyfrowanie transmisji (HTTPS/TLS 1.2+, HSTS), szyfrowanie bazy danych i kopii zapasowych u dostawcy infrastruktury;
- logiczne rozdzielenie danych administratorów na poziomie bazy danych (row-level security); każde zapytanie jest sprawdzane pod kątem uprawnień użytkownika;
- token KSeF szyfrowany algorytmem AES-256-GCM kluczem dostępnym wyłącznie dla funkcji serwera; token nie jest zwracany do aplikacji;
- indywidualne konta, hasła przechowywane jako skrót kryptograficzny, role z minimalnymi uprawnieniami, natychmiastowe odebranie dostępu;
- ochrona przed atakami automatycznymi (Cloudflare, weryfikacja antybotowa, limit prób logowania);
- polityka bezpieczeństwa treści (Content Security Policy) przeciw wstrzykiwaniu skryptów, regularne aktualizacje bibliotek;
- zapis zmian danych (kto i kiedy), możliwość pobrania kopii przez administratora;
- dostęp Operatora do danych administratora tylko w niezbędnym zakresie dla wsparcia i utrzymania, za wiedzą administratora;
- procedura obsługi incydentów bezpieczeństwa i adres do zgłaszania podatności.
Załącznik B – dalsze podmioty przetwarzające
| Podmiot | Cel | Gdzie są dane | Zabezpieczenia przy przekazaniu poza UE |
|---|---|---|---|
| Supabase, Inc. (USA) | baza danych, logowanie użytkowników, synchronizacja danych, funkcje serwera (wysyłka do KSeF, biała lista) | UE – Frankfurt nad Menem (Niemcy), infrastruktura AWS eu-central-1 | umowa powierzenia (DPA) ze standardowymi klauzulami umownymi UE |
| Cloudflare, Inc. (USA) | dostarczanie strony i aplikacji, szyfrowane połączenie, ochrona przed atakami i botami (w tym Turnstile) | sieć globalna; treści aplikacji nie są przechowywane w sieci Cloudflare | DPA ze standardowymi klauzulami umownymi, certyfikacja EU-US Data Privacy Framework |
| Sendinblue SAS – Brevo (Francja) | wysyłka e-maili systemowych aplikacji (potwierdzenie rejestracji, odzyskanie hasła, zmiana e-maila); przetwarza tylko adres odbiorcy i treść e-maila | UE | podmiot z siedzibą w UE; umowa powierzenia jest częścią jego warunków |