Umowa powierzenia przetwarzania danych osobowych CarSpaIQ
1. Strony i charakter umowy
Administratorem danych powierzonych jest przedsiębiorca lub inny podmiot wskazany jako klient CarSpaIQ („Administrator”). Podmiotem przetwarzającym jest SZCZERBOWSKI PIOTR TALITHA, ul. Kościelecka 12, 32-600 Oświęcim, NIP 5492104876, REGON 121187430 („Procesor”). Kontakt dotyczący tej umowy: biuro@talitha.pl.
Niniejsza umowa powierzenia („DPA”) jest integralnym załącznikiem do Regulaminu CarSpaIQ i jest zawierana elektronicznie przez tę samą akcję akceptacji Regulaminu. Stanowi umowę, o której mowa w art. 28 ust. 3 RODO, i obowiązuje przez czas przetwarzania danych powierzonych w związku z usługą, łącznie z kontrolowanym zwrotem, usunięciem i cyklem backupu.
2. Przedmiot, czas, charakter i cel przetwarzania
Procesor przetwarza dane wyłącznie w celu hostowania i udostępniania funkcji CarSpaIQ, obsługi konta, CRM, pojazdów, wizyt i zleceń, zdjęć i plików, dokumentów, podpisów, komunikacji, portalu klienta, raportów, bezpieczeństwa, kopii zapasowych, wsparcia oraz wykonania udokumentowanych instrukcji Administratora.
Operacje mogą obejmować zbieranie, utrwalanie, porządkowanie, przechowywanie, dopasowywanie, odczyt, wykorzystanie, szyfrowanie, przesłanie wskazanemu odbiorcy, udostępnienie w portalu, eksport, ograniczenie, wykonanie kopii zapasowej, anonimizację i usunięcie. Procesor nie określa samodzielnie celu biznesowego danych klientów studia i nie wykorzystuje ich do reklamy, sprzedaży baz, profilowania ani trenowania modeli.
3. Kategorie osób i danych
Powierzenie może obejmować dane:
- klientów, potencjalnych klientów i kontrahentów Administratora;
- właścicieli, posiadaczy i użytkowników pojazdów;
- pracowników, współpracowników, reprezentantów i użytkowników konta Administratora;
- osób uprawnionych do odbioru pojazdu, dokumentu lub wiadomości.
Kategorie danych obejmują, w zakresie wybranym przez Administratora:
- imię, nazwisko, nazwę firmy, rolę oraz dane kontaktowe;
- identyfikatory pojazdu, w tym numer rejestracyjny i VIN, oraz informacje o pojeździe;
- wizyty, zlecenia, usługi, ceny, płatności operacyjne, notatki, checklisty i historię kontaktu;
- zdjęcia, pliki, dokumenty, podpisy, oświadczenia, zgody i preferencje komunikacji;
- identyfikatory konta, role, dane sesji, IP, klienta przeglądarki, audytu i bezpieczeństwa.
Usługa nie jest przeznaczona do haseł i kodów dostępu, pełnych danych kart, PESEL, skanów dokumentów tożsamości, danych o zdrowiu, danych szczególnych kategorii, danych o wyrokach ani informacji niezwiązanych z obsługą studia. Administrator nie poleca ich przetwarzania bez osobnego, uprzednio uzgodnionego zakresu i środków.
4. Udokumentowane instrukcje Administratora
Instrukcjami są działania uprawnionych użytkowników w CarSpaIQ, ustawienia konta, dyspozycje przez przewidziane funkcje oraz potwierdzone zgłoszenia wysłane przez właściciela konta bezpiecznym kanałem. Procesor przetwarza dane wyłącznie zgodnie z tymi instrukcjami, DPA, Regulaminem i prawem Unii lub Polski.
Jeżeli prawo wymaga innego przetwarzania, Procesor informuje Administratora przed jego rozpoczęciem, chyba że prawo zabrania informacji z ważnego interesu publicznego. Procesor niezwłocznie informuje, gdy jego zdaniem instrukcja narusza RODO lub inne przepisy ochrony danych, i może wstrzymać jej wykonanie do wyjaśnienia. Transfer poza EOG wymaga udokumentowanej podstawy i odpowiednich zabezpieczeń.
5. Obowiązki Administratora
Administrator odpowiada w szczególności za:
- zgodność celów, podstaw prawnych, zakresu, okresu i treści danych z prawem;
- obowiązki informacyjne oraz ważność wymaganych zgód i ich wycofania;
- minimalizację danych, ich poprawność i nieprzekazywanie kategorii wyłączonych;
- nadawanie najmniejszych niezbędnych uprawnień, odbieranie dostępu i bezpieczeństwo urządzeń;
- legalność odbiorców wiadomości, zdjęć, podpisów, dokumentów i eksportów;
- udzielanie Procesorowi jasnych, zgodnych z prawem instrukcji i współpracę przy incydentach.
6. Obowiązki Procesora
Procesor zobowiązuje się:
- dopuścić do danych wyłącznie osoby upoważnione i związane poufnością;
- stosować środki z aktualnego załącznika TOM, odpowiednie do ryzyka, art. 28 i 32 RODO;
- nie łączyć danych różnych Administratorów i wymuszać autoryzację po stronie serwera;
- pomagać w realizacji praw osób, bezpieczeństwie, ocenie skutków i konsultacjach z organem;
- prowadzić wymagane informacje i udostępnić dowody zgodności na zasadach audytu;
- po zakończeniu zwrócić lub usunąć dane zgodnie z wyborem Administratora i prawem.
7. Naruszenia i współpraca
Po stwierdzeniu naruszenia danych powierzonych Procesor informuje Administratora bez zbędnej zwłoki, w miarę możliwości w ciągu 48 godzin od uzyskania wystarczającej wiedzy, oraz przekazuje dostępne informacje potrzebne do oceny art. 33–34 RODO. Informacja może być uzupełniana etapami i nie jest sama w sobie uznaniem winy.
Administrator przekazuje Procesorowi informacje o zdarzeniu po swojej stronie i podejmuje decyzje należące do administratora, w tym ocenę ryzyka oraz zgłoszenie organowi lub osobie. Procesor zabezpiecza dowody, ogranicza skutki w swoim zakresie i współpracuje przy uzgodnionej komunikacji.
8. Prawa osób, DPIA i organy
Jeżeli Procesor otrzyma żądanie dotyczące danych powierzonych, nie odpowiada merytorycznie w imieniu Administratora bez instrukcji, lecz bez zbędnej zwłoki przekazuje żądanie albo pomaga skierować je do właściwego Administratora. Dostępne funkcje i rozsądna pomoc techniczna wspierają dostęp, kopię, sprostowanie, ograniczenie, usunięcie i przeniesienie danych.
Procesor udziela informacji rozsądnie potrzebnych do oceny skutków, konsultacji uprzedniej i kontaktu z organem, z uwzględnieniem charakteru przetwarzania. Nadzwyczajna praca wywołana bezprawną lub niestandardową instrukcją Administratora może być odpłatna po wcześniejszym uzgodnieniu, chyba że wynika z naruszenia obowiązków Procesora.
9. Dalsi procesorzy
Administrator udziela ogólnego upoważnienia do korzystania z podmiotów wskazanych w aktualnej Liście dalszych procesorów. Procesor nakłada na nich zasadniczo te same obowiązki ochrony danych w zakresie powierzonych operacji i odpowiada wobec Administratora za wykonanie obowiązków dalszego procesora zgodnie z art. 28 ust. 4 RODO.
O planowanym dodaniu lub zastąpieniu dalszego procesora Procesor informuje z co najmniej 14-dniowym wyprzedzeniem, jeżeli zmiana może dotyczyć danych Administratora. Uzasadniony sprzeciw dotyczący ochrony danych należy zgłosić w tym terminie. Strony w dobrej wierze poszukają rozwiązania; gdy nie jest możliwe, Administrator może zakończyć dotkniętą funkcję lub umowę bez kary za zmianę dostawcy.
10. Informacje i audyty
Procesor udostępnia informacje potrzebne do wykazania zgodności, w pierwszej kolejności dokumenty, wyniki testów i odpowiedzi zdalne. Administrator może przeprowadzić audyt sam lub przez niezależnego, związanego poufnością audytora, co do zasady raz w roku, po co najmniej 30 dniach zawiadomienia, w godzinach pracy i bez dostępu do danych innych klientów, sekretów, kodu lub systemów poza zakresem.
Ograniczenie częstotliwości i zawiadomienia nie obowiązuje po istotnym incydencie, żądaniu organu lub wiarygodnym podejrzeniu naruszenia. Administrator ponosi rozsądne koszty niestandardowego audytu, chyba że audyt potwierdzi istotną niezgodność Procesora.
11. Zwrot, usunięcie i zakończenie
Na wybór Administratora po zakończeniu usługi Procesor zwraca dane w uzgodnionym, powszechnie czytelnym formacie i usuwa aktywną kopię albo usuwa ją bez zwrotu, chyba że prawo nakazuje dalsze przechowywanie. Sposób uwierzytelnienia, terminy odbioru oraz cykl kopii zapasowych określa dokument „Retencja, eksport i zakończenie usługi”. Dane w backupie pozostają zablokowane przed zwykłym użyciem i wygasają w kontrolowanym cyklu.
12. Odpowiedzialność i pierwszeństwo
Każda strona odpowiada za własne obowiązki wynikające z RODO. Postanowienia o ograniczeniu odpowiedzialności z Regulaminu stosują się do wzajemnych rozliczeń stron związanych z DPA w maksymalnym dopuszczalnym zakresie, ale nie naruszają praw osoby, której dane dotyczą, art. 82 RODO, kompetencji organu ani odpowiedzialności, której prawo nie pozwala ograniczyć.
W sprawach ochrony danych DPA ma pierwszeństwo przed sprzecznym postanowieniem Regulaminu. TOM, Lista dalszych procesorów i zasady wyjścia stanowią załączniki informacyjne do tej wersji DPA. Zmiana wymagająca ponownej akceptacji otrzymuje nową wersję; historyczny exact dokument pozostaje dostępny jako dowód.