Umowa powierzenia przetwarzania danych

1. Strony i zawarcie umowy

Administrator: Klient, który wykupił Subskrypcję FrameCRM (dalej: „Administrator”).

Podmiot przetwarzający: Pavlo Okhmak, przedsiębiorca będący osobą fizyczną prowadzącą działalność gospodarczą, wpisany do czeskiego rejestru działalności gospodarczej, numer identyfikacyjny (IČO) 29485941, siedziba (miejsce prowadzenia działalności) Bezručova 4201, 430 03 Chomutov, Republika Czeska, niebędący płatnikiem VAT (dalej: „Podmiot przetwarzający”).

Niniejsza Umowa powierzenia przetwarzania danych (dalej: „Umowa powierzenia” lub „DPA”) stanowi część Regulaminu świadczenia usług. Administrator akceptuje ją, potwierdzając zgodę przy rejestracji w FrameCRM; podpis nie jest wymagany. Umowa powierzenia spełnia wymóg zawarcia umowy zgodnie z art. 28 ust. 3 rozporządzenia (UE) 2016/679 (RODO).

Wiążąca jest czeska wersja niniejszej Umowy powierzenia; niniejszy tekst polski jest tłumaczeniem udostępnionym wyłącznie w celach informacyjnych, a w razie jakichkolwiek rozbieżności pierwszeństwo ma wersja czeska. W sprawach ochrony danych osobowych Umowa powierzenia ma pierwszeństwo przed Regulaminem świadczenia usług.

2. Przedmiot, czas trwania, charakter i cel przetwarzania

• Przedmiot: przetwarzanie danych osobowych, które Administrator lub jego użytkownicy wprowadzają do FrameCRM.
• Czas trwania: przez okres trwania Subskrypcji, a następnie do czasu usunięcia danych zgodnie z artykułem 10.
• Charakter przetwarzania: zbieranie (w tym zapytań i rezerwacji ze strony internetowej Administratora lub formularza rezerwacji online, jeżeli jest używany), przechowywanie, porządkowanie, wyświetlanie, wyszukiwanie, modyfikowanie, eksport, przygotowywanie przypomnień i wiadomości, które użytkownicy Administratora sami wysyłają klientom (np. za pomocą linku WhatsApp), powiadomienia dla użytkowników Administratora (przez Telegram, jeżeli Administrator to włączy), wystawianie dokumentów, takich jak faktury, tworzenie kopii zapasowych i usuwanie.
• Cel: świadczenie usługi FrameCRM — ewidencja klientów Administratora, pojazdów, zleceń, kalendarza, przypomnień, opinii, faktur, magazynu, wynagrodzeń i statystyk.

3. Kategorie osób, których dane dotyczą, i kategorie danych osobowych

Osoby, których dane dotyczą: klienci i potencjalni klienci Administratora, ich osoby kontaktowe, pracownicy i inni użytkownicy Administratora.

Kategorie danych:

• dane identyfikacyjne i kontaktowe (imię i nazwisko, telefon, e-mail, adres);
• dane pojazdu (marka, model, numer rejestracyjny, VIN, stan licznika);
• historia zleceń, terminy wizyt, ceny i zapisy płatności, notatki;
• dane do faktur (nazwa nabywcy, adres, numer identyfikacyjny / numer VAT);
• zdjęcia (głównie pojazdów), które mogą zawierać również inne dane osobowe;
• komunikacja z klientami i opinie;
• dane użytkowników Administratora (imię i nazwisko, e-mail, telefon, rola, zapisy logowań, dziennik aktywności), a jeżeli Administrator korzysta z modułu wynagrodzeń, również ich zasady wynagradzania, zarobki i wypłaty.

Przetwarzanie szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących nie jest przewidziane; Administrator nie wprowadza takich danych do FrameCRM.

4. Obowiązki Administratora

Administrator odpowiada za posiadanie podstawy prawnej przetwarzania, należyte poinformowanie osób, których dane dotyczą, prawidłowość wprowadzanych danych oraz zgodność swoich poleceń wydawanych Podmiotowi przetwarzającemu z prawem. Administrator chroni dane dostępowe swoich użytkowników.

5. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

• przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora — za takie polecenia uważa się Regulamin świadczenia usług, niniejszą Umowę powierzenia oraz ustawienia i działania Administratora w aplikacji — również w odniesieniu do przekazywania danych do państw trzecich; niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza prawo;
• zapewnia, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy;
• stosuje środki techniczne i organizacyjne zgodnie z art. 32 RODO (artykuł 7);
• przestrzega warunków korzystania z usług dalszych podmiotów przetwarzających (artykuł 6);
• pomaga Administratorowi w odpowiadaniu na żądania osób, których dane dotyczą — w szczególności za pomocą funkcji aplikacji służących do wyszukiwania, poprawiania, eksportu i usuwania danych;
• pomaga Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje;
• po zakończeniu świadczenia usługi usuwa lub zwraca dane (artykuł 10);
• udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków i umożliwia przeprowadzanie audytów (artykuł 11);
• nie wykorzystuje danych Administratora do własnych celów.

6. Dalsze podmioty przetwarzające

Administrator udziela ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających. Na dzień wejścia w życie niniejszej Umowy powierzenia są to:

Płatności za Subskrypcję obsługuje Stripe; Stripe nie przetwarza jednak danych osobowych klientów Administratora.

Wiadomości do klientów przez WhatsApp wysyłają użytkownicy Administratora z własnej aplikacji WhatsApp (link click-to-chat); WhatsApp (Meta) nie jest zatem dalszym podmiotem przetwarzającym Podmiotu przetwarzającego, a korzystanie przez Administratora z WhatsApp podlega jego własnemu stosunkowi prawnemu z Meta. Gdy użytkownik dekoduje numer VIN, do bezpłatnej publicznej bazy danych NHTSA vPIC (Departament Transportu USA) przesyłany jest wyłącznie numer VIN (bez żadnych innych danych) w celu ustalenia marki i modelu; adresy studiów mogą być wyszukiwane w OpenStreetMap (Nominatim).

Podmiot przetwarzający poinformuje Administratora e-mailem z co najmniej 14-dniowym wyprzedzeniem o każdym zamierzonym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego. Administrator może wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych; jeżeli strony nie znajdą rozwiązania, Administrator może zrezygnować z Subskrypcji ze skutkiem na dzień zmiany. Podmiot przetwarzający nakłada na dalsze podmioty przetwarzające te same obowiązki w zakresie ochrony danych i odpowiada za ich wykonanie.

Przekazywanie danych do państw trzecich następuje wyłącznie z zastosowaniem zabezpieczeń zgodnie z rozdziałem V RODO (decyzje stwierdzające odpowiedni stopień ochrony, standardowe klauzule umowne).

7. Środki techniczne i organizacyjne

• szyfrowanie podczas przesyłania (HTTPS/TLS) oraz szyfrowanie przechowywanych danych przez dostawcę bazy danych;
• logowanie za pomocą haseł lub jednorazowych linków do logowania (ważnych przez ograniczony czas), bezpieczne sesje, role i uprawnienia użytkowników w ramach konta;
• logiczne oddzielenie danych poszczególnych klientów;
• dostęp Podmiotu przetwarzającego do danych produkcyjnych wyłącznie w niezbędnym zakresie (wsparcie, usuwanie usterek), zabezpieczony silnym uwierzytelnianiem;
• regularne kopie zapasowe u dostawcy bazy danych z możliwością przywrócenia;
• bieżące aktualizacje oprogramowania i zależności, sekrety zarządzane poza kodem źródłowym;
• logi operacji i zdarzeń bezpieczeństwa;
• minimalizacja danych — dane osobowe klientów nie są przekazywane do narzędzi analitycznych;
• procedura reagowania na incydenty bezpieczeństwa.

8. Naruszenia ochrony danych osobowych

Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, najpóźniej w ciągu 48 godzin od jego stwierdzenia. Zgłoszenie zawiera dostępne Podmiotowi przetwarzającemu informacje, o których mowa w art. 33 ust. 3 RODO, i jest uzupełniane w miarę uzyskiwania dalszych informacji. Podmiot przetwarzający podejmie rozsądne środki w celu złagodzenia skutków naruszenia.

9. Żądania osób, których dane dotyczą

Jeżeli Podmiot przetwarzający otrzyma od osoby, której dane dotyczą, żądanie odnoszące się do danych Administratora, przekaże je Administratorowi bez zbędnej zwłoki i nie będzie na nie samodzielnie odpowiadał, chyba że Administrator go do tego upoważni.

10. Usunięcie i zwrot danych

W czasie trwania Subskrypcji Administrator może w każdej chwili eksportować i usuwać dane. Po zakończeniu Subskrypcji Podmiot przetwarzający przechowuje dane przez 90 dni, w trakcie których Administrator może zażądać ich wydania w formacie nadającym się do odczytu maszynowego. Następnie Podmiot przetwarzający trwale usuwa dane; kopie w kopiach zapasowych wygasają w ramach rotacji kopii zapasowych najpóźniej w ciągu kolejnych 30 dni. Nie dotyczy to przypadków, w których przechowywanie danych jest wymagane przepisami prawa.

11. Informacje i audyty

Na żądanie Podmiot przetwarzający przekaże Administratorowi informacje niezbędne do wykazania spełnienia wymogów art. 28 RODO, zwykle w formie pisemnych odpowiedzi i dokumentacji. Administrator lub upoważniony przez niego audytor zobowiązany do zachowania poufności może przeprowadzić audyt lub kontrolę na miejscu po uprzednim zawiadomieniu z co najmniej 30-dniowym wyprzedzeniem, nie częściej niż raz w roku (z wyjątkiem wyjaśniania naruszenia ochrony danych osobowych lub żądania organu nadzorczego), na koszt Administratora.

12. Odpowiedzialność i postanowienia końcowe

Odpowiedzialność stron określa art. 82 RODO, a w pozostałym zakresie Regulamin świadczenia usług. Niniejsza Umowa powierzenia obowiązuje tak długo, jak Podmiot przetwarzający przetwarza dane Administratora. Podlega ona prawu Republiki Czeskiej.

Kontakt w sprawach ochrony danych: info@frame-webs.com.