Umowa powierzenia przetwarzania danych osobowych

Wersja 1.0, obowiązuje od 11.10.2026

§1. Strony i podstawa prawna

1. Niniejsza umowa zawierana jest pomiędzy:
   • Klientem — przedsiębiorcą oznaczonym danymi z zamówienia i konta firmy w Systemie OCP, występującym jako Administrator danych osobowych,
   • a ERDENER&TRYKA sp. z o.o. z siedzibą w Gdyni, ul. Niklowa 10, 81-154 Gdynia, wpisaną do rejestru przedsiębiorców KRS prowadzonego przez Sąd Rejonowy Gdańsk-Północ w Gdańsku, VIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem 0000880467, NIP 9581713573, REGON 388008908, występującą jako Procesor.
2. Umowa reguluje warunki powierzenia Procesorowi przetwarzania danych osobowych na podstawie art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”) w związku z Umową subskrypcji.

§2. Przedmiot, charakter i czas przetwarzania

1. Przedmiotem przetwarzania są dane osobowe wprowadzane do Systemu OCP przez Administratora lub jego Użytkowników.
2. Charakter i cel przetwarzania: hosting i obsługa Systemu OCP, polegające na przechowywaniu, udostępnianiu, rejestrowaniu i zabezpieczaniu danych w celu świadczenia usługi opisanej w Umowie subskrypcji i Regulaminie.
3. Przetwarzanie trwa przez czas obowiązywania Umowy subskrypcji, powiększony o okres niezbędny do usunięcia lub zwrotu danych zgodnie z §7.

§3. Kategorie osób, których dane dotyczą, i kategorie danych

1. Kategorie osób: pracownicy, współpracownicy i kierowcy Administratora będący Użytkownikami Systemu OCP; osoby kontaktowe Administratora.
2. Kategorie danych: imię i nazwisko, login, adres e-mail, rola i uprawnienia w Systemie, adresy IP i dane dziennika zdarzeń, dane dotyczące dni pracy, sprzedaży, rozliczeń i wypłat, premie i potrącenia, stan licznika pojazdu.
3. Administrator nie wprowadza do Systemu danych szczególnych kategorii, o których mowa w art. 9 RODO, ani danych o wyrokach skazujących (art. 10 RODO).

§4. Obowiązki Procesora

Procesor zobowiązuje się do:

1. przetwarzania danych wyłącznie na udokumentowane polecenie Administratora — którym jest niniejsza umowa oraz konfiguracja Systemu dokonywana przez Administratora w Panelu — chyba że obowiązek przetwarzania wynika z prawa unijnego lub prawa polskiego, o czym Procesor poinformuje Administratora przed rozpoczęciem przetwarzania, o ile prawo na to pozwala;
2. zapewnienia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności;
3. wdrożenia i utrzymywania środków technicznych i organizacyjnych wymaganych przez art. 32 RODO, opisanych w Załączniku nr 1;
4. uwzględniając charakter przetwarzania — pomocy Administratorowi w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie realizacji ich praw;
5. pomocy Administratorowi w zapewnieniu zgodności z obowiązkami określonymi w art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne Procesorowi informacje;
6. po zakończeniu świadczenia usług — usunięcia lub zwrotu danych oraz usunięcia istniejących kopii, zgodnie z §7;
7. udostępniania Administratorowi wszystkich informacji niezbędnych do wykazania spełnienia obowiązków z niniejszej umowy oraz umożliwiania i przyczyniania się do przeprowadzania audytów.

§5. Dalsze powierzenie

1. Administrator wyraża ogólną zgodę na zaangażowanie przez Procesora podmiotów dalej przetwarzających (podprocesorów) na zasadach z art. 28 ust. 2 i 4 RODO.
2. Aktualna lista podprocesorów:

3. Procesor informuje Administratora w Panelu o każdej zamierzonej zmianie dotyczącej dodania lub zastąpienia podprocesora z wyprzedzeniem co najmniej 14 dni; Administrator może w tym terminie zgłosić uzasadniony sprzeciw.
4. Procesor odpowiada wobec Administratora za wykonanie przez podprocesora obowiązków dotyczących przetwarzania danych.

§6. Przekazywanie poza EOG

Procesor nie przekazuje danych osobowych do państw trzecich (poza Europejski Obszar Gospodarczy), chyba że będzie to zgodne z przepisami rozdziału V RODO, w szczególności na podstawie decyzji stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul umownych.

§7. Usunięcie i zwrot danych

1. Po zakończeniu Umowy subskrypcji, na żądanie Administratora zgłoszone do 30 dni od rozwiązania, Procesor udostępni eksport danych w formacie elektronicznym, a następnie usunie dane.
2. Pozostałe kopie, w tym kopie zapasowe, są nadpisywane w cyklu 14 dni.

§8. Audyty

1. Administrator może przeprowadzić audyt zgodności z niniejszą umową — samodzielnie lub przez niezależnego audytora związanego tajemnicą zawodową lub umową o zachowaniu poufności.
2. Audyt odbywa się z co najmniej 14-dniowym wyprzedzeniem, w godzinach pracy Procesora, nie częściej niż raz w roku kalendarzowym — o ile nie doszło do naruszenia ochrony danych osobowych.
3. Koszty audytu, w tym koszty audytora, ponosi Administrator.

§9. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi stwierdzone naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od stwierdzenia.
2. Zgłoszenie zawiera informacje wymagane przez art. 33 ust. 3 RODO, w miarę dostępności — opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, możliwe konsekwencje i podjęte lub proponowane środki zaradcze.

§10. Odpowiedzialność

1. Za szkodę spowodowaną przetwarzaniem niezgodnym z RODO strony odpowiadają na zasadach określonych w art. 82 RODO.
2. Postanowienia Regulaminu o ograniczeniu odpowiedzialności stosują się do roszczeń pomiędzy stronami, bez uszczerbku dla roszczeń osób, których dane dotyczą.

Załącznik nr 1 — środki techniczne i organizacyjne

1. Szyfrowanie połączeń z Systemem protokołem HTTPS/TLS.
2. Osobna baza danych dla każdego Klienta (izolacja danych).
3. Hasła użytkowników przechowywane wyłącznie jako skróty (bcrypt).
4. Kontrola dostępu oparta na rolach i uprawnieniach; jedna aktywna sesja na konto.
5. Automatyczne wylogowanie po 8 godzinach bezczynności dla kont z dostępem do panelu firmy i po 14 godzinach dla kont kierowców.
6. Ograniczenie liczby prób logowania.
7. Dziennik zdarzeń rejestrujący kto, kiedy i co zmienił, ze stanem przed i po zmianie.
8. Dostęp obsługi Operatora do Panelu Klienta wyłącznie w trybie podglądu obsługi, każdorazowo rejestrowanym w dzienniku.
9. Codzienne kopie zapasowe baz danych, przechowywane przez 14 dni.
10. Dostęp administracyjny do serwera wyłącznie z użyciem klucza SSH.
11. Regularne aktualizacje oprogramowania; wdrożenia z możliwością powrotu do poprzedniej wersji.