Umowa powierzenia
przetwarzania danych osobowych

1Przedmiot i charakter przetwarzania

1. Administrator powierza Operatorowi przetwarzanie danych osobowych klientów warsztatu prowadzonego przez Administratora, w zakresie niezbędnym do świadczenia Usługi w Serwisie.
2. Charakter przetwarzania: przechowywanie, organizacja, modyfikacja, pobieranie, przeglądanie i usuwanie danych na żądanie Administratora oraz generowanie dokumentów na podstawie tych danych.
3. Cel przetwarzania: umożliwienie Administratorowi prowadzenia ewidencji zleceń, klientów, pojazdów oraz historii napraw w ramach Serwisu.
4. Operator nie wykorzystuje powierzonych danych w innych celach niż realizacja Usługi.

2Zakres danych i kategorie osób

Powierzone dane osobowe obejmują w szczególności:

• imię i nazwisko klienta warsztatu (lub nazwę firmy),
• numer telefonu,
• adres e-mail,
• adres do faktury (jeśli wprowadzony),
• numer rejestracyjny pojazdu, VIN, dane techniczne pojazdu,
• notatki i historię napraw związane z konkretnym klientem.

Kategorie osób, których dane są przetwarzane: klienci warsztatu samochodowego prowadzonego przez Administratora — osoby fizyczne, osoby fizyczne prowadzące działalność gospodarczą oraz przedstawiciele osób prawnych.

3Czas trwania

Umowa obowiązuje przez czas trwania umowy o świadczenie Usługi w Serwisie. Po jej zakończeniu obowiązują postanowienia §8 dotyczące zwrotu i usunięcia danych.

4Obowiązki Operatora

1. Operator przetwarza powierzone dane wyłącznie na udokumentowane polecenie Administratora (w tym poprzez korzystanie z funkcji Serwisu).
2. Operator zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi zachowania tajemnicy.
3. Operator wdraża odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzania: szyfrowane połączenia HTTPS (TLS), zabezpieczenie haseł algorytmem haszującym, regularne kopie zapasowe, kontrolę dostępu do infrastruktury oraz aktualizacje oprogramowania serwerowego.
4. Operator pomaga Administratorowi wywiązać się z obowiązków odpowiedzi na żądania osób, których dane dotyczą (art. 12–22 RODO) — udostępniając w Serwisie funkcje umożliwiające dostęp, sprostowanie, eksport i usunięcie danych klientów warsztatu.
5. Operator powiadamia Administratora o stwierdzonym naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia.
6. Operator udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO.

5Obowiązki Administratora

1. Administrator zobowiązuje się wprowadzać do Serwisu wyłącznie dane, w stosunku do których posiada podstawę prawną przetwarzania.
2. Administrator realizuje obowiązek informacyjny wobec klientów warsztatu zgodnie z art. 13 RODO — w szczególności informuje ich o powierzeniu danych Operatorowi w ramach Serwisu.
3. Administrator odpowiada za zgodność z prawem celów, w jakich wykorzystuje Serwis.

6Podpowierzenie (dalsze powierzenie)

1. Administrator wyraża ogólną zgodę na korzystanie przez Operatora z usług podmiotów dalej przetwarzających (sub-procesorów) w zakresie niezbędnym do świadczenia Usługi.
2. Aktualny wykaz sub-procesorów (m.in. dostawca hostingu w UE, operator płatności, dostawca usługi e-mail, biuro rachunkowe) Operator publikuje w Polityce prywatności.
3. O zmianie sub-procesorów Operator informuje Administratora z co najmniej 14-dniowym wyprzedzeniem. Administrator może wówczas wnieść uzasadniony sprzeciw.
4. Operator zapewnia, że sub-procesorzy podlegają obowiązkom ochrony danych równoważnym z obowiązkami Operatora określonymi w niniejszej Umowie.

7Audyt

1. Operator udostępnia Administratorowi na żądanie informacje o stosowanych środkach bezpieczeństwa.
2. Administrator ma prawo do inspekcji w siedzibie Operatora po uprzednim uzgodnieniu terminu (z wyprzedzeniem co najmniej 14 dni) i z poszanowaniem tajemnicy przedsiębiorstwa Operatora oraz danych innych klientów Serwisu.
3. Koszty inspekcji ponosi Administrator, z wyjątkiem sytuacji, w której inspekcja wykaże istotne naruszenie obowiązków przez Operatora.

8Zwrot i usunięcie danych po zakończeniu

1. Po zakończeniu umowy o świadczenie Usługi Operator umożliwia Administratorowi wyeksportowanie wszystkich powierzonych danych przez okres 90 dni.
2. Po upływie 90 dni Operator trwale usuwa powierzone dane z systemów produkcyjnych. Dane z kopii zapasowych są usuwane zgodnie z harmonogramem rotacji backupu (do 30 dni).
3. Wyjątek stanowią dane, których przechowywanie jest wymagane przepisami prawa (m.in. dokumenty księgowe).

9Odpowiedzialność

1. Każda ze stron ponosi odpowiedzialność za szkody wyrządzone drugiej stronie w wyniku niezgodnego z Umową przetwarzania danych — w zakresie określonym przepisami RODO i Kodeksu cywilnego.
2. Odpowiedzialność Operatora wobec Administratora wynikająca z niniejszej Umowy jest ograniczona do wysokości opłaty zapłaconej przez Administratora za bieżący okres rozliczeniowy, z wyjątkiem szkód wyrządzonych umyślnie lub w wyniku rażącego niedbalstwa.

10Postanowienia końcowe

1. W sprawach nieuregulowanych Umową zastosowanie mają przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeksu cywilnego.
2. Prawem właściwym jest prawo polskie.
3. Zmiany Umowy wymagają formy pisemnej lub elektronicznej. Operator informuje Administratora o planowanych zmianach co najmniej 14 dni przed ich wejściem w życie.