Umowa powierzenia przetwarzania danych osobowych

Niniejsza Umowa powierzenia przetwarzania danych osobowych („Umowa”) stanowi załącznik do Regulaminu Flotiki. Administratorem jest Organizacja korzystająca z Flotiki („Klient”), a podmiotem przetwarzającym Huzzar Spółka z ograniczoną odpowiedzialnością, ul. Załogowa 6, 80-557 Gdańsk, KRS 0000629733, NIP 9571087565, REGON 365010576 („Flotika”). Kontakt: kontakt@flotika.io.

Umowa dotyczy wyłącznie danych, których cele i sposoby wykorzystania określa Klient jako administrator. Nie obejmuje danych, które Flotika przetwarza jako samodzielny administrator, opisanych w Polityce prywatności.

Flotika przetwarza dane przez czas świadczenia usługi i okres potrzebny do ich zwrotu lub usunięcia po jej zakończeniu. Przetwarzanie polega na przyjmowaniu, przechowywaniu, porządkowaniu, wyświetlaniu, analizie, udostępnianiu uprawnionym osobom Klienta, zabezpieczaniu i usuwaniu danych w zakresie funkcji GPS i zarządzania flotą.

Celem jest umożliwienie Klientowi lokalizacji pojazdów, przeglądu tras i postojów, obsługi kierowców, raportów, geostref i innych aktywnych Modułów. Flotika nie wykorzystuje powierzonych danych lokalizacyjnych do własnych celów marketingowych.

Dane mogą dotyczyć kierowców, pracowników, współpracowników, osób korzystających z pojazdów i odbiorców linków udostępnianych przez Klienta. Kategorie obejmują identyfikatory i dane kontaktowe wprowadzone przez Klienta, przypisanie pojazdu, dane pojazdu pozwalające zidentyfikować osobę, pozycje GPS, historię tras, postoje, zdarzenia, styl jazdy i aktywność w Aplikacji.

Klient decyduje, które dane wprowadza i jak długo są mu potrzebne. Nie powinien wprowadzać danych szczególnych kategorii, jeśli usługa nie wymaga ich przetwarzania.

Flotika przetwarza dane wyłącznie na udokumentowane polecenie Klienta, w tym dotyczące przekazania danych poza EOG, chyba że obowiązek przetwarzania wynika z prawa; wówczas informuje o nim Klienta, jeśli prawo na to pozwala. Konfiguracja Organizacji i korzystanie z funkcji Aplikacji stanowią bieżące instrukcje w zakresie usługi. Inne instrukcje Klient przekazuje na kontakt@flotika.io.

Klient odpowiada za podstawę prawną monitoringu, zasadę minimalizacji, okres retencji, informowanie osób i wykonywanie ich praw. Jeśli instrukcja zdaniem Flotiki narusza RODO lub inne przepisy o ochronie danych, Flotika niezwłocznie informuje Klienta, o ile prawo nie zabrania takiej informacji.

Flotika zapewnia, by osoby upoważnione do przetwarzania zobowiązały się do poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi. Stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w tym kontrolę dostępu, szyfrowanie transmisji, kopie bezpieczeństwa, ograniczenie uprawnień i procedury reagowania na incydenty. Szczegóły zabezpieczeń mogą być przekazane Klientowi w bezpieczny sposób, bez ujawniania informacji ułatwiających ich obejście.

Klient udziela ogólnej zgody na korzystanie z dostawców infrastruktury hostingu, baz danych, kopii bezpieczeństwa i poczty niezbędnych do świadczenia usługi. W aktualnej implementacji wiadomości systemowe są wysyłane przez usługę SMTP Gmail; płatności obsługuje Stripe w zakresie danych rozliczeniowych. Narzędzia GA4 i Clarity dotyczą analityki strony za zgodą użytkownika, a nie danych lokalizacyjnych powierzonych przez Klienta. Oprogramowanie Traccar służy do obsługi telemetrii w infrastrukturze Flotiki.

Flotika przekazuje Klientowi informacje o podmiotach faktycznie przetwarzających powierzone dane na żądanie i informuje o planowanym dodaniu lub zastąpieniu dalszego podmiotu, dając możliwość zgłoszenia sprzeciwu przed zmianą. Każdy dalszy podmiot jest związany obowiązkami ochrony danych nie mniej restrykcyjnymi niż niniejsza Umowa. Sprzeciw, którego nie da się rozwiązać, może stanowić podstawę do zakończenia usługi zgodnie z Regulaminem.

Flotika, uwzględniając charakter przetwarzania i dostępne jej informacje, pomaga Klientowi odpowiadać na żądania osób, których dane dotyczą, oraz w ocenie skutków, konsultacjach z organem nadzorczym i realizacji obowiązków z art. 32–36 RODO. Żądanie skierowane bezpośrednio do Flotiki w sprawie powierzonych danych przekazuje Klientowi, o ile jest możliwe jego zidentyfikowanie.

Po stwierdzeniu naruszenia ochrony powierzonych danych Flotika informuje Klienta bez zbędnej zwłoki i przekazuje informacje dostępne do oceny zdarzenia oraz podjęcia wymaganych działań. Klient decyduje o ewentualnym zgłoszeniu do organu nadzorczego i zawiadomieniu osób, chyba że prawo stanowi inaczej.

Po zakończeniu świadczenia usługi Flotika, według wyboru Klienta przekazanego na kontakt@flotika.io, zwraca dostępne powierzone dane lub usuwa je oraz usuwa kopie, chyba że przepisy nakazują ich dalsze przechowywanie. Usunięcie danych z kopii bezpieczeństwa następuje w zwykłym cyklu ich zastępowania, przy zachowaniu ograniczonego dostępu i bez wykorzystywania danych do innych celów.

Flotika udostępnia Klientowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia audyt, w tym inspekcję, przeprowadzaną przez Klienta lub upoważnionego audytora w uzgodnionym terminie i zakresie, z poszanowaniem bezpieczeństwa innych klientów i poufności. Strony najpierw korzystają z dokumentów i odpowiedzi zdalnych, jeśli pozwalają one osiągnąć cel kontroli.

Powierzone dane mogą być przekazywane poza EOG tylko na udokumentowane polecenie Klienta lub gdy wymaga tego prawo, z zastosowaniem właściwego mechanizmu przewidzianego w RODO. Samo korzystanie z usługi nie oznacza zgody na dowolny transfer. Szczegóły dostawców i lokalizacji istotnych dla powierzonych danych Flotika udostępnia Klientowi na żądanie.

W zakresie nieuregulowanym stosuje się RODO i Regulamin. Zmiana Umowy wymaga formy dokumentowej, w tym elektronicznej, chyba że bezwzględnie obowiązujące przepisy wymagają innej formy.