Umowa powierzenia przetwarzania danych osobowych (DPA)

Niniejsza umowa stanowi standardową umowę powierzenia przetwarzania danych osobowych w rozumieniu art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) pomiędzy Usługobiorcą (administrator) a Tiskel sp. z o.o. (podmiot przetwarzający, dalej także Usługodawca) w związku z Usługą tiskelcloud.com SaaS. Umowa stanowi Załącznik nr 1 do Regulaminu świadczenia Usługi tiskelcloud.com SaaS i wiąże Strony od chwili zawarcia Umowy o świadczenie Usług tiskelcloud.com SaaS, bez konieczności odrębnego podpisu. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie. Na żądanie Usługobiorcy ten sam tekst można wydrukować lub zapisać jako PDF i podpisać, bez zmiany postanowień.

§1 Strony i role

1. W odniesieniu do danych osobowych wprowadzanych do Platformy i poszczególnych Modułów w związku z korzystaniem z Usługi – w szczególności danych pasażerów i innych klientów Usługobiorcy, zleceń, Kierowców oraz Użytkowników – Usługobiorca działa jako administrator danych, a Usługodawca jako podmiot przetwarzający.
2. Usługodawca działa jako niezależny administrator dla danych przetwarzanych na własne cele biznesowe, w tym danych Usługobiorcy podanych w Formularzu, danych Konta Usługobiorcy, rozliczeń i Karty Płatniczej, wsparcia technicznego, formularzy na stronie tiskel.com, newslettera, analityki i logów bezpieczeństwa. Informacje o tym przetwarzaniu zawiera §13 Regulaminu.

§2 Przedmiot, czas i zakres powierzenia

1. Przedmiotem powierzenia jest udostępnienie Usługobiorcy Platformy tiskelcloud.com do zarządzania pojazdami, zleceniami, kontaktem z klientami oraz liniami telefonicznymi w firmie taxi, w tym przyjmowanie i przydzielanie zleceń, komunikacja z Kierowcami i klientami (w tym za pośrednictwem Aplikacji klienta, wiadomości SMS i integracji telefonicznych) oraz przechowywanie danych w Koncie Usługobiorcy.
2. Przetwarzanie obejmuje zbieranie, utrwalanie, przechowywanie, przeglądanie, modyfikowanie, przekazywanie i usuwanie danych.
3. Kategorie osób, których dane dotyczą: pasażerowie i inne osoby kontaktujące się z Usługobiorcą lub zamawiające przejazdy, Kierowcy, Użytkownicy oraz inni pracownicy i współpracownicy Usługobiorcy.
4. Rodzaje danych: imiona i nazwiska, numery telefonów, adresy e-mail, adresy odbioru i docelowe, dane zleceń i historia przejazdów, dane lokalizacyjne pojazdów, treść wiadomości i notatek, dane kont (loginy) Użytkowników i Kierowców, dane identyfikacyjne pojazdów oraz inne dane wprowadzone do Platformy przez Usługobiorcę lub jego klientów.
5. Usługa nie wymaga danych szczególnych kategorii (art. 9 RODO). Jeśli takie dane zostaną wprowadzone do Platformy, są one przetwarzane wyłącznie w zakresie niezbędnym do realizacji zlecenia.
6. Powierzenie trwa przez czas obowiązywania Umowy o świadczenie Usług tiskelcloud.com SaaS.

§3 Obowiązki Usługodawcy

1. Usługodawca jako podmiot przetwarzający:
   1. przetwarza dane wyłącznie na udokumentowane polecenie Usługobiorcy. Za polecenie uważa się Regulamin, konfigurację Platformy i Modułów dokonaną przez Usługobiorcę (Administratora Usługobiorcy) oraz instrukcje przekazane na piśmie lub e-mailem. Jeśli w ocenie Usługodawcy polecenie narusza przepisy o ochronie danych, Usługodawca niezwłocznie informuje o tym Usługobiorcę;
   2. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi zachowania tajemnicy;
   3. stosuje środki techniczne i organizacyjne wymagane art. 32 RODO, odpowiednie do ryzyka przetwarzania, w tym zabezpieczenie danych przed utratą oraz przed nieuprawnionym dostępem wewnętrznym i zewnętrznym;
   4. korzysta z dalszych podmiotów przetwarzających (podprocesorów) wyłącznie na zasadach opisanych w §4 i zawiera z nimi umowę nakładającą obowiązki z art. 28 ust. 4 RODO;
   5. pomaga Usługobiorcy, w miarę możliwości i za pomocą odpowiednich środków technicznych (w tym funkcji Platformy), w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw);
   6. pomaga Usługobiorcy w wywiązaniu się z obowiązków z art. 32–36 RODO. Naruszenie ochrony danych osobowych Usługodawca zgłasza Usługobiorcy bez zbędnej zwłoki po jego stwierdzeniu, na adres e-mail podany w Formularzu, wraz z informacjami, którymi dysponuje;
   7. po zakończeniu świadczenia Usługi, zależnie od decyzji Usługobiorcy, usuwa albo zwraca dane osobowe przetwarzane na jego rzecz, chyba że prawo nakazuje ich dalsze przechowywanie. Terminy zwrotu i usunięcia danych określa §8 Regulaminu. Kopie zapasowe są usuwane wraz z ich cyklem retencji. Brak decyzji Usługobiorcy oznacza polecenie usunięcia;
   8. udostępnia Usługobiorcy informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO. Audyt odbywa się na koszt Usługobiorcy, po pisemnym zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku, chyba że wymaga go organ nadzorczy albo doszło do naruszenia, i w sposób nienaruszający bezpieczeństwa danych innych Usługobiorców. Usługodawca w pierwszej kolejności odpowiada na pisemne pytania i udostępnia dokumentację.

§4 Podprocesorzy

1. Usługobiorca udziela ogólnej zgody na korzystanie przez Usługodawcę z podprocesorów.
2. Na dzień ostatniej aktualizacji niniejszej umowy Usługodawca korzysta z następujących podprocesorów:
   1. Google Cloud (Google Ireland Limited) – hosting i infrastruktura Platformy tiskelcloud.com (usługa Google Kubernetes Engine); zakres: wszystkie dane przetwarzane w Platformie.
3. Dostawcy usług zewnętrznych, z których Usługobiorca korzysta w ramach wybranych przez siebie Modułów i integracji na podstawie własnych umów z tymi dostawcami (w szczególności operatorzy telekomunikacyjni, bramki SMS oraz platformy rezerwacyjne), nie są podprocesorami Usługodawcy. Usługodawca przekazuje im dane wyłącznie w zakresie wynikającym z konfiguracji Platformy dokonanej przez Usługobiorcę.
4. O zamiarze dodania lub zmiany podprocesora Usługodawca informuje Usługobiorcę e-mailem lub poprzez Platformę. Gdy zmiana jest potrzebna dla ciągłości albo bezpieczeństwa Usługi, informacja może nastąpić po jej dokonaniu. Usługobiorca może zgłosić uzasadniony sprzeciw. Usługodawca odpowiada za działania i zaniechania podprocesorów jak za własne.

§5 Transfery poza EOG

1. Jeżeli dane są przekazywane poza Europejski Obszar Gospodarczy, przekazanie odbywa się z zastosowaniem zabezpieczeń z rozdziału V RODO.

§6 Obowiązki Usługobiorcy i odpowiedzialność

1. Usługobiorca odpowiada za zgodność z prawem wprowadzania danych do Platformy, w tym za poinformowanie pasażerów, Kierowców i Użytkowników o przetwarzaniu ich danych z wykorzystaniem Platformy tiskelcloud.com (w tym o lokalizowaniu pojazdów oraz komunikacji SMS i telefonicznej) oraz za zapewnienie ważnej podstawy prawnej takiego przetwarzania.
2. Usługobiorca odpowiada także za treść swoich poleceń, konfigurację Platformy i Modułów, zarządzanie dostępami Użytkowników i Kierowców oraz za to, aby nie wprowadzać do Platformy danych, które nie są niezbędne do realizacji Usługi.
3. Usługodawca pomoże Usługobiorcy w rozsądnym zakresie w obsłudze żądań osób, których dane dotyczą, w odniesieniu do danych przetwarzanych w Platformie. Ograniczenia odpowiedzialności z §11 Regulaminu stosują się także do niniejszej umowy w zakresie dozwolonym przez prawo.

§7 Podpisy

Podpis nie jest wymagany, aby umowa wiązała Strony w związku z korzystaniem z Usługi. Jeśli Usługobiorca potrzebuje egzemplarza podpisanego, zapisuje tę stronę jako PDF (drukuj / zapisz do PDF) i odsyła skan na adres info@tiskel.com. Treść nie podlega indywidualnym zmianom.