Umowa powierzenia przetwarzania danych osobowych

Wersja 1.2 · Obowiązuje od: 16.10.2026

Umowę zawiera się, zaznaczając akceptację w formularzu rejestracji Konta (Wczesny dostęp, Usługi płatne), przez akceptację w wiadomości e-mail — gdy Konto zakłada usługodawca — albo jako załącznik do umowy indywidualnej. W razie sprzeczności pierwszeństwo ma umowa indywidualna. Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie.

Strony i zawarcie umowy

1. Administrator — Klient korzystający z usług TruckReport.
2. Podmiot przetwarzający — usługodawca wskazany w Regulaminie: dla Wczesnego dostępu i Pilotażu — Marek Sawicki; dla Usług płatnych — Dane usługodawcy usług płatnych zostaną podane przed uruchomieniem sprzedaży.
3. Umowa obowiązuje przez czas korzystania przez Administratora z usług TruckReport i jest zawierana na podstawie art. 28 ust. 3 RODO.

Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w celu świadczenia usług TruckReport: raportów kierowców i naczep, lokalizacji floty, dokumentacji zdjęciowej, przekazań pojazdów oraz asystenta AI.
2. Przetwarzanie obejmuje zbieranie, przechowywanie, porządkowanie, udostępnianie Administratorowi, eksport i usuwanie danych, w sposób zautomatyzowany, w systemie informatycznym TruckReport.
3. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są: Regulamin, konfiguracja Konta dokonana przez Administratora oraz umowa indywidualna. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza prawo.

Kategorie danych i osób

1. Kategorie osób: kierowcy, dyspozytorzy oraz inni pracownicy i współpracownicy Administratora korzystający z usług.
2. Kategorie danych: dane identyfikacyjne i kontaktowe; login i PIN (przechowywane wyłącznie w postaci zabezpieczonej); lokalizacja GPS w czasie zmiany; zdjęcia; raporty i komentarze; nagrania głosowe (zamieniane na tekst na serwerze w UE, bez przekazywania zewnętrznym dostawcom); logi aktywności w usłudze.
3. Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO) — Administrator ich nie wprowadza.

Obowiązki podmiotu przetwarzającego

1. Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności.
2. Podmiot przetwarzający pomaga Administratorowi, w miarę możliwości i z uwzględnieniem charakteru przetwarzania, w realizacji praw osób, których dane dotyczą, oraz w wywiązywaniu się z obowiązków z art. 32–36 RODO.
3. Żądania osób, których dane dotyczą, otrzymane bezpośrednio, Podmiot przetwarzający przekazuje Administratorowi bez zbędnej zwłoki.

Dalsze powierzenie (podprocesorzy)

1. Administrator udziela ogólnej zgody na dalsze powierzenie przetwarzania podprocesorom wskazanym w Załączniku 1.
2. O zamiarze dodania lub zmiany podprocesora Podmiot przetwarzający informuje Administratora e-mailem z wyprzedzeniem 14 dni. Administrator może w tym terminie zgłosić uzasadniony sprzeciw; jeżeli strony nie znajdą rozwiązania, Administrator może wypowiedzieć umowę o świadczenie usług bez dodatkowych kosztów.
3. Podmiot przetwarzający nakłada na podprocesorów obowiązki ochrony danych nie mniejsze niż wynikające z tej umowy.

Naruszenia ochrony danych

1. Podmiot przetwarzający zawiadamia Administratora o naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego wykrycia, na adres e-mail Konta.
2. Zawiadomienie zawiera, w miarę dostępności: charakter naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, prawdopodobne konsekwencje, a także podjęte i proponowane środki zaradcze. Informacje niedostępne w chwili zawiadomienia są przekazywane etapami.

Środki bezpieczeństwa

Podmiot przetwarzający stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO, w szczególności:

• szyfrowanie transmisji danych (TLS);
• przechowywanie haseł i PIN-ów wyłącznie w postaci skrótów (bcrypt);
• oddzielne instancje i bazy danych dla środowisk;
• ograniczenie dostępu administracyjnego do niezbędnych osób;
• regularne aktualizacje oprogramowania;
• codzienne, szyfrowane kopie zapasowe bazy danych i plików w odrębnej lokalizacji (OVH, Warszawa), przechowywane do 12 miesięcy;
• monitoring dostępności usług;
• serwery i kopie zapasowe w Unii Europejskiej (OVH: Frankfurt, Warszawa).

Audyt

1. Administrator ma prawo sprawdzić zgodność przetwarzania z umową. W pierwszej kolejności odbywa się to przez ankietę lub pisemne oświadczenie Podmiotu przetwarzającego, udzielane w terminie 30 dni.
2. Inspekcja na miejscu jest możliwa po uzgodnieniu terminu, nie częściej niż raz w roku (chyba że po naruszeniu ochrony danych), na koszt Administratora i z zachowaniem poufności informacji o innych klientach.

Obowiązki administratora

1. Administrator odpowiada za podstawę prawną przetwarzania danych powierzonych Podmiotowi przetwarzającemu, w tym za spełnienie wymogów dotyczących monitorowania pracowników (art. 22³ Kodeksu pracy) oraz za poinformowanie kierowców i innych osób o przetwarzaniu ich danych.
2. Administrator nie wprowadza do usługi szczególnych kategorii danych.

Zakończenie umowy

1. Po zakończeniu świadczenia usług Podmiot przetwarzający na żądanie Administratora przekazuje mu dane w formie eksportu w terminie 30 dni, a następnie usuwa je, chyba że prawo wymaga ich dalszego przechowywania.
2. Dane w kopiach zapasowych są usuwane z upływem cyklu ich rotacji, najpóźniej po 12 miesiącach.
3. Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie danych.

Załącznik 1. Lista podprocesorów