Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i forma zawarcia

• Administrator — Firma w rozumieniu regulaminu: przedsiębiorca, który założył w SerwisAPP konto firmy, identyfikowany danymi podanymi przy rejestracji (nazwa, NIP, imię i nazwisko właściciela, adres e-mail).
• Podmiot przetwarzający (dalej także: Operator) — Damian Krężel, ul. Kolejowa 64c/39, 22-100 Chełm, kontakt: biuro@noviqai.pl.
• Umowa jest zawierana w formie elektronicznej (art. 28 ust. 9 RODO) przez zaznaczenie w Aplikacji pola „Zawieram umowę powierzenia przetwarzania danych” przy rejestracji konta firmy albo — dla kont założonych wcześniej — przy pierwszym logowaniu po jej wprowadzeniu. Data, wersja i platforma akceptacji są zapisywane w rejestrze akceptacji dostępnym dla obu Stron (Aplikacja: Ustawienia → Dokumenty i zgody).

§ 2. Przedmiot, charakter i cel przetwarzania

Administrator powierza Operatorowi przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usługi Aplikacji SerwisAPP, to jest:

• przechowywanie kartoteki klientów, urządzeń i przeglądów Administratora,
• udostępnianie tych danych Administratorowi, jego pracownikom oraz — w zakresie własnych urządzeń — klientom Administratora, którzy założyli konto użytkownika,
• generowanie i wysyłka protokołów serwisowych (PDF z podpisem) do klientów,
• wysyłka w imieniu Administratora przypomnień o przeglądach (e-mail, SMS, powiadomienia push) do klientów, dla których Administrator odnotował zgodę,
• obsługa rezerwacji terminów i zgłoszeń awarii składanych przez klientów,
• wykonywanie kopii zapasowych i zapewnienie bezpieczeństwa danych.

Charakter przetwarzania: operacje wykonywane w systemie informatycznym w sposób zautomatyzowany (zapis, przechowywanie, odczyt, przesyłanie, usuwanie). Operator nie podejmuje wobec danych żadnych własnych decyzji.

§ 3. Rodzaj danych i kategorie osób

Kategorie osób: klienci Administratora (osoby fizyczne, w tym prowadzące działalność gospodarczą), osoby kontaktowe u klientów, pracownicy Administratora.

Rodzaj danych: imię i nazwisko, telefon, adres, adres e-mail; dane urządzeń (producent, model, numer seryjny, lokalizacja u klienta); daty, zakres i wynik przeglądów, uwagi serwisanta, zdjęcia urządzeń; protokoły serwisowe z podpisem odręcznym klienta; rezerwacje i zgłoszenia awarii; zgody na przypomnienia wraz z datą zmiany; identyfikatory i tokeny powiadomień.

Administrator nie powierza danych szczególnych kategorii (art. 9 RODO) ani danych o wyrokach (art. 10 RODO) i zobowiązuje się ich do Aplikacji nie wprowadzać.

§ 4. Czas trwania

Umowa obowiązuje od chwili akceptacji przez czas posiadania przez Administratora konta firmy w Aplikacji. Wygasa z chwilą usunięcia konta (§ 11).

§ 5. Obowiązki Podmiotu przetwarzającego

Operator zobowiązuje się:

• przetwarzać dane wyłącznie na udokumentowane polecenie Administratora — za polecenie uznaje się korzystanie z funkcji Aplikacji oraz postanowienia regulaminu i niniejszej umowy; dotyczy to także przekazywania danych do państw trzecich (§ 7), chyba że obowiązek taki nakłada na Operatora prawo Unii lub państwa członkowskiego — wówczas Operator informuje Administratora przed przetwarzaniem, o ile prawo tego nie zabrania,
• zapewnić, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy; dostęp administracyjny do bazy ma wyłącznie Operator,
• wdrożyć środki techniczne i organizacyjne wymagane na mocy art. 32 RODO (§ 8),
• przestrzegać warunków korzystania z dalszych podmiotów przetwarzających (§ 6),
• pomagać Administratorowi — biorąc pod uwagę charakter przetwarzania — w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO): Aplikacja pozwala Administratorowi samodzielnie przeglądać, poprawiać, eksportować (protokoły PDF) i usuwać dane; żądania skierowane do Operatora są przekazywane Administratorowi bez zbędnej zwłoki, nie później niż w 5 dni roboczych,
• pomagać Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków), udzielając informacji o stosowanych zabezpieczeniach i o przebiegu ewentualnego naruszenia,
• po zakończeniu świadczenia usługi usunąć dane (§ 11),
• udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwiać audyty (§ 10),
• niezwłocznie informować Administratora, jeżeli jego zdaniem wydane mu polecenie narusza RODO lub inne przepisy o ochronie danych.

§ 6. Dalsze podmioty przetwarzające (podwykonawcy)

Administrator wyraża ogólną zgodę na korzystanie przez Operatora z dalszych podmiotów przetwarzających wymienionych w Załączniku 1 (lista jest również w polityce prywatności, pkt 5). Operator nakłada na każdego podwykonawcę — w drodze umowy — te same obowiązki ochrony danych, jakie wynikają z niniejszej umowy, w szczególności obowiązek wdrożenia wystarczających zabezpieczeń. Jeżeli podwykonawca nie wywiąże się ze swoich obowiązków, pełna odpowiedzialność wobec Administratora spoczywa na Operatorze.

O zamiarze dodania lub zastąpienia podwykonawcy Operator informuje Administratora w Aplikacji lub e-mailem co najmniej 14 dni wcześniej. Administrator może w tym terminie zgłosić sprzeciw na adres biuro@noviqai.pl; jeżeli Strony nie dojdą do porozumienia, Administrator może zakończyć umowę, usuwając konto — Operator pomoże wcześniej wyeksportować dane.

§ 7. Przekazywanie danych poza EOG

Dane kartotek są przechowywane w Unii Europejskiej (Supabase, Frankfurt). Dalsi podwykonawcy z siedzibą w USA (Google — powiadomienia push, Expo — powiadomienia i aktualizacje, Sentry — diagnostyka błędów) otrzymują wyłącznie dane niezbędne do swojej funkcji (token powiadomień, treść powiadomienia, dane techniczne) na podstawie decyzji Komisji Europejskiej w sprawie ram ochrony danych UE–USA (Data Privacy Framework) lub standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO).

§ 8. Środki bezpieczeństwa (art. 32 RODO)

• szyfrowanie transmisji (TLS 1.2+); szyfrowanie danych w spoczynku po stronie dostawcy bazy; hasła wyłącznie jako skróty bcrypt,
• izolacja danych na poziomie bazy (Row Level Security): każda firma ma dostęp wyłącznie do własnej kartoteki; ograniczenie egzekwuje baza danych niezależnie od kodu aplikacji,
• prywatny magazyn plików (protokoły, logo) z dostępem przez podpisane adresy o ograniczonej ważności,
• funkcje serwerowe o podwyższonych uprawnieniach niedostępne dla niezalogowanych i dla ról aplikacji; sekrety (tokeny SMS, klucze) w osobnym schemacie bazy,
• uwierzytelnianie z weryfikacją adresu e-mail, możliwość zmiany hasła,
• kopie zapasowe bazy wykonywane cyklicznie przez dostawcę i testowane możliwości odtworzenia,
• rejestrowanie błędów aplikacji (bez treści kartotek) w celu wykrywania awarii,
• okresowy przegląd uprawnień do funkcji i tabel bazy.

§ 9. Naruszenia ochrony danych

Operator zawiadamia Administratora o stwierdzonym naruszeniu ochrony danych osobowych dotyczącym powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia — e-mailem na adres konta firmy — podając, w miarę dostępności, informacje z art. 33 ust. 3 RODO (charakter naruszenia, kategorie i przybliżoną liczbę osób i wpisów, możliwe konsekwencje, podjęte środki). Decyzję o zgłoszeniu naruszenia organowi nadzorczemu i zawiadomieniu osób podejmuje Administrator; Operator udziela mu w tym pomocy.

§ 10. Informacje i audyt

Operator udostępnia na żądanie Administratora informacje o sposobie przetwarzania i zabezpieczeniach (w tym dokumentację zabezpieczeń dostawców). Administrator może przeprowadzić audyt — sam lub przez upoważnionego audytora — nie częściej niż raz w roku (częściej po stwierdzonym naruszeniu), po uzgodnieniu terminu z co najmniej 14-dniowym wyprzedzeniem, w sposób nieutrudniający świadczenia usługi innym firmom i bez dostępu do danych innych administratorów. Koszty audytu ponosi Administrator.

§ 11. Zakończenie powierzenia

Po usunięciu konta firmy Operator usuwa wszystkie powierzone dane — kartotekę (klienci, urządzenia, przeglądy, rezerwacje, zgłoszenia, przypomnienia) oraz pliki protokołów — niezwłocznie, a z kopii zapasowych w cyklu ich nadpisywania, nie później niż w 30 dni. Administrator powinien przed usunięciem konta pobrać protokoły i inne dane, które chce zachować (Aplikacja umożliwia pobranie i wysyłkę protokołów PDF). Operator nie przechowuje kopii powierzonych danych po tym terminie, chyba że prawo Unii lub państwa członkowskiego nakazuje ich dalsze przechowywanie.

§ 12. Obowiązki Administratora

• wprowadzanie do Aplikacji wyłącznie danych, do których przetwarzania ma podstawę prawną, i wyłącznie w zakresie niezbędnym do obsługi serwisowej,
• wypełnienie obowiązku informacyjnego wobec swoich klientów (art. 13 RODO) — Operator udostępnia wzór klauzuli,
• zbieranie i odnotowywanie w Aplikacji zgód na przypomnienia e-mail i SMS oraz odnotowywanie ich wycofania,
• obsługa żądań osób, których dane dotyczą,
• dbałość o poufność haseł oraz usuwanie dostępu pracowników, którzy przestali pracować w firmie (Ustawienia → Pracownicy),
• zawarcie własnej umowy z dostawcą SMS, jeżeli Administrator korzysta z przypomnień SMS (SMS-y wysyłane są z konta Administratora u tego dostawcy).

§ 13. Odpowiedzialność

Każda ze Stron odpowiada za szkody wyrządzone przetwarzaniem niezgodnym z RODO na zasadach art. 82 RODO. Operator odpowiada za szkody spowodowane przetwarzaniem wyłącznie wtedy, gdy nie dopełnił obowiązków nałożonych na podmioty przetwarzające lub działał poza zgodnymi z prawem poleceniami Administratora. Wobec Administratorów będących przedsiębiorcami odpowiedzialność Operatora z tytułu niniejszej umowy jest ograniczona do równowartości opłat uiszczonych przez Administratora w ostatnich 12 miesiącach, chyba że szkoda wynikła z winy umyślnej lub rażącego niedbalstwa.

§ 14. Postanowienia końcowe

Zmiana umowy wymaga akceptacji nowej wersji w Aplikacji (regulamin § 11); do czasu akceptacji obowiązuje wersja dotychczasowa. W sprawach nieuregulowanych stosuje się RODO i prawo polskie. Spory Strony będą rozwiązywać polubownie, a w braku porozumienia — przed sądem właściwym dla siedziby Operatora, z zastrzeżeniem bezwzględnie obowiązujących przepisów.

Załącznik 1 — lista dalszych podmiotów przetwarzających

Podmiot	Zakres	Lokalizacja danych
Supabase Inc. (USA)	baza danych, uwierzytelnianie, magazyn plików, funkcje serwerowe	Frankfurt (UE)
Brevo — Sendinblue SAS (Francja)	wysyłka e-maili (przypomnienia, protokoły, zaproszenia)	UE
Google Ireland Ltd. / Google LLC	Firebase Cloud Messaging — powiadomienia push (Android)	UE / USA
Expo — 650 Industries, Inc. (USA)	powiadomienia push, aktualizacje aplikacji	USA
Sentry — Functional Software, Inc. (USA)	raportowanie błędów aplikacji	USA / UE
OVHcloud — OVH SAS (Francja)	serwer VPS: hosting stron i wersji web (pliki statyczne, logi serwera)	UE

Dostawca SMS (obecnie SMSAPI) nie jest podwykonawcą Operatora — umowę z nim zawiera Administrator i wysyłka odbywa się z jego konta.