Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

1. Przedmiot, charakter i cel

Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i celach określonych poniżej:

• Przedmiot: dane osobowe Klientów Administratora i jego pracowników wprowadzone do Platformy Loopcraft.
• Charakter: przetwarzanie zautomatyzowane (przechowywanie, organizowanie, modyfikowanie, udostępnianie poprzez interfejs Platformy, usuwanie).
• Cel: świadczenie usług SaaS — zarządzanie rezerwacjami, prowadzenie historii usług, wysyłka powiadomień i przypomnień, obsługa płatności, wystawianie faktur.
• Czas trwania: przez cały okres korzystania przez Administratora z Platformy. Umowa wygasa automatycznie wraz z rozwiązaniem umowy o świadczenie usług Platformy lub usunięciem konta Administratora.

2. Kategorie danych i osób

Kategorie osób: Klienci Administratora (osoby fizyczne korzystające z jego usług), pracownicy Administratora obsługujący Platformę.

Kategorie danych powierzonych:

• Imię i nazwisko
• Adres e-mail
• Numer telefonu
• Dane pojazdu (marka, model, numer rejestracyjny, VIN)
• Historia zrealizowanych usług (daty, rodzaje usług, notatki, zdjęcia)
• Dane rezerwacji (terminy, statusy, szczegóły płatności)
• Dane pracowników (imię, nazwisko, e-mail, rola, ewentualnie stawka godzinowa)

Procesor nie przetwarza w ramach niniejszej Umowy szczególnych kategorii danych osobowych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator zobowiązuje się nie wprowadzać takich danych do Platformy.

3. Obowiązki Procesora

Procesor zobowiązuje się zgodnie z art. 28 ust. 3 RODO do:

• Przetwarzania danych wyłącznie na udokumentowane polecenie Administratora (w szczególności poprzez działania w interfejsie Platformy) lub na podstawie wymogów prawa Unii lub państwa członkowskiego — w takim przypadku Procesor informuje Administratora o tym wymogu prawnym przed rozpoczęciem przetwarzania, chyba że prawo to zabrania.
• Zapewnienia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy.
• Wdrożenia i utrzymywania środków technicznych i organizacyjnych zgodnie z art. 32 RODO (zob. art. 7 niniejszej Umowy).
• Pomocy Administratorowi w realizacji praw osób, których dane dotyczą (art. 15-22 RODO), poprzez udostępnienie odpowiednich funkcji Platformy lub na żądanie zgłoszone przez Administratora.
• Pomocy Administratorowi w wywiązaniu się z obowiązków zgłaszania naruszeń (art. 33 i 34 RODO), oceny skutków (DPIA, art. 35) oraz uprzednich konsultacji z organem nadzorczym (art. 36).
• Niezwłocznego, nie później niż w ciągu 72 godzin od stwierdzenia, poinformowania Administratora o każdym naruszeniu ochrony powierzonych danych osobowych.
• Po zakończeniu świadczenia usług — usunięcia lub zwrócenia danych zgodnie z decyzją Administratora (zob. art. 8).
• Udostępnienia Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwienia audytów (zob. art. 5).
• Niezwłocznego informowania Administratora, jeżeli zdaniem Procesora wydane przez Administratora polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.

4. Sub-procesory

Administrator wyraża niniejszym ogólną zgodę na korzystanie przez Procesora z sub-procesorów wymienionych poniżej. Procesor zobowiązuje się informować Administratora o wszelkich planowanych zmianach na liście sub-procesorów (dodanie lub zmiana) z co najmniej 14-dniowym wyprzedzeniem drogą e-mail lub poprzez komunikat w panelu. Administrator ma prawo wnieść uzasadniony sprzeciw wobec proponowanej zmiany — w takim przypadku strony podejmą rozmowy w dobrej wierze; brak porozumienia w terminie 30 dni uprawnia Administratora do rozwiązania umowy bez okresu wypowiedzenia.

Procesor nakłada na każdego sub-procesora obowiązki w zakresie ochrony danych nie mniejsze niż określone w niniejszej Umowie i pozostaje w pełni odpowiedzialny przed Administratorem za wykonanie obowiązków przez sub-procesorów (art. 28 ust. 4 RODO).

5. Audyt

Procesor udostępnia Administratorowi informacje niezbędne do wykazania zgodności z art. 28 RODO oraz umożliwia audyty zgodności, w tym inspekcje, prowadzone przez Administratora lub upoważnionego przez niego audytora.

Tryb realizacji audytu:

• Pisemne zgłoszenie zamiaru audytu z co najmniej 30-dniowym wyprzedzeniem (z wyjątkiem przypadków incydentu lub żądania organu nadzorczego — wówczas terminy skraca się do 7 dni).
• Audyt prowadzony jest w godzinach pracy, w sposób minimalizujący zakłócenia działalności Procesora.
• Koszty audytu ponosi Administrator, z wyjątkiem sytuacji, gdy audyt wykaże poważne naruszenia po stronie Procesora — wówczas koszty pokrywa Procesor.
• Audytor zobowiązany jest do zachowania poufności informacji uzyskanych w trakcie audytu.
• Procesor może w pierwszej kolejności udostępnić raporty z niezależnych audytów (np. SOC 2, ISO 27001) jako alternatywę dla bezpośredniej inspekcji.

6. Naruszenia ochrony danych

Procesor zgłasza Administratorowi każde naruszenie ochrony powierzonych danych osobowych niezwłocznie, nie później niż w ciągu 72 godzin od jego stwierdzenia. Zgłoszenie zawiera co najmniej: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób, których dotyczy, kategorie i przybliżoną liczbę rekordów, prawdopodobne konsekwencje oraz środki podjęte w celu zaradzenia naruszeniu i zminimalizowania jego skutków. Procesor dokumentuje każde naruszenie zgodnie z art. 33 ust. 5 RODO.

7. Środki bezpieczeństwa (art. 32 RODO)

Procesor wdraża i utrzymuje następujące środki techniczne i organizacyjne:

• Szyfrowanie danych w spoczynku (AES-256) i w tranzycie (TLS 1.2+)
• Row Level Security (RLS) na poziomie bazy danych — fizyczna izolacja danych pomiędzy Tenantami
• Regularne kopie zapasowe z retencją 30 dni i regularne testy odtwarzania
• Uwierzytelnianie wieloskładnikowe (MFA) dla wszelkich dostępów administracyjnych
• Logowanie dostępu i monitoring bezpieczeństwa (90 dni retencji logów)
• Pseudonimizacja danych w środowiskach testowych
• Zasada najmniejszych uprawnień — dostęp do danych produkcyjnych ograniczony do osób, których wymaga to obowiązków
• Polityki haseł, regularne przeglądy uprawnień, audyty bezpieczeństwa kodu
• Procedura reagowania na incydenty bezpieczeństwa

8. Zwrot lub usunięcie danych

Po zakończeniu świadczenia usług, na podstawie pisemnej decyzji Administratora przekazanej w terminie 30 dni od rozwiązania umowy, Procesor:

• Usuwa wszystkie powierzone dane osobowe w terminie 30 dni od decyzji Administratora; lub
• Zwraca dane Administratorowi w ustalonym formacie (eksport JSON/CSV) i usuwa kopie pozostające u Procesora.

W przypadku braku decyzji Administratora w terminie 30 dni od rozwiązania umowy Procesor stosuje opcję usunięcia. Wyjątkiem są dane, których przechowywanie jest wymagane prawem Unii lub prawem krajowym (np. dane fakturowe — 5 lat). Na żądanie Administratora Procesor wystawi pisemne potwierdzenie usunięcia.

9. Odpowiedzialność i poufność

Strony odpowiadają za niewykonanie lub nienależyte wykonanie obowiązków określonych w niniejszej Umowie na zasadach ogólnych Kodeksu cywilnego oraz art. 82 RODO. Odpowiedzialność Procesora wobec Administratora-przedsiębiorcy ograniczona jest do wysokości opłat subskrypcyjnych uiszczonych w ciągu ostatnich 12 miesięcy poprzedzających zdarzenie wywołujące szkodę.

Strony zobowiązują się do zachowania poufności informacji uzyskanych w związku z realizacją Umowy zarówno w czasie jej trwania, jak i po jej rozwiązaniu.

10. Postanowienia końcowe

Umowa podlega prawu polskiemu. W zakresie nieuregulowanym zastosowanie mają RODO, Kodeks cywilny oraz ustawa o ochronie danych osobowych z dnia 10 maja 2018 r.

Spory rozstrzyga sąd właściwy miejscowo dla siedziby Procesora. Umowa stanowi integralną część relacji pomiędzy Administratorem a Procesorem zawiązanej poprzez akceptację Regulaminu.