Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu serwisu Wagon, zawierany razem z akceptacją Regulaminu przy rejestracji.

§1. Strony i przedmiot umowy

1. Umowa zawierana jest między Usługobiorcą jako administratorem danych (dalej: „Administrator”) a Usługodawcą wskazanym w §2 Regulaminu jako podmiotem przetwarzającym (dalej: „Podmiot przetwarzający”), w rozumieniu art. 28 RODO.
2. Umowa zostaje zawarta z chwilą akceptacji Regulaminu przy rejestracji Warsztatu i obowiązuje tak długo, jak umowa o świadczenie usług na podstawie Regulaminu, z uwzględnieniem §6. Umowa jest zawierana w formie elektronicznej (art. 28 ust. 9 RODO), a Podmiot przetwarzający przechowuje datę jej zawarcia i wersję zaakceptowanego Regulaminu.
3. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych wprowadzanych do Serwisu przez Administratora i jego Użytkowników, w zakresie i celu określonym w §2.
4. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

§2. Charakter, cel i zakres przetwarzania

1. Celem przetwarzania jest świadczenie usług Serwisu opisanych w §3 Regulaminu: prowadzenie kartoteki klientów i pojazdów, zleceń, kalendarza wizyt i cennika, wydruk zleceń oraz wysyłka powiadomień SMS i wiadomości e-mail.
2. Przetwarzanie obejmuje: zbieranie (przez formularze Serwisu), przechowywanie, porządkowanie, wyszukiwanie, wyświetlanie, modyfikowanie, przesyłanie (SMS, e-mail), wykonywanie kopii zapasowych, wydanie i usuwanie danych.
3. Kategorie osób i danych:

4. Serwis nie służy do przetwarzania szczególnych kategorii danych (art. 9 RODO) ani danych o wyrokach (art. 10 RODO). Administrator nie wprowadza ich do pól opisowych, takich jak uwagi i opis zgłoszenia.

§3. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są Regulamin, ta umowa oraz czynności Administratora i jego Użytkowników w Serwisie (np. wpisanie klienta, zmiana statusu zlecenia wysyłająca SMS). Dotyczy to także przekazywania danych do państwa trzeciego lub organizacji międzynarodowej. Jeżeli przetwarzania wymaga od Podmiotu przetwarzającego prawo Unii lub prawo polskie, informuje on o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo to zabrania udzielania takiej informacji. Jeżeli polecenie naruszałoby przepisy, Podmiot przetwarzający niezwłocznie informuje o tym Administratora.
2. Podmiot przetwarzający nie wykorzystuje danych do własnych celów, nie udostępnia ich innym Usługobiorcom i nie wyszukuje w nich poza kartoteką Administratora.
3. Do danych mają dostęp wyłącznie osoby upoważnione przez Podmiot przetwarzający, zobowiązane do zachowania ich w tajemnicy, i tylko w zakresie niezbędnym do utrzymania Serwisu, usuwania awarii i obsługi zgłoszeń Administratora.
4. Podmiot przetwarzający pomaga Administratorowi w realizacji praw osób, których dane dotyczą (art. 15–22 RODO), głównie przez funkcje Serwisu: wgląd i poprawianie danych klienta, wyłączenie SMS-ów dla klienta. Proszącą o to bezpośrednio osobę odsyła do Administratora.
5. Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje.
6. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania zgodności z art. 28 RODO; Serwis zapisuje historię zmian rekordów (kto i kiedy zmienił dane).

§4. Dalsze podmioty przetwarzające

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających. Ich aktualna lista – z nazwą, adresem, zakresem i miejscem przetwarzania każdego z nich – jest dostępna w Serwisie pod adresem https://wagon.com.pl/podwykonawcy. Na dzień zawarcia umowy są to dostawca usług chmurowych (serwery, baza danych, kopie zapasowe, dzienniki, wysyłka e-maili; przetwarzanie w UE) oraz operator SMS (wysyłka powiadomień do Klientów Warsztatu).
2. O zamiarze dodania lub zmiany dalszego podmiotu Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej, podając nazwę i zakres nowego podmiotu, i aktualizuje listę z ust. 1. Administrator może zgłosić sprzeciw; jeżeli strony się nie porozumieją, Administrator może rozwiązać umowę bez kosztów przed wprowadzeniem zmiany.
3. Podmiot przetwarzający nakłada na dalsze podmioty te same obowiązki ochrony danych co w tej umowie i odpowiada za ich działania jak za własne.
4. Przekazanie danych poza Europejski Obszar Gospodarczy, gdyby do niego doszło w ramach usług dostawcy chmurowego, odbywa się na podstawie EU–US Data Privacy Framework albo standardowych klauzul umownych.

§5. Bezpieczeństwo i naruszenia ochrony danych

1. Podmiot przetwarzający stosuje środki z art. 32 RODO, w szczególności:
   1. szyfrowanie połączenia (HTTPS) oraz szyfrowanie bazy danych i kopii zapasowych na dysku;
   2. rozdzielenie kartotek – zapytania Serwisu zawsze zawężają dane do Warsztatu zalogowanego Użytkownika, a rekord innego Warsztatu jest dla niego niewidoczny;
   3. hasła przechowywane jako skrót, minimum 12 znaków, odrzucanie haseł znanych z wycieków, limit prób logowania, wylogowanie po godzinie bezczynności i po zablokowaniu Konta;
   4. historię zmian rekordów (kto, kiedy, co zmienił) oraz dzienniki serwera;
   5. codzienne kopie zapasowe bazy, przechowywane 14 dni, oraz dostęp do serwera wyłącznie dla osób utrzymujących Serwis;
   6. regularne testowanie, mierzenie i ocenianie skuteczności zabezpieczeń, w tym próbne odtworzenie bazy z kopii zapasowej co najmniej raz w roku;
   7. pisemne upoważnienia do przetwarzania danych i zobowiązania do zachowania poufności dla każdej osoby z dostępem do danych, z ewidencją tych osób;
   8. pisemną politykę bezpieczeństwa i procedurę postępowania w razie naruszenia ochrony danych osobowych.
2. O naruszeniu ochrony danych osobowych powierzonych przez Administratora Podmiot przetwarzający zawiadamia go e-mailem bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia. Zawiadomienie zawiera informacje z art. 33 ust. 3 RODO, które są wtedy dostępne, a pozostałe Podmiot przetwarzający przekazuje niezwłocznie po ich ustaleniu. Zawiadomienie otrzymuje każdy Administrator, którego dane naruszenie dotyczy, na adres e-mail Właściciela Warsztatu; termin pozwala Administratorowi zgłosić naruszenie organowi nadzorczemu w ciągu 72 godzin (art. 33 ust. 1 RODO).

§6. Kontrola, zakończenie i postanowienia końcowe

1. Administrator może sprawdzić zgodność przetwarzania z umową: w pierwszej kolejności przez pisemne pytania, na które Podmiot przetwarzający odpowiada w ciągu 14 dni. Audyt na miejscu – nie częściej niż raz w roku, po uprzedzeniu co najmniej 14 dni wcześniej, na koszt Administratora i bez dostępu do danych innych Usługobiorców; częstotliwość nie ogranicza kontroli po naruszeniu ochrony danych.
2. Po rozwiązaniu umowy Podmiot przetwarzający, według wyboru Administratora zgłoszonego w ciągu 30 dni, wydaje mu dane w powszechnie używanym formacie elektronicznym (np. CSV) i usuwa je. Bez takiego zgłoszenia usuwa je po 30 dniach. Kopie zapasowe wygasają w ciągu kolejnych 14 dni. Nie dotyczy to danych, których przechowywanie nakazuje prawo.
3. Odpowiedzialność stron określają Regulamin i art. 82 RODO.
4. W sprawach nieuregulowanych stosuje się Regulamin i przepisy RODO. W razie sprzeczności w zakresie ochrony danych osobowych pierwszeństwo ma ta umowa.
5. Zmiany umowy wprowadza się w trybie zmiany Regulaminu (§15 Regulaminu).
6. Umowa obowiązuje od 11.11.2026.