Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

1. Administrator — Klient w rozumieniu Regulaminu serwisu tonmiro.com i usługi TonMiro Systems („Regulamin"), tj. przedsiębiorca, który zawarł z Podmiotem przetwarzającym Umowę o korzystanie z Systemu.
2. Podmiot przetwarzający — Lexine Gawek i Kielar spółka jawna z siedzibą w Krakowie, ul. Witkowicka 82, 31-242 Kraków, KRS 0000335571, NIP 7010197031, prowadząca usługę TonMiro Systems.
3. Niniejsza umowa („Umowa powierzenia") zostaje zawarta z chwilą zawarcia Umowy o korzystanie z Systemu i stanowi jej integralną część. Pojęcia pisane wielką literą, niezdefiniowane tu, mają znaczenie nadane w Regulaminie. „RODO" oznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.
4. W razie sprzeczności między Umową powierzenia a Regulaminem lub Umową o korzystanie z Systemu, w zakresie ochrony danych osobowych pierwszeństwo ma Umowa powierzenia.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usługi dostępu do Systemu, jego wdrożenia, utrzymania, wsparcia technicznego, wykonywania kopii zapasowych oraz przeniesienia danych z dotychczasowych źródeł Administratora.
2. Charakter przetwarzania: przetwarzanie w systemie informatycznym udostępnianym przez Internet (SaaS), obejmujące w szczególności zbieranie, utrwalanie, organizowanie, przechowywanie, przeglądanie, modyfikowanie, eksportowanie, tworzenie kopii zapasowych i usuwanie danych — w zakresie wynikającym z funkcji Systemu i poleceń Administratora.
3. Cel przetwarzania: prowadzenie przez Administratora ewidencji i analizy pracy zakładu (ważenia i wydania, maszyny i pojazdy, tankowania, oleje, filtry, pomiary, godziny produkcji, dokumenty, serwis), zgodnie z funkcjami Systemu opisanymi w Regulaminie i Serwisie.
4. Podmiot przetwarzający może — na podstawie niniejszego udokumentowanego polecenia Administratora i w zakresie przewidzianym Regulaminem — dokonać anonimizacji i agregacji danych powierzonych wyłącznie w celu wytworzenia zbiorów, z których przy użyciu rozsądnie dostępnych środków nie można zidentyfikować Administratora, jego zakładu ani osób fizycznych. Sama anonimizacja jest operacją przetwarzania wykonywaną na polecenie Administratora; dopiero po jej skutecznym przeprowadzeniu powstałe informacje mogą być wykorzystywane do celów własnych wskazanych w Regulaminie.
5. Podmiot przetwarzający nie przetwarza danych powierzonych w celach własnych, z zastrzeżeniem danych zanonimizowanych i zagregowanych, o których mowa w ust. 4 oraz w § 12 ust. 6 Regulaminu — dane te nie są danymi osobowymi.

§ 3. Rodzaj danych i kategorie osób

1. Kategorie osób, których dane dotyczą:
   • pracownicy i współpracownicy Administratora (operatorzy, mechanicy, kierownicy, biuro, kierowcy);
   • kierowcy i pracownicy kontrahentów Administratora (odbiorcy kruszywa, przewoźnicy, dostawcy paliwa, serwisy);
   • osoby fizyczne prowadzące działalność gospodarczą będące kontrahentami Administratora;
   • osoby wskazane w dokumentach wprowadzonych do Systemu (np. na kwitach wagowych, fakturach, protokołach, zdjęciach dokumentów).
2. Rodzaje danych: imię i nazwisko, stanowisko lub rola, login i skrót hasła, służbowy e-mail i telefon, nazwa i dane firmy, numery rejestracyjne pojazdów, dane z kwitów wagowych i wydań (kierowca, przewoźnik, odbiorca), dane z tankowań (kto, kiedy, ile), dane z ewidencji napraw i przeglądów, historia czynności w Systemie (logi), treść dokumentów i zdjęć wprowadzonych przez Administratora. Logi bezpieczeństwa infrastruktury (adres IP, czas i wynik logowania) Podmiot przetwarzający prowadzi we własnym celu ochrony Systemu jako administrator tych danych — na zasadach opisanych w Polityce prywatności; nie są one objęte niniejszym powierzeniem.
3. Administrator nie powierza danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Jeżeli Administrator zamierza wprowadzić do Systemu takie dane (np. orzeczenia lekarskie, informacje o stanie zdrowia operatorów), musi wcześniej uzgodnić to z Podmiotem przetwarzającym na piśmie.
4. Jeżeli Podmiot przetwarzający stwierdzi, że do Systemu wprowadzono dane, o których mowa w ust. 3, bez wcześniejszego uzgodnienia, informuje o tym Administratora i — w zakresie technicznie możliwym — ogranicza dostęp do tych danych do czasu otrzymania od Administratora polecenia dotyczącego ich usunięcia, dalszego przetwarzania albo zmiany zakresu powierzenia.
5. Administrator może w każdym czasie doprecyzować zakres powierzonych danych w formie dokumentowej; nie wymaga to zmiany Umowy powierzenia.

§ 4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się:

1. przetwarzać dane wyłącznie na udokumentowane polecenie Administratora — za polecenie uważa się Regulamin, Umowę o korzystanie z Systemu, niniejszą Umowę powierzenia oraz polecenia przekazywane przez Administratora e-mailem lub przez funkcje Systemu; dotyczy to także przekazywania danych do państwa trzeciego, chyba że obowiązek taki nakłada prawo Unii lub państwa członkowskiego — wówczas Podmiot przetwarzający informuje Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania;
2. niezwłocznie informować Administratora, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych;
3. zapewnić, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi zachowania tajemnicy, i były przeszkolone w zakresie ochrony danych;
4. dopuszczać do przetwarzania wyłącznie osoby posiadające upoważnienie i tylko w zakresie niezbędnym do wykonywania obowiązków;
5. wdrożyć i utrzymywać środki techniczne i organizacyjne opisane w § 5 i załączniku B;
6. przestrzegać warunków korzystania z usług innego podmiotu przetwarzającego (§ 6);
7. pomagać Administratorowi w wywiązywaniu się z obowiązków wobec osób, których dane dotyczą, oraz z obowiązków z art. 32–36 RODO (§ 7);
8. po zakończeniu świadczenia usług usunąć lub zwrócić dane zgodnie z § 11;
9. udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwiać audyty (§ 9);
10. prowadzić rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO).

§ 5. Środki bezpieczeństwa

1. Podmiot przetwarzający, uwzględniając stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko naruszenia praw lub wolności osób fizycznych, wdraża odpowiednie środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający temu ryzyku (art. 32 RODO).
2. Środki obejmują w szczególności: szyfrowanie transmisji (TLS), przechowywanie haseł wyłącznie w postaci skrótu kryptograficznego, kontrolę dostępu opartą na rolach, logowanie dostępu i zmian, kopie zapasowe przyrostowe codziennie i pełne raz w tygodniu przechowywane poza serwerem produkcyjnym, procedurę przywracania po awarii, ograniczenie dostępu administracyjnego do osób upoważnionych z użyciem kluczy kryptograficznych, aktualizowanie oprogramowania, testowanie zmian przed wdrożeniem na środowisko produkcyjne. Szczegółowy wykaz zawiera załącznik B.
3. Podmiot przetwarzający może zmieniać środki bezpieczeństwa, pod warunkiem że nie obniża to poziomu ochrony danych.

§ 6. Dalsze powierzenie (podprocesorzy)

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z usług innych podmiotów przetwarzających (podprocesorów) wymienionych w załączniku A.
2. O zamiarze dodania lub zastąpienia podprocesora Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym terminie wnieść sprzeciw z uzasadnieniem. W razie sprzeciwu strony podejmują rozmowy; jeżeli nie osiągną porozumienia, Administrator może wypowiedzieć Umowę o korzystanie z Systemu ze skutkiem na dzień rozpoczęcia korzystania z nowego podprocesora, a Podmiot przetwarzający zwraca proporcjonalnie wynagrodzenie zapłacone z góry.
3. Podmiot przetwarzający nakłada na każdego podprocesora — w drodze umowy — te same obowiązki ochrony danych, które wynikają z niniejszej Umowy powierzenia, i ponosi wobec Administratora pełną odpowiedzialność za wywiązanie się podprocesora z jego obowiązków.
4. Aktualny wykaz podprocesorów jest publikowany w załączniku A pod adresem tonmiro.com/prawne/powierzenie-danych.html.

§ 7. Pomoc Administratorowi

1. Jeżeli osoba, której dane dotyczą, zwróci się do Podmiotu przetwarzającego z żądaniem realizacji praw z art. 15–22 RODO dotyczącym danych powierzonych, Podmiot przetwarzający przekazuje żądanie Administratorowi w terminie 3 Dni roboczych i nie odpowiada samodzielnie, chyba że Administrator go o to poprosi.
2. Podmiot przetwarzający pomaga Administratorowi w realizacji żądań osób — w szczególności przez udostępnienie, sprostowanie, eksport lub usunięcie danych w Systemie — w terminie umożliwiającym Administratorowi dotrzymanie terminów z art. 12 RODO, nie później niż w ciągu 7 Dni roboczych od otrzymania polecenia. Pomoc w zwykłym zakresie funkcji Systemu jest nieodpłatna; nadzwyczajne żądania, wymagające prac wykraczających poza funkcje Systemu (np. wielokrotne, o dużej pracochłonności), mogą być rozliczane wg Cennika po uprzednim uzgodnieniu, w granicach uzasadnionych i udokumentowanych kosztów. Opłata nie jest pobierana, jeżeli potrzeba dodatkowej pracy wynika z błędu lub naruszenia obowiązków po stronie Podmiotu przetwarzającego.
3. Podmiot przetwarzający wspiera Administratora w przeprowadzeniu oceny skutków dla ochrony danych (art. 35 RODO) i uprzednich konsultacji z organem nadzorczym (art. 36 RODO), udostępniając informacje o Systemie i stosowanych zabezpieczeniach.

§ 8. Naruszenia ochrony danych

1. Podmiot przetwarzający zawiadamia Administratora o stwierdzeniu naruszenia ochrony danych osobowych dotyczącego danych powierzonych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od stwierdzenia naruszenia, na adres e-mail osoby kontaktowej Administratora.
2. Zawiadomienie zawiera co najmniej: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, których dotyczy, możliwe konsekwencje, podjęte i proponowane środki zaradcze, dane osoby do kontaktu. Jeżeli nie da się przekazać wszystkich informacji jednocześnie, Podmiot przetwarzający uzupełnia je sukcesywnie.
3. Podmiot przetwarzający dokumentuje naruszenia, współpracuje z Administratorem w zgłoszeniu do organu nadzorczego i zawiadomieniu osób, oraz nie informuje osób trzecich o naruszeniu bez uzgodnienia z Administratorem, chyba że wymaga tego prawo.

§ 9. Prawo kontroli

1. Administrator ma prawo do kontroli zgodności przetwarzania z Umową powierzenia — w formie pisemnych zapytań, ankiet lub audytu przeprowadzonego przez Administratora albo upoważnionego audytora niebędącego konkurentem Podmiotu przetwarzającego.
2. Audyt na miejscu zapowiada się z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku (ograniczeń częstotliwości i terminu uprzedzenia nie stosuje się, gdy audyt jest następstwem naruszenia ochrony danych, wynika z żądania organu nadzorczego albo Administrator ma uzasadnione i udokumentowane podstawy, by podejrzewać istotne naruszenie Umowy powierzenia lub RODO), w Dni robocze, w sposób nieutrudniający działalności Podmiotu przetwarzającego i nienaruszający poufności danych innych klientów. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie Umowy powierzenia.
3. Podmiot przetwarzający udziela odpowiedzi na pisemne zapytania w terminie 14 dni i usuwa stwierdzone uchybienia w terminie uzgodnionym z Administratorem.

§ 10. Obowiązki Administratora

1. Administrator oświadcza, że jest administratorem danych powierzonych i posiada podstawę prawną do ich przetwarzania oraz powierzenia, w szczególności spełnił obowiązek informacyjny wobec pracowników i kontrahentów (art. 13–14 RODO).
2. Administrator zobowiązuje się wprowadzać do Systemu wyłącznie dane niezbędne do celów, o których mowa w § 2, i nie wprowadzać danych, o których mowa w § 3 ust. 3, bez uzgodnienia.
3. Administrator odpowiada za zarządzanie kontami swoich Użytkowników, w tym za nadawanie ról odpowiadających zakresowi obowiązków i za blokowanie kont osób, które utraciły uprawnienia.
4. Administrator wskazuje osobę kontaktową w sprawach ochrony danych i informuje o jej zmianie.

§ 11. Czas trwania i zakończenie

1. Umowa powierzenia obowiązuje przez czas trwania Umowy o korzystanie z Systemu oraz przez okres, w którym Podmiot przetwarzający przechowuje dane powierzone po jej zakończeniu (§ 12 ust. 3 Regulaminu — eksport, dostęp tylko do odczytu, cykl rotacji kopii zapasowych).
2. Po zakończeniu Umowy o korzystanie z Systemu Podmiot przetwarzający, zgodnie z wyborem Administratora dokonanym w terminie 14 dni od zakończenia:
   1. zwraca dane w formacie umożliwiającym ich odczyt (XLSX/CSV, PDF, pliki obrazów) i usuwa je z Systemu, albo
   2. usuwa dane bez zwrotu.
   W braku wyboru stosuje się § 12 ust. 3 Regulaminu (eksport, następnie usunięcie po upływie okresów tam wskazanych). Termin 14 dni dotyczy wyboru między zwrotem danych wraz z ich usunięciem a samym usunięciem; nie ogranicza prawa Administratora do wybrania trybu tylko do odczytu w terminie wskazanym w § 12 ust. 3 lit. b Regulaminu.
3. Jeżeli Administrator wybierze przewidziany w § 12 ust. 3 lit. b Regulaminu tryb tylko do odczytu, okres ten stanowi dalszy okres świadczenia ograniczonej usługi przetwarzania na udokumentowane polecenie Administratora, a niniejsza Umowa powierzenia pozostaje w tym zakresie w mocy. Administrator może w każdym czasie zakończyć ten tryb i wybrać zwrot danych wraz z ich usunięciem albo samo usunięcie, zgodnie z ust. 2.
4. Usunięcie z kopii zapasowych następuje w cyklu ich rotacji (najpóźniej w ciągu 12 miesięcy); do tego czasu kopie są przechowywane w postaci zaszyfrowanej, w izolacji od środowiska produkcyjnego, i nie są wykorzystywane do innych celów niż przywrócenie po awarii. Jeżeli kopia zapasowa zostanie awaryjnie przywrócona, Podmiot przetwarzający ponownie stosuje wobec odtworzonych danych wcześniejsze polecenia usunięcia, które przed odtworzeniem zostały już wykonane.
5. Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie danych pisemnie lub e-mailem.
6. Podmiot przetwarzający może zachować dane w zakresie, w jakim wymaga tego prawo Unii lub państwa członkowskiego — o czym informuje Administratora.

§ 12. Odpowiedzialność

1. Podmiot przetwarzający odpowiada wobec Administratora za szkody spowodowane przetwarzaniem wyłącznie wówczas, gdy nie dopełnił obowiązków nałożonych bezpośrednio na podmioty przetwarzające przez RODO lub działał poza zgodnymi z prawem poleceniami Administratora lub wbrew nim (art. 82 ust. 2 RODO).
2. Odpowiedzialność Podmiotu przetwarzającego wobec Administratora z tytułu Umowy powierzenia jest ograniczona zgodnie z § 17 Regulaminu, z wyjątkiem szkód wyrządzonych umyślnie oraz w zakresie, w jakim ograniczenie jest niedopuszczalne w świetle art. 82 RODO. Ograniczenie to dotyczy wyłącznie wzajemnych roszczeń stron i nie ogranicza praw osób, których dane dotyczą, w szczególności prawa do odszkodowania z art. 82 RODO, ani ustawowych zasad odpowiedzialności i regresu między uczestnikami przetwarzania.
3. Jeżeli organ nadzorczy nałoży na jedną ze stron karę administracyjną z powodu naruszenia zawinionego przez drugą stronę, strona winna zwraca drugiej stronie — w zakresie prawnie dopuszczalnym i odpowiadającym rzeczywistemu zakresowi jej odpowiedzialności — równowartość kary i udokumentowanych kosztów postępowania. Postanowienie to nie narusza kompetencji organu nadzorczego ani bezwzględnie obowiązujących zasad odpowiedzialności wynikających z RODO.

§ 13. Postanowienia końcowe

1. Zmiany Umowy powierzenia następują w trybie przewidzianym dla zmian Regulaminu (§ 21 Regulaminu); zmiana załącznika A — w trybie § 6.
2. W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych i Kodeks cywilny.
3. Na życzenie Administratora strony podpiszą Umowę powierzenia w formie pisemnej o treści tożsamej z niniejszą, z wpisaniem danych Administratora i jego osoby kontaktowej.
4. Umowę powierzenia sporządzono w języku polskim. Tłumaczenia na inne języki mają charakter wyłącznie informacyjny; w razie rozbieżności wiążąca jest wersja polska.

Wzory do pobrania dla Administratora

Gotowe druki, które ułatwiają wypełnienie obowiązków z § 10 (jeden egzemplarz na osobę; dane wykropkowane — do uzupełnienia):

• Upoważnienie do przetwarzania danych osobowych i zobowiązanie do poufności — PDF · DOC
• Klauzula informacyjna dla pracowników, współpracowników i kierowców (art. 13 RODO) — PDF · DOC
• Wersje obcojęzyczne (tłumaczenie techniczne, wiążąca jest wersja polska): upoważnienie — EN · SK; klauzula informacyjna — EN · SK.

Kto z kim podpisuje. Upoważnienie podpisuje zakład jako administrator danych z osobą upoważnioną — pracownikiem, współpracownikiem lub kierowcą. Klauzulę informacyjną wydaje zakład, a pracownik, współpracownik lub kierowca potwierdza podpisem, że się z nią zapoznał. TonMiro Systems nie jest stroną żadnego z tych druków — relację między zakładem a nami reguluje umowa powierzenia przetwarzania danych osobowych.

Załącznik A — wykaz podprocesorów

Systemem zarządzają wyłącznie pracownicy Podmiotu przetwarzającego oraz jego stali współpracownicy zatrudnieni na podstawie umów cywilnoprawnych. Osoby fizyczne działające pod bezpośrednim kierownictwem Podmiotu przetwarzającego, na podstawie indywidualnego upoważnienia do przetwarzania danych i zobowiązania do zachowania poufności (§ 4 pkt 3–4), nie są podprocesorami w rozumieniu art. 28 ust. 2 RODO — niezależnie od podstawy zatrudnienia lub współpracy. Jeżeli natomiast współpracownik działa jako odrębny podmiot świadczący usługę i przetwarza dane powierzone w imieniu Podmiotu przetwarzającego poza jego bezpośrednim kierownictwem, jest kwalifikowany jako podprocesor i ujmowany w powyższym wykazie na zasadach z § 6. Biuro rachunkowe Podmiotu przetwarzającego nie ma dostępu do danych powierzonych (otrzymuje wyłącznie dane rozliczeniowe Administratora jako kontrahenta).

Załącznik B — środki techniczne i organizacyjne

Kontrola dostępu

• Uwierzytelnianie Użytkowników loginem i hasłem; hasła przechowywane wyłącznie jako skrót kryptograficzny z solą.
• Role i uprawnienia nadawane per moduł i per Użytkownik; zasada minimalnego dostępu.
• Sesja w podpisanym ciasteczku HttpOnly/Secure; automatyczne wygaszanie sesji.
• Dostęp administracyjny do serwerów wyłącznie kluczami SSH, z ograniczonej liczby stanowisk; dostęp do panelu hostingu chroniony hasłem.
• Standardowo uwierzytelnianie Użytkowników jest jednoskładnikowe (login i hasło). Na wyraźne życzenie Administratora, potwierdzone w formie dokumentowej, Podmiot przetwarzający włącza dla Użytkowników Administratora drugi składnik: potwierdzenie logowania z nowego, nieznanego urządzenia kodem przesłanym na adres e-mail Użytkownika (urządzenie zaufane zapamiętywane na 180 dni). Podmiot przetwarzający może wymagać włączenia drugiego składnika dla kont uprzywilejowanych lub gdy jest to uzasadnione oceną ryzyka; Administrator współdziała w stosowaniu środków bezpieczeństwa adekwatnych do ryzyka.

Ochrona transmisji i przechowywania

• Szyfrowanie transmisji TLS (HTTPS) na całej stronie i w Systemie; przekierowanie HTTP → HTTPS.
• Serwery w centrum danych w Polsce, u dostawcy z zabezpieczeniami fizycznymi (kontrola dostępu, monitoring, zasilanie awaryjne).
• Separacja logiczna danych klientów: System pracuje na jednej bazie danych, w której każdy rekord jest przypisany do konkretnego Administratora (identyfikator zakładu); każde zapytanie, widok i eksport są filtrowane po tym identyfikatorze, a Użytkownik jednego Administratora nie ma technicznej możliwości odczytu ani modyfikacji danych innego. Kopie zapasowe obejmują całą bazę; przywrócenie danych pojedynczego Administratora jest możliwe po identyfikatorze.

Ciągłość działania

• Kopie zapasowe: przyrostowe codziennie, pełne raz w tygodniu; przechowywane poza serwerem produkcyjnym i okresowo na nośnikach zewnętrznych poza infrastrukturą hostingu.
• Procedura przywracania po awarii; przywrócenie zwykle tego samego dnia, najpóźniej następnego Dnia roboczego; okresowe testy odtworzenia.
• Monitorowanie dostępności usług i automatyczne wznawianie procesów.

Bezpieczeństwo oprogramowania

• Aktualizacje środowiska i bibliotek; testy zmian przed wdrożeniem; kopie plików przed każdą aktualizacją produkcji.
• Walidacja danych wejściowych, ochrona przed dostępem do plików poza dozwolonym katalogiem, ograniczenia uprawnień per rola.
• Logowanie zdarzeń dostępu i zmian; przegląd logów w razie incydentu.

Organizacja

• Osoba odpowiedzialna za bezpieczeństwo informacji i zgodność z RODO w zespole.
• Upoważnienia do przetwarzania i zobowiązania do poufności dla osób mających dostęp do danych.
• Procedura zgłaszania i obsługi naruszeń (24 h do Administratora, 72 h do organu przez Administratora).
• Zasada usuwania danych po zakończeniu umowy zgodnie z § 11.