Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu · wersja z dnia 8 listopada 2026

Umowa zostaje zawarta między Usługobiorcą — warsztatem, który założył Konto w serwisie AutoKajet (dalej: „Administrator”), a [nazwa operatora], [adres operatora], NIP [NIP] (dalej: „Przetwarzający”), z chwilą akceptacji Regulaminu, na podstawie art. 28 rozporządzenia (UE) 2016/679 (RODO). Pojęcia nieopisane w umowie mają znaczenie nadane im w Regulaminie i w RODO.

§ 1. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych wprowadzanych do Konta wyłącznie w celu świadczenia usług opisanych w Regulaminie: prowadzenia zleceń, historii pojazdów i magazynu opon, udostępniania Strony statusu Klientom Administratora, odczytu danych pojazdu ze zdjęć i dokumentów oraz wysyłki wiadomości do Klientów Administratora.
2. Przetwarzanie obejmuje: zbieranie przez formularze Serwisu, zapisywanie, przechowywanie, porządkowanie, wyświetlanie, udostępnianie Klientom Administratora pod indywidualnym linkiem, przesyłanie wiadomości, usuwanie.

§ 2. Rodzaj danych i kategorie osób

1. Kategorie osób: Klienci Administratora (właściciele i użytkownicy pojazdów) oraz osoby przypadkowo widoczne na zdjęciach wykonanych przez Administratora.
2. Rodzaje danych: numer telefonu, język kontaktu, informacja o zgodzie na wiadomości SMS, numer rejestracyjny, numer VIN, marka, model i rok produkcji pojazdu, przebieg, opis usterki i wykonanych prac, notatki, terminy, zdjęcia pojazdu, części i opon, propozycje dodatkowych prac i decyzje Klienta wraz z datą, dane przechowywanych kompletów opon, treść i status wysłanych wiadomości.
3. Przetwarzający nie przetwarza w Serwisie imion, nazwisk ani adresów Klientów Administratora. Dane osobowe zawarte w kodzie dowodu rejestracyjnego (imiona, nazwiska, adresy, numery PESEL) są odrzucane w chwili odczytu i nie są zapisywane. Zdjęcia numerów rejestracyjnych i VIN przesyłane do odczytu nie są zapisywane.
4. Administrator nie wprowadza do Serwisu danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO).

§ 3. Czas trwania

Umowa obowiązuje przez czas świadczenia usług na podstawie Regulaminu i wygasa wraz z rozwiązaniem umowy o świadczenie usług, z zastrzeżeniem § 9.

§ 4. Obowiązki Przetwarzającego

1. Przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest w szczególności korzystanie przez Administratora z funkcji Serwisu oraz niniejsza umowa. Jeżeli polecenie narusza w ocenie Przetwarzającego przepisy o ochronie danych, Przetwarzający niezwłocznie informuje o tym Administratora.
2. Przetwarzający zapewnia, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania ich w tajemnicy.
3. Przetwarzający stosuje środki zabezpieczające, o których mowa w art. 32 RODO, opisane w Załączniku A.
4. Przetwarzający, uwzględniając charakter przetwarzania, pomaga Administratorowi w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przeniesienie, sprzeciw), w szczególności przez funkcje Serwisu umożliwiające podgląd, poprawianie i usuwanie danych, a w pozostałym zakresie — na wniosek przesłany e-mailem.
5. Przetwarzający pomaga Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, w tym przekazuje informacje potrzebne do oceny skutków dla ochrony danych, jeżeli Administrator jej dokonuje.
6. Przetwarzający prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO.

§ 5. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na dalsze powierzenie przetwarzania podmiotom wymienionym w Załączniku B oraz kolejnym podmiotom, o których Przetwarzający poinformuje w Serwisie lub e-mailem co najmniej 14 dni przed rozpoczęciem przez nie przetwarzania.
2. W tym terminie Administrator może zgłosić sprzeciw. Jeżeli strony nie dojdą do porozumienia, Administrator może rozwiązać umowę o świadczenie usług ze skutkiem natychmiastowym i otrzymać proporcjonalny zwrot opłaconego, niewykorzystanego Abonamentu.
3. Przetwarzający nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych nie mniejsze niż w niniejszej umowie i odpowiada wobec Administratora za ich działania.
4. Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie na podstawie mechanizmów przewidzianych w rozdziale V RODO (np. decyzji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych).

§ 6. Naruszenia ochrony danych

1. Przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail Konta.
2. Zgłoszenie zawiera, w miarę możliwości: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, możliwe konsekwencje oraz zastosowane lub proponowane środki zaradcze. Informacje, których nie da się przekazać od razu, Przetwarzający przekazuje niezwłocznie, gdy je uzyska.

§ 7. Kontrola

1. Przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO.
2. Administrator może przeprowadzić audyt lub inspekcję, po uprzedzeniu Przetwarzającego co najmniej 14 dni wcześniej, w dni robocze, w sposób niezakłócający działania Serwisu i z poszanowaniem poufności danych innych użytkowników Serwisu. W pierwszej kolejności Przetwarzający odpowiada na pytania przesłane na piśmie lub e-mailem.

§ 8. Odpowiedzialność

Strony odpowiadają za szkody wyrządzone niewykonaniem lub nienależytym wykonaniem umowy na zasadach określonych w RODO i w Regulaminie, w tym w § 8 Regulaminu, w zakresie, w jakim przepisy dopuszczają ograniczenie odpowiedzialności.

§ 9. Zakończenie przetwarzania

1. Po zakończeniu świadczenia usług Przetwarzający, zgodnie z decyzją Administratora zgłoszoną w terminie 30 dni, zwraca mu dane w formacie elektronicznym, a następnie usuwa je, w tym ich kopie, z zastrzeżeniem kopii zapasowych nadpisywanych w ciągu kolejnych 30 dni oraz przypadków, w których przepisy nakazują dalsze przechowywanie.
2. Linki do Strony statusu przestają działać 7 dni po wydaniu pojazdu.

§ 10. Postanowienia końcowe

Zmiany umowy następują w trybie przewidzianym dla zmian Regulaminu. W sprawach nieuregulowanych stosuje się Regulamin, RODO i przepisy prawa polskiego. W razie sprzeczności między umową a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma umowa.

Załącznik A. Środki bezpieczeństwa

• Szyfrowane połączenie (HTTPS/TLS) dla całego Serwisu, Strony statusu i Wizytówek; polityka bezpieczeństwa treści (CSP) w przeglądarce.
• Hasła przechowywane wyłącznie w postaci skrótu (bcrypt); ograniczenie liczby prób logowania i resetu hasła.
• Logiczne oddzielenie danych każdego Usługobiorcy, sprawdzane testami automatycznymi przy każdej zmianie oprogramowania (inny warsztat otrzymuje odpowiedź „nie znaleziono”).
• Panel operatora dostępny po haśle i kodzie jednorazowym (TOTP), z dziennikiem działań; panel nie wyświetla numerów rejestracyjnych, telefonów ani treści wiadomości Klientów.
• Minimalizacja danych: brak imion i nazwisk Klientów; odrzucanie danych osobowych z kodu dowodu rejestracyjnego; zdjęcia zmniejszane i pozbawiane metadanych (w tym lokalizacji GPS); zdjęcia numerów do odczytu nieprzechowywane.
• Zdjęcia w prywatnym magazynie obiektowym, udostępniane wyłącznie przez aplikację po sprawdzeniu uprawnień; Strona statusu pod losowym, trudnym do odgadnięcia linkiem, nieindeksowanym przez wyszukiwarki, wygasającym po wydaniu pojazdu.
• Serwery w Unii Europejskiej; dostęp administracyjny do serwerów wyłącznie dla upoważnionych osób, przez szyfrowane połączenie z uwierzytelnieniem kluczem.
• Kopie zapasowe bazy danych i procedura odtworzenia; aktualizacje bezpieczeństwa systemu i bibliotek.
• Logi serwera przechowywane do 30 dni.

Załącznik B. Dalsze podmioty przetwarzające

Wiadomości SMS wychodzą przede wszystkim z karty SIM Przetwarzającego, w telefonie połączonym z bramką na serwerze Przetwarzającego. Operatorzy sieci komórkowych przekazują wiadomości jako odrębni administratorzy, na podstawie przepisów prawa komunikacji elektronicznej, i nie są dalszymi podmiotami przetwarzającymi.