Umowa powierzenia przetwarzania danych osobowych

1. Czym jest ten dokument i kiedy ma zastosowanie

Niniejsza Umowa powierzenia przetwarzania danych osobowych („UPPD”) stanowi część naszego Regulaminu świadczenia usług i ma zastosowanie zawsze wtedy, gdy korzystają Państwo z MoverTrack do przetwarzania danych osobowych innych osób — przede wszystkim Państwa klientów.

Istnieje dlatego, że prawo ochrony danych osobowych wymaga pisemnej umowy pomiędzy administratorem a podmiotem przetwarzającym, oraz dlatego, że powinni Państwo móc dokładnie zobaczyć, co robimy z danymi Państwa klientów.

2. Kto jest kim

Państwo są administratorem. To Państwo decydują, których klientów wprowadzić, co o nich zapisać i kto otrzyma link do śledzenia. To Państwa klienci, nie nasi.

My jesteśmy Państwa podmiotem przetwarzającym. Przechowujemy i przesyłamy te dane po to, by świadczyć dla Państwa Usługę, i w żadnym własnym celu. Nie sprzedajemy ich, nie kierujemy działań marketingowych do Państwa klientów i nie wykorzystujemy ich do trenowania czegokolwiek. Informacje, które zostały zanonimizowane i połączone w taki sposób, że nie można już na ich podstawie zidentyfikować żadnej osoby, nie są już danymi osobowymi, i możemy je wykorzystywać do prowadzenia, mierzenia i usprawniania Usługi.

Odrębnie jesteśmy administratorem we własnym zakresie w odniesieniu do danych dotyczących Państwa — Państwa konta, Państwa logowania, Państwa rozliczeń. Reguluje to nasza Polityka prywatności, a nie niniejsza UPPD.

3. Co przetwarzamy dla Państwa

Przedmiot i cel: świadczenie usługi MoverTrack — harmonogramy, zamówienia, strony śledzenia dla klientów, wysyłanie wiadomości, zarządzanie zespołem oraz, jeżeli Państwa plan to obejmuje, przekształcanie czatów WhatsApp w sugerowane zlecenia.

Czas trwania: przez okres aktywności Państwa konta oraz przez okresy przechowywania wskazane w punkcie 10.

Kategorie osób, których dane dotyczą: Państwa klienci, osoby wskazane przez nich jako kontakty oraz Państwa pracownicy.

Kategorie danych osobowych:

• imiona i nazwiska, numery telefonów oraz adresy e-mail Państwa klientów;
• adresy każdego zlecenia oraz wszelkie notatki dodane przez Państwa do zlecenia;
• szczegóły zamówień, ceny i historia zleceń;
• zdjęcia i pliki przesłane do zlecenia przez Państwa lub Państwa pracowników;
• lokalizacja pojazdu w czasie, gdy śledzenie jest włączone, oraz wynikająca z niej trasa i szacowany czas przyjazdu;
• wiadomości WhatsApp wysłane lub odebrane za pośrednictwem Usługi — w przypadku każdej wiadomości: kto ją wysłał, kiedy, jakiego była rodzaju i jaki jest status jej doręczenia (przechowywany po to, aby wiadomości mogły być wysyłane wyłącznie wtedy, gdy pozwala na to WhatsApp, w ramach jego 24-godzinnego okna obsługi klienta), a także jej treść (tekst, zdjęcia, nagrania głosowe i pliki) w zakresie, w jakim przechowuje ją wybrany przez Państwa sposób pracy;
• imiona i nazwiska Państwa pracowników, ich numery telefonów oraz przydzielone im zlecenia.

Wybór sposobu pracy w aplikacji stanowi Państwa polecenie dla nas co do tego, co mamy przechowywać z Państwa czatów WhatsApp. Gdy wybiorą Państwo sposób pracy, w którym przechowuje się mniej, gdy Państwa plan nie obejmuje już tego, który Państwo mieli, albo gdy usuną Państwo swój numer z Usługi, usuwamy z Usługi to, czego Usługa nie przechowuje już z wiadomości Państwa klientów; same czaty pozostają w WhatsApp.

Nie prosimy o dane szczególnych kategorii — dotyczące zdrowia, przekonań, danych biometrycznych i tym podobnych — i nie chcemy ich otrzymywać. Prosimy nie umieszczać ich w notatce do zlecenia.

4. Działamy wyłącznie na Państwa polecenie

Przetwarzamy te dane wyłącznie w zakresie niezbędnym do świadczenia Usługi, zgodnie z Regulaminem oraz zgodnie z wszelkimi dalszymi udokumentowanymi poleceniami, które nam Państwo przekażą. Jeżeli kiedykolwiek uznamy, że polecenie narusza prawo ochrony danych osobowych, poinformujemy o tym Państwa, zamiast po cichu je wykonać.

Jeżeli prawo zobowiąże nas do przetwarzania lub ujawnienia danych wykraczającego poza Państwa polecenia, uprzedzimy o tym Państwa, chyba że prawo nam tego zabrania.

5. Poufność

Dostęp mają wyłącznie osoby, którym jest on niezbędny do prowadzenia lub wspierania Usługi, i są one związane obowiązkiem zachowania poufności. MoverTrack prowadzony jest przez bardzo mały zespół; dostęp jest odpowiednio wąski.

6. Bezpieczeństwo (Annex II — środki techniczne i organizacyjne)

Utrzymujemy środki odpowiednie do ryzyka, w tym:

• szyfrowanie w trakcie przesyłania (TLS) dla wszystkich połączeń z naszymi serwerami, aplikacjami i bazami danych;
• szyfrowanie w spoczynku dla bazy danych i kopii zapasowych;
• reguły dostępu na poziomie wiersza w bazie danych, dzięki którym jedno konto nie może odczytać danych innego, a na naszych własnych serwerach — sprawdzanie zalogowanego konta i tego, co może ono widzieć, przy każdym żądaniu, na które serwery te odpowiadają;
• uwierzytelnianie przy każdym żądaniu sięgającym danych klientów oraz ograniczenie funkcji administracyjnych do imiennych kont operatorskich;
• numer telefonu klienta trafia do osób, które dla Państwa pracują, wyłącznie wtedy, gdy Państwo na to pozwolą, a czat — wyłącznie wtedy, gdy udzielą im Państwo do niego dostępu;
• hosting u uznanych dostawców infrastruktury (zob. punkt 7);
• regularny przegląd tego, kto i co może sięgnąć danych produkcyjnych.

Są to środki techniczne i organizacyjne, o których mowa w Annex II do standardowych klauzul umownych włączonych na podstawie punktu 11. Możemy je zmieniać, jednak nie w sposób istotnie obniżający ogólny poziom bezpieczeństwa.

Żaden system nie jest doskonale bezpieczny i nie twierdzimy inaczej.

7. Podmioty podprzetwarzające

Korzystamy z następujących podmiotów podprzetwarzających. Każdy z nich jest związany pisemnymi warunkami ochrony danych, zgodnie z wymogami prawa, a my pozostajemy wobec Państwa odpowiedzialni za ich działania:

• Supabase — baza danych, uwierzytelnianie i przechowywanie plików (UE, region Frankfurt)
• Vultr — serwery aplikacyjne obsługujące śledzenie i wiadomości (UE, Frankfurt)
• Vercel — hosting naszych serwisów internetowych i stron śledzenia dla klientów
• Google — mapy, geokodowanie, wyznaczanie tras i obliczanie odległości; odczytywanie tekstu czatu lub wiadomości w celu uzupełnienia zlecenia, gdy Państwo o to poproszą,; nasza poczta e-mail
• Meta Platforms — wiadomości WhatsApp Business
• Stripe — obsługa płatności (Państwa dane rozliczeniowe; nie dane Państwa klientów)
• Resend — poczta transakcyjna i rozliczeniowa
• Telnyx — telefonia i identyfikacja numeru dzwoniącego, jeżeli korzystają Państwo z tych funkcji
• Apple i Google — dostarczanie powiadomień push na Państwa urządzenia oraz urządzenia osób, które dla Państwa pracują
• Expo — przekazywanie powiadomień push do Apple i Google; powiadomienie może zawierać imię i nazwisko lub numer klienta oraz tekst jego wiadomości

Niniejsza lista stanowi Annex III do standardowych klauzul umownych włączonych na podstawie punktu 11. Udzielają Państwo ogólnej autoryzacji tym podmiotom podprzetwarzającym oraz upoważniają nas do powoływania kolejnych na tych samych warunkach.

Przed dodaniem lub zmianą podmiotu podprzetwarzającego powiadomimy Państwa z wyprzedzeniem co najmniej 30 dni. W tym terminie mogą Państwo zgłosić sprzeciw z uzasadnionych i udokumentowanych przyczyn związanych z ochroną danych. Jeżeli Państwo to uczynią, postaramy się zaproponować rozwiązanie uwzględniające sprzeciw; jeżeli nie będzie to możliwe na komercyjnie uzasadnionych warunkach, każda ze stron może wypowiedzieć objętą tym część Usługi, a Państwa jedynym roszczeniem jest zwrot opłat już uiszczonych za niewykorzystaną pozostałą część okresu. Zgłoszenie sprzeciwu nie wstrzymuje powołania podmiotu na czas prowadzonych rozmów.

8. Pomoc w realizacji praw Państwa klientów

Jeżeli jeden z Państwa klientów zwróci się do Państwa o kopię swoich danych, o ich sprostowanie albo o ich usunięcie, na żądanie to odpowiadają Państwo — ale my pomożemy.

Większość z tych czynności mogą Państwo wykonać samodzielnie w Usłudze. Tam, gdzie nie jest to możliwe, prosimy o wiadomość na adres info@movertrack.com, a my udzielimy pomocy w terminie pozwalającym Państwu dotrzymać własnego. Jeżeli klient skontaktuje się z nami bezpośrednio, nie odpowiemy w Państwa imieniu; przekażemy sprawę Państwu.

9. Jeżeli coś pójdzie nie tak

Jeżeli dowiemy się o naruszeniu dotyczącym danych osobowych, które przetwarzamy dla Państwa, poinformujemy Państwa bez zbędnej zwłoki, przekazując to, co wiemy: co się stało, kogo i czego to dotyczy — w zakresie, w jakim jesteśmy w stanie to ustalić — co w tej sprawie robimy oraz co proponujemy, aby Państwo zrobili.

Udzielimy również rozsądnej pomocy przy każdej ocenie lub zgłoszeniu do organu nadzorczego, którego muszą Państwo dokonać, a także przy ocenie skutków dla ochrony danych, jeżeli będzie potrzebna.

10. Usunięcie i zwrot danych

Mogą Państwo eksportować swoje dane w każdej chwili, gdy konto jest aktywne. Samodzielne usunięcie konta w aplikacji jest Państwa wyborem usunięcia: wszystko zostaje natychmiast usunięte, dlatego najpierw należy wyeksportować to, co potrzebne. Jeżeli konto zakończy się w inny sposób, eksport jest nadal możliwy przez 30 dni po jego zakończeniu.

Z chwilą zakończenia świadczenia Usługi to Państwo decydują, czy zwrócimy Państwa dane, czy je usuniemy. Prosimy poinformować nas o tym w ciągu tych 30 dni. W braku informacji z Państwa strony usuwamy dane.

Po tym czasie usuwamy lub anonimizujemy przechowywane dla Państwa dane osobowe, z wyjątkiem przypadków, w których prawo wymaga od nas zachowania określonych danych — na przykład zapisów transakcji przechowywanych do celów podatkowych. Kopie zapasowe wygasają we własnym cyklu i są usuwane w ciągu 90 dni.

11. Przekazywanie danych do państw trzecich i standardowe klauzule umowne

Nasza baza danych i serwery aplikacyjne obsługujące klientów europejskich znajdują się w UE (Frankfurt). Niektóre podmioty podprzetwarzające wymienione w punkcie 7 mają siedzibę w Stanach Zjednoczonych, a sama MoverTrack, LLC jest spółką ze Stanów Zjednoczonych, więc część danych osobowych jest tam przekazywana.

W odniesieniu do tych przekazań strony zawierają standardowe klauzule umowne zatwierdzone przez Komisję Europejską w Implementing Decision (EU) 2021/914, które zostają włączone do niniejszej UPPD przez odesłanie i uzupełnione w następujący sposób:

• Zastosowanie ma Module Two (administrator – podmiot przetwarzający). Państwo są podmiotem przekazującym dane; MoverTrack, LLC jest podmiotem odbierającym dane.
• Zastosowanie ma Clause 7 (klauzula przystąpienia).
• Clause 9 — opcja 2, ogólna pisemna autoryzacja, z terminem powiadomienia 30 dni określonym w punkcie 7.
• Clause 11 — fakultatywne postanowienia o niezależnym organie rozstrzygania sporów nie mają zastosowania.
• Clause 17 — klauzule podlegają prawu Irlandii.
• Clause 18 — spory rozstrzygają sądy Irlandii.
• Annex I.A (strony) — Państwo, zidentyfikowani na podstawie swojego konta; MoverTrack, LLC, 1111B S Governors Ave STE 42337, Dover, DE 19904, United States, info@movertrack.com.
• Annex I.B (opis przekazania) — osoby, których dane dotyczą, kategorie danych, cele, częstotliwość (ciągła) i czas trwania określone w punkcie 3 niniejszej UPPD.
• Annex I.C (właściwy organ nadzorczy) — organ państwa członkowskiego EOG, w którym mają Państwo siedzibę albo w którym ma siedzibę Państwa przedstawiciel.
• Annex II (środki bezpieczeństwa) — punkt 6 niniejszej UPPD.
• Annex III (podmioty podprzetwarzające) — punkt 7 niniejszej UPPD.

W odniesieniu do przekazywania danych osobowych podlegających prawu ochrony danych Wielkiej Brytanii strony zawierają również UK International Data Transfer Addendum wydany na podstawie section 119A of the Data Protection Act 2018, przy czym powyższe klauzule stanowią zatwierdzone standardowe klauzule umowne (Approved SCCs), Table 1–3 wypełnia się przez odesłanie do Annex I powyżej, a Table 4 ustala się na neither party. W odniesieniu do przekazań podlegających prawu szwajcarskiemu odesłania do RODO odczytuje się jako odesłania do Swiss FADP, a właściwym organem jest FDPIC.

Jeżeli podmiot podprzetwarzający posiada certyfikację w ramach EU–US Data Privacy Framework, w odniesieniu do przekazań do tego podmiotu możemy opierać się na tej certyfikacji.

W razie sprzeczności pomiędzy klauzulami a niniejszą UPPD pierwszeństwo mają klauzule.

12. Audyt i informacje

Przekażemy Państwu informacje racjonalnie niezbędne do wykazania, że wypełniamy nasze obowiązki wynikające z niniejszej UPPD, oraz będziemy współuczestniczyć w audytach wymaganych przez prawo ochrony danych osobowych.

Ponieważ jesteśmy bardzo małym zespołem, oznacza to odpowiedzi na piśmie i udostępnienie dokumentacji zamiast inspekcji na miejscu. Jeżeli audyt jest rzeczywiście wymagany, może zostać przeprowadzony raz w dowolnym okresie dwunastu miesięcy (częściej wyłącznie wtedy, gdy zażąda tego organ nadzorczy lub po potwierdzonym naruszeniu dotyczącym Państwa danych), za trzydziestodniowym pisemnym powiadomieniem, w godzinach pracy, bez zakłócania Usługi, przez osobę niebędącą naszym konkurentem, z zachowaniem poufności i na Państwa koszt.

13. Odpowiedzialność pomiędzy nami

Zapewniają Państwo, że posiadają podstawę prawną dla każdej informacji stanowiącej dane osobowe wprowadzanej do Usługi, że przekazali swoim klientom informacje wymagane przez właściwe dla nich przepisy, że wydawane nam polecenia są zgodne z prawem oraz że nie będą przesyłać nam danych szczególnych kategorii.

Zwolnią nas Państwo z odpowiedzialności z tytułu roszczeń, kar pieniężnych i uzasadnionych kosztów wynikających z naruszenia tego zapewnienia, z Państwa poleceń albo z roszczenia jednego z Państwa klientów, które dotyczy Państwa własnych działań lub zaniechań, a nie naszych.

Odpowiedzialność każdej ze stron na podstawie niniejszej UPPD podlega ograniczeniom i wyłączeniom określonym w punkcie 18 Regulaminu świadczenia usług, a ograniczenia te stosuje się łącznie do wszystkich roszczeń z niniejszej UPPD oraz wszystkich roszczeń z Regulaminu. Żadne postanowienie niniejszego dokumentu nie ogranicza praw osoby, której dane dotyczą, wobec którejkolwiek ze stron na podstawie standardowych klauzul umownych ani właściwych przepisów prawa.

Jeżeli organ nadzorczy lub sąd uzna nas za współodpowiedzialnych za skutki wywołane Państwa poleceniami lub Państwa naruszeniem, zwrócą nam Państwo część przypadającą na Państwa.

14. Pierwszeństwo i kontakt

W razie sprzeczności pomiędzy niniejszą UPPD a Regulaminem świadczenia usług w zakresie przetwarzania danych osobowych pierwszeństwo ma niniejsza UPPD.

MoverTrack, LLC
1111B S Governors Ave STE 42337, Dover, DE 19904, United States
E-mail: info@movertrack.com