1. Сторони та ролі
Бізнес-клієнт є контролером даних своїх водіїв, працівників і підрядників. KP Solutions Krzysztof Piszczek, NIP 9261465949, є обробником («Обробник»). Клієнт заявляє, що має право доручити обробку даних, і надає користувачам необхідну інформацію.
2. Предмет, строк, характер і мета
Обробник отримує, фіксує, впорядковує, зберігає, пов’язує з обліковим записом і автомобілем, геокодує, аналізує відрізки, відображає, класифікує відповідно до дій уповноваженого користувача, формує звіти, створює копії, діагностує та видаляє дані для надання функцій обліку поїздок і керування автопарком. Доручення діє від активації облікового запису до видалення або повернення даних після завершення послуги з урахуванням звичайного 14-денного циклу резервних копій.
3. Особи та дані
Особи: адміністратори клієнта, водії, працівники та підрядники, які користуються автомобілями. Дані: ім’я та прізвище, службова електронна пошта, ролі, призначення, автомобіль і номерний знак, профіль ПДВ автомобіля, службовий або приватний характер, одометр, дати, час, цілі, маршрути, координати, зупинки, відстані, швидкості, примітки, ідентифікатори облікових записів і технічні журнали застосунку. Послуга не призначена для навмисного внесення особливих категорій даних за статтею 9 GDPR або даних про судимості.
4. Документовані вказівки
Обробник діє лише за документованими вказівками, що випливають із договору, налаштувань облікового запису, дій уповноважених користувачів і звернень клієнта, зокрема щодо передачі даних. Якщо закон вимагає іншої обробки, Обробник повідомляє клієнта до її початку, якщо це не заборонено законом. Про вказівку, що порушує норми, Обробник повідомляє негайно та може призупинити її виконання.
Формування звіту та передавання його застосунку, вибраному адміністратором, є вказівкою клієнта. Клієнт відповідає за уповноваження одержувача, належний канал подальшого передавання та правила обробки копії поза сервісом.
5. Конфіденційність і персонал
Доступ мають лише уповноважені особи в обсязі, потрібному для їхніх обов’язків, і пов’язані законним або договірним обов’язком конфіденційності. Права надаються за ролями, періодично перевіряються та скасовуються, коли потреба в доступі зникає.
6. Безпека
- HTTPS/TLS для передавання, хешування паролів і токени застосунку;
- авторизація за компанією, роллю та призначенням, ізоляція організацій у кабінеті й API;
- обмежений адміністративний доступ, оновлення, реєстрація подій і діагностика;
- щоденна копія бази, щотижнева копія коду, перевірка доступності місця резервних копій і зберігання протягом 14 днів;
- зберігання точок GPS до 3 місяців відносно найновішої телеметрії автомобіля, негайне видалення точок і адрес після затвердження поїздки як приватної та зберігання мобільних журналів до 90 днів;
- процедури відновлення, реагування на інциденти та періодична оцінка ефективності захисту.
Заходи можуть удосконалюватися, якщо загальний рівень захисту не знижується. Обробник враховує сучасні знання, витрати, характер даних і ризики для осіб.
7. Субобробники
Клієнт надає загальний дозвіл на субобробників, потрібних для послуги. Поточні категорії та постачальники доручених даних: VPS-інфраструктура — OVHcloud; транзакційна пошта — SEOHOST; карти й геокодування — Geoapify. Сховище резервних копій залишається під контролем Обробника. 360 Księgowość і Paynow обробляють розрахункові дані клієнта та не отримують доручених даних поїздок або GPS.
Обробник повідомляє адміністратора електронною поштою про заплановане додавання або заміну субобробника щонайменше за 14 днів. У цей строк клієнт може подати обґрунтоване заперечення щодо захисту даних. Сторони шукають рішення; якщо воно неможливе, клієнт може припинити частину послуги, яка потребує цього субобробника, до зміни. Субобробник отримує обов’язки з не нижчим рівнем захисту, ніж за цією угодою, а Обробник відповідає за їх виконання відповідно до статті 28 GDPR.
8. Передача даних
Обробник не передає доручених даних за межі ЄЕЗ без законного механізму та документованої вказівки. До такої передачі він повідомляє клієнта про одержувача, країну й підставу та надає інформацію про гарантії, якщо закон або безпека не обмежують її розкриття.
9. Допомога клієнтові
З урахуванням характеру обробки й доступної інформації Обробник допомагає реалізувати права осіб та обов’язки за статтями 32–36 GDPR, зокрема оцінювання ризиків, повідомлення про порушення, оцінювання впливу та консультації. Запит водія щодо доручених даних передається клієнтові, якщо клієнт не вказав іншого.
Клієнт відповідає за законність вказівок щодо моніторингу, інформування водіїв, правила приватного користування та невикористання відстеження понад необхідне для визначеної мети. Позначення приватної поїздки й видалення її детальної геолокації підтримують мінімізацію даних, але не замінюють оцінювання правової підстави або обов’язків клієнта.
10. Порушення захисту даних
Обробник повідомляє клієнта про підтверджене порушення захисту доручених даних без невиправданої затримки після його виявлення. У міру отримання інформації він надає опис характеру й обсягу, категорій осіб і даних, можливих наслідків, вжитих або запропонованих заходів та робочий контакт. Інформація може доповнюватися поетапно. Повідомлення не визначає вину чи обов’язок клієнта повідомити орган нагляду.
11. Завершення, повернення та видалення
За вибором клієнта після завершення послуги Обробник надає доступний експорт у загальновживаному форматі й видаляє дані або видаляє їх без попереднього експорту. Вказівка на видалення потребує захищеного підтвердження. Активні дані видаляються без невиправданої затримки, а резервні копії — не пізніше ніж через 14 днів. Обов’язок видалення не поширюється на дані, які Обробник як окремий контролер повинен зберігати за законом.
12. Інформація та аудит
Обробник надає інформацію, потрібну для підтвердження відповідності. Клієнт може провести аудит самостійно або через незалежного аудитора, зобов’язаного зберігати конфіденційність, зазвичай не частіше одного разу на рік і з попередженням щонайменше за 14 днів. Обмеження не стосуються обґрунтованого аудиту після порушення або на вимогу органу. Аудит не повинен розкривати дані інших клієнтів чи послаблювати безпеку. Кожна сторона несе власні витрати, якщо аудит не виявить істотної невідповідності з боку Обробника.
13. Пріоритет і контакти
У питаннях дорученої обробки цей додаток має пріоритет над суперечливими положеннями умов послуги. В інших питаннях застосовуються умови та GDPR. Вказівки, запитання, заперечення щодо субобробника та повідомлення слід надсилати на admin@kilometrowkavat.pl.