Umowa powierzenia przetwarzania danych osobowych

Wersja 2026-10-08

Niniejsza umowa powierzenia przetwarzania danych osobowych („Umowa powierzenia”) zostaje zawarta między Klientem wskazanym w załączniku I, jako administratorem, a Sebastian Drożdż, nazwa handlowa: Special Services, jako podmiotem przetwarzającym („my”), który świadczy usługę TransferCRM. Stanowi ona część Regulaminu TransferCRM.

1. Klauzule

1.1 Strony przyjmują standardowe klauzule umowne określone w załączniku do decyzji wykonawczej Komisji (UE) 2021/915, przytoczone poniżej bez zmian („Klauzule”). Uzupełniają je załączniki I–IV poniżej.

1.2 Tam, gdzie Klauzule przewidują wybór, Strony wybrały: w klauzuli 1 lit. a) art. 28 ust. 3 i 4 rozporządzenia (UE) 2016/679 (wariant 1); klauzula 5 (klauzula przystąpienia) jest stosowana; w klauzuli 7.7 lit. a) ogólną pisemną zgodę (wariant 2), przy czym zmiany są zgłaszane co najmniej 30 dni wcześniej.

1.3 Jeżeli postanowienia Regulaminu lub innej umowy między Stronami są sprzeczne z Klauzulami, pierwszeństwo mają Klauzule (klauzula 4).

2. Zmiany podmiotów podprzetwarzających

2.1 O każdym zamierzonym dodaniu lub zastąpieniu podmiotu podprzetwarzającego informujemy Klienta co najmniej 30 dni przed wejściem zmiany w życie, wiadomością e-mail do właściciela i administratorów konta oraz komunikatem na koncie. Nie korzystamy z usług nowego podmiotu podprzetwarzającego przed tą datą.

2.2 Klient może wnieść sprzeciw wobec zmiany, na koncie lub wiadomością e-mail na adres privacy@transfercrm.com. Jeżeli sprzeciw jest oparty na uzasadnionych przyczynach dotyczących ochrony danych, a Strony nie dojdą do porozumienia przed wejściem zmiany w życie, Klient może rozwiązać umowę zawartą na podstawie Regulaminu bez żadnych kar, ze skutkiem najpóźniej na ten dzień. Opłaty uiszczone z góry za okres po rozwiązaniu umowy zwracamy proporcjonalnie.

3. Zwrot i usunięcie danych (klauzula 10 lit. d))

3.1 Klient może w każdej chwili wyeksportować swoje dane za pomocą eksportów dostępnych na koncie. Na żądanie przesłane na adres privacy@transfercrm.com przekazujemy pełny eksport danych Klienta w ciągu 30 dni.

3.2 Gdy Klient usuwa konto, jego dane osobowe są usuwane z usługi 30 dni po złożeniu żądania. Ich kopie pozostają w naszych kopiach zapasowych do czasu ich nadpisania, najpóźniej 12 miesięcy po usunięciu (załącznik III); do tego czasu Klauzule nadal mają do nich zastosowanie. Kopie zapasowe są przechowywane wyłącznie w celu odtworzenia usługi po awarii i nie są wykorzystywane w żadnym innym celu. Jeżeli kopia zapasowa zostanie kiedykolwiek odtworzona, usunięcia dokonane od chwili jej sporządzenia są przeprowadzane ponownie, zanim odtworzona usługa zostanie użyta. Usunięcie potwierdzamy wiadomością e-mail do właściciela, który złożył żądanie, podając datę usunięcia oraz datę, do której wygasną kopie zapasowe.

4. Przystąpienie kolejnych podmiotów (klauzula 5)

Kolejny podmiot prawny może przystąpić do Klauzul na podstawie klauzuli 5, składając datowany pisemny wniosek na adres privacy@transfercrm.com, przyjęty na piśmie przez obie Strony. Przystępujący podmiot podaje swoje dane do załącznika I. Przystąpienie odnotowujemy i potwierdzamy wiadomością e-mail.

5. Czas obowiązywania

Niniejsza Umowa powierzenia obowiązuje tak długo, jak istnieje konto Klienta, a następnie do czasu usunięcia danych osobowych Klienta zgodnie z klauzulą 10 lit. d) i pkt 3.

6. Prawo właściwe i sąd

Niniejsza Umowa powierzenia podlega prawu Rzeczypospolitej Polskiej i Unii Europejskiej. Wszelkie spory będą rozstrzygane przez właściwy sąd w Krakowie, Polska, tak jak w Regulaminie. Nie narusza to praw osób, których dane dotyczą, ani uprawnień organów nadzorczych.

7. Zawarcie w formie elektronicznej

Niniejsza Umowa powierzenia zostaje zawarta w formie elektronicznej (art. 28 ust. 9 rozporządzenia (UE) 2016/679) z chwilą jej zaakceptowania na koncie przez właściciela konta Klienta. Przechowujemy zapis zaakceptowanej wersji i języka, osoby akceptującej oraz czasu akceptacji. Plik PDF zaakceptowanego tekstu z potwierdzeniem zawarcia można pobrać na koncie. Wiążąca jest zaakceptowana wersja językowa.

Standardowe klauzule umowne

SEKCJA I

Klauzula 1 — Cel i zakres

a) Celem niniejszych standardowych klauzul umownych („klauzule”) jest zapewnienie przestrzegania art. 28 ust. 3 i 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

b) Administratorzy i podmioty przetwarzające wymienieni w załączniku I uzgodnili niniejsze klauzule w celu zapewnienia przestrzegania art. 28 ust. 3 i 4 rozporządzenia (UE) 2016/679 lub art. 29 ust. 3 i 4 rozporządzenia (UE) 2018/1725.

c) Niniejsze klauzule mają zastosowanie do przetwarzania danych osobowych określonego w załączniku II.

d) Załączniki I–IV stanowią integralną część klauzul.

e) Niniejsze klauzule pozostają bez uszczerbku dla obowiązków, którym podlega administrator danych na mocy rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725.

f) Niniejsze klauzule same w sobie nie zapewniają wypełnienia obowiązków związanych z międzynarodowym przekazywaniem danych zgodnie z rozdziałem V rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725.

Klauzula 2 — Niezmienność klauzul

a) Strony zobowiązują się nie zmieniać klauzul z wyjątkiem dodawania informacji do załączników lub aktualizowania zawartych w nich informacji.

b) Postanowienie to nie uniemożliwia stronom umieszczania standardowych klauzul umownych określonych w niniejszych klauzulach w treści umowy o szerszym zakresie ani dodawania innych klauzul lub dodatkowych zabezpieczeń, pod warunkiem że nie będą one bezpośrednio lub pośrednio sprzeczne z klauzulami umownymi ani nie będą naruszały podstawowych praw lub wolności osób, których dane dotyczą.

Klauzula 3 — Wykładnia

a) Jeżeli w niniejszych klauzulach użyto terminów zdefiniowanych odpowiednio w rozporządzeniu (UE) 2016/679 lub rozporządzeniu (UE) 2018/1725, terminy te mają takie samo znaczenie jak w tych rozporządzeniach.

b) Niniejsze klauzule odczytuje się i interpretuje w świetle odpowiednio przepisów rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725.

c) Niniejszych klauzul nie interpretuje się w sposób sprzeczny z prawami i obowiązkami przewidzianymi w rozporządzeniu (UE) 2016/679 lub rozporządzeniu (UE) 2018/1725 ani w sposób naruszający podstawowe prawa lub wolności osób, których dane dotyczą.

Klauzula 4 — Hierarchia

W razie sprzeczności między niniejszymi klauzulami a postanowieniami powiązanych umów między stronami istniejących w chwili uzgadniania niniejszych klauzul lub zawartych po ich uzgodnieniu, pierwszeństwo mają niniejsze klauzule.

Klauzula 5 – fakultatywna — Klauzula przystąpienia

a) Każdy podmiot niebędący stroną niniejszych klauzul może za zgodą wszystkich stron przystąpić do niniejszych klauzul jako administrator lub podmiot przetwarzający w dowolnym czasie, wypełniając załączniki i podpisując załącznik I.

b) Po wypełnieniu i podpisaniu załączników wymienionych w lit. a) podmiot przystępujący jest traktowany jako strona niniejszych klauzul i ma prawa i obowiązki administratora lub podmiotu przetwarzającego, zgodnie z rolą nadaną mu w załączniku I.

c) Przed przystąpieniem do niniejszych klauzul jako ich strona podmiot przystępujący nie ma żadnych praw ani obowiązków wynikających z niniejszych klauzul.

SEKCJA II — OBOWIĄZKI STRON

Klauzula 6 — Opis przetwarzania

Szczegóły dotyczące operacji przetwarzania, w szczególności kategorie danych osobowych i cele, dla których dane osobowe są przetwarzane w imieniu administratora, określono w załączniku II.

Klauzula 7 — Obowiązki stron

7.1. Polecenia

a) Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego, któremu podlega podmiot przetwarzający. W takim przypadku przed rozpoczęciem przetwarzania podmiot przetwarzający informuje administratora o tym obowiązku prawnym, o ile prawo nie zabrania udzielenia takiej informacji z uwagi na ważny interes publiczny. Administrator może wydawać kolejne polecenia przez cały okres przetwarzania danych osobowych. Polecenia te są zawsze dokumentowane.

b) Podmiot przetwarzający bezzwłocznie powiadamia administratora, jeżeli w opinii podmiotu przetwarzającego polecenie wydane przez administratora narusza rozporządzenie (UE) 2016/679 lub rozporządzenie (UE) 2018/1725 lub obowiązujące przepisy Unii lub państwa członkowskiego o ochronie danych.

7.2. Ograniczenie celu

Podmiot przetwarzający przetwarza dane osobowe wyłącznie w konkretnym celu lub celach przetwarzania, określonych w załączniku II, chyba że otrzyma dalsze polecenia od administratora.

7.3. Czas trwania przetwarzania danych osobowych

Przetwarzanie przez podmiot przetwarzający odbywa się wyłącznie przez okres określony w załączniku II.

7.4. Bezpieczeństwo przetwarzania

a) W celu zapewnienia bezpieczeństwa danych osobowych podmiot przetwarzający wdraża co najmniej środki techniczne i organizacyjne określone w załączniku III. Zapewnienie bezpieczeństwa danych obejmuje ochronę danych przed naruszeniem bezpieczeństwa prowadzącym do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych (naruszenie ochrony danych osobowych). Oceniając odpowiedni poziom bezpieczeństwa, strony należycie uwzględniają stan wiedzy technicznej, koszty wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz związane z tym ryzyko dla osób, których dane dotyczą.

b) Podmiot przetwarzający udziela członkom swojego personelu dostępu do danych osobowych podlegających przetwarzaniu jedynie w zakresie bezwzględnie niezbędnym do wykonania umowy, zarządzania nią i jej monitorowania. Podmiot przetwarzający zapewnia, by osoby upoważnione do przetwarzania otrzymanych danych osobowych zobowiązały się do zachowania poufności lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania poufności.

7.5. Dane wrażliwe

Jeżeli przetwarzanie obejmuje dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne lub dane biometryczne do celów jednoznacznego zidentyfikowania osoby fizycznej, dane dotyczące zdrowia, seksualności lub orientacji seksualnej danej osoby, bądź dane dotyczące wyroków skazujących i czynów zabronionych („dane wrażliwe”), podmiot przetwarzający stosuje szczególne ograniczenia lub dodatkowe zabezpieczenia.

7.6. Dokumentacja i zgodność

a) Strony są w stanie wykazać zgodność z niniejszymi klauzulami.

b) Podmiot przetwarzający niezwłocznie i odpowiednio rozpatruje zapytania administratora dotyczące przetwarzania danych zgodnie z niniejszymi klauzulami.

c) Podmiot przetwarzający udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków, które są określone w niniejszych klauzulach i wynikają bezpośrednio z rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725. Na wniosek administratora podmiot przetwarzający zezwala również na audyty czynności przetwarzania objętych niniejszymi klauzulami i uczestniczy w tych audytach. Audyty te przeprowadza się w rozsądnych odstępach czasu lub jeżeli istnieją przesłanki wskazujące na niezgodność. Podejmując decyzję w sprawie przeglądu lub audytu, administrator może wziąć pod uwagę odpowiednie certyfikaty, jakie ma podmiot przetwarzający.

d) Administrator może przeprowadzić audyt samodzielnie lub upoważnić do jego przeprowadzenia niezależnego audytora. Audyty mogą również obejmować inspekcje w pomieszczeniach lub obiektach fizycznych podmiotu przetwarzającego. Audyty te przeprowadza się, informując o nich, w stosownych przypadkach, z odpowiednim wyprzedzeniem.

e) Na wniosek właściwego(-ych) organu(-ów) nadzorczego(-ych) strony udostępniają mu (im) informacje, o których mowa w niniejszej klauzuli, w tym wyniki wszelkich audytów.

7.7. Korzystanie z usług podmiotów podprzetwarzających

a) Podmiot przetwarzający ma ogólną zgodę administratora na korzystanie z usług podmiotów podprzetwarzających wpisanych do uzgodnionego wykazu. Podmiot przetwarzający informuje administratora na piśmie o wszelkich zamierzonych zmianach w tym wykazie polegających na dodaniu lub zastąpieniu podmiotów podprzetwarzających z wyprzedzeniem co najmniej 30 dni, dając tym samym administratorowi wystarczająco dużo czasu na wyrażenie sprzeciwu wobec takich zmian przed rozpoczęciem korzystania z usług danego podmiotu podprzetwarzającego (podmiotów podprzetwarzających). Podmiot przetwarzający przekazuje administratorowi niezbędne informacje umożliwiające mu skorzystanie z prawa sprzeciwu.

b) Jeżeli podmiot przetwarzający korzysta z usług podmiotu podprzetwarzającego w celu przeprowadzenia określonych czynności przetwarzania (w imieniu administratora), dokonuje tego w drodze umowy, która nakłada na podmiot podprzetwarzający zasadniczo takie same obowiązki w zakresie ochrony danych jak obowiązki nałożone na podmiot przetwarzający dane zgodnie z niniejszymi klauzulami. Podmiot przetwarzający zapewnia, aby podmiot podprzetwarzający wypełniał obowiązki, którym podlega podmiot przetwarzający na mocy niniejszych klauzul oraz rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725.

c) Na wniosek administratora podmiot przetwarzający przekazuje administratorowi kopię umowy, jaką zawarł z podmiotem podprzetwarzającym, a w razie wprowadzenia zmian przekazuje administratorowi jej zaktualizowaną wersję. W zakresie niezbędnym do ochrony tajemnicy handlowej lub innych informacji poufnych, w tym danych osobowych, podmiot przetwarzający może utajnić tekst umowy przed jej udostępnieniem.

d) Podmiot przetwarzający pozostaje w pełni odpowiedzialny przed administratorem za wykonanie obowiązków podmiotu podprzetwarzającego zgodnie z jego umową z podmiotem przetwarzającym. Podmiot przetwarzający powiadamia administratora o każdym przypadku niewywiązania się przez podmiot podprzetwarzający z jego zobowiązań umownych.

e) Podmiot przetwarzający uzgadnia z podmiotem podprzetwarzającym klauzulę dotyczącą beneficjenta będącego osobą trzecią, zgodnie z którą to klauzulą – jeżeli podmiot przetwarzający przestanie istnieć faktycznie lub formalnie lub stanie się niewypłacalny – administrator ma prawo rozwiązać umowę z podmiotem podprzetwarzającym i nakazać mu usunięcie lub zwrot danych osobowych.

7.8. Międzynarodowe przekazywanie danych

a) Wszelkie przekazywanie danych do państwa trzeciego lub organizacji międzynarodowej przez podmiot przetwarzający odbywa się wyłącznie na udokumentowane polecenie administratora lub w celu spełnienia szczególnego wymogu na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega podmiot przetwarzający, i odbywa się zgodnie z rozdziałem V rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725.

b) Jeżeli zgodnie z klauzulą 7.7 podmiot przetwarzający korzysta z usług podmiotu podprzetwarzającego w celu przeprowadzenia określonych czynności przetwarzania (w imieniu administratora), które wiążą się z przekazywaniem danych osobowych w rozumieniu rozdziału V rozporządzenia (UE) 2016/679, administrator wyraża zgodę na to, by podmioty te mogły zapewnić zgodność z rozdziałem V rozporządzenia (UE) 2016/679 za pomocą standardowych klauzul umownych przyjętych przez Komisję zgodnie z art. 46 ust. 2 rozporządzenia (UE) 2016/679, pod warunkiem że spełnione są warunki stosowania tych standardowych klauzul umownych.

Klauzula 8 — Pomoc dla administratora

a) Podmiot przetwarzający niezwłocznie zawiadamia administratora o każdym wniosku otrzymanym od osoby, której dane dotyczą. Podmiot przetwarzający nie odpowiada na taki wniosek samodzielnie, chyba że administrator wyraził na to zgodę.

b) Podmiot przetwarzający pomaga administratorowi w wypełnianiu jego obowiązków dotyczących udzielania odpowiedzi na wnioski osób, których dane dotyczą, o skorzystanie z przysługujących im praw, z uwzględnieniem charakteru przetwarzania. Wypełniając swoje obowiązki zgodnie z lit. a) i b), podmiot przetwarzający stosuje się do poleceń administratora.

c) Oprócz spoczywającego na podmiocie przetwarzającym obowiązku pomagania administratorowi zgodnie z klauzulą 8 lit. b) podmiot przetwarzający pomaga mu ponadto w zapewnieniu wypełniania następujących obowiązków, z uwzględnieniem charakteru przetwarzania danych oraz informacji, którymi dysponuje podmiot przetwarzający:

1) obowiązek przeprowadzenia oceny wpływu planowanych operacji przetwarzania na ochronę danych osobowych („ocena skutków dla ochrony danych”), jeżeli dany rodzaj przetwarzania może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych;
2) obowiązek skonsultowania się z właściwym(-i) organem(-ami) nadzorczym(-i) przed rozpoczęciem przetwarzania, jeżeli ocena skutków dla ochrony danych wskaże, że przetwarzanie powodowałoby wysokie ryzyko, gdyby administrator nie zastosował środków w celu jego ograniczenia;
3) obowiązek zapewnienia prawidłowości i aktualności danych osobowych poprzez niezwłoczne poinformowanie administratora, jeżeli podmiot przetwarzający stwierdzi, że przetwarzane przez niego dane osobowe są nieprawidłowe lub nieaktualne;
4) obowiązki określone w art. 32 rozporządzenia (UE) 2016/679.

d) Strony określają w załączniku III odpowiednie środki techniczne i organizacyjne, za pomocą których podmiot przetwarzający jest zobowiązany pomagać administratorowi w stosowaniu niniejszej klauzuli, jak również zakres wymaganej pomocy.

Klauzula 9 — Zgłaszanie naruszenia ochrony danych osobowych

W przypadku naruszenia ochrony danych osobowych podmiot przetwarzający współpracuje z administratorem i pomaga mu w wypełnianiu jego obowiązków wynikających z art. 33 i 34 rozporządzenia (UE) 2016/679 lub, w stosownych przypadkach, z art. 34 i 35 rozporządzenia (UE) 2018/1725, z uwzględnieniem charakteru przetwarzania i informacji, którymi dysponuje podmiot przetwarzający.

9.1. Naruszenie ochrony danych dotyczące danych przetwarzanych przez administratora

W przypadku naruszenia ochrony danych osobowych dotyczącego danych przetwarzanych przez administratora podmiot przetwarzający wspomaga administratora:

a) przy zgłaszaniu naruszenia ochrony danych osobowych właściwemu(-ym) organowi(-om) nadzorczemu(-ym) niezwłocznie po tym, jak administrator dowiedział się o naruszeniu, w stosownych przypadkach/(chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych);

b) przy uzyskiwaniu następujących informacji, które zgodnie z art. 33 ust. 3 rozporządzenia (UE) 2016/679 powinny być zawarte w zgłoszeniu administratora i obejmować co najmniej:

1) charakter danych osobowych, w tym w miarę możliwości kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
2) możliwe konsekwencje naruszenia ochrony danych osobowych;
3) środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

Jeżeli przekazanie wszystkich tych informacji równocześnie nie jest możliwe, pierwotne zgłoszenie zawiera informacje dostępne w danej chwili, a po uzyskaniu dostępu do dalszych informacji przekazuje się je bez zbędnej zwłoki;

c) przy wypełnianiu – zgodnie z art. 34 rozporządzenia (UE) 2016/679 – obowiązku zawiadomienia bez zbędnej zwłoki osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, jeżeli naruszenie to może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych.

9.2. Naruszenie ochrony danych dotyczące danych przetwarzanych przez podmiot przetwarzający

W przypadku naruszenia ochrony danych osobowych dotyczącego danych przetwarzanych przez podmiot przetwarzający podmiot przetwarzający zgłasza naruszenie administratorowi niezwłocznie po tym, jak dowiedział się o naruszeniu. Zgłoszenie to powinno zawierać co najmniej:

a) opis charakteru naruszenia (w tym, w miarę możliwości, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz wpisów danych, których dotyczy naruszenie);

b) dane punktu kontaktowego, w którym można uzyskać więcej informacji na temat naruszenia ochrony danych osobowych;

c) wskazanie prawdopodobnych konsekwencji naruszenia oraz środków, które zostały lub mają zostać wprowadzone w celu zaradzenia naruszeniu, w tym w celu zminimalizowania jego ewentualnych negatywnych skutków.

Strony określają w załączniku III wszystkie inne elementy, które ma przedstawić podmiot przetwarzający, wspomagając administratora w wypełnianiu jego obowiązków określonych w art. 33 i 34 rozporządzenia (UE) 2016/679.

SEKCJA III — POSTANOWIENIA KOŃCOWE

Klauzula 10 — Naruszenie klauzul i rozwiązanie umowy

a) Bez uszczerbku dla przepisów rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725, w przypadku gdy podmiot przetwarzający narusza swoje obowiązki wynikające z niniejszych klauzul, administrator może polecić mu, by zawiesił przetwarzanie danych osobowych do czasu, gdy podmiot przetwarzający zapewni zgodność z niniejszymi klauzulami, lub umowa ulega rozwiązaniu. Podmiot przetwarzający niezwłocznie zawiadamia administratora, jeżeli z jakiegokolwiek powodu nie jest w stanie zastosować się do niniejszych klauzul.

b) Administrator jest uprawniony do rozwiązania umowy w zakresie, w jakim dotyczy ona przetwarzania danych osobowych zgodnie z niniejszymi klauzulami, jeżeli:

1) administrator zawiesił przetwarzanie danych osobowych przez podmiot przetwarzający zgodnie z lit. a) i jeżeli zgodność z niniejszymi klauzulami nie zostanie przywrócona w rozsądnym terminie, a w każdym razie w terminie jednego miesiąca od zawieszenia;
2) podmiot przetwarzający poważnie lub stale narusza niniejsze klauzule lub swoje obowiązki wynikające z rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725;
3) podmiot przetwarzający nie stosuje się do wiążącej decyzji właściwego sądu lub właściwego(-ych) organu(-ów) nadzorczego(-ych) dotyczącej jego obowiązków wynikających z niniejszych klauzul lub z rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725.

c) Podmiot przetwarzający ma prawo rozwiązać umowę w zakresie, w jakim dotyczy ona przetwarzania danych osobowych zgodnie z niniejszymi klauzulami, jeżeli po zawiadomieniu administratora o tym, że jego polecenie narusza obowiązujące wymogi prawne zgodnie z klauzulą 7.1 lit. b), administrator nalega na wypełnienie polecenia.

d) Po rozwiązaniu umowy podmiot przetwarzający, zależnie od decyzji administratora, usuwa wszystkie dane osobowe przetwarzane w imieniu administratora i poświadcza administratorowi, że tego dokonał, lub zwraca administratorowi wszystkie dane osobowe i usuwa istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych. Podmiot przetwarzający zapewnia przestrzeganie niniejszych klauzul do czasu usunięcia lub zwrotu danych.

Załącznik I — Wykaz stron

Administrator

Nazwa: ______________
Adres: ______________
Numer VAT: ______________

Osoba do kontaktów: ______________, właściciel konta, ______________
Adres e-mail do rozliczeń: ______________
Rola: administrator
Podpis i data przystąpienia: przez akceptację elektroniczną na koncie; osobę i datę podaje potwierdzenie zawarcia.

Podmiot przetwarzający

Nazwa: Sebastian Drożdż, nazwa handlowa: Special Services
Adres: Skrzynka 7a, 32-410 Dobczyce, PL
NIP: 6793148834
Kontakt: privacy@transfercrm.com (inspektor ochrony danych nie został wyznaczony)
Rola: podmiot przetwarzający
Podpis i data przystąpienia: przez akceptację elektroniczną Klienta na koncie, w tej samej dacie.

Załącznik II — Opis przetwarzania

Kategorie osób, których dane osobowe są przetwarzane

Pasażerowie Klienta oraz osoby, które rezerwują dla nich przejazdy.
Osoby kontaktowe klientów Klienta (firm, agencji, hoteli).
Kierowcy i pracownicy Klienta korzystający z usługi.
Osoby kontaktowe partnerów Klienta (innych firm przewozowych).

Kategorie przetwarzanych danych osobowych

Dane identyfikacyjne i kontaktowe: imię i nazwisko, numer telefonu, adres e-mail, firma.
Dane rezerwacji i trasy: adresy i godziny odbioru i dowozu, numery lotów, liczba pasażerów i bagażu, uwagi.
Lokalizacja kierowcy w czasie pracy, przesyłana przez aplikację kierowcy.
Status płatności i kwoty przejazdów i faktur. Bez numerów kart: karty pozostają u dostawcy płatności Klienta.
Wiadomości wysyłane przez usługę: e-mail, SMS, WhatsApp i czat.
Podpisy złożone na ofertach.
Dane kont użytkowników: imię i nazwisko, adres e-mail, rola, zapisy logowań.

Przetwarzane dane wrażliwe

Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych ani danych dotyczących wyroków skazujących i czynów zabronionych. Może jednak zawierać potrzeby w zakresie dostępności, które pasażer podaje dla przejazdu (na przykład wózek inwalidzki), oraz dokumenty kierowców, które Klient postanowi przesłać, w tym ewentualnie zaświadczenie lekarskie lub psychologiczne albo zaświadczenie o niekaralności. O tym, czy je zapisać, decyduje Klient. Oprócz środków z załącznika III stosuje się do nich następujące ograniczenia (klauzula 7.5):

Przesłane dokumenty są przechowywane poza publiczną częścią serwera i nie mają publicznego linku. Plik zapisany w karcie kierowcy może otworzyć wyłącznie zalogowany użytkownik konta Klienta z rolą właściciela, administratora lub dyspozytora; usunąć go może tylko właściciel lub administrator. Użytkownicy z rolą księgowego lub obserwatora mogą widzieć, że dokument kierowcy istnieje i kiedy traci ważność, ale nie sam plik.
Kierowcy, partnerzy, pasażerowie, portale klientów i agentów oraz klucze API nie mają dostępu do tych dokumentów.
Plik dołączony do przejazdu może otworzyć każdy użytkownik, który może otworzyć ten przejazd. Dlatego dokumenty tego rodzaju należy zapisywać w karcie kierowcy, a nie przy przejeździe.
Potrzeby w zakresie dostępności są pokazywane wyłącznie przy przejeździe, którego dotyczą: użytkownikom konta Klienta oraz kierowcy lub partnerowi, któremu Klient przydzieli ten przejazd. Kierowca widzi tylko przydzielone mu przejazdy.
Usunięcie dokumentu usuwa jego plik; wszystkie dokumenty są usuwane wraz z kontem (pkt 3).

Charakter przetwarzania

Hosting i przechowywanie; porządkowanie i wyświetlanie na koncie; przesyłanie (wiadomości e-mail, SMS, powiadomienia push, linki dla pasażerów i partnerów); przekazywanie przejazdów kierowcom i partnerom; obliczanie cen i dokumentów; usuwanie.

Cel, w którym dane osobowe są przetwarzane w imieniu administratora

Świadczenie Klientowi usługi TransferCRM na podstawie Regulaminu: rezerwacje, dyspozycja, flota, klienci, fakturowanie oraz komunikacja z pasażerami, kierowcami i partnerami.

Czas trwania przetwarzania

Tak długo, jak istnieje konto Klienta, oraz do usunięcia jego danych osobowych: z usługi 30 dni po żądaniu usunięcia konta, a z kopii zapasowych w chwili ich nadpisania, najpóźniej 12 miesięcy po tym usunięciu (pkt 3.2). W tym czasie dane o lokalizacji kierowców są przechowywane przez 60 dni, a rejestry komunikacji przez 365 dni; pozostałe okresy przechowywania wymienia załącznik III. Wszystkie inne dane są przechowywane do czasu ich usunięcia przez Klienta lub usunięcia konta; dane usunięte przez Klienta pozostają w kopiach zapasowych do czasu ich nadpisania, najpóźniej przez 12 miesięcy.

Przetwarzanie przez podmioty podprzetwarzające

Przedmiot i charakter przetwarzania dla każdego podmiotu podprzetwarzającego określa załącznik IV. Czas trwania jest taki sam jak powyżej.

Załącznik III — Środki techniczne i organizacyjne, w tym środki techniczne i organizacyjne w celu zapewnienia bezpieczeństwa danych

Hosting i lokalizacja

Usługa i jej baza danych działają na serwerach hostowanych przez Hostinger we Frankfurcie nad Menem, Niemcy (UE).
Nasz własny serwer poczty (Exim) i nasz własny serwer komunikacji w czasie rzeczywistym (soketi) działają na tym samym serwerze, więc wysyłane przez nas wiadomości e-mail i aktualizacje na żywo nie przechodzą przez zewnętrznego dostawcę. Wyjątkiem są usługi, które Klient podłącza samodzielnie (załącznik IV).

Szyfrowanie

Wszystkie połączenia z usługą są szyfrowane w trakcie przesyłania (TLS).
Ustawienia firmy i zapisane dane dostępowe (na przykład klucze podłączonych usług) są szyfrowane w spoczynku.
Hasła użytkowników są przechowywane wyłącznie jako skróty (hash).

Oddzielenie klientów

Każdy rekord ma identyfikator firmy, do której należy, a ta izolacja na poziomie wierszy jest egzekwowana w kodzie.

Kontrola dostępu

Sześć ról: właściciel, administrator, dyspozytor, księgowy, kierowca, obserwator.
Uwierzytelnianie dwuskładnikowe jest dostępne dla każdego użytkownika. Firma może go wymagać od pracowników biura (właścicieli, administratorów, dyspozytorów, księgowych, obserwatorów); reguła ta nie obejmuje kierowców.
Logowania można unieważnić. Zmiana drugiego składnika kończy wcześniejsze logowania.

Dostępność i odtwarzanie

Kopia bazy danych co 15 minut, przechowywana na serwerze do 48 godzin.
Co noc kopia bazy danych, przechowywanych plików i skrzynek pocztowych, przechowywana na serwerze przez 14 dni; jedna kopia tygodniowo jest przechowywana przez 8 tygodni, a jedna miesięcznie przez 12 miesięcy.
Kopie na serwerze może odczytać wyłącznie konto administratora operatora.
Co godzinę kopie są przesyłane szyfrowanym połączeniem na zaszyfrowany dysk przechowywany przez operatora w Polsce, gdzie żadna nie jest przechowywana dłużej niż 12 miesięcy.
Co tydzień najnowsza kopia nocna jest odtwarzana w oddzielnej bazie danych, porównywana z bazą działającej usługi i usuwana.
Jeżeli kopia zapasowa zostanie odtworzona, usunięcia kont dokonane od chwili jej sporządzenia są przeprowadzane ponownie, zanim odtworzona usługa zostanie użyta.

Rejestrowanie zdarzeń

Logi dostępu są przechowywane przez 14 dni.

Minimalizacja danych i ograniczone przechowywanie

Numery kart nigdy do nas nie trafiają: karty pozostają u dostawcy płatności Klienta.
Żadna kopia zapasowa nie jest przechowywana dłużej niż 12 miesięcy.
Dane o lokalizacji kierowców są usuwane po 60 dniach, rejestry komunikacji po 365 dniach.
Nieudane zadania w tle są usuwane po 30 dniach, tymczasowe pliki eksportu po 24 godzinach.
Usunięte konto jest kasowane 30 dni po żądaniu, a usunięcie jest potwierdzane (pkt 3).

Przenoszenie danych

Klient może w każdej chwili wyeksportować swoje dane na koncie. Pełny eksport przekazujemy na żądanie w ciągu 30 dni (pkt 3).

Pomoc dla administratora

Żądania osób, których dane dotyczą: konto zapewnia narzędzia do ich realizacji, czyli eksport, poprawianie i usuwanie pasażerów, klientów i kierowców. Żądanie, które trafi do nas, przekazujemy Klientowi w ciągu 5 dni roboczych; sami na nie nie odpowiadamy, chyba że Klient nam to poleci.
Ocena skutków dla ochrony danych i uprzednie konsultacje: na żądanie przekazujemy posiadane informacje w ciągu 30 dni.
Naruszenia ochrony danych osobowych: zawiadamiamy Klienta bez zbędnej zwłoki, najpóźniej w ciągu 48 godzin od stwierdzenia naruszenia, wiadomością e-mail do właściciela konta i komunikatem na koncie, z informacjami wymaganymi przez klauzulę 9.2.
Inspektor ochrony danych nie został wyznaczony, ponieważ nie jest to wymagane. Kontakt: privacy@transfercrm.com.

Załącznik IV — Wykaz podmiotów podprzetwarzających

Klient udziela ogólnej pisemnej zgody na korzystanie z podmiotów podprzetwarzających wymienionych poniżej (klauzula 7.7 lit. a), wariant 2). Zmiany są zgłaszane zgodnie z pkt 2. Obowiązujący wykaz jest również opublikowany na stronie transfercrm.com/legal.

Podmioty podprzetwarzające, z których korzystamy

Nazwa	Przetwarzanie	Lokalizacja	Zabezpieczenie transferu
Hostinger International Ltd. (61 Lordou Vironos str., 6023 Larnaca, Cyprus, gdpr@hostinger.com)	Hosting serwerów, na których działa usługa i jej baza danych.	Frankfurt am Main, DE (EU)	Przetwarzanie w UE/EOG
Google LLC — Firebase Cloud Messaging (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, https://firebase.google.com/support/privacy/dpo)	Powiadomienia push do aplikacji kierowcy: godzina, miejsce i numer przejazdu oraz informacja o nowej wiadomości.	USA i inne lokalizacje Google	Ramy ochrony danych UE–USA (DPF) i standardowe klauzule umowne

Odbiorcy działający jako niezależni administratorzy

Sami decydują, jak przetwarzają otrzymane dane, na podstawie własnych warunków; nie są naszymi podmiotami podprzetwarzającymi.

Nazwa	Przetwarzanie	Lokalizacja	Zabezpieczenie transferu
Google Ireland Limited — Google Maps Platform (Gordon House, Barrow Street, Dublin 4, Ireland, legal-notices@google.com)	Adresy i współrzędne przejazdów, na potrzeby map, wyszukiwania adresów (Places), geokodowania i tras. Google przetwarza je jako niezależny administrator na podstawie własnych warunków.	IE (EU)	Odbiorca w UE/EOG (nie przekazujemy danych do państwa trzeciego)
European Commission — VIES (Rue de la Loi 200, 1049 Brussels, Belgium)	Weryfikacja numerów VAT w krajowych rejestrach VAT. W przypadku osoby prowadzącej jednoosobową działalność numer VAT może stanowić dane osobowe. System VIES prowadzi Komisja w imieniu organów podatkowych państw członkowskich, które są jego administratorami.	BE (EU)	Odbiorca w UE/EOG (nie przekazujemy danych do państwa trzeciego)

Usługi, które nie otrzymują danych osobowych

FlightAware LLC (11 Greenway Plaza, Suite 2900, Houston, TX 77046, USA): Status lotu dla przejazdów z numerem lotu. Otrzymuje wyłącznie numer lotu (na przykład LH1234), bez nazwiska, daty i innych szczegółów przejazdu.

Usługi, które podłączasz samodzielnie

Przetwarzane na Twoje polecenie, na podstawie Twojej własnej umowy z dostawcą: przekazujemy dane, a dostawca nie jest naszym podmiotem podprzetwarzającym.

Własny serwer poczty (SMTP) lub konto Google (Gmail) do wysyłki e-maili
Konta Stripe i PayPal do płatności Twoich klientów
Dostawcy SMS (na przykład Twilio, SMSAPI)
WhatsApp Business (Meta)
Księgowość, fakturowanie i e-faktury (na przykład Fakturownia, wFirma, QuickBooks, Xero, InvoiceXpress, KSeF, Peppol, SdI)
Kalendarze Google Calendar i Microsoft Outlook
Twoja centrala telefoniczna, do powiadomień o połączeniach
Własne konto danych lotniczych (FlightAware, AeroDataBox)
Własny klucz AI (Anthropic)
Webhooki i integracje API, które konfigurujesz