Умови обробки персональних даних (DPA)

Ці Умови є невід'ємним додатком до Публічної оферти і застосовуються щоразу, коли Замовник передає Виконавцю персональні дані інших фізичних осіб - насамперед своїх водіїв - для підготовки та подання документів. Акцепт оферти є акцептом цих Умов.

1. Ролі сторін

1.1. Щодо даних водіїв, працівників, контактних осіб і контрагентів Замовника контролером є Замовник (перевізник): саме він визначає, чиї дані та навіщо подаються, і саме він має правову підставу їх обробляти як роботодавець чи сторона договору.

1.2. Виконавець щодо цих даних діє як обробник (процесор) - опрацьовує їх виключно за дорученням Замовника, у межах замовленої послуги.

1.3. Щодо даних самого Замовника та його представників (реєстрація, акаунт, розрахунки, звернення до підтримки) Виконавець діє як самостійний контролер - це описано в Політиці конфіденційності.

1.4. Замовлення послуги через Сервіс (створення заявки з даними конкретних осіб) є документованою вказівкою Замовника на обробку цих даних у цілях, визначених описом послуги.

2. Предмет, характер, мета і тривалість обробки

2.1. Предмет і характер: збирання даних, введених Замовником у Сервіс, їх перевірка на повноту й відповідність вимогам, формування документів і подання їх до державних та міжвідомчих систем, зберігання результатів у кабінеті Замовника, а для послуги відстеження - приймання й відображення координат транспортного засобу.

2.2. Мета: надання замовленої послуги, а саме (залежно від обраного):

• RMPD - подання через PUESC (Республіка Польща);
• SENT - оформлення в системі електронного моніторингу перевезень;
• Delegowanie kierowcy - декларація про відрядження водія (Директива (ЄС) 2020/1057, система IMI, портал biznes.gov.pl);
• CMR, e-TOLL та інші передбачені описом послуги документи;
• RMPD 406 - моніторинг геолокації транспортного засобу на час дії заявки.

2.3. Тривалість: обробка триває, поки діє Публічна оферта між Сторонами, та протягом строків зберігання, зазначених у розділі 12 Політики конфіденційності (зокрема строків, які прямо вимагає законодавство щодо документів і розрахунків).

3. Категорії суб'єктів даних і категорії даних

3.1. Суб'єкти даних: водії Замовника; керівники, представники й контактні особи Замовника; фізичні особи - контрагенти, зазначені в документах перевезення.

3.2. Категорії даних, обсяг яких залежить від конкретної послуги:

• ідентифікаційні: прізвище, ім'я, по батькові (у тому числі латиницею), дата народження, громадянство;
• документи: реєстраційний номер облікової картки платника податків, серія й номер документа, що посвідчує особу, посвідчення водія, дозвільні документи;
• контактні та адресні: адреса реєстрації й проживання, номер телефону, електронна пошта;
• трудові: посада, період відрядження, дані трудового договору в обсязі, потрібному для декларації;
• транспорт і маршрут: номерні знаки, ідентифікаційні номери агрегатів, маршрут, дати перевезення;
• геолокація транспортного засобу - лише для послуги відстеження й лише на час її дії.

3.3. Виконавець не запитує й не потребує даних особливих категорій (ст. 9 GDPR) - стан здоров'я, біометрія тощо. Замовник зобов'язується таких даних до Сервісу не вносити.

4. Обов'язки Виконавця як обробника

4.1. Опрацьовувати персональні дані виключно за документованими вказівками Замовника, у тому числі щодо передавання до третіх країн, крім випадків, коли обробки вимагає законодавство; про таку вимогу Виконавець повідомляє Замовника, якщо це не заборонено законом.

4.2. Забезпечити, щоб особи, допущені до обробки, взяли на себе зобов'язання про конфіденційність. Доступ до даних Замовника мають лише ті працівники Виконавця, яким він потрібен для виконання заявки.

4.3. Вживати технічних і організаційних заходів безпеки за ст. 32 GDPR (розділ 7 цих Умов).

4.4. Залучати субобробників лише на умовах розділу 5 цих Умов.

4.5. Враховуючи характер обробки, допомагати Замовнику відповідати на звернення суб'єктів даних щодо реалізації їхніх прав - надавати потрібні відомості або технічно виконувати виправлення чи видалення.

4.6. Допомагати Замовнику у виконанні його обов'язків за ст. 32–36 GDPR - безпека, повідомлення про інциденти, оцінка впливу, попередні консультації - у межах наявної в Виконавця інформації.

4.7. Після завершення надання послуг за вибором Замовника видалити або повернути персональні дані та видалити наявні копії, крім випадків, коли зберігання вимагає законодавство. Порядок і строки - розділ 9.

4.8. Надавати Замовнику всю інформацію, необхідну для підтвердження виконання обов'язків за цим розділом, і сприяти перевіркам (розділ 8).

4.9. Невідкладно повідомляти Замовника, якщо, на думку Виконавця, вказівка Замовника порушує вимоги законодавства про захист даних.

5. Субобробники

5.1. Замовник надає Виконавцю загальний дозвіл залучати субобробників. Виконавець укладає з кожним з них договір із рівнозначними обов'язками щодо захисту даних і залишається відповідальним перед Замовником за їхні дії.

5.2. Станом на дату цієї редакції залучені такі субобробники:

• хостинг-провайдер - розміщення серверів застосунку й бази даних, дата-центр у Франкфурті-на-Майні, Німеччина;
• Amazon Web Services (AWS S3) - об'єктне сховище файлів документів, регіон eu-central-1 (Франкфурт, Німеччина);
• Mailgun (Sinch Email) - доставка сервісних електронних листів (готові документи, сповіщення, службові повідомлення); європейський регіон сервісу, дата-центр у Німеччині;
• Cybot A/S (Cookiebot) - керування згодою на cookie; лише на веб-сайті, персональних даних із заявок не отримує;
• Microsoft (Clarity) - аналітика поведінки; лише на маркетинговому веб-сайті. У кабінеті не працює, тож даних водіїв не отримує.

5.3. Про намір залучити нового субобробника або замінити наявного Виконавець повідомляє щонайменше за 14 днів через кабінет або електронною поштою. Якщо Замовник заперечує з обґрунтованих підстав захисту даних, він має право розірвати договір щодо відповідних послуг без штрафних санкцій.

5.4. Державні органи й оператори офіційних систем (PUESC, SENT, IMI, biznes.gov.pl, e-TOLL, податкові та митні органи) субобробниками не є - вони отримують дані як самостійні контролери в силу закону.

6. Передавання даних за межі ЄЕП

6.1. Дані зберігаються на серверах у Німеччині. Водночас Виконавець зареєстрований в Україні, і його персонал отримує доступ до даних з території України - це передавання до третьої країни.

6.2. Оскільки рішення Європейської Комісії про адекватність рівня захисту в Україні відсутнє, таке передавання здійснюється на підставі стандартних договірних застережень (SCC), затверджених Рішенням Комісії (ЄС) 2021/914, які вважаються укладеними між Сторонами разом з акцептом цих Умов, а також з урахуванням додаткових заходів: доступ лише авторизованого персоналу, шифрування каналу, журналювання дій.

6.3. Подання даних до польських та європейських державних систем здійснюється в межах ЄЕП і додаткових гарантій не потребує.

7. Заходи безпеки (ст. 32 GDPR)

7.1. Виконавець застосовує, зокрема:

• шифрування з'єднань (HTTPS/TLS) для веб-сайту, кабінету та API, увімкнений HSTS;
• зберігання паролів лише у вигляді криптографічних хешів; сесії на підставі підписаних токенів з обмеженим строком дії;
• розмежування доступу за ролями та ізоляцію даних між фірмами-замовниками: користувач бачить лише заявки й документи власної фірми;
• журнал змін у заявках із фіксацією автора та часу дії;
• розміщення інфраструктури в дата-центрі на території ЄС;
• обмеження доступу персоналу за принципом мінімальної достатності та зобов'язання про конфіденційність.

7.2. Перелік заходів переглядається з урахуванням розвитку технологій і характеру ризиків; актуальна редакція завжди доступна за цією адресою.

8. Перевірки

8.1. На письмовий запит Замовника Виконавець надає інформацію, необхідну для підтвердження виконання цих Умов, протягом 30 днів.

8.2. Замовник має право не частіше ніж раз на рік провести перевірку (самостійно або через незалежного аудитора, який не є конкурентом Виконавця), попередивши щонайменше за 30 днів, у робочий час і без порушення роботи Сервісу та без доступу до даних інших замовників.

9. Доля даних після завершення

9.1. Після припинення надання послуг Замовник може протягом 30 днів звернутися за вивантаженням своїх даних і документів. Далі дані видаляються, крім тих, зберігання яких вимагає законодавство (зокрема первинні документи щодо розрахунків) або які потрібні для захисту в спорі.

9.2. Дані, вже подані до державних систем, живуть за правилами цих систем - Виконавець не може їх звідти видалити.

10. Інциденти

10.1. Про порушення захисту персональних даних Виконавець повідомляє Замовника без невиправданої затримки, але не пізніше 48 годин з моменту, коли йому стало відомо, і надає відомості, потрібні Замовнику для повідомлення наглядового органу протягом 72 годин (ст. 33 GDPR): характер порушення, категорії й приблизну кількість осіб і записів, ймовірні наслідки та вжиті заходи.

11. Обов'язки Замовника

11.1. Мати правову підставу для передавання даних водіїв та інших осіб Виконавцю й забезпечити виконання свого обов'язку інформувати цих осіб (ст. 13–14 GDPR), у тому числі про залучення Виконавця та про відстеження геолокації, якщо така послуга замовлена.

11.2. Вносити до Сервісу лише ті дані, які об'єктивно потрібні для замовленої послуги.

11.3. Підтримувати дані в актуальному стані та невідкладно повідомляти Виконавця про звернення суб'єктів даних, що стосуються обробки за цими Умовами.

11.4. Не передавати доступ до кабінету стороннім особам і зберігати в таємниці реквізити входу.

12. Прикінцеві положення

12.1. У разі суперечності між цими Умовами та Публічною офертою щодо питань обробки персональних даних застосовуються ці Умови.

12.2. Виконавець може оновлювати ці Умови, розмістивши нову редакцію за цією адресою; про суттєві зміни Замовник повідомляється через кабінет або електронною поштою щонайменше за 14 днів.

12.3. З питань, пов'язаних із обробкою персональних даних, звертайтесь: info@moisalogistics.com.

12.4. Ці Умови складено українською та польською мовами. У разі розбіжностей між версіями переважає українська.