Warunki przetwarzania danych osobowych (DPA)

Niniejsze Warunki stanowią nieodłączny załącznik do Oferty publicznej i mają zastosowanie za każdym razem, gdy Zamawiający przekazuje Wykonawcy dane osobowe innych osób fizycznych - przede wszystkim swoich kierowców - w celu przygotowania i złożenia dokumentów. Akceptacja oferty jest akceptacją niniejszych Warunków.

1. Role stron

1.1. W odniesieniu do danych kierowców, pracowników, osób kontaktowych i kontrahentów Zamawiającego administratorem jest Zamawiający (przewoźnik): to on decyduje, czyje dane i w jakim celu są składane, i to on ma podstawę prawną do ich przetwarzania jako pracodawca lub strona umowy.

1.2. Wykonawca w odniesieniu do tych danych działa jako podmiot przetwarzający (procesor) - przetwarza je wyłącznie na polecenie Zamawiającego, w zakresie zamówionej usługi.

1.3. W odniesieniu do danych samego Zamawiającego i jego przedstawicieli (rejestracja, konto, rozliczenia, kontakt z pomocą techniczną) Wykonawca działa jako samodzielny administrator - opisuje to Polityka prywatności.

1.4. Zamówienie usługi przez Serwis (utworzenie zgłoszenia z danymi konkretnych osób) stanowi udokumentowane polecenie Zamawiającego dotyczące przetwarzania tych danych w celach określonych opisem usługi.

2. Przedmiot, charakter, cel i czas trwania przetwarzania

2.1. Przedmiot i charakter: zbieranie danych wprowadzonych przez Zamawiającego do Serwisu, ich weryfikacja pod kątem kompletności i zgodności z wymogami, tworzenie dokumentów i składanie ich w systemach państwowych i międzyresortowych, przechowywanie wyników w panelu Zamawiającego, a dla usługi monitoringu - odbieranie i wyświetlanie współrzędnych pojazdu.

2.2. Cel: świadczenie zamówionej usługi, a mianowicie (zależnie od wyboru):

• RMPD - złożenie przez PUESC (Rzeczpospolita Polska);
• SENT - zgłoszenie w systemie elektronicznego monitorowania przewozu;
• Delegowanie kierowcy - oświadczenie o delegowaniu kierowcy (Dyrektywa (UE) 2020/1057, system IMI, portal biznes.gov.pl);
• CMR, e-TOLL i inne dokumenty przewidziane opisem usługi;
• RMPD 406 - monitoring geolokalizacji pojazdu na czas obowiązywania zgłoszenia.

2.3. Czas trwania: przetwarzanie trwa tak długo, jak obowiązuje Oferta publiczna między Stronami, oraz przez okresy przechowywania wskazane w rozdziale 12 Polityki prywatności (w tym okresy wprost wymagane przepisami prawa w odniesieniu do dokumentów i rozliczeń).

3. Kategorie osób, których dane dotyczą, i kategorie danych

3.1. Osoby, których dane dotyczą: kierowcy Zamawiającego; kierownicy, przedstawiciele i osoby kontaktowe Zamawiającego; osoby fizyczne - kontrahenci wskazani w dokumentach przewozowych.

3.2. Kategorie danych, których zakres zależy od konkretnej usługi:

• identyfikacyjne: nazwisko, imię, imię po ojcu (również alfabetem łacińskim), data urodzenia, obywatelstwo;
• dokumenty: numer identyfikacji podatkowej, seria i numer dokumentu tożsamości, prawo jazdy, dokumenty zezwoleniowe;
• kontaktowe i adresowe: adres zameldowania i zamieszkania, numer telefonu, adres e-mail;
• pracownicze: stanowisko, okres delegowania, dane umowy o pracę w zakresie potrzebnym do oświadczenia;
• pojazd i trasa: numery rejestracyjne, numery identyfikacyjne zespołów pojazdu, trasa, daty przewozu;
• geolokalizacja pojazdu - wyłącznie dla usługi monitoringu i wyłącznie na czas jej obowiązywania.

3.3. Wykonawca nie żąda i nie potrzebuje danych szczególnych kategorii (art. 9 RODO) - stanu zdrowia, biometrii itp. Zamawiający zobowiązuje się nie wprowadzać takich danych do Serwisu.

4. Obowiązki Wykonawcy jako podmiotu przetwarzającego

4.1. Przetwarzać dane osobowe wyłącznie na udokumentowane polecenia Zamawiającego, w tym w zakresie przekazywania do państw trzecich, z wyjątkiem przypadków, gdy przetwarzania wymagają przepisy prawa; o takim wymogu Wykonawca informuje Zamawiającego, o ile prawo tego nie zabrania.

4.2. Zapewnić, aby osoby dopuszczone do przetwarzania zobowiązały się do zachowania poufności. Dostęp do danych Zamawiającego mają wyłącznie ci pracownicy Wykonawcy, którym jest on niezbędny do realizacji zgłoszenia.

4.3. Stosować techniczne i organizacyjne środki bezpieczeństwa zgodnie z art. 32 RODO (rozdział 7 niniejszych Warunków).

4.4. Korzystać z podwykonawców przetwarzania wyłącznie na zasadach rozdziału 5 niniejszych Warunków.

4.5. Biorąc pod uwagę charakter przetwarzania, pomagać Zamawiającemu odpowiadać na żądania osób, których dane dotyczą, w zakresie realizacji ich praw - udostępniać potrzebne informacje albo technicznie wykonywać sprostowanie lub usunięcie.

4.6. Pomagać Zamawiającemu w wywiązaniu się z obowiązków z art. 32–36 RODO - bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje - w zakresie informacji posiadanych przez Wykonawcę.

4.7. Po zakończeniu świadczenia usług, według wyboru Zamawiającego, usunąć lub zwrócić dane osobowe oraz usunąć istniejące kopie, z wyjątkiem przypadków, w których przechowywania wymagają przepisy prawa. Tryb i terminy - rozdział 9.

4.8. Udostępniać Zamawiającemu wszelkie informacje niezbędne do wykazania spełnienia obowiązków z niniejszego rozdziału i umożliwiać audyty (rozdział 8).

4.9. Niezwłocznie informować Zamawiającego, jeżeli zdaniem Wykonawcy jego polecenie narusza przepisy o ochronie danych.

5. Podwykonawcy przetwarzania

5.1. Zamawiający udziela Wykonawcy ogólnej zgody na korzystanie z podwykonawców przetwarzania. Wykonawca zawiera z każdym z nich umowę o równoważnych obowiązkach w zakresie ochrony danych i pozostaje odpowiedzialny wobec Zamawiającego za ich działania.

5.2. Na dzień niniejszej wersji zaangażowani są następujący podwykonawcy przetwarzania:

• dostawca hostingu - utrzymanie serwerów aplikacji i bazy danych, centrum danych we Frankfurcie nad Menem, Niemcy;
• Amazon Web Services (AWS S3) - obiektowa pamięć plików dokumentów, region eu-central-1 (Frankfurt, Niemcy);
• Mailgun (Sinch Email) - dostarczanie serwisowych wiadomości e-mail (gotowe dokumenty, powiadomienia, komunikaty techniczne); europejski region usługi, centrum danych w Niemczech;
• Cybot A/S (Cookiebot) - zarządzanie zgodą na cookie; wyłącznie na stronie internetowej, nie otrzymuje danych osobowych ze zgłoszeń;
• Microsoft (Clarity) - analityka zachowań; wyłącznie na marketingowej stronie internetowej. W panelu nie działa, więc nie otrzymuje danych kierowców.

5.3. O zamiarze skorzystania z nowego podwykonawcy przetwarzania lub zastąpienia dotychczasowego Wykonawca informuje co najmniej 14 dni wcześniej przez panel lub pocztą elektroniczną. Jeżeli Zamawiający wniesie sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych, ma prawo rozwiązać umowę w zakresie odpowiednich usług bez kar umownych.

5.4. Organy państwowe i operatorzy systemów urzędowych (PUESC, SENT, IMI, biznes.gov.pl, e-TOLL, organy podatkowe i celne) nie są podwykonawcami przetwarzania - otrzymują dane jako samodzielni administratorzy z mocy prawa.

6. Przekazywanie danych poza EOG

6.1. Dane są przechowywane na serwerach w Niemczech. Jednocześnie Wykonawca jest zarejestrowany na Ukrainie, a jego personel uzyskuje dostęp do danych z terytorium Ukrainy - jest to przekazanie do państwa trzeciego.

6.2. Ponieważ brak jest decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony na Ukrainie, przekazanie takie odbywa się na podstawie standardowych klauzul umownych (SCC) przyjętych Decyzją Komisji (UE) 2021/914, które uważa się za zawarte między Stronami wraz z akceptacją niniejszych Warunków, a także z uwzględnieniem środków dodatkowych: dostęp wyłącznie dla upoważnionego personelu, szyfrowanie kanału, rejestrowanie czynności.

6.3. Składanie danych w polskich i europejskich systemach państwowych odbywa się w granicach EOG i nie wymaga dodatkowych zabezpieczeń.

7. Środki bezpieczeństwa (art. 32 RODO)

7.1. Wykonawca stosuje w szczególności:

• szyfrowanie połączeń (HTTPS/TLS) dla strony internetowej, panelu i API, włączone HSTS;
• przechowywanie haseł wyłącznie w postaci skrótów kryptograficznych; sesje na podstawie podpisanych tokenów o ograniczonym czasie ważności;
• rozgraniczenie dostępu według ról oraz izolację danych między firmami zamawiającymi: użytkownik widzi wyłącznie zgłoszenia i dokumenty własnej firmy;
• dziennik zmian w zgłoszeniach z zapisem autora i czasu czynności;
• umieszczenie infrastruktury w centrum danych na terytorium UE;
• ograniczenie dostępu personelu według zasady minimalnej niezbędności oraz zobowiązania do zachowania poufności.

7.2. Wykaz środków jest weryfikowany z uwzględnieniem rozwoju technologii i charakteru ryzyk; aktualna wersja jest zawsze dostępna pod niniejszym adresem.

8. Audyty

8.1. Na pisemne żądanie Zamawiającego Wykonawca udostępnia informacje niezbędne do wykazania wykonania niniejszych Warunków w terminie 30 dni.

8.2. Zamawiający ma prawo nie częściej niż raz w roku przeprowadzić audyt (samodzielnie lub przez niezależnego audytora niebędącego konkurentem Wykonawcy), uprzedzając co najmniej 30 dni wcześniej, w godzinach pracy, bez zakłócania działania Serwisu i bez dostępu do danych innych zamawiających.

9. Los danych po zakończeniu

9.1. Po zakończeniu świadczenia usług Zamawiający może w terminie 30 dni wystąpić o wydanie swoich danych i dokumentów. Następnie dane są usuwane, z wyjątkiem tych, których przechowywania wymagają przepisy prawa (w szczególności dokumentów źródłowych dotyczących rozliczeń) lub które są potrzebne do obrony w sporze.

9.2. Dane już złożone w systemach państwowych funkcjonują według zasad tych systemów - Wykonawca nie może ich stamtąd usunąć.

10. Naruszenia

10.1. O naruszeniu ochrony danych osobowych Wykonawca informuje Zamawiającego bez zbędnej zwłoki, jednak nie później niż w ciągu 48 godzin od chwili, gdy się o nim dowiedział, i przekazuje informacje potrzebne Zamawiającemu do zgłoszenia organowi nadzorczemu w ciągu 72 godzin (art. 33 RODO): charakter naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, prawdopodobne konsekwencje i podjęte środki.

11. Obowiązki Zamawiającego

11.1. Posiadać podstawę prawną do przekazania Wykonawcy danych kierowców i innych osób oraz zapewnić wykonanie swojego obowiązku informacyjnego wobec tych osób (art. 13–14 RODO), w tym o skorzystaniu z Wykonawcy oraz o monitoringu geolokalizacji, jeżeli taka usługa została zamówiona.

11.2. Wprowadzać do Serwisu wyłącznie te dane, które są obiektywnie potrzebne do zamówionej usługi.

11.3. Utrzymywać dane w stanie aktualnym i niezwłocznie informować Wykonawcę o żądaniach osób, których dane dotyczą, związanych z przetwarzaniem na podstawie niniejszych Warunków.

11.4. Nie udostępniać dostępu do panelu osobom postronnym i zachować w tajemnicy dane logowania.

12. Postanowienia końcowe

12.1. W razie sprzeczności między niniejszymi Warunkami a Ofertą publiczną w kwestiach przetwarzania danych osobowych stosuje się niniejsze Warunki.

12.2. Wykonawca może aktualizować niniejsze Warunki, publikując nową wersję pod niniejszym adresem; o istotnych zmianach Zamawiający jest informowany przez panel lub pocztą elektroniczną co najmniej 14 dni wcześniej.

12.3. W sprawach związanych z przetwarzaniem danych osobowych prosimy o kontakt: info@moisalogistics.com.

12.4. Niniejsze Warunki sporządzono w języku ukraińskim i polskim. W razie rozbieżności między wersjami rozstrzygające jest brzmienie ukraińskie.