Condiții de prelucrare a datelor cu caracter personal (DPA)

Prezenții Termeni constituie o anexă integrantă a Ofertei publice și se aplică de fiecare dată când Clientul transmite Executantului date cu caracter personal ale altor persoane fizice - în primul rând ale șoferilor săi - în vederea pregătirii și depunerii documentelor. Acceptarea ofertei constituie acceptarea prezenților Termeni.

1. Rolurile părților

1.1. În privința datelor șoferilor, angajaților, persoanelor de contact și contrapărților Clientului, operatorul este Clientul (transportatorul): el este cel care stabilește ale cui date sunt depuse și în ce scop și tot el are temeiul juridic pentru prelucrarea lor în calitate de angajator sau de parte la contract.

1.2. În privința acestor date, Executantul acționează ca persoană împuternicită de operator (procesator) - le prelucrează exclusiv la însărcinarea Clientului, în limitele serviciului comandat.

1.3. În privința datelor Clientului însuși și ale reprezentanților săi (înregistrare, cont, decontări, solicitări adresate serviciului de asistență) Executantul acționează ca operator independent - acest lucru este descris în Politica de confidențialitate.

1.4. Comandarea unui serviciu prin intermediul Serviciului (crearea unei comenzi cu datele unor persoane concrete) constituie o instrucțiune documentată a Clientului privind prelucrarea acestor date în scopurile stabilite prin descrierea serviciului.

1.5. Prezenții Termeni nu se aplică datelor de registru (referențiale) despre contrapărți - denumirea, codul fiscal, adresa și țara - pe care Executantul le utilizează pentru Catalogul comun al contrapărților (pct. 5.2.3–5.2.5 din Oferta publică). În privința acestei prelucrări - și numai a acesteia - Executantul acționează ca operator independent, și nu ca persoană împuternicită care acționează la însărcinarea Clientului, și poartă propria răspundere pentru aceasta; temeiul și modul de exercitare a dreptului la opoziție sunt descrise la pct. 11.5 din Politica de confidențialitate. Datele cu caracter personal ajung în catalog numai atunci când contrapartea este o persoană fizică autorizată; datele șoferilor, angajaților și persoanelor de contact ale Clientului nu ajung niciodată în acesta.

2. Obiectul, natura, scopul și durata prelucrării

2.1. Obiectul și natura: colectarea datelor introduse de Client în Serviciu, verificarea caracterului complet al acestora și a conformității lor cu cerințele, întocmirea documentelor și depunerea lor în sistemele de stat și interinstituționale, stocarea rezultatelor în contul Clientului din Serviciu, iar pentru serviciul de urmărire - recepționarea și afișarea coordonatelor vehiculului.

2.2. Scopul: prestarea serviciului comandat, și anume (în funcție de opțiunea aleasă):

• RMPD - depunere prin PUESC (Republica Polonă);
• SENT - întocmire în sistemul de monitorizare electronică a transporturilor;
• Delegowanie kierowcy - declarația de detașare a șoferului (Directiva (UE) 2020/1057, sistemul IMI, portalul biznes.gov.pl);
• CMR, e-TOLL și alte documente prevăzute de descrierea serviciului;
• RMPD 406 - monitorizarea geolocalizării vehiculului pe durata valabilității comenzii.

2.3. Durata: prelucrarea se desfășoară cât timp Oferta publică dintre Părți este în vigoare, precum și pe durata termenelor de stocare indicate în Capitolul 12 al Politicii de confidențialitate (inclusiv a termenelor impuse în mod expres de legislație pentru documente și decontări).

3. Categoriile de persoane vizate și categoriile de date

3.1. Persoanele vizate: șoferii Clientului; conducătorii, reprezentanții și persoanele de contact ale Clientului; persoanele fizice - contrapărți indicate în documentele de transport.

3.2. Categoriile de date, al căror volum depinde de serviciul concret:

• de identificare: numele de familie, prenumele, patronimicul (inclusiv cu caractere latine), data nașterii, cetățenia;
• documente: codul de identificare fiscală, seria și numărul actului de identitate, permisul de conducere, documentele de autorizare;
• de contact și de adresă: adresa de domiciliu și de reședință, numărul de telefon, adresa de e-mail;
• de muncă: funcția, perioada detașării, datele contractului de muncă în măsura necesară pentru declarație;
• vehicul și rută: numerele de înmatriculare, numerele de identificare ale vehiculelor din ansamblu, ruta, datele transportului;
• geolocalizarea vehiculului - numai pentru serviciul de urmărire și numai pe durata valabilității acestuia.

3.3. Executantul nu solicită și nu are nevoie de categorii speciale de date (art. 9 GDPR) - starea de sănătate, date biometrice etc. Clientul se obligă să nu introducă astfel de date în Serviciu.

4. Obligațiile Executantului în calitate de persoană împuternicită de operator

4.1. Să prelucreze datele cu caracter personal numai pe baza instrucțiunilor documentate ale Clientului, inclusiv în ceea ce privește transferurile către țări terțe, cu excepția cazurilor în care prelucrarea este impusă de legislație; Executantul informează Clientul cu privire la această cerință, cu excepția cazului în care legea interzice acest lucru.

4.2. Să se asigure că persoanele autorizate să prelucreze datele s-au angajat să respecte confidențialitatea. Acces la datele Clientului au numai acei angajați ai Executantului care au nevoie de acesta pentru executarea comenzii.

4.3. Să ia măsuri tehnice și organizatorice de securitate conform art. 32 GDPR (Capitolul 7 din prezenții Termeni).

4.4. Să recurgă la alte persoane împuternicite (subîmputerniciți) numai în condițiile Capitolului 5 din prezenții Termeni.

4.5. Ținând seama de natura prelucrării, să asiste Clientul în vederea răspunsului la cererile persoanelor vizate privind exercitarea drepturilor lor - să furnizeze informațiile necesare sau să efectueze tehnic rectificarea ori ștergerea.

4.6. Să asiste Clientul în îndeplinirea obligațiilor sale prevăzute la art. 32–36 GDPR - securitatea, notificarea incidentelor, evaluarea impactului, consultarea prealabilă - în limita informațiilor de care dispune Executantul.

4.7. După încheierea prestării serviciilor, la alegerea Clientului, să șteargă sau să returneze datele cu caracter personal și să șteargă copiile existente, cu excepția cazurilor în care stocarea este impusă de legislație. Modul și termenele - Capitolul 9.

4.8. Să pună la dispoziția Clientului toate informațiile necesare pentru a demonstra îndeplinirea obligațiilor prevăzute în prezentul capitol și să contribuie la audituri (Capitolul 8).

4.9. Să informeze imediat Clientul dacă, în opinia Executantului, o instrucțiune a Clientului încalcă cerințele legislației privind protecția datelor.

5. Subîmputerniciții

5.1. Clientul acordă Executantului o autorizare generală de a recurge la subîmputerniciți. Executantul încheie cu fiecare dintre aceștia un contract care prevede obligații echivalente privind protecția datelor și rămâne răspunzător față de Client pentru acțiunile acestora.

5.2. La data prezentei versiuni, sunt implicați următorii subîmputerniciți:

• furnizorul de hosting - găzduirea serverelor aplicației și ale bazei de date, centru de date la Frankfurt pe Main, Germania;
• Amazon Web Services (AWS S3, Amazon SES) - stocarea de obiecte pentru fișierele documentelor și livrarea e-mailurilor de serviciu (documente gata, notificări, mesaje tehnice), regiunea eu-central-1 (Frankfurt, Germania);
• Mailgun (Sinch Email) - livrarea e-mailurilor de serviciu (documente gata, notificări, mesaje tehnice); regiunea europeană a serviciului, centru de date în Germania;
• Cybot A/S (Cookiebot) - gestionarea consimțământului privind cookie-urile; numai pe site-ul web, nu primește date cu caracter personal din comenzi;
• Microsoft (Clarity) - analiza comportamentului; numai pe site-ul web de marketing. Nu funcționează în contul din Serviciu, prin urmare nu primește datele șoferilor.

5.3. Executantul informează despre intenția de a recurge la un nou subîmputernicit sau de a-l înlocui pe unul existent cu cel puțin 14 zile înainte, prin contul din Serviciu sau prin e-mail. Dacă Clientul se opune din motive întemeiate legate de protecția datelor, acesta are dreptul să rezilieze contractul în privința serviciilor respective fără penalități.

5.4. Autoritățile de stat și operatorii sistemelor oficiale (PUESC, SENT, IMI, biznes.gov.pl, e-TOLL, autoritățile fiscale și vamale) nu sunt subîmputerniciți - aceștia primesc datele în calitate de operatori independenți în temeiul legii.

6. Transferul datelor în afara SEE

6.1. Datele sunt stocate pe servere din Germania. Totodată, Executantul este înregistrat în Ucraina, iar personalul său accesează datele de pe teritoriul Ucrainei - acesta este un transfer către o țară terță.

6.2. Întrucât nu există o decizie a Comisiei Europene privind caracterul adecvat al nivelului de protecție în Ucraina, un astfel de transfer se efectuează în temeiul clauzelor contractuale standard (SCC) aprobate prin Decizia Comisiei (UE) 2021/914, care se consideră încheiate între Părți odată cu acceptarea prezenților Termeni, precum și ținând seama de măsuri suplimentare: acces numai pentru personalul autorizat, criptarea canalului, jurnalizarea acțiunilor.

6.3. Depunerea datelor în sistemele de stat poloneze și europene are loc în cadrul SEE și nu necesită garanții suplimentare.

7. Măsuri de securitate (art. 32 GDPR)

7.1. Executantul aplică, în special:

• criptarea conexiunilor (HTTPS/TLS) pentru site-ul web, contul din Serviciu și API, cu HSTS activat;
• stocarea parolelor numai sub formă de hash-uri criptografice; sesiuni bazate pe tokenuri semnate, cu termen de valabilitate limitat;
• delimitarea accesului pe roluri și izolarea datelor între firmele-clienți: utilizatorul vede numai comenzile și documentele propriei firme;
• jurnalul modificărilor din comenzi, cu înregistrarea autorului și a momentului acțiunii;
• amplasarea infrastructurii într-un centru de date pe teritoriul UE;
• restricționarea accesului personalului conform principiului minimului necesar și angajamente de confidențialitate.

7.2. Lista măsurilor este revizuită ținând seama de evoluția tehnologiilor și de natura riscurilor; versiunea actuală este întotdeauna disponibilă la această adresă.

8. Audituri

8.1. La cererea scrisă a Clientului, Executantul furnizează, în termen de 30 de zile, informațiile necesare pentru a demonstra respectarea prezenților Termeni.

8.2. Clientul are dreptul, cel mult o dată pe an, să efectueze un audit (în mod independent sau prin intermediul unui auditor independent care nu este concurent al Executantului), cu o notificare prealabilă de cel puțin 30 de zile, în timpul programului de lucru, fără a perturba funcționarea Serviciului și fără acces la datele altor clienți.

9. Soarta datelor după încetare

9.1. După încetarea prestării serviciilor, Clientul poate solicita, în termen de 30 de zile, exportul datelor și documentelor sale. Ulterior, datele sunt șterse, cu excepția celor a căror stocare este impusă de legislație (în special documentele primare privind decontările) sau care sunt necesare pentru apărare într-un litigiu.

9.2. Datele deja depuse în sistemele de stat sunt supuse regulilor acestor sisteme - Executantul nu le poate șterge de acolo.

10. Incidente

10.1. Executantul informează Clientul despre o încălcare a securității datelor cu caracter personal fără întârzieri nejustificate, dar nu mai târziu de 48 de ore din momentul în care a luat cunoștință de aceasta, și îi furnizează informațiile de care Clientul are nevoie pentru notificarea autorității de supraveghere în termen de 72 de ore (art. 33 GDPR): natura încălcării, categoriile și numărul aproximativ de persoane și de înregistrări, consecințele probabile și măsurile luate.

11. Obligațiile Clientului

11.1. Să dispună de un temei juridic pentru transmiterea către Executant a datelor șoferilor și ale altor persoane și să asigure îndeplinirea obligației sale de a informa aceste persoane (art. 13–14 GDPR), inclusiv cu privire la implicarea Executantului și la urmărirea geolocalizării, dacă un astfel de serviciu a fost comandat.

11.2. Să introducă în Serviciu numai datele care sunt necesare în mod obiectiv pentru serviciul comandat.

11.3. Să mențină datele actualizate și să informeze imediat Executantul despre cererile persoanelor vizate care se referă la prelucrarea efectuată în temeiul prezenților Termeni.

11.4. Să nu permită accesul terților la contul din Serviciu și să păstreze secretul datelor de autentificare.

12. Dispoziții finale

12.1. În caz de contradicție între prezenții Termeni și Oferta publică în chestiunile privind prelucrarea datelor cu caracter personal, se aplică prezenții Termeni.

12.2. Executantul poate actualiza prezenții Termeni prin publicarea unei noi versiuni la această adresă; despre modificările substanțiale Clientul este informat prin contul din Serviciu sau prin e-mail cu cel puțin 14 zile înainte.

12.3. Pentru întrebări legate de prelucrarea datelor cu caracter personal, vă rugăm să ne contactați: info@moisalogistics.com.

12.4. Prezenții Termeni au fost întocmiți în limbile ucraineană, polonă și română. În caz de neconcordanțe între versiuni, prevalează versiunea în limba ucraineană.