Umowa powierzenia przetwarzania danych osobowych

1. Definicje


Umowa	Niniejsza umowa powierzenia przetwarzania danych osobowych.
Regulamin	Regulamin platformy Napravelo dla serwisów rowerowych, którego załącznik nr 1 stanowi Umowa.
Napravelo	Oprogramowanie, strona internetowa oraz system, które umożliwiają użytkownikom korzystanie z usług oferowanych przez Napravelo (dalej “Platforma”).
Serwis rowerowy	Podmiot, w tym osoba fizyczna prowadząca działalność gospodarczą, świadczący usługi związane z naprawą, serwisowaniem lub sprzedażą rowerów i akcesoriów rowerowych, posiadający konto w Platformie (dalej „Serwis”).
Podmiot przetwarzający	TECHYY Wojciech Ossowski z siedzibą w Pruszczu Gdańskim 83-000, ul. Jarosława Dąbrowskiego 26A/7, NIP: 7761701375, REGON: 365489484, przetwarzający dane osobowe w imieniu Serwisu (dalej również „my”).
Dalszy podmiot przetwarzający	Podmiot, któremu Podmiot przetwarzający dalej powierza przetwarzanie danych osobowych Klientów Serwisu (dalej również „podwykonawca”).
Konto	Panel zarządzania profilem Serwisu w Platformie, dostępny wyłącznie po zalogowaniu.
Zlecenie	Wiadomość wysłana przez Użytkownika za pomocą formularza „Umów serwis”, zawierająca dane kontaktowe, informacje o rowerze i problemie oraz preferowany termin i sposób obsługi. Zlecenie nie jest potwierdzoną rezerwacją ani zawarciem umowy z Serwisem.
Moduł napraw	Funkcja Planu Pro, w której Serwis zarządza naprawami, w tym przyjętymi Zleceniami.
Klient Serwisu	Osoba fizyczna, której dane osobowe Serwis przetwarza w Module napraw.
RODO	Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych.

Pojęcia niezdefiniowane w Umowie, pisane wielką literą, mają znaczenie nadane im w Regulaminie.

2. Przedmiot Umowy

Na podstawie art. 28 RODO Serwis, jako administrator danych osobowych Klientów Serwisu, powierza Podmiotowi przetwarzającemu przetwarzanie tych danych w zakresie i celu określonym w Umowie, a Podmiot przetwarzający zobowiązuje się przetwarzać je zgodnie z Umową i RODO.
Umowa stanowi integralną część Regulaminu i zostaje zawarta z chwilą jego akceptacji. Zmiana Umowy następuje na zasadach zmiany Regulaminu. Dodanie lub zmiana podwykonawcy wymaga uprzedzenia, o którym mowa w pkt 5.2.

3. Zakres, cel i czas przetwarzania

Powierzenie obejmuje dane osobowe Klientów Serwisu wprowadzane lub przetwarzane w Module napraw, w tym pochodzące z przyjętych Zleceń: imię i nazwisko, numer telefonu, adres e-mail, adres wizyty lub odbioru sprzętu, informacje o rowerze i usterce, termin, wycenę, notatki oraz historię statusów naprawy.
Celem przetwarzania jest umożliwienie Serwisowi obsługi napraw w Platformie oraz wysyłania powiadomień o statusie naprawy Klientom Serwisu, którzy nie przesłali Zlecenia. Przetwarzanie trwa do usunięcia Konta.
Umowa nie obejmuje danych, których administratorem jest Podmiot przetwarzający (np. przekazanie Zlecenia Serwisowi i powiadomienia o jego statusie, dane Konta, faktury). Usunięcie danych klienta na prośbę Serwisu (pkt 8) ani zakończenie Umowy ich nie obejmuje. Zasady ich przetwarzania określa Polityka Prywatności.

4. Obowiązki Podmiotu przetwarzającego

Przetwarzamy dane tylko na polecenie Serwisu. Poleceniem jest Regulamin i to, co Serwis robi w Koncie (np. dodaje naprawę albo wysyła powiadomienie).
Dostęp do danych mają tylko upoważnione osoby zobowiązane do poufności.
Chronimy dane tak, jak opisuje Polityka Prywatności w części „Jak chronimy Twoje dane?”.
Pomagamy Serwisowi odpowiadać na żądania klientów (np. o usunięcie danych) i wypełniać obowiązki z art. 32–36 RODO. Żądanie, które trafi do nas, przekazujemy Serwisowi.
Na prośbę Serwisu udzielamy informacji potrzebnych do wykazania, że przestrzegamy tej umowy, a raz w roku, po uprzedzeniu, umożliwiamy audyt.
Jeśli polecenie Serwisu naszym zdaniem narusza prawo, od razu o tym informujemy.

5. Dalsze powierzenie

Korzystamy z: Hetzner Online GmbH (Niemcy, serwery w UE) oraz Resend, Inc. (USA, wysyłka e-maili z UE; dane o wysyłce mogą być przechowywane w USA na podstawie standardowych klauzul umownych i EU-US Data Privacy Framework).
O nowym podwykonawcy informujemy e-mailem co najmniej 15 dni wcześniej. Jeśli Serwis się nie zgadza, może przed tą datą usunąć Konto albo poprosić o usunięcie danych swoich klientów (pkt 8).
Na podwykonawców nakładamy te same obowiązki ochrony danych co w Umowie.

6. Naruszenia ochrony danych

O naruszeniu ochrony danych klientów Serwisu informujemy go bez zbędnej zwłoki i pomagamy w jego zgłoszeniu. Jeśli naruszenie dotyczy także danych, których jesteśmy administratorem, możemy zgłosić je Prezesowi UODO również w imieniu Serwisu i poinformujemy o tym e-mailem.

7. Obowiązki Serwisu

Serwis ma podstawę prawną do przetwarzania danych swoich klientów i informuje ich o tym (może użyć wzoru poniżej).
Serwis nie wpisuje danych wrażliwych (np. o zdrowiu) i dba o bezpieczeństwo swojego Konta, urządzeń i papierowych dokumentów, np. kart przyjęcia roweru.

8. Zakończenie Umowy

Dopóki Serwis ma Konto, dane jego klientów zostają w Platformie. Na prośbę Serwisu (np. gdy klient zażąda usunięcia swoich danych) usuwamy lub anonimizujemy dane konkretnego klienta; prośbę należy wysłać na adres gdpr@napravelo.pl.

Przed usunięciem Konta albo w ciągu 30 dni od jego usunięcia (także przez nas) Serwis może poprosić o kopię danych na adres gdpr@napravelo.pl. W ciągu 3 miesięcy od usunięcia Konta usuwamy dane klientów Serwisu, chyba że prawo wymaga ich dłuższego przechowywania.

9. Odpowiedzialność i postanowienia końcowe

Wobec Serwisu odpowiadamy za szkody z tytułu tej umowy do wysokości opłat netto za Plan Pro z ostatnich 3 miesięcy, z wyjątkiem szkody wyrządzonej umyślnie. Nie ogranicza to odpowiedzialności wobec klientów wynikającej z RODO.
Spory rozstrzyga sąd właściwy według przepisów Kodeksu postępowania cywilnego.
Kontakt w sprawach danych: gdpr@napravelo.pl.

Wzór klauzuli informacyjnej dla Klientów Serwisu

Serwis może przekazać ją klientowi przy przyjęciu roweru albo zamieścić na swojej stronie, uzupełniając pola w nawiasach.

Administratorem Twoich danych jest [nazwa Serwisu, adres, kontakt]. Przetwarzamy je, żeby przyjąć i wykonać naprawę, kontaktować się w jej sprawie i informować o jej statusie (art. 6 ust. 1 lit. b RODO), a także wystawić dokumenty sprzedaży (art. 6 ust. 1 lit. c RODO). Do obsługi napraw korzystamy z platformy Napravelo, która przetwarza dane w naszym imieniu. Dane przechowujemy do końca naprawy, a potem przez okres wymagany przepisami i do przedawnienia roszczeń. Masz prawo dostępu do danych, ich poprawienia, usunięcia, ograniczenia przetwarzania i przeniesienia, a także prawo skargi do Prezesa UODO. Dane o wysyłce e-maili mogą być przechowywane w USA (na podstawie standardowych klauzul umownych i EU-US Data Privacy Framework). Bez telefonu lub e-maila nie skontaktujemy się z Tobą w sprawie naprawy.