Umowa powierzenia przetwarzania danych osobowych (art. 28 RODO) — OSK Menadżer
Ostatnia aktualizacja: [DATA]
Niniejsza Umowa powierzenia stanowi integralną część Regulaminu (/terms) i jest zawierana automatycznie, w formie elektronicznej, w momencie założenia Konta Szkoły (akceptacja przy rejestracji na /register). Rejestrując Konto, Szkoła (jako Administrator) powierza Operatorowi (jako Procesorowi) przetwarzanie danych osobowych na warunkach poniżej.
1. Strony
- Administrator — Szkoła (Tenant) korzystająca z Usługi.
- Procesor — [oskmanager.pl], [adres do uzupełnienia], NIP: [000-000-00-00].
2. Przedmiot i czas trwania powierzenia
Przedmiotem powierzenia jest przetwarzanie danych osobowych wprowadzanych przez Administratora do systemu OSK Menadżer w celu świadczenia Usługi opisanej w Regulaminie. Powierzenie trwa przez okres korzystania z Usługi przez Administratora i wygasa z chwilą zakończenia umowy o świadczenie Usługi, z zastrzeżeniem § 7 poniżej (usunięcie/zwrot danych).
3. Charakter i cel przetwarzania
Charakter przetwarzania: hosting, przechowywanie, udostępnianie w interfejsie Usługi, tworzenie kopii zapasowych oraz wsparcie techniczne w zakresie niezbędnym do działania systemu. Cel: umożliwienie Administratorowi prowadzenia ewidencji kursantów, kadry, floty, harmonogramu zajęć, kart jazd i wpłat w ramach Usługi.
4. Rodzaj danych i kategorie osób
Kategorie osób, których dane dotyczą: kursanci, instruktorzy i pozostały personel Szkoły, ewentualnie inne osoby wskazane przez Administratora w notatkach w ramach systemu.
Rodzaje danych: imię i nazwisko, dane kontaktowe (telefon, e-mail), kategoria uprawnień, numer PESEL (o ile Administrator go wprowadzi), dane dotyczące przebiegu szkolenia (karty jazd, harmonogram), dane o wpłatach (kwoty, daty, forma płatności — bez danych kart płatniczych, gdyż Usługa nie jest bramką płatności), dane kadry i floty (uprawnienia instruktorów, dane pojazdów, terminy przeglądów/OC).
Procesor nie wykorzystuje powierzonych danych do żadnych celów własnych innych niż świadczenie Usługi.
5. Obowiązki Procesora
Procesor zobowiązuje się:
- przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Administratora, którym jest korzystanie z Usługi zgodnie z jej przeznaczeniem i Regulaminem — chyba że obowiązek przetwarzania nakłada na Procesora prawo Unii lub prawo polskie; w takim przypadku Procesor informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo nie zakazuje takiego informowania;
- zapewnić, by osoby upoważnione do przetwarzania danych (personel Procesora) zobowiązały się do zachowania poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi poufności;
- wdrożyć środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzania odpowiednie do ryzyka, zgodnie z art. 32 RODO — opisane w Załączniku nr 1;
- uwzględniając charakter przetwarzania, w miarę możliwości pomagać Administratorowi poprzez odpowiednie środki techniczne i organizacyjne w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw);
- pomagać Administratorowi w wywiązywaniu się z obowiązków dotyczących bezpieczeństwa przetwarzania (art. 32), zgłaszania naruszeń organowi nadzorczemu i osobom, których dane dotyczą (art. 33–34), oraz oceny skutków dla ochrony danych i konsultacji z organem nadzorczym (art. 35–36) — w zakresie dotyczącym systemu i będących w posiadaniu Procesora informacji;
- po zakończeniu świadczenia Usługi, zależnie od decyzji Administratora, usunąć lub zwrócić wszelkie dane osobowe oraz usunąć ich istniejące kopie, chyba że prawo Unii lub prawo polskie nakazują przechowywanie danych osobowych;
- udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszej Umowie oraz umożliwiać Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów, w tym inspekcji, i przyczyniać się do nich — na uzasadniony wniosek, z odpowiednim wyprzedzeniem i z poszanowaniem tajemnicy przedsiębiorstwa oraz bezpieczeństwa pozostałych Szkół korzystających z Usługi.
6. Zgłaszanie naruszeń ochrony danych
W przypadku stwierdzenia naruszenia ochrony danych osobowych dotyczącego danych powierzonych przez Administratora, Procesor zgłasza je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od wykrycia, wraz z informacjami niezbędnymi do wypełnienia przez Administratora obowiązków z art. 33–34 RODO.
7. Dalsze powierzenie (podprocesorzy)
Administrator wyraża ogólną zgodę na korzystanie przez Procesora z podprocesorów w celu świadczenia Usługi. Aktualna lista podprocesorów (zgodna z Polityką prywatności, § 4):
| Podprocesor | Rola |
|---|---|
| Neon | hosting bazy danych (PostgreSQL) |
| Google Cloud / Cloud Run | hosting aplikacji |
| Resend | wysyłka e-maili transakcyjnych |
Procesor informuje Administratora o planowanych zmianach dotyczących dodania lub zastąpienia podprocesorów z wyprzedzeniem co najmniej 14 dni, dając Administratorowi możliwość zgłoszenia sprzeciwu z uzasadnionych powodów związanych z ochroną danych. Procesor zapewnia, że każdego podprocesora wiążą obowiązki ochrony danych nie mniej rygorystyczne niż określone w niniejszej Umowie, i ponosi wobec Administratora pełną odpowiedzialność za wywiązanie się przez podprocesora z jego obowiązków.
8. Przekazywanie danych poza EOG
Jeżeli podprocesor przetwarza dane poza Europejskim Obszarem Gospodarczym (dotyczy to obecnie Resend i częściowo usług Google), przekazanie odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO) lub innego ważnego mechanizmu przewidzianego w RODO.
9. Środki techniczne i organizacyjne (Załącznik nr 1)
- Szyfrowanie transmisji danych (TLS) między przeglądarką a systemem.
- Hasła użytkowników przechowywane w postaci zahashowanej (nie w postaci jawnej).
- Kontrola dostępu oparta na rolach (właściciel / sekretariat / instruktor) — użytkownik widzi tylko dane, do których rola daje mu dostęp.
- Logiczna izolacja danych pomiędzy poszczególnymi Szkołami (multi-tenant separation) na poziomie aplikacji i bazy danych.
- Rejestrowanie zdarzeń logowania i kluczowych operacji administracyjnych (logi bezpieczeństwa).
- Regularne kopie zapasowe bazy danych.
- Ograniczony dostęp personelu Procesora do danych Szkół — wyłącznie w zakresie niezbędnym do wsparcia technicznego, z rejestrowaniem trybu impersonacji.
10. Odpowiedzialność
Zasady odpowiedzialności stron w związku z przetwarzaniem danych osobowych powierzonych na podstawie niniejszej Umowy określa § 12 Regulaminu, z zastrzeżeniem, że ograniczenia odpowiedzialności nie dotyczą naruszeń wynikających z winy umyślnej Procesora ani z niezgodnego z RODO wykorzystania danych na potrzeby własne Procesora.
11. Czas trwania i prawo właściwe
Umowa obowiązuje przez czas określony w § 2. W sprawach nieuregulowanych stosuje się RODO oraz przepisy prawa polskiego, w szczególności Regulamin, którego integralną część stanowi niniejsza Umowa.
12. Kontakt
[oskmanager.pl], [adres do uzupełnienia], e-mail w sprawach ochrony danych: [admin@oskmanager.pl]