Umowa powierzenia przetwarzania danych (AVV)

1. Przedmiot i czas trwania

Przedmiotem umowy jest przetwarzanie danych osobowych w związku z udostępnianiem LogCon jako oprogramowania w modelu usługowym (SaaS). Czas trwania umowy odpowiada okresowi obowiązywania umowy głównej.

2. Charakter i cel przetwarzania

Zarządzanie transportem, obsługa zleceń wspomagana przez AI, dyspozycja, komunikacja z klientami, przewoźnikami i kierowcami, tworzenie dokumentów, przygotowanie zgłoszeń celnych oraz rozliczenia.

3. Kategorie danych i osoby, których dane dotyczą

• Pracownicy Administratora: imię i nazwisko, e-mail, telefon, rola, język, dane logowania
• Kierowcy (własni oraz podwykonawców): imię i nazwisko, telefon, język, kwalifikacje, dane pozycji podczas tras
• Osoby kontaktowe u klientów i przewoźników: imię i nazwisko, dane kontaktowe, treść komunikacji
• Dane zleceń, dokumentów, celne i fakturowe zawierające dane osobowe

4. Obowiązki Podmiotu przetwarzającego

• Przetwarzanie wyłącznie na udokumentowane polecenie Administratora
• Zobowiązanie do zachowania poufności przez wszystkie upoważnione osoby
• Wdrożenie środków technicznych i organizacyjnych (załącznik 1)
• Wsparcie w zakresie realizacji praw osób, których dane dotyczą, ocen skutków dla ochrony danych oraz obowiązków zgłoszeniowych
• Informowanie Administratora, jeżeli w ocenie Podmiotu przetwarzającego polecenie narusza przepisy o ochronie danych

5. Podprzetwarzający

Administrator zatwierdza podprzetwarzających wymienionych w załączniku 2. O planowanych zmianach Podmiot przetwarzający informuje Administratora z co najmniej 30-dniowym wyprzedzeniem; Administrator może wnieść sprzeciw z ważnego powodu związanego z ochroną danych.

6. Środki techniczne i organizacyjne (załącznik 1)

• Kontrola dostępu fizycznego: centrum danych w UE z certyfikatem ISO 27001, brak fizycznego dostępu personelu Podmiotu przetwarzającego
• Kontrola dostępu do systemu: hasła w postaci skrótów bcrypt, uwierzytelnianie dwuskładnikowe, blokada po nieudanych próbach logowania, tokeny JWT z ograniczonym czasem ważności, klucze API przechowywane wyłącznie jako skróty
• Kontrola dostępu do danych: uprawnienia oparte na rolach, zasada minimalnych uprawnień, administracja obejmująca całą platformę wyłącznie z uprawnieniami zweryfikowanymi w bazie danych
• Kontrola rozdzielenia danych: identyfikator klienta (tenant ID) w każdej tabeli, odrębne ścieżki przechowywania danych dla każdego klienta
• Szyfrowanie: TLS podczas transmisji, AES-256-GCM dla danych dostępowych integracji, szyfrowanie dysków u dostawcy hostingu
• Kontrola wprowadzania danych: dziennik audytu rejestrujący stan przed i po zmianach oraz działaniach AI
• Kontrola przekazywania danych: webhooki podpisane HMAC, wychodzące wiadomości e-mail wysyłane wyłącznie przez skonfigurowane serwery
• Dostępność: codzienne szyfrowane kopie zapasowe bazy danych i dokumentów, z przechowywaniem 7 kopii dziennych, 4 tygodniowych i 12 miesięcznych, szyfrowana kopia zewnętrzna u drugiego dostawcy, udokumentowana procedura przywracania, monitorowanie
• Zarządzanie ochroną danych: rejestr czynności przetwarzania, koncepcja usuwania danych, proces reagowania na incydenty

7. Zgłaszanie naruszeń ochrony danych

Podmiot przetwarzający zgłasza naruszenia ochrony danych osobowych bez zbędnej zwłoki, najpóźniej w ciągu 24 godzin od powzięcia wiadomości o naruszeniu, wraz z informacjami wymaganymi na podstawie art. 33 ust. 3 RODO.

8. Prawo do kontroli

Administrator może zweryfikować przestrzeganie niniejszej umowy poprzez wgląd w dowody i raporty, a po odpowiednio wczesnym powiadomieniu – poprzez kontrolę na miejscu.

9. Usunięcie i zwrot danych

Po zakończeniu umowy podmiot przetwarzający udostępnia pełny eksport danych przez 30 dni, a następnie usuwa wszystkie dane administratora wraz z kopiami i potwierdza usunięcie. Ustawowe obowiązki przechowywania pozostają nienaruszone; szyfrowane kopie zapasowe są nadpisywane w regularnym cyklu rotacji, najpóźniej po 12 miesiącach.

10. Przekazywanie danych do państw trzecich

Przekazywanie danych do państw trzecich odbywa się wyłącznie na warunkach określonych w art. 44 i nast. RODO, w szczególności na podstawie decyzji stwierdzającej odpowiedni poziom ochrony lub standardowych klauzul umownych.

11. Transparentność AI (załącznik 4)

Agenci AI tworzą propozycje lub – w zależności od poziomu autonomii ustawionego przez Administratora – wykonują działania. Każda czynność AI jest rejestrowana wraz z modelem, godziną, poziomem pewności oraz stanem przed i po zmianie; działania automatyczne są odwracalne. Dane klienta nie są wykorzystywane do trenowania modeli AI.

12. Postanowienia końcowe

W razie sprzeczności niniejsza umowa ma pierwszeństwo przed umową główną w kwestiach ochrony danych. Zastosowanie ma prawo austriackie; sądem właściwym jest sąd w Wienu.

Załącznik 2: podprzetwarzający

Patrz poniższa tabela.