Umowa powierzenia danych

Niniejsza Umowa powierzenia przetwarzania danych osobowych („Umowa powierzenia”) jest częścią Regulaminu zawartego między Warsztatem („Administrator”) a Lessora sp. z o.o., ul. Stanisławowska 47, 54-611 Wrocław, Polska, KRS 0001273600, Sąd Rejonowy dla Wrocławia-Fabrycznej we Wrocławiu, VI Wydział Gospodarczy KRS („Podmiot przetwarzający”). Spełnia wymogi art. 28 rozporządzenia (UE) 2016/679 – ogólnego rozporządzenia o ochronie danych („RODO”). Właściciel akceptuje ją w imieniu Warsztatu przy zakładaniu konta.

1. Przedmiot i czas trwania

1.1. Podmiot przetwarzający świadczy usługę Lessora Auto, czyli usługę online do prowadzenia warsztatów samochodowych i serwisów opon, i w tym celu przetwarza dane osobowe w imieniu Administratora.

1.2. Umowa powierzenia obowiązuje tak długo, jak Podmiot przetwarzający przetwarza dane osobowe dla Administratora, w tym w czasie usuwania danych po zakończeniu usługi.

2. Co jest przetwarzane

Charakter i cel: przechowywanie, porządkowanie, wyświetlanie i wysyłanie danych, w przeglądarce i w aplikacji mobilnej, aby Administrator mógł prowadzić klientów i ich pojazdy, rezerwacje (w tym swoją publiczną stronę rezerwacji), zlecenia, przyjęcie auta ze zdjęciami i podpisem, kosztorysy i akceptacje klientów, tablicę stanowisk, grafik pracowników, części i magazyn, przechowalnię opon, przypomnienia serwisowe, płatności, faktury i ich wysyłkę do KSeF, rozliczenia mechaników, wiadomości do klientów (SMS i e-mail), powiadomienia dla pracowników (e-mail, w aplikacji i push) oraz raporty; import danych Administratora na jego prośbę; wsparcie Administratora; zapewnienie bezpieczeństwa usługi.

Kategorie osób, których dane dotyczą: klienci Administratora (kierowcy, osoby działające w imieniu firm i flot) i inne osoby związane z pojazdem, osoby rezerwujące termin na stronie rezerwacji Administratora, właściciele, menedżerowie, pracownicy recepcji i mechanicy Administratora oraz inne osoby, których dane Administrator zapisuje.

Kategorie danych osobowych: imiona i nazwiska, numery telefonów, adresy e-mail, adresy pocztowe, nazwy firm i NIP, język, dane pojazdu powiązane z osobą (numer rejestracyjny, VIN, marka, model, odczyty przebiegu, terminy przeglądu i ubezpieczenia), rezerwacje, zlecenia i ich historia, opisy usterek i notatki Warsztatu, protokoły przyjęcia, zdjęcia pojazdów (na których mogą być widoczne osoby lub numery rejestracyjne) i podpisy, kosztorysy i decyzje co do nich wraz z czasem, kanałem, adresem IP i przeglądarką, zapisy płatności, faktury i potwierdzenia wpłat, przechowywane komplety opon, przypomnienia, zgody i ich źródło, wysłane wiadomości i stan ich doręczenia, grafiki pracowników, robocizna na zleceniach i rozliczenia, dane logowania i bezpieczeństwa, urządzenia mobilne zarejestrowane do powiadomień push (token push, system, wersja aplikacji), wpisy w dzienniku zdarzeń, pliki przesłane do importu danych oraz wszelkie inne dane, które Administrator zdecyduje się wprowadzić.

Szczególne kategorie danych: nie są przewidziane. Administrator nie powinien wprowadzać szczególnych kategorii danych osobowych (art. 9 RODO) ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO), na przykład w notatkach lub na zdjęciach, chyba że jest to konieczne i zgodne z prawem, i musi wcześniej poinformować o tym Podmiot przetwarzający.

3. Polecenia

3.1. Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora. Poleceniami Administratora są Regulamin, niniejsza Umowa powierzenia oraz sposób korzystania z usługi i jej ustawienia. Wysłanie faktury do KSeF, gdy Administrator włączył tę funkcję, oraz wysłanie SMS-a lub e-maila ustawionego przez Administratora są przetwarzaniem na polecenie Administratora. Dalsze polecenia muszą mieć formę pisemną (wystarczy e-mail).

3.2. Podmiot przetwarzający informuje Administratora, jeśli uzna, że polecenie narusza przepisy o ochronie danych.

3.3. Jeśli prawo Unii lub państwa członkowskiego wymaga innego przetwarzania, Podmiot przetwarzający najpierw informuje o tym Administratora, chyba że to prawo tego zabrania.

4. Poufność

Każda osoba u Podmiotu przetwarzającego, która ma dostęp do danych osobowych, jest zobowiązana do zachowania poufności i ma dostęp tylko w zakresie potrzebnym do jej pracy.

5. Bezpieczeństwo

5.1. Podmiot przetwarzający stosuje środki techniczne i organizacyjne opisane w Załączniku, aby chronić dane osobowe, z uwzględnieniem stanu wiedzy technicznej, kosztów i ryzyka dla osób, których dane dotyczą (art. 32 RODO).

5.2. Podmiot przetwarzający może zmieniać te środki, pod warunkiem że poziom ochrony nie spadnie.

6. Dalsze podmioty przetwarzające

6.1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Obecne dalsze podmioty przetwarzające to:

Firma	W jakim celu	Gdzie
Webdock	Serwery, baza danych i kopie zapasowe	Unia Europejska
Hetzner Online GmbH	Zaszyfrowana kopia zapasowa poza serwerem	Unia Europejska
Cloudflare	DNS, szyfrowanie transmisji i ochrona przed atakami	Sieć światowa
Stripe	Subskrypcje i płatności online	Unia Europejska i Stany Zjednoczone
ImprovMX	Wysyłanie e-maili	Unia Europejska i Stany Zjednoczone
LINK Mobility Poland (SMSAPI)	Wysyłanie SMS-ów do klientów warsztatów	Unia Europejska
Google (Firebase Cloud Messaging)	Powiadomienia push w aplikacji mobilnej	Unia Europejska i Stany Zjednoczone
Apple (Push Notification service)	Powiadomienia push w aplikacji mobilnej	Unia Europejska i Stany Zjednoczone
Sentry	Raporty błędów i awarii z aplikacji webowej i mobilnej	Unia Europejska

6.2. Podmiot przetwarzający informuje Administratora (e-mailem do właściciela lub w aplikacji) co najmniej 30 dni przed dodaniem lub zastąpieniem dalszego podmiotu przetwarzającego. W tym czasie Administrator może zgłosić sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych. Jeśli strony nie rozwiążą sprawy, Administrator może przed zmianą zakończyć korzystanie z usługi, której ona dotyczy, z proporcjonalnym zwrotem opłat wniesionych z góry.

6.3. Podmiot przetwarzający nakłada na każdy dalszy podmiot przetwarzający w drodze umowy te same obowiązki w zakresie ochrony danych i odpowiada za niego wobec Administratora.

6.4. Krajowy System e-Faktur (KSeF), prowadzony przez polską administrację skarbową, nie jest dalszym podmiotem przetwarzającym: faktury trafiają tam do organu publicznego w ramach obowiązku prawnego samego Administratora. Stripe obsługuje płatności między Administratorem a jego klientami na podstawie własnej umowy Administratora ze Stripe.

7. Przekazywanie danych poza EOG

Podmiot przetwarzający utrzymuje usługę w Unii Europejskiej. Przekazanie danych do państwa trzeciego następuje wyłącznie przez dalsze podmioty przetwarzające wymienione w punkcie 6 i wyłącznie z odpowiednimi zabezpieczeniami zgodnie z rozdziałem V RODO, takimi jak decyzja stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule umowne Komisji Europejskiej.

8. Pomoc Administratorowi

8.1. Żądania osób, których dane dotyczą. Usługa pozwala Administratorowi samodzielnie uzyskiwać dostęp do danych osobowych, poprawiać je, eksportować i usuwać. Jeśli Podmiot przetwarzający otrzyma żądanie bezpośrednio, przekazuje je Administratorowi i sam na nie nie odpowiada, chyba że Administrator postanowi inaczej.

8.2. Podmiot przetwarzający w rozsądnym zakresie pomaga Administratorowi w zapewnieniu bezpieczeństwa, zgłaszaniu naruszeń, ocenach skutków dla ochrony danych i konsultacjach z organem nadzorczym (art. 32–36 RODO).

9. Naruszenia ochrony danych osobowych

Podmiot przetwarzający bez zbędnej zwłoki, a jeśli to możliwe w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego danych Administratora, zawiadamia o nim Administratora. Zawiadomienie opisuje, w zakresie, w jakim jest to wiadome, co się stało, jakich danych i osób dotyczy, możliwe skutki oraz podjęte lub proponowane środki.

10. Usunięcie i zwrot danych

10.1. W czasie korzystania z usługi Administrator może w każdej chwili wyeksportować wszystkie swoje dane.

10.2. Usługa sama usuwa niektóre dane: wgrane pliki importu po 30 dniach i pliki eksportu danych po 7 dniach.

10.3. Gdy Administrator usunie swój Warsztat, dane można przywrócić przez 30 dni, a potem są usuwane. Warsztat zamknięty z powodu braku płatności jest usuwany zgodnie z punktem 7.2 Regulaminu. Kopie w zaszyfrowanych kopiach zapasowych są usuwane wraz z ich wygaśnięciem, w ciągu 30 dni. Dane, które Podmiot przetwarzający musi przechowywać na podstawie przepisów (na przykład własne faktury wystawione Administratorowi), są przechowywane tylko w tym celu. Administrator zachowuje własne kopie dokumentów, które musi przechowywać na podstawie przepisów, takich jak jego faktury.

11. Audyty

Podmiot przetwarzający udostępnia informacje niezbędne do wykazania zgodności z Umową powierzenia. Administrator może przeprowadzić audyt, w tym inspekcję, samodzielnie lub przez niezależnego audytora zobowiązanego do zachowania poufności, z co najmniej 30-dniowym wyprzedzeniem, w godzinach pracy i nie częściej niż raz w roku, chyba że wymaga tego naruszenie lub organ nadzorczy. Każda strona ponosi własne koszty.

12. Dostęp pracowników Podmiotu przetwarzającego

Pracownicy wsparcia mogą zalogować się na konto Administratora tylko z podaniem powodu, w celach wsparcia lub bezpieczeństwa. Każde takie wejście jest zapisywane w dzienniku zdarzeń Warsztatu, a pracownicy zalogowani w ten sposób nie mogą zmieniać haseł, ustawień uwierzytelniania dwuskładnikowego ani rozliczeń.

Gdy Administrator prosi Podmiot przetwarzający o import swoich danych (migrację danych), dołącza pliki do zgłoszenia do wsparcia w aplikacji. Pliki pozostają na serwerach Podmiotu przetwarzającego, nie są wysyłane e-mailem, mogą je otworzyć tylko pracownicy wsparcia, a każde pobranie jest zapisywane w dzienniku zdarzeń Warsztatu. Są wykorzystywane tylko do tego importu i usuwane po jego zakończeniu: najpóźniej 30 dni po przesłaniu albo 7 dni po zamknięciu zgłoszenia. Administrator może usunąć je wcześniej w aplikacji.

13. Odpowiedzialność i pierwszeństwo postanowień

Odpowiedzialność na podstawie Umowy powierzenia określają Regulamin i art. 82 RODO. W razie sprzeczności między Umową powierzenia a Regulaminem w sprawach ochrony danych pierwszeństwo ma Umowa powierzenia.

Załącznik: środki techniczne i organizacyjne

• Hosting: serwery i baza danych w Unii Europejskiej.
• Szyfrowanie: HTTPS (TLS) dla całego ruchu, z HSTS; codzienne kopie zapasowe szyfrowane i przechowywane przez 30 dni, z zaszyfrowaną kopią w drugiej lokalizacji w UE; hasła przechowywane wyłącznie jako silne skróty; token KSeF Warsztatu przechowywany w postaci zaszyfrowanej i nigdy więcej niewyświetlany.
• Rozdzielenie: dane każdego Warsztatu są oddzielone w aplikacji; każde zapytanie jest ograniczone do bieżącego Warsztatu, a dostęp do danych innego Warsztatu jest odmawiany. Wgrane pliki, takie jak zdjęcia z przyjęcia auta i faktury, są przechowywane prywatnie dla każdego Warsztatu i udostępniane tylko uprawnionym użytkownikom.
• Linki dla klientów: strony kosztorysu, zlecenia i rezerwacji wysyłane klientom korzystają z długich, losowych linków, które otwierają tylko dane zlecenie lub rezerwację; link do kosztorysu wygasa.
• Kontrola dostępu: role i uprawnienia w każdym Warsztacie (właściciel, menedżer, recepcja, mechanik); uwierzytelnianie dwuskładnikowe dla pracowników Warsztatu oraz klucze dostępu (passkeys); panel administracyjny platformy wymaga aplikacji uwierzytelniającej dla każdego konta pracownika.
• Aplikacja mobilna: osobny token logowania dla każdego urządzenia, przechowywany w bezpiecznym magazynie telefonu i możliwy do unieważnienia w każdej chwili; raporty awarii są pozbawiane danych osobowych.
• Rozliczalność: dziennik zmian dotyczących klientów, ról, ustawień, pieniędzy, faktur, magazynu i akceptacji oraz każdego logowania wsparcia, przechowywany przez 730 dni.
• Bezpieczeństwo aplikacji: nagłówki bezpieczeństwa i polityka bezpieczeństwa treści (CSP), ochrona przed fałszowaniem żądań (CSRF), limity prób logowania i wysyłania formularzy, aktualne zależności.
• Dostępność: monitorowanie nieudanych zadań w tle i błędów; przetestowane odtwarzanie z kopii zapasowych.
• Prawa osób, których dane dotyczą: wbudowany eksport danych klienta i całego Warsztatu oraz usunięcie danych klienta.
• Pracownicy: zobowiązanie do zachowania poufności; dostęp tylko w zakresie potrzebnym do zadania.