Umowa powierzenia przetwarzania danych osobowych — ASK Fleet GPS

§ 1. Przedmiot powierzenia

1. Organizacja, jako administrator danych osobowych w rozumieniu RODO, powierza A.S.K. P.S.U. Sp. z o.o. („Podmiot przetwarzający”) przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia ASK Fleet GPS.

2. Niniejsza Umowa powierzenia stanowi uzupełnienie Regulaminu ASK Fleet GPS i obowiązuje przez okres, w którym Podmiot przetwarzający przetwarza dane w imieniu Organizacji.

§ 2. Charakter, cel i zakres

1. Przetwarzanie ma charakter ciągły w okresie świadczenia Usługi i obejmuje w szczególności przechowywanie, organizowanie, udostępnianie upoważnionym Użytkownikom, transmisję, tworzenie kopii technicznych, zabezpieczanie, usuwanie oraz inne operacje konieczne do działania systemu.

2. Celem jest świadczenie funkcji telematycznych, w szczególności lokalizacji GPS, historii tras, postojów, stref, zdarzeń, raportów, danych kierowców i powiadomień.

3. Kategorie osób mogą obejmować pracowników, kierowców, współpracowników, użytkowników urządzeń i inne osoby, których dane Organizacja wprowadza do systemu.

4. Kategorie danych mogą obejmować imię i nazwisko, identyfikatory wewnętrzne, dane pojazdu lub urządzenia, lokalizację, datę i czas, prędkość, trasę, postoje oraz inne dane telematyczne powiązane z osobą. System nie jest przeznaczony do przetwarzania szczególnych kategorii danych osobowych, chyba że strony odrębnie uzgodnią taki zakres.

§ 3. Polecenia Organizacji

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Organizacji, którym są Regulamin, konfiguracja Usługi i czynności wykonywane przez upoważnionych Użytkowników w panelu.

2. Jeżeli Podmiot przetwarzający uzna, że polecenie narusza przepisy o ochronie danych, informuje Organizację przed jego wykonaniem, chyba że prawo zakazuje takiego poinformowania.

§ 4. Poufność i bezpieczeństwo

1. Do danych mają dostęp wyłącznie osoby upoważnione i zobowiązane do zachowania poufności.

2. Podmiot przetwarzający stosuje środki bezpieczeństwa adekwatne do ryzyka, z uwzględnieniem charakteru systemu GPS, w tym kontrolę dostępu i zakresy uprawnień, logiczną separację Organizacji, bezpieczne sesje, hashowanie haseł, ochronę i szyfrowanie wybranych sekretów, ograniczanie nadużyć, logowanie zdarzeń technicznych i administracyjnych, aktualizacje bezpieczeństwa oraz zabezpieczenie transmisji panelu przez HTTPS.

3. Podmiot przetwarzający okresowo weryfikuje adekwatność środków technicznych i organizacyjnych oraz może je zmieniać wraz z rozwojem technologii, pod warunkiem nieobniżania ogólnego poziomu ochrony danych.

§ 5. Dalsze powierzenie

1. Organizacja udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających niezbędnych do hostingu, poczty, infrastruktury i utrzymania Usługi.

2. Podmiot przetwarzający zapewnia, aby dalszy podmiot przetwarzający był związany obowiązkami ochrony danych nie mniej restrykcyjnymi niż wynikające z niniejszej Umowy w zakresie wymaganym przez RODO.

3. Informacja o istotnych zmianach kategorii dalszych podmiotów może być przekazana w panelu lub innym trwałym kanałem, umożliwiając Organizacji zgłoszenie uzasadnionego sprzeciwu.

§ 6. Wsparcie Organizacji

Podmiot przetwarzający, z uwzględnieniem charakteru przetwarzania i dostępnych informacji, wspiera Organizację w realizacji praw osób, obsłudze naruszeń, ocenie skutków dla ochrony danych oraz konsultacjach z organem nadzorczym, w zakresie, w jakim obowiązki te dotyczą danych przetwarzanych w ASK Fleet GPS.

§ 7. Naruszenia ochrony danych

Podmiot przetwarzający informuje Organizację o stwierdzonym naruszeniu ochrony powierzonych danych osobowych bez zbędnej zwłoki po uzyskaniu wiarygodnej informacji o naruszeniu. W miarę dostępności informacja obejmuje charakter naruszenia, kategorie danych i osób, możliwe konsekwencje oraz zastosowane lub planowane środki zaradcze.

§ 8. Usunięcie lub zwrot danych

Po zakończeniu świadczenia Usługi Podmiot przetwarzający usuwa lub zwraca dane zgodnie z Regulaminem i poleceniem Organizacji, chyba że prawo wymaga dalszego przechowywania. Organizacja powinna zgłosić potrzebę eksportu przed upływem okresu retencji. Dane w kopiach bezpieczeństwa mogą być usuwane zgodnie z cyklem rotacji kopii, przy zachowaniu ochrony przed dalszym użyciem i bez przywracania ich do bieżącej pracy, chyba że jest to konieczne do odtworzenia systemu po awarii.

§ 9. Audyt i informacje

Podmiot przetwarzający udostępnia Organizacji informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO. Audyt wymagający działań wykraczających poza standardową dokumentację wymaga wcześniejszego uzgodnienia zakresu, terminu i zasad bezpieczeństwa, a w przypadku znacznego nakładu pracy może być odpłatny, jeżeli przepisy lub odrębna umowa nie stanowią inaczej.

§ 10. Minimalny zakres środków organizacyjnych i technicznych

• indywidualne konta i kontrola uprawnień Użytkowników;
• logiczna separacja danych Organizacji i kontrola zakresu pojazdów;
• ochrona haseł za pomocą bezpiecznych funkcji skrótu oraz ochrona sekretów systemowych;
• HTTPS dla panelu, zabezpieczenia sesji i mechanizmy CSRF;
• rejestrowanie operacji administracyjnych, diagnostyki i zdarzeń bezpieczeństwa;
• mechanizmy ograniczające wielokrotne próby dostępu i nadużycia endpointów;
• retencja danych GPS, kopie bezpieczeństwa i procedury aktualizacji systemu adekwatne do środowiska produkcyjnego.

§ 11. Postanowienia końcowe

W sprawach nieuregulowanych zastosowanie ma RODO, Regulamin ASK Fleet GPS oraz prawo polskie. Umowa obowiązuje od 2026-09-04.