Umowa powierzenia przetwarzania danych osobowych Wersja: 1.0 SHA-256 treści: 9860a0c222ea2711870f49adf7c63eb0d8edf9bf992048f96640b4b0dd75756e Umowa powierzenia przetwarzania danych osobowych Wersja: 1.0 UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH Wersja: 2026-10-v1 | Data opracowania: 03.10.2026 1. Strony, przedmiot i czas obowiązywania 1.1. Administratorem jest Klient Rent Car Manager, którego dane identyfikacyjne, firmę i NIP wskazano w potwierdzonej rejestracji. Działa osobiście albo przez osobę uprawnioną do reprezentacji. Dane Klienta i oświadczenie osoby rejestrującej stanowią część dowodu zawarcia tej umowy; nie wymagają wpisywania nazwy każdego klienta do ogólnej treści dokumentu. 1.2. Podmiotem przetwarzającym jest Adam Fizek prowadzący działalność gospodarczą pod firmą RiF Robotyka Adam Fizek, Mnich, ul. Wojska Polskiego 36, 43-520 Chybie, NIP 5482437524, REGON 240912880. Kontakt, w tym w sprawie poleceń i incydentów: biuro@321strona.pl, tel. 573 243 328. 1.3. Umowa jest zawierana elektronicznie wraz z aktywacją konta na podstawie akceptacji tej wersji i uzupełnia umowę dostępu do Rent Car Manager. Obejmuje dane osobowe wprowadzane lub przekazywane przez Administratora w ramach zamówionej usługi oraz obsługi systemu wykonywanej na jego rzecz. 1.4. Powierzenie trwa przez okres próbny, kolejne zamówione okresy świadczenia usługi i czas konieczny do prawidłowego zwrotu lub usunięcia danych i ich kopii. Zakończenie płatnego dostępu nie uchyla obowiązków ochrony danych. Umowa nie obejmuje przetwarzania przez RiF jako odrębnego administratora danych rejestracji, własnych rozliczeń, niezbędnych dowodów i kontaktu, opisanego w Informacji o prywatności i danych konta. 2. Cel, charakter i zakres 2.1. Celem jest techniczna obsługa wypożyczalni w zakresie zamówionych funkcji: ewidencja pojazdów, osób i rezerwacji, dokumentacja najmu, rozliczeń i stanu pojazdu, udostępnianie danych uprawnionym użytkownikom, generowanie dokumentów, utrzymanie i zabezpieczenie aplikacji, kopie zapasowe, wsparcie oraz wykonywanie poleceń wysyłki i integracji. 2.2. Czynności obejmują przyjmowanie i utrwalanie danych, organizowanie, przechowywanie, wyszukiwanie, odczyt, modyfikację, udostępnianie zgodnie z uprawnieniami, przekazywanie na zlecenie, wykonywanie kopii, zwrot i usuwanie. Dostęp diagnostyczny jest ograniczony do niezbędnego zakresu. Dane powierzane nie mogą służyć samodzielnym celom handlowym ani marketingowym Podmiotu przetwarzającego. 2.3. Kategorie osób: najemcy i klienci wypożyczalni, kierowcy, reprezentanci kontrahentów, osoby kontaktowe, pracownicy i współpracownicy, użytkownicy aplikacji oraz osoby zgodnie z prawem wskazane w dokumentach wynajmu, szkód i rozliczeń lub utrwalone w potrzebnej dokumentacji pojazdu. 2.4. Kategorie danych, w zakresie rzeczywiście niezbędnym i wprowadzonym przez Administratora: dane identyfikacyjne, kontaktowe, adresowe i firmowe; dane dokumentów tożsamości i uprawnień do kierowania; dane rezerwacji, najmu, rozliczeń, kaucji i szkód; dane pojazdu powiązane z osobą; dokumenty, podpisy, zdjęcia, nagrania i korespondencja; identyfikatory użytkowników i techniczne informacje o ich operacjach. Funkcja pozwalająca zapisać dane nie stanowi podstawy prawnej ich zbierania. 2.5. Standardowe powierzenie nie obejmuje szczególnych kategorii danych z art. 9 RODO ani danych o wyrokach i czynach zabronionych z art. 10 RODO. Administrator ogranicza zakres danych i unika zbędnego utrwalania dokumentów, osób, podpisów i głosu. Rozszerzenie zakresu wymaga wcześniejszego zgodnego z prawem uzgodnienia i właściwych zabezpieczeń. 3. Polecenia i obowiązki Administratora 3.1. Administrator ustala cele i podstawy prawne, wykonuje obowiązki informacyjne wobec osób, odpowiada za zgodność i minimalizację zakresu danych oraz nadaje, przegląda i odbiera uprawnienia swoich użytkowników. Zapewnia aktualny kontakt do spraw ochrony danych i pilnych zawiadomień, także po końcu abonamentu. 3.2. Udokumentowanymi poleceniami są niniejsza umowa, uzgodnione ustawienia, operacje upoważnionych użytkowników oraz dyspozycje przesłane na biuro@321strona.pl lub w uzgodnionym kanale. Podmiot przetwarzający może proporcjonalnie sprawdzić uprawnienie osoby wydającej polecenie. Polecenie nie może wymagać działania bezprawnego ani samoistnie rozszerzać zamówionej usługi. 3.3. Uruchomienie opcjonalnej integracji i zlecenie konkretnej wysyłki stanowią polecenie wyłącznie w przedstawionym zakresie. Administrator sprawdza adresatów, treść i podstawę wysyłki lub udostępnienia. Konto nie upoważnia Podmiotu przetwarzającego do dowolnej publikacji danych ani materiałów. 4. Obowiązki Podmiotu przetwarzającego 4.1. Przetwarza dane wyłącznie na udokumentowane polecenia Administratora, w tym dotyczące transferów. Gdy przetwarzanie jest wymagane prawem, informuje o tym przed wykonaniem, chyba że prawo zabrania takiej informacji. Niezwłocznie informuje, jeżeli jego zdaniem polecenie narusza przepisy ochrony danych. 4.2. Zapewnia, że dostęp mają wyłącznie osoby upoważnione i zobowiązane do poufności. Stosuje adekwatne do ryzyka środki z art. 32 RODO, z uwzględnieniem charakteru danych, stanu wiedzy technicznej i zagrożeń, oraz sprawdza ich skuteczność. 4.3. Z uwzględnieniem charakteru przetwarzania pomaga obsługiwać prawa osób i obowiązki dotyczące bezpieczeństwa, naruszeń, oceny skutków oraz konsultacji z organem. Wniosek osoby dotyczący danych powierzonych przekazuje Administratorowi bez zbędnej zwłoki; nie rozstrzyga go samodzielnie bez polecenia, chyba że obowiązek wynika z prawa. 4.4. Udostępnia informacje niezbędne do wykazania wykonania obowiązków, umożliwia audyty na zasadach punktu 7 i współpracuje z właściwym organem nadzorczym. Odpowiedzialność za powierzenie określają art. 28 i inne właściwe przepisy RODO; regulamin usługi jej nie wyłącza. 5. Bezpieczeństwo i naruszenia 5.1. Dostęp opiera się na indywidualnych kontach, zabezpieczonych skrótach haseł, ograniczeniu uprawnień i rozdzieleniu danych firm. Publiczna komunikacja z aplikacją jest zabezpieczona HTTPS. Dostęp do infrastruktury administracyjnej wykonuje właściciel RiF; pozostałe konta administracyjne aplikacji mają ograniczone uprawnienia. Główne konto administracyjne korzysta z 2FA, pozostałe obecnie nie wszystkie mają 2FA. 5.2. Podstawowa infrastruktura i kopie RiF znajdują się w Polsce. Kopie są szyfrowane. Serwer zapasowy w trybie warm standby służy szybkiemu przełączeniu i nie zastępuje niezależnych kopii. NAS przechowuje dane z ostatnich 7 dni; na osobnych dyskach tworzona jest kopia raz na dobę z zachowaniem ostatnich 60 kopii. Odtwarzanie jest testowane okresowo. Harmonogram nie stanowi gwarancji konkretnego czasu naprawy ani całkowitego braku utraty danych. 5.3. Stosuje się aktualizacje i kontrolę dostępu. Logi Apache i serwera są przechowywane do 30 dni, logi aplikacji i techniczne zgłoszenia błędów do 90 dni, a historia działań użytkowników do 12 miesięcy; wcześniejsza dyspozycja usunięcia lub zakończenie powierzenia podlegają punktowi 8. Niezbędne dowody konkretnego incydentu mogą być zabezpieczone na czas sprawy zgodnie z prawem. Dane autoryzacyjne integracji są objęte ograniczeniem dostępu; opis nie deklaruje potwierdzonego szyfrowania wszystkich tokenów. 5.4. Po stwierdzeniu naruszenia danych powierzonych Podmiot przetwarzający zawiadamia Administratora bez zbędnej zwłoki, nie czekając na pełne zakończenie wyjaśnień. Kontakt kieruje na aktualny e-mail konta lub wskazany kontakt bezpieczeństwa, a w pilnej sytuacji korzysta również z dostępnego numeru telefonu. Za kontakt ze strony RiF odpowiada Adam Fizek. 5.5. Zawiadomienie obejmuje znane okoliczności, kategorie i przybliżoną skalę danych i osób, możliwe skutki, zastosowane lub proponowane środki oraz kontakt do wyjaśnień. Brakujące dane są uzupełniane etapami bez zbędnej zwłoki. Podmiot przetwarzający dokumentuje naruszenie, ogranicza skutki i pomaga Administratorowi wykonać obowiązki wobec organu i osób. Termin ustawowy Administratora na zgłoszenie organowi nie jest czasem, przez który RiF może zwlekać z zawiadomieniem. 6. Dalsze powierzenie, integracje i transfery 6.1. Administrator udziela ogólnego zezwolenia na dalsze powierzenie podmiotom z wykazu w punkcie 10, wyłącznie w potrzebnym zakresie. Dostawca integracji otrzymuje dane dopiero przy jej użyciu na polecenie Administratora, poza niezbędnymi usługami infrastruktury. 6.2. Przed dodaniem lub zastąpieniem dalszego przetwarzającego RiF informuje e-mailem z co najmniej 14-dniowym wyprzedzeniem o jego nazwie, usłudze, danych, lokalizacjach i istotnych zabezpieczeniach. Administrator może w tym terminie wnieść uzasadniony sprzeciw dotyczący ochrony danych. Strony uzgadniają rozwiązanie; jeżeli bezpieczna kontynuacja nie jest możliwa, Administrator może zakończyć objętą zmianą usługę przed przekazaniem danych i otrzymać proporcjonalny zwrot za niewykorzystany okres oraz odzyskać dane. RiF zapewnia zgodny z art. 28 mechanizm również dla zmian dalszych dostawców swoich procesorów. 6.3. RiF jest zobowiązany zapewnić, przed dalszym powierzeniem, wiążącą umowę lub inne dopuszczalne zobowiązanie nakładające wymagane obowiązki ochrony danych. Odpowiada wobec Administratora za wykonanie obowiązków dalszego przetwarzającego na zasadach art. 28 ust. 4 RODO. Założenie konta usługowego samo w sobie nie zastępuje weryfikacji właściwych warunków powierzenia. 6.4. Transfer lub dostęp spoza EOG może nastąpić tylko zgodnie z rozdziałem V RODO i udokumentowanym poleceniem. Wymaga właściwej decyzji o odpowiednim stopniu ochrony albo zabezpieczeń, w szczególności standardowych klauzul umownych i potrzebnych środków dodatkowych. Sama siedziba dostawcy w Polsce lub zgoda na opcjonalną funkcję nie jest dowodem spełnienia tych wymagań. Informacje i kopię odpowiednich zabezpieczeń można uzyskać przez biuro@321strona.pl, z ochroną cudzych informacji poufnych. 6.5. Obecny YouTube używa wspólnego kanału RiF. Dla objętych warunkami treści audio/wideo Google jest dalszym procesorem na zasadach YouTube Data Processing Terms: https://www.youtube.com/t/terms_dataprocessing. Google może korzystać z infrastruktury w USA i innych państwach; warunki przewidują standardowe klauzule z Google LLC dla wymagających tego transferów. Dla innych operacji Google, np. danych konta i własnej obsługi platformy, role wynikają z odrębnych zasad. 6.6. Jeżeli zostanie uruchomiony własny kanał Klienta, przed połączeniem Strony ustalają i przedstawiają, czy Google jest bezpośrednim procesorem Administratora i jaki zakres obsługuje RiF. Sam opis tej przyszłej możliwości nie zmienia obecnego modelu wspólnego kanału. 6.7. Przy zleceniu e-mail do dostawcy trafiają odbiorca, treść i wybrane załączniki. Przy zleceniu SMSAPI z konta RiF trafiają numer, treść i metadane, a w razie potrzeby link do filmu. Ręczna wysyłka SMS z urządzenia użytkownika nie oznacza wysyłki przez bramkę aplikacji. 6.8. Materiały YouTube służą dokumentacji pojazdu. Administrator ogranicza dane osobowe i wybiera odbiorców. Niepubliczny film może odtworzyć każdy posiadacz linku i przekazać go dalej. Nagrania inspekcyjne nie mogą być publikowane w galerii promocyjnej. Historia pięciu filmów na pojazd jest limitem liczby, nie terminem retencji; właściwy czas ustala Administrator. RiF wykonuje dyspozycje usunięcia ze wspólnego kanału i pomaga obsłużyć prawa osób. 6.9. Autopay oraz własna księgowość RiF otrzymują niezbędne dane rozliczeń usługi, a nie bazę najemców w ramach niniejszego powierzenia. Własne narzędzia reklamy i analityki RiF nie mogą otrzymywać powierzonych danych operacyjnych wypożyczalni na podstawie tej umowy. 7. Informacje i audyt 7.1. Administrator ma prawo do informacji potrzebnych do wykazania zgodności powierzenia oraz audytu samodzielnie lub przez upoważnionego audytora zobowiązanego do poufności. 7.2. Standardowo Strony uzgadniają termin z co najmniej 14-dniowym wyprzedzeniem, zakres i środki ochrony danych innych klientów. Nie ogranicza to pilnej kontroli uzasadnionej incydentem, wiarygodnym podejrzeniem niezgodności lub żądaniem organu. Dokumenty mogą zastąpić wizytę wyłącznie, gdy wystarczają do osiągnięcia jej celu. 7.3. Zwykła informacja o zabezpieczeniach i typowa współpraca są objęte usługą. Odpłatne czynności dodatkowe wymagają uprzedniej akceptacji zakresu i uzasadnionej ceny. Opłaty nie mogą uniemożliwiać realizacji praw ustawowych ani obciążać Administratora za usuwanie niezgodności zawinionej przez RiF. 8. Zwrot, zakończenie i usuwanie danych 8.1. Po zakończeniu usługi, także po nieodnowieniu próby lub abonamentu, Administrator ma 30 dni na pobranie lub zlecenie zwrotu danych. RiF informuje o terminie i udostępnia kontakt umożliwiający wykonanie wyboru. Administrator może od razu polecić usunięcie zamiast zwrotu. Przy ustawowej zmianie dostawcy stosuje się również punkt 8A regulaminu: co najmniej 30 dni na odzyskanie danych po końcu uzgodnionego okresu przejściowego, bez usuwania danych potrzebnych do niezakończonego przejścia. 8.2. Bezpłatny standardowy zwrot obejmuje pełny zakres danych powierzonych i plików pozostających u RiF, w powszechnie odczytywalnej postaci odpowiedniej do rodzaju danych. Zakres, format i bezpieczny sposób przekazania są uzgadniane oraz opisane w potwierdzeniu. Realizacja może być ręczna; umowa nie uzależnia zwrotu od istnienia przycisku eksportu ani od opłacenia nowego abonamentu. Sam zestaw wybranych PDF nie zastępuje zwrotu pozostałych danych. Odrębna płatna konwersja do niestandardowego systemu wymaga uprzedniej zgody i nie może blokować standardowego zwrotu. 8.3. Brak dyspozycji w ciągu 30 dni oznacza polecenie usunięcia danych z aktywnego środowiska po upływie tego okresu. Terminowo zlecony zwrot jest wykonywany bez zbędnej zwłoki; potrzebne dane pozostają zabezpieczone do jego bezpiecznego wykonania, także gdy zlecenie wpłynęło w ostatnim dniu. Wcześniejsze polecenie usunięcia jest wykonywane bez zbędnej zwłoki po bezpiecznej weryfikacji. Zwrócenie danych nie uchyla obowiązku usunięcia pozostałych kopii. Usunięcie może być wykonywane ręcznie; samo ukrycie lub oznaczenie konta jako nieaktywnego nie jest trwałym usunięciem. 8.4. Dane w kopiach kontrolowanych przez RiF pozostają zabezpieczone i wyłączone z bieżącego użycia do usunięcia przez rotację lub kontrolowane usunięcie, nie później niż 120 dni łącznie od końca usługi. Wcześniejsze usunięcie aktywne nie oznacza natychmiastowej modyfikacji wszystkich kopii. Odtworzenie awaryjne nie przywraca prawa używania danych przeznaczonych do usunięcia; odpowiednie dyspozycje wykonuje się ponownie. Limit 120 dni obejmuje okres zwrotu, nie jest do niego doliczany. 8.5. RiF zleca i sprawdza usunięcie danych również u dalszych procesorów w zakresie właściwych usług. Filmy Klienta na wspólnym kanale są usuwane z aktywnego YouTube na jego wcześniejsze polecenie albo po okresie zwrotu, co do zasady do 30 dni od końca usługi. Wyjątek obejmuje materiały potrzebne do terminowo zleconego zwrotu lub ustawowego przeniesienia: pozostają zabezpieczone do ich wykonania i właściwego końca okresu odzyskania, a następnie są usuwane bez zbędnej zwłoki. RiF identyfikuje materiały konkretnego Administratora, aby nie usunąć danych innych firm. Usunięcie pojazdu lub lokalnego połączenia nie zastępuje tej czynności. Dalsze wycofywanie kopii w systemach Google podlega jego wiążącym warunkom i prawu; nie przedstawia się limitu kopii własnych RiF jako potwierdzonej retencji każdej kopii platformy. 8.6. Dane autoryzacji i dane API YouTube podlegają także krótszym terminom i obowiązkom określonym w zasadach API, opisanym w Informacji o prywatności. Cofnięcie dostępu do Google i usunięcie filmu to odrębne operacje. Przy wspólnym kanale wyłączenie obsługi jednego Administratora nie może nieuprawnienie naruszać danych i zleceń pozostałych klientów. 8.7. Jeżeli prawo wymaga zachowania określonych danych, RiF informuje o podstawie, o ile jest to dopuszczalne, ogranicza zakres i przetwarzanie do wymaganego celu oraz zabezpiecza je przez konieczny okres. Własne dowody umowy i rozliczeń nie stanowią podstawy do zachowania całej powierzonej bazy po upływie terminów. 8.8. Na żądanie RiF potwierdza zakres, datę i wykonanie zwrotu lub usunięcia, w tym stan pozostałych kopii i czynności u dostawców. Nie deklaruje skutecznego skasowania materiału u dostawcy bez sprawdzenia wykonania właściwej operacji. 9. Utrwalenie i postanowienia końcowe 9.1. Zawarcie dokumentuje się przez treść i wersję zaakceptowanego dokumentu, dane Klienta, oświadczenie uprawnionej osoby i potwierdzenie aktywacji. Kolejna publikacja nie zastępuje dowodu wcześniejszego zawarcia ani nie dopisuje zgody w imieniu Administratora. 9.2. Nowa umowa powierzenia lub zmiana zakresu wymaga właściwego przedstawienia i uzgodnienia; mechanizm zmian podwykonawców z punktu 6 pozostaje odrębny. W sprawach danych powierzonych ta umowa ma pierwszeństwo przed regulaminem usługi. RODO i inne przepisy, których nie można wyłączyć, zachowują pierwszeństwo przed postanowieniami Stron. 9.3. Stosuje się prawo polskie, a właściwość sądu wynika z przepisów. Obowiązki poufności, współpracy, zwrotu i usunięcia trwają po zakończeniu dostępu przez czas wynikający z ich celu i prawa. 10. Wykaz infrastruktury i dalszych przetwarzających A. Własna infrastruktura RiF Robotyka Adam Fizek Rola: infrastruktura Podmiotu przetwarzającego, a nie odrębny podwykonawca. Zakres: podstawowa baza, aplikacja, przechowywane pliki, serwer zapasowy, NAS i kopie na oddzielnych dyskach. Lokalizacja: Polska; administracja właściciela z EOG. Brak zewnętrznego dostawcy składowania kopii. Parametry określa punkt 5.2. B. OVH Sp. z o.o., Wrocław, Polska Rola: dalszy przetwarzający w zakresie usługi VPS pośredniczącej w ruchu. Dane: techniczne dane połączeń i dane przechodzące przez VPS w zakresie wynikającym z konfiguracji; podstawowa baza nie jest na nim składowana. Lokalizacje: zgodne z zamówioną usługą OVH i jej warunkami przetwarzania, w tym dostępem wsparcia i dalszymi procesorami. Polska siedziba nie jest gwarancją wszystkich lokalizacji. Zasady: właściwa umowa usługi i DPA OVH. Informacje: https://www.ovhcloud.com/pl/personal-data-protection/faq/. C. SEOHOST sp. z o.o., ul. Obornicka 330, 60-689 Poznań, Polska Rola: dalszy przetwarzający dla poczty wychodzącej. Dane: adresy nadawcy i odbiorcy, treść, wybrane załączniki i informacje o dostarczeniu. Lokalizacje: dostawca deklaruje serwery w Polsce; dalszy dostęp i podwykonawcy podlegają właściwym warunkom zamówionej usługi i wymogom punktu 6. Zasady: umowa pocztowa i właściwa umowa powierzenia. Informacje: https://seohost.pl/ oraz https://seohost.pl/pomoc/umowa-powierzenia-danych-rodo. D. LINK Mobility Poland sp. z o.o., ul. Toszecka 101, 44-117 Gliwice, Polska, usługa SMSAPI Rola: dalszy przetwarzający przy zleconej wysyłce z firmowego konta RiF. Operatorzy telekomunikacyjni mogą wykonywać odrębne obowiązki prawne we własnej roli. Dane: numer odbiorcy, treść, techniczne informacje o wysyłce i ewentualnie link do materiału. Lokalizacje: usługa korzysta z infrastruktury w Polsce oraz dalszych dostawców; warunki dopuszczają dostęp grupowy także spoza EOG, który wymaga zabezpieczeń z punktu 6.4. Zasady: regulamin SMSAPI obejmujący właściwe powierzenie oraz warunki dostawcy. Informacje: https://www.smsapi.pl/regulamin i https://www.smsapi.pl/polityka-prywatnosci. E. Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia, usługa YouTube Rola: dalszy przetwarzający objętych warunkami treści audio/wideo przesyłanych na wspólny kanał RiF; odrębne role Google wobec innych danych wynikają z jego zasad. Dane: zlecone filmy i dźwięk oraz niezbędne dane obsługi materiału; po stronie aplikacji także identyfikatory filmów, kanału i dane autoryzacji. Lokalizacje: globalna infrastruktura Google, w tym USA i inne państwa wskazane w informacjach dostawcy. Integracja jest opcjonalna. Zasady transferów: punkt 6.5. Zasady i informacje: https://www.youtube.com/t/terms_dataprocessing, https://policies.google.com/privacy?hl=pl i https://www.google.com/about/datacenters/locations/. F. Zewnętrzny dostęp serwisowy Nie powierzono niezależnej zewnętrznej firmie administracji własną bazą i kopiami RiF. Dostęp techniczny dostawców B-E pozostaje w zakresie ich usług. Dodanie nowej firmy do obsługi danych powierzonych wymaga trybu z punktu 6.2. Księgowość RiF nie jest z tego powodu podwykonawcą obsługującym bazę najemców. Informacje o rzeczywistych lokalizacjach i warunkach konkretnej konfiguracji RiF udostępnia Administratorowi przez biuro@321strona.pl. W razie zmiany podmiotów lub istotnych miejsc przetwarzania stosuje się obowiązki informacji i zabezpieczenia z punktu 6. Akceptacja wykazu nie zastępuje obowiązku RiF zapewnienia prawidłowych umów z każdym dalszym przetwarzającym.