Umowa Powierzenia Przetwarzania Danych Osobowych

Data Processing Agreement (DPA)

Wersja obowiązująca od dnia: 5 marca 2026 r. • Podstawa: art. 28 Rozporządzenia (UE) 2016/679 (RODO)

§ 1. Strony umowy i definicje

1. Administrator Danych (dalej: „Administrator") — Użytkownik platformy TrackTms, tj. podmiot prowadzący działalność transportową, który samodzielnie ustala cele i sposoby przetwarzania danych osobowych swoich kierowców, pracowników i kontrahentów.
2. Podmiot Przetwarzający (dalej: „Procesor”) — operator platformy TrackTms: Impacty sp. z o.o., który przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora.
3. Na potrzeby niniejszej Umowy stosuje się definicje zawarte w art. 4 RODO oraz definicje z Regulaminu Świadczenia Usług TrackTms.
4. Zawarcie niniejszej Umowy następuje z chwilą akceptacji Regulaminu przy rejestracji konta w Systemie TrackTms. Forma elektroniczna spełnia wymagania art. 28 ust. 9 RODO.

§ 2. Przedmiot i zakres powierzenia

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usług platformy TrackTms, w szczególności:
   • śledzenie GPS i telematyka — przetwarzanie danych geolokalizacyjnych pojazdów i powiązanych z nimi kierowców;
   • zarządzanie flotą — ewidencja pojazdów, kierowców, dokumentów;
   • obsługa zleceń transportowych — przetwarzanie danych o trasach, ładunkach i kontrahentach;
   • rozliczenia i fakturowanie — generowanie faktur, obliczanie kursów NBP, integracja z KSeF;
   • analiza tachografów — przetwarzanie danych o czasie pracy kierowców;
   • AI Document Parser — automatyczna ekstrakcja danych ze skanów dokumentów z użyciem modelu językowego (GPT-4o-mini) z uprzednią anonimizacją danych identyfikacyjnych.
2. Charakter przetwarzania: zbieranie, utrwalanie, przechowywanie, opracowywanie, modyfikowanie, udostępnianie, usuwanie danych.
3. Cel przetwarzania: realizacja usług opisanych w Regulaminie, tj. dostarczanie funkcjonalności systemu TMS.
4. Czas przetwarzania: od momentu rejestracji konta do zakończenia umowy i upływu okresów retencji określonych w § 11.

§ 3. Kategorie danych i osób, których dane dotyczą

1. Kategorie osób:
   • kierowcy zatrudnieni/współpracujący z Administratorem;
   • pracownicy biurowi / dyspozytorzy Administratora;
   • kontrahenci (osoby fizyczne prowadzące działalność gospodarczą);
   • osoby kontaktowe kontrahentów Administratora.
2. Kategorie danych osobowych:

   Kategoria	Rodzaje danych
   Identyfikacyjne	Imię, nazwisko, adres e-mail, numer telefonu, NIP, REGON
   Geolokalizacyjne	Współrzędne GPS (szerokość/długość), prędkość, kierunek jazdy, znaczniki czasu
   Pracownicze / kierowcy	Numer prawa jazdy, kategorie, termin ważności, numer karty kierowcy, data urodzenia, adres zamieszkania
   Tachograficzne	Czas jazdy, odpoczynku, dyspozycyjności; naruszenia norm czasu pracy
   Finansowe	Dane faktur, numery kont bankowych, kwoty, kursy walut
   Techniczne	Adres IP, typ przeglądarki, logi aktywności w Systemie

3. Procesor nie przetwarza danych szczególnych kategorii (art. 9 RODO), chyba że Administrator samodzielnie wprowadzi takie dane do Systemu, ponosząc pełną odpowiedzialność za ich legalność.

§ 4. Obowiązki Procesora

1. Procesor zobowiązuje się przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Administratora (art. 28 ust. 3 lit. a RODO), chyba że obowiązek przetwarzania wynika z prawa Unii Europejskiej lub prawa polskiego.
2. Procesor zapewnia, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy (art. 28 ust. 3 lit. b RODO).
3. Procesor podejmuje wszelkie środki wymagane na mocy art. 32 RODO (bezpieczeństwo przetwarzania), opisane szczegółowo w § 7 niniejszej Umowy.
4. Procesor pomaga Administratorowi w realizacji obowiązków wynikających z art. 32–36 RODO (bezpieczeństwo, ocena skutków, uprzednie konsultacje) oraz art. 15–22 RODO (prawa osób, których dane dotyczą).
5. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie Administratora stanowi naruszenie RODO lub innych przepisów o ochronie danych.
6. Procesor prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora zgodnie z art. 30 ust. 2 RODO.

§ 5. Podpowierzenie (sub-procesory)

1. Administrator wyraża ogólną zgodę (art. 28 ust. 2 RODO) na korzystanie przez Procesora z dalszych podmiotów przetwarzających (sub-procesorów), pod warunkiem spełnienia wymogów niniejszego paragrafu.
2. Aktualna lista sub-procesorów:

   Sub-procesor	Zakres	Lokalizacja
   OpenAI, Inc.	AI Document Parser — przetwarzanie zanonimizowanych treści dokumentów (NIP, IBAN, e-mail, telefon usuwane przed wysłaniem)	USA (DPF + SCC)
   Dostawca hostingu (Hetzner Online GmbH)	Infrastruktura serwerowa (baza danych, backend API)	EOG
   Dostawca SMTP (Mailgun / Brevo)	Wysyłka wiadomości e-mail transakcyjnych	EOG / USA (DPF)
   Sentry (Functional Software Inc.)	Monitoring błędów aplikacji	USA (DPF + SCC)

3. Procesor informuje Administratora o każdej zamierzonej zmianie dotyczącej dodania lub zastąpienia sub-procesora z 14-dniowym wyprzedzeniem, drogą elektroniczną (e-mail zarejestrowany w Systemie). Administrator może wnieść uzasadniony sprzeciw w terminie 14 dni od otrzymania informacji.
4. Procesor zawiera z każdym sub-procesorem umowę, która nakłada na sub-procesora obowiązki ochrony danych nie mniejsze niż wynikające z niniejszej Umowy (art. 28 ust. 4 RODO).

§ 6. Przekazywanie danych do państw trzecich

1. Co do zasady, dane osobowe przetwarzane są na terenie Europejskiego Obszaru Gospodarczego (EOG).
2. W przypadku korzystania z sub-procesorów zlokalizowanych poza EOG (w szczególności OpenAI, Inc. — USA), Procesor zapewnia odpowiedni poziom ochrony poprzez:
   • weryfikację uczestnictwa sub-procesora w programie EU-U.S. Data Privacy Framework (DPF); oraz
   • zawarcie Standardowych Klauzul Umownych (SCC) przyjętych decyzją wykonawczą Komisji Europejskiej 2021/914.
3. Procesor podkreśla, że w przypadku modułu AI Document Parser do sub-procesora (OpenAI) przekazywany jest wyłącznie tekst zanonimizowany — tj. pozbawiony wszelkich danych umożliwiających identyfikację osób fizycznych lub podmiotów gospodarczych. Transfer ten nie stanowi zatem przekazania danych osobowych w rozumieniu rozdziału V RODO.

§ 7. Środki techniczne i organizacyjne (TOMs)

1. Procesor wdraża następujące środki bezpieczeństwa (art. 32 RODO):

   Kategoria	Środek
   Szyfrowanie w tranzycie	TLS 1.2+ (HTTPS) dla wszystkich połączeń API i interfejsu użytkownika
   Szyfrowanie w spoczynku	AES-256-GCM dla sekretów GPS (klucze Teltonika/Logisat) i danych DDD tachografów
   Uwierzytelnianie	JWT z ograniczonym czasem ważności (15 min access + refresh token); bcrypt z solą dla haseł
   Autoryzacja	RBAC (6 ról: SUPER_ADMIN, ADMIN, MANAGER, DISPATCHER, USER, DRIVER) + FleetGroup isolation
   Izolacja danych	Multi-tenancy (companyId); companyId wyłącznie z JWT, nie z parametrów zapytania
   Rate limiting	ThrottlerGuard (Redis-backed), limity per-endpoint, per-user i per-company
   Audit trail	Rejestr zdarzeń: logowanie, zmiana uprawnień, eksport danych, operacje CRUD na zasobach krytycznych
   Kopie zapasowe	Automatyczne backupy PostgreSQL (pg_dump) z retencją 30 dni; WAL archiving z PITR do 5 minut wstecz
   Walidacja wejścia	class-validator (DTO) + Zod (AI Parser output); parametryzowane zapytania SQL (brak SQL injection)
   Anonimizacja AI	Regex-based pre-LLM anonymizer: NIP, REGON, KRS, IBAN, e-mail, telefon, VAT EU → tokeny [TYPE_N]

2. Procesor regularnie weryfikuje skuteczność wdrożonych środków i aktualizuje je odpowiednio do zmieniającego się ryzyka.

§ 8. Naruszenie ochrony danych osobowych

1. Procesor niezwłocznie, nie później niż w ciągu 24 godzin od stwierdzenia naruszenia ochrony danych osobowych, informuje Administratora o naruszeniu, podając co najmniej:
   • charakter naruszenia, w tym — w miarę możliwości — kategorie i przybliżoną liczbę osób oraz rekordów danych, których dotyczy naruszenie;
   • imię i nazwisko oraz dane kontaktowe osoby, od której można uzyskać więcej informacji;
   • opis prawdopodobnych konsekwencji naruszenia;
   • opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu, w tym — w stosownych przypadkach — środków w celu zminimalizowania jego ewentualnych negatywnych skutków.
2. Procesor dokumentuje wszelkie naruszenia, w tym okoliczności, skutki i podjęte działania naprawcze (art. 33 ust. 5 RODO).
3. Procesor wspiera Administratora w wywiązywaniu się z obowiązków notyfikacyjnych wobec organu nadzorczego (art. 33 RODO) oraz wobec osób, których dane dotyczą (art. 34 RODO).

§ 9. Audyt i kontrola

1. Procesor udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzenie audytu (art. 28 ust. 3 lit. h RODO).
2. Audyt może być przeprowadzony nie częściej niż raz na 12 miesięcy, z 30-dniowym uprzednim powiadomieniem, w godzinach roboczych Procesora, na koszt Administratora.
3. Procesor może zaproponować audytorowi dostęp do raportu z audytu certyfikacyjnego (SOC 2 Type II lub równoważnego), jeżeli taki raport jest dostępny, celem ograniczenia konieczności prowadzenia indywidualnych audytów.

§ 10. Czas trwania i rozwiązanie umowy

1. Niniejsza Umowa obowiązuje przez cały okres świadczenia usług przez Procesora na rzecz Administratora na podstawie Regulaminu Świadczenia Usług TrackTms (standardowo: 36 miesięcy z automatycznym przedłużeniem).
2. Umowa ulega rozwiązaniu automatycznie w momencie zakończenia umowy głównej (Regulaminu), niezależnie od przyczyny zakończenia (wypowiedzenie, wygaśnięcie, rozwiązanie za porozumieniem stron).
3. Rozwiązanie niniejszej Umowy nie wpływa na obowiązki Procesora dotyczące postępowania z danymi po zakończeniu umowy (§ 11).

§ 11. Postępowanie z danymi po zakończeniu umowy

1. Po zakończeniu umowy Procesor, według wyboru Administratora wyrażonego na piśmie (w tym drogą elektroniczną):
   • zwraca wszystkie dane osobowe — w formacie eksportu CSV/JSON dostępnym w module GDPR Systemu (§ 6 praw osób, których dane dotyczą w Polityce Prywatności); lub
   • usuwa wszystkie dane osobowe, w tym istniejące kopie, chyba że prawo Unii lub prawo polskie nakazuje przechowywanie danych (np. obowiązki podatkowe — 5 lat dla faktur).
2. Administrator ma 30 dni od zakończenia umowy na złożenie dyspozycji eksportu danych. W razie braku dyspozycji, Procesor automatycznie usunie dane po upływie 90 dni od zakończenia umowy.
3. Dane objęte obowiązkiem retencji prawnej (faktury — 5 lat, dokumenty podatkowe — 5 lat) zostaną zachowane w minimalnym zakresie wymaganym przez prawo, a następnie usunięte.
4. Procesor potwierdza usunięcie danych certyfikatem usunięcia przesłanym na adres e-mail Administratora.

§ 12. Odpowiedzialność

1. Odpowiedzialność Procesora wobec Administratora za naruszenie niniejszej Umowy lub przepisów RODO regulowana jest zgodnie z art. 82 RODO (prawo do odszkodowania).
2. Procesor odpowiada za szkodę spowodowaną przetwarzaniem wyłącznie, gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem poleceniami Administratora albo wbrew tym poleceniom (art. 82 ust. 2 RODO).
3. Łączna odpowiedzialność Procesora z tytułu niniejszej Umowy ograniczona jest do kwoty odpowiadającej 12-miesięcznemu Abonamentowi uiszczonemu przez Administratora, chyba że ograniczenie to jest wyłączone przez bezwzględnie obowiązujące przepisy prawa.

§ 13. Postanowienia końcowe

1. Niniejsza Umowa podlega prawu polskiemu.
2. Wszelkie spory wynikające z niniejszej Umowy będą rozstrzygane przez sąd właściwy dla siedziby Procesora.
3. W sprawach nieuregulowanych niniejszą Umową zastosowanie mają przepisy RODO, polskiej ustawy o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz. U. z 2019 r. poz. 1781) oraz Kodeksu cywilnego.
4. Procesor zastrzega sobie prawo do aktualizacji niniejszej Umowy w zakresie wymaganym zmianami prawa, zmianami w architekturze Systemu lub zmianami listy sub-procesorów. O istotnych zmianach Administrator zostanie poinformowany z 14-dniowym wyprzedzeniem drogą elektroniczną.
5. Niniejsza Umowa wchodzi w życie z dniem akceptacji Regulaminu przez Administratora.