Umowa powierzenia przetwarzania danych osobowych

Wersja: 2026-11-04

1. Strony i zawarcie umowy

1. Umowa jest zawierana między Biurem – przedsiębiorcą, który założył konto w serwisie CMRbox (dalej: Administrator) – a AGERE - Krzysztof Blask, Aleja 400-lecia 70, 23-400 Biłgoraj, NIP 9181943358, REGON 060658566 (dalej: Procesor).
2. Umowa jest zawierana na podstawie art. 28 ust. 3 RODO (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) w chwili akceptacji Regulaminu i niniejszej umowy przy zakładaniu konta. Procesor zapisuje datę, godzinę i wersję akceptacji.
3. Umowa obowiązuje przez czas świadczenia usług na podstawie Regulaminu i wygasa wraz z ich zakończeniem, z zastrzeżeniem punktu 10.
4. Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie.

2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usług CMRbox: wysyłania Kierowcom wiadomości z prośbą o Dokumenty i przypomnień, udostępnienia Kierowcom strony Zlecenia, odbioru, przechowywania i przetwarzania Dokumentów (w tym automatycznej kontroli jakości zdjęć: wykrycie rogów kartki, ostrości, ucięcia, podpisu i pieczątki odbiorcy, uwag), tworzenia z nich plików PDF i wysyłania ich Odbiorcom dokumentów, a także – po uruchomieniu tych funkcji – importu Zleceń z plików i wiadomości e-mail.
2. Charakter przetwarzania: zbieranie, zapisywanie, przechowywanie, porządkowanie, przeglądanie w panelu Administratora, przekształcanie (np. zdjęcie w PDF, prostowanie zdjęcia, odczyt danych z wiadomości e-mail), automatyczna analiza zdjęć Dokumentów przez model sztucznej inteligencji (wynik ma charakter pomocniczy, bez podejmowania decyzji wobec osób, których dane dotyczą), przesyłanie, usuwanie.
3. Przetwarzanie odbywa się w sposób zautomatyzowany, w systemie informatycznym CMRbox.

3. Rodzaje danych i kategorie osób

Procesor nie przetwarza na zlecenie Administratora szczególnych kategorii danych (art. 9 RODO). Administrator nie powinien ich wprowadzać do Serwisu.

4. Polecenia Administratora

1. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniami są: niniejsza umowa, Regulamin oraz działania i ustawienia Administratora w panelu (np. dodanie Zlecenia, wskazanie Odbiorców dokumentów, ustawienia przypomnień, godzin ciszy nocnej i limitu SMS, anulowanie Zlecenia).
2. Administrator poleca Procesorowi także:
   • pokazywanie Kierowcy na stronie „Moje zlecenia” otwartych Zleceń skierowanych na ten sam numer telefonu przez różnych klientów CMRbox (wyłącznie nazwa Biura, numer Zlecenia, trasa, brakujące Dokumenty), tak aby Kierowca mógł w jednym miejscu przesłać Dokumenty do każdego z nich;
   • respektowanie zgłoszeń Kierowców „To nie mój numer” i „Nie chcę SMS-ów z CMRbox” (wspólnej dla wszystkich klientów listy numerów wypisanych z SMS-ów);
   • usuwanie Dokumentów i plików wiadomości e-mail ze Zleceniami po 24 miesiącach od ich otrzymania.
3. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.
4. Przetwarzanie danych w innym celu jest możliwe tylko, gdy wymaga tego prawo Unii lub prawo polskie; Procesor informuje wtedy Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania.

5. Obowiązki Procesora

Procesor:

1. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi tajemnicy;
2. stosuje środki techniczne i organizacyjne wymagane przez art. 32 RODO, opisane w punkcie 8;
3. przestrzega warunków korzystania z usług dalszych podmiotów przetwarzających (punkt 6);
4. pomaga Administratorowi, w miarę możliwości, odpowiednimi środkami technicznymi i organizacyjnymi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO); żądania skierowane bezpośrednio do Procesora przekazuje Administratorowi bez zbędnej zwłoki;
5. pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne informacje;
6. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty (punkt 9);
7. Zgłoszenie błędu dokonane przez Administratora lub automatyczny alert krytyczny systemu stanowią udokumentowane polecenie dla Procesora umożliwiające tymczasowy dostęp do powierzonych danych, w tym do treści Dokumentów, w niezbędnym zakresie, w celu usunięcia awarii lub rozpatrzenia zgłoszenia. Każdy taki dostęp jest rejestrowany, a Administrator może zapoznać się z jego historią w panelu i poddać go audytowi.

6. Dalsze podmioty przetwarzające

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Aktualna lista:

1. Procesor informuje Administratora e-mailem o zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego co najmniej 14 dni wcześniej. W tym czasie Administrator może wyrazić sprzeciw; jeżeli strony nie dojdą do porozumienia, Administrator może rozwiązać umowę i Regulamin ze skutkiem natychmiastowym.
2. Procesor nakłada na dalsze podmioty przetwarzające te same obowiązki ochrony danych, co w niniejszej umowie (w szczególności przez ich standardowe umowy powierzenia, DPA), i odpowiada wobec Administratora za ich wykonanie.
3. Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się tylko przy zastosowaniu zabezpieczeń z rozdziału V RODO: decyzji stwierdzającej odpowiedni stopień ochrony (w tym EU–US Data Privacy Framework dla certyfikowanych podmiotów) lub standardowych klauzul umownych.

7. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od jego stwierdzenia, e-mailem na adres Biura podany w koncie.
2. Zgłoszenie zawiera, w miarę dostępnych informacji: opis naruszenia (kategorie i przybliżoną liczbę osób i rekordów), prawdopodobne skutki, podjęte i proponowane środki oraz dane kontaktowe. Informacje, których nie da się podać od razu, Procesor przekazuje sukcesywnie.
3. Procesor dokumentuje naruszenia i współpracuje z Administratorem przy ich wyjaśnianiu, zgłoszeniu do Prezesa UODO i zawiadomieniu osób, których dane dotyczą.

8. Środki techniczne i organizacyjne (podsumowanie)

• Szyfrowanie w transmisji: wszystkie połączenia z serwisem, bazą danych i dostawcami odbywają się przez HTTPS / TLS.
• Szyfrowanie danych w spoczynku: zapewniane przez dostawcę infrastruktury (Supabase) w standardzie AES-256.
• Izolacja klientów: dane każdego Biura są oddzielone regułami dostępu na poziomie bazy danych (Row Level Security); Biuro widzi wyłącznie swoje Zlecenia, Kierowców i Dokumenty. Wspólne dane numerów telefonów nie są Biurom udostępniane bezpośrednio.
• Pliki: Dokumenty są w prywatnym magazynie; pobranie wymaga zalogowania i krótkotrwałego, podpisanego linku (kilka minut). Kierowca może tylko przesyłać pliki do swojego Zlecenia przez jednorazowe podpisane adresy.
• Dostęp Kierowcy: długi losowy link do jednego Zlecenia, bez danych innych Biur poza listą „Moje zlecenia” opisaną w punkcie 4.2; link wygasa 30 dni po dostarczeniu Dokumentów, a także po anulowaniu Zlecenia lub zmianie kierowcy. Strona pokazuje tylko dane potrzebne do wykonania zadania.
• Logowanie Biur: jednorazowe kody i linki wysyłane na e-mail; hasło opcjonalne, przechowywane wyłącznie w postaci skrótu (hash) przez dostawcę uwierzytelniania.
• Minimalizacja i retencja: Dokumenty i pliki e-mail ze Zleceniami usuwane po 24 miesiącach; SMS-y nie są wysyłane w godzinach ciszy nocnej; limit SMS na Zlecenie.
• Dostęp administracyjny: dostęp do systemów produkcyjnych ma wyłącznie Procesor (właściciel); dane dostępowe przechowywane poza repozytorium kodu, z ograniczonym zakresem uprawnień.
• Kopie zapasowe: [do uzupełnienia – plan płatny Supabase z kopiami zapasowymi przed udostępnieniem serwisu klientom].
• Monitorowanie i testy: automatyczne testy izolacji danych między Biurami przy zmianach bazy danych; logi zdarzeń dotyczących wysyłek i zmian statusów Zleceń.

9. Audyt

1. Administrator może sprawdzić, czy Procesor przestrzega umowy, przede wszystkim przez pisemne pytania i żądanie informacji, na które Procesor odpowiada w ciągu 14 dni.
2. Audyt na miejscu lub przez niezależnego audytora jest możliwy nie częściej niż raz w roku (lub po naruszeniu ochrony danych), po uprzedzeniu Procesora co najmniej 14 dni wcześniej, w godzinach pracy, na koszt Administratora i z zachowaniem poufności danych innych klientów Procesora.

10. Zakończenie przetwarzania

1. Po zakończeniu świadczenia usług Procesor – zależnie od decyzji Administratora – usuwa albo zwraca mu dane osobowe (Administrator może pobrać Dokumenty z panelu w terminie: 30 dni), a następnie usuwa istniejące kopie, chyba że prawo Unii lub prawo polskie nakazuje ich przechowywanie.
2. Kopie w kopiach zapasowych dostawców są usuwane w cyklu ich nadpisywania. [Do uzupełnienia: okres.]
3. Na żądanie Procesor potwierdza Administratorowi usunięcie danych.

11. Odpowiedzialność i postanowienia końcowe

1. Wzajemna odpowiedzialność finansowa Procesora wobec Administratora z tytułu niniejszej umowy jest ograniczona do limitów przewidzianych w punkcie 10 Regulaminu („Odpowiedzialność”). Ograniczenie to nie wyłącza odpowiedzialności Procesora wobec osób, których dane dotyczą (w szczególności Kierowców), przewidzianej bezwzględnie obowiązującym art. 82 RODO. W takim przypadku stronom przysługuje prawo wzajemnego regresu proporcjonalnie do stopnia zawinienia.
2. W sprawach nieuregulowanych stosuje się RODO, przepisy polskie i Regulamin. W razie sprzeczności z Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.
3. Zmiany umowy wprowadza się na zasadach zmian Regulaminu.