Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu świadczenia usługi Booklio

Wersja 1.0, obowiązuje od 05.11.2026.

§ 1. Strony i zawarcie umowy

1. Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa powierzenia”) zostaje zawarta między Klientem jako administratorem danych (dalej: „Administrator”) a NORDLOGIS SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, z siedzibą: ul. Starowiejska 16/2, 81-356 Gdynia, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS [KRS: do uzupełnienia], sąd rejestrowy: [sąd rejestrowy: do uzupełnienia], NIP 5862378673, REGON [REGON: do uzupełnienia], kapitał zakładowy: [kapitał zakładowy: do uzupełnienia], e-mail: [adres e-mail Booklio: do uzupełnienia] jako podmiotem przetwarzającym (dalej: „Procesor”).
2. Umowa powierzenia zostaje zawarta łącznie z Umową o świadczenie usługi Booklio, z chwilą akceptacji Regulaminu, i stanowi jego integralną część. Pojęcia zdefiniowane w Regulaminie mają w Umowie powierzenia to samo znaczenie. Ilekroć mowa o „RODO”, należy przez to rozumieć rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
3. W sprawach nieuregulowanych w Umowie powierzenia stosuje się Regulamin. W razie sprzeczności w zakresie ochrony danych osobowych pierwszeństwo ma Umowa powierzenia.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych zawartych w Danych Klienta w zakresie i celu niezbędnym do świadczenia Usługi zgodnie z Regulaminem.
2. Charakter przetwarzania obejmuje operacje wykonywane w systemie informatycznym, w szczególności: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, przeglądanie, wyszukiwanie, wykorzystywanie, dopasowywanie, przesyłanie (w tym do Usług Zewnętrznych na polecenie Administratora), ograniczanie, usuwanie i niszczenie.
3. Celem przetwarzania jest umożliwienie Administratorowi prowadzenia jego działalności z użyciem Usługi, w tym obsługa zleceń transportowych i spedycyjnych, flot i kierowców, fakturowania i rozliczeń, korespondencji, kontaktów z kontrahentami oraz analiz.
4. Umowa powierzenia obowiązuje przez czas trwania Umowy oraz okres po jej rozwiązaniu potrzebny do eksportu i usunięcia danych zgodnie z § 9.

§ 3. Kategorie osób i rodzaje danych

1. Przetwarzanie może dotyczyć następujących kategorii osób: pracowników, współpracowników i kierowców Administratora; Użytkowników; osób kontaktowych, przedstawicieli i pracowników kontrahentów, klientów, przewoźników i dostawców Administratora; osób fizycznych prowadzących działalność gospodarczą będących kontrahentami Administratora; innych osób, których dane Administrator wprowadzi do Usługi.
2. Przetwarzanie może obejmować następujące rodzaje danych:
   1. dane identyfikacyjne i kontaktowe (imię, nazwisko, stanowisko, nazwa firmy, NIP, adres, numer telefonu, adres e-mail);
   2. dane z dokumentów kierowców wprowadzone przez Administratora (np. numery i terminy ważności prawa jazdy, karty kierowcy, badań, uprawnień, dokumentów pobytowych) oraz skany tych dokumentów;
   3. dane lokalizacyjne (pozycja GPS urządzenia, prędkość, kierunek) i zdarzenia z trasy zgłaszane w Aplikacjach mobilnych, zdjęcia dokumentów i ładunku;
   4. treść wiadomości, nagrania głosowe, ich transkrypcje i tłumaczenia w rozmowach prowadzonych w Usłudze;
   5. dane z faktur, wyciągów bankowych, przelewów i rozliczeń (np. numery rachunków bankowych, kwoty, tytuły przelewów);
   6. dane pojazdów powiązane z osobami (np. numery rejestracyjne, przypisanie kierowcy);
   7. dane techniczne związane z korzystaniem z Usługi przez Użytkowników Administratora w zakresie, w jakim są przetwarzane na rzecz Administratora.
3. Administrator nie powierza Procesorowi szczególnych kategorii danych osobowych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO), chyba że wprowadzi je do Usługi na własną odpowiedzialność, jeżeli jest do tego uprawniony; Procesor przetwarza je wówczas na zasadach Umowy powierzenia.

§ 4. Obowiązki Procesora

1. Procesor przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie uważa się Regulamin, Umowę powierzenia oraz czynności wykonywane przez Administratora i Użytkowników w Usłudze, w tym konfigurację integracji i funkcji automatycznych. Procesor informuje Administratora, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych.
2. Procesor może przetwarzać dane osobowe także wtedy, gdy obowiązek taki nakłada na niego prawo Unii lub prawo polskie; w takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, chyba że prawo zabrania udzielenia takiej informacji.
3. Procesor zapewnia, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy albo podlegały ustawowemu obowiązkowi tajemnicy.
4. Procesor stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO, odpowiednie do ryzyka, w szczególności: szyfrowanie transmisji danych (HTTPS/TLS); uwierzytelnianie Użytkowników hasłem z możliwością uwierzytelniania wieloskładnikowego; system ról i uprawnień ograniczający dostęp Użytkowników do danych; rozdzielenie danych poszczególnych Klientów na poziomie aplikacji; przechowywanie wybranych danych uwierzytelniających (np. kluczy urządzeń i tokenów dostępowych) w postaci skrótu lub w postaci zaszyfrowanej; przechowywanie plików dokumentów poza katalogiem publicznym serwera; rejestrowanie logowań i operacji zapisu; wykonywanie kopii zapasowych; ograniczenie dostępu personelu Procesora do niezbędnego zakresu.
5. Procesor, uwzględniając charakter przetwarzania, pomaga Administratorowi poprzez odpowiednie środki techniczne i organizacyjne w wywiązywaniu się z obowiązku odpowiadania na żądania osoby, której dane dotyczą (rozdział III RODO), w szczególności przez udostępnienie w Usłudze funkcji wyszukiwania, eksportu, poprawiania i usuwania danych.
6. Procesor, uwzględniając charakter przetwarzania i dostępne informacje, pomaga Administratorowi w wywiązaniu się z obowiązków określonych w art. 32–36 RODO. Pomoc wykraczająca poza udostępnienie funkcji Usługi i informacji, którymi Procesor dysponuje, jest odpłatna według stawek Procesora uzgodnionych z Administratorem.
7. Procesor prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO, jeżeli obowiązek taki go dotyczy.

§ 5. Dalsze podmioty przetwarzające

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających w zakresie niezbędnym do świadczenia Usługi. Procesor nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych odpowiadające obowiązkom z Umowy powierzenia, w szczególności przez umowy lub warunki świadczenia usług zawierające zobowiązania wymagane przez art. 28 RODO.
2. Według stanu na dzień obowiązywania Umowy powierzenia Procesor korzysta z następujących kategorii dalszych podmiotów przetwarzających:

   Podmiot / kategoria	Zakres	Miejsce przetwarzania
   [dostawca hostingu: do uzupełnienia]	hosting serwerów aplikacji, bazy danych i plików, kopie zapasowe	[lokalizacja serwerów: do uzupełnienia]
   [dostawca poczty SMTP: do uzupełnienia]	wysyłka wiadomości e-mail z Usługi	do uzupełnienia wraz z dostawcą
   OpenAI (OpenAI Ireland Ltd i podmioty powiązane)	Funkcje AI: odczyt dokumentów i zdjęć, transkrypcja i tłumaczenie wypowiedzi, asystent głosowy, podpowiedzi i propozycje treści	EOG oraz Stany Zjednoczone
   Google (Google Ireland Ltd, Google LLC)	Firebase Cloud Messaging — powiadomienia w Aplikacjach mobilnych; Gmail API — obsługa skrzynek pocztowych połączonych przez Administratora; usługi powiadomień przeglądarki	EOG oraz Stany Zjednoczone
   Apple (Apple Distribution International Ltd i podmioty powiązane)	doręczanie powiadomień na urządzenia z systemem iOS (APNs)	EOG oraz Stany Zjednoczone
   HERE (HERE Europe B.V.)	mapy, wyznaczanie tras, geokodowanie adresów, opłaty drogowe — przetwarzanie adresów i współrzędnych	EOG; dostawca może korzystać z podmiotów spoza EOG
   [podmiot usługi wydruków PDF faktur: do uzupełnienia]	generowanie wydruków PDF faktur z plików XML	do uzupełnienia wraz z podmiotem
   Dostawcy usług powiadomień przeglądarek (Google, Microsoft, Mozilla, Apple)	doręczanie powiadomień przeglądarki do urządzeń biura; treść powiadomień jest szyfrowana	EOG oraz Stany Zjednoczone

3. Przekazywanie danych do państw trzecich następuje wyłącznie, o ile dotyczy, na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym w ramach EU-U.S. Data Privacy Framework, jeżeli dostawca jest nim objęty) albo standardowych klauzul umownych przyjętych przez Komisję Europejską, wraz z dodatkowymi zabezpieczeniami, jeżeli są wymagane.
4. Usługi Zewnętrzne uruchamiane przez Administratora z użyciem jego własnych kont i umów (w szczególności giełdy transportowe, systemy bankowe, Krajowy System e-Faktur, system Speed ERP, usługi oceny wiarygodności kontrahentów, karty paliwowe, skrzynki poczty Administratora) nie są dalszymi podmiotami przetwarzającymi Procesora — przekazanie danych do tych usług następuje na polecenie Administratora, a ich dostawcy działają na podstawie umów z Administratorem albo jako odrębni administratorzy. Publiczne rejestry i usługi danych (np. wykaz podatników VAT, VIES, GUS, CEPiK, NBP, MET Norway, OpenStreetMap) otrzymują wyłącznie dane niezbędne do zapytania (np. NIP, numer VIN, przybliżone współrzędne).
5. Procesor informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia dalszego podmiotu przetwarzającego, publikując zaktualizowaną listę w Umowie powierzenia albo powiadamiając Administratora drogą elektroniczną, z wyprzedzeniem co najmniej 14 dni. Administrator może w tym terminie wnieść uzasadniony sprzeciw. Jeżeli Strony nie uzgodnią rozwiązania, jedynym skutkiem sprzeciwu jest prawo Administratora do wypowiedzenia Umowy ze skutkiem na dzień wprowadzenia zmiany.
6. Procesor odpowiada wobec Administratora za wypełnienie obowiązków przez dalszy podmiot przetwarzający na zasadach art. 28 ust. 4 RODO, w granicach określonych w § 10.

§ 6. Naruszenia ochrony danych

1. Procesor bez zbędnej zwłoki, nie później niż w terminie 48 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego danych Administratora, zgłasza je Administratorowi na adres e-mail Administratora Klienta.
2. Zgłoszenie zawiera, w zakresie, w jakim informacje są dostępne: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów danych, możliwe konsekwencje, zastosowane lub proponowane środki. Informacje niedostępne w chwili zgłoszenia Procesor przekazuje sukcesywnie.
3. Zgłoszenia naruszenia organowi nadzorczemu i zawiadomienia osób, których dane dotyczą, dokonuje Administrator.

§ 7. Obowiązki Administratora

1. Administrator oświadcza, że jest uprawniony do przetwarzania powierzanych danych osobowych i do ich powierzenia, posiada podstawy prawne przetwarzania i spełnił obowiązki informacyjne wobec osób, których dane dotyczą, w tym w zakresie danych lokalizacyjnych i nagrań.
2. Administrator odpowiada za zakres danych wprowadzanych do Usługi, za konfigurację uprawnień Użytkowników oraz za decyzje o przekazaniu danych do Usług Zewnętrznych i odbiorców wskazanych w Usłudze.

§ 8. Kontrole i audyty

1. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO, przede wszystkim w formie pisemnych odpowiedzi na pytania Administratora oraz dokumentów opisujących stosowane środki ochrony.
2. Jeżeli informacje, o których mowa w ust. 1, okażą się niewystarczające, Administrator może przeprowadzić audyt lub inspekcję, nie częściej niż raz w roku kalendarzowym, po uprzedzeniu Procesora z wyprzedzeniem co najmniej 30 dni, w Dni robocze, w sposób nieutrudniający działalności Procesora i nienaruszający tajemnicy przedsiębiorstwa Procesora ani danych innych klientów. Audytor jest obowiązany do zawarcia z Procesorem umowy o zachowaniu poufności.
3. Koszty audytu ponosi Administrator, w tym uzasadnione koszty czasu pracy personelu Procesora według stawek Procesora. Ograniczenia z ust. 2 nie dotyczą kontroli przeprowadzanej przez organ nadzorczy albo po stwierdzeniu naruszenia ochrony danych z winy Procesora.

§ 9. Zakończenie przetwarzania

1. Po zakończeniu świadczenia Usługi Administrator może w terminie 30 dni wyeksportować dane z użyciem funkcji Usługi. Udostępnienie eksportu stanowi zwrot danych w rozumieniu art. 28 ust. 3 lit. g RODO.
2. Po upływie terminu, o którym mowa w ust. 1, Procesor usuwa dane osobowe, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie. Dane w kopiach zapasowych są usuwane w cyklu ich nadpisywania, nie później niż po [liczba dni przechowywania kopii zapasowych: do uzupełnienia] dniach.

§ 10. Odpowiedzialność

1. Odpowiedzialność Procesora wobec osób, których dane dotyczą, i wobec organów określają przepisy RODO, w szczególności art. 82 i 83 RODO.
2. We wzajemnych relacjach Stron odpowiedzialność Procesora z tytułu Umowy powierzenia jest objęta ograniczeniami i wyłączeniami określonymi w § 12 Regulaminu, w tym łącznym limitem odpowiedzialności, w zakresie dopuszczalnym przez przepisy prawa. Procesor odpowiada wyłącznie za szkody spowodowane przetwarzaniem, w którym nie dopełnił obowiązków nałożonych na podmioty przetwarzające przez RODO lub działał poza zgodnymi z prawem poleceniami Administratora albo wbrew nim (art. 82 ust. 2 RODO).

§ 11. Postanowienia końcowe

1. Umowa powierzenia podlega prawu polskiemu. Sądem właściwym jest sąd określony w Regulaminie.
2. Zmiany Umowy powierzenia następują w trybie zmiany Regulaminu.
3. Wiąże wersja polska Umowy powierzenia.