Back to the app

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

Załącznik numer 2 do Regulaminu świadczenia usług drogą elektroniczną w serwisie FleetFlow.

Wersja 1.1 z dnia 2026-09-16. Obowiązuje od dnia 16 września 2026 roku.

Niniejsza Umowa zostaje zawarta pomiędzy Usługobiorcą, zwanym dalej „Administratorem", a VivaDrive Polska spółką z ograniczoną odpowiedzialnością z siedzibą w Warszawie, adres: ul. Dobra 56/66, 00-312 Warszawa, KRS 0000789919, NIP 7010929600, zwaną dalej „Podmiotem przetwarzającym", z chwilą zawarcia umowy o świadczenie Usługi, o której mowa w Regulaminie.

Pojęcia pisane wielką literą, a niezdefiniowane odmiennie w niniejszej Umowie, mają znaczenie nadane im w Regulaminie.

§ 1. Przedmiot i podstawa powierzenia

  1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych, w zakresie i na zasadach określonych w niniejszej Umowie, zgodnie z art. 28 RODO.

  2. Powierzenie następuje wyłącznie w celu wykonania przez Podmiot przetwarzający umowy o świadczenie Usługi, to jest udostępnienia Administratorowi Serwisu wraz z jego funkcjonalnościami.

  3. Podmiot przetwarzający przetwarza powierzone dane osobowe wyłącznie na udokumentowane polecenie Administratora, którym jest w szczególności korzystanie przez Administratora z funkcjonalności Serwisu, a także niniejsza Umowa. Dotyczy to również przekazywania danych do państwa trzeciego, chyba że obowiązek taki nakłada na Podmiot przetwarzający prawo Unii Europejskiej lub prawo państwa członkowskiego, któremu podlega; w takim przypadku Podmiot przetwarzający informuje Administratora o tym obowiązku prawnym przed rozpoczęciem przetwarzania, chyba że prawo to zakazuje udzielania takiej informacji z uwagi na ważny interes publiczny.

  4. Jeżeli w ocenie Podmiotu przetwarzającego polecenie Administratora stanowi naruszenie RODO lub innych przepisów o ochronie danych, Podmiot przetwarzający niezwłocznie informuje o tym Administratora.

§ 2. Charakter, zakres i czas przetwarzania

  1. Charakter i cel przetwarzania: przechowywanie, porządkowanie, wyszukiwanie, przeglądanie, wykorzystywanie i usuwanie danych w ramach funkcjonalności Serwisu, w celu zarządzania flotą pojazdów Administratora.

  2. Kategorie osób, których dane dotyczą:

    1. kierowcy i inni użytkownicy pojazdów Administratora;
    2. pracownicy i współpracownicy Administratora obsługujący flotę;
    3. osoby wskazane jako nadawcy lub przedmiot korespondencji kierowanej do Serwisu przez Administratora.

  3. Rodzaj danych osobowych:

    1. dane identyfikacyjne: imię, nazwisko, identyfikator wewnętrzny nadany przez Administratora;
    2. dane kontaktowe: służbowy adres poczty elektronicznej, służbowy numer telefonu;
    3. dane dotyczące wykonywanej pracy: przypisanie do pojazdu wraz z okresem przypisania, przypisanie do miejsca powstawania kosztów, okresy nieobecności bez wskazania ich przyczyny;
    4. dane dotyczące korzystania z pojazdu: transakcje paliwowe, przebiegi, dokumenty przekazania i zwrotu pojazdu;
    5. inne dane, które Administrator samodzielnie wprowadzi do Serwisu.

  4. Podmiot przetwarzający nie jest przeznaczony do przetwarzania danych osobowych, o których mowa w art. 9 i art. 10 RODO. Administrator zobowiązuje się nie wprowadzać do Serwisu takich danych, a w szczególności danych o stanie zdrowia, w tym danych o przyczynach nieobecności, oraz danych dotyczących wyroków skazujących i czynów zabronionych.

  5. Czas przetwarzania: przez czas obowiązywania umowy o świadczenie Usługi oraz przez okresy wskazane w § 9 Regulaminu, dotyczące trybu wyłącznie do odczytu, archiwizacji i trwałego usunięcia danych.

§ 3. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się do:

  1. przetwarzania powierzonych danych wyłącznie w zakresie i celu określonym w § 1 i § 2;

  2. zapewnienia, aby osoby upoważnione do przetwarzania powierzonych danych zobowiązały się do zachowania tajemnicy lub aby podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy, oraz do nadawania upoważnień do przetwarzania w minimalnym niezbędnym zakresie;

  3. wdrożenia środków technicznych i organizacyjnych, o których mowa w art. 32 RODO, odpowiadających ryzyku naruszenia praw i wolności osób, których dane dotyczą, w szczególności środków wskazanych w § 8 Polityki prywatności;

  4. przestrzegania warunków korzystania z usług dalszych podmiotów przetwarzających, określonych w § 4;

  5. udzielania Administratorowi pomocy, w miarę możliwości i przy uwzględnieniu charakteru przetwarzania, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO; pomoc ta realizowana jest przede wszystkim przez udostępnienie Administratorowi w Serwisie funkcji przeglądania, poprawiania, eksportu i usuwania danych;

  6. udzielania Administratorowi pomocy w wywiązywaniu się z obowiązków określonych w art. 32-36 RODO, przy uwzględnieniu charakteru przetwarzania i informacji dostępnych Podmiotowi przetwarzającemu;

  7. po zakończeniu świadczenia Usługi - usunięcia powierzonych danych albo ich zwrotu, stosownie do decyzji Administratora, oraz usunięcia ich kopii, chyba że prawo Unii Europejskiej lub prawo państwa członkowskiego nakazuje dalsze przechowywanie danych; szczegółowe terminy określa § 9 Regulaminu, a tryb przeniesienia danych do innego dostawcy - § 10 Regulaminu;

  8. udostępnienia Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwienia przeprowadzania audytów, w tym inspekcji, na zasadach określonych w § 6.

§ 4. Dalsze podmioty przetwarzające

  1. Administrator udziela Podmiotowi przetwarzającemu ogólnego upoważnienia do korzystania z usług dalszych podmiotów przetwarzających, w rozumieniu art. 28 ustęp 2 RODO.

  2. Wykaz dalszych podmiotów przetwarzających na dzień zawarcia niniejszej Umowy zawiera § 4 Polityki prywatności. Aktualny wykaz udostępniany jest pod adresem fleetflow.vivadrive.ai/podprocesorzy.

  3. Podmiot przetwarzający informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia dalszych podmiotów przetwarzających, z wyprzedzeniem nie krótszym niż trzydzieści dni, na adres poczty elektronicznej przypisany do Konta.

  4. Administratorowi przysługuje prawo wniesienia sprzeciwu wobec zamierzonej zmiany, w terminie czternastu dni od otrzymania informacji, o której mowa w ustępie 3. Sprzeciw wymaga uzasadnienia odwołującego się do ochrony danych osobowych. W razie wniesienia sprzeciwu strony podejmują negocjacje w dobrej wierze, a w razie ich bezskuteczności Administratorowi przysługuje prawo rozwiązania umowy o świadczenie Usługi ze skutkiem na dzień poprzedzający dzień wejścia zmiany w życie, z prawem do zwrotu opłaty za niewykorzystaną część opłaconego okresu rozliczeniowego.

  5. Podmiot przetwarzający nakłada na dalsze podmioty przetwarzające, w drodze umowy, obowiązki ochrony danych odpowiadające obowiązkom wynikającym z niniejszej Umowy. Podmiot przetwarzający ponosi wobec Administratora pełną odpowiedzialność za wywiązanie się przez dalszy podmiot przetwarzający z jego obowiązków.

§ 5. Naruszenie ochrony danych osobowych

  1. Podmiot przetwarzający zgłasza Administratorowi każde naruszenie ochrony powierzonych danych osobowych bez zbędnej zwłoki, nie później niż w terminie dwudziestu czterech godzin od jego stwierdzenia, na adres poczty elektronicznej przypisany do Konta.

  2. Zgłoszenie zawiera co najmniej opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, których naruszenie dotyczy, opis możliwych konsekwencji naruszenia, opis zastosowanych lub proponowanych środków zaradczych, a także dane kontaktowe osoby, od której można uzyskać więcej informacji.

  3. Jeżeli w chwili zgłoszenia udzielenie wszystkich informacji nie jest możliwe, Podmiot przetwarzający przekazuje je sukcesywnie, bez zbędnej zwłoki.

  4. Zawiadomienie organu nadzorczego oraz osób, których dane dotyczą, należy do Administratora. Podmiot przetwarzający udziela mu w tym zakresie niezbędnej pomocy.

§ 6. Audyt

  1. Administrator uprawniony jest do przeprowadzenia audytu przetwarzania powierzonych danych, nie częściej niż raz w roku kalendarzowym, a nadto każdorazowo po stwierdzeniu naruszenia ochrony powierzonych danych.

  2. Administrator zawiadamia Podmiot przetwarzający o zamiarze przeprowadzenia audytu z wyprzedzeniem nie krótszym niż czternaście dni roboczych, wskazując zakres audytu oraz osoby, które będą go przeprowadzać.

  3. Audyt przeprowadzany jest w godzinach pracy Podmiotu przetwarzającego, w sposób niezakłócający bieżącej działalności, oraz z poszanowaniem tajemnicy przedsiębiorstwa Podmiotu przetwarzającego i danych innych jego klientów. Osoby przeprowadzające audyt obowiązane są do zachowania poufności.

  4. Podmiot przetwarzający uprawniony jest do wykazania zgodności przez przedstawienie aktualnych certyfikatów lub sprawozdań z audytów przeprowadzonych przez niezależnych audytorów, o ile obejmują one zakres objęty zamierzonym audytem.

  5. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie obowiązków Podmiotu przetwarzającego.

§ 7. Odpowiedzialność

  1. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem powierzonych danych wyłącznie w zakresie, w jakim nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, albo działał poza zgodnymi z prawem poleceniami Administratora lub wbrew tym poleceniom.

  2. Administrator ponosi odpowiedzialność za zgodność z prawem podstawy przetwarzania powierzonych danych, za wykonanie obowiązku informacyjnego wobec osób, których dane dotyczą, oraz za zakres danych wprowadzanych do Serwisu.

  3. Do ograniczenia odpowiedzialności Podmiotu przetwarzającego stosuje się § 12 ustęp 5 Regulaminu, z zastrzeżeniem bezwzględnie obowiązujących przepisów prawa.

§ 8. Postanowienia końcowe

  1. Niniejsza Umowa zostaje zawarta na czas obowiązywania umowy o świadczenie Usługi i ulega rozwiązaniu wraz z nią, z zachowaniem obowiązków wynikających z § 3 punkt 7.

  2. W razie sprzeczności pomiędzy postanowieniami niniejszej Umowy a postanowieniami Regulaminu, w sprawach dotyczących przetwarzania powierzonych danych osobowych pierwszeństwo mają postanowienia niniejszej Umowy.

  3. Zmiana niniejszej Umowy następuje w trybie przewidzianym dla zmiany Regulaminu.

  4. W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy o ochronie danych osobowych oraz Kodeksu cywilnego.