Umowa powierzenia przetwarzania danych osobowych

Wersja: 2026-11-04

1. Strony i zawarcie umowy

1. Umowa jest zawierana między Biurem – przedsiębiorcą, który założył konto w serwisie CMRbox (dalej: Administrator) – a AGERE - Krzysztof Blask, Aleja 400-lecia 70, 23-400 Biłgoraj, NIP 9181943358, REGON 060658566 (dalej: Procesor).
2. Umowa jest zawierana na podstawie art. 28 ust. 3 RODO (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) w chwili akceptacji Regulaminu i niniejszej umowy przy zakładaniu konta. Procesor zapisuje datę, godzinę i wersję akceptacji.
3. Umowa obowiązuje przez czas świadczenia usług na podstawie Regulaminu i wygasa wraz z ich zakończeniem, z zastrzeżeniem punktu 10.
4. Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie.

2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usług CMRbox: wysyłania Kierowcom wiadomości z prośbą o Dokumenty i przypomnień, udostępnienia Kierowcom strony Zlecenia, odbioru, przechowywania i przetwarzania Dokumentów (w tym automatycznej kontroli jakości zdjęć: wykrycie rogów kartki, ostrości, ucięcia, podpisu i pieczątki odbiorcy, uwag), tworzenia z nich plików PDF i wysyłania ich Odbiorcom dokumentów, a także – po uruchomieniu tych funkcji – importu Zleceń z plików i wiadomości e-mail.
2. Charakter przetwarzania: zbieranie, zapisywanie, przechowywanie, porządkowanie, przeglądanie w panelu Administratora, przekształcanie (np. zdjęcie w PDF, prostowanie zdjęcia, odczyt danych z wiadomości e-mail), automatyczna analiza zdjęć Dokumentów przez model sztucznej inteligencji (wynik ma charakter pomocniczy, bez podejmowania decyzji wobec osób, których dane dotyczą), przesyłanie, usuwanie.
3. Przetwarzanie odbywa się w sposób zautomatyzowany, w systemie informatycznym CMRbox.

3. Rodzaje danych i kategorie osób

Procesor nie przetwarza na zlecenie Administratora szczególnych kategorii danych (art. 9 RODO). Administrator nie powinien ich wprowadzać do Serwisu.

4. Polecenia Administratora

1. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniami są: niniejsza umowa, Regulamin oraz działania i ustawienia Administratora w panelu (np. dodanie Zlecenia, wskazanie Odbiorców dokumentów, ustawienia przypomnień, godzin ciszy nocnej i limitu SMS, anulowanie Zlecenia).
2. Administrator poleca Procesorowi także:
   • pokazywanie Kierowcy na stronie „Moje zlecenia” otwartych Zleceń skierowanych na ten sam numer telefonu przez różnych klientów CMRbox (wyłącznie nazwa Biura, numer Zlecenia, trasa, brakujące Dokumenty), tak aby Kierowca mógł w jednym miejscu przesłać Dokumenty do każdego z nich;
   • respektowanie zgłoszeń Kierowców „To nie mój numer” i „Nie chcę SMS-ów z CMRbox” (wspólnej dla wszystkich klientów listy numerów wypisanych z SMS-ów);
   • usuwanie Dokumentów i plików wiadomości e-mail ze Zleceniami po 24 miesiącach od ich otrzymania.
3. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.
4. Przetwarzanie danych w innym celu jest możliwe tylko, gdy wymaga tego prawo Unii lub prawo polskie; Procesor informuje wtedy Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania.

5. Obowiązki Procesora

Procesor:

1. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi tajemnicy;
2. stosuje środki techniczne i organizacyjne wymagane przez art. 32 RODO, opisane w punkcie 8;
3. przestrzega warunków korzystania z usług dalszych podmiotów przetwarzających (punkt 6);
4. pomaga Administratorowi, w miarę możliwości, odpowiednimi środkami technicznymi i organizacyjnymi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO); żądania skierowane bezpośrednio do Procesora przekazuje Administratorowi bez zbędnej zwłoki;
5. pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne informacje;
6. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty (punkt 9);
7. Zgłoszenie błędu dokonane przez Administratora lub automatyczny alert krytyczny systemu stanowią udokumentowane polecenie dla Procesora umożliwiające tymczasowy dostęp do powierzonych danych, w tym do treści Dokumentów, w niezbędnym zakresie, w celu usunięcia awarii lub rozpatrzenia zgłoszenia. Każdy taki dostęp jest rejestrowany, a Administrator może zapoznać się z jego historią w panelu i poddać go audytowi.

6. Dalsze podmioty przetwarzające

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Aktualna lista:

1. Procesor informuje Administratora e-mailem o zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego co najmniej 14 dni wcześniej. W tym czasie Administrator może wyrazić sprzeciw; jeżeli strony nie dojdą do porozumienia, Administrator może rozwiązać umowę i Regulamin ze skutkiem natychmiastowym.
2. Procesor nakłada na dalsze podmioty przetwarzające te same obowiązki ochrony danych, co w niniejszej umowie (w szczególności przez ich standardowe umowy powierzenia, DPA), i odpowiada wobec Administratora za ich wykonanie.
3. Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się tylko przy zastosowaniu zabezpieczeń z rozdziału V RODO: decyzji stwierdzającej odpowiedni stopień ochrony (w tym EU–US Data Privacy Framework dla certyfikowanych podmiotów) lub standardowych klauzul umownych (w przypadku OVH – wyłącznie dla pomocy technicznej świadczonej spoza UE).

7. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od jego stwierdzenia, e-mailem na adres Biura podany w koncie.
2. Zgłoszenie zawiera, w miarę dostępnych informacji: opis naruszenia (kategorie i przybliżoną liczbę osób i rekordów), prawdopodobne skutki, podjęte i proponowane środki oraz dane kontaktowe. Informacje, których nie da się podać od razu, Procesor przekazuje sukcesywnie.
3. Procesor dokumentuje naruszenia i współpracuje z Administratorem przy ich wyjaśnianiu, zgłoszeniu do Prezesa UODO i zawiadomieniu osób, których dane dotyczą.

8. Środki techniczne i organizacyjne (podsumowanie)

• Szyfrowanie w transmisji: połączenia z serwisem i z dostawcami odbywają się przez HTTPS / TLS (szyfrowanie kończy się na serwerze należącym do Procesora w OVH); baza danych, panel administracyjny bazy i brama administracyjna nie są dostępne publicznie.
• Szyfrowanie danych w spoczynku: kopie zapasowe są szyfrowane po stronie Procesora przed wysłaniem do magazynu (AES-256, restic); szyfrowanie samych dysków serwera produkcyjnego nie jest deklarowane.
• Izolacja klientów: dane każdego Biura są oddzielone regułami dostępu na poziomie bazy danych (Row Level Security); Biuro widzi wyłącznie swoje Zlecenia, Kierowców i Dokumenty. Wspólne dane numerów telefonów nie są Biurom udostępniane bezpośrednio.
• Pliki: Dokumenty są w prywatnym magazynie; pobranie wymaga zalogowania i krótkotrwałego, podpisanego linku (kilka minut). Kierowca może tylko przesyłać pliki do swojego Zlecenia przez jednorazowe podpisane adresy.
• Dostęp Kierowcy: długi losowy link do jednego Zlecenia, bez danych innych Biur poza listą „Moje zlecenia” opisaną w punkcie 4.2; link wygasa 30 dni po dostarczeniu Dokumentów, a także po anulowaniu Zlecenia lub zmianie kierowcy. Strona pokazuje tylko dane potrzebne do wykonania zadania.
• Logowanie Biur: jednorazowe kody i linki wysyłane na e-mail; hasło opcjonalne, przechowywane wyłącznie w postaci skrótu (hash) przez oprogramowanie uwierzytelniające.
• Minimalizacja i retencja: Dokumenty i pliki e-mail ze Zleceniami usuwane po 24 miesiącach; SMS-y nie są wysyłane w godzinach ciszy nocnej; limit SMS na Zlecenie.
• Dostęp administracyjny: dostęp do systemów produkcyjnych ma wyłącznie Procesor (właściciel); dane dostępowe przechowywane poza repozytorium kodu, z ograniczonym zakresem uprawnień.
• Kopie zapasowe: codziennie (około 02:00 UTC) wykonywana jest zaszyfrowana kopia bazy danych i magazynu plików, przechowywana w magazynie Cloudflare R2 (region wskazany przez Procesora w konfiguracji). Zachowywane są kopie z ostatnich 7 dni, 4 tygodni i 3 miesięcy; starsze są usuwane. Dodatkowo OVH wykonuje codzienną kopię całego serwera, przechowywaną przez 24 godziny.
• Monitorowanie i testy: automatyczne testy izolacji danych między Biurami przy zmianach bazy danych; logi zdarzeń dotyczących wysyłek i zmian statusów Zleceń.

9. Audyt

1. Administrator może sprawdzić, czy Procesor przestrzega umowy, przede wszystkim przez pisemne pytania i żądanie informacji, na które Procesor odpowiada w ciągu 14 dni.
2. Audyt na miejscu lub przez niezależnego audytora jest możliwy nie częściej niż raz w roku (lub po naruszeniu ochrony danych), po uprzedzeniu Procesora co najmniej 14 dni wcześniej, w godzinach pracy, na koszt Administratora i z zachowaniem poufności danych innych klientów Procesora.

10. Zakończenie przetwarzania

1. Po zakończeniu świadczenia usług Procesor – zależnie od decyzji Administratora – usuwa albo zwraca mu dane osobowe (Administrator może pobrać Dokumenty z panelu w terminie: 30 dni), a następnie usuwa istniejące kopie, chyba że prawo Unii lub prawo polskie nakazuje ich przechowywanie.
2. Dane osobowe w kopiach zapasowych nie są usuwane selektywnie; znikają w miarę wygasania kopii zgodnie z zasadą z punktu 8 (kopie dzienne po 7 dniach, tygodniowe po 4 tygodniach, miesięczne po 3 miesiącach), czyli najpóźniej po 3 miesiącach od usunięcia danych z systemu. W tym czasie kopie są szyfrowane i wykorzystywane wyłącznie do odtworzenia systemu po awarii.
3. Na żądanie Procesor potwierdza Administratorowi usunięcie danych.

11. Odpowiedzialność i postanowienia końcowe

1. Wzajemna odpowiedzialność finansowa Procesora wobec Administratora z tytułu niniejszej umowy jest ograniczona do limitów przewidzianych w punkcie 10 Regulaminu („Odpowiedzialność”). Ograniczenie to nie wyłącza odpowiedzialności Procesora wobec osób, których dane dotyczą (w szczególności Kierowców), przewidzianej bezwzględnie obowiązującym art. 82 RODO. W takim przypadku stronom przysługuje prawo wzajemnego regresu proporcjonalnie do stopnia zawinienia.
2. W sprawach nieuregulowanych stosuje się RODO, przepisy polskie i Regulamin. W razie sprzeczności z Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.
3. Zmiany umowy wprowadza się na zasadach zmian Regulaminu.