Zasady powierzenia danych — załącznik do regulaminu Transpo24

Firma korzystająca z Transpo24 jest administratorem powierzonych danych, a Sovfly Grzegorz Trela (dane w regulaminie) podmiotem przetwarzającym. Powierzenie obejmuje obsługę kont zespołu, zleceń, pojazdów, awarii i dokumentów przez czas świadczenia usługi oraz jej zakończenia zgodnie z instrukcjami dotyczącymi wydania lub usunięcia danych. Dane własnych rozliczeń i bezpieczeństwa Sovfly przetwarza w zakresie opisanym w polityce jako odrębny administrator.

Kategorie osób: pracownicy i współpracownicy firmy, kierowcy, dyspozytorzy, przedstawiciele kontrahentów oraz osoby ujawnione w dokumentach zgodnie z prawem. Kategorie danych: identyfikacyjne i kontaktowe, role, przypisania do pojazdów, dane transportowe i rozliczeniowe zawarte w załącznikach, czasy czynności i treść zgłoszeń. Operacje obejmują zapis, uporządkowanie, przechowywanie, udostępnienie uprawnionym, eksport, korektę i usuwanie. Usługa nie jest przeznaczona do systematycznego gromadzenia danych szczególnych kategorii ani danych o wyrokach.

Sovfly przetwarza dane wyłącznie na udokumentowane polecenia firmy, obejmujące korzystanie z funkcji zgodnie z umową, chyba że obowiązek wynika z prawa. O takim obowiązku informuje firmę przed przetwarzaniem, o ile prawo tego nie zabrania. Sygnalizuje polecenie, które jego zdaniem narusza przepisy ochrony danych. Dostęp otrzymują osoby upoważnione i zobowiązane do poufności. Firma odpowiada za podstawę przetwarzania, minimalizację danych oraz uprawnienia swoich użytkowników.

Stosuje się środki adekwatne do ryzyka, w tym kontrolę ról i dostępu do firmy, ochronę haseł, sesji i żądań, prywatny dostęp do plików, walidację przesyłanych danych i rejestrowanie istotnych zmian. Publiczne wdrożenie wymaga HTTPS, ochrony dostępu administracyjnego i kopii zapasowych zgodnych z retencją. Środki podlegają weryfikacji i aktualizacji; opis nie jest gwarancją braku incydentów. Środowisko lokalne nie jest publiczną usługą produkcyjną.

Firma udziela ogólnej zgody na podwykonawców infrastruktury niezbędnych do świadczenia usługi, wskazanych w aktualnej polityce. Dla planowanego publicznego hostingu jest to OVHcloud we Francji; dopóki wdrożenie nie nastąpi, nie oznacza to przekazania tam bazy. Podwykonawca musi być związany obowiązkami ochrony danych odpowiadającymi temu powierzeniu. Sovfly odpowiada wobec firmy za wykonanie tych obowiązków przez podwykonawcę. O planowanym dodaniu lub zmianie podwykonawcy Sovfly informuje firmę przed zmianą i umożliwia uzasadniony sprzeciw. Strony ustalają rozwiązanie chroniące dane; brak możliwego rozwiązania pozwala zakończyć dotknięty zakres usługi i odzyskać dane. Transfer poza EOG wymaga udokumentowanego polecenia i właściwej podstawy prawnej; nie wynika automatycznie ze zgody na dowolnego podwykonawcę.

Sovfly, uwzględniając charakter przetwarzania i dostępne informacje, pomaga realizować prawa osób oraz obowiązki dotyczące bezpieczeństwa, naruszeń, oceny skutków i konsultacji z organem. O stwierdzonym naruszeniu powierzonych danych informuje firmę bez zbędnej zwłoki, przekazuje dostępne informacje i uzupełnia je w miarę wyjaśniania zdarzenia. Nie zastępuje to obowiązku firmy oceny i ewentualnego zgłoszenia naruszenia. Sovfly udostępnia informacje potrzebne do wykazania zgodności i umożliwia audyt, w tym inspekcję przez firmę lub upoważnionego audytora. Organizacja kontroli musi chronić dane innych klientów i bezpieczeństwo systemów, nie może jednak pozbawiać firmy uprawnień wynikających z art. 28 RODO. Żądania i ustalenia są dokumentowane.

Po zakończeniu usługi, zależnie od decyzji firmy, Sovfly zwraca lub usuwa powierzone dane i usuwa ich kopie, chyba że prawo nakazuje przechowanie określonych danych. Firma może wcześniej pobrać dokumenty i zgłosić wydanie pozostałych danych. Termin 45 dni dla załączników obowiązuje również w czasie trwania usługi i w kopiach zapasowych; umowa nie pozwala zachować ich bezterminowo. Sposób zakończenia należy uzgodnić przed upływem retencji. Dane niezbędne do obowiązków własnych sprzedawcy pozostają tylko w odpowiednim zakresie i na właściwej podstawie.