Smlouva o zpracování osobních údajů

Strany, předmět a doba trvání

Správcem je firma, která má účet v eTMS24. Zpracovatelem je eTrans24 Sp. z o.o., ul. Gen. Władysława Sikorskiego 166/lok. 0.03, 18-400 Łomża, Polsko, KRS 0001125679, NIP 7162845197.

Předmětem je zpracování osobních údajů, které správce zadává do eTMS24 nebo které vznikají jeho používáním. Smlouva nabývá účinnosti založením účtu a končí uzavřením účtu a dokončením níže popsaného výmazu.

Pokud si tato smlouva a obchodní podmínky v otázce osobních údajů odporují, má přednost tato smlouva. Řídí se polským právem a GDPR; je-li některé ustanovení neplatné, ostatní zůstávají v platnosti.

Povaha a účel zpracování

Osobní údaje zpracováváme výhradně proto, abychom poskytovali službu, kterou si správce objednal: plánování nákladů, vystavování přepravních objednávek, vedení evidence vozového parku, řidičů a obchodních partnerů, odesílání dokumentů a zpráv jménem správce, vystavování a vypořádání faktur a — pokud to správce zapne — odesílání a stahování faktur přes polský národní systém elektronické fakturace (KSeF).

Údaje správce nezpracováváme pro vlastní účely. Neprodáváme je a nepoužíváme je k trénování modelů strojového učení.

Kategorie subjektů údajů

• Lidé správce: administrátoři, dispečeři, účetní a řidiči, kteří mají účet.
• Řidiči vedení ve vozovém parku a přiřazení k nákladům, včetně těch bez účtu.
• Kontaktní osoby u obchodních partnerů — zákazníků, dopravců a dodavatelů.
• Kontaktní osoby v místech nakládky a vykládky.
• Osoby uvedené na fakturách, přepravních objednávkách a přepravních dokladech, včetně osob samostatně výdělečně činných.

Kategorie osobních údajů

Správce může zadávat následující kategorie údajů. eTMS24 nevyžaduje zvláštní kategorie ve smyslu čl. 9 GDPR a správce je nesmí zadávat:

• Identifikační a kontaktní údaje: jména, pracovní e-mailové adresy, telefonní čísla, pracovní pozice, zaměstnavatel.
• Údaje o řidičích: údaje o řidičském oprávnění a kvalifikaci, přidělené vozidlo, přidělené náklady a odpracovaný čas.
• Firemní a finanční údaje: adresy, daňová identifikační čísla, čísla bankovních účtů, položky faktur, částky a termíny plateb.
• Dokumenty nahrané správcem: nákladní listy CMR, skeny, fotografie a korespondence, které mohou obsahovat další osobní údaje podle volby správce.
• Údaje o účtu a auditní údaje: časy přihlášení, IP adresy, identifikace prohlížeče a záznam o přijetí těchto dokumentů.

Doložené pokyny

Osobní údaje zpracováváme pouze na doložené pokyny správce. Obchodní podmínky, tato smlouva a samotné používání aplikace správcem tvoří dohromady tyto pokyny; cokoli nad jejich rámec je nutné zaslat písemně na hello@etms24.com.

Pokud nám právo Evropské unie nebo členského státu uloží zpracování nad rámec těchto pokynů, oznámíme to správci před zpracováním, ledaže by to takové právo zakazovalo.

Správce upozorníme, pokud podle našeho názoru pokyn porušuje předpisy o ochraně osobních údajů.

Mlčenlivost

Každý, koho pověříme zpracováním údajů správce, je vázán písemným závazkem mlčenlivosti, který trvá i po skončení jeho působení. Přístup dostává jen ten, kdo jej ke své práci potřebuje, a odebíráme jej, jakmile potřeba pomine.

Bezpečnostní opatření

Uplatňujeme následující technická a organizační opatření podle čl. 32 GDPR:

• Oddělení dat jednotlivých firem vynucené samotnou databází, mechanismem row-level security v PostgreSQL: dotazy jedné firmy se nedostanou k řádkům jiné. Nejde o aplikační kód, který by šlo obejít.
• Řízení přístupu podle rolí uvnitř každé firmy, takže účet dosáhne jen na to, co jeho role dovoluje.
• Šifrování při přenosu (TLS) na každém spojení a šifrování v klidu pro databázi, úložiště souborů i zálohy.
• Přihlašovací údaje ke KSeF jsou uloženy zašifrované klíčem drženým mimo databázi a nikdy se nezapisují do logů.
• Hesla jsou uložena pouze jako solené otisky, na uživatele je aktivní jedna relace a účet lze používat až po potvrzení e-mailové adresy.
• Automatické denní zálohy s obnovou k bodu v čase, uložené v Evropské unii.
• Oddělení produkčního a vývojového prostředí, administrátorský přístup omezený na jmenovitě určené osoby a protokolování administrátorských operací.

Další zpracovatelé

Správce uděluje obecné písemné povolení k zapojení dalších zpracovatelů uvedených v příloze této smlouvy. Každý z nich je vázán povinnostmi ochrany údajů, které nejsou méně přísné než zde uvedené, a vůči správci zůstáváme plně odpovědní za jejich plnění.

Před zapojením nebo výměnou dalšího zpracovatele upozorníme e-mailem každého administrátora účtu nejméně 30 dní předem. Správce může v této lhůtě vznést odůvodněnou námitku z důvodu ochrany údajů; pokud ji nelze vyřešit, může správce dotčenou část služby vypovědět bez sankce.

Předávání mimo Evropský hospodářský prostor

Osobní údaje ukládáme v Evropské unii. Pokud podpora nebo provoz dalšího zpracovatele sahá na tyto údaje ze třetí země, je předání kryto standardními smluvními doložkami Evropské komise (prováděcí rozhodnutí (EU) 2021/914) spolu s doplňujícími opatřeními, která tyto doložky vyžadují. Předání polskému ministerstvu financí je vnitrostátní a nejde o předání do třetí země.

Součinnost správci

• Žádosti subjektů údajů: obrátí-li se na nás subjekt údajů ve věci údajů, které vedeme pro správce, žádost bez zbytečného odkladu předáme a sami na ni neodpovídáme. Pomáháme funkcemi samotné aplikace, a kde nestačí, ručně.
• Pomáháme s posouzením vlivu na ochranu osobních údajů a s předchozí konzultací s dozorovým úřadem, v rozsahu informací, které máme.
• Poskytujeme informace nezbytné k doložení souladu s čl. 28 GDPR.

Porušení zabezpečení osobních údajů

Zjistíme-li porušení zabezpečení osobních údajů týkající se údajů správce, oznámíme to e-mailem každému administrátorovi účtu bez zbytečného odkladu, nejpozději do 48 hodin. Oznámení popíše povahu porušení, kategorie a přibližný počet dotčených záznamů, pravděpodobné důsledky a přijatá či navržená opatření.

Ohlášení dozorovému úřadu a oznámení subjektům údajů je rozhodnutím a povinností správce; my při tom pomáháme.

Audit a informace

Na žádost, nejvýše jednou ročně, poskytneme informace potřebné k doložení souladu s touto smlouvou, včetně popisu bezpečnostních opatření a aktuálního seznamu dalších zpracovatelů.

Správce může soulad ověřit sám nebo prostřednictvím pověřeného auditora, který není naším konkurentem. Audity probíhají v pracovní době, po písemném oznámení nejméně 30 dní předem, bez narušení služby a bez jakéhokoli přístupu k údajům jiných zákazníků. Každá strana nese své náklady. Kontrola dozorového úřadu probíhá podle jeho podmínek.

Vrácení a výmaz

Po skončení smlouvy může správce požádat o export svých osobních údajů ve standardním formátu; vydáme jej do 30 dnů od žádosti.

Osobní údaje správce vymažeme do 60 dnů od skončení této smlouvy, a to i ze záloh v rámci jejich rotace — ledaže nám právo Evropské unie nebo členského státu ukládá je uchovat. Pak uchováváme jen to, co právo vyžaduje, jen po dobu, kterou vyžaduje, a nadále je chráníme podle této smlouvy.

Příloha — schválení další zpracovatelé a příjemci

Ke dni uvedenému v záhlaví této stránky jsou schváleni:

• Supabase — databáze, ověřování a úložiště souborů. Dostává: všechna data aplikace. Hosting v Evropské unii.
• Vercel — hosting aplikace, doručování obsahu a analytika bez cookies. Dostává: data požadavků a vše, co aplikací prochází. Regiony Evropské unie.
• Stripe — fakturace za samotné eTMS24. Dostává: fakturační kontakt, název firmy, adresu, daňové identifikační číslo a platební údaje správce. Čísla karet zpracovává Stripe a k nám se nikdy nedostanou.
• Resend — odesílání e-mailů z aplikace: přepravních objednávek, faktur a upozornění. Dostává: adresy příjemců, předměty, obsah zpráv a přílohy.
• Amazon Web Services (SES) — záložní cesta pro tytéž e-maily. Dostává: jako výše.
• Cloudflare — DNS a směrování příchozí pošty pro naše vlastní domény. Dostává: metadata spojení a obsah pošty adresované nám.
• Ministerstvo financí Polské republiky (KSeF) — nikoli další zpracovatel, ale zákonný příjemce. Zapne-li správce elektronickou fakturaci, jsou strukturovaná data faktur jeho jménem odesílána do národního systému a z něj stahována podle polského zákona o DPH.