Umowa zawarta między Klientem jako Administratorem i Onit Soft sp. z o.o., ul. Fabryczna 20a, 31-553 Kraków, KRS 0001054906, NIP 6751787127 (dalej „Usługodawca”), jako Podmiotem przetwarzającym, na podstawie art. 28 RODO. Stanowi integralną część umowy o korzystanie z usług Sokar Logistics i Bobi zawartej na podstawie Regulaminu i jest akceptowana razem z nim przez właściciela zespołu Klienta.
Właściciel zespołu akceptuje tę umowę po złożeniu w aplikacji oświadczenia, że działa w imieniu Administratora i jest uprawniony do jego reprezentowania. Usługodawca utrwala i przechowuje dowód akceptacji obejmujący treść tego oświadczenia, imię, nazwisko i adres e-mail osoby akceptującej, dane Administratora, wersję zaakceptowanej umowy, datę i godzinę akceptacji oraz adres IP. Dowód akceptacji stanowi część potwierdzenia zamówienia dostępnego w aplikacji, a Usługodawca udostępnia go Administratorowi na żądanie - w szczególności na potrzeby wykazania rozliczalności zgodnie z art. 5 ust. 2 RODO - i przechowuje przez okres obowiązywania umowy oraz przez 6 lat po jej zakończeniu.
/01 Przedmiot i czas trwania
Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w celu i zakresie niezbędnym do świadczenia usług Sokar Logistics i Bobi. Powierzenie trwa przez okres obowiązywania umowy o korzystanie z usług, a w zakresie zwrotu i usunięcia danych do zakończenia czynności opisanych w punkcie 8.
/02 Charakter i cel przetwarzania
- przechowywanie, porządkowanie i udostępnianie danych użytkownikom Administratora,
- analiza treści wprowadzonych przez użytkowników przez modele językowe w celu udzielenia odpowiedzi, przygotowania dokumentów i wykonania poleconych działań,
- prowadzenie na polecenie Administratora rozmów tekstowych (WhatsApp) i głosowych z kierowcami i kontrahentami, w tym nagrywanie i transkrypcja rozmów głosowych,
- wystawianie i przesyłanie dokumentów (zlecenia, faktury, KSeF) oraz obsługa integracji wskazanych przez Administratora.
/03 Rodzaj danych i kategorie osób
| Kategoria osób | Rodzaj danych |
|---|---|
| Pracownicy i użytkownicy Administratora | Imię, nazwisko, e-mail, telefon, rola w systemie, dziennik aktywności w aplikacji. |
| Kierowcy własni i kierowcy przewoźników | Imię, nazwisko, telefon, numer rejestracyjny pojazdu, pozycja i szacowany czas dostawy, treść rozmów, nagrania głosowe i transkrypcje. |
| Kontrahenci i ich pracownicy | Dane identyfikacyjne i kontaktowe, dane firmowe, dane z dokumentów transportowych i finansowych, historia korespondencji. |
| Dane szczególnych kategorii | Nie są powierzane. Administrator zobowiązuje się ich nie wprowadzać do usług. |
/04 Obowiązki Podmiotu przetwarzającego
- Przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za polecenie uznaje się umowę o korzystanie z usług oraz działania użytkowników Administratora w aplikacjach.
- Zapewnia, że personel z dostępem do danych jest zobowiązany do zachowania poufności.
- Stosuje środki z art. 32 RODO, co najmniej: szyfrowanie danych w tranzycie i w spoczynku, kontrolę dostępu opartą na rolach, uwierzytelnianie wieloskładnikowe personelu, rejestrowanie dostępu, separację danych klientów, codzienne kopie zapasowe oraz okresowe testy odtwarzania.
- Pomaga Administratorowi w realizacji praw osób, których dane dotyczą. Wnioski przekazane przez Administratora obsługuje w ciągu 5 dni roboczych, a Administrator może samodzielnie wyeksportować, poprawić lub usunąć dane w aplikacji.
- Pomaga Administratorowi w ocenie skutków dla ochrony danych i w konsultacjach z organem nadzorczym w zakresie dotyczącym usług.
- Zawiadamia Administratora o naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż 48 godzin od jego stwierdzenia, przekazując informacje z art. 33 ust. 3 RODO, a następnie uzupełniając je w miarę ustaleń.
- Po zakończeniu świadczenia usług postępuje z danymi zgodnie z punktem 8.
- Udostępnia informacje niezbędne do wykazania zgodności i umożliwia audyt: raz w roku, po zawiadomieniu z 14-dniowym wyprzedzeniem, w godzinach pracy, na koszt Administratora, w sposób nienaruszający poufności innych klientów. Strony w pierwszej kolejności korzystają z raportów, certyfikatów i ankiet bezpieczeństwa.
/05 Obowiązki Administratora
- Zapewnia podstawę prawną przetwarzania i kontaktu z osobami, których dane dotyczą, w tym z kierowcami przewoźników.
- Realizuje obowiązek informacyjny wobec tych osób, w tym informuje o automatycznym charakterze rozmów z asystentem i o nagrywaniu rozmów głosowych.
- Nadaje uprawnienia użytkownikom i odbiera je po zakończeniu współpracy z pracownikiem.
/06 Podpowierzenie
Administrator wyraża ogólną zgodę na korzystanie z podprzetwarzających wskazanych poniżej. O zamiarze dodania lub zmiany podprzetwarzającego Podmiot przetwarzający informuje właściciela zespołu e-mailem co najmniej 14 dni wcześniej. Administrator może w tym terminie wnieść sprzeciw, a w razie braku porozumienia wypowiedzieć umowę o korzystanie z usług ze skutkiem na koniec okresu rozliczeniowego. Podmiot przetwarzający nakłada na podprzetwarzających obowiązki ochrony danych nie mniejsze niż wynikające z tej umowy i odpowiada za ich działania jak za własne.
| Podprzetwarzający | Usługa | Lokalizacja | Podstawa transferu |
|---|---|---|---|
| Amazon Web Services EMEA SARL | Infrastruktura, bazy danych, kopie zapasowe, pliki | EOG (region UE) | Brak transferu poza EOG |
| Cloudflare, Inc. | Sieć dostarczania treści, ochrona przed atakami | UE / USA | DPF lub standardowe klauzule umowne |
| Anthropic PBC | Model językowy generujący odpowiedzi asystenta Bobi | USA | DPF lub standardowe klauzule umowne, umowa powierzenia |
| OpenAI, LLC | Model językowy i transkrypcja mowy | USA | DPF lub standardowe klauzule umowne, umowa powierzenia |
| Vapi, Inc. | Obsługa połączeń głosowych asystenta | USA | Standardowe klauzule umowne, umowa powierzenia |
| ElevenLabs, Inc. | Synteza mowy | USA | Standardowe klauzule umowne, umowa powierzenia |
| Twilio Inc. | Telefonia i SMS | USA | DPF, umowa powierzenia |
| Meta Platforms Ireland Ltd. | WhatsApp Business API | UE / USA | DPF, umowa powierzenia |
/07 Transfer poza EOG
Transfer następuje wyłącznie do podprzetwarzających z tabeli, na podstawie decyzji o adekwatności (EU-US Data Privacy Framework) albo standardowych klauzul umownych z oceną skutków transferu. Do dostawców modeli językowych przekazywana jest wyłącznie treść niezbędna do obsługi danego zapytania. Podmiot przetwarzający korzysta z ustawień wyłączających wykorzystanie danych do trenowania modeli, gdzie dostawca je oferuje, i nie używa danych Administratora do trenowania własnych modeli ogólnych.
/08 Zakończenie powierzenia
Przez 30 dni od zakończenia umowy Administrator może wyeksportować dane w formacie CSV lub JSON z aplikacji albo na wniosek. Po tym okresie Podmiot przetwarzający usuwa dane w ciągu 90 dni, a kopie zapasowe wygasają zgodnie z rotacją do 35 dni. Na wniosek potwierdza usunięcie na piśmie. Wyjątek stanowią dane, których przechowywania wymaga prawo, w szczególności dane rozliczeniowe przez okres wymagany przepisami podatkowymi.
/09 Odpowiedzialność i kontakt
Każda ze stron odpowiada za naruszenia swoich obowiązków wynikających z RODO i tej umowy. Ograniczenie odpowiedzialności z Regulaminu stosuje się, z wyjątkiem kar administracyjnych nałożonych na stronę z winy drugiej strony.
Kontakt w sprawach dotyczących ochrony danych osobowych: [email protected] lub ul. Fabryczna 20a, 31-553 Kraków. Administrator wskazuje swoją osobę kontaktową w danych rozliczeniowych zespołu.