Umowa powierzenia przetwarzania danych osobowych

1. Strony i przedmiot

1.1. Administratorem danych jest Instalator – firma korzystająca z usługi SerwisLog (protokoły montażu i serwisu, baza klientów, przypomnienia o przeglądach) oraz - jeśli ma go włączony - dodatku SerwisPlaner (mapa klientów i planowanie tras) w Strefie B2B marketklima.pl, która akceptuje niniejszą umowę w aplikacji protokołu (dalej: „Administrator”).

1.2. Podmiotem przetwarzającym jest Ariel Paszczak Klimatyzacja, NIP 7781425814, Kąkolewo 25c/2, 62-066 Granowo, marka marketklima.pl (dalej: „Przetwarzający”).

1.3. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych swoich klientów w zakresie i celu opisanym poniżej, na zasadach art. 28 Rozporządzenia (UE) 2016/679 (RODO).

2. Zakres, charakter i cel przetwarzania

2.1. Kategorie osób: klienci Administratora (osoby fizyczne, w tym osoby reprezentujące firmy), u których Administrator montuje lub serwisuje urządzenia klimatyzacyjne i pompy ciepła.

2.2. Rodzaje danych: imię i nazwisko albo nazwa, numer telefonu, adres e-mail, adres miejsca montażu (w tym współrzędne GPS, jeśli Administrator je pobierze), dane urządzeń (model, numer seryjny, czynnik chłodniczy), treść protokołów, zdjęcia wykonane w miejscu montażu, podpis klienta, informacje o zgodach na przypomnienia.

2.3. Cel: przechowywanie protokołów i danych klientów Administratora, tworzenie dokumentów PDF, wysyłka protokołów i przypomnień o przeglądach do klientów w imieniu Administratora, wyszukiwanie historii urządzeń, ustalanie położenia miejsc montażu na mapie, a w dodatku SerwisPlaner - wyszukiwanie klientów w okolicy i planowanie tras dojazdu, wsparcie techniczne.

2.4. Charakter: zbieranie (przez aplikację obsługiwaną przez Administratora), przechowywanie, porządkowanie, udostępnianie Administratorowi, przesyłanie klientom na polecenie Administratora, usuwanie.

2.5. Czas: na czas korzystania przez Administratora z usługi oraz okres przejściowy opisany w pkt 7.

3. Obowiązki Przetwarzającego

3.1. Przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora – poleceniem jest w szczególności korzystanie z funkcji aplikacji (zapis protokołu, wysyłka, eksport, usunięcie). Przetwarzający nie wykorzystuje danych do własnych celów, w tym marketingowych, i nie kontaktuje się z klientami Administratora we własnym imieniu.

3.2. Dostęp do danych mają wyłącznie osoby upoważnione przez Przetwarzającego, zobowiązane do zachowania poufności, i tylko w zakresie niezbędnym do utrzymania systemu, udzielenia pomocy technicznej na prośbę Administratora lub sprawdzenia prawidłowego działania usługi (np. gdy protokoły nie zapisują się poprawnie). Każdy wgląd w dane Administratora jest zapisywany w dzienniku wraz z datą i powodem, a Administrator widzi te wpisy w zakładce „SerwisLog” w Strefie B2B.

3.3. Przetwarzający stosuje środki bezpieczeństwa, o których mowa w art. 32 RODO, w szczególności: szyfrowane połączenia (HTTPS), oddzielenie danych każdego Administratora (każde zapytanie do bazy jest ograniczone do danych zalogowanego Administratora, a baza nie jest dostępna bezpośrednio z przeglądarki), prywatne przechowywanie plików z dostępem wyłącznie przez linki ważne kilka minut, kopie zapasowe dostawcy bazy danych, dziennik zdarzeń, dostęp do panelu administracyjnego ograniczony do jednego, imiennie wskazanego konta.

3.4. Przetwarzający pomaga Administratorowi w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przeniesienie) – przez funkcje w zakładce „SerwisLog”: edycję danych i zgód klienta, eksport wszystkich danych jednego klienta, eksport całej bazy oraz usunięcie klienta wraz z jego protokołami i plikami.

3.5. Przetwarzający zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, przekazując informacje potrzebne do zgłoszenia naruszenia organowi nadzorczemu.

3.6. Przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyt po wcześniejszym uzgodnieniu terminu.

4. Dalsze podmioty przetwarzające

4.1. Administrator wyraża ogólną zgodę na korzystanie przez Przetwarzającego z następujących dostawców:

• Supabase Inc. – baza danych i przechowywanie plików (serwery w UE),
• Netlify Inc. – hosting aplikacji i funkcji serwerowych,
• Google LLC – wysyłka wiadomości e-mail,
• Google LLC (Google Maps Platform) – wyświetlanie mapy i wyznaczanie tras (mapka przy adresie klienta, dodatek SerwisPlaner); przekazywane są wyłącznie adresy lub współrzędne miejsc, bez imion, nazwisk i danych kontaktowych klientów,
• Główny Urząd Geodezji i Kartografii (publiczna usługa lokalizacji adresów) oraz OpenStreetMap Foundation (usługa Nominatim) – ustalenie położenia adresu na mapie; przekazywany jest wyłącznie adres,
• Anthropic PBC – przetwarzanie dyktowanego tekstu i zdjęć tabliczek znamionowych przez AI (bez przechowywania danych po przetworzeniu),
• operator bramki SMS – po uruchomieniu przypomnień SMS.

4.2. O zamiarze dodania lub zmiany dostawcy Przetwarzający informuje Administratora z co najmniej 14-dniowym wyprzedzeniem; Administrator może zgłosić sprzeciw i zrezygnować z usługi.

4.3. Jeżeli dostawca przetwarza dane poza Europejskim Obszarem Gospodarczym, odbywa się to na podstawie standardowych klauzul umownych lub decyzji stwierdzającej odpowiedni stopień ochrony.

5. Obowiązki Administratora

5.1. Administrator odpowiada za legalność zbierania danych, w tym za poinformowanie klientów o przetwarzaniu (klauzula informacyjna na protokole) i za uzyskanie zgód na przypomnienia o przeglądach.

5.2. Administrator nie wprowadza do systemu danych szczególnych kategorii ani danych, które nie są potrzebne do wykonania i udokumentowania usługi.

6. Wiadomości do klientów

6.1. Wiadomości do klientów (PDF protokołu, przypomnienia) są wysyłane w imieniu Administratora, z jego nazwą jako nadawcą i jego adresem do odpowiedzi. Przypomnienia wysyłane są wyłącznie do klientów, którzy wyrazili na nie zgodę w danym kanale, a każda wiadomość zawiera możliwość rezygnacji.

7. Zakończenie współpracy

7.1. Po wygaśnięciu lub wyłączeniu dostępu do usługi Administrator przez 90 dni ma dostęp do danych w trybie tylko do odczytu, z możliwością pobrania protokołów i eksportu danych. Wysyłka przypomnień jest w tym czasie wstrzymana.

7.2. Po upływie 90 dni Przetwarzający usuwa dane Administratora (w tym pliki PDF i zdjęcia), chyba że prawo Unii Europejskiej lub prawo polskie nakazuje ich dalsze przechowywanie przez Przetwarzającego. Kopie zapasowe są usuwane w cyklu ich nadpisywania przez dostawcę bazy danych.

7.3. Obowiązek przechowywania dokumentacji wynikający z przepisów (np. dotyczącej urządzeń zawierających fluorowane gazy cieplarniane) spoczywa na Administratorze – przed upływem okresu z pkt 7.1 Administrator pobiera potrzebne protokoły (PDF) i eksport danych.

7.4. Administrator może w każdej chwili usunąć dane pojedynczego klienta (pkt 3.4) albo zażądać usunięcia wszystkich danych przed upływem okresu z pkt 7.1, pisząc na biuro@marketklima.pl.

8. Postanowienia końcowe

8.1. Umowa zostaje zawarta z chwilą jej akceptacji w aplikacji protokołu; system zapisuje datę akceptacji, wersję umowy i adres e-mail konta Administratora.

8.2. W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy o ochronie danych osobowych oraz Kodeksu cywilnego, a także Regulamin Strefy B2B (rozdział 8), którego umowa jest Załącznikiem nr 1.

8.3. Zmiana umowy wymaga jej ponownej akceptacji przez Administratora w aplikacji protokołu; do czasu akceptacji nowe protokoły nie są zapisywane w bazie (dane już zapisane pozostają dostępne).