Umowa powierzenia przetwarzania danych osobowych

Strony

Umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa”) zawarta pomiędzy:

• Administratorem: Twoja jednostka OSP — jednostką ochotniczej straży pożarnej (stowarzyszeniem wpisanym do Krajowego Rejestru Sądowego), wskazaną w potwierdzeniu zawarcia Umowy (nazwa, numer KRS, osoba reprezentująca i jej funkcja), z siedzibą pod adresem wpisanym do Krajowego Rejestru Sądowego, reprezentowaną przez prezesa zarządu, innego członka zarządu uprawnionego do reprezentacji albo pełnomocnika ustanowionego uchwałą zarządu — samodzielnie albo łącznie z drugim członkiem zarządu, zgodnie ze statutem (dalej: „Administrator”),
• Przetwarzającym: DAWID KOLBUSZ, ul. Wyzwolenia 18, 44-284 Pstrążna, NIP 6423233105, REGON 520259920, e-mail: kontakt@osptracker.pl — usługodawcą OSP Tracker (dalej: „Przetwarzający”),

zwanymi dalej łącznie „Stronami”, w wykonaniu art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: „RODO”) oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.

Przedmiot i czas trwania

1. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w zakresie i celu określonym w Umowie, a Przetwarzający zobowiązuje się przetwarzać je zgodnie z Umową, RODO i innymi przepisami prawa.
2. Umowa jest zawarta na czas korzystania przez Administratora z usługi OSP Tracker na podstawie Regulaminu (dalej: „Usługa”) i wygasa z chwilą rozwiązania lub wygaśnięcia umowy o świadczenie Usługi, z zastrzeżeniem obowiązków Przetwarzającego dotyczących usunięcia lub zwrotu danych.
3. Wynagrodzenie Przetwarzającego za wykonywanie Umowy jest zawarte w opłatach za Usługę określonych w Regulaminie.
4. Umowa obejmuje również dane osobowe wprowadzone do Usługi przed dniem jej zawarcia; Administrator potwierdza, że ich przetwarzanie przez Przetwarzającego odbywało się na jego polecenie, a Przetwarzający — że stosował do nich środki określone w Umowie.

Charakter i cel przetwarzania

1. Przetwarzanie ma charakter zautomatyzowany i jest wykonywane w systemie informatycznym Usługi. Obejmuje operacje niezbędne do jej świadczenia: zbieranie, utrwalanie, przechowywanie, porządkowanie, przeglądanie, wykorzystywanie, udostępnianie upoważnionym użytkownikom Administratora, przesyłanie powiadomień, tworzenie kopii zapasowych, ograniczanie i usuwanie.
2. Celem przetwarzania jest wyłącznie świadczenie Usługi na rzecz Administratora, w szczególności: alarmowanie druhów i zbieranie potwierdzeń, ewidencja gotowości bojowej, prowadzenie kartoteki kwalifikacji i sprzętu, sporządzanie meldunków z działań, organizowanie wydarzeń jednostki (szkolenia, ćwiczenia, zabezpieczenia) i zbieranie deklaracji udziału, obsługa kont użytkowników oraz zapewnienie bezpieczeństwa i diagnostyki Usługi.
3. Przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora, za które Strony uznają Umowę, Regulamin oraz czynności wykonywane przez upoważnionych użytkowników Administratora w Usłudze, także w odniesieniu do przekazywania danych do państwa trzeciego. Przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych.

Kategorie danych

Przetwarzaniu podlegają następujące kategorie danych:

• dane identyfikacyjne — imię, nazwisko, login, funkcja i rola w jednostce;
• dane kontaktowe — adres e-mail, numer telefonu;
• kwalifikacje i terminy z Kartoteki — posiadane uprawnienia i szkolenia oraz terminy ich ważności, a także data ważności badań — dopuszczenie do udziału w działaniach ratowniczych — w zakresie wprowadzonym przez Administratora;
• lokalizacja, strefa i status gotowości — wyłącznie za zgodą druha: wskazane przez niego położenie domu i promień strefy oraz wyliczony z nich czas dojazdu do remizy; bieżąca pozycja telefonu przesyłana wyłącznie przy zgłoszeniu wyjazdu albo gotowości poza domem, z której serwer wylicza czas dojazdu do remizy w linii prostej (pozycja nie jest zapisywana — zapisuje się tylko czas dojazdu); strefy domu i remizy wylicza telefon druha, a na serwer trafia wynikający z nich status; niezależnie od zgody: status gotowości ustawiany przyciskami i jego historia;
• historia alarmów i meldunków — otrzymane powiadomienia, potwierdzenia i odpowiedzi, przyjęcia SMS alarmowych przez telefony druhów (numer nadawcy SMS alarmowego, godzina odbioru i zgłoszenia — bez treści SMS), udział w działaniach, obsada pojazdów, treść meldunków;
• wydarzenia jednostki i deklaracje udziału w wydarzeniach — rodzaj, nazwa, termin, miejsce i opis wydarzenia, osoba, która je utworzyła, oraz odpowiedź druha („Jestem” albo „Nie będzie mnie”) z godziną odpowiedzi;
• dane urządzenia i diagnostyka — identyfikator urządzenia, token powiadomień i subskrypcja Web Push przeglądarki, model i wersja systemu oraz aplikacji, dzienniki diagnostyczne, adres IP i zdarzenia logowania.

Administrator może wprowadzać do Kartoteki wyłącznie datę ważności badań — dopuszczenie do udziału w działaniach ratowniczych (art. 8 ustawy z dnia 17 grudnia 2021 r. o ochotniczych strażach pożarnych). Usługa nie przechowuje wyników badań ani orzeczeń lekarskich, a Administrator ich do niej nie wprowadza. Ponieważ z tej daty można pośrednio wnioskować o zdolności zdrowotnej druha, Strony traktują ją — przez ostrożność — jak daną dotyczącą zdrowia (art. 9 RODO): Administrator zapewnia podstawę jej przetwarzania, a Przetwarzający stosuje do niej środki z art. 32 RODO. Datę widzą i zmieniają w Usłudze wyłącznie naczelnik i administratorzy jednostki; w zestawieniu gotowości jednostki widoczna jest jedynie informacja, że termin upłynął („brak badań”).

Poza tą datą Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych, o których mowa w art. 9 RODO, ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO); Administrator nie wprowadza takich danych do Usługi, w szczególności wyników badań, rozpoznań i orzeczeń lekarskich, a w meldunkach — danych o stanie zdrowia poszkodowanych poza informacją o udzieleniu pomocy.

Kategorie osób

Dane dotyczą:

• druhów jednostki — członków Administratora oraz innych osób, którym Administrator założył konto w Usłudze, w tym osób pełniących funkcje naczelnika i administratora jednostki;
• osób trzecich, których dane Administrator wprowadza do meldunków z działań (np. zgłaszający, poszkodowani, właściciele lub użytkownicy obiektów), w zakresie: imię i nazwisko, adres zdarzenia, opis okoliczności. Administrator wprowadza wyłącznie dane niezbędne do udokumentowania działania i nie wprowadza danych o stanie zdrowia poszkodowanych poza informacją o udzieleniu pomocy, chyba że wymaga tego dokumentacja prowadzona na podstawie przepisów.

Obowiązki i prawa Administratora

1. Administrator odpowiada za zgodność z prawem przetwarzania, w tym za istnienie podstawy prawnej, wykonanie obowiązku informacyjnego wobec druhów i osób trzecich, aktualność danych oraz niezwłoczne usuwanie kont osób, które przestały być członkami.
2. Administrator nie uzależnia udziału w działaniach ani oceny druha od zgody na lokalizację i nie wykorzystuje statusu gotowości do rozliczania obecności.
3. Administrator wydaje polecenia wyłącznie przez funkcje Usługi lub na adres kontakt@osptracker.pl.
4. Administrator ma prawo do informacji, audytu, sprzeciwu wobec podprzetwarzającego i żądania usunięcia lub zwrotu danych na zasadach określonych w Umowie.
5. Administrator odpowiada za ocenę skutków dla ochrony danych (art. 35 RODO). Przetwarzający udostępnia Administratorowi, na jego żądanie, własną ocenę skutków dotyczącą danych lokalizacyjnych; Administrator przyjmuje ją jako własną albo sporządza własną przed udostępnieniem druhom funkcji lokalizacji.

Obowiązki przetwarzającego

Przetwarzający zobowiązuje się:

1. dopuszczać do przetwarzania danych wyłącznie osoby posiadające pisemne lub elektroniczne upoważnienie, zobowiązane do zachowania danych i sposobów ich zabezpieczenia w poufności, także po ustaniu współpracy;
2. stosować środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzania, o których mowa w art. 32 RODO, odpowiednie do ryzyka, w szczególności: szyfrowanie transmisji danych (TLS), kontrolę dostępu opartą na rolach i oddzielenie danych poszczególnych jednostek, przechowywanie haseł wyłącznie w postaci skrótów kryptograficznych, regularne kopie zapasowe, rejestrowanie zdarzeń logowania, ograniczanie danych lokalizacyjnych (strefy liczone na telefonie, bieżąca pozycja niezapisywana, bez zapisywania tras przemieszczania) oraz automatyczne usuwanie danych po upływie okresów przechowywania;
3. pomagać Administratorowi, poprzez odpowiednie środki techniczne i organizacyjne, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie praw określonych w rozdziale III RODO, a żądania skierowane bezpośrednio do Przetwarzającego niezwłocznie przekazywać Administratorowi;
4. pomagać Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, z uwzględnieniem charakteru przetwarzania oraz dostępnych mu informacji;
5. zgłaszać Administratorowi stwierdzone naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, na adres e-mail osoby, która zawarła Umowę, lub inny wskazany przez Administratora, wraz z informacjami, o których mowa w art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne;
6. udostępniać Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwiać Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, po uprzednim zawiadomieniu z wyprzedzeniem co najmniej 14 dni, w dni robocze, w sposób nieutrudniający działalności Przetwarzającego i z zachowaniem poufności informacji o zabezpieczeniach; audyt odbywa się w pierwszej kolejności w formie pisemnych pytań i udostępnienia dokumentacji;
7. prowadzić rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO;
8. po zakończeniu świadczenia Usługi, zależnie od decyzji Administratora, usunąć lub zwrócić mu wszelkie dane osobowe oraz usunąć ich istniejące kopie, chyba że prawo Unii lub prawo polskie nakazują ich przechowywanie; decyzję Administrator przekazuje w terminie 30 dni od zakończenia Usługi, a w jej braku dane są usuwane; kopie zapasowe są usuwane w ramach ich cyklicznej rotacji.

Podprzetwarzający

1. Administrator udziela Przetwarzającemu ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających (podprzetwarzających). Na dzień zawarcia Umowy są nimi:

Podmiot	Zakres	Miejsce przetwarzania
OVH (OVH SAS i spółki z grupy)	serwer, baza danych, poczta elektroniczna	Unia Europejska
Google Firebase Cloud Messaging (Google LLC)	doręczanie powiadomień push do aplikacji na Androidzie (token urządzenia i techniczna treść wiadomości, bez lokalizacji i bez treści SMS)	UE oraz USA
Usługi doręczania powiadomień Web Push wybierane przez przeglądarkę użytkownika (Google LLC, Mozilla Corporation, Apple Inc.)	doręczenie zaszyfrowanych powiadomień do aplikacji przeglądarkowej (PWA); treść jest szyfrowana end-to-end i niedostępna dla operatora usługi push, który otrzymuje identyfikator subskrypcji	UE oraz USA

2. Przetwarzający informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia podprzetwarzającego z wyprzedzeniem co najmniej 14 dni, pocztą elektroniczną lub w Panelu. Administrator ma prawo wyrazić sprzeciw wobec takiej zmiany przed jej wprowadzeniem; w razie sprzeciwu, którego Strony nie usuną w drodze porozumienia, Administrator może rozwiązać umowę o świadczenie Usługi ze skutkiem natychmiastowym.
3. Przetwarzający nakłada na podprzetwarzającego, w drodze umowy, te same obowiązki ochrony danych, co określone w Umowie, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Przetwarzający odpowiada wobec Administratora za wypełnienie obowiązków przez podprzetwarzającego.
4. Przekazanie danych do państwa trzeciego następuje wyłącznie z zachowaniem warunków rozdziału V RODO, w szczególności na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework), a w razie jej uchylenia — standardowych klauzul umownych przyjętych przez Komisję Europejską.
5. Czas dojazdu jest wyliczany na serwerze Przetwarzającego, bez udziału zewnętrznej usługi map lub tras; współrzędne nie są przekazywane żadnemu podmiotowi trzeciemu. Operator płatności, z którego korzysta Przetwarzający, nie otrzymuje danych druhów.

Okresy przechowywania

Przetwarzający usuwa dane automatycznie po upływie następujących okresów, liczonych od ich powstania, chyba że wskazano inaczej, o ile Administrator wcześniej ich nie usunie:

Dane	Okres
Położenie domu i promień strefy	do wycofania zgody lub usunięcia konta
Zdarzenia strefy i historia statusu	30 dni (zachowywany jest tylko ostatni status każdego druha)
Dzienniki diagnostyczne z telefonów	30 dni
Zdarzenia logowania	90 dni
Historia alarmów, przyjęć SMS alarmowych, potwierdzeń, sprawdzeń gotowości i wysłanych powiadomień	1 rok
Wydarzenia jednostki i deklaracje udziału w wydarzeniach	1 rok od daty wydarzenia
Meldunki (zdarzenia, wyjazdy, obsada, sprzęt)	5 lat — okres przyjęty przez Administratora dla dokumentacji działań ratowniczych
Dane konta druha	usuwane z chwilą usunięcia konta przez Administratora
Zapisy zapoznania się z klauzulą i decyzji o zgodzie na lokalizację	po usunięciu konta anonimizowane po 30 dniach
Kartoteka (kwalifikacje, terminy, data ważności badań)	przez czas członkostwa, do usunięcia przez Administratora; usuwana wraz z kontem
Akceptacje Regulaminu i Umowy (dane, których administratorem jest Usługodawca)	czas trwania Umowy, a następnie do końca roku kalendarzowego, w którym upływa 6 lat od jej zakończenia — nie są usuwane automatycznie w trakcie Umowy

Usunięcie danych nie narusza integralności dokumentacji: w meldunkach zachowuje się imię i nazwisko druha jako tekst.

Postanowienia końcowe

1. Umowa zostaje zawarta w postaci elektronicznej (art. 60 i art. 384 § 4 Kodeksu cywilnego), przez złożenie oświadczenia w Panelu przez osobę uprawnioną do reprezentowania Administratora, a przy reprezentacji łącznej — z chwilą potwierdzenia jej w Panelu przez drugiego członka zarządu, co spełnia wymóg art. 28 ust. 9 RODO. Strony nie zastrzegają formy elektronicznej w rozumieniu art. 78¹ Kodeksu cywilnego. Przetwarzający rejestruje datę, godzinę, adres IP, tożsamość osoby zawierającej Umowę, jej funkcję, sposób reprezentacji, datę uchwały zarządu (dla pełnomocnika), numer KRS Administratora i skrót SHA-256 treści Umowy, a potwierdzenie wraz z treścią Umowy w formacie PDF przesyła na adres e-mail osoby, która zawarła Umowę, a przy reprezentacji łącznej — obu członków zarządu.
2. Zmiana Umowy wymaga zawarcia jej nowej wersji w tej samej postaci. Do czasu jej zawarcia obowiązuje wersja dotychczasowa.
3. Odpowiedzialność Stron za szkody wyrządzone osobom, których dane dotyczą, określa art. 82 RODO. W pozostałym zakresie do odpowiedzialności Stron stosuje się Regulamin.
4. W sprawach nieuregulowanych Umową stosuje się przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeksu cywilnego. Spory rozstrzyga sąd powszechny właściwy dla siedziby Przetwarzającego, o ile przepisy bezwzględnie obowiązujące nie stanowią inaczej.
5. W razie sprzeczności między Umową a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo mają postanowienia Umowy.