DeCA Portal
Dla kogoJak to działaCennikPrzepisyKontrola drogowaKontakt
pl
Zarejestruj się

Umowa powierzenia przetwarzania danych osobowych

Niniejsze tłumaczenie robocze ma charakter wyłącznie informacyjny. Wiążąca jest wyłącznie wersja hiszpańska.

zgodnie z art. 28 RODO

Go4Future Consulting e.U. – DeCA Portal

Wersja: 1 października 2026 r.

Preambuła

Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej „UPP”) zostaje zawarta pomiędzy Klientem, zgodnie z danymi przedsiębiorstwa podanymi przy rejestracji (dalej „Administrator”), a Go4Future Consulting e.U., Dr. Rudolf Klafsky-Straße 18, 2500 Baden, Austria, numer w rejestrze handlowym FN 684502x (Landesgericht Wiener Neustadt), numer VAT UE ATU83497057 (dalej „Podmiot przetwarzający” lub „G4F”).

Administrator korzysta z platformy DeCA Portal na podstawie Ogólnych warunków handlowych oraz Warunków korzystania (dalej łącznie „Umowa główna”). W tych ramach G4F przetwarza dane osobowe w imieniu Administratora. Niniejsza UPP reguluje prawa i obowiązki stron zgodnie z art. 28 RODO i stanowi integralną część Umowy głównej.

UPP zostaje zawarta w formie elektronicznej w ramach rejestracji, co spełnia wymóg formy określony w art. 28 ust. 9 RODO. G4F rejestruje moment akceptacji, konto użytkownika, z którego jej dokonano, oraz wersję zaakceptowanego tekstu i udostępnia Administratorowi na stałe na jego koncie klienta zarówno obowiązującą wersję, jak i wszystkie wcześniejsze wersje.

1. Przedmiot, charakter i cel przetwarzania

1.1 Przedmiotem powierzenia przetwarzania jest świadczenie usług opisanych w Umowie głównej w zakresie, w jakim wiąże się ono z przetwarzaniem danych osobowych, w odniesieniu do których Administrator jest administratorem.

1.2 Charakter, cel i zakres przetwarzania, kategorie osób, których dane dotyczą, oraz rodzaje danych osobowych określa Załącznik 1.

1.3 Przetwarzanie odbywa się wyłącznie w państwach członkowskich Unii Europejskiej lub w państwach będących stronami Porozumienia o Europejskim Obszarze Gospodarczym, z zastrzeżeniem punktu 8.

1.4 Przedmiotem niniejszej UPP nie są operacje przetwarzania, których G4F dokonuje na własną odpowiedzialność, w szczególności obsługa stosunku umownego, fakturowanie, bezpieczeństwo systemów oraz wykorzystywanie danych zanonimizowanych i zagregowanych. Informacje o nich zawiera Polityka prywatności G4F.

2. Czas trwania

2.1 Niniejsza UPP rozpoczyna się z chwilą zawarcia Umowy głównej i kończy się z chwilą jej zakończenia.

2.2 Postanowienia niniejszej UPP mają zastosowanie także po zakończeniu Umowy głównej, dopóki G4F przechowuje dane osobowe Administratora, w szczególności w okresach następczych uregulowanych w punkcie 12.

3. Prawo Administratora do wydawania poleceń

3.1 G4F przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora. Dotyczy to również przekazywania danych osobowych do państwa trzeciego, chyba że obowiązek taki nakłada na G4F prawo Unii lub prawo państwa członkowskiego, któremu G4F podlega; w takim przypadku przed rozpoczęciem przetwarzania G4F poinformuje Administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.

3.2 Za udokumentowane polecenia uważa się Umowę główną, łącznie z Warunkami korzystania, a także ustawienia i wpisy dokonywane przez Administratora za pomocą funkcji Platformy.

3.3 Za wyraźne polecenie Administratora uważa się w szczególności:

3.4 Administrator przyjmuje do wiadomości, że publiczna dostępność, o której mowa w punkcie 3.3 lit. a, stanowi wymóg obowiązujących przepisów i że w konsekwencji dane są dostępne dla każdej osoby dysponującej adresem lub odpowiadającym mu kodem QR. G4F stosuje środki ograniczające ryzyko opisane w Załączniku 3.

3.5 Polecenia wykraczające poza Umowę główną należy wydawać na piśmie i kierować na adres datos@decaportal.es. Jeżeli wymagają one znacznego dodatkowego nakładu pracy, G4F może żądać odpowiedniego wynagrodzenia; strony uzgodnią z góry ich wykonalność i związany z nimi nakład pracy.

3.6 Jeżeli zdaniem G4F polecenie narusza przepisy o ochronie danych osobowych, G4F niezwłocznie poinformuje o tym Administratora. G4F jest uprawniona do wstrzymania wykonania takiego polecenia do czasu jego potwierdzenia lub zmiany przez Administratora.

4. Obowiązki G4F

G4F zobowiązuje się:

4.1 przetwarzać dane osobowe wyłącznie w ramach niniejszej UPP i poleceń Administratora;

4.2 zapewnić, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy, a także szkolić te osoby w zakresie postępowania z danymi osobowymi;

4.3 wdrożyć i utrzymywać środki techniczne i organizacyjne wymagane na podstawie art. 32 RODO; przyjęte środki opisano w Załączniku 3. G4F może je rozwijać, pod warunkiem że uzgodniony poziom ochrony nie zostanie obniżony;

4.4 pomagać Administratorowi, za pomocą odpowiednich środków technicznych i organizacyjnych, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (punkt 9);

4.5 pomagać Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter przetwarzania oraz informacje dostępne G4F;

4.6 niezwłocznie informować Administratora, gdy organ nadzorczy lub inny organ prowadzi wobec G4F czynności wyjaśniające, które mogą dotyczyć danych Administratora;

4.7 dokumentować czynności przetwarzania dokonywane w imieniu Administratora zgodnie z art. 30 ust. 2 RODO.

5. Obowiązki Administratora

5.1 Administrator odpowiada za zgodność przetwarzania z prawem, za istnienie podstawy prawnej oraz za zapewnienie poszanowania praw osób, których dane dotyczą.

5.2 Administrator informuje osoby, których dane dotyczą, zgodnie z art. 13 i 14 RODO. Dotyczy to w szczególności kierowców oraz osób kontaktowych nadawców, odbiorców i innych uczestników, których dane nie są zbierane bezpośrednio od nich.

5.3 Administrator wprowadza na Platformie wyłącznie te dane osobowe, które są niezbędne do danego celu. Wprowadzanie szczególnych kategorii danych osobowych w rozumieniu art. 9 RODO nie jest przewidziane i należy go zaniechać.

5.4 Administrator na własną odpowiedzialność zarządza uprawnieniami dostępu swoich użytkowników i niezwłocznie je cofa, gdy tylko przestaną być spełnione przesłanki ich przyznania.

5.5 Administrator niezwłocznie poinformuje G4F, jeżeli przy sprawdzaniu wyników przetwarzania stwierdzi błędy lub nieprawidłowości.

6. Dalsze podmioty przetwarzające

6.1 Administrator udziela G4F ogólnej pisemnej zgody na korzystanie z usług innych podmiotów przetwarzających zgodnie z art. 28 ust. 2 RODO.

6.2 Dalsze podmioty przetwarzające wykorzystywane w chwili zawarcia umowy wymieniono w Załączniku 2. Zawierając niniejszą UPP, Administrator wyraża zgodę na ich udział.

6.3 G4F poinformuje Administratora z wyprzedzeniem co najmniej 30 dni o włączeniu nowego dalszego podmiotu przetwarzającego lub o zastąpieniu dotychczasowego, na piśmie lub za pomocą komunikatu na koncie klienta.

6.4 Administrator może wnieść sprzeciw wobec zmiany na piśmie w terminie 30 dni od otrzymania informacji, z ważnej przyczyny związanej z ochroną danych osobowych. Sprzeciw wymaga uzasadnienia.

6.5 W razie uzasadnionego sprzeciwu strony będą wspólnie poszukiwać rozwiązania. Jeżeli nie zostanie ono osiągnięte w terminie 30 dni, a G4F nie może świadczyć danej usługi bez dalszego podmiotu przetwarzającego na rozsądnych warunkach, każda ze stron jest uprawniona do rozwiązania Umowy głównej ze skutkiem na dzień wejścia zmiany w życie. Opłaty uiszczone już za niewykorzystany okres zostaną zwrócone proporcjonalnie.

6.6 G4F nakłada na każdy dalszy podmiot przetwarzający w drodze umowy obowiązki w zakresie ochrony danych zasadniczo równoważne obowiązkom wynikającym z niniejszej UPP i odpowiada wobec Administratora za ich wykonanie zgodnie z punktem 13.

6.7 Dalszym powierzeniem przetwarzania nie są świadczenia pomocnicze, które G4F nabywa od osób trzecich i które nie są ukierunkowane na przetwarzanie danych osobowych Administratora, takie jak usługi telekomunikacyjne, konserwacja, sprzątanie lub niszczenie nośników danych. Również w tych przypadkach G4F stosuje odpowiednie środki w celu zapewnienia bezpieczeństwa danych.

7. Miejsca przetwarzania

7.1 Infrastruktura aplikacji i bazy danych jest eksploatowana w centrach danych na terytorium Unii Europejskiej.

7.2 G4F zawiadomi Administratora o każdym przeniesieniu przetwarzania do innego państwa zgodnie z procedurą określoną w punkcie 6.3.

8. Przekazywanie danych do państw trzecich

8.1 Przetwarzanie danych osobowych poza Europejskim Obszarem Gospodarczym następuje wyłącznie wtedy, gdy spełnione są wymogi art. 44 i nast. RODO, w szczególności na podstawie decyzji stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul umownych Komisji Europejskiej, uzupełnionych w razie potrzeby o dodatkowe środki ochrony.

8.2 Dalsze podmioty przetwarzające, których to dotyczy, oraz stosowane w każdym przypadku zabezpieczenie wskazano w Załączniku 2.

8.3 Na żądanie Administratora G4F udzieli mu informacji o stosowanych zabezpieczeniach.

9. Prawa osób, których dane dotyczą

9.1 Jeżeli osoba, której dane dotyczą, zwraca się bezpośrednio do G4F w celu wykonania praw odnoszących się do danych przetwarzanych przez G4F w imieniu Administratora, G4F niezwłocznie przekaże żądanie Administratorowi i nie będzie na nie odpowiadać samodzielnie.

9.2 G4F pomaga Administratorowi w realizacji żądań dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu, w zakresie, w jakim nie jest to możliwe bez współpracy G4F lub jest możliwe jedynie przy nieproporcjonalnym nakładzie pracy. W tym celu Platforma udostępnia Administratorowi funkcje wyszukiwania, pobierania, usuwania i ponownego przesyłania.

9.3 Za pomoc wykraczającą poza funkcje udostępnione przez Platformę G4F może żądać odpowiedniego wynagrodzenia.

10. Naruszenia ochrony danych osobowych

10.1 G4F poinformuje Administratora bez zbędnej zwłoki, a w każdym razie w ciągu 48 godzin od stwierdzenia, o każdym naruszeniu ochrony danych osobowych dotyczącym danych Administratora.

10.2 Zgłoszenie obejmuje, w zakresie, w jakim są one znane, opis charakteru naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz wpisów danych, których dotyczy naruszenie, prawdopodobne konsekwencje, zastosowane lub proponowane środki oraz punkt kontaktowy. Informacje niedostępne zostaną przekazane stopniowo.

10.3 G4F pomaga Administratorowi w wywiązywaniu się z obowiązków zgłaszania naruszeń i zawiadamiania o nich zgodnie z art. 33 i 34 RODO.

10.4 Zgłoszeń do organu nadzorczego i zawiadomień osób, których dane dotyczą, dokonuje wyłącznie Administrator, chyba że strony w konkretnym przypadku uzgodnią inaczej.

11. Dowody i audyty

11.1 G4F wykaże na żądanie wywiązywanie się z obowiązków wynikających z niniejszej UPP, przede wszystkim za pomocą aktualnych zaświadczeń, certyfikatów, sprawozdań niezależnych audytorów lub wypełnionego kwestionariusza samooceny.

11.2 Jeżeli w konkretnym przypadku takie dowody nie są wystarczające, Administrator może przeprowadzić audyt lub zlecić jego przeprowadzenie wyznaczonemu przez siebie audytorowi, zobowiązanemu do zachowania tajemnicy, który nie może być konkurentem G4F.

11.3 Audyty przeprowadza się po uprzedniej zapowiedzi z wyprzedzeniem co najmniej 30 dni, w zwykłych godzinach pracy, bez zakłócania działalności i nie częściej niż raz w roku kalendarzowym. W razie uzasadnionego podejrzenia poważnego naruszenia lub po naruszeniu ochrony danych podlegającym zgłoszeniu ograniczenia co do częstotliwości i terminu nie mają zastosowania.

11.4 Administrator ponosi koszty zainicjowanego przez siebie audytu. Za nakład pracy G4F można żądać odpowiedniego wynagrodzenia, chyba że audyt wykaże naruszenie po stronie G4F.

12. Usunięcie i zwrot po zakończeniu umowy

12.1 Po zakończeniu Umowy głównej G4F udostępnia Administratorowi dane przetwarzane w jego imieniu do wglądu i pobrania przez okres 12 miesięcy od przesłania danego dokumentu. Okres ten opiera się na wyraźnym poleceniu, o którym mowa w punkcie 3.3 lit. c, i ma umożliwić Administratorowi wykonanie ustawowych obowiązków przechowywania.

12.2 Administrator może w każdym czasie polecić wcześniejsze usunięcie poszczególnych danych lub całego zbioru danych. G4F dokona usunięcia w terminie 30 dni i potwierdzi je na piśmie.

12.3 Po upływie okresu, o którym mowa w punkcie 12.1, G4F usunie dane przetwarzane w imieniu Administratora. Usunięcie zostanie zapowiedziane z wyprzedzeniem co najmniej 30 dni, a na żądanie potwierdzone na piśmie.

12.4 Kopie zapasowe są usuwane zgodnie ze zwykłymi cyklami tworzenia kopii zapasowych G4F, nie później jednak niż 90 dni po usunięciu w systemie produkcyjnym. Do tego czasu pozostają chronione środkami przewidzianymi w niniejszej UPP i nie są przywracane, chyba że w celu odtworzenia po awarii systemu.

12.5 Dane są przechowywane po upływie powyższych okresów wyłącznie w zakresie, w jakim obowiązek taki nakłada na G4F prawo Unii lub prawo państwa członkowskiego. W takim przypadku przetwarzanie ogranicza się do celu przechowywania.

13. Odpowiedzialność

13.1 Do odpowiedzialności w stosunkach pomiędzy stronami stosuje się postanowienia Ogólnych warunków handlowych.

13.2 Odpowiedzialność wobec osób, których dane dotyczą, oraz postanowienia art. 82 RODO pozostają nienaruszone.

13.3 Jeżeli wobec jednej ze stron zostaną zgłoszone roszczenia z tytułu naruszenia przepisów o ochronie danych osobowych, strony będą wspierać się wzajemnie w obronie i zwolnią się wzajemnie z odpowiedzialności w zakresie odpowiadającym ich udziałowi w odpowiedzialności.

14. Poufność

Strony zachowają w poufności wszelkie informacje drugiej strony uzyskane w ramach niniejszej UPP. Obowiązek ten obowiązuje przez czas trwania UPP oraz przez trzy lata po jej zakończeniu.

15. Zmiany niniejszej UPP

15.1 G4F może zmienić niniejszą UPP i jej załączniki w zakresie, w jakim jest to niezbędne do dostosowania do zmienionych wymogów prawnych, decyzji organów nadzorczych lub rozwoju technicznego. Żadna zmiana nie może obniżyć uzgodnionego poziomu ochrony.

15.2 Zmiany zostaną zapowiedziane z wyprzedzeniem co najmniej 30 dni przed ich wejściem w życie, na piśmie lub za pomocą komunikatu na koncie klienta.

15.3 W razie zmiany, która wpływa na interesy Administratora w sposób nie tylko nieistotny, może on nieodpłatnie rozwiązać Umowę główną do dnia wejścia zmiany w życie, ze skutkiem na ten dzień; opłaty uiszczone już za niewykorzystany okres zostaną zwrócone proporcjonalnie.

15.4 Zmiany Załącznika 2 podlegają, w drodze wyjątku, postanowieniom punktu 6.

16. Postanowienia końcowe

16.1 W razie sprzeczności pomiędzy niniejszą UPP a pozostałymi dokumentami umownymi w sprawach ochrony danych osobowych pierwszeństwo ma niniejsza UPP.

16.2 Nieważność poszczególnych postanowień nie wpływa na ważność pozostałych. W miejsce nieważnego postanowienia uważa się za uzgodnione takie dopuszczalne prawnie uregulowanie, które jest najbliższe celowi zastępowanego postanowienia.

16.3 Język umowy, prawo właściwe i jurysdykcję regulują Ogólne warunki handlowe. Bezwzględnie obowiązujące przepisy o ochronie danych osobowych pozostają nienaruszone.

Załącznik 1 – Przedmiot i szczegóły przetwarzania

Przedmiot przetwarzania

Udostępnianie rozwiązania typu oprogramowanie jako usługa (software as a service) służącego do tworzenia, przesyłania, zapisywania, udostępniania, przekazywania i przechowywania elektronicznych dokumentów kontroli administracyjnej dla przewozu towarów transportem drogowym, generowanych przez Administratora we własnych systemach lub na Platformie.

Charakter przetwarzania

Zbieranie, utrwalanie, porządkowanie, przechowywanie, adaptowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, udostępnianie, ograniczanie, usuwanie i niszczenie.

Cel przetwarzania

Wykonywanie ciążących na Administratorze obowiązków dokumentacyjnych w przewozie towarów transportem drogowym, udostępnianie dokumentów kierowcom i organom kontrolnym oraz przechowywanie dokumentów.

Kategorie osób, których dane dotyczą

Kategorie danych osobowych

Szczególne kategorie danych osobowych

Nie są przewidziane.

Załącznik 2 – Dalsze podmioty przetwarzające

Stripe działa jako niezależny administrator w zakresie obsługi płatności i w związku z tym nie jest dalszym podmiotem przetwarzającym w rozumieniu niniejszej UPP.

Obowiązująca wersja niniejszego załącznika jest dostępna na koncie klienta.

Załącznik 3 – Środki techniczne i organizacyjne

Poufność

Kontrola dostępu fizycznego: przetwarzanie wyłącznie w certyfikowanych centrach danych wykorzystywanych dostawców, z kontrolą dostępu, monitoringiem wizyjnym i rejestracją odwiedzających.

Kontrola dostępu do systemów: indywidualne konta użytkowników, zasady dotyczące haseł, uwierzytelnianie wieloskładnikowe dla dostępów administracyjnych, automatyczna blokada w razie braku aktywności.

Kontrola uprawnień: model uprawnień oparty na rolach zgodnie z zasadą najmniejszych uprawnień, separacja klientów, rejestrowanie dostępów administracyjnych.

Kontrola separacji: logiczne oddzielenie danych poszczególnych klientów, odrębne środowiska deweloperskie, testowe i produkcyjne, zakaz wykorzystywania danych produkcyjnych do celów testowych.

Pseudonimizacja i szyfrowanie: szyfrowanie transmisji za pomocą TLS 1.2 lub wyższego, szyfrowanie przechowywanych danych, tworzenie adresów pobierania dokumentów kontrolnych z losowych identyfikatorów o wysokiej entropii, których nie można odgadnąć, wyłączenie z indeksowania przez wyszukiwarki internetowe, wyłączenie dostępu publicznego po upływie przewidzianego okresu.

Integralność

Kontrola przekazywania: szyfrowana transmisja, udokumentowane interfejsy, zobowiązania umowne dalszych podmiotów przetwarzających.

Kontrola wprowadzania: rejestrowanie przesłania i zmiany dokumentów wraz ze znacznikiem czasu i kontem użytkownika, z którego ich dokonano.

Dostępność i odporność

Procedura regularnego przeglądu

Ostatnia aktualizacja: 1 października 2026 r.

Kliknij tutaj, aby pobrać dokument w wiążącej wersji hiszpańskiej.