Umowa powierzenia przetwarzania danych osobowych

§1 Strony umowy

Podmiot przetwarzający: Dabexo Rafał Dąbal, NIP 8652584623, ul. Ogrodowa 3, 37-433 Przyszów, e-mail: kontakt@hvacdesk.pl.

Administrator: przedsiębiorca, który założył konto firmy w Aplikacji HVACDesk, wskazany danymi podanymi w ustawieniach firmy.

Tożsamość osoby akceptującej umowę, datę akceptacji oraz wersję dokumentu rejestrujemy w systemie i udostępniamy Administratorowi na żądanie.

§2 Przedmiot i cel powierzenia

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych wyłącznie w zakresie i celu niezbędnym do świadczenia usługi HVACDesk, tj. udostępnienia narzędzia do prowadzenia terminarza, protokołów serwisowych, ewidencji czynników chłodniczych, magazynu i ofert.

Podmiot przetwarzający nie ustala celów ani sposobów przetwarzania powierzonych danych — czyni to wyłącznie Administrator.

§3 Zakres powierzonych danych

Kategorie osób: klienci końcowi Administratora (osoby fizyczne i osoby reprezentujące podmioty), pracownicy i współpracownicy Administratora.

Kategorie danych: imię i nazwisko lub nazwa, adres wykonania usługi, numer telefonu, adres e-mail, NIP, dane urządzeń i ich lokalizacji, treść protokołów serwisowych, podpis odręczny złożony na ekranie urządzenia, zdjęcia i dokumenty dołączone do realizacji, dane rozliczeniowe zleceń.

Podmiot przetwarzający nie oczekuje powierzenia danych szczególnych kategorii (art. 9 RODO). Administrator zobowiązuje się ich nie wprowadzać do Aplikacji.

§4 Czas trwania

Umowa obowiązuje przez czas korzystania przez Administratora z usługi HVACDesk i wygasa z chwilą rozwiązania umowy o świadczenie usługi.

§5 Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się:

• przetwarzać powierzone dane wyłącznie na udokumentowane polecenie Administratora — za takie polecenie uznaje się także korzystanie z funkcji Aplikacji zgodnie z jej przeznaczeniem oraz treść Regulaminu;
• zapewnić, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności;
• stosować środki techniczne i organizacyjne odpowiadające ryzyku, zgodnie z art. 32 RODO — opisane w Karcie bezpieczeństwa;
• pomagać Administratorowi w realizacji żądań osób, których dane dotyczą (art. 15–22 RODO), w zakresie możliwym technicznie w Aplikacji;
• pomagać Administratorowi w wypełnianiu obowiązków z art. 32–36 RODO;
• po zakończeniu świadczenia usługi usunąć powierzone dane albo zwrócić je Administratorowi — zgodnie z §8;
• udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwiać audyty na zasadach z §9.

§6 Zgłaszanie naruszeń

Podmiot przetwarzający zgłasza Administratorowi każde naruszenie ochrony powierzonych danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, na adres e-mail wskazany w ustawieniach firmy. Zgłoszenie zawiera charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, możliwe konsekwencje i podjęte środki zaradcze.

Termin 24 godzin ustalono krócej niż wynikające z art. 33 RODO 72 godziny, ponieważ to Administrator — a nie Podmiot przetwarzający — jest zobowiązany zgłosić naruszenie organowi nadzorczemu w ciągu 72 godzin i musi mieć na to realny czas.

§7 Dalsze powierzenie (podprzetwarzający)

Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z podprzetwarzających wymienionych poniżej. Każdy z nich związany jest umową zapewniającą co najmniej taki sam poziom ochrony danych.

O zamiarze dodania lub zmiany podprzetwarzającego Podmiot przetwarzający poinformuje Administratora z co najmniej 30-dniowym wyprzedzeniem, publikując aktualizację niniejszego dokumentu oraz wysyłając wiadomość na adres e-mail Administratora. Administrator ma prawo wnieść sprzeciw; w razie jego wniesienia i braku porozumienia Administratorowi przysługuje prawo rozwiązania umowy o świadczenie usługi ze skutkiem natychmiastowym, bez ponoszenia opłat za niewykorzystany okres.

Analiza tabliczek znamionowych: funkcja rozpoznawania danych urządzenia ze zdjęcia przesyła zdjęcie tabliczki do Google Gemini API. Zdjęcia nie są wykorzystywane do trenowania modeli. Funkcja jest opcjonalna — dane urządzenia można zawsze wpisać ręcznie. Rozpoznawanie tekstu w trybie offline działa w całości na urządzeniu i nie wysyła nigdzie żadnych danych.

§8 Zwrot i usunięcie danych

Po rozwiązaniu umowy o świadczenie usługi Administrator ma 30 dni na samodzielne pobranie danych z Aplikacji (eksport CSV i PDF dostępny w poszczególnych modułach). Po upływie tego terminu dane są usuwane z systemów produkcyjnych, a z kopii zapasowych — w cyklu ich nadpisywania, nie dłużej niż w ciągu kolejnych 30 dni.

Na wyraźne żądanie Administratora dane mogą zostać usunięte wcześniej.

§9 Kontrola i audyt

Administrator ma prawo do kontroli zgodności przetwarzania z niniejszą umową. Kontrola odbywa się po uprzednim zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, w dni robocze, w sposób nienaruszający bezpieczeństwa danych innych Administratorów korzystających z Aplikacji.

Obowiązek informacyjny Podmiot przetwarzający może wypełnić poprzez przekazanie aktualnej Karty bezpieczeństwa oraz dokumentacji podprzetwarzających.

§10 Odpowiedzialność

Każda ze stron odpowiada za szkody wyrządzone przetwarzaniem niezgodnym z RODO w zakresie, w jakim naruszyła obowiązki nałożone na nią przepisami lub niniejszą umową (art. 82 RODO).

Administrator odpowiada w szczególności za posiadanie podstawy prawnej do przetwarzania danych, które wprowadza do Aplikacji, oraz za wypełnienie wobec tych osób obowiązku informacyjnego.

§11 Postanowienia końcowe

• W sprawach nieuregulowanych stosuje się RODO oraz prawo polskie.
• Zmiany umowy wymagają publikacji nowej wersji dokumentu; Administrator zostanie o nich poinformowany z 30-dniowym wyprzedzeniem.
• W razie sprzeczności między niniejszą umową a Regulaminem, w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.