Dokumentacja Systemowa Kontraktowo-Techniczna

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH (DPA ENTERPRISE)

LogDock.eu — Dokumentacja SaaS Enterprise v3.0 (2026) | Data wejścia w życie: 27 maja 2026 r.

Zawarta na podstawie art. 28 ust. 3 RODO pomiędzy Klientem (jako Administratorem danych) a LogDock Cezary Zięba, ul. Rolników 204/6, 44-141 Gliwice, NIP: 6262983596 (jako Procesorem). Umowa zawierana jest automatycznie przy rejestracji konta firmowego w serwisie logdock.eu.

§ 1. PRZEDMIOT POWIERZENIA, DEFINICJA PROCESÓW I ROZDZIELENIE CELÓW W AI

1. Administrator powierza Procesorowi do przetwarzania Dane Osobowe zawarte w Danych Operacyjnych wyłącznie w celu technicznej, infrastrukturalnej i algorytmicznej realizacji Usługi SaaS na warunkach określonych w Umowie Głównej.

2. Faktografia Ról RODO: Strony zgodnie oświadczają, że ich status prawny na gruncie RODO wynika bezpośrednio z obiektywnego stanu faktycznego i operacyjnego podziału zadań w systemie, a nie z samego brzmienia zapisów kontraktowych. Administrator zachowuje wyłączne władztwo nad celami i sposobami przetwarzania danych (decyduje o zbieraniu lokalizacji GPS kierowców, konfiguracji tras i tożsamości personelu), a Procesor wykonuje operacje przetwarzania wyłącznie na udokumentowane polecenie Administratora. W przypadku, gdyby regulator lub obiektywny stan faktyczny wykazał, że Procesor samodzielnie zdeterminował cele przetwarzania poza zakresem instrukcji, status stron zostanie automatycznie zweryfikowany na podstawie faktów, a Strony niezwłocznie dostosują zapisy umowne bez wpływu na ciągłość Usługi.

3. Dychotomiczny podział celów przetwarzania w Systemie AI:

• Przetwarzanie w imieniu Administratora (Realizacja Rekomendacji): Operacje przetwarzania Danych Osobowych realizowane wewnątrz modułów Systemu AI w celu generowania dedykowanych sugestii tras, kosztów i ładunków dla Klienta stanowią integralny element techniczny realizacji usługi głównej. W tym zakresie Procesor działa wyłącznie jako podmiot przetwarzający w rozumieniu art. 28 RODO, na rzecz i na zlecenie Administratora.
• Przetwarzanie w celach własnych Usługodawcy (Optymalizacja Ogólna — OPT-IN): Wykorzystanie danych do rozwoju ogólnych modeli matematycznych, poprawy stabilności systemowej oraz optymalizacji algorytmów globalnych LogDock realizowane jest wyłącznie po zanonimizowaniu lub zagregowaniu danych, w sposób uniemożliwiający identyfikację jakiejkolwiek osoby fizycznej (Dane Pochodne). Klientowi przysługuje w każdym czasie bezwzględne prawo do zgłoszenia sprzeciwu (mechanizm opt-out) poprzez zmianę konfiguracji w Konta Master. Zgłoszenie opt-out skutkuje natychmiastowym i bezpowrotnym wyłączeniem danych Klienta z procesów analityczno-rozwojowych, bez jakiegokolwiek wpływu na standard i parametry świadczonej Usługi głównej.

§ 2. ŚRODKI TECHNICZNE, ORGANIZACYJNE I ZASADA INTEGRALNOŚCI LOGÓW

1. Procesor zobowiązuje się do wdrożenia i utrzymywania środków technicznych i organizacyjnych zapewniających poziom bezpieczeństwa adekwatny do ryzyka, zgodnie z art. 32 RODO, w tym m.in.: pełnego szyfrowania danych w spoczynku i w transmisji (AES-256, TLS 1.3), systemów pseudonimizacji, rygorystycznej kontroli dostępu opartej na zasadzie wiedzy koniecznej (Need-to-Know) oraz systematycznego testowania odporności infrastruktury.

2. Klauzula RODO dla Audit Trail: Strony zgodnie potwierdzają, że ze względu na technologiczną konieczność zapewnienia rozliczalności, bezpieczeństwa oraz dowodowości operacji w rozumieniu art. 5 ust. 2 oraz art. 32 RODO, rejestry systemowe wchodzące w skład struktury Audit Trail mają charakter niezmienialny (append-only) i nie podlegają modyfikacji ani usunięciu na żądanie Użytkownika. Realizacja prawa do usunięcia danych („prawo do bycia zapomnianym" - art. 17 RODO) zostaje ograniczona w zakresie struktury Audit Trail na podstawie art. 17 ust. 3 lit. b RODO, jako przetwarzanie niezbędne do wywiązania się z prawnego obowiązku zapewnienia bezpieczeństwa i rozliczalności systemowej oraz celów dowodowych.

§ 3. PROCEDURY INCYDENTOWE ORAZ REŻIM KONTROLI ORGANÓW NADZORCZYCH

1. Procesor zawiadamia Administratora o każdym stwierdzonym naruszeniu ochrony danych osobowych drogą elektroniczną w ciągu maksymalnie 24 godzin od momentu wykrycia incydentu, dostarczając wszelkich niezbędnych informacji wymaganych do zgłoszenia naruszenia do organu nadzorczego.

2. Koszty realizacji niestandardowych, dedykowanych żądań podmiotów danych lub asysty przy przeprowadzaniu oceny skutków dla ochrony danych (DPIA) obciążają Klienta. Procesor zobowiązuje się do udzielenia niezbędnego wsparcia technicznego w przypadku kontroli Klienta prowadzonej przez Prezesa Urzędu Ochrony Danych Osobowych (PUODO), wyłącznie w zakresie bezpośrednio związanym z architekturą infrastrukturalną LogDock.

§ 4. PODPOWIERZENIE PRZETWARZANIA ORAZ KLAUZULA BEZPIECZEŃSTWA TRANSFEROWEGO USA

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z Podprocesorów. Aktualna lista podmiotów trzecich znajduje się w dedykowanym rejestrze pod adresem logdock.eu/subprocessors. Procesor ma obowiązek poinformować Administratora o planowanej zmianie listy z min. 14-dniowym wyprzedzeniem, a Administratorowi przysługuje prawo wniesienia uzasadnionego sprzeciwu w terminie 7 dni.

2. Mechanizm Fallback EU-Only (Gwarancja Suwerenności Danych): Procesor oświadcza, że w odniesieniu do dostawców mających siedzibę w USA, dokonał szczegółowej oceny skutków transferu (TIA) oraz zweryfikował ich aktywną certyfikację w ramach unijno-amerykańskich ram ochrony danych (Data Privacy Framework — DPF) lub wdrożył Standardowe Klauzule Umowne (SCC). W przypadku utraty ważności, unieważnienia przez TSUE lub zakwestionowania przez organy nadzorcze mechanizmu DPF lub SCC dla transferów do USA, Procesor zobowiązuje się w nieprzekraczalnym terminie 60 dni od dnia ogłoszenia decyzji organu do migracji procesów do alternatywnego dostawcy zlokalizowanego w EOG lub całkowitego technicznego ograniczenia przetwarzania danych operacyjnych do infrastruktury fizycznie zlokalizowanej na terenie Europejskiego Obszaru Gospodarczego.

§ 5. PRAWA AUDYTOWE ENTERPRISE

1. Administrator ma prawo do przeprowadzenia zdalnego audytu zgodności Procesora z przepisami RODO oraz niniejszej DPA raz w roku kalendarzowym, po uprzednim zawiadomieniu z min. 14-dniowym wyprzedzeniem. Jako pełne zaspokojenie uprawnień audytowych Administratora, Procesor może przedstawić aktualny certyfikat zgodności z normą ISO/IEC 27001 lub niezależny raport audytorski SOC 2 Type II (lub SOC 2 Type I w fazie początkowej), sporządzony przez akredytowanego audytora w okresie ostatnich 12 miesięcy.

2. Audyt nie może w żadnym wypadku naruszać tajemnicy przedsiębiorstwa Usługodawcy, nie obejmuje dostępu do kodu źródłowego oprogramowania, baz danych innych klientów platformy oraz wewnętrznych konfiguracji sieciowych chronionych klauzulami NDA. Koszty ewentualnego audytu terenowego (on-site) w biurze Procesora obciążają w całości Administratora.

§ 6. RETENCJA DANYCH PO ZAKOŃCZENIU UMOWY I CRYPTO-SHREDDING

1. Po rozwiązaniu lub wygaśnięciu Umowy Głównej, Procesor utrzymuje Dane Operacyjne w trybie logicznego zablokowania (tylko do odczytu) przez okres 30 dni w celu umożliwienia Klientowi samodzielnej ekstrakcji danych do formatu JSON lub CSV. Po upływie tego terminu dane w systemach produkcyjnych zostają bezpowrotnie usunięte.

2. Status Retencji Kopii Zapasowych: Dane osobowe zawarte w systemowych kopiach zapasowych (backupach) zostają z chwilą usunięcia produkcji logicznie odcięte od jakichkolwiek bieżących procesów przetwarzania i nie ma możliwości ich selektywnego przywrócenia w ramach procedur Disaster Recovery (DR). Całkowite fizyczne nadpisanie i niszczenie danych w backupach następuje w ramach naturalnego, technicznego cyklu rotacji nośników (maksymalnie do 60 dni) przy użyciu certyfikowanych procedur bezpiecznego nadpisywania sektorów lub poprzez bezpowrotne zniszczenie kluczy szyfrujących przypisanych do kontenera danych Klienta (procedura Crypto-shreddingu).

LogDock.eu — Dokumentacja SaaS Enterprise v3.0 (2026) | LogDock Cezary Zięba, ul. Rolników 204/6, 44-141 Gliwice | NIP: 6262983596