Umowa powierzenia przetwarzania danych osobowych

1. Strony umowy i jej zawarcie

1.1 Administrator: Użytkownik usługi RaidCall w rozumieniu Regulaminu — gmina, jednostka lub inna osoba, która zarejestrowała w Usłudze jednostkę ochrony przeciwpożarowej (dalej „Administrator”).

1.2 Podmiot przetwarzający: Synaptic s. r. o. z siedzibą pod adresem Baka 530, 930 04 Baka, IČO: 57302952, wpisana do rejestru handlowego Sądu Rejonowego w Trnawie (Okresný súd Trnava), oddział: Sro, wpis nr 61117/T (dalej „Podmiot przetwarzający”).

1.3 Niniejsza umowa stanowi załącznik do Regulaminu i jest zawierana łącznie z umową o świadczenie Usługi (poprzez rejestrację). Obowiązuje tak długo, jak Podmiot przetwarzający przetwarza dane osobowe w imieniu Administratora. Na żądanie strony podpiszą ją także w formie papierowej lub elektronicznej.

2. Przedmiot, charakter i cel przetwarzania

2.1 Podmiot przetwarzający przetwarza dane osobowe w imieniu Administratora wyłącznie w celu świadczenia Usługi zgodnie z Regulaminem: powiadamianie i alarmowanie członków jednostki ochrony przeciwpożarowej, koordynacja i zapis akcji ratowniczej, sprawozdanie i raport z akcji ratowniczej, ewidencja członków i działalności jednostki oraz powiązane funkcje.

2.2 Charakter przetwarzania: zbieranie, przechowywanie, porządkowanie, wyszukiwanie, przeglądanie, wykorzystywanie, wyznaczanie danych pochodnych (w szczególności czasów i obsad na podstawie lokalizacji), udostępnianie upoważnionym użytkownikom Administratora i wskazanym przez niego odbiorcom, usuwanie i anonimizacja — przy użyciu środków zautomatyzowanych.

3. Kategorie osób, których dane dotyczą, i kategorie danych osobowych

3.1 Osoby, których dane dotyczą: członkowie, dowódcy i inni użytkownicy jednostki, osoby informowane, kandydaci na członków, osoby wymienione w sprawozdaniu z akcji ratowniczej (zgłaszający, właściciel, użytkownik, poszkodowani), osoby uwidocznione na zdjęciach i w uwagach.

3.2 Dane osobowe:

• dane identyfikacyjne i kontaktowe (imię i nazwisko, telefon, e-mail, język), rola, grupa, kwalifikacje i ich ważność, urlopy, dyżur, udział w szkoleniach, wpisy w książce służby;
• dane o powiadomieniu (połączenia, SMS-y, e-maile, push, doręczenie, odpowiedzi i ich czas);
• dane o lokalizacji członka podczas alarmu (bieżąca lokalizacja, trasa, dokładność, czas) oraz wyznaczone na ich podstawie czasy, obsady, odległości i godziny; stan baterii i typ urządzenia;
• dane o akcji ratowniczej (adres, opis, przebieg, zdjęcia, czat, sprawozdanie z akcji ratowniczej, w tym dane o osobach dotkniętych zdarzeniem, jeżeli Administrator je wprowadzi);
• komunikacja w Usłudze (czaty, tablica), uwagi przy kontrolach prewencyjnych;
• identyfikatory urządzeń i dane logowania.

3.3 Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych (np. dotyczących zdrowia). Jeżeli Administrator wprowadzi je do Usługi (np. do sprawozdania z akcji ratowniczej o osobach rannych), odpowiada za ich podstawę prawną i ogranicza je do niezbędnej miary.

4. Obowiązki Administratora

4.1 Administrator odpowiada za zgodność przetwarzania z prawem, w szczególności za podstawę prawną, spełnienie obowiązku informacyjnego wobec osób, których dane dotyczą (w tym informacji o rejestrowaniu lokalizacji podczas alarmu), oraz za prawidłowość danych, które wprowadza do Usługi.

4.2 Administrator wydaje Podmiotowi przetwarzającemu polecenia poprzez ustawienia i korzystanie z Usługi (np. włączenie publikacji na publicznej mapie, wysłanie raportu do adresata) albo na piśmie na adres info@raidcall.sk.

5. Obowiązki Podmiotu przetwarzającego

5.1 Podmiot przetwarzający:

• przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora (Regulamin, niniejsza umowa, ustawienia Usługi), także w odniesieniu do przekazywania danych do państw trzecich, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo państwa członkowskiego; w takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo tego nie zabrania; jeżeli uzna, że polecenie stanowi naruszenie przepisów, niezwłocznie o tym informuje;
• zapewnia, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi zachowania tajemnicy;
• podejmuje środki techniczne i organizacyjne zgodnie z art. 32 RODO wymienione w art. 8;
• przestrzega warunków korzystania z usług dalszych podmiotów przetwarzających określonych w art. 6;
• pomaga Administratorowi poprzez odpowiednie środki wywiązywać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, eksport); żądanie doręczone bezpośrednio Podmiotowi przetwarzającemu przekazuje Administratorowi bez zbędnej zwłoki;
• pomaga Administratorowi wywiązywać się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), uwzględniając charakter przetwarzania oraz dostępne mu informacje;
• o naruszeniu ochrony danych osobowych informuje Administratora bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, przekazując posiadane informacje, o których mowa w art. 33 ust. 3 RODO;
• po zakończeniu świadczenia Usługi, zależnie od decyzji Administratora, usuwa dane osobowe lub je zwraca (eksport) oraz usuwa wszelkie istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje ich przechowywanie (art. 9);
• udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia przeprowadzanie audytów, w tym kontroli zgodnie z art. 7.

6. Dalsze podmioty przetwarzające

6.1 Administrator udziela Podmiotowi przetwarzającemu ogólnej pisemnej zgody na korzystanie z usług dalszych podmiotów przetwarzających. Ich aktualny wykaz wraz ze wskazaniem czynności, zakresu danych i miejsca przetwarzania znajduje się w art. 4 Polityki prywatności; na dzień wejścia w życie niniejszej umowy są to: Hetzner Online GmbH (hosting, baza danych i kopie zapasowe, Finlandia, UE), VIPTel a.s. (połączenia głosowe, Słowacja, UE), Quanda International s.r.o. – GoSMS (SMS, Czechy, UE), PurelyMail (e-maile, USA), Apple Inc. i Google LLC (powiadomienia push i połączenia w aplikacji, USA), Microsoft (zamiana tekstu komunikatu głosowego na mowę, jeżeli jest włączona; UE; wyłącznie rodzaj alarmu i miejsce akcji ratowniczej), dostawca AI według ustawienia — OpenAI (europejski punkt końcowy, UE) albo Anthropic, PBC (USA) — (asystent AI, rozpoznawanie zdjęć, podsumowanie i analiza raportu z zamaskowanymi imionami i nazwiskami, adresem i danymi kontaktowymi), TomTom International B.V. (informacje drogowe, Holandia, UE; współrzędne bez danych o osobie), komoot GmbH – Photon (wyszukiwanie adresu akcji ratowniczej dla jednostek spoza Słowacji, Czech i Węgier, Niemcy, UE; wyłącznie tekst adresu). Usługi, z których Podmiot przetwarzający wyłącznie pobiera dane i do których nie wysyła danych osobowych (informacje drogowe krajowych punktów dostępowych, ostrzeżenia MeteoAlarm, rejestry AED), nie są dalszymi podmiotami przetwarzającymi.

6.2 O zamierzonym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora co najmniej 14 dni wcześniej e-mailem lub w Usłudze. Administrator może w tym terminie z uzasadnionych przyczyn wnieść sprzeciw; jeżeli strony nie dojdą do porozumienia, Administrator może rozwiązać umowę.

6.3 Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający w drodze umowy te same obowiązki w zakresie ochrony danych, jakie określa niniejsza umowa, i odpowiada wobec Administratora za wypełnianie jego obowiązków.

7. Przekazywanie poza UE i kontrole

7.1 Dane osobowe są przechowywane w UE. Przekazywanie do państw trzecich (USA) następuje wyłącznie przy zadaniach i w zakresie określonych w art. 6.1, na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) lub standardowych klauzul umownych zgodnie z art. 46 RODO.

7.2 Administrator może weryfikować wykonywanie niniejszej umowy w szczególności poprzez żądanie informacji na piśmie; kontrolę na miejscu można przeprowadzić po uzgodnieniu, nie częściej niż raz w roku, z zawiadomieniem co najmniej 30 dni wcześniej, na koszt Administratora i w taki sposób, aby nie zagrozić działaniu Usługi ani danym innych jednostek.

8. Środki techniczne i organizacyjne

• szyfrowanie transmisji (HTTPS/TLS), szyfrowanie end-to-end prywatnych czatów;
• hasła przechowywane wyłącznie jako kryptograficzny hash (scrypt), opcjonalne uwierzytelnianie dwuskładnikowe, ograniczenie liczby prób logowania;
• kontrola dostępu według ról i oddzielenie danych poszczególnych jednostek; osoby informowane wyłącznie z prawem odczytu;
• baza danych niedostępna z internetu, dostęp wyłącznie dla upoważnionych osób Podmiotu przetwarzającego;
• dziennik audytowy kluczowych czynności, zapis wysłanych wiadomości, monitorowanie dostępności i błędów;
• regularne kopie zapasowe w UE, możliwość przywrócenia danych;
• minimalizacja: lokalizacja wyłącznie podczas alarmu, bez prędkości, droga do domu jest usuwana, bieżące lokalizacje są usuwane po zakończeniu alarmu; osobom trzecim (ruch drogowy, mapy) przesyłane są wyłącznie współrzędne bez danych o osobie.

9. Okres przetwarzania, usuwanie i zwrot danych

9.1 Dane są przechowywane przez czas trwania umowy zgodnie z ustawieniami Administratora i okresami określonymi w art. 7 Polityki prywatności.

9.2 Po dezaktywacji jednostki i upływie 30 dni Podmiot przetwarzający usuwa lub anonimizuje dane osobowe; anonimowa historia akcji ratowniczych może pozostać w statystykach. Przed dezaktywacją Administrator może zażądać eksportu danych. Z kopii zapasowych dane są usuwane przy ich regularnej rotacji.

10. Postanowienia końcowe

10.1 Do odpowiedzialności stron stosuje się art. 82 RODO oraz postanowienia Regulaminu dotyczące odpowiedzialności w zakresie, w jakim dopuszczają je przepisy prawa.

10.2 W razie sprzeczności między Regulaminem a niniejszą umową w sprawach ochrony danych osobowych pierwszeństwo ma niniejsza umowa. Umowa podlega prawu Republiki Słowackiej; o jej zmianach zawiadamia się w taki sam sposób jak o zmianach Regulaminu.