# Umowa powierzenia przetwarzania danych

Załącznik do regulaminu KlasBus. Wersja 1.0 z 8 września 2026 r.

## 1. Strony i zawarcie

1. Administratorem powierzanych danych jest osoba fizyczna, firma lub inny podmiot wskazany w danych konta i przestrzeni pracy KlasBus, który decyduje o celach przetwarzania danych wprowadzanych do narzędzi, dalej „Klient”. Umowę przyjmuje osobiście lub przez przedstawiciela uprawnionego do działania w jego imieniu. Jeżeli Klient sam przetwarza dane na zlecenie innego administratora, zawiera niniejszą umowę jako podmiot przetwarzający, a KlasBus działa jako dalszy podmiot przetwarzający. Zakres ten zależy od rzeczywistej roli Klienta, niezależnie od nazwy typu konta w interfejsie.
2. Podmiotem przetwarzającym jest Emil Brociek, Strzelce 37B, 56-410 Dobroszyce, Polska, operator KlasBus, dalej „Operator”. Kontakt w sprawach powierzenia i naruszeń: [kontakt@klasbus.pl](mailto:kontakt@klasbus.pl), [+48 781 476 157](tel:+48781476157).
3. Umowa stanowi część umowy o korzystanie z narzędzi pracy KlasBus w zakresie powierzonych danych. Zostaje zawarta elektronicznie przez akceptację regulaminu wraz z tym załącznikiem przez Klienta lub jego umocowanego przedstawiciela. Samo odwiedzenie tej strony nie stanowi zawarcia umowy ani upoważnienia do przetwarzania. W odniesieniu do istniejącej przestrzeni Klient lub jego umocowany przedstawiciel powinien zaakceptować załącznik przed dalszym powierzaniem danych. Akceptacja dokonana przez pracownika bez umocowania nie zastępuje zawarcia umowy przez właściwego Klienta.
4. Klient utrzymuje aktualne dane identyfikacyjne i kontaktowe w koncie, posiada właściwą podstawę przetwarzania oraz prawo do powierzenia danych. Ta umowa nie zastępuje obowiązków informacyjnych Klienta wobec kierowców, pracowników i innych osób.

## 2. Przedmiot, zakres i czas

1. Klient powierza Operatorowi dane w celu przechowywania i udostępniania ich w narzędziach organizacji floty, kierowców, tras, zleceń, harmonogramów, dokumentów i kosztów oraz zapewnienia obsługi technicznej tych narzędzi. Dane nie mogą służyć Operatorowi do własnej reklamy, sprzedaży baz ani trenowania modeli sztucznej inteligencji.
2. Przetwarzanie obejmuje przyjmowanie, utrwalanie, organizowanie, przechowywanie, wyświetlanie osobom upoważnionym przez Klienta, wyszukiwanie, aktualizowanie, wykonywanie zleconych obliczeń, udostępnianie lub eksport na polecenie Klienta, zabezpieczenie, odzyskiwanie oraz usuwanie. Jest prowadzone elektronicznie, a czynności pomocy mogą być wykonywane ręcznie przez upoważnioną osobę.
3. Osobami, których dane dotyczą, mogą być kierowcy, pracownicy, współpracownicy, przedstawiciele klientów i kontrahentów, organizatorzy i uczestnicy przewozów — wyłącznie w zakresie niezbędnym do realizowanego zadania.
4. Powierzane dane mogą obejmować imię i nazwisko, służbowe lub podane do kontaktu dane adresowe, e-mail i telefon, datę urodzenia, wizerunek, informacje o uprawnieniach zawodowych i ich ważności, dane o przydziale do pojazdów i zadań, harmonogramy, trasę i miejsca wykonywania pracy, stawki i rozliczenia oraz zawartość odpowiednich dokumentów. Zakres poszczególnych operacji określa Klient przez funkcje aplikacji i swoje instrukcje.
5. Powierzenie trwa przez okres obsługi przestrzeni firmowej i następnie przez okres potrzebny do zwrotu lub usunięcia danych zgodnie z punktem 9. Samo obniżenie pakietu lub wyłączenie odnowienia nie stanowi dyspozycji usunięcia.
6. Standardowy zakres nie obejmuje danych szczególnych kategorii z art. 9 RODO ani danych o wyrokach i naruszeniach prawa z art. 10 RODO. Wprowadzenie takich danych wymaga wcześniejszego odrębnego uzgodnienia zakresu, podstawy prawnej i zabezpieczeń. Przed przesłaniem dokumentu Klient usuwa lub zasłania zbędne informacje, w szczególności zdrowotne kody ograniczeń, dane medyczne, podpisy i numery identyfikacyjne, jeżeli nie są konieczne. Dokumenty nie są traktowane jako anonimowe tylko dlatego, że umieszczono je w pliku lub zdjęciu.

## 3. Polecenia i obowiązki Klienta

1. Udokumentowanymi poleceniami Klienta są ta umowa, czynności uprawnionych użytkowników w aplikacji i instrukcje przesłane z potwierdzonego adresu kontaktowego. Operator może sprawdzić umocowanie osoby zlecającej eksport, udostępnienie lub usunięcie danych.
2. Operator przetwarza dane wyłącznie na polecenie Klienta, również w odniesieniu do transferów poza EOG, chyba że obowiązek działania wynika z prawa Unii lub państwa członkowskiego. W takim przypadku uprzednio informuje Klienta o obowiązku, o ile prawo nie zabrania tego ze względu na ważny interes publiczny.
3. Jeśli według Operatora polecenie narusza RODO albo inne właściwe przepisy, informuje o tym Klienta bez zbędnej zwłoki i wstrzymuje objęte zastrzeżeniem działanie do wyjaśnienia. Nie dotyczy to zatrzymania czynności niezbędnych do ochrony danych.
4. Klient decyduje o danych wprowadzanych do aplikacji, okresach ich przechowywania i prawach dostępu swojego zespołu. Korzysta z indywidualnych kont i odbiera dostęp osobom, które go już nie potrzebują. Nie używa pól publicznych, wyszukiwarki map ani opcjonalnego tłumaczenia do ujawniania powierzonych danych bez odpowiedniej podstawy i instrukcji.

## 4. Poufność i zabezpieczenia

1. Operator dopuszcza do danych wyłącznie osoby, których dostęp jest konieczny do wykonania umowy. Zapewnia ich zobowiązanie do poufności albo odpowiedni ustawowy obowiązek zachowania tajemnicy. Obowiązek trwa także po zakończeniu ich upoważnienia.
2. Operator stosuje środki adekwatne do ryzyka zgodnie z art. 32 RODO i nie ogranicza ochrony do samego tekstu umowy. Minimalny zakres obejmuje uwierzytelnianie użytkowników, rozdzielenie danych i uprawnień przestrzeni firmowych, prywatny dostęp do dokumentów, czasowo ważne odnośniki dostępu do plików, szyfrowane połączenia i ograniczanie dostępu administracyjnego do konkretnych zadań obsługi, bezpieczeństwa i realizacji praw.
3. Operator utrzymuje procedurę obsługi incydentów i żądań dotyczących danych, aktualizuje używane oprogramowanie stosownie do ryzyka oraz sprawdza skuteczność zabezpieczeń po zmianach mogących wpłynąć na dostęp. Korzystanie z funkcji odzyskiwania danych dostawców infrastruktury nie zastępuje obowiązku sprawdzenia dostępności i skuteczności odtworzenia.
4. Klient może uzyskać opis aktualnych środków i informacji potrzebnych do oceny ochrony na adres kontakt@klasbus.pl. Informacje o zabezpieczeniach nie obejmują haseł, sekretów ani danych innych klientów.

## 5. Dalsze powierzenie

1. Klient udziela ogólnego pisemnego upoważnienia do korzystania z niżej wskazanych kategorii usług i dostawców w zakresie koniecznym do wykonania umowy:

| Dostawca | Zakres |
| --- | --- |
| Supabase Pte. Ltd. i podmioty realizujące usługę zgodnie z jej umową powierzenia | Uwierzytelnianie, baza danych, pliki i operacje infrastruktury potrzebne do obsługi przestrzeni |
| Vercel Inc. i podmioty realizujące usługę — pod warunkiem objęcia danego użycia odpowiednią umową powierzenia | Hosting aplikacji, funkcje serwerowe i niezbędne dane techniczne przetwarzane przy ich wykonaniu; powierzenie wymaga wariantu usługi obejmującego właściwe zobowiązania dostawcy |
| OVHcloud — podmiot zapewniający pocztę operatora i jego uprawnieni podwykonawcy | Korespondencja w sprawie obsługi oraz dane, które Klient przekazał w zgłoszeniu e-mail |

2. Operator zobowiązuje się dobrać dostawców zapewniających odpowiednie gwarancje i związać ich obowiązkami ochrony danych co najmniej odpowiadającymi zakresowi wynikającemu z art. 28 RODO przed rozpoczęciem dalszego powierzenia. Wobec Klienta odpowiada za spełnianie przez dalszy podmiot obowiązków dotyczących powierzonych danych. Ogólne upoważnienie nie zwalnia Operatora z kontroli warunków dalszego powierzenia ani nie stanowi zapewnienia, że każdy bezpłatny plan infrastruktury obejmuje umowę powierzenia. Brak odpowiednich warunków dostawcy wymaga usunięcia przeszkody przed rozpoczęciem objętego nią przetwarzania.
3. O zamiarze dodania lub zastąpienia dalszego podmiotu Operator informuje Klienta na adres konta co najmniej 14 dni przed przekazaniem temu podmiotowi danych. Podaje zakres usługi i istotne informacje o ochronie danych. Klient może w tym czasie zgłosić uzasadniony sprzeciw związany z ochroną danych.
4. Strony podejmują próbę uzgodnienia rozwiązania przed rozpoczęciem nowego przetwarzania. Jeżeli utrzymanie usługi bez zakwestionowanego dostawcy nie jest możliwe, Klient może zakończyć objętą zmianą usługę przed przekazaniem danych, z prawem do proporcjonalnego rozliczenia niewykorzystanej części opłaconego dostępu. Zmiana nie może pozbawiać Klienta rzeczywistej możliwości sprzeciwu.
5. Aktualny wykaz i informacje o lokalizacji przetwarzania oraz łańcuchu podwykonawców są dostępne na żądanie. Zasady dostawców: [Supabase](https://supabase.com/legal/dpa), [Vercel](https://vercel.com/legal/dpa), [OVHcloud](https://www.ovhcloud.com/pl/personal-data-protection/).
6. Paddle przetwarza dane sprzedaży i płatności również jako odrębny administrator; nie otrzymuje z tego powodu prawa do korzystania z dokumentów kierowców lub dokumentów firmowych. Publiczne usługi map, tłumaczenia i ilustracji nie są repozytorium powierzonych dokumentów. Ich użycie i zakres przekazywanych informacji opisuje polityka prywatności.

## 6. Transfery międzynarodowe

1. Klient zezwala na transfery niezbędne do użycia uzgodnionej infrastruktury tylko przy zapewnieniu zgodnego z RODO mechanizmu transferowego. Operator stosuje odpowiednią decyzję Komisji Europejskiej, jeśli obejmuje dany transfer, albo standardowe klauzule umowne, wymaganą ocenę i dodatkowe zabezpieczenia. Sama akceptacja tej umowy nie zastępuje takiego mechanizmu.
2. Operator udostępnia Klientowi informacje o państwach i odbiorcach, stosowanych zabezpieczeniach i właściwej dokumentacji, w zakresie pozwalającym Klientowi wykonać obowiązki administratora. Wymaganie przez Klienta lokalizacji danych wyłącznie w EOG wymaga osobnego uzgodnienia i potwierdzenia technicznej możliwości przed rozpoczęciem takiego przetwarzania.

## 7. Prawa osób i współpraca

1. Biorąc pod uwagę charakter przetwarzania, Operator pomaga Klientowi za pomocą odpowiednich środków technicznych i organizacyjnych odpowiadać na żądania osób dotyczące ich praw. Pomoc obejmuje ustalenie zakresu danych, udostępnienie kopii i wykonanie prawidłowo wydanych poleceń sprostowania, ograniczenia i usunięcia.
2. Żądanie osoby dotyczące powierzonych danych Operator przekazuje Klientowi bez zbędnej zwłoki, nie później niż w ciągu 3 dni roboczych od rozpoznania właściwego Klienta, i nie odpowiada w jego imieniu merytorycznie bez instrukcji, chyba że wymaga tego prawo. Termin przekazania nie zmienia ustawowych terminów realizacji praw.
3. Operator pomaga Klientowi w realizacji obowiązków z art. 32–36 RODO, uwzględniając dostępne informacje: ocenie bezpieczeństwa, wyjaśnianiu i zgłaszaniu naruszeń, informowaniu osób, ocenie skutków dla ochrony danych oraz konsultacji z organem nadzorczym.

## 8. Naruszenia ochrony danych

1. Po stwierdzeniu naruszenia dotyczącego powierzonych danych Operator zawiadamia Klienta bez zbędnej zwłoki, w miarę możliwości w ciągu 24 godzin. Nie czeka na zakończenie całego dochodzenia ani na zebranie wszystkich informacji.
2. Zgłoszenie obejmuje dostępny opis zdarzenia, kategorii i przybliżonej liczby osób oraz rekordów, prawdopodobnych skutków, podjętych albo planowanych środków i dane kontaktowe do osoby prowadzącej sprawę. Brakujące informacje są uzupełniane sukcesywnie bez zbędnej zwłoki.
3. Operator zabezpiecza dostępne dowody, ogranicza skutki, współpracuje z Klientem i dokumentuje działania. O zgłoszeniu do organu i powiadomieniu osób decyduje właściwy administrator, z zastrzeżeniem odrębnych obowiązków prawnych Operatora. Powiadomienie Klienta nie zwalnia żadnej ze stron z własnych obowiązków.

## 9. Zwrot i usunięcie

1. Po zakończeniu świadczenia usługi Klient wybiera zwrot albo usunięcie powierzonych danych. Dyspozycję można przesłać na kontakt@klasbus.pl. Przy zwrocie Operator przekazuje dostępne dane w powszechnie używanym formacie wraz z plikami, a następnie usuwa pozostałe kopie, chyba że prawo nakazuje dalsze przechowywanie.
2. Jeżeli Klient nie wyda instrukcji, Operator zwraca się o jej wskazanie i umożliwia odbiór danych przez 30 dni od zakończenia świadczenia. Po tym okresie usuwa aktywne dane bez zbędnej zwłoki. Klient może polecić wcześniejsze usunięcie. Pozostawienie konta z aktywną bezpłatną usługą nie oznacza zakończenia umowy dla tej usługi.
3. Wykonanie dyspozycji obejmuje dane w bazie oraz powiązane prywatne pliki, także gdy plik nie jest już widoczny w interfejsie. Dyspozycja może być realizowana administracyjnie; umowa nie oznacza, że wszystkie operacje wykonuje automatyczny przycisk.
4. Jeżeli dane są objęte kopią awaryjną, kopia pozostaje odizolowana od zwykłego użycia do jej planowego zastąpienia lub usunięcia. Operator dokumentuje właściwy cykl, udostępnia tę informację Klientowi i po ewentualnym odtworzeniu ponownie stosuje dyspozycje usunięcia. Nie przywraca usuniętych danych do dalszego przetwarzania operacyjnego. Sama umowa nie jest zapewnieniem posiadania automatycznych codziennych kopii w danym planie infrastruktury. Odrębne kopie tworzone przez Operatora przy obsłudze mają termin usunięcia ustalony przy utworzeniu, nie dłuższy niż 30 dni, z wyjątkiem konkretnej kopii będącej niezbędnym dowodem incydentu lub roszczenia.
5. Operator potwierdza wykonanie dyspozycji; jeżeli konkretny przepis nakazuje zachowanie części danych, wskazuje ich zakres, podstawę i okres. Dane konta i własne dowody rozliczeń, w stosunku do których Operator działa jako odrębny administrator, podlegają polityce prywatności i odpowiednim przepisom, a nie bezterminowemu zachowaniu całej powierzonej dokumentacji.

## 10. Informacje i audyt

1. Operator udostępnia informacje niezbędne do wykazania wykonania obowiązków z art. 28 RODO oraz umożliwia i wspiera audyt, w tym inspekcję prowadzoną przez Klienta lub upoważnionego niezależnego audytora zobowiązanego do poufności.
2. Strony uzgadniają zakres i termin uwzględniające ryzyko, bezpieczeństwo innych klientów i ciągłość usługi. W pierwszej kolejności mogą wykorzystać dokumentację i sprawdzenie zdalne, jeśli odpowiada to celowi audytu. Nie ogranicza to prawa do uzasadnionej inspekcji ani uprawnień organu nadzorczego.
3. Zwykłe zgłoszenie audytu następuje z co najmniej 7-dniowym wyprzedzeniem; krótszy termin jest dopuszczalny w razie incydentu, uzasadnionego podejrzenia naruszenia lub żądania organu. Postanowienie nie może służyć odwlekaniu kontroli wymaganej przepisami.
4. Ujawnione braki strony wyjaśniają i usuwają odpowiednio do ich ryzyka. Dodatkowe koszty niestandardowej organizacji audytu wymagają wcześniejszego uzgodnienia i nie mogą uniemożliwiać wykonania ustawowego prawa kontroli.

## 11. Odpowiedzialność i pierwszeństwo

Każda strona odpowiada za obowiązki związane z jej rzeczywistą rolą. Umowa nie wyłącza odpowiedzialności określonej w RODO, praw osób, których dane dotyczą, ani uprawnień organów. W sprawach powierzonych danych ten załącznik ma pierwszeństwo przed sprzecznym postanowieniem regulaminu; w razie sprzeczności z bezwzględnie obowiązującym prawem stosuje się to prawo. Zmiana zakresu lub celu powierzenia wymaga udokumentowania i odpowiedniego poinformowania Klienta; publikacja nowej wersji nie legalizuje wcześniejszego niezgodnego przetwarzania.