Umowa jest zawierana na podstawie Art. 28 RODO (rozporządzenie (UE) 2016/679) i stanowi część umowy o świadczenie usługi Servavio. Zostaje zawarta w formie elektronicznej z chwilą jej akceptacji przy rejestracji konta przez osobę działającą w imieniu Administratora; wersja, data i adres IP akceptacji są zapisywane. Nie wymaga odrębnego podpisu.
1. Strony
Administrator: Użytkownik usługi Servavio w rozumieniu Regulaminu, czyli firma, dla której założono konto.
Podmiot przetwarzający (Procesor):Flowbity sp. z o.o. z siedzibą pod adresem os. Jana III Sobieskiego 40/2N, 60-688 Poznań, wpisana do rejestru przedsiębiorców prowadzonego przez Sąd Rejonowy Poznań - Nowe Miasto i Wilda w Poznaniu, VIII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0001225616, NIP 9721376119, REGON 544047871, kapitał zakładowy 5 000,00 zł, kontakt: admin@flowbity.com.
2. Przedmiot i zakres
Administrator powierza Procesorowi przetwarzanie danych osobowych, które sam wprowadza do usługi lub które powstają w niej na jego polecenie, wyłącznie w celu świadczenia usługi opisanej w Regulaminie. Dane osób korzystających z konta, w zakresie potrzebnym Procesorowi do zawarcia i rozliczenia umowy oraz zapewnienia bezpieczeństwa, Procesor przetwarza jako odrębny administrator, zgodnie z Polityką prywatności.
3. Czas trwania
Umowa obowiązuje przez czas świadczenia usługi oraz do zakończenia usuwania danych opisanego w §11.
4. Charakter i cel przetwarzania
Przechowywanie, porządkowanie, odczyt i analiza treści (w tym automatyczna, z użyciem modeli AI), przesyłanie ofert i zdjęć na konto Administratora na platformie sprzedażowej, tworzenie kopii zapasowych. Cel: przygotowanie, publikowanie i synchronizowanie ofert części samochodowych Administratora.
5. Rodzaje danych
Dane użytkowników konta Administratora widoczne w treściach i dzienniku czynności: adres e-mail, rola, wykonane czynności.
Dane osobowe, które mogą znaleźć się w treściach wprowadzanych przez Administratora: na zdjęciach części i etykiet, w uwagach, opisach oraz w danych producenta lub osoby odpowiedzialnej za produkt.
Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych ani danych kupujących. Administrator nie wprowadza takich danych.
6. Kategorie osób
Właściciel, administratorzy i pracownicy Administratora korzystający z konta.
Osoby, których dane Administrator umieścił w treściach (np. osoba odpowiedzialna za produkt).
7. Obowiązki Procesora (Art. 28 ust. 3 RODO)
Przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za polecenie uznaje się Regulamin, tę umowę, ustawienia konta i czynności wykonywane w usłudze. Jeżeli polecenie w ocenie Procesora narusza przepisy, Procesor informuje o tym Administratora.
Dopuszcza do danych wyłącznie osoby zobowiązane do zachowania poufności.
Stosuje środki bezpieczeństwa opisane w §9 (Art. 32 RODO).
Korzysta z podprocesorów na zasadach z §8.
Pomaga Administratorowi odpowiadać na żądania osób, których dane dotyczą, w szczególności przez funkcje eksportu i usuwania danych w usłudze.
Pomaga Administratorowi wywiązać się z obowiązków z Art. 32-36 RODO, w zakresie odpowiadającym charakterowi przetwarzania i dostępnym informacjom.
Po zakończeniu świadczenia usługi usuwa lub zwraca dane zgodnie z §11.
Udostępnia informacje potrzebne do wykazania zgodności i umożliwia audyt na zasadach z §10.
8. Podprocesorzy
Administrator wyraża ogólną zgodę na korzystanie z podprocesorów wymienionych na stronie Podprocesorzy. Procesor zapewnia, że każdy z nich jest związany warunkami przetwarzania danych dającymi ochronę co najmniej równoważną tej umowie, i odpowiada za ich działania jak za własne. O zamiarze dodania lub zmiany podprocesora Procesor informuje e-mailem lub komunikatem w usłudze z co najmniej 30-dniowym wyprzedzeniem. Administrator może w tym czasie wnieść sprzeciw; jeżeli stron nie da się pogodzić, Administrator może rozwiązać umowę o świadczenie usługi przed wejściem zmiany w życie.
Przekazanie danych poza EOG odbywa się wyłącznie na podstawach przewidzianych w rozdziale V RODO, wskazanych na liście podprocesorów.
9. Środki bezpieczeństwa (Art. 32 RODO)
Hasła przechowywane wyłącznie jako skróty bcrypt.
Tokeny dostępu do platform sprzedażowych szyfrowane w bazie danych.
Szyfrowanie połączeń (HTTPS/TLS).
Rozdzielenie danych firm na poziomie aplikacji oraz role użytkowników (administrator, pracownik).
Ograniczanie liczby prób logowania i blokada po nieudanych próbach.
Dziennik czynności wrażliwych; maskowanie adresów e-mail, numerów NIP i tokenów w logach.
Codzienne kopie zapasowe bazy danych i cotygodniowy test odtworzenia.
Dostęp administracyjny do serwera ograniczony do osób upoważnionych przez Procesora.
10. Naruszenia i audyt
O stwierdzonym naruszeniu ochrony powierzonych danych Procesor zawiadamia Administratora bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia, na adres e-mail administratora konta, podając znane okoliczności, skutki i podjęte działania.
Administrator może raz w roku, a także po naruszeniu, przeprowadzić audyt zgodności z tą umową: w pierwszej kolejności przez pisemne pytania i dokumenty, a gdy to nie wystarcza - w uzgodnionym terminie, po zawiadomieniu z 30-dniowym wyprzedzeniem, na własny koszt i bez dostępu do danych innych klientów.
11. Usunięcie i zwrot danych
Zwrot danych następuje przez funkcję „Eksport danych" dostępną w ustawieniach usługi do chwili usunięcia konta.
Po usunięciu konta Procesor przechowuje dane przez 30 dni wyłącznie po to, by umożliwić przywrócenie konta na prośbę Administratora, a następnie trwale je usuwa z systemu produkcyjnego i z archiwum zdjęć.
W kopiach zapasowych dane wygasają w rotacji, najpóźniej po 12 miesiącach; do tego czasu nie są wykorzystywane w żadnym innym celu.
Oferty i zdjęcia przesłane na platformę sprzedażową pozostają na koncie Administratora na tej platformie.
Obowiązek usunięcia nie dotyczy danych, które Procesor przechowuje jako odrębny administrator na podstawie przepisów prawa (w szczególności dokumentów księgowych).
12. Odpowiedzialność i postanowienia końcowe
Odpowiedzialność stron z tytułu tej umowy podlega ograniczeniom określonym w Regulaminie, w zakresie dopuszczalnym przez prawo. Nie ogranicza to praw osób, których dane dotyczą.
Zmiany tej umowy następują w trybie zmiany Regulaminu.
Prawem właściwym jest prawo polskie; spory rozstrzyga sąd właściwy dla siedziby Procesora.