Umowa powierzenia przetwarzania danych (DPA)

1. Strony i role

Dla danych pasażerów i zamówień przetwarzanych przez Usługę Klient działa jako administrator danych, a Tiskel jako podmiot przetwarzający. Dotyczy to połączeń, nagrań, transkrypcji, wiadomości WhatsApp i Messenger, numerów telefonów, adresów odbioru i docelowych oraz danych zamówienia.

Tiskel działa jako niezależny administrator dla danych przetwarzanych na własne cele biznesowe, w tym kont Klientów, rozliczeń, umów, wsparcia, formularzy na stronie, newslettera, analityki i logów bezpieczeństwa.

2. Przedmiot, czas i zakres

Przedmiotem powierzenia jest obsługa połączeń, wiadomości i zamówień taxi Klienta z wykorzystaniem AI oraz przekazywanie zamówień do systemu dyspozytorskiego Klienta. Przetwarzanie obejmuje zbieranie, nagrywanie, transkrypcje, analizę, przechowywanie i przekazywanie danych. Kategorie osób: pasażerowie i inne osoby kontaktujące się z Klientem oraz kierowcy i dyspozytorzy Klienta. Rodzaje danych: numery telefonów, identyfikatory komunikatorów, treść rozmów i wiadomości, nagrania głosu i transkrypcje, adresy odbioru i docelowe, dane zamówienia, dane lokalizacyjne udostępnione w celu zamówienia oraz inne dane podane przez osobę w trakcie rozmowy. Usługa nie wymaga danych szczególnych kategorii (art. 9 RODO); jeśli osoba poda takie dane w rozmowie, są one przetwarzane wyłącznie w zakresie niezbędnym do obsługi zamówienia. Powierzenie trwa przez czas korzystania z Usługi.

3. Obowiązki Tiskel

Tiskel jako podmiot przetwarzający:

• przetwarza dane wyłącznie na udokumentowane polecenie Klienta. Za polecenie uważa się Regulamin, konfigurację Usługi dokonaną przez Klienta oraz instrukcje przekazane na piśmie lub e-mailem. Jeśli w ocenie Tiskel polecenie narusza przepisy o ochronie danych, Tiskel niezwłocznie informuje o tym Klienta;
• zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi zachowania tajemnicy;
• stosuje środki techniczne i organizacyjne wymagane art. 32 RODO, odpowiednie do ryzyka przetwarzania;
• korzysta z dalszych podmiotów przetwarzających (podprocesorów) wyłącznie na zasadach opisanych poniżej i zawiera z nimi umowę nakładającą obowiązki z art. 28 ust. 4 RODO;
• pomaga Klientowi, w miarę możliwości i za pomocą odpowiednich środków technicznych, w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw);
• pomaga Klientowi w wywiązaniu się z obowiązków z art. 32-36 RODO. Naruszenie ochrony danych osobowych Tiskel zgłasza Klientowi bez zbędnej zwłoki po jego stwierdzeniu, wraz z informacjami, którymi dysponuje;
• po zakończeniu świadczenia Usługi, zależnie od decyzji Klienta, usuwa albo zwraca dane osobowe przetwarzane na jego rzecz, chyba że prawo nakazuje ich dalsze przechowywanie. Kopie zapasowe schodzą wraz z ich cyklem retencji. Brak decyzji Klienta oznacza polecenie usunięcia;
• udostępnia Klientowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO. Audyt odbywa się na koszt Klienta, po pisemnym zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku, chyba że wymaga go organ nadzorczy albo doszło do naruszenia, i w sposób nienaruszający bezpieczeństwa danych innych Klientów. Tiskel w pierwszej kolejności odpowiada na pisemne pytania i udostępnia dokumentację.

4. Podprocesorzy

Klient udziela ogólnej zgody na korzystanie przez Tiskel z podprocesorów. Aktualna lista podprocesorów, wraz z celem i zakresem przekazywanych danych, znajduje się w pkt 5 Polityki prywatności.

O zamiarze dodania lub zmiany podprocesora Tiskel informuje Klienta e-mailem lub przez Usługę. Gdy zmiana jest potrzebna dla ciągłości albo bezpieczeństwa Usługi, informacja może nastąpić po jej dokonaniu. Klient może zgłosić uzasadniony sprzeciw. Tiskel odpowiada za działania i zaniechania podprocesorów jak za własne.

5. Transfery poza EOG

Jeżeli dane są przekazywane poza Europejski Obszar Gospodarczy, przekazanie odbywa się z zastosowaniem zabezpieczeń z rozdziału V RODO.

6. Obowiązki Klienta i odpowiedzialność

Klient odpowiada za poinformowanie pasażerów i innych użytkowników końcowych, że może korzystać z Taxi Copilot i narzędzi AI do obsługi połączeń, wiadomości i zamówień taxi, oraz za zapewnienie ważnej podstawy prawnej takiego przetwarzania, w tym nagrywania rozmów. Klient odpowiada także za treść swoich poleceń i konfigurację Usługi oraz za to, aby nie przekazywać do Usługi danych, które nie są niezbędne do obsługi zamówień.

Tiskel pomoże Klientowi w rozsądnym zakresie w obsłudze żądań użytkowników końcowych dotyczących danych przetwarzanych przez Usługę. Ograniczenia odpowiedzialności z Regulaminu stosują się także do niniejszej umowy w zakresie dozwolonym przez prawo.