Polskie tłumaczenie publicznego aneksu do umowy powierzenia przetwarzania danych Logivo.ai, z zachowaniem struktury, definicji i obowiązków UK GDPR.
Aneks do umowy powierzenia przetwarzania danych określający obowiązki podmiotu przetwarzającego wynikające z UK GDPR dla Logivo.ai przy przetwarzaniu danych osobowych klientów dotyczących transportu i operacji.
Wersja production-2026-06-03
To tlumaczenie jest udostepnione dla wygody. Dokumenty prawne Logivo sa przygotowane zgodnie z prawem UK; wiazaca pozostaje wersja angielska oraz prawo Anglii i Walii, tam gdzie ma zastosowanie.
1. Definicje
W niniejszym DPA:
- Customer Personal Data oznacza dane osobowe przetwarzane przez Logivo.ai w imieniu Customer w związku z Services.
- Data Protection Laws oznacza, w zakresie mającym zastosowanie, UK GDPR, Data Protection Act 2018, Privacy and Electronic Communications Regulations 2003, EU GDPR oraz wszelkie zastępujące je lub uzupełniające przepisy o ochronie danych.
- EU GDPR oznacza Rozporządzenie (UE) 2016/679.
- UK GDPR ma znaczenie nadane mu w Data Protection Act 2018.
- Personal Data Breach, controller, processor, personal data, processing, data subject oraz subprocessor mają znaczenie nadane im w Data Protection Laws.
Terminy pisane wielką literą, które nie zostały zdefiniowane w niniejszym DPA, mają znaczenie nadane im w Agreement.
2. Role i zakres
- Customer jest administratorem Customer Personal Data.
- Logivo.ai jest podmiotem przetwarzającym Customer Personal Data, z wyjątkiem przypadków, gdy Logivo.ai działa jako administrator zgodnie z Privacy Policy lub Agreement.
- Schedule 1 opisuje przedmiot, czas trwania, charakter, cel, kategorie osób, których dane dotyczą, oraz kategorie danych osobowych.
Customer odpowiada za:
- zapewnienie wszystkich wymaganych informacji o ochronie prywatności;
- posiadanie zgodnej z prawem podstawy przetwarzania;
- zapewnienie, że Customer Personal Data są dokładne, adekwatne i zgodne z prawem;
- zapewnienie, że jego instrukcje są zgodne z Data Protection Laws;
- obsługę żądań osób, których dane dotyczą, gdy działa jako administrator; oraz
- zgodne z prawem konfigurowanie Services.
Logivo.ai będzie przetwarzać Customer Personal Data wyłącznie na podstawie udokumentowanych instrukcji Customer, w tym Agreement, Order Form, konfiguracji produktu, działań Authorised User oraz pisemnych instrukcji, chyba że wymagają tego przepisy prawa. Jeżeli na mocy prawa Logivo.ai będzie zobowiązany przetwarzać Customer Personal Data w inny sposób niż na podstawie instrukcji Customer, Logivo.ai poinformuje o tym Customer przed podjęciem takiego działania, chyba że zabrania tego prawo.
Logivo.ai niezwłocznie powiadomi Customer, jeśli — w opinii Logivo.ai — dana instrukcja narusza Data Protection Laws.
3. Obowiązki podmiotu przetwarzającego
Logivo.ai będzie:
- przetwarzać Customer Personal Data wyłącznie w zakresie niezbędnym do świadczenia, zabezpieczania, wspierania i ulepszania Services, wykonywania Agreement oraz wykonywania instrukcji Customer;
- zapewnić, aby osoby upoważnione do przetwarzania Customer Personal Data były związane obowiązkami poufności;
- wdrożyć i utrzymywać odpowiednie środki techniczne i organizacyjne opisane w Schedule 2;
- wspierać Customer, z uwzględnieniem charakteru przetwarzania i informacji dostępnych Logivo.ai, w zakresie żądań osób, których dane dotyczą, obowiązków związanych z bezpieczeństwem, zgłoszeń naruszeń, ocen skutków dla ochrony danych oraz konsultacji z organem nadzorczym;
- udostępniać informacje rozsądnie niezbędne do wykazania zgodności z niniejszym DPA;
- usuwać lub zwracać Customer Personal Data zgodnie z sekcją 8; oraz
- przestrzegać obowiązków, które na podstawie Data Protection Laws mają bezpośrednie zastosowanie do podmiotów przetwarzających.
Logivo.ai może pobierać rozsądne opłaty za wsparcie, które nie jest wymagane z powodu naruszenia po stronie Logivo.ai i które wymaga znacznego nakładu czasu, prac niestandardowych, eksportów, audytów lub wsparcia technicznego poza standardową funkcjonalnością.
4. Podprzetwarzający
- Customer udziela Logivo.ai ogólnego pisemnego upoważnienia do angażowania subprocessorów w celu przetwarzania Customer Personal Data na potrzeby Services.
- Logivo.ai będzie utrzymywać aktualną listę subprocessorów pod adresem https://logivo.ai/sub-processors lub w innym miejscu wskazanym Customer. Lista powinna obejmować nazwę subprocessor, cel oraz kraj lub region przetwarzania.
- Logivo.ai nałoży na subprocessorów pisemne obowiązki w zakresie ochrony danych zapewniające poziom ochrony istotnie równoważny z niniejszym DPA.
- Logivo.ai pozostaje wobec Customer odpowiedzialny za wykonywanie przez subprocessorów obowiązków w zakresie ochrony danych w zakresie wymaganym przez Data Protection Laws.
Logivo.ai może dodawać subprocessorów lub ich zastępować. Jeżeli wymagają tego Data Protection Laws, Logivo.ai zapewni rozsądne wcześniejsze powiadomienie, na przykład za pośrednictwem strony dotyczącej subprocessorów, poczty elektronicznej lub powiadomienia w produkcie. Customer może wnieść sprzeciw z uzasadnionych względów ochrony danych w terminie 10 dni roboczych. Strony będą działać w dobrej wierze w celu rozwiązania sprzeciwu. Jeżeli nie uda się go rozwiązać, Logivo.ai może rozwiązać świadczenie dotkniętych tym Services oraz zwrócić proporcjonalną część z góry opłaconych, niewykorzystanych opłat za te Services, jeżeli takie istnieją.
5. Transfery międzynarodowe
- Logivo.ai nie będzie przekazywać Customer Personal Data poza UK, EEA ani do kraju objętego mającą zastosowanie decyzją o adekwatności lub rozporządzeniem o adekwatności, chyba że obowiązują odpowiednie zabezpieczenia albo ma zastosowanie zgodne z prawem odstępstwo.
- Jeżeli Customer Personal Data są przekazywane z UK do kraju bez ochrony adekwatności UK, strony zastosują UK International Data Transfer Agreement lub UK Addendum to the EU Standard Contractual Clauses, zależnie od przypadku.
- Jeżeli Customer Personal Data są przekazywane z EEA do kraju bez ochrony adekwatności UE, strony zastosują EU Standard Contractual Clauses, zależnie od przypadku.
- Customer upoważnia Logivo.ai do zawierania z subprocessorami mechanizmów dalszego przekazywania danych, w zakresie niezbędnym do świadczenia Services.
6. Bezpieczeństwo
- Logivo.ai wdroży i będzie utrzymywać odpowiednie środki techniczne i organizacyjne zaprojektowane w celu ochrony Customer Personal Data przed nieuprawnionym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem, uszkodzeniem, zmianą lub ujawnieniem.
- Schedule 2 opisuje środki bazowe. Logivo.ai może od czasu do czasu aktualizować te środki, pod warunkiem że ogólny poziom bezpieczeństwa nie zostanie istotnie obniżony.
- Customer odpowiada za zabezpieczenie własnych systemów, poświadczeń, urządzeń, sieci, integracji, uprawnień, eksportów oraz lokalnych kopii Customer Personal Data.
7. Naruszenie ochrony danych osobowych
- Logivo.ai powiadomi Customer bez zbędnej zwłoki oraz, jeśli jest to rozsądnie możliwe, w terminie 72 godzin od uzyskania informacji o Personal Data Breach dotyczącego Customer Personal Data.
- Powiadomienie będzie zawierać, w zakresie znanym w danym czasie: charakter naruszenia; kategorie i przybliżoną liczbę dotkniętych osób, których dane dotyczą, oraz rekordów; prawdopodobne konsekwencje; środki podjęte lub proponowane w celu zaradzenia naruszeniu; oraz punkt kontaktowy do dalszych działań.
- Logivo.ai podejmie rozsądne kroki w celu powstrzymania, zbadania i usunięcia skutków naruszenia oraz zapewni Customer rozsądne wsparcie w zakresie wszelkich wymaganych powiadomień.
- Powiadomienie o naruszeniu przez Logivo.ai nie stanowi przyznania się do winy ani odpowiedzialności.
8. Zwrot i usunięcie
- W okresie obowiązywania umowy Customer może wyeksportować Customer Personal Data przy użyciu dostępnej funkcji eksportu lub wystąpić o rozsądne wsparcie.
- Po rozwiązaniu lub wygaśnięciu Services Logivo.ai, według wyboru Customer i z zastrzeżeniem zapłaty bezspornych opłat, usunie lub zwróci Customer Personal Data w rozsądnym terminie, chyba że przechowywanie jest wymagane przez prawo lub jest konieczne do ustalenia, dochodzenia lub obrony roszczeń prawnych.
- Kopie zapasowe mogą pozostawać w bezpiecznych backupach do czasu ich nadpisania lub usunięcia w ramach zwykłych cykli backupu, pod warunkiem że są chronione i nie są używane do aktywnego przetwarzania, z wyjątkiem przywracania, bezpieczeństwa, zgodności z prawem lub celów prawnych.
9. Żądania osób, których dane dotyczą
- Jeżeli Logivo.ai otrzyma od osoby, której dane dotyczą, żądanie odnoszące się do Customer Personal Data, Logivo.ai, o ile jest to prawnie dopuszczalne, powiadomi Customer albo skieruje tę osobę do kontaktu z Customer.
- Logivo.ai nie będzie merytorycznie odpowiadać na takie żądania, chyba że na instrukcję Customer, gdy jest to wymagane przez prawo, albo w celu potwierdzenia, że żądanie dotyczy konta kontrolowanego przez Customer.
10. Audyty i informacje o zgodności
- Logivo.ai udostępni informacje rozsądnie niezbędne do wykazania zgodności z niniejszym DPA. Mogą to być podsumowania dotyczące bezpieczeństwa, kwestionariusze, polityki, certyfikaty, raporty z audytów lub inna dostępna dokumentacja.
- Jeżeli przekazane informacje są niewystarczające do wykazania zgodności, Customer może zażądać audytu nie częściej niż raz w każdym 12-miesięcznym okresie, chyba że jest to wymagane przez organ nadzorczy lub następuje po potwierdzonym Personal Data Breach dotyczącym Customer Personal Data.
- Audyty muszą być przeprowadzane w normalnych godzinach pracy w UK, po uprzednim rozsądnym pisemnym powiadomieniu, przez wykwalifikowany personel, w sposób, który nie zakłóca działalności Logivo.ai ani nie naraża danych, bezpieczeństwa, poufności lub systemów innych klientów.
- Customer musi zapewnić, aby audytorzy byli związani obowiązkami poufności. Logivo.ai może pobierać rozsądne opłaty za audyty wymagające znacznego nakładu czasu lub zasobów, z wyjątkiem sytuacji, gdy audyt jest wymagany z powodu istotnego naruszenia niniejszego DPA przez Logivo.ai.
11. Instrukcje Customer i dane objęte ograniczeniami
- Customer nie może przesyłać ani przekazywać danych szczególnych kategorii, danych o przestępstwach, danych dotyczących dzieci, krajowych identyfikatorów, danych rachunków finansowych, danych kart płatniczych, danych dotyczących zdrowia, danych biometrycznych ani innych danych wysokiego ryzyka, chyba że zostało to wyraźnie dozwolone w Order Form i wsparte odpowiednimi zabezpieczeniami.
- Customer nie może wykorzystywać Services do podejmowania decyzji wyłącznie zautomatyzowanych dotyczących osób fizycznych, które wywołują skutki prawne lub podobnie istotne skutki, chyba że zostało to wyraźnie uzgodnione na piśmie i wsparte odpowiednimi zabezpieczeniami.
12. Odpowiedzialność i sprzeczność
- Odpowiedzialność wynikająca z niniejszego DPA podlega ograniczeniom i wyłączeniom określonym w Agreement, chyba że Data Protection Laws stanowią inaczej.
- Jeżeli niniejszy DPA pozostaje w sprzeczności z Terms, niniejszy DPA ma pierwszeństwo w zakresie przetwarzania Customer Personal Data.
Załącznik 1: Szczegóły przetwarzania
- Przedmiot: świadczenie przez Logivo.ai usług transportowych, flotowych, logistycznych, AI, automatyzacji, webowych, mobilnych, integracyjnych, wsparcia, analitycznych oraz powiązanych usług na rzecz Customer.
- Czas trwania: okres obowiązywania Agreement powiększony o wszelki okres eksportu, usuwania, backupu, retencji prawnej lub wygaszania.
- Charakter przetwarzania: hostowanie, przechowywanie, przesyłanie, odzyskiwanie, dostęp, organizowanie, strukturyzowanie, rejestrowanie, zmienianie, konsultowanie, analizowanie, pozyskiwanie, wzbogacanie, ujawnianie przez przekazanie, usuwanie, wsparcie, monitorowanie bezpieczeństwa, backup i przywracanie.
- Cel: świadczenie, zabezpieczanie, wspieranie, utrzymywanie, usuwanie usterek, ulepszanie i obsługa Services zgodnie z Agreement i instrukcjami Customer.
- Częstotliwość: ciągła lub przerywana, zależnie od korzystania przez Customer z Services.
- Osoby, których dane dotyczą: pracownicy Customer, kierowcy, wykonawcy, podwykonawcy, administratorzy, klienci, dostawcy, odbiorcy, nadawcy, przewoźnicy, osoby kontaktowe stron trzecich, osoby kontaktowe wsparcia oraz inne osoby fizyczne, których dane są przekazywane do Services przez Customer lub w jego imieniu.
- Kategorie danych osobowych: imiona i nazwiska, służbowe dane kontaktowe, stanowisko, dane uwierzytelniające użytkownika, uprawnienia, dane zleceń i tras, identyfikatory pojazdów i naczep, przydziały kierowców, dane dotyczące odbioru i dostawy, znaczniki czasu, podpisy, zdjęcia, dokumenty potwierdzające doręczenie, notatki, komunikacja, dane lokalizacyjne, dane telematyczne, dane urządzeń, dzienniki audytowe, dane wsparcia oraz dane integracyjne.
- Dane wrażliwe: nie są przewidziane. Customer nie może przekazywać danych szczególnych kategorii ani danych o przestępstwach, chyba że wyraźnie uzgodniono to w Order Form.
- Miejsca przetwarzania: United Kingdom, EEA oraz inne lokalizacje wykorzystywane przez upoważnionych subprocessorów, z zastrzeżeniem sekcji 5.
Załącznik 2: Środki techniczne i organizacyjne
Logivo.ai będzie utrzymywać środki odpowiednie do ryzyka, charakteru i zakresu Services, które mogą obejmować:
- Kontrola dostępu: dostęp oparty na rolach, uprawnienia minimalne, przeglądy dostępu, mechanizmy uwierzytelniania oraz procesy cofania dostępu.
- Szyfrowanie: szyfrowanie w tranzycie przy użyciu TLS lub równoważnego rozwiązania; szyfrowanie danych w spoczynku tam, gdzie jest to obsługiwane przez odpowiednią usługę przechowywania lub infrastrukturę.
- Dostępność i odporność: backupy, monitorowanie, reagowanie na incydenty, planowanie odtwarzania po awarii oraz procedury ciągłości działania proporcjonalne do Services.
- Rejestrowanie i monitorowanie: rejestrowanie systemowe, dostępu, bezpieczeństwa i audytowe zaprojektowane do wykrywania podejrzanej aktywności i wspierania dochodzeń.
- Bezpieczeństwo sieci i aplikacji: zapory sieciowe lub równoważne środki, bezpieczna konfiguracja, zarządzanie podatnościami, procesy aktualizacji oraz ochrona przed złośliwym oprogramowaniem, gdzie to stosowne.
- Bezpieczny rozwój: przegląd kodu, kontrola zmian, separacja środowisk, zarządzanie wydaniami i praktyki testowe proporcjonalne do ryzyka.
- Bezpieczeństwo personelu: obowiązki poufności, ograniczenie dostępu, kontrola wdrożenia i zakończenia współpracy oraz świadomość bezpieczeństwa odpowiednia do ról.
- Zarządzanie subprocessorami: należyta staranność wobec dostawców, pisemne umowy, ograniczenie dostępu i przegląd odpowiednich zobowiązań w zakresie bezpieczeństwa.
- Separacja danych: logiczne oddzielenie środowisk lub rekordów klientów, gdzie jest to właściwe ze względu na architekturę.
- Minimalizacja danych: konfiguracja i kontrola retencji zaprojektowane tak, aby ograniczyć przetwarzanie do zakresu niezbędnego dla Services.
- Zarządzanie incydentami: udokumentowany proces identyfikowania, eskalacji, badania i usuwania skutków incydentów bezpieczeństwa oraz Personal Data Breaches.
- Bezpieczeństwo fizyczne: poleganie na bezpiecznych kontrolach centrów danych i biur zapewnianych przez renomowanych dostawców infrastruktury i miejsc pracy.