Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu AVS Patrol · wersja 1.1 z dnia 3 listopada 2026 r. · art. 28 RODO

Strony

Administrator: Klient korzystający z systemu AVS Patrol (firma, której konto administratora zaakceptowało Regulamin; dane firmy Klienta są zapisane w Systemie i na fakturach).

Umowa zostaje zawarta w formie elektronicznej (art. 28 ust. 9 RODO) z chwilą akceptacji Regulaminu przez osobę uprawnioną do działania w imieniu Klienta i obowiązuje przez czas korzystania z Usługi. Na żądanie Klienta wysłane na adres biuro@avs24.pl Podmiot przetwarzający przekaże egzemplarz do podpisu; treść pozostaje taka sama. Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie, a pojęcie „RODO” oznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.

§ 1. Przedmiot, cel i czas przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia Usługi AVS Patrol: ewidencji i nadzoru obchodów, obsługi alarmów, komunikacji z ochroną obiektów i raportowania.
2. Charakter przetwarzania: zbieranie danych przesyłanych przez telefony i panel, przechowywanie, porządkowanie, wyświetlanie upoważnionym Użytkownikom Administratora, tworzenie raportów, wysyłanie powiadomień (e-mail, powiadomienia w aplikacji, integracje wskazane przez Administratora), kopie zapasowe i usuwanie.
3. Powierzenie trwa przez czas świadczenia Usługi, a po jej zakończeniu – do czasu usunięcia lub zwrotu danych zgodnie z § 8.

§ 2. Rodzaje danych i kategorie osób

1. Kategorie osób: pracownicy i współpracownicy Administratora (ochroniarze, kierownicy, administratorzy, operatorzy), osoby kontaktowe zleceniodawców Administratora oraz osoby, które mogą zostać utrwalone na zdjęciach wykonanych na obiekcie.
2. Rodzaje danych (w zakresie funkcji używanych przez Administratora):
   1. dane identyfikacyjne i kontaktowe: imię i nazwisko, login (adres e-mail), numer telefonu, rola, przypisane obiekty;
   2. dane o pracy na obiekcie: początek i koniec służby, obchody, godziny i miejsca odczytu punktów kontrolnych, zadania i ich wykonanie, liczba kroków w czasie służby, włączenie i wyłączenie ekranu w czasie obchodu;
   3. dane lokalizacyjne: położenie GPS telefonu przy odczycie punktu, w czasie obchodu (trasa przejścia), przy SOS i alarmach oraz informacja, czy lokalizacja w telefonie jest włączona;
   4. dane o bezpieczeństwie: SOS, wykrycie bezruchu i upadku, brak łączności, stan baterii;
   5. treści: wiadomości, zdjęcia z obiektu i ich opisy, ślady połączeń wykonanych z aplikacji (kto, do kogo, kiedy – bez nagrywania rozmów);
   6. dane techniczne: identyfikator telefonu, wersja aplikacji, adres IP, dziennik logowań i zmian (dziennik audytu).
3. System nie jest przeznaczony do przetwarzania szczególnych kategorii danych (art. 9 RODO). Administrator nie wprowadza takich danych do Systemu, w tym w treści wiadomości, opisów i zdjęć.

§ 3. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem jest w szczególności Regulamin, niniejsza umowa oraz konfiguracja Systemu dokonana przez Administratora; jeżeli polecenie w jego ocenie narusza przepisy, niezwłocznie informuje o tym Administratora;
2. nie przekazuje danych do państwa trzeciego ani organizacji międzynarodowej, chyba że wymaga tego prawo Unii lub prawo polskie albo Administrator wyda takie polecenie;
3. zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy;
4. stosuje środki techniczne i organizacyjne opisane w § 7, odpowiednie do ryzyka (art. 32 RODO);
5. pomaga Administratorowi, w miarę możliwości, w odpowiadaniu na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw), w szczególności przez funkcje Systemu: edycję i usuwanie kont, telefonów i danych oraz eksport raportów;
6. pomaga Administratorowi w wywiązywaniu się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje;
7. prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO);
8. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.

§ 4. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, na adres e-mail konta administratora Klienta, wraz z informacjami z art. 33 ust. 3 RODO dostępnymi w tej chwili (pozostałe przekazuje niezwłocznie po ich ustaleniu).
2. Zgłoszenia naruszeń do organu nadzorczego i zawiadomienia osób dokonuje Administrator; Podmiot przetwarzający nie robi tego w imieniu Administratora bez jego polecenia.

§ 5. Dalsze podmioty przetwarzające

1. Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Na dzień zawarcia umowy są to:
   1. OVH (OVHcloud) – serwer wirtualny (VPS), na którym działa System; centrum danych na terytorium Europejskiego Obszaru Gospodarczego;
   2. LH.pl – serwer poczty e-mail, przez który System wysyła maile (kody logowania, alarmy, raporty, zdjęcia).
2. Integracje z systemami zewnętrznymi (np. Safestar, adresy webhook, własna skrzynka SMTP Klienta) Administrator włącza sam; dane trafiają wtedy do odbiorców wskazanych przez Administratora i na jego odpowiedzialność.
3. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora z co najmniej 14-dniowym wyprzedzeniem (w Systemie lub e-mailem). Administrator może zgłosić uzasadniony sprzeciw na adres biuro@avs24.pl; jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć Usługę przed wprowadzeniem zmiany.
4. Na dalszy podmiot przetwarzający nakłada się obowiązki ochrony danych odpowiadające tej umowie. Podmiot przetwarzający odpowiada wobec Administratora za wykonanie tych obowiązków przez dalszy podmiot.

§ 6. Kontrola

1. Administrator ma prawo sprawdzić, czy Podmiot przetwarzający przestrzega tej umowy: w pierwszej kolejności przez pisemne pytania i przedstawienie dokumentów, a jeśli to nie wystarczy – przez audyt, nie częściej niż raz na 12 miesięcy (chyba że doszło do naruszenia ochrony danych), po zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem.
2. Audyt prowadzi Administrator lub niezależny audytor zobowiązany do poufności, w dni robocze, bez dostępu do danych innych klientów i bez naruszania bezpieczeństwa Systemu. Koszty audytu ponosi Administrator.

§ 7. Środki techniczne i organizacyjne

1. szyfrowane połączenie HTTPS (TLS) z panelem, aplikacjami i API;
2. hasła przechowywane wyłącznie jako skróty PBKDF2-SHA256 (200 000 iteracji) z solą; blokada logowania po 5 nieudanych próbach z jednego adresu na 5 minut;
3. uwierzytelnianie dwuskładnikowe (aplikacja TOTP lub kod e-mail), które Administrator może wymagać dla swoich kont;
4. ciasteczko sesji z atrybutami HttpOnly, SameSite=Strict i Secure; telefony uwierzytelniane osobnymi tokenami, które można unieważnić;
5. rozdzielenie danych firm – każde zapytanie jest ograniczone do danych firmy Użytkownika; role i uprawnienia (administrator, kierownik tylko przypisanych obiektów, operator, klient tylko do odczytu);
6. dziennik audytu wrażliwych czynności (logowania, zmiany kont, dostęp telefonów, usunięcia, akceptacje Regulaminu);
7. automatyczne usuwanie danych po okresach z § 8 ust. 1;
8. kopia zapasowa bazy danych z kontrolą integralności, przechowywana do 30 dni;
9. aktualizacje Systemu z możliwością wycofania; dostęp administracyjny do serwera wyłącznie dla Podmiotu przetwarzającego, przez SSH.

§ 8. Okresy przechowywania, zwrot i usunięcie danych

1. Dane są usuwane automatycznie: zdarzenia, obchody i pokwitowane alarmy – po okresie ustawionym dla firmy (domyślnie 400 dni); wiadomości i zamknięte zadania – po 2 miesiącach; zdjęcia – po 40 dniach (miniatury w raportach – razem z danymi raportu); testy łączności – po 60 dniach; dziennik integracji – po 30 dniach; kopie zapasowe – po 30 dniach od ich wykonania.
2. Po zakończeniu Usługi Administrator w ciągu 14 dni wskazuje na adres biuro@avs24.pl, czy dane mają zostać zwrócone (eksport raportów i danych w formatach dostępnych w Systemie), czy usunięte. Po wykonaniu zwrotu albo po upływie tego terminu dane są usuwane z Systemu w ciągu 30 dni, a z kopii zapasowych – z upływem ich okresu przechowywania, chyba że prawo nakazuje dalsze przechowywanie.

§ 9. Odpowiedzialność i postanowienia końcowe

1. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem na zasadach art. 82 RODO. W pozostałym zakresie stosuje się postanowienia Regulaminu o odpowiedzialności, w granicach dopuszczalnych przez RODO.
2. Administrator odpowiada za to, że ma podstawę prawną do przetwarzania danych powierzonych w Systemie i że poinformował osoby, których dane dotyczą (w szczególności pracowników objętych monitorowaniem – art. 22² i 22³ Kodeksu pracy, art. 13 RODO). Wzór informacji udostępnia Podmiot przetwarzający: Klauzula informacyjna dla ochrony.
3. W sprawach nieuregulowanych stosuje się Regulamin i RODO. W razie sprzeczności między Regulaminem a niniejszą umową w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.
4. Zmiany umowy wprowadza się na zasadach zmiany Regulaminu (§ 17 Regulaminu).

© 2026 Karol Tuszkowski Advanced Vision Systems. Wszelkie prawa zastrzeżone. · Wszystkie dokumenty · biuro@avs24.pl