Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

Ostatnia aktualizacja: 10.06.2026

⚠️ Dokument w wersji do weryfikacji przez radcę prawnego. Akceptacja DPA następuje podczas rejestracji szkoły i jest odnotowywana (data, adres IP, wersja dokumentu).

Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych („DPA") określa zasady przetwarzania danych osobowych powierzonych przez Szkołę jazdy w związku z korzystaniem z serwisu Drivioo, zgodnie z art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

Strony umowy

Administrator — Szkoła jazdy (ośrodek szkolenia kierowców) korzystająca z serwisu Drivioo, której dane są uzupełniane podczas rejestracji i akceptacji niniejszej Umowy.
Podmiot Przetwarzający — Bartłomiej Dadej (jednoosobowa działalność gospodarcza), operator serwisu Drivioo.

§1. Przedmiot i charakter przetwarzania

Podmiot Przetwarzający przetwarza dane osobowe powierzone przez Administratora wyłącznie w celu świadczenia usługi platformy do zarządzania szkołą jazdy: zarządzanie kursantami, harmonogram jazd, etapy kursu, egzaminy wewnętrzne, ewidencja płatności, komunikacja i powiadomienia.

§2. Czas trwania

Na czas obowiązywania umowy o świadczenie usług Drivioo. Po jej rozwiązaniu — usunięcie lub zwrot danych w terminie 30 dni, z zastrzeżeniem danych podlegających retencji prawnej (§7).

§3. Kategorie osób i danych

Kursanci: imię, nazwisko, e-mail, telefon, data urodzenia, numer PKK, postęp szkolenia (godziny teoria/praktyka), wyniki egzaminów wewnętrznych i państwowych, dokumenty wgrane przez kursanta, historia płatności (ewidencyjna).
Instruktorzy: imię, nazwisko, e-mail, telefon, uprawnienia, dokumenty instruktora, harmonogram.
Administratorzy szkoły: imię, nazwisko, e-mail, telefon.
Dane techniczne: tokeny sesji, tokeny powiadomień push, logi audytowe, adresy IP.

§4. Obowiązki Podmiotu Przetwarzającego

przetwarzanie wyłącznie na udokumentowane polecenie Administratora;
zapewnienie poufności przez osoby upoważnione do przetwarzania;
wdrożenie środków bezpieczeństwa, o których mowa w art. 32 RODO (§6);
wspieranie Administratora w realizacji praw osób, których dane dotyczą (m.in. eksport danych, usunięcie/anonimizacja);
pomoc w wypełnianiu obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków);
usunięcie lub zwrot danych po zakończeniu świadczenia usług;
udostępnienie informacji niezbędnych do wykazania zgodności oraz umożliwienie audytów.

§5. Podprocesorzy

Administrator wyraża ogólną zgodę na korzystanie z następujących podprocesorów:

Stripe — obsługa płatności subskrypcji i faktur;
Resend / SendGrid — wysyłka wiadomości e-mail;
Twilio — wysyłka wiadomości SMS;
Cloudinary — przechowywanie plików i dokumentów;
Expo — powiadomienia push;
dostawca usług hostingu i bazy danych.

O zamiarze zmiany podprocesora Podmiot Przetwarzający poinformuje Administratora, umożliwiając wniesienie sprzeciwu.

§6. Środki bezpieczeństwa (art. 32 RODO)

szyfrowanie transmisji danych (HTTPS/TLS, HSTS);
hashowanie haseł (bcrypt);
uwierzytelnianie oparte na tokenach oraz kontrola dostępu oparta na rolach (RBAC);
izolacja danych pomiędzy szkołami (multi-tenancy);
rejestr zdarzeń (audit log);
regularne kopie zapasowe.

§7. Retencja i dane szkoleniowe

Dane szkoleniowe i finansowe podlegają retencji wynikającej z przepisów (dokumentacja ośrodka szkolenia kierowców, dowody księgowe). W zakresie objętym obowiązkiem prawnym stosuje się anonimizację zamiast usunięcia.

§8. Przekazywanie danych poza EOG

Niektórzy podprocesorzy mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym (np. USA) — wyłącznie na podstawie odpowiednich zabezpieczeń, o których mowa w art. 46 RODO (standardowe klauzule umowne) lub na podstawie decyzji Komisji Europejskiej (Data Privacy Framework).

§9. Naruszenia ochrony danych

Podmiot Przetwarzający powiadamia Administratora bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych, umożliwiając Administratorowi zgłoszenie do organu nadzorczego w terminie 72 godzin.

§10. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się przepisy RODO oraz prawa polskiego. Akceptacja niniejszej Umowy następuje podczas rejestracji szkoły i jest odnotowywana wraz z datą, adresem IP oraz wersją dokumentu.