Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

Ostatnia aktualizacja: 17.10.2026

Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych („DPA") określa zasady przetwarzania danych osobowych powierzonych przez Szkołę jazdy w związku z korzystaniem z serwisu Drivioo, zgodnie z art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). DPA stanowi część umowy o świadczenie usług Drivioozawartej na podstawie Regulaminu.

Strony umowy

• Administrator - Szkoła jazdy (ośrodek szkolenia kierowców lub instruktor) korzystająca z serwisu Drivioo, której dane są uzupełniane podczas rejestracji. Osoba akceptująca DPA oświadcza, że jest upoważniona do działania w imieniu Szkoły.
• Podmiot Przetwarzający - Bartłomiej Dadej (osoba fizyczna prowadząca działalność nierejestrowaną w rozumieniu art. 5 ust. 1 ustawy - Prawo przedsiębiorców, korzystająca ze zwolnienia z VAT (art. 113 ust. 1 ustawy o VAT)), adres: ul. Marcina Stępnia 69, 21-150 Kock, adres e-mail: kontakt@drivioo.pl, operator serwisu Drivioo.

§1. Przedmiot, charakter i cel przetwarzania

Podmiot Przetwarzający przetwarza dane osobowe powierzone przez Administratora wyłącznie w celu świadczenia usługi platformy do zarządzania szkołą jazdy: prowadzenie kursantów i kadry, harmonogram jazd, etapy kursu, egzaminy wewnętrzne, dokumenty, ewidencja płatności kursantów, komunikacja (czat) i powiadomienia.

Charakter przetwarzania obejmuje: zbieranie danych wprowadzanych przez Administratora i osoby przez niego upoważnione, przechowywanie (w tym plików), porządkowanie, wyświetlanie uprawnionym użytkownikom, wysyłkę powiadomień e-mail i push, generowanie zestawień i eksportów, tworzenie kopii zapasowych oraz usuwanie i anonimizację.

§2. Czas trwania, zwrot i usunięcie danych

Na czas obowiązywania umowy o świadczenie usług Drivioo.

• Zwrot danych: Administrator może w każdej chwili - także po wygaśnięciu lub anulowaniu Subskrypcji - samodzielnie pobrać kopię powierzonych danych w panelu internetowym Drivioo (Profil szkoły → „Pobierz dane szkoły"). Dane, których eksport nie obejmuje (np. pliki dokumentów), Podmiot Przetwarzający przekazuje na żądanie Administratora w terminie 30 dni.
• Zakończenie umowy następuje z chwilą zamknięcia konta Szkoły na jej żądanie, wypowiedzenia umowy albo po upływie 12 miesięcy od wygaśnięcia Subskrypcji, jeżeli Szkoła jej nie wznowiła. Do tego czasu dane Szkoły pozostają przechowywane w trybie tylko do odczytu, aby Administrator mógł je pobrać lub wznowić korzystanie z Serwisu. Na co najmniej 30 dni przed usunięciem danych z powodu braku Subskrypcji Podmiot Przetwarzający uprzedza o tym Administratora e-mailem.
• Usunięcie danych: w terminie 30 dni od zakończenia umowy Podmiot Przetwarzający usuwa powierzone dane (z bazy danych i z magazynu plików), chyba że prawo Unii lub prawo polskie nakazuje mu dalsze przechowywanie. Kopie zapasowe zawierające te dane są usuwane w cyklu ich rotacji u dostawcy hostingu. Na żądanie Administratora Podmiot Przetwarzający potwierdza usunięcie danych e-mailem.
• Obowiązek przechowywania dokumentacji ośrodka szkolenia kierowców ciąży na Administratorze - przed zakończeniem umowy Administrator powinien pobrać dane, które musi zachować.

§3. Kategorie osób i danych

• Kursanci (w tym osoby małoletnie - np. kat. AM od 14 lat, A1 od 16 lat): imię, nazwisko, e-mail, telefon, data urodzenia, numer PKK, postęp szkolenia (godziny teoria/praktyka, frekwencja, etapy kursu), oceny i notatki instruktora z jazd, wyniki egzaminów wewnętrznych i państwowych, dokumenty wgrane przez kursanta lub szkołę (np. skan dokumentu tożsamości, zdjęcie), historia płatności za kurs (ewidencyjna), data badania lekarskiego i data ważności orzeczenia (bez skanu orzeczenia, wyniku i przeciwwskazań - orzeczenie Szkoła ogląda na miejscu).
• Dane szczególnych kategorii (art. 9 RODO): Serwis nie przyjmuje skanów orzeczeń lekarskich kursantów (od 08.10.2026) ani orzeczeń lekarskich i psychologicznych instruktorów (od 14.10.2026) - zapisywane są wyłącznie data badania i data ważności orzeczenia, bez wyniku i przeciwwskazań. Administrator nie powinien przesyłać do Serwisu innych dokumentów zawierających dane o zdrowiu.
• Instruktorzy: imię, nazwisko, e-mail, telefon, uprawnienia, dokumenty instruktora, harmonogram, dostępność i nieobecności, przypisane pojazdy.
• Administratorzy i pracownicy szkoły (recepcja): imię, nazwisko, e-mail, telefon.
• Osoby zainteresowane kursem i kandydaci wprowadzeni przez Szkołę lub przekazani jej z katalogu: imię, nazwisko, e-mail, telefon, wybrana kategoria, notatki Szkoły.
• Czat w ramach Szkoły: treść wiadomości i załączniki wymieniane między kursantami, instruktorami i pracownikami Szkoły.
• Pojazdy szkoły: numer rejestracyjny, terminy ubezpieczenia OC i badań technicznych, zgłoszenia usterek (w tym zdjęcia).

Nie są objęte powierzeniem dane, których administratorem jest Drivioo (Polityka prywatności, pkt 1.1): dane logowania i konta, rozliczenia Subskrypcji, publiczne opinie, zgłoszenia moderacji, tokeny powiadomień push, dziennik zdarzeń z adresami IP oraz raporty błędów. Podmiot Przetwarzający udostępnia jednak Administratorowi informacje z dziennika zdarzeń dotyczące danych powierzonych (np. kto i kiedy otworzył dokument), jeśli są potrzebne do wykazania zgodności lub wyjaśnienia naruszenia.

§3a. Obowiązki i prawa Administratora

• Administrator odpowiada za posiadanie podstawy prawnej przetwarzania powierzonych danych, w tym danych szczególnych kategorii (art. 9 ust. 2 RODO), oraz za wykonanie obowiązku informacyjnego (art. 13 i 14 RODO) wobec kursantów, kadry i kandydatów.
• Administrator decyduje o zakresie danych wprowadzanych do Serwisu (w szczególności o tym, czy przechowuje kopie dokumentów) i nadaje uprawnienia swoim pracownikom i instruktorom.
• Administrator wydaje polecenia przez konfigurację i korzystanie z funkcji Serwisu oraz e-mailem na adres kontakt@drivioo.pl.

§4. Obowiązki Podmiotu Przetwarzającego

• przetwarzanie danych wyłącznie na udokumentowane polecenie Administratora - także w odniesieniu do przekazywania danych do państwa trzeciego - chyba że obowiązek przetwarzania nakłada prawo Unii lub prawo polskie; w takim przypadku przed rozpoczęciem przetwarzania Podmiot Przetwarzający informuje Administratora o tym obowiązku, o ile prawo nie zabrania udzielenia takiej informacji;
• niezwłoczne poinformowanie Administratora, jeżeli jego zdaniem wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych - do czasu wyjaśnienia Podmiot Przetwarzający może wstrzymać wykonanie takiego polecenia;
• zapewnienie, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi zachowania tajemnicy;
• wdrożenie środków bezpieczeństwa, o których mowa w art. 32 RODO (§6);
• przestrzeganie warunków korzystania z usług innego podmiotu przetwarzającego (§5);
• wspieranie Administratora w realizacji praw osób, których dane dotyczą (m.in. eksport danych, sprostowanie, usunięcie/anonimizacja), oraz niezwłoczne przekazywanie Administratorowi żądań skierowanych bezpośrednio do Podmiotu Przetwarzającego;
• pomoc w wypełnianiu obowiązków z art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków dla ochrony danych, uprzednie konsultacje) - z uwzględnieniem charakteru przetwarzania i dostępnych informacji;
• zwrot i usunięcie danych po zakończeniu świadczenia usług - zgodnie z §2;
• udostępnienie Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwienie przeprowadzania audytów i inspekcji (§4a).

§4a. Audyt

Administrator może przeprowadzić audyt lub zlecić go niezależnemu audytorowi zobowiązanemu do poufności, po zapowiedzi przesłanej e-mailem co najmniej 14 dni wcześniej, nie częściej niż raz w roku (częściej - po naruszeniu ochrony danych lub na żądanie organu nadzorczego). Audyt w pierwszej kolejności polega na udzieleniu pisemnych odpowiedzi i udostępnieniu dokumentacji; audyt nie może naruszać poufności danych innych szkół. Koszty audytu ponosi Administrator.

§5. Dalsze podmioty przetwarzające (podprocesorzy)

Administrator udziela ogólnej zgody na korzystanie przez Podmiot Przetwarzający z usług dalszych podmiotów przetwarzających. Na dzień 17.10.2026 są to:

• Railway (Railway Corporation, San Francisco, USA) - hosting serwera aplikacji i bazy danych; kraj: USA (podmiot i główne operacje przetwarzania); serwer aplikacji w regionie UE (Holandia); podstawa przekazania: umowa powierzenia (DPA) zawarta 07.10.2026 ze standardowymi klauzulami umownymi (art. 46 ust. 2 lit. c RODO); dodatkowo EU-US Data Privacy Framework w zakresie, w jakim Railway posiada certyfikację.
• Cloudinary (Cloudinary Inc., USA) - przechowywanie plików: dokumentów, zdjęć profilowych, załączników czatu, zdjęć szkół; kraj: USA; podstawa przekazania: EU-US Data Privacy Framework oraz standardowe klauzule umowne.
• Resend (Plus Five Five, Inc. (Resend), USA) - wysyłka wiadomości e-mail (kody weryfikacyjne, powiadomienia, potwierdzenia) oraz lista odbiorców i wysyłka newslettera; kraj: USA; podstawa przekazania: EU-US Data Privacy Framework oraz standardowe klauzule umowne.
• Expo (EAS) (650 Industries, Inc. (Expo), USA) - wysyłka powiadomień push oraz dostarczanie aktualizacji aplikacji mobilnej; kraj: USA; podstawa przekazania: EU-US Data Privacy Framework.
• Google Firebase Cloud Messaging (Google Ireland Ltd. / Google LLC, USA) - doręczanie powiadomień push na urządzenia z Androidem; kraj: UE / USA; podstawa przekazania: EU-US Data Privacy Framework oraz standardowe klauzule umowne.
• Apple Push Notification service (Apple Distribution International Ltd. (Irlandia) / Apple Inc., USA) - doręczanie powiadomień push na urządzenia z iOS; kraj: UE / USA; podstawa przekazania: standardowe klauzule umowne stosowane przez Apple.
• Sentry (Functional Software, Inc. (Sentry), USA) - monitorowanie błędów serwera; kraj: UE (Niemcy) - dane przechowywane w regionie UE; podstawa przekazania: dane w UE; ewentualny dostęp z USA - EU-US Data Privacy Framework oraz standardowe klauzule umowne.
• OVH (OVH SAS, Francja) - domena drivioo.pl, DNS i przekierowanie poczty kontakt@drivioo.pl; kraj: UE (Francja); podstawa przekazania: brak transferu poza EOG.
• Google (Gmail) (Google Ireland Ltd. / Google LLC, USA) - skrzynka pocztowa, na którą trafia korespondencja wysłana na kontakt@drivioo.pl (zapytania, zgłoszenia treści, wnioski RODO, reklamacje); kraj: UE / USA; podstawa przekazania: EU-US Data Privacy Framework oraz standardowe klauzule umowne.

Operator płatności Stripe obsługuje wyłącznie rozliczenia Subskrypcji między Szkołą a Podmiotem Przetwarzającym i nie otrzymuje danych powierzonych (danych kursantów i kadry).

• Zmiany listy: o zamiarze dodania lub zastąpienia podprocesora Podmiot Przetwarzający informuje Administratora e-mailem (na adres konta Szkoły) co najmniej 14 dni przed zmianą. W tym terminie Administrator może wnieść uzasadniony sprzeciw na adres kontakt@drivioo.pl. Jeżeli strony nie uzgodnią rozwiązania, Administrator może wypowiedzieć umowę ze skutkiem przed dniem zmiany, z proporcjonalnym zwrotem opłaty za niewykorzystany okres.
• Te same obowiązki: Podmiot Przetwarzający nakłada na każdego podprocesora - w drodze umowy - obowiązki ochrony danych zapewniające co najmniej taki poziom ochrony jak niniejsza DPA, w szczególności wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 28 ust. 4 RODO).
• Odpowiedzialność: jeżeli podprocesor nie wywiąże się ze swoich obowiązków ochrony danych, pełna odpowiedzialność wobec Administratora za ich wypełnienie spoczywa na Podmiocie Przetwarzającym.

§6. Środki bezpieczeństwa (art. 32 RODO)

• szyfrowanie transmisji danych (HTTPS/TLS, HSTS);
• hashowanie haseł (bcrypt) i szyfrowanie numeru PKK;
• uwierzytelnianie oparte na tokenach oraz kontrola dostępu oparta na rolach (RBAC);
• izolacja danych pomiędzy szkołami (multi-tenancy);
• skany dokumentów jako pliki prywatne, udostępniane uprawnionym osobom linkiem ważnym 10 minut, z rejestracją każdego podglądu;
• rejestr zdarzeń (audit log) i monitorowanie błędów bez danych wrażliwych;
• kopie zapasowe bazy danych u dostawcy hostingu;
• ograniczanie liczby żądań (rate limiting) i weryfikacja przesyłanych plików.

§7. Retencja w trakcie umowy

W trakcie umowy okres przechowywania powierzonych danych (w tym dokumentacji szkolenia i ewidencji płatności kursantów) określa Administrator - zgodnie z obowiązującymi go przepisami. Na polecenie Administratora Podmiot Przetwarzający usuwa lub anonimizuje wskazane dane. Po usunięciu konta przez kursanta z historią szkolenia Podmiot Przetwarzający anonimizuje dane konta, a dane szkoleniowe pozostawia do dyspozycji Administratora (zob. stronę „Usunięcie konta").

§8. Przekazywanie danych poza EOG

Część podprocesorów przetwarza dane poza Europejskim Obszarem Gospodarczym (USA) - wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework, art. 45 RODO) lub standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO), zgodnie z listą w §5. Administrator poleca takie przekazanie w zakresie niezbędnym do świadczenia usług.

§9. Naruszenia ochrony danych

Podmiot Przetwarzający powiadamia Administratora o naruszeniu ochrony danych powierzonych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, e-mailem na adres konta Szkoły. Powiadomienie zawiera, w miarę dostępności: charakter naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, prawdopodobne konsekwencje, podjęte lub proponowane środki oraz dane kontaktowe - informacje mogą być przekazywane etapami. Podmiot Przetwarzający nie zgłasza naruszenia danych powierzonych do organu nadzorczego w imieniu Administratora, chyba że Administrator o to poprosi; wspiera Administratora w zgłoszeniu (art. 33 RODO) i zawiadomieniu osób (art. 34 RODO).

§10. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się przepisy RODO oraz prawa polskiego. Zmiany DPA wprowadza się w trybie zmiany Regulaminu (§11 Regulaminu - co najmniej 15 dni dla Szkół). Akceptacja niniejszej Umowy następuje podczas rejestracji szkoły i jest odnotowywana wraz z datą, adresem IP oraz wersją dokumentu.