1. Strony
- Administrator danych: organizacja kliencka zarejestrowana w Sourevo (importer, podmiot, handlowiec lub spedytor / upoważniony przedstawiciel). Decyduje, jakie dane wprowadza i w jakim celu.
- Podmiot przetwarzający: Juan Cantón Rodríguez (NIF 45492167F), Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España, działający pod marką „Francodesystems”.
Niniejsza umowa powierzenia obejmuje dane, które Państwa organizacja wprowadza, importuje lub otrzymuje w narzędziu na potrzeby swojej należytej staranności, w tym dane podmiotu na potrzeby TRACES NT i treść oświadczeń. Dane kont użytkowników oraz dane, którymi dostawcy zarządzają we własnym portalu, przetwarzamy jako administrator, zgodnie z polityką prywatności. Gdy dostawca udostępnia Państwu działkę, wykorzystywanie jej przez Państwa w ramach należytej staranności jest objęte niniejszą umową powierzenia.
Jeżeli Państwa organizacja sama przetwarza te dane w imieniu innego przedsiębiorstwa (na przykład spedytor lub upoważniony przedstawiciel działający na rzecz podmiotu), niniejsza umowa stanowi umowę dalszego powierzenia: gwarantują Państwo, że ten administrator zezwala Państwu na korzystanie z naszych usług, i przekażą mu Państwo potrzebne mu informacje z niniejszego dokumentu.
2. Przedmiot, dane i czas trwania
- Kategorie osób, których dane dotyczą: dostawcy i producenci będący osobami fizycznymi (w tym drobni producenci), osoby kontaktowe dostawców i podmiotów oraz osoby występujące we wprowadzanych przez Państwa dowodach.
- Kategorie danych: imię i nazwisko, adres e-mail, telefon, kraj, identyfikator podatkowy, geolokalizacja i powierzchnia działek (punkt lub wielokąt), dokumenty stanowiące dowody, dane podmiotu i jego osoby kontaktowej oraz treść oświadczeń (DDS). Dane dostępowe do usługi sieciowej TRACES NT są wykorzystywane wyłącznie do zleconych przez Państwa operacji i przechowywane w postaci zaszyfrowanej.
- Charakter przetwarzania: przechowywanie, rejestrowanie, porządkowanie, przeglądanie, walidacja, przesyłanie do TRACES NT na Państwa polecenie, sprawdzanie identyfikatorów podatkowych w rejestrach publicznych, przechowywanie i usuwanie.
- Cel: świadczenie usługi opisanej w regulaminie, aby mogli Państwo przygotować, wykonać i udokumentować należytą staranność zgodnie z rozporządzeniem (UE) 2023/1115.
- Czas trwania: przez czas istnienia Państwa konta, powiększony o okres przechowywania określony w pkt 8.
Nie są przetwarzane szczególne kategorie danych, o których mowa w art. 9 RODO. Jeżeli wprowadzą Państwo dane, które nie są potrzebne do należytej staranności, decyzja i odpowiedzialność należą do Państwa.
3. Polecenia
Przetwarzamy dane wyłącznie na Państwa udokumentowane polecenie, którym są niniejsze warunki oraz działania wykonywane przez Państwa w aplikacji lub za pośrednictwem integracji: na przykład zlecenie złożenia DDS w TRACES NT jest poleceniem przekazania tych danych Komisji Europejskiej. Jeżeli polecenie wyda nam się sprzeczne z RODO lub innymi przepisami, niezwłocznie Państwa o tym poinformujemy.
Dane przetwarzalibyśmy w inny sposób wyłącznie wtedy, gdy zobowiązuje nas do tego prawo Unii lub Hiszpanii. W takim przypadku poinformujemy o tym Państwa z wyprzedzeniem, chyba że te same przepisy tego zabraniają.
Nie wykorzystujemy danych do własnych celów: ani do profilowania, ani do trenowania modeli, ani do ich sprzedaży, ani do oferowania ich innym klientom.
4. Nasze zobowiązania
- Zachowanie poufności i wymaganie jej od każdej osoby mającej dostęp do danych, również po zakończeniu powierzenia.
- Stosowanie środków bezpieczeństwa, o których mowa w art. 32 RODO (zob. pkt 6).
- Pomoc w realizacji praw osób, których dane dotyczą. Jeżeli otrzymamy żądanie od osoby, której dane Państwo przetwarzają, przekażemy je Państwu, nie udzielając odpowiedzi we własnym zakresie.
- Powiadomienie Państwa o naruszeniu ochrony danych bez zbędnej zwłoki, a w każdym razie w ciągu 24 godzin od jego stwierdzenia, z informacjami posiadanymi w danym momencie (co się stało, jakie dane i jakie osoby mogą być dotknięte naruszeniem, prawdopodobne konsekwencje i podjęte środki), oraz późniejsze uzupełnienie informacji, aby mogli Państwo dokonać zgłoszenia organowi nadzorczemu w przysługującym Państwu terminie 72 godzin (art. 33 RODO).
- Pomoc, w zakresie od nas zależnym, przy ocenach skutków dla ochrony danych i uprzednich konsultacjach.
- Prowadzenie rejestru kategorii czynności przetwarzania jako podmiot przetwarzający (art. 30 ust. 2 RODO).
- Udostępnianie Państwu informacji niezbędnych do wykazania przestrzegania przepisów oraz umożliwienie rozsądnych audytów, z uprzednim powiadomieniem i bez narażania bezpieczeństwa ani danych innych klientów.
- Nieprzekazywanie danych poza Europejski Obszar Gospodarczy, z wyjątkiem dalszych podmiotów przetwarzających wskazanych w pkt 5 i z zastosowaniem opisanych tam zabezpieczeń.
5. Dalsze podmioty przetwarzające
Udzielają nam Państwo ogólnej zgody na korzystanie z następujących dalszych podmiotów przetwarzających, z którymi zawarliśmy umowy nakładające obowiązki równoważne obowiązkom wynikającym z niniejszej umowy powierzenia:
| Dalszy podmiot przetwarzający | Lokalizacja | Usługa | Zabezpieczenia |
|---|---|---|---|
| Hetzner Online GmbH | Przedsiębiorstwo niemieckie; serwer w jego centrum danych w Finlandii (UE) | Hosting serwera, baza danych, pliki i kopie zapasowe | Na terytorium UE |
| Resend, Inc. | Stany Zjednoczone | Wysyłka wiadomości e-mail związanych z usługą (na przykład zaproszeń dla dostawców): adres odbiorcy, imię i nazwisko oraz treść wiadomości | Standardowe klauzule umowne i Ramowe porozumienie w zakresie ochrony danych UE-USA |
| Google Cloud EMEA Limited (Google Workspace) | Irlandia (UE), z możliwym przekazywaniem danych do USA | Skrzynka pocztowa wsparcia. Otrzymuje dane objęte powierzeniem tylko wtedy, gdy prześlą je nam Państwo pocztą elektroniczną | Standardowe klauzule umowne i Ramowe porozumienie w zakresie ochrony danych UE-USA |
| Cloudflare, Inc. | Stany Zjednoczone | Wyłącznie DNS domeny, bez proxy: nie otrzymuje ruchu ani danych objętych powierzeniem. Wymieniony dla przejrzystości | Ramowe porozumienie w zakresie ochrony danych UE-USA i standardowe klauzule umowne |
Dalszymi podmiotami przetwarzającymi nie są, lecz odbiorcami na Państwa polecenie: Komisja Europejska (TRACES NT), która otrzymuje składane przez Państwa oświadczenia i przetwarza je jako administrator, oraz publiczne rejestry podatkowe (VIES Komisji Europejskiej, rejestr CNPJ w Brazylii), z których korzystamy w celu weryfikacji identyfikatorów podatkowych.
Jeżeli dodamy lub zmienimy dalszy podmiot przetwarzający, powiadomimy Państwa z co najmniej 30-dniowym wyprzedzeniem. Mogą Państwo wnieść sprzeciw z uzasadnionych powodów; jeżeli nie znajdziemy rozwiązania alternatywnego, mogą Państwo rozwiązać umowę bez kar.
Odpowiadamy wobec Państwa za wypełnianie przez nasze dalsze podmioty przetwarzające ich obowiązków w zakresie ochrony danych (art. 28 ust. 4 RODO).
6. Środki bezpieczeństwa
- Szyfrowanie w transmisji (HTTPS) oraz dane dostępowe do TRACES NT szyfrowane w spoczynku algorytmem AES-256-GCM.
- Hasła zabezpieczone skrótem argon2id i podpisane sesje w plikach cookie z atrybutami HttpOnly i Secure.
- Izolacja danych każdej organizacji przy każdym zapytaniu i widoczność każdej działki kontrolowana przez dostawcę.
- Rejestr audytowy i historia oświadczeń w trybie wyłącznie dopisywania.
- Ograniczanie prób logowania i dostęp personelu ograniczony do niezbędnego minimum.
- Kopie zapasowe bazy danych przechowywane na terytorium Unii Europejskiej.
Przeglądamy te środki w razie zmiany usługi lub ryzyka. Jeżeli którykolwiek z nich ulegnie zmianie, utrzymamy co najmniej taki sam poziom ochrony.
7. Obowiązki Państwa organizacji
- Posiadanie podstawy prawnej dla wprowadzanych danych i informowanie osób, których dane dotyczą (art. 14 RODO), w szczególności producentów, których geolokalizacja zostanie zawarta w DDS składanym Komisji Europejskiej.
- Dbanie o dokładność danych i sprawdzanie każdego oświadczenia przed jego złożeniem.
- Zarządzanie tym, kto w Państwa organizacji ma dostęp i z jaką rolą.
- Uwzględnienie nas jako podmiotu przetwarzającego w Państwa rejestrze czynności przetwarzania.
8. Po zakończeniu powierzenia
Po zakończeniu współpracy mają Państwo co najmniej 30 dni na zażądanie zwrotu danych w ustrukturyzowanym formacie (GeoJSON, CSV lub JSON oraz pliki dowodów). Następnie usuwamy je, z dwoma wyjątkami:
- Archiwum złożonych oświadczeń i związanej z nimi dokumentacji. O ile nie postanowią Państwo inaczej, akceptując niniejszą umowę powierzenia, polecają nam Państwo przechowywać je w stanie zablokowanym przez 5 lat od każdego złożenia, aby mogli Państwo je przedstawić, jeżeli zażąda tego organ w okresie przechowywania nałożonym na Państwa przez EUDR (art. 4 ust. 3 i art. 12 ust. 5). Mogą Państwo polecić nam na piśmie wcześniejsze usunięcie archiwum, gdy będą Państwo dysponować własną kopią.
- Dane, do których przechowywania zobowiązuje nas prawo Unii lub Hiszpanii, również w stanie zablokowanym.
W okresie blokady dane nie są wykorzystywane do żadnych celów, z wyjątkiem realizacji Państwa żądania lub żądania organu bądź sądu.
9. Odpowiedzialność i kontakt
Każda ze stron odpowiada za swoje obowiązki zgodnie z art. 82 RODO, z ograniczeniami przewidzianymi w regulaminie korzystania i zawierania umów w zakresie dopuszczonym przez prawo.
We wszelkich sprawach dotyczących niniejszej umowy powierzenia, audytu lub podpisania odrębnej umowy, jeżeli preferuje to Państwa dział prawny: juan.canton@sourevo.com.