Umowa powierzenia przetwarzania danych osobowych

W odniesieniu do danych osobowych przetwarzanych za pośrednictwem usługi Druma TMS w imieniu Klienta Klient jest administratorem danych, a Druma jest podmiotem przetwarzającym w rozumieniu definicji zawartych w art. 4 ogólnego rozporządzenia o ochronie danych (rozporządzenie (UE) 2016/679, „RODO”).

W odniesieniu do danych, które Druma gromadzi we własnym zakresie (dane konta Klienta, dokumentacja rozliczeniowa, potencjalni klienci marketingowi), Druma jest niezależnym administratorem; to przetwarzanie podlega polityce prywatności Druma, a nie niniejszej umowie (DPA).

Druma przetwarza dane osobowe w imieniu Klienta wyłącznie w celu świadczenia Usługi, co obejmuje uzyskiwanie Danych Układu Formularza opisane w punkcie 4.1. Niniejsza DPA wchodzi w życie z dniem rozpoczęcia subskrypcji Klienta i obowiązuje przez okres subskrypcji, powiększony o opisane w punkcie 11 okresy eksportu i usuwania danych po jej zakończeniu.

Osoby, których dane dotyczą:

• Pracownicy, współpracownicy i kierowcy Klienta.
• Klienci Klienta i ich osoby kontaktowe.
• Przewoźnicy podwykonawczy Klienta i ich personel.
• Inne możliwe do zidentyfikowania osoby, których dane Klient wprowadza do Usługi (odbiorcy, osoby kontaktowe przy rampach itp.).

Kategorie danych osobowych:

• Dane identyfikacyjne (imiona i nazwiska, identyfikatory pracowników, rola).
• Dane kontaktowe (e-mail, telefon, język).
• Dane o lokalizacji, w dwóch odrębnych postaciach:
  • Bieżąca pozycja pojazdu z telematyki — jeden wiersz na pojazd, nadpisywany przy każdej aktualizacji; osobny krótkotrwały ślad ostatnich pozycji (dla widoku śledzenia pojazdu na mapie na żywo) jest przechowywany przez 48 godzin, a następnie usuwany.
  • Sygnały pozycji z aplikacji kierowcy oraz współrzędne rejestrowane, gdy kierowca zmienia status zlecenia (przyjazd, załadunek, dostawa) — przechowywane 90 dni, następnie usuwane.
• Dane o kwalifikacjach kierowców i ich dokumentach (prawo jazdy, kwalifikacja CPC, ADR i daty ważności badań lekarskich oraz same wgrane dokumenty), zgodnie z zapisami Klienta.
• Dane pochodne — składniki i wynik oceny wydajności kierowcy, co stanowi profilowanie w rozumieniu art. 4 pkt 4 RODO, ale nie wywołuje skutków prawnych ani podobnie istotnych skutków i nie obejmuje zautomatyzowanego podejmowania decyzji w rozumieniu art. 22.
• Dane z tachografu i dane o czasie prowadzenia pojazdu (pozostały czas prowadzenia, zapisy stanu pracy pochodzące od dostawców telematyki, o ile są podłączeni; przetwarzane w ramach obowiązków zgodności z rozporządzeniem (WE) 561/2006 i rozporządzeniem (UE) 165/2014).
• Dane operacyjne (zlecenia, potwierdzenia statusu, czasy oczekiwania, opóźnienia).
• Treść dokumentów (CMR, POD, podpisy eCMR, dokumenty tożsamości, gdy wymagają tego procesy zgodności).
• Treść komunikacji (wiadomości między planistą a kierowcą, transkrypcje asystenta AI).

Druma nie przetwarza świadomie szczególnych kategorii danych (art. 9 RODO). Klient nie może wprowadzać do Usługi danych dotyczących zdrowia, danych biometrycznych, religijnych ani innych szczególnych kategorii danych, z wyjątkiem sytuacji, gdy jest to ściśle wymagane w procesie obsługi zdarzenia lub ubezpieczenia — w takim przypadku Klient przyjmuje na siebie dodatkowe obowiązki wynikające z art. 9.

Druma przetwarza Dane Klienta wyłącznie na udokumentowane polecenie Klienta, także w odniesieniu do przekazywania danych do państw trzecich, chyba że obowiązek taki nakłada na nią prawo Unii lub prawo państwa członkowskiego (w takim przypadku Druma poinformuje Klienta, o ile prawo nie zabrania takiego powiadomienia).

Udokumentowane polecenia Klienta obejmują: (a) warunki korzystania z usługi i niniejszą DPA, (b) wybory konfiguracyjne dokonane w ramach Usługi oraz (c) wszelkie dodatkowe pisemne polecenia Klienta, które Druma potwierdzi na piśmie.

Druma poinformuje Klienta, jeżeli jej zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych.

4.1 Dane Układu Formularza.

(a) „Dane Układu Formularza” to dane, które opisują, gdzie na drukowanym typie formularza, takim jak list przewozowy CMR, znajdują się drukowane napisy i pola, i nic poza tym. Składają się wyłącznie z: (i) współrzędnych i wymiarów napisów i pól, wyrażonych względem ramki drukowanego formularza; (ii) identyfikatorów drukowanych napisów, pochodzących z zamkniętej listy zwrotów drukowanych na formularzach, którą prowadzi Druma („Lista Napisów”); oraz (iii) liczności i miar statystycznych, takich jak mediana lub rozrzut, obliczonych na podstawie wielu dokumentów.

(b) Klient poleca Drumie analizować dokumenty Klienta w ramach Usługi w celu uzyskiwania Danych Układu Formularza oraz wykorzystywać te dane do ulepszania sposobu, w jaki Usługa odczytuje te same typy formularzy dla wszystkich klientów. Analiza ta stanowi przetwarzanie Danych Klienta w imieniu Klienta i podlega niniejszej DPA. Polecenie obowiązuje przez okres subskrypcji. Nie zależy od wyboru konfiguracyjnego, a Usługa nie przewiduje możliwości wyłączenia go dla pojedynczego klienta.

(c) Dane Układu Formularza nie zawierają niczego z poniższych, a Druma nie uzyskuje ich w sposób, który sprawiłby, że zawierałyby coś z tej listy: tekstu wpisanego, napisanego, ostemplowanego lub wydrukowanego w wypełnionym dokumencie; nazwy ani imienia i nazwiska, adresu, numeru rejestracyjnego, numeru referencyjnego, numeru, daty ani kwoty; podpisu, pieczęci ani obrazu, ani ich fragmentu; identyfikatora Klienta ani użytkownika, klienta, przewoźnika, kierowcy, zlecenia lub dokumentu Klienta; fragmentu dokumentu. Wyraz, którego nie ma na Liście Napisów, jest odrzucany przy tworzeniu Danych Układu Formularza i nigdy w nich nie jest zapisywany.

(d) Dane Układu Formularza opisują drukowany formularz, a nie osobę ani przesyłkę. Są przechowywane bez identyfikatora Klienta, bez powiązania z dokumentem i w postaci zagregowanej z wielu dokumentów. Druma nie będzie próbowała powiązać Danych Układu Formularza z Klientem, dokumentem ani osobą i nie będzie w tym celu łączyć ich z innymi danymi. Druma traktuje Dane Układu Formularza jako dane anonimowe w rozumieniu motywu 26 RODO. Jeżeli okaże się, że Dane Układu Formularza dotyczą możliwej do zidentyfikowania osoby, Druma od tej chwili będzie traktować objęte tym Dane Układu Formularza jako Dane Klienta na podstawie niniejszej DPA i niezwłocznie poinformuje o tym Klienta.

(e) Dokumenty, odczytany z nich tekst, wyodrębnione z nich wartości oraz przypisane do nich etykiety lub poprawki („Przykłady Odczytu”) pozostają w obrębie konta firmy Klienta. Druma nie wykorzystuje Przykładów Odczytu do odczytywania dokumentów innego klienta, nie ujawnia ich innemu klientowi i nie udostępnia innemu klientowi niczego, co z nich uzyskano, poza Danymi Układu Formularza. Druma przechowuje Przykłady Odczytu najwyżej 12 miesięcy od sprawdzenia dokumentu, a 30 dni, gdy nikt nie oznaczył ani nie poprawił odczytu. Druma usuwa je niezwłocznie, gdy Klient usunie dokument lub zlecenie, którego dotyczą, oraz gdy zostanie usunięta firma Klienta.

(f) Dane Układu Formularza, które już uzyskano, nie są Danymi Klienta i nie można ich przypisać Klientowi. Dlatego nie są usuwane ani zwracane, gdy Dane Klienta są usuwane lub zwracane na podstawie punktu 11. Druma może je zachować po zakończeniu subskrypcji.

(g) Między stronami Druma jest właścicielem Danych Układu Formularza i może wykorzystywać je do każdego zgodnego z prawem celu prowadzenia i ulepszania Usługi. Niniejszy punkt 4.1 nie daje Drumie żadnych praw do Danych Klienta poza przetwarzaniem opisanym w lit. (b).

Klient udziela Druma ogólnej pisemnej zgody na korzystanie z podprocesorów (dalszych podmiotów przetwarzających) wymienionych w Załączniku III do niniejszej DPA. Załącznik III stanowi kompletną i wiążącą listę — jest generowany z tego samego źródła co tabela w naszej polityce prywatności, dzięki czemu oba dokumenty nie mogą zawierać rozbieżnych informacji. Nie istnieje żadna odrębna, krótsza lista.

Wiele pozycji w Załączniku III jest oznaczonych „only if you connect it” (tylko jeśli podłączysz). Ci odbiorcy nie otrzymują żadnych danych, dopóki Klient nie włączy danej integracji — należą tu wszystkie konektory telematyki, agregatów chłodniczych, e-fakturowania, giełd transportowych i komunikatorów. Klient, który nie podłączy żadnego z nich, udostępnia dane wyłącznie odbiorcom platformy podstawowej: poczty e-mail, wyznaczania tras, kafelków map i AI.

Druma powiadomi Klienta e-mailem z wyprzedzeniem co najmniej 30 dni o każdym nowym podprocesorze, zanim rozpocznie on przetwarzanie Danych Klienta. Jeżeli Klient w uzasadniony sposób sprzeciwi się nowemu podprocesorowi z przyczyn dotyczących ochrony danych, może wypowiedzieć na piśmie tę część Usługi, której sprzeciw dotyczy.

Druma pozostaje odpowiedzialna za przestrzeganie niniejszej DPA przez każdego podprocesora i nakłada na każdego podprocesora obowiązki w zakresie ochrony danych nie mniej ochronne niż przewidziane w niniejszej DPA.

• Szyfrowanie — TLS 1.2+ w tranzycie; domyślne szyfrowanie w spoczynku (AES-256) za pośrednictwem naszych dostawców infrastruktury.
• Kontrola dostępu — zabezpieczenia na poziomie wierszy (row-level security) w tabelach zawierających dane klientów; izolacja najemców według firm; dostęp personelu oparty na rolach, zgodnie z zasadą najmniejszych uprawnień.
• Uwierzytelnianie — tokeny JWT, HMAC lub service-role na każdym punkcie końcowym serwera; opcjonalne uwierzytelnianie dwuskładnikowe dostępne dla wszystkich użytkowników.
• Zarządzanie sekretami — dane uwierzytelniające przechowywane w zarządzanym sejfie (vault), nigdy w kodzie źródłowym.
• Rejestr audytowy — automatyczny dziennik zmian w tabelach wrażliwych, przechowywany 12 miesięcy.
• Kopie zapasowe i odtwarzanie — codzienne automatyczne kopie zapasowe wykonywane przez naszego dostawcę bazy danych, przechowywane przez 7 dni. Udokumentowane cele odtwarzania: recovery point objective 24 godziny oraz recovery time objective 8 godzin roboczych, wraz z założeniami i znanymi lukami opisanymi w naszym planie ciągłości działania i odtwarzania po awarii, który udostępniamy na żądanie. Są to cele operacyjne, a nie gwarancja poziomu usług.
• Zarządzanie podatnościami — aktualizacje zależności, zautomatyzowane kontrole przy każdym pull requeście (kontrola typów, testy, build, lintery bezpieczeństwa, analiza statyczna Semgrep i audyt zależności; zmiany przegląda inżynier, który je napisał, bez niezależnego drugiego recenzenta), monitorowanie błędów i alerty przez Sentry oraz opublikowana polityka zgłaszania podatności (security.txt, zgłoszenia na security@druma.io) z określonymi terminami potwierdzenia i usunięcia.
• Personel i poufność (art. 28 ust. 3 lit. b)) — Druma zapewnia, by każda osoba upoważniona do przetwarzania Danych Klienta — pracownik, współpracownik czy freelancer — zobowiązała się do zachowania poufności lub podlegała odpowiedniemu ustawowemu obowiązkowi zachowania poufności. Zobowiązanie to ma charakter umowny, wiąże każdą osobę indywidualnie, obejmuje wszystkie Dane Klienta, do których osoba ta może mieć dostęp, i pozostaje w mocy po zakończeniu współpracy z Druma. Dostęp jest przyznawany zgodnie z zasadą najmniejszych uprawnień i niezbędnej wiedzy oraz odbierany z chwilą zakończenia współpracy lub ustania potrzeby. Każda taka osoba jest ponadto zobowiązana przetwarzać Dane Klienta wyłącznie na udokumentowane polecenie Druma, które z kolei realizuje polecenia Klienta zgodnie z punktem 4.
• Weryfikacja podprocesorów — ocena poziomu bezpieczeństwa każdego podprocesora przed nawiązaniem współpracy, z wykorzystaniem opublikowanych przez nich certyfikacji (SOC 2, ISO 27001 itp.), o ile są dostępne.

7.1 Prawa osób, których dane dotyczą (art. 28 ust. 3 lit. e)).

Usługa zawiera wbudowane narzędzia (Ustawienia → GDPR), za pomocą których Klient może realizować żądania dostępu, sprostowania, usunięcia i przenoszenia danych bez kontaktowania się z nami. W przypadku żądań, których nie można zrealizować za pomocą tych narzędzi, Druma pomoże Klientowi poprzez odpowiednie środki techniczne i organizacyjne, o ile jest to możliwe, uwzględniając charakter przetwarzania oraz dostępne Druma informacje. Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do Druma w sprawie Danych Klienta, Druma nie udzieli odpowiedzi merytorycznej; przekaże żądanie Klientowi bez zbędnej zwłoki i poinformuje tę osobę, że to uczyniła.

7.2 Oceny skutków dla ochrony danych i uprzednie konsultacje (art. 28 ust. 3 lit. f), art. 35 i art. 36).

Uwzględniając charakter przetwarzania oraz dostępne jej informacje, Druma pomoże Klientowi w wywiązywaniu się z obowiązków określonych w art. 32-36 RODO. W szczególności, na uzasadniony pisemny wniosek Klienta skierowany na adres privacy@druma.io, Druma:

• Dostarczy informacje potrzebne Klientowi do przeprowadzenia oceny skutków dla ochrony danych zgodnie z art. 35 — opis operacji przetwarzania wykonywanych przez Druma, kategorie danych i osób, których dane dotyczą, przepływy danych i odbiorców (Załącznik III), okresy przechowywania oraz środki techniczne i organizacyjne z Załącznika II, w formie, którą Klient może włączyć do własnej oceny (DPIA).
• Udostępni własną ocenę DPIA Druma dotyczącą śledzenia GPS, danych z tachografów i oceny wydajności kierowców, którą Klient może wykorzystać jako materiał wejściowy do własnej oceny. Nie zastępuje ona oceny Klienta: Klient jest administratorem i musi ocenić własny kontekst operacyjny, stanowisko rady pracowników oraz wymogi krajowego prawa pracy.
• Odpowie w rozsądnym terminie na dalsze pytania dotyczące ryzyk i środków zaradczych oraz zasygnalizuje Klientowi każdą zmianę w Usłudze, która zdaniem Druma może istotnie wpłynąć na istniejącą ocenę DPIA.
• Udzieli Klientowi rozsądnej pomocy przy uprzednich konsultacjach z organem nadzorczym na podstawie art. 36, w tym dostarczy dokumentację i odpowie na techniczne pytania organu dotyczące roli Druma jako podmiotu przetwarzającego.

Druma świadczy tę pomoc bez dodatkowych opłat, gdy wniosek jest proporcjonalny do przetwarzania wykonywanego dla Klienta. Druma nie rozstrzyga, czy ocena DPIA jest wymagana — ta ocena należy do Klienta jako administratora.

Druma powiadomi Klienta bez zbędnej zwłoki, a w każdym razie w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego Danych Klienta. Powiadomienie będzie opisywać (w zakresie, w jakim informacje te są znane): charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz wpisów, prawdopodobne konsekwencje, a także środki podjęte lub proponowane w celu zaradzenia naruszeniu.

Klient odpowiada za dalsze zawiadomienie osób, których dane dotyczą, oraz organów nadzorczych zgodnie z art. 33 i 34 RODO.

Incydenty bezpieczeństwa niedotyczące danych osobowych. Druma powiadomi Klienta również bez zbędnej zwłoki, a w każdym razie w ciągu 48 godzin od powzięcia wiadomości o incydencie bezpieczeństwa, który istotnie wpływa nadostępność lub integralność Usługi albo Danych Klienta, także gdy nie doszło do naruszenia ochrony danych osobowych. Powiadomienie opisze znane okoliczności przyczyny, usługi i dane, których dotyczy, przewidywany czas trwania lub zakres oraz podejmowane działania. Zobowiązanie to istnieje, ponieważ Klient będący podmiotem kluczowym lub ważnym może mieć własny termin zgłoszenia biegnący od chwili powzięcia wiadomości, a nie może go rozpocząć na podstawie informacji, których nie posiada.

Druma udostępnia Klientowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Klientowi lub audytorowi upoważnionemu przez Klienta przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich. Dalsza część tego punktu opisuje sposób realizacji — nie ogranicza samego prawa.

9.1 Informacje udostępniane przez Druma na wniosek. Na uzasadniony pisemny wniosek na adres privacy@druma.io Druma dostarczy:

• Aktualny egzemplarz niniejszej DPA, polityki prywatności i listy podprocesorów (Załącznik III).
• Opis obowiązujących środków technicznych i organizacyjnych (Załącznik II), wystarczająco szczegółowy, by wykazać zgodność z art. 32.
• Wypełniony kwestionariusz bezpieczeństwa, z użyciem szablonu Klienta, jeżeli został dostarczony i ma rozsądną długość.
• Omówienie architektury i przepływów danych, w tym miejsca przechowywania Danych Klienta, wskazania, którzy podprocesorzy otrzymują które kategorie danych, oraz mających zastosowanie zabezpieczeń transferu.
• Dostępne certyfikaty i raporty atestacyjne podprocesorów (SOC 2, ISO 27001 i równoważne), o ile Druma może je udostępnić, a także własną dokumentację Druma dotyczącą weryfikacji podprocesorów z Załącznika II.
• Najnowsze podsumowanie testu penetracyjnego lub przeglądu bezpieczeństwa Druma, o ile takie istnieje.

9.2 Audyt zdalny jest podstawową formą — bo tam znajdują się dowody. Druma nie posiada ani nie eksploatuje żadnego centrum danych. Usługa działa w całości na zarządzanej infrastrukturze chmurowej obsługiwanej przez podprocesorów z Załącznika III, a personel Druma pracuje ze zwykłych stanowisk biurowych i zdalnych, bez przechowywania Danych Klienta w lokalach własnych. Audyty są zatem domyślnie przeprowadzane zdalnie: kwestionariusze i pakiety dowodowe, przeglądy bieżącej konfiguracji przez udostępnianie ekranu (kontrola dostępu, polityki RLS, szyfrowanie, logowanie, zadania retencyjne), omówienia architektury oraz certyfikaty i atestacje podprocesorów. Fizyczna inspekcja centrum danych podprocesora podlega jego własnemu programowi audytowemu; Druma przekaże taki wniosek, wesprze go i udostępni każdy raport, który ma prawo udostępnić.

9.3 Inspekcja na miejscu w lokalach i systemach własnych Druma. Klient lub upoważniony przez niego niezależny audytor, niebędący konkurentem Druma, może przeprowadzić inspekcję lokali, sprzętu, dokumentacji i systemów własnych Druma. Inspekcja taka odbywa się po pisemnym zawiadomieniu z wyprzedzeniem 30 dni, w zwykłych godzinach pracy, pod warunkiem podpisania przez audytora rozsądnego zobowiązania do zachowania poufności oraz z zastosowaniem proporcjonalnych środków chroniących dane innych klientów, bezpieczeństwo Druma i wszelkie zobowiązania poufności wobec osób trzecich. Druma zapewni kompetentny personel na potrzeby inspekcji i odpowie na ustalenia na piśmie. Termin zawiadomienia i limit częstotliwości z punktu 9.4 nie mają zastosowania, a Druma będzie współpracować niezwłocznie i bez dodatkowych warunków, gdy inspekcji lub przekazania informacji wymaga właściwy organ nadzorczy albo gdy następują one po naruszeniu ochrony danych osobowych dotyczącym Danych Klienta.

9.4 Częstotliwość. Poza przypadkami opisanymi na końcu punktu 9.3 audyty i inspekcje są ograniczone do jednego w roku kalendarzowym, tak aby pozostawały proporcjonalne do przetwarzania.

9.5 Koszty. Druma ponosi własne koszty odpowiedzi na wnioski audytowe, w tym przekazania informacji wymienionych w 9.1 oraz czasu personelu poświęconego na audyt zdalny lub na miejscu; Druma nie pobiera opłat za wypełnianie obowiązku z art. 28 ust. 3 lit. h). Klient ponosi honoraria upoważnionego przez siebie audytora zewnętrznego oraz własne koszty udziału. Jeżeli Klient żąda audytów częściej niż przewiduje punkt 9.4 z powodów innych niż wskazane w 9.3, strony uzgodnią z góry rozsądne wynagrodzenie za dodatkowy czas Druma.

10.1 Odcinek Klient–Druma nie wymaga zabezpieczenia transferu. Druma ma siedzibę w Rumunii i tam znajduje się jej centralna administracja. Dane Klienta są domyślnie hostowane w Unii Europejskiej. Przekazanie danych od Klienta (administratora) do Druma (podmiotu przetwarzającego) jest zatem przekazaniem wewnątrz EOG i nie podlega rozdziałowi V. Dla tego odcinka standardowe klauzule umowne nie są wymagane ani zawierane — a niniejsza DPA nie czyni Klienta stroną żadnych takich klauzul.

10.2 Druma jest eksporterem dla dalszego odcinka. Gdy podprocesor z Załącznika III ma siedzibę poza EOG lub przetwarza Dane Klienta poza EOG, przekazania dokonuje Druma jako eksporter danych na rzecz tego podprocesora jako importera danych. Gdy Druma sama przekazuje Dane Klienta odbiorcy spoza EOG, przekazanie jest objęte mechanizmem wskazanym dla danego podprocesora w Załączniku III: decyzją stwierdzającą odpowiedni stopień ochrony, Ramami ochrony danych UE-USA (EU-US Data Privacy Framework) (decyzja z 10 lipca 2023 r.), jeżeli odbiorca posiada certyfikację, albo standardowymi klauzulami umownymi Komisji Europejskiej z 2021 r. (decyzja wykonawcza (UE) 2021/914) na podstawie własnych warunków przetwarzania danych odbiorcy. Druma nie oświadcza, że zawarła odrębnie Moduł trzeci z każdym odbiorcą. Google Cloud: podprocesorem Druma jest Google Cloud EMEA Limited z siedzibą w EOG. Dalsze transfery dokonywane przez Google, na przykład dostęp Google LLC w Stanach Zjednoczonych, są transferami samego Google: Google opiera się w odniesieniu do Stanów Zjednoczonych na EU-US Data Privacy Framework (Google LLC jest certyfikowana), a w odniesieniu do innych państw trzecich na standardowych klauzulach umownych między Google a jego własnymi podprocesorami (Google Cloud Data Processing Addendum, Appendix 3, sekcja 4.1). Podprocesorzy Google są wymienieni pod adresem cloud.google.com/terms/subprocessors.

10.3 Ocena transferów. Przed oparciem się na odbiorcy spoza EOG Druma analizuje kategorie danych, które odbiorca otrzymuje, oraz opublikowane przez niego warunki transferu (jego umowę powierzenia przetwarzania danych, oferowane standardowe klauzule umowne oraz ewentualny status odpowiedniego stopnia ochrony lub Data Privacy Framework) i stosuje środki dodatkowe opisane w niniejszej DPA — szyfrowanie w tranzycie i w spoczynku oraz minimalizację zakresu danych wysyłanych do każdego odbiorcy. Druma nie sporządziła odrębnej pisemnej oceny skutków transferu dla każdego odbiorcy; Klient, jako administrator, pozostaje odpowiedzialny za własną ocenę transferu, a Druma na wniosek udostępni informacje, którymi dysponuje. Druma ponawia tę analizę, gdy okoliczności odbiorcy lub otoczenie prawne ulegną istotnej zmianie.

10.4 Kopie. Kopie standardowych klauzul umownych oraz warunków przetwarzania danych odbiorców, na których polega Druma (z utajnionymi warunkami handlowymi), są dostępne dla Klienta na wniosek skierowany na adres privacy@druma.io. Klient, jako administrator, może się na nie powoływać jako na dowód zabezpieczeń mających zastosowanie do dalszego przekazywania jego danych.

10.5 Odbiorcy poza EOG. Następujący odbiorcy z Załącznika III otrzymują lub mogą otrzymywać dane osobowe poza EOG. Zabezpieczenie dla każdego z nich wskazano obok (lista prowadzona w języku angielskim):

• Supabase (Supabase, Inc.) (may leave the EEA) — Data is stored in the EU. The vendor is US-established, so remote support access is covered by the 2021 SCCs in the Supabase DPA.
• Cloudflare, Inc. (leaves the EEA) — 2021 SCCs in the Cloudflare DPA; EU-US Data Privacy Framework where applicable.
• Sentry (Functional Software, Inc.) (may leave the EEA) — Data is stored in the Sentry EU region. The vendor is US-established, so support access is covered by the 2021 SCCs in the Sentry DPA.
• Resend, Inc. (leaves the EEA) — 2021 SCCs in the Resend DPA. Migration to an EU-resident email provider is on the roadmap.
• Google Cloud — Vertex AI, Google Search grounding (company and site enrichment only) (may leave the EEA) — Google’s terms exclude Google Search grounding from the EU data-location commitment, so the search query derived from the identifiers above, and the grounded request, may be processed outside the EEA. Google retains grounding queries for up to 3 days for debugging; this cannot be disabled. Transfer safeguards: Google Cloud EMEA Limited is in the EEA; for onward transfers Google relies on the EU-US Data Privacy Framework (Google LLC is certified) for the US and on Standard Contractual Clauses between Google and its own subprocessors for other third countries (Google Cloud DPA, Appendix 3, section 4.1). This is not a new sub-processor (Google already) but a disclosure refinement for this one feature.
• Anthropic PBC (leaves the EEA) — Transfer to the United States under the 2021 EU Standard Contractual Clauses (Module Two, controller to processor, and Module Three, processor to processor) incorporated in Anthropic’s Data Processing Addendum, which forms part of its commercial terms, with a UK Addendum and a Swiss Addendum (Irish law and courts). Anthropic notifies changes to its own sub-processors in advance, with a 15-day objection window; customer data is deleted within 30 days after termination. Under Anthropic’s commercial terms, API inputs and outputs are not used to train its models; retention is as stated in those terms. Druma prefers Google Gemini on the EU endpoint where EU-only processing is required: the fallback for the documentation chatbot is Gemini.
• Mistral AI SAS (may leave the EEA) — Mistral AI SAS is established in France. Under its API terms customer data is not used to train its models; the API keeps requests for a short period for abuse monitoring unless zero data retention is agreed for the account. Because the processing location of every request and the sub-processors of Mistral are not yet confirmed in writing, Druma lists the transfer as possible and relies on the 2021 EU Standard Contractual Clauses (Module Three, processor to processor) for any onward transfer outside the EEA.
• Google Cloud Translation API (leaves the EEA) — Google Cloud Translation (Basic) has a global endpoint, so data cannot be kept in a specific region. Google Cloud EMEA Limited is in the EEA; for onward transfers Google relies on the EU-US Data Privacy Framework (Google LLC is certified) for the US and on Standard Contractual Clauses between Google and its own subprocessors for other third countries (Google Cloud DPA, Appendix 3, section 4.1). Message auto-translation can be switched off per user in profile settings.
• Google LLC — Firebase Cloud Messaging (leaves the EEA) — EU-US Data Privacy Framework (Google LLC is certified).
• Meta Platforms (WhatsApp Business Cloud API) (leaves the EEA) — 2021 SCCs. Off unless the company enables the WhatsApp driver channel.
• Transporeon GmbH (Germany, Trimble group) (may leave the EEA) — Processing is in the EU; the parent group is US-established, so group-level access is covered by the 2021 SCCs in the Transporeon DPA.
• Dr. Meier & Schmidt GmbH, Cargoclix (Germany) (may leave the EEA) — The hosting location and any transfer safeguard are confirmed with Cargoclix before a Customer connects.
• Geotab Inc. (may leave the EEA) — Druma connects to whichever Geotab database host the Customer’s own Geotab account resolves to. Where that host is outside the EEA the Customer’s own agreement with Geotab governs the transfer.
• Samsara Inc. (may leave the EEA) — Druma connects to Samsara’s EU shard by default. The vendor is US-established, so vendor-side access is covered by the 2021 SCCs in the Samsara DPA; a Customer that overrides the endpoint to a non-EU shard makes that transfer under its own agreement.
• ORBCOMM Inc. (leaves the EEA) — 2021 SCCs in the ORBCOMM agreement.
• Thermo King TracKing (Trane Technologies) (leaves the EEA) — 2021 SCCs in the Thermo King agreement.
• Carrier — Lynx Fleet (Carrier Global Corporation) (leaves the EEA) — 2021 SCCs in the Carrier agreement.
• CHEP (Brambles Limited) (may leave the EEA) — No personal data is transmitted. Where CHEP processing takes place outside the EEA it is covered by the Customer’s own CHEP account terms.

18 z 35 odbiorców wymienionych w Załączniku III należy do tej grupy; pozostali przetwarzają Dane Klienta wyłącznie na terenie EOG.

Po zakończeniu świadczenia usług związanych z przetwarzaniem Druma, zależnie od decyzji Klienta, zwróci Klientowi wszystkie Dane Klienta albo je usunie, oraz usunie istniejące kopie — chyba że prawo Unii lub prawo państwa członkowskiego, któremu podlega Druma, nakazuje dalsze przechowywanie. Wybór należy do Klienta; Druma o nim nie decyduje.

11.1 Zasada domyślna, gdy Klient nie przekaże decyzji. Dane Klienta są przechowywane przez 90 dni od dnia skutecznego zakończenia lub zawieszenia. Przez cały ten okres Klient może w dowolnym momencie wyeksportować pełną kopię z Ustawienia → GDPR (nadające się do odczytu maszynowego pliki JSON i CSV oraz przechowywane dokumenty), a konto można reaktywować z nienaruszonymi danymi. Po upływie 90 dni Druma usuwa Dane Klienta ze swoich systemów produkcyjnych. Ten sam 90-dniowy okres wskazano w punkcie 13 warunków korzystania z usługi oraz w tabeli przechowywania w polityce prywatności.

11.2 Zwrot lub wcześniejsze usunięcie na polecenie. Klient może w dowolnym momencie — w trakcie subskrypcji lub w 90-dniowym oknie — pisemnie polecić Druma zwrot Danych Klienta, ich usunięcie albo jedno i drugie. Druma wykona polecenie w ciągu 30 dni od jego otrzymania i pisemnie potwierdzi wykonanie. Zwrot następuje w tym samym nadającym się do odczytu maszynowego formacie eksportu, uzgodnioną z Klientem bezpieczną metodą przekazania.

11.3 Istniejące kopie, w tym kopie zapasowe. Usunięcie obejmuje istniejące kopie Danych Klienta. Zaszyfrowane kopie zapasowe bazy danych i migawki typu point-in-time-recovery przechowywane przez naszego dostawcę bazy danych są niezmienne i nie można ich selektywnie edytować bez zniszczenia ich integralności jako mechanizmu odtwarzania. Dane Klienta obecne jeszcze w kopii zapasowej nie są zatem usuwane pojedynczo w chwili usunięcia z systemów produkcyjnych: są nadpisywane w miarę wychodzenia danej kopii z normalnej rotacji, a w każdym razie nie później niż 35 dni po usunięciu z systemów produkcyjnych. W tym okresie kopie zapasowe pozostają zaszyfrowane w spoczynku i objęte kontrolą dostępu oraz służą wyłącznie odtwarzaniu po awarii — nigdy do przywracania, udostępniania ani innego przetwarzania usuniętych danych. Usunięcie obejmuje również kopie przechowywane przez podprocesorów, zgodnie z terminami usuwania określonymi w ich własnych umowach z Druma.

11.4 Gdy prawo nakazuje Druma zachować dane. Druma zachowuje i nie usuwa danych, których przechowywanie jest wymagane przez prawo Unii lub prawo państwa członkowskiego, któremu Druma podlega: faktury i dokumentacja księgowa (10 lat od daty wystawienia — rumuńska ustawa o rachunkowości 82/1991, art. 25, oraz dyrektywa VAT UE, art. 244); dokumenty przewozowe eCMR i eFTI (7 lat, obejmujące termin przedawnienia z art. 32 Konwencji CMR oraz wymogi dostępu organów wynikające z rozporządzenia (UE) 2020/1056 w sprawie eFTI); oraz rejestr audytowy (12 miesięcy). Dokumentacja ta pozostaje wyodrębniona i objęta kontrolą dostępu, jest przetwarzana wyłącznie w celu realizacji obowiązku prawnego, który jej wymaga, i jest usuwana po upływie okresu przechowywania.

11.5 Poświadczenie usunięcia. Na pisemny wniosek Druma potwierdzi na piśmie zakończenie usuwania oraz wskaże każdą kategorię danych zachowaną na podstawie punktu 11.4, wraz z podstawą prawną i datą upływu okresu przechowywania.

Druma wdrożyła gotowość do stosowania rozporządzenia UE w sprawie eFTI (rozporządzenie (UE) 2020/1056). Od 9 lipca 2027 r. właściwe organy kontroli transportu mogą podczas kontroli drogowych uzyskiwać dostęp do danych przewozowych powiązanych z unikalnym łączem eFTI (UIL). Gdy zlecenie transportowe obsługiwane w Usłudze jest powiązane z UIL, odpowiadające mu dane przesyłki — opis ładunku, trasa i strony przesyłki — mogą być udostępniane upoważnionym organom za pośrednictwem platformy eFTI.

Dostęp ten wynika z obowiązku prawnego (art. 6 ust. 1 lit. c) RODO). Druma rejestruje każde zdarzenie dostępu organu w dzienniku operacji eFTI, zgodnie z wymogami rozporządzenia, i udostępnia te dzienniki Klientowi na wniosek. Klient, jako przewoźnik-administrator, odpowiada za poinformowanie osób, których dane dotyczą, o tej możliwości w swojej klauzuli informacyjnej sporządzonej na podstawie art. 13.

• Hierarchia dokumentów — w razie sprzeczności między niniejszą DPA a warunkami korzystania z usługi, w sprawach dotyczących danych osobowych rozstrzyga niniejsza DPA.
• Odpowiedzialność — roszczenia między stronami na podstawie niniejszej DPA podlegają limitowi odpowiedzialności z punktu 11 warunków korzystania z usługi. Limit ten nie ma zastosowania do odpowiedzialności za śmierć lub uszkodzenie ciała, za oszustwo ani do odpowiedzialności, której nie można ograniczyć na mocy obowiązującego prawa — w tym odpowiedzialności wobec osób, których dane dotyczą, za szkodę spowodowaną przetwarzaniem z naruszeniem RODO na podstawie art. 82 RODO. Żadne postanowienie niniejszej DPA ani warunków nie ogranicza praw ani środków ochrony przysługujących osobie, której dane dotyczą, wobec którejkolwiek ze stron, ani nie zmienia podziału odpowiedzialności między administratorem a podmiotem przetwarzającym wynikającego z art. 82 ust. 1-3 RODO.
• Zmiany — Druma może aktualizować niniejszą DPA w celu odzwierciedlenia zmian prawa, podprocesorów lub środków bezpieczeństwa, z 30-dniowym powiadomieniem e-mailowym.
• Historia wersji — 2026-10-27: dodano punkt 4.1 (Dane Układu Formularza). Klient poleca Drumie uzyskiwać ze swoich dokumentów anonimowe dane o układzie formularzy, bez treści dokumentów, a dane te są wykorzystywane dla wszystkich klientów. Punkt 2 i Załącznik I odsyłają teraz do tego punktu. Brak nowego podprocesora. 2026-10-25: Załącznik I nie wymienia już danych o lokalizacji przekazywanych do ANAF; Druma nie przekazuje pozycji GPS do ANAF. Wpis ANAF w Załączniku III został odpowiednio zawężony. Brak nowego podprocesora. 2026-10-05: doprecyzowanie, które zastępuje wpis z 2026-10-04 (stwierdzający, że dane osobowe mogą opuścić EOG w związku z Vertex AI, i którego Druma nie zgłosiła Klientom jako zmiany podprocesorów). Wpis Google Cloud Vertex AI w Załączniku III wskazuje teraz, że żądania są przetwarzane na wieloregionalnym endpoincie UE Google, gdzie zgodnie z warunkami Google dane są przechowywane, a przetwarzanie ML odbywa się w państwach członkowskich UE (Druma jest skonfigurowana do korzystania z endpointu UE). Podmioty Google, w tym Google LLC w USA, mogą w ograniczonych przypadkach uzyskiwać dostęp do danych w celu utrzymania usługi lub usunięcia problemów technicznych; w przypadku dalszych transferów Google opiera się na EU-US Data Privacy Framework oraz na standardowych klauzulach umownych ze swoimi podprocesorami (Google Cloud DPA, Appendix 3, sekcja 4.1). Ujawnia też jedyny wyjątek: Google Search grounding, używany przez opcjonalne funkcje wzbogacania danych firm i lokalizacji, które warunki Google wyłączają ze zobowiązania dotyczącego UE (żądanie z groundingiem może być przetwarzane poza UE) i dla którego Google przechowuje zapytania do 3 dni. Vertex AI był już podprocesorem i nie jest nowym; 5 października 2026 r. to data publikacji tej wersji. 2026-10-04: zastąpiona, jak opisano. 2026-08-19: poprzednia wersja. Wiążąca jest wersja angielska.
• Prawo właściwe — prawo rumuńskie; sądy w Bukareszcie.
• Kontakt — privacy@druma.io.
• Załączniki — Załącznik I (strony i opis przetwarzania), Załącznik II (środki techniczne i organizacyjne — punkt 6 powyżej) oraz Załącznik III (podprocesorzy) stanowią integralną część niniejszej DPA oraz standardowych klauzul umownych, o których mowa w punkcie 10.

A. Strony

B. Opis przetwarzania

Załącznik II (środki techniczne i organizacyjne, w tym środki stanowiące środki dodatkowe dla transferów) to punkt 6 niniejszej DPA.

Pełna lista podprocesorów i innych odbiorców zewnętrznych, z których korzysta Druma, wraz z celem każdego z nich, danymi osobowymi, które każdy faktycznie otrzymuje, miejscem przetwarzania oraz informacją, czy dane opuszczają EOG. Ta tabela i tabela podprocesorów w polityce prywatności są generowane z jednego wspólnego źródła, więc są zawsze identyczne. Tabela jest prowadzona w języku angielskim.

Pozycje oznaczone „only if you connect it” (tylko jeśli podłączysz) nie otrzymują danych, dopóki Klient nie włączy danej integracji. Druma powiadamia Klienta e-mailem z wyprzedzeniem co najmniej 30 dni, zanim nowy podprocesor rozpocznie przetwarzanie Danych Klienta, a Klient może zgłosić sprzeciw zgodnie z punktem 5.

Opcjonalna funkcja Druma AI jest celowo nieobecna na tej liście. Jeżeli administrator firmy podłączy własny klucz API firmy do OpenAI, Anthropic lub Google, dane przesyłane przez Druma AI są przetwarzane przez tego dostawcę na podstawie własnej umowy Klienta z nim. Dostawca ten jest podprocesorem Klienta, a nie Druma, i Druma nie zapewnia dla niego żadnego zabezpieczenia transferu.