Umowa o przetwarzaniu danych

1. Strony

Niniejsza Umowa o przetwarzaniu danych ("DPA") jest zawierana pomiędzy Klientem ("Administrator danych") a YARDtwin Ltd, zarejestrowaną w Irlandii ("Podmiot przetwarzający"), zwanymi łącznie "Stronami". Niniejsza DPA stanowi część i jest objęta Warunki korzystania z usługi.

2. Zakres i cel

Podmiot przetwarzający przetwarza dane osobowe w imieniu Administratora wyłącznie w celu świadczenia usług platformy zarządzania placem YARDtwin: planowania doków, obsługi bramy, wizualizacji cyfrowego bliźniaka placu, zarządzania przewoźnikami i kierowcami, ścieżki audytu stworzonej dla środowisk GMP, analityki i integracji. Przetwarzanie odbywa się przez czas trwania subskrypcji Administratora oraz przez okres przechowywania wymagany w Sekcji 11.

3. Kategorie osób, których dane dotyczą

• Pracownicy i administratorzy Administratora (nazwani użytkownicy platformy)
• Kierowcy i personel logistyczny odprawiani przy bramach Administratora
• Przedstawiciele przewoźników i kontakty dyspozytorskie
• Personel ochrony bramy i operatorzy magazynu

4. Rodzaje danych osobowych

• Dane identyfikacyjne: imiona i nazwiska, adresy e-mail, numery telefonów, stanowisko/tytuł zawodowy, nazwa i adres firmy
• Dane uwierzytelniające: hasła hashowane bcrypt (12 rund), tokeny dostępu i odświeżania JWT, znaczniki czasu sesji, adresy IP, identyfikatory SSO (Google, Microsoft)
• Dane operacyjne: terminy, alokacje doków, przemieszczenia naczep, protokoły kontroli, dokumenty, przypisania zadań, numery rejestracyjne pojazdów
• Dane kierowców: numery praw jazdy oraz obrazy praw jazdy. Personel bramy może wykonać zdjęcie twarzy kierowcy jako dowód przy bramie. Jeśli obiekt włączy porównywanie twarzy przez AI, nasz dostawca AI (Anthropic) porównuje to zdjęcie jeden do jednego ze zdjęciem z prawa jazdy lub ze zdjęciem przechowywanym w profilu kierowcy, aby pomóc personelowi potwierdzić tożsamość kierowcy. Wynik stanowi sugestię: decyzję podejmuje personel bramy, który może wpuścić kierowcę mimo braku potwierdzenia przez AI, podając uzasadnienie. Każde porównanie jest rejestrowane na naszych serwerach wraz z wynikiem. Jeśli porównywanie twarzy jest wyłączone (domyślnie), żadne zdjęcie twarzy nie jest przesyłane do dostawcy AI, a personel samodzielnie porównuje kierowcę ze zdjęciem z prawa jazdy; obrazy dokumentów są nadal odczytywane przez AI, jeśli odczyt AI jest włączony. YARDtwin nie przechowuje szablonów twarzy i nie przeprowadza identyfikacji jeden do wielu.
• Dane audytu: działania użytkowników, znaczniki czasu, adresy IP, ciągi user-agent, różnice starych/nowych wartości, rekordy oznaczone flagą GMP

5. Obowiązki Podmiotu przetwarzającego

• Przetwarzanie danych osobowych wyłącznie na udokumentowane polecenia Administratora (interfejs użytkownika platformy i API stanowią udokumentowane polecenia)
• Zapewnienie, że osoby upoważnione do przetwarzania danych są związane umowami o poufności
• Wdrożenie odpowiednich technicznych i organizacyjnych środków bezpieczeństwa (art. 32) — patrz Sekcja 7 poniżej
• Korzystać wyłącznie z podprzetwarzających wymienionych w Sekcji 6, na których Administrator udziela ogólnej pisemnej zgody; powiadamiać z co najmniej 30-dniowym wyprzedzeniem o każdym nowym podprzetwarzającym, wobec którego Administrator może wnieść sprzeciw (Sekcja 6)
• Wspieranie Administratora w realizacji żądań osób, których dane dotyczą (art. 15–22), za pośrednictwem punktów końcowych DSAR opisanych w Sekcji 9
• Powiadamiać Administratora bez zbędnej zwłoki, a w każdym przypadku w ciągu 48 godzin od uzyskania informacji o naruszeniu danych osobowych; przekazać wstępne powiadomienie w ciągu 24 godzin od każdego potwierdzonego incydentu bezpieczeństwa dotyczącego danych Administratora (Sekcja 8)
• Usunięcie lub zwrot wszystkich danych osobowych po zakończeniu świadczenia usług (Sekcja 11)
• Udostępnianie wszelkich informacji niezbędnych do wykazania zgodności oraz wspieranie audytów (Sekcja 12)

6. Podprzetwarzający

Podmiot przetwarzający korzysta obecnie z następujących podprzetwarzających, z których każdy działa na podstawie Umowy powierzenia przetwarzania danych oraz (w stosownych przypadkach) Standardowych Klauzul Umownych 2021:

Administrator udziela ogólnej pisemnej zgody na korzystanie z podprzetwarzających wymienionych powyżej. Podmiot przetwarzający będzie powiadamiał z co najmniej 30-dniowym wyprzedzeniem o każdym nowym podprzetwarzającym; Administrator może wnieść sprzeciw na uzasadnionych podstawach, a jeśli sprzeciwu nie można rozstrzygnąć, może rozwiązać umowę na daną usługę bez ponoszenia kary.

Usługi wyłącznie na stronie internetowej (bez operacyjnych danych klientów)

Działają wyłącznie na publicznej stronie internetowej. Nie otrzymują żadnych operacyjnych danych klientów i nie są ich podmiotami przetwarzającymi; te, które ustawiają pliki cookie, ładują się tylko po wyrażeniu zgody.

7. Środki bezpieczeństwa (Art. 32)

• Szyfrowanie podczas transmisji: TLS 1.2+ na każdym punkcie końcowym; certyfikaty zarządzane przez Microsoft Azure (DigiCert)
• Szyfrowanie w spoczynku: Przezroczyste szyfrowanie danych Azure Postgres Flexible Server; szyfrowanie Azure Blob Storage
• Zdjęcia praw jazdy i podpisy: Zdjęcia praw jazdy i podpisy są szyfrowane w spoczynku algorytmem AES-256 przez Azure Storage i Azure Database for PostgreSQL (klucze zarządzane przez Microsoft), a dostęp do nich jest ograniczony według roli i organizacji
• Haszowanie haseł: bcrypt, 12 rund
• Uwierzytelnianie: Tokeny dostępu JWT (ważność 1 godzina) i tokeny odświeżania (ważność 7 dni, zastępowane nowymi przy każdym użyciu, ważne nie dłużej niż 30 dni od logowania). Logowanie jednokrotne (SAML 2.0, Google, Microsoft); MFA oparte na jednorazowych hasłach czasowych, obowiązkowe dla administratorów platformy i dostępne dla wszystkich użytkowników
• Izolacja dzierżawców: egzekwowane po stronie serwera przez zakres najemcy i testowane automatycznie przed każdym wydaniem: bramka wydania przeprowadza skanowanie między najemcami, wywołując API jako jedna organizacja z identyfikatorami rekordów innej organizacji, a wydanie jest blokowane, jeśli jakiekolwiek dane tej organizacji można odczytać lub zmienić
• Kontrola dostępu oparta na rolach: uprawnienia oparte na rolach na uwierzytelnionych trasach, z zakresem najemcy egzekwowanym po stronie serwera
• Zapora aplikacji webowych: Azure Front Door WAF w trybie zapobiegania (Prevention mode) z niestandardowymi regułami ograniczania liczby żądań na punktach końcowych uwierzytelniania, rejestracji, resetowania hasła i wniosków osób, których dane dotyczą, oraz ochroną przed atakami DDoS w warstwie L7 na poziomie platformy. Zarządzany zestaw reguł OWASP nie jest dołączony — wymaga to warstwy Front Door Premium.
• Ograniczanie liczby żądań: limity per trasa, bardziej restrykcyjne dla punktów końcowych uwierzytelniania; śledzenie prób w pamięci oraz z utrwalaniem
• Ścieżka audytu: z wykrywaniem manipulacji i wyłącznie do dołączania (wymuszane na poziomie bazy danych), wpisy istotne dla GMP oznaczane oddzielnie i przechowywane przez co najmniej 7 lat w trakcie obowiązywania umowy o świadczenie usług (po zakończeniu umowy eksportowane do Administratora, chyba że Administrator odmówi eksportu na piśmie lub nie będzie można się z nim skontaktować po podjęciu uzasadnionych prób, a następnie usuwane — Sekcja 11), pozostałe wpisy przez 365 dni, pseudonimizowane (nie usuwane) na żądanie usunięcia na podstawie Art. 17 w ramach nadrzędnej podstawy prawnej z Art. 17(3)(b)
• Ciągłe monitorowanie: Azure Application Insights; test dostępności witryny co 10 minut; alert o dryfie schematu (okno 15 minut); alert po wystąpieniu więcej niż 10 błędów serwera (HTTP 5xx) w ciągu 5 minut; oraz automatyczny proces (worker) monitorowania naruszeń sprawdzający dziennik audytu co 5 minut pod kątem skoków liczby nieudanych logowań (10 lub więcej dla jednego konta w ciągu godziny), prób logowania na jedno konto z 5 lub więcej adresów IP w ciągu 24 godzin oraz udanych logowań z adresu IP niewidzianego dla danego użytkownika przez ostatnie 30 dni
• Łańcuch dostaw oprogramowania: Każde żądanie scalenia (pull request) musi przejść kontrolę npm audit (podatności zależności), Semgrep (analiza statyczna) i gitleaks (skanowanie sekretów), zanim zostanie scalone; skanowanie obrazu kontenera Trivy jest stosowane jako kontrola doradcza. Kontrole te są również uruchamiane przy każdym wypchnięciu do gałęzi master oraz nocnie, wraz z doradczym skanowaniem OWASP ZAP (testy dynamiczne) środowiska produkcyjnego. Sekrety: Azure Key Vault z dostępem poprzez tożsamość zarządzaną App Service; brak sekretów w kodzie, plikach env lub obrazach kontenerów.

8. Powiadomienie o Naruszeniu Ochrony Danych Osobowych

Podmiot przetwarzający powiadomi Administratora bez zbędnej zwłoki, a w każdym przypadku w ciągu 48 godzin od uzyskania informacji o naruszeniu danych osobowych dotyczącym danych Administratora, oraz przekaże wstępne powiadomienie w ciągu 24 godzin od każdego potwierdzonego incydentu bezpieczeństwa dotyczącego danych Administratora. Powiadomienie obejmuje charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, prawdopodobne konsekwencje, podjęte lub planowane środki oraz numer referencyjny rejestru naruszeń. Wykryte anomalie kierowane są do Azure Monitor Action Group yardtwin-breach-actions; potwierdzone incydenty są śledzone w tabeli rejestru naruszeń z 72-godzinnym odliczaniem DPC.

9. Prawa Osób, Których Dane Dotyczą

Podmiot przetwarzający udostępnia administratorowi następujące punkty dostępu umożliwiające realizację praw osób, których dane dotyczą, w terminie 30 dni zgodnie z art. 12 ust. 3:

• POST /api/v1/dsar/export/by-email — eksport w formacie nadającym się do odczytu maszynowego obejmujący art. 15 (dostęp) i art. 20 (przenoszalność)
• POST /api/v1/dsar/erase/by-email — usunięcie na podstawie zweryfikowanego żądania: własne konta użytkownika danej osoby w wybranych kontach klientów są anonimizowane, a jej sesje, tokeny, powiadomienia, oczekujące zaproszenia, zapisy dotyczące newslettera i rejestracji oraz własny awatar są usuwane; rekordy operacyjne przechowywane przez Administratora (rezerwacje, rejestry bramy i wizyt, lista kierowców, kontakty) są wyszczególniane, aby Administrator mógł podjąć działania; ścieżka audytu zachowuje zanonimizowane odniesienie do osoby działającej ze względu na integralność GMP (art. 17 ust. 3 lit. b)
• Portal samoobsługowych wniosków dostępny pod adresem /data-request

10. Przekazywanie Danych Międzynarodowych

Dane operacyjne są przechowywane na terenie Europejskiego Obszaru Gospodarczego (Microsoft Azure, Sweden Central i Norway East). Standardowe klauzule umowne (2021) mają zastosowanie do każdego przekazania danych podprzetwarzającemu spoza EOG; tam, gdzie odbiorca posiada certyfikat w ramach programu EU-US Data Privacy Framework, uwzględnia się to również. Oceny skutków transferu są w trakcie realizacji (planowany termin: listopad 2026).

11. Czas Trwania, Rozwiązanie Umowy i Zwrot Danych

Niniejsza DPA pozostaje w mocy przez czas trwania umowy o świadczenie usług. Po jej rozwiązaniu:

• Administrator może wyeksportować wszystkie swoje dane w ciągu 30 dni za pomocą funkcji eksportu dostępnych w produkcie lub na wniosek
• Po upływie 30 dni podmiot przetwarzający usunie wszystkie operacyjne dane osobowe administratora
• W okresie obowiązywania umowy o świadczenie usług dzienniki audytu są przechowywane w stanie pseudonimizowanym: wpisy istotne z punktu widzenia GMP — przez co najmniej 7 lat od zdarzenia, w celu spełnienia wymogów dotyczących przechowywania dokumentacji GMP (21 CFR Part 11 / EU GMP Annex 11; nadrzędny obowiązek prawny na podstawie Art. 17(3)(b)), pozostałe wpisy audytu — przez 365 dni. Po zakończeniu umowy, przed usunięciem danych Administratora, Administrator otrzymuje pełny eksport swojego dziennika audytu wraz z potwierdzeniem weryfikacji, do przechowywania na potrzeby własnego okresu retencji dokumentacji, chyba że odmówi eksportu na piśmie lub nie będzie możliwe skontaktowanie się z nim po podjęciu uzasadnionych prób; podmiot przetwarzający usuwa następnie dziennik audytu wraz z pozostałymi danymi Administratora. Z wyjątkiem kopii zapasowych opisanych poniżej, które wygasają zgodnie z własnym harmonogramem, oraz własnego zapisu przekazania przez podmiot przetwarzający (potwierdzenia, skrótów i liczb eksportu oraz informacji o tym, kto go sporządził i odebrał), dziennik audytu jest przechowywany dłużej wyłącznie na podstawie pisemnej instrukcji Administratora skierowanej do podmiotu przetwarzającego, na mocy odrębnej umowy.
• Dane operacyjne są usuwane w ciągu 30 dni po zakończeniu umowy. Kopie zapasowe bazy danych typu point-in-time wygasają po 7 dniach. Szyfrowane miesięczne kopie archiwalne przechowywane są do 7 lat wyłącznie na potrzeby odtwarzania po awarii; nie są przywracane z wyjątkiem odtworzenia usługi, zawarte w nich dane są niedostępne do użycia i wygasają wraz z kopią zapasową.
• Pełna kopia zapasowa bazy danych jest wykonywana każdej nocy i przechowywana przez 35 dni w oddzielnym szyfrowanym magazynie w EOG (Sweden Central, z replikacją geograficzną do Sweden South); dane usunięte z aktywnej usługi pozostają w kopiach zapasowych, poza użyciem, do czasu ich wygaśnięcia.

12. Prawa do Audytu

Podmiot przetwarzający udostępni Administratorowi wszelkie informacje niezbędne do wykazania zgodności z art. 28 GDPR. Klienci mogą wnioskować o: aktualny rejestr podprzetwarzających, najnowszy raport z testów regresji izolacji najemców, zestawienie wyników zewnętrznych testów penetracyjnych po ich przeprowadzeniu (zob. GDPR Policy 11.1) oraz odpowiedzi na kwestionariusz bezpieczeństwa dostawcy. Rozsądne audyty stacjonarne lub zdalne mogą być przeprowadzane z co najmniej 30-dniowym wyprzedzeniem, przez Administratora lub niezależną osobę trzecią zobowiązaną do zachowania poufności. Podmiot przetwarzający nie posiada obecnie certyfikacji ISO 27001 ani SOC 2; po uzyskaniu certyfikacji ISO 27001 (planowana Q1 2027) Podmiot przetwarzający zaoferuje certyfikat jako zastępczy dowód zgodności.

13. Odpowiedzialność i Prawo Właściwe

Odpowiedzialność wynikająca z niniejszej DPA podlega ograniczeniom określonym w dokumentach YARDtwin Warunki korzystania z usługi. Niniejsza DPA podlega prawu Irlandii oraz Ogólnemu Rozporządzeniu o Ochronie Danych Unii Europejskiej (GDPR). Wszelkie spory podlegają wyłącznej jurysdykcji sądów irlandzkich.

14. Kontakt

W przypadku pytań dotyczących niniejszej DPA, prośby o kopię do wglądu (egzemplarz z kontrasygnatą jest wydawany po zakończeniu rejestracji firmy) lub w celu skorzystania z któregokolwiek z praw wskazanych powyżej, prosimy o kontakt admin@yardtwin.com lub do kontaktu ds. ochrony danych pod adresem dpo@yardtwin.com. Jest to skrzynka funkcyjna monitorowana przez osobę odpowiedzialną za ochronę danych w YARDtwin Ltd. YARDtwin nie wyznaczyło ustawowego Inspektora Ochrony Danych na podstawie art. 37 GDPR, co nie jest obowiązkowe w przypadku prowadzonego przez nią przetwarzania (Polityka GDPR 11.2); adres kontaktowy jest publikowany zamiast imienia i nazwiska konkretnej osoby.