Umowa powierzenia przetwarzania danych osobowych

Warsztat jest administratorem danych osobowych swoich klientów, pracowników i innych osób, których dane wprowadza do Aplikacji, w rozumieniu art. 4 pkt 7 RODO.

mWarsztat jest podmiotem przetwarzającym te dane w rozumieniu art. 4 pkt 8 RODO.

mWarsztat jest natomiast odrębnym administratorem w odniesieniu do danych przetwarzanych we własnym celu — danych rozliczeniowych, danych kontaktowych osób reprezentujących Warsztat, danych niezbędnych do wystawienia faktury oraz dzienników bezpieczeństwa własnej usługi. Zasady tego przetwarzania określa Polityka Prywatności, a nie niniejsza Umowa.

Niniejsza Umowa ma pierwszeństwo przed Regulaminem i przed Polityką Prywatności w każdej sprawie dotyczącej przetwarzania Danych Powierzonych (§17 ust. 1).

RODO — rozumie się przez to rozporządzenie wskazane w komparycji niniejszej Umowy;

Ustawa — ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych;

Aplikacja — oprogramowanie mWarsztat udostępniane w modelu SaaS pod adresem panel.mwarsztat.eu, wraz z aplikacją mobilną i interfejsami programistycznymi (API);

Umowa Główna — umowa o świadczenie usługi mWarsztat, zawierana przy rejestracji Konta, wraz z Regulaminem świadczenia usługi płatnej (REG-2026-1.0) i Cennikiem;

Dane Powierzone — dane osobowe, w odniesieniu do których administratorem jest Warsztat, przetwarzane przez Procesora na podstawie niniejszej Umowy, szczegółowo opisane w Załączniku nr 1;

Podprocesor — dalszy podmiot przetwarzający, o którym mowa w art. 28 ust. 2 i 4 RODO, wskazany w Załączniku nr 2;

Podprocesor Obligatoryjny — Podprocesor oznaczony jako taki w Załączniku nr 2, świadczący usługę stanowiącą techniczną podstawę Aplikacji, którego zastąpienie nie jest możliwe bez zaprzestania świadczenia Usługi;

Podprocesor Fakultatywny — Podprocesor, któremu dane są przekazywane wyłącznie po samodzielnym włączeniu integracji przez Administratora;

Naruszenie — naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO;

Konto — indywidualne konto Administratora w Aplikacji, wraz z przypisaną mu odrębną przestrzenią danych (tenant);

Użytkownik — osoba fizyczna, której Administrator nadał dostęp do Konta (pracownik, współpracownik, mechanik, personel biurowy);

Osoby Upoważnione — osoby działające z upoważnienia Procesora, dopuszczone do przetwarzania Danych Powierzonych;

Repozytorium Załączników — przestrzeń przechowywania plików binarnych powiązanych z Kontem (fotografie, skany, dokumenty), technicznie odrębna od bazy danych;

EOG — Europejski Obszar Gospodarczy.

Przedmiot powierzenia. Administrator powierza Procesorowi przetwarzanie Danych Powierzonych, a Procesor zobowiązuje się do ich przetwarzania na warunkach określonych w niniejszej Umowie.

Cel przetwarzania. Dane Powierzone są przetwarzane wyłącznie w celu świadczenia przez Procesora usługi mWarsztat na rzecz Administratora zgodnie z Umową Główną, to jest w celu:

Zakaz przetwarzania we własnym celu. Procesor nie przetwarza Danych Powierzonych we własnych celach, w szczególności nie wykorzystuje ich do:

Dane statystyczne. Procesor może wykorzystywać dane zanonimizowane — to jest takie, wobec których odwrócenie anonimizacji jest niemożliwe rozsądnymi środkami — w celu rozwoju, diagnostyki i pomiaru wydajności Aplikacji. Dane zanonimizowane nie stanowią danych osobowych i nie podlegają niniejszej Umowie. Procesor nie dokonuje anonimizacji w sposób pozwalający na ponowną identyfikację klienta Administratora. Pseudonimizacja nie jest anonimizacją; dane spseudonimizowane pozostają Danymi Powierzonymi.

Charakter przetwarzania. Przetwarzanie ma charakter zautomatyzowany i obejmuje operacje: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie (do Podprocesorów oraz — na polecenie Administratora — do KSeF i operatora SMS), dopasowywanie lub łączenie, ograniczanie, usuwanie i niszczenie. Czynności wykonywane poza Aplikacją — migracja danych i obsługa zgłoszeń pomocy technicznej — objęte są §5a.

Brak zautomatyzowanego podejmowania decyzji. Procesor nie podejmuje wobec osób, których dane dotyczą, decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, wywołujących skutki prawne lub w podobny sposób istotnie na nie wpływających (art. 22 RODO). Mechanizmy automatyczne działające w Aplikacji — wygaśnięcie okresu próbnego, zawieszenie Konta po nieskutecznej płatności, blokada modułów nieobjętych Planem — dotyczą Administratora jako strony Umowy Głównej, a nie osób, których dane dotyczą, i opierają się na zdarzeniach obiektywnych, a nie na ocenie cech osoby fizycznej.

Szczegółowy wykaz rodzajów Danych Powierzonych oraz kategorii osób, których dane dotyczą, zawiera Załącznik nr 1 do niniejszej Umowy, stanowiący jej integralną część.

Przeznaczenie Aplikacji. Aplikacja nie jest przeznaczona do celowego, systematycznego przetwarzania danych osobowych szczególnych kategorii w rozumieniu art. 9 ust. 1 RODO ani danych, o których mowa w art. 10 RODO. Administrator zobowiązuje się nie wprowadzać takich danych do Aplikacji w sposób celowy — w szczególności do pól opisowych, notatek, nazw plików i załączników — oraz poinstruować o tym Użytkowników.

Przyjęcie do wiadomości ryzyka incydentalnego. Strony zgodnie przyjmują, że w działalności warsztatu samochodowego nie da się całkowicie wykluczyć incydentalnego pojawienia się danych dotyczących zdrowia, w szczególności:

Środki adekwatne do ryzyka incydentalnego. Procesor oświadcza, że środki techniczne i organizacyjne opisane w Załączniku nr 3 — w szczególności izolacja danych między Kontami na poziomie bazy danych, przechowywanie załączników w repozytorium niepublicznym z dostępem wyłącznie przez adresy podpisane o ograniczonym czasie ważności, szyfrowanie transmisji, ograniczenie i rejestrowanie dostępu administracyjnego — zostały dobrane z uwzględnieniem ryzyka, o którym mowa w ust. 3, i Procesor uznaje je za odpowiednie w rozumieniu art. 32 ust. 1 RODO również wobec danych incydentalnie objętych art. 9 ust. 1 RODO. Procesor nie wyłącza i nie ogranicza wobec takich danych żadnego ze stosowanych środków bezpieczeństwa.

Minimalizacja po stronie Administratora. Administrator zobowiązuje się:

Krajowe numery identyfikacyjne. Aplikacja umożliwia zapisanie numeru PESEL oraz numeru dokumentu tożsamości klienta. Pola te są opcjonalne i przeznaczone do wypełnienia obowiązku prawnego ciążącego na Administratorze — w szczególności identyfikacji nabywcy przy sprzedaży pojazdu używanego w procedurze VAT-marża. Administrator wprowadza te dane wyłącznie wtedy, gdy jest to niezbędne. Numer PESEL, jako krajowy numer identyfikacyjny w rozumieniu art. 87 RODO, podlega odrębnym zabezpieczeniom opisanym w Załączniku nr 3.

Niniejsza Umowa zostaje zawarta na czas obowiązywania Umowy Głównej i wygasa z chwilą jej rozwiązania lub wygaśnięcia, z zastrzeżeniem ust. 2 i §13.

Postanowienia dotyczące poufności (§6), obowiązku usunięcia lub zwrotu danych (§13), audytu w zakresie okresu objętego Umową (§14) oraz odpowiedzialności (§15) pozostają w mocy również po wygaśnięciu niniejszej Umowy — odpowiednio do czasu wykonania wynikających z nich obowiązków.

Początek przetwarzania. Rozpoczęcie przetwarzania Danych Powierzonych następuje nie wcześniej niż z chwilą zawarcia niniejszej Umowy w jednej z form wskazanych w §17 ust. 5 i utworzenia Konta. Okres próbny jest w pełni objęty niniejszą Umową.

Zakończenie okresu próbnego bez przekształcenia w Umowę Główną nie kończy samo przez się przetwarzania — do Konta stosuje się wówczas §13 (usunięcie lub zwrot danych) tak samo jak przy rozwiązaniu Umowy Głównej. Konta próbne porzucone przez Administratora podlegają usunięciu w trybie §13 ust. 12.

Procesor przetwarza Dane Powierzone wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych do państwa trzeciego lub organizacji międzynarodowej.

Co stanowi udokumentowane polecenie. Za udokumentowane polecenie Administratora Strony uznają:

Zmiana i cofnięcie polecenia. Administrator może w każdym czasie zmienić lub cofnąć wydane polecenie. Procesor wykonuje zmienione lub cofnięte polecenie niezwłocznie, w zakresie, w jakim jest to technicznie możliwe; czynności już wykonane pozostają skuteczne.

Włączanie integracji jako polecenie przekazania danych. Włączenie przez Administratora integracji fakultatywnej (Motorro, Inter Cars, Auto Partner, KSeF, SMSAPI, dekodowanie VIN) stanowi udokumentowane polecenie przekazania danych odpowiedniemu odbiorcy w zakresie niezbędnym do działania tej integracji. Administrator przed włączeniem integracji obowiązany jest samodzielnie ocenić dopuszczalność takiego przekazania oraz — jeżeli integracja wymaga podania własnych poświadczeń dostępowych — zawrzeć odrębną umowę z jej dostawcą (por. §8 ust. 12 w odniesieniu do SMSAPI).

Polecenie sprzeczne z prawem. Jeżeli w ocenie Procesora polecenie Administratora narusza RODO, Ustawę lub inne przepisy o ochronie danych osobowych, Procesor niezwłocznie informuje o tym Administratora i jest uprawniony do wstrzymania wykonania tego polecenia do czasu jego wycofania, zmiany lub potwierdzenia przez Administratora na trwałym nośniku (art. 28 ust. 3 zdanie drugie RODO).

Obowiązek wynikający z prawa. Procesor może przetwarzać Dane Powierzone bez polecenia Administratora wyłącznie wtedy, gdy obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego. W takim przypadku Procesor przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku prawnym, chyba że prawo to zabrania takiego informowania z uwagi na ważny interes publiczny.

Żądania organów władzy publicznej. W razie otrzymania od organu władzy publicznej — w szczególności sądu, prokuratury, Policji, organu podatkowego, organu ścigania albo komornika sądowego — żądania udostępnienia Danych Powierzonych, Procesor:

Oświadczenie Administratora. Administrator oświadcza, że jest uprawniony do przetwarzania Danych Powierzonych oraz do ich powierzenia Procesorowi, a przetwarzanie odbywa się na ważnej podstawie prawnej (art. 6 RODO) i przy dopełnieniu obowiązków informacyjnych (art. 13 i 14 RODO) wobec osób, których dane dotyczą — w szczególności wobec własnych klientów i Użytkowników.

Migracja jako czynność zlecona. Przeniesienie danych z dotychczasowego systemu Administratora do Aplikacji stanowi przetwarzanie Danych Powierzonych na udokumentowane polecenie Administratora, wyrażone przez odrębne zlecenie migracji złożone na trwałym nośniku przed rozpoczęciem prac. Zlecenie wskazuje:

Kanał przekazania. Dane źródłowe przekazywane są wyłącznie kanałem uzgodnionym w zleceniu, zapewniającym poufność i uwierzytelnienie odbiorcy. Przekazywanie plików zawierających Dane Powierzone niezabezpieczoną pocztą elektroniczną jest niedopuszczalne. Jeżeli Administrator prześle takie pliki mimo to, Procesor niezwłocznie informuje go o tym i usuwa wiadomość po przeniesieniu plików do kanału zabezpieczonego.

Kopie robocze. Procesor przechowuje pliki źródłowe oraz wszelkie kopie robocze powstałe w toku migracji wyłącznie przez czas niezbędny do jej wykonania i weryfikacji, nie dłużej niż 30 dni od dnia potwierdzenia poprawności importu przez Administratora, a w razie braku potwierdzenia — nie dłużej niż 60 dni od udostępnienia wyniku migracji. Po upływie tego terminu kopie podlegają trwałemu usunięciu, a Procesor potwierdza to Administratorowi na trwałym nośniku.

Miejsce wykonywania migracji. Migracja wykonywana jest wyłącznie na urządzeniach i w narzędziach objętych środkami z Załącznika nr 3. Procesor nie przenosi plików źródłowych do usług osób trzecich nieujętych w Załączniku nr 2.

Pomoc techniczna. Jeżeli w toku obsługi zgłoszenia Administrator przekaże Procesorowi Dane Powierzone poza Aplikacją — w szczególności w postaci zrzutu ekranu, pliku eksportu albo treści wiadomości — Procesor przetwarza je wyłącznie w celu obsługi tego zgłoszenia i usuwa je w terminie 30 dni od jego zamknięcia. Procesor nie żąda przekazania danych osobowych w zakresie szerszym niż niezbędny do odtworzenia zgłoszonego problemu.

Dostęp administracyjny do Konta (impersonacja). Procesor korzysta z technicznego dostępu do Konta w trybie impersonacji wyłącznie w celu obsługi zgłoszenia Administratora albo usunięcia awarii. Każde uruchomienie tego dostępu jest rejestrowane w dzienniku `admin_audit_log` oraz zgłaszane Administratorowi wiadomością e-mail wysyłaną na adres do spraw ochrony danych, nie później niż w chwili rozpoczęcia dostępu, ze wskazaniem tożsamości osoby, czasu rozpoczęcia i przyczyny. Administrator jest uprawniony do żądania wyciągu z dziennika dostępów administracyjnych w trybie §14 ust. 2 pkt 5.

Zakaz dostępu bez przyczyny. Procesor nie korzysta z dostępu administracyjnego do Konta w celach innych niż wskazane w ust. 6, w szczególności nie przegląda danych Administratora w celu analizy rynku, badania sposobu korzystania z Aplikacji ani przygotowania oferty handlowej.

Prawa Administratora. Administratorowi przysługuje w szczególności prawo do:

Obowiązki Administratora. Administrator zobowiązuje się w szczególności do:

Zobowiązanie Procesora. Procesor zobowiązuje się zapewnić, aby przed dopuszczeniem jakiejkolwiek osoby do przetwarzania Danych Powierzonych osoba ta:

Stan na dzień zawarcia Umowy. Procesor oświadcza, że według stanu na dzień zawarcia niniejszej Umowy jedyną Osobą Upoważnioną jest właściciel jednoosobowej działalności gospodarczej prowadzący przedsiębiorstwo Procesora, który podlega obowiązkowi zachowania poufności wynikającemu bezpośrednio z niniejszej Umowy. Procesor nie dopuścił do przetwarzania Danych Powierzonych żadnej innej osoby.

Obowiązek zachowania poufności jest bezterminowy i trwa również po ustaniu stosunku prawnego łączącego Osobę Upoważnioną z Procesorem oraz po wygaśnięciu niniejszej Umowy.

Ewidencja upoważnień. Procesor prowadzi i utrzymuje aktualną ewidencję Osób Upoważnionych, obejmującą co najmniej: imię i nazwisko, zakres upoważnienia, datę nadania i datę odebrania upoważnienia. Wyciąg z ewidencji — w zakresie osób mających dostęp do danych Administratora — Procesor udostępnia Administratorowi na żądanie w trybie §14.

Zasada wiedzy koniecznej. Dostęp Osób Upoważnionych do Danych Powierzonych jest ograniczony do zakresu niezbędnego do wykonania zadania (need-to-know). Dostęp administracyjny do danych Konta odbywa się wyłącznie w trybie opisanym w §5a ust. 6 i Załączniku nr 3 ust. 5 i podlega rejestracji w dzienniku zdarzeń.

Procedura odbierania uprawnień. Procesor odbiera upoważnienie oraz wszystkie techniczne uprawnienia dostępowe najpóźniej w dniu zakończenia współpracy z Osobą Upoważnioną i odnotowuje to w ewidencji, o której mowa w ust. 4.

Procesor wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, uwzględniając stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania.

Szczegółowy opis wdrożonych środków zawiera Załącznik nr 3, stanowiący integralną część niniejszej Umowy. Procesor aktualizuje Załącznik nr 3 przy każdej istotnej zmianie architektury bezpieczeństwa, nie rzadziej niż raz na 12 miesięcy, i udostępnia aktualną wersję Administratorowi.

Środki, o których mowa w ust. 1, obejmują w szczególności:

Test odtworzenia z kopii zapasowej. W wykonaniu obowiązku z art. 32 ust. 1 lit. c i d RODO Procesor przeprowadza co najmniej raz na 12 miesięcy udokumentowany test odtworzenia danych z kopii zapasowej i utrwala jego datę, zakres oraz wynik. Wynik ostatniego testu Procesor udostępnia Administratorowi na żądanie w trybie §14.

Prawo do zmiany środków. Procesor jest uprawniony do zmiany stosowanych środków technicznych i organizacyjnych, pod warunkiem że poziom bezpieczeństwa nie ulegnie obniżeniu. O istotnej zmianie architektury bezpieczeństwa Procesor informuje Administratora w trybie §16 ust. 2.

Obowiązki Administratora. Administrator odpowiada za bezpieczeństwo po swojej stronie, w zakresie wskazanym w §5b ust. 2, a ponadto za:

Ogólna zgoda. Administrator udziela Procesorowi ogólnej pisemnej zgody na korzystanie z usług Podprocesorów, w rozumieniu art. 28 ust. 2 zdanie drugie RODO. Zgoda ta obejmuje Podprocesorów wymienionych w Załączniku nr 2 według stanu na dzień zawarcia Umowy.

Warunki podpowierzenia. Procesor zobowiązuje się nałożyć na każdego Podprocesora — w drodze umowy lub innego aktu prawnego — te same obowiązki ochrony danych, jakie ciążą na Procesorze na mocy niniejszej Umowy, w szczególności obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych zgodnych z art. 32 RODO. Procesor nie powierza danych Podprocesorowi przed zawarciem z nim takiej umowy.

Odpowiedzialność. Jeżeli Podprocesor nie wywiąże się ze spoczywających na nim obowiązków ochrony danych, pełna odpowiedzialność wobec Administratora za wypełnienie obowiązków tego Podprocesora spoczywa na Procesorze (art. 28 ust. 4 zdanie drugie RODO).

Mechanizm zawiadamiania o zmianie. Procesor informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia Podprocesorów:

Prawo sprzeciwu. Administrator może wnieść umotywowany sprzeciw wobec zamierzonej zmiany, w terminie 14 (czternastu) dni od dnia otrzymania zawiadomienia, przesyłając go pocztą elektroniczną na adres Procesora wskazany w komparycji. Sprzeciw powinien wskazywać konkretne zastrzeżenia dotyczące ochrony danych.

Skutki sprzeciwu. W razie wniesienia sprzeciwu Strony podejmą w dobrej wierze negocjacje zmierzające do uzgodnienia rozwiązania alternatywnego. Jeżeli w terminie 30 (trzydziestu) dni od wniesienia sprzeciwu Strony nie osiągną porozumienia:

Zakres uprawnienia z ust. 6 pkt 2. Uprawnienie, o którym mowa w ust. 6 pkt 2, przysługuje wyłącznie w razie sprzeciwu wobec zamierzonej zmiany zawiadomionej zgodnie z ust. 4 albo zmiany pilnej dokonanej zgodnie z ust. 8. Uprawnienie to nie przysługuje w odniesieniu do Podprocesora wymienionego w Załączniku nr 2 w brzmieniu zaakceptowanym przez Administratora przy zawarciu Umowy — akceptacja Załącznika nr 2 jest zgodą w rozumieniu ust. 1. Postanowienie niniejsze nie ogranicza uprawnień Administratora wynikających z przepisów prawa, w tym prawa do wypowiedzenia Umowy Głównej z przyczyn określonych w Umowie Głównej oraz uprawnień wynikających z §9 ust. 5.

Zmiana pilna. Procesor może dokonać zmiany Podprocesora bez zachowania terminu z ust. 4 wyłącznie wtedy, gdy dotychczasowy Podprocesor zaprzestał świadczenia usług, utracił zdolność do ich świadczenia albo gdy jego dalsze wykorzystywanie zagrażałoby bezpieczeństwu Danych Powierzonych. Procesor zawiadamia wówczas Administratora niezwłocznie, nie później niż w terminie 3 (trzech) dni roboczych od dokonania zmiany, wskazując przyczynę oraz podstawę transferu, jeżeli nowy Podprocesor przetwarza dane poza EOG. Administratorowi przysługuje wówczas uprawnienie z ust. 6 pkt 2, wykonywane w terminie 30 dni od otrzymania zawiadomienia. Zmiana pilna nie może służyć obejściu trybu z ust. 4–6 i nie znajduje zastosowania do zmian planowanych ani podyktowanych względami handlowymi lub kosztowymi.

Podprocesorzy Obligatoryjni — informacja o rzeczywistym znaczeniu sprzeciwu. Podprocesorzy oznaczeni w Załączniku nr 2 jako obligatoryjni świadczą usługi stanowiące techniczną podstawę Aplikacji; ich zastąpienie nie jest możliwe bez zaprzestania świadczenia Usługi. Wniesienie sprzeciwu wobec takiego Podprocesora oznacza w praktyce konieczność rozwiązania Umowy Głównej. Procesor informuje o tym Administratora przed zawarciem Umowy, aby prawo sprzeciwu nie było uprawnieniem pozornym.

Poziom ochrony u Podprocesora. Jeżeli umowa zawarta z Podprocesorem przewiduje standard ochrony niższy niż wynikający z niniejszej Umowy — w szczególności dłuższy termin zawiadomienia o Naruszeniu — różnicę tę pokrywa Procesor, który wobec Administratora odpowiada za dochowanie terminów i standardów z niniejszej Umowy niezależnie od treści umowy z Podprocesorem.

Aktualna lista. Aktualna lista Podprocesorów jest publikowana pod adresem https://mwarsztat.eu/powierzenie-danych (Załącznik nr 2 do niniejszej Umowy)

Kwalifikacja SMSAPI — rozstrzygnięcie. Wysyłka wiadomości SMS odbywa się przy użyciu poświadczeń dostępowych Administratora, przechowywanych indywidualnie dla każdego Konta, na podstawie umowy zawartej przez Administratora bezpośrednio z operatorem SMS i na jego rachunek. Wobec tego operator SMS (SMSAPI) jest odrębnym podmiotem przetwarzającym Administratora, a nie Podprocesorem Procesora; Procesor pełni wyłącznie funkcję kanału technicznego przekazującego polecenie wysyłki. W konsekwencji:

Procesor nie przekazuje Danych Powierzonych do państwa trzeciego ani organizacji międzynarodowej, chyba że:

Podstawy transferu. Procesor zobowiązuje się nie przekazywać Danych Powierzonych do państwa trzeciego ani organizacji międzynarodowej bez uprzedniego zapewnienia jednego z mechanizmów przewidzianych w rozdziale V RODO — decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO) albo standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO) wraz z oceną skutków transferu i — jeżeli ocena tego wymaga — środkami uzupełniającymi. Podstawę właściwą dla każdego Podprocesora, wraz z datą jej ustanowienia i datą ostatniej weryfikacji, wskazuje Załącznik nr 2. Na żądanie Administratora Procesor udostępnia kopię zastosowanych zabezpieczeń w terminie 14 dni.

Utrata podstawy transferu. Jeżeli podstawa transferu wskazana w Załączniku nr 2 przestanie obowiązywać — w szczególności wskutek uchylenia, stwierdzenia nieważności albo wygaśnięcia decyzji o adekwatności — Procesor niezwłocznie, nie później niż w terminie 7 dni, zawiadamia o tym Administratora i wskazuje mechanizm zastępczy albo wstrzymuje transfer.

Uprawnienie Administratora. Do czasu wskazania mechanizmu zastępczego zgodnie z ust. 3 Administrator jest uprawniony do wypowiedzenia Umowy Głównej ze skutkiem natychmiastowym, z prawem do zwrotu opłat uiszczonych z góry za niewykorzystany okres rozliczeniowy, proporcjonalnie do liczby niewykorzystanych dni.

Lokalizacja podstawowej bazy danych i Repozytorium Załączników. Podstawowa baza danych oraz Repozytorium Załączników Aplikacji — obejmujące pełen zakres Danych Powierzonych, w tym wszystkie fotografie — są zlokalizowane w regionie AWS `eu-west-2` (Londyn, Zjednoczone Królestwo). Zjednoczone Królestwo nie należy do Europejskiego Obszaru Gospodarczego.

Zakaz twierdzenia o lokalizacji w UE. Do czasu przeniesienia projektu bazodanowego do regionu położonego w Unii Europejskiej ani Procesor, ani żaden materiał marketingowy, dokument ani komunikat w Aplikacji nie może twierdzić, że Dane Powierzone są przechowywane w Unii Europejskiej lub w Europejskim Obszarze Gospodarczym.

Monitorowanie podstawy transferu. Procesor monitoruje status decyzji o adekwatności, o której mowa w ust. 5, i niezwłocznie zawiadamia Administratora w trybie ust. 2, jeżeli decyzja ta zostanie zmieniona, zawieszona lub uchylona. Przeniesienie projektu bazodanowego do regionu położonego w Unii Europejskiej usuwa zależność Danych Powierzonych od statusu tej decyzji.

Procesor, biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Administratorowi — poprzez odpowiednie środki techniczne i organizacyjne — wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO, to jest praw do:

Obowiązek powiadomienia odbiorców (art. 19 RODO). Pomoc obejmuje również wykonanie obowiązku Administratora z art. 19 RODO — powiadomienia odbiorców, którym Dane Powierzone zostały ujawnione, o sprostowaniu, usunięciu lub ograniczeniu przetwarzania. Na żądanie Administratora Procesor przekazuje mu wykaz Podprocesorów i odbiorców, którym dane danej osoby zostały faktycznie ujawnione — w szczególności informację, czy dane tej osoby były przedmiotem wysyłki SMS, przesłania faktury do KSeF albo zapytania o dekodowanie numeru VIN.

Narzędzia samoobsługowe. Podstawowym środkiem pomocy są funkcje Aplikacji pozwalające Administratorowi samodzielnie i bez udziału Procesora zrealizować żądanie osoby, której dane dotyczą: wyszukiwanie, przeglądanie, edycję, usuwanie oraz eksport danych klienta i pojazdu. Administrator obowiązany jest w pierwszej kolejności skorzystać z tych funkcji.

Granice narzędzi samoobsługowych. Procesor informuje, że funkcje Aplikacji nie pozwalają na usunięcie danych osobowych zawartych:

Pomoc dodatkowa i jej terminy. Jeżeli realizacja żądania nie jest możliwa przy użyciu funkcji Aplikacji, Procesor udziela pomocy niezwłocznie, nie później niż w terminie 7 (siedmiu) dni roboczych od otrzymania wniosku Administratora. Jeżeli Administrator wskaże we wniosku datę upływu własnego terminu z art. 12 ust. 3 RODO, Procesor udziela pomocy nie później niż na 7 dni przed tą datą, choćby termin ze zdania pierwszego jeszcze nie upłynął.

Przekierowanie żądań skierowanych do Procesora. Jeżeli osoba, której dane dotyczą, skieruje żądanie bezpośrednio do Procesora, Procesor:

Żądania Użytkowników Administratora. Żądania Użytkowników (pracowników i współpracowników Administratora) dotyczące danych ich kont w Aplikacji, ról, ewidencji czasu pracy i przypisania do zleceń Procesor przekazuje Administratorowi w trybie ust. 6 — administratorem tych danych jest Administrator. Procesor odpowiada na żądanie samodzielnie wyłącznie w zakresie, w jakim przetwarza dane Użytkownika we własnym celu jako odrębny administrator, tj. w zakresie dzienników bezpieczeństwa oraz korespondencji pomocy technicznej; podstawy tego przetwarzania określa Polityka Prywatności.

Odpłatność. Pomoc, o której mowa w ust. 5, jest świadczona nieodpłatnie, chyba że żądania Administratora mają charakter nadmierny lub ewidentnie nieuzasadniony, w szczególności ze względu na ustawiczny charakter. W takim przypadku Procesor może żądać rozsądnej opłaty odpowiadającej kosztom administracyjnym, uprzedzając o tym Administratora i uzyskując jego zgodę przed przystąpieniem do prac. Ciężar wykazania nadmiernego lub ewidentnie nieuzasadnionego charakteru żądania spoczywa na Procesorze.

Procesor, uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO, to jest w zakresie:

Pomoc, o której mowa w ust. 1 pkt 4 i 5, jest udzielana w terminie 14 (czternastu) dni od dnia otrzymania wniosku Administratora, w formie pisemnej lub elektronicznej.

Granica pomocy. Procesor nie sporządza DPIA za Administratora ani nie ocenia zgodności przetwarzania prowadzonego przez Administratora — obowiązek ten spoczywa na Administratorze jako administratorze danych.

Materiały wspierające (Załącznik nr 4). W wykonaniu obowiązku z ust. 1 pkt 4 Procesor udostępnia Administratorowi Załącznik nr 4, obejmujący:

Informacja o prawdopodobnym obowiązku DPIA po stronie Administratora. Procesor informuje Administratora, że przetwarzanie prowadzone przez warsztat samochodowy przy użyciu Aplikacji może wymagać przeprowadzenia oceny skutków dla ochrony danych, w szczególności ze względu na: przetwarzanie na dużą skalę w stosunku do rozmiaru przedsiębiorstwa, monitorowanie pracy Użytkowników (ewidencja czasu pracy i przypisanie do zleceń), łączenie zbiorów danych pochodzących z różnych źródeł oraz możliwość incydentalnego przetwarzania danych, o których mowa w §3 ust. 3. Informacja ta nie stanowi oceny prawnej ani nie zwalnia Administratora z samodzielnej analizy.

Termin zawiadomienia. Procesor, po stwierdzeniu Naruszenia dotyczącego Danych Powierzonych, zgłasza je Administratorowi bez zbędnej zwłoki, nie później jednak niż w terminie 24 (dwudziestu czterech) godzin od chwili stwierdzenia Naruszenia.

Chwila stwierdzenia Naruszenia. Za chwilę stwierdzenia Naruszenia uznaje się moment, w którym którakolwiek z Osób Upoważnionych albo automatyczny mechanizm monitorowania Procesora uzyskał informację wskazującą z rozsądnym prawdopodobieństwem na wystąpienie Naruszenia — w tym informację przekazaną przez Podprocesora, przez Administratora albo przez osobę trzecią. Chwilą tą nie jest moment zakończenia analizy skutków Naruszenia ani moment ustalenia jego pełnego zakresu.

Zawiadomienie wstępne. Jeżeli w terminie z ust. 1 nie jest możliwe ustalenie zakresu Naruszenia, Procesor przekazuje w tym terminie zawiadomienie wstępne zawierające co najmniej: opis zdarzenia w zakresie znanym, wskazanie systemu lub Podprocesora, którego zdarzenie dotyczy, oraz informację o podjętych czynnościach wyjaśniających. Pozostałe informacje Procesor przekazuje sukcesywnie zgodnie z ust. 6. Zawiadomienie wstępne wyczerpuje termin z ust. 1.

Uzasadnienie terminu. Termin z ust. 1 jest krótszy niż 72 godziny przewidziane w art. 33 ust. 1 RODO dla zgłoszenia przez administratora do organu nadzorczego — po to, aby zapewnić Administratorowi realną możliwość dochowania własnego terminu ustawowego. Strony zgodnie przyjmują, że jest to zobowiązanie ostrzejsze niż wynikające z przepisów i że jego dochowanie wymaga po stronie Procesora utrzymywania mechanizmów wykrywania i kanału zgłoszeniowego, o których mowa w ust. 5.

Zdolność wykrywania i kanał zgłoszeniowy. Procesor utrzymuje mechanizmy monitorowania pozwalające na wykrycie Naruszenia oraz kanał zgłoszeniowy dostępny również poza dniami roboczymi, wskazany w komparycji niniejszej Umowy.

Kanał zawiadomienia. Zawiadomienie następuje pocztą elektroniczną na adres do spraw ochrony danych oraz — jeżeli Naruszenie ma charakter poważny — dodatkowo telefonicznie na numer wskazany w Koncie.

Treść zawiadomienia. Zgłoszenie zawiera co najmniej informacje wskazane w art. 33 ust. 3 RODO:

Naruszenia u Podprocesorów. Procesor zobowiązuje się nałożyć na każdego Podprocesora obowiązek zawiadomienia go o Naruszeniu w terminie umożliwiającym dochowanie terminu z ust. 1. Opóźnienie po stronie Podprocesora nie zwalnia Procesora z terminu wobec Administratora. Procesor zawiadamia Administratora również wtedy, gdy o Naruszeniu u Podprocesora dowiedział się ze źródła publicznego.

Projekt zgłoszenia do organu nadzorczego. Na żądanie Administratora Procesor przygotowuje i przekazuje mu — w terminie 24 godzin od zgłoszenia Naruszenia, a jeżeli żądanie wpłynęło później, w terminie 24 godzin od jego otrzymania — projekt zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych zawierający informacje wskazane w art. 33 ust. 3 RODO w zakresie znanym Procesorowi, a także projekt zawiadomienia osób, których dane dotyczą (art. 34 RODO), jeżeli Administrator uzna je za konieczne. Decyzję o dokonaniu zgłoszenia i o jego ostatecznej treści podejmuje wyłącznie Administrator. Świadczenie to jest nieodpłatne.

Współdziałanie. Procesor zobowiązuje się do współdziałania z Administratorem przy wyjaśnianiu okoliczności Naruszenia, ograniczaniu jego skutków oraz do udzielenia informacji niezbędnych do sporządzenia zgłoszenia i zawiadomienia, o których mowa w ust. 9.

Rejestr naruszeń. Procesor prowadzi i utrzymuje wewnętrzny rejestr Naruszeń dotyczących Danych Powierzonych, obejmujący co najmniej: datę i godzinę stwierdzenia, opis okoliczności, kategorie i przybliżoną liczbę osób i wpisów, ocenę ryzyka, decyzję o zawiadomieniu Administratora wraz z datą, oraz działania naprawcze. Wyciąg z rejestru w zakresie dotyczącym Konta Administratora Procesor udostępnia na jego żądanie.

Zakaz samodzielnego zawiadamiania. Procesor nie zawiadamia organu nadzorczego ani osób, których dane dotyczą, o Naruszeniu dotyczącym Danych Powierzonych — obowiązek ten spoczywa na Administratorze. Nie dotyczy to sytuacji, w których Procesor działa jako samodzielny administrator własnych danych.

Wybór Administratora. Po zakończeniu świadczenia usług objętych Umową Główną Procesor — zależnie od decyzji Administratora — zwraca Administratorowi wszelkie Dane Powierzone lub je usuwa, a także usuwa ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje ich dalsze przechowywanie.

Termin na wskazanie decyzji. Administrator wskazuje wybrany sposób postępowania w terminie 30 (trzydziestu) dni od dnia rozwiązania lub wygaśnięcia Umowy Głównej. Brak wskazania w tym terminie oznacza polecenie usunięcia Danych Powierzonych.

Okres karencji. Przez okres 30 (trzydziestu) dni od dnia rozwiązania lub wygaśnięcia Umowy Głównej Konto pozostaje zawieszone, a Dane Powierzone są zachowane wyłącznie w celu umożliwienia Administratorowi ich pobrania. Po upływie okresu karencji Procesor usuwa Dane Powierzone ze środowiska produkcyjnego w terminie 7 (siedmiu) dni, a z kopii zapasowych — z upływem cyklu retencji kopii, o którym mowa w ust. 10.

Ostrzeżenie o skutkach usunięcia dla obowiązków Administratora. Administrator przyjmuje do wiadomości, że Dane Powierzone obejmują dokumentację, do której przechowywania Administrator jest zobowiązany przepisami prawa podatkowego i o rachunkowości — w szczególności wystawione przez niego faktury, ewidencję kasową i dane źródłowe do plików JPK. Obowiązek ten spoczywa na Administratorze, a nie na Procesorze, i nie wygasa wraz z rozwiązaniem Umowy Głównej. Procesor wykonuje usunięcie zgodnie z ust. 1–9 również wtedy, gdy Administrator nie pobrał wcześniej kopii tych dokumentów.

Samodzielny eksport. Administrator może w każdym czasie trwania Umowy Głównej oraz w okresie karencji samodzielnie pobrać Dane Powierzone za pośrednictwem funkcji eksportu dostępnej w Aplikacji.

Zakres i format eksportu. Eksport następuje w formacie JSON (ustrukturyzowany, powszechnie używany format nadający się do odczytu maszynowego w rozumieniu art. 20 ust. 1 RODO). Załączniki binarne — w szczególności fotografie pojazdów i uszkodzeń — są wydawane w formatach źródłowych (m.in. JPEG, PNG, WEBP, PDF, MP4).

Eksport na żądanie. Jeżeli samodzielny eksport nie obejmuje całości Danych Powierzonych albo nie jest możliwy, Procesor wydaje Dane Powierzone na wniosek Administratora w terminie 14 (czternastu) dni od jego otrzymania, w formatach wskazanych w ust. 6, za pośrednictwem zabezpieczonego łącza pobrania o ograniczonym czasie ważności.

Zakres trwałego usunięcia. Trwałe usunięcie obejmuje łącznie i bez wyjątku:

Weryfikacja wykonania. Usunięcie uznaje się za wykonane dopiero po potwierdzeniu, że w Repozytorium Załączników nie pozostał żaden obiekt przypisany do Konta. Procesor przeprowadza tę weryfikację jako odrębną czynność i odnotowuje jej wynik w dzienniku zdarzeń administracyjnych.

Kopie zapasowe. Dane Powierzone mogą pozostawać wyłącznie w kopiach zapasowych, przez okres nieprzekraczający dni od dnia usunięcia ze środowiska produkcyjnego. W tym okresie dane objęte są wyłącznie przechowywaniem i nie podlegają żadnej innej operacji przetwarzania; ich odtworzenie jest dopuszczalne wyłącznie w celu przywrócenia usługi po awarii i nie obejmuje Kont usuniętych. Kopie podlegają usunięciu wraz z wygaśnięciem cyklu retencji, bez odrębnej czynności Procesora.

Dane zatrzymane na podstawie przepisów prawa. Procesor jest uprawniony do zachowania danych w zakresie i przez okres wymagany przepisami prawa, w szczególności przepisami o rachunkowości i prawa podatkowego — dotyczy to jednak wyłącznie danych zawartych w dokumentacji rozliczeniowej pomiędzy Stronami, a nie bazy klientów, pojazdów, zleceń i załączników Administratora.

Konta porzucone i Konta po zakończonym okresie próbnym.

Do Konta, w którym okres próbny zakończył się bez zawarcia odpłatnej Umowy Głównej, stosuje się ust. 1–10 od dnia zakończenia okresu próbnego — to jest karencję 30 dni i usunięcie ze środowiska produkcyjnego w terminie 7 dni po jej upływie. Zdarzeniem uruchamiającym jest zakończenie okresu próbnego, a nie bezczynność; kryterium z ust. 12.2 nie ma do takiego Konta zastosowania.

Do Konta, w którym nie odnotowano żadnej aktywności Użytkownika przez okres 12 miesięcy, a które nie jest objęte opłaconą Umową Główną i wobec którego nie zachodzi przypadek z ust. 12.1, Procesor stosuje ust. 1–10 od dnia stwierdzenia bezczynności. Procesor zawiadamia Administratora na 30 dni przed rozpoczęciem okresu karencji.

Potwierdzenie usunięcia. Na żądanie Administratora Procesor wystawia pisemne lub elektroniczne potwierdzenie usunięcia Danych Powierzonych, wskazujące datę usunięcia ze środowiska produkcyjnego, datę weryfikacji z ust. 9 oraz przewidywaną datę wygaśnięcia ostatniej kopii zapasowej — w terminie 14 dni od dnia zakończenia procesu usuwania.

Jedno źródło terminów retencji. Terminy wskazane w niniejszym paragrafie są jedynymi wiążącymi terminami retencji Danych Powierzonych. Regulamin, Polityka Prywatności, Zasady Płatności oraz komunikaty wyświetlane w Aplikacji muszą wskazywać te same terminy. W razie rozbieżności wiążą terminy z niniejszej Umowy, chyba że inny dokument przewiduje termin krótszy — wówczas wiąże termin krótszy, jako korzystniejszy dla osób, których dane dotyczą.

Procesor udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Administratorowi lub audytorowi przez niego upoważnionemu przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.

Tryb podstawowy — audyt dokumentacyjny. Z uwagi na charakter usługi świadczonej w modelu SaaS oraz na fakt, że Procesor świadczy usługę o jednolitej architekturze na rzecz wielu administratorów, podstawowym trybem realizacji uprawnienia z ust. 1 jest audyt dokumentacyjny. Na wniosek Administratora Procesor udostępnia:

Przedłużenie terminu. Jeżeli z uwagi na skomplikowany charakter wniosku albo liczbę wniosków dotrzymanie terminu z ust. 2 nie jest możliwe, Procesor może go przedłużyć jednokrotnie, o nie więcej niż 30 dni, informując Administratora o przedłużeniu i jego przyczynach przed upływem terminu pierwotnego.

Oświadczenie o stanie posiadania dokumentów. Procesor oświadcza, że nie posiada własnych certyfikatów ani atestacji (w szczególności ISO/IEC 27001, SOC 2) i że w zakresie, o którym mowa w ust. 2 pkt 8, dysponuje wyłącznie dokumentami otrzymanymi od Podprocesorów. Oświadczenie to podlega aktualizacji przy każdej zmianie stanu faktycznego.

Tryb subsydiarny — inspekcja na miejscu. Jeżeli informacje udostępnione w trybie ust. 2 są — w uzasadnionej i pisemnie umotywowanej ocenie Administratora — niewystarczające do wykazania zgodności, Administrator jest uprawniony do przeprowadzenia inspekcji na miejscu, na następujących warunkach:

Infrastruktura Podprocesorów. Inspekcja nie obejmuje fizycznej infrastruktury Podprocesorów, do której Procesor nie ma prawa wstępu. W tym zakresie Procesor przekazuje Administratorowi dostępne mu raporty i certyfikaty Podprocesorów oraz — na uzasadnione żądanie Administratora wykonuje przysługujące mu wobec Podprocesora uprawnienia audytowe i przekazuje Administratorowi ich wynik.

Wyniki audytu. Stwierdzone nieprawidłowości Procesor usuwa w terminie uzgodnionym ze Stronami, nie dłuższym niż 30 (trzydzieści) dni od dnia doręczenia raportu — chyba że charakter nieprawidłowości wymaga terminu dłuższego, co Procesor wykaże wraz z przedstawieniem harmonogramu naprawczego.

Rejestr czynności przetwarzania. Procesor prowadzi i utrzymuje rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratorów, zgodnie z art. 30 ust. 2 RODO.

Każda ze Stron odpowiada za szkody spowodowane swoim działaniem lub zaniechaniem w związku z przetwarzaniem Danych Powierzonych, na zasadach określonych w art. 82 RODO oraz w przepisach Kodeksu cywilnego.

Procesor odpowiada za szkodę spowodowaną przetwarzaniem wyłącznie wtedy, gdy nie dopełnił obowiązków nałożonych przez RODO bezpośrednio na podmioty przetwarzające lub gdy działał poza zgodnymi z prawem poleceniami Administratora albo wbrew tym poleceniom (art. 82 ust. 2 zdanie drugie RODO).

Administrator odpowiada wobec Procesora za skutki:

Ograniczenie odpowiedzialności. Strony nie wprowadzają umownego ograniczenia kwotowego odpowiedzialności Procesora; odpowiedzialność Stron podlega zasadom ogólnym wskazanym w ust. 1–3.

Odpowiedzialność, o której mowa w ust. 1–3, nie podlega ograniczeniu w zakresie szkód wyrządzonych umyślnie oraz w zakresie roszczeń osób, których dane dotyczą, dochodzonych na podstawie art. 82 RODO.

Procesor może dokonać zmiany niniejszej Umowy w przypadku:

O zamierzonej zmianie Procesor zawiadamia Administratora z wyprzedzeniem co najmniej 30 (trzydziestu) dni, pocztą elektroniczną na adres do spraw ochrony danych oraz komunikatem w panelu Aplikacji, przedstawiając treść zmian, ich uzasadnienie oraz datę wejścia w życie, a także nowy identyfikator wersji dokumentu.

Jeżeli Administrator nie akceptuje zmiany, jest uprawniony do wypowiedzenia Umowy Głównej przed dniem wejścia zmiany w życie, z prawem do zwrotu opłat uiszczonych z góry za niewykorzystany okres rozliczeniowy, proporcjonalnie do liczby niewykorzystanych dni.

Zmiana nie może obniżyć poziomu ochrony Danych Powierzonych poniżej poziomu wymaganego przez art. 28 i art. 32 RODO ani poniżej poziomu wynikającego z wersji zaakceptowanej przez Administratora, chyba że obniżenie wynika bezpośrednio ze zmiany przepisów prawa.

Zmiana dokonana wyłącznie w celu dostosowania treści Umowy do bezwzględnie obowiązujących przepisów prawa wchodzi w życie w terminie wynikającym z tych przepisów.

Niniejsza Umowa stanowi integralną część Umowy Głównej (Załącznik nr 2 do Regulaminu REG-2026-1.0). W razie sprzeczności pomiędzy postanowieniami niniejszej Umowy a Umową Główną, Polityką Prywatności lub jakimkolwiek innym dokumentem Procesora — w zakresie przetwarzania danych osobowych pierwszeństwo mają postanowienia niniejszej Umowy.

W sprawach nieuregulowanych stosuje się przepisy RODO, Ustawy oraz Kodeksu cywilnego.

Nieważność lub bezskuteczność któregokolwiek z postanowień niniejszej Umowy nie wpływa na ważność pozostałych postanowień. W miejsce postanowienia nieważnego lub bezskutecznego stosuje się odpowiednie przepisy prawa.

Właściwość sądu. Spory wynikające z niniejszej Umowy rozpoznaje sąd właściwy według przepisów Kodeksu postępowania cywilnego. Strony nie zawierają umowy prorogacyjnej.

Forma zawarcia Umowy. Umowa zostaje zawarta w jednej z następujących form, przy czym każda z nich spełnia wymóg formy elektronicznej w rozumieniu art. 28 ust. 9 RODO:

Zakaz przetwarzania przed zawarciem Umowy. Procesor nie rozpoczyna przetwarzania Danych Powierzonych przed zawarciem Umowy w jednej z form wskazanych w ust. 5. Utworzenie Konta bez zawarcia Umowy nie uprawnia Procesora do przetwarzania Danych Powierzonych w żadnym zakresie wykraczającym poza czynności techniczne niezbędne do udostępnienia pustego Konta.

Wersjonowanie i archiwum. Każda wersja Umowy otrzymuje oznaczenie w postaci DPA-RRRR-x.y oraz datę wejścia w życie. Wersje archiwalne Procesor udostępnia pod stałym adresem, tak aby Administrator mógł w każdym czasie odtworzyć treść wersji, którą zaakceptował. Identyfikator zaakceptowanej wersji jest utrwalany razem z identyfikatorem zaakceptowanej wersji Regulaminu.

Załączniki. Załączniki stanowiące integralną część niniejszej Umowy:

jest dostępny wyłącznie dla kont o statusie super-administratora — próba użycia przez innego użytkownika kończy się odmową (HTTP 403);

podlega ograniczeniu częstotliwości — maksymalnie 10 operacji na minutę na jedno konto administracyjne;

jest rejestrowany synchronicznie w dzienniku `admin_audit_log` — z identyfikatorem i adresem e-mail administratora, identyfikatorem Konta i znacznikiem czasu.