Odpowiedź:

Na podstawie podanych informacji, najprawdopodobniej MZK będzie Administratorem danych pasażerów, a Wykonawca będzie podmiotem przetwarzającym dane osobowe pasażerów dokonujących zakupu biletu na przejazd autobusem i rozpatrzenia ewentualnej reklamacji, przy czym jednocześnie będzie Administratorem dla danych osobowych służących do obsługi kont użytkowników aplikacji.

Uzasadnienie odpowiedzi:

Zacznijmy od początku. Wykonawca jest właścicielem aplikacji, administruje kontami użytkowników, czyli jest Administratorem danych podanych w celu założenia i prowadzenia konta. Tak, jak wspomniano w  pytaniu, Wykonawca decyduje o zakresie danych i jak możemy się domyślać również o celach przetwarzania, sposobach zabezpieczenia tych danych – zgodnie z art. 4 ust. 7 RODO jest Administratorem danych użytkowników. Wykonawca oferuje użytkownikom pośrednictwo w zakupie biletu lub miejsca parkingowego na rzecz MZK, rozpatrzenia reklamacji co do usługi przejazdu lub zwrotu biletu (w zależności od zakresu umowy). W zakresie tej usługi Wykonawca jest zapewne podmiotem przetwarzającym, ale należy to dokładnie zweryfikować w zapisach umowy głównej zawartej pomiędzy MZK, a Wykonawcą. Proszę pamiętać, iż relacja ADO – PP nie zawsze jest zero – jedynkowa. Jedna ze stron może występować w podwójnej roli, być zarówno ADO, jak i Podmiotem przetwarzającym. W takiej sytuacji umowa powierzenia powinna odzwierciedlać i dokładnie opisywać zachodzące relację.