Umowa powierzenia przetwarzania danych

Administrator: Klient usługi Kontevia, przedsiębiorca lub osoba samozatrudniona, który przetwarza dane osobowe zawarte w swoich dokumentach księgowych oraz innych danych przekazywanych do Usługi.

Podmiot przetwarzający: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Republika Czeska, numer identyfikacyjny firmy 22103741, zarejestrowana w rejestrze handlowym prowadzonym przez Sąd Miejski w Pradze, nr akt C 410771. Kontakt w sprawach ochrony danych: hello@kontevia.com.

1.1. Niniejsza Umowa reguluje prawa i obowiązki stron w zakresie przetwarzania przez Podmiot przetwarzający danych osobowych w imieniu Administratora w ramach świadczenia usługi Kontevia ("Usługa").

1.2. Niniejsza Umowa stanowi integralną część Regulaminu i wchodzi w życie z chwilą rejestracji Administratora do Usługi. Obowiązuje przez cały okres, w którym Podmiot przetwarzający przetwarza dane osobowe na rzecz Administratora.

2.1. Podmiot przetwarzający przetwarza dane osobowe wyłącznie w celu świadczenia Usługi, a mianowicie:

• odbioru i digitalizacji dokumentów księgowych przesyłanych przez czat, e-mail lub przesłanych plików;
• ekstrakcji danych z dokumentów za pomocą optycznego rozpoznawania znaków oraz zautomatyzowanych modeli ekstrakcji;
• kategoryzacji, wykrywania duplikatów i propozycji sposobu rozliczenia VAT;
• wystawiania faktur i innych dokumentów na polecenie Administratora;
• importu transakcji bankowych połączonych przez Administratora oraz ich dopasowywania do dokumentów;
• przygotowywania zestawień, raportów i eksportów do systemu księgowego lub doradcy Administratora;
• przechowywania dokumentów i danych w ramach Usługi przez czas trwania umowy oraz okres eksportu.

2.2. Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych do państw trzecich, chyba że obowiązek taki wynika z prawa Unii lub prawa państwa członkowskiego; w takim przypadku Podmiot przetwarzający informuje Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania.

3.1. Osoby, których dane dotyczą: partnerzy handlowi Administratora (dostawcy, klienci, osoby kontaktowe), pracownicy i współpracownicy Administratora w przypadku przetwarzania dokumentów płacowych lub wydatkowych, a także użytkownicy Usługi ze strony Administratora.

3.2. Kategorie danych osobowych: dane identyfikacyjne (imię i nazwisko, nazwa firmy, numer identyfikacyjny firmy i NIP); dane kontaktowe (adres, e-mail, telefon); dane finansowe (kwoty faktur, numery rachunków bankowych, tytuły płatności); dane pracownicze w przypadku przekazywania dokumentów płacowych (stanowisko, wynagrodzenie, identyfikatory ubezpieczeniowe); dane dotyczące korzystania z Usługi przez użytkowników Administratora.

3.3. Podmiot przetwarzający nie wymaga danych szczególnych kategorii w rozumieniu Artykułu 9 GDPR. Administrator zobowiązuje się nie przekazywać takich danych za pośrednictwem Usługi, chyba że są one zawarte w dokumencie, który Administrator jest prawnie zobowiązany przechowywać; w takim przypadku Administrator odpowiada za podstawę prawną przetwarzania.

Podmiot przetwarzający zobowiązuje się:

• przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Administratora i tylko w zakresie niezbędnym do świadczenia Usługi;
• zapewnić, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania poufności;
• wdrożyć środki techniczne i organizacyjne wymagane przez Artykuł 32 GDPR, w szczególności wymienione w Załączniku do niniejszej Umowy;
• nie korzystać z usług innego podmiotu przetwarzającego bez uprzedniej ogólnej pisemnej zgody Administratora, którą Administrator udziela na podstawie Artykułu 6 niniejszej Umowy;
• uwzględniając charakter przetwarzania, pomagać Administratorowi poprzez odpowiednie środki techniczne i organizacyjne w odpowiadaniu na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw;
• pomagać Administratorowi w zapewnieniu zgodności z Artykułami 32-36 GDPR (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków dla ochrony danych, uprzednie konsultacje), uwzględniając charakter przetwarzania i informacje dostępne Podmiotowi przetwarzającemu;
• według wyboru Administratora, usunąć lub zwrócić wszystkie dane osobowe po zakończeniu świadczenia Usługi oraz usunąć istniejące kopie, chyba że prawo Unii lub państwa członkowskiego wymaga ich przechowywania;
• udostępniać Administratorowi wszelkie informacje niezbędne do wykazania zgodności z Artykułem 28 GDPR oraz umożliwiać i wspierać przeprowadzanie audytów, w tym inspekcji, prowadzonych przez Administratora lub audytora upoważnionego przez Administratora;
• niezwłocznie informować Administratora, jeśli w jego ocenie polecenie narusza GDPR lub inne przepisy prawa Unii lub państwa członkowskiego dotyczące ochrony danych.

5.1. Podmiot przetwarzający zgłasza Administratorowi każde naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od powzięcia o nim wiadomości.

5.2. Zgłoszenie zawiera co najmniej: opis charakteru naruszenia, w miarę możliwości wraz z kategoriami i przybliżoną liczbą osób oraz rekordów, których dotyczy; imię, nazwisko i dane kontaktowe osoby odpowiedzialnej; opis prawdopodobnych konsekwencji; oraz opis podjętych lub proponowanych środków w celu zaradzenia naruszeniu i ograniczenia jego skutków.

5.3. Podmiot przetwarzający współpracuje z Administratorem w wypełnianiu przez niego obowiązków zgłoszeniowych wobec właściwego organu nadzorczego oraz osób, których dane dotyczą.

6.1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z podprzetwarzających w zakresie przetwarzania danych osobowych.

6.2. Aktualna lista podprzetwarzających, wraz z celem i lokalizacją każdego z nich, jest publikowana na stronie Podprzetwarzający w witrynie internetowej Podmiotu przetwarzającego i stanowi załącznik do niniejszej Umowy.

6.3. Podmiot przetwarzający informuje Administratora o każdym planowanym dodaniu lub zmianie podprzetwarzającego co najmniej 14 dni wcześniej, poprzez wiadomość e-mail na adres kontaktowy Administratora lub powiadomienie w Usłudze, dając Administratorowi możliwość zgłoszenia sprzeciwu.

6.4. Jeśli Administrator zgłosi uzasadniony sprzeciw w ciągu 14 dni od powiadomienia, Podmiot przetwarzający albo rezygnuje z planowanej zmiany, albo oferuje Administratorowi możliwość rozwiązania umowy bez kar oraz ze zwrotem opłaconych z góry opłat za niewykorzystany okres.

6.5. Podmiot przetwarzający nakłada na każdego podprzetwarzającego, w drodze umowy, takie same obowiązki w zakresie ochrony danych jak określone w niniejszej Umowie, w szczególności wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Jeśli podprzetwarzający nie wywiąże się ze swoich obowiązków, Podmiot przetwarzający ponosi wobec Administratora pełną odpowiedzialność za wykonanie obowiązków tego podprzetwarzającego.

7.1. Dane osobowe są przechowywane na serwerach zlokalizowanych w Unii Europejskiej. Podmiot przetwarzający nie przekazuje danych osobowych poza Europejski Obszar Gospodarczy, z wyjątkiem podprzetwarzających wymienionych na stronie Podprzetwarzający, i wyłącznie z zastosowaniem odpowiednich zabezpieczeń zgodnie z Rozdziałem V GDPR.

7.2. Takie przekazania opierają się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym na ramach EU-US Data Privacy Framework w przypadku certyfikowanych odbiorców), standardowych klauzulach umownych przyjętych przez Komisję na podstawie Artykułu 46 ust. 2 lit. c) GDPR lub innych odpowiednich zabezpieczeniach, uzupełnionych dodatkowymi środkami tam, gdzie wymaga tego ocena skutków przekazania danych.

8.1. Podmiot przetwarzający udziela Administratorowi rozsądnej pomocy w obsłudze żądań osób, których dane dotyczą, w zakresie wykonywania ich praw na podstawie Artykułów 15-22 GDPR (dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie danych, sprzeciw). Usługa zawiera funkcje wyszukiwania, eksportu i usuwania danych, które umożliwiają Administratorowi samodzielną obsługę większości żądań.

8.2. Jeśli osoba, której dane dotyczą, skontaktuje się bezpośrednio z Podmiotem przetwarzającym, Podmiot przetwarzający kieruje ją bez zbędnej zwłoki do Administratora i informuje o tym Administratora, chyba że żądanie dotyczy danych, w odniesieniu do których Podmiot przetwarzający sam jest administratorem.

9.1. Podmiot przetwarzający umożliwia Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów i inspekcji w celu weryfikacji zgodności z niniejszą Umową oraz z GDPR.

9.2. Audyty są przeprowadzane na koszt Administratora, z odpowiednim wyprzedzeniem wynoszącym co najmniej 14 dni roboczych, w godzinach pracy i w sposób, który nie zakłóca działalności Podmiotu przetwarzającego ani nie zagraża bezpieczeństwu danych innych klientów. Audytor musi być zobowiązany do zachowania poufności.

9.3. Zamiast audytu na miejscu Podmiot przetwarzający może przedstawić aktualne certyfikaty, raporty niezależnych audytorów lub inną dokumentację potwierdzającą zgodność ze środkami bezpieczeństwa, jeśli są one wystarczające do udzielenia odpowiedzi na pytania Administratora.

10.1. Niniejsza Umowa obowiązuje przez cały okres trwania stosunku umownego między Administratorem a Podmiotem przetwarzającym, czyli przez cały okres korzystania z Usługi przez Administratora.

10.2. Po zakończeniu stosunku umownego Podmiot przetwarzający: umożliwia Administratorowi eksport swoich danych przez 90 dni; po upływie 90 dni nieodwracalnie usuwa wszystkie dane osobowe Administratora; usuwa kopie zapasowe nie później niż w ciągu 45 dni od usunięcia danych podstawowych; oraz potwierdza usunięcie danych na żądanie Administratora. Wyłączone są dane, które Podmiot przetwarzający musi przechowywać na mocy prawa Unii lub państwa członkowskiego (w szczególności dokumenty rozliczeniowe).

10.3. Zobowiązania wynikające z niniejszej Umowy, w szczególności dotyczące poufności i bezpieczeństwa, pozostają w mocy po zakończeniu stosunku umownego, dopóki Podmiot przetwarzający posiada jakiekolwiek dane osobowe Administratora.

11.1. Podmiot przetwarzający odpowiada za szkody wyrządzone przetwarzaniem naruszającym niniejszą Umowę lub GDPR zgodnie z Artykułem 82 GDPR, w szczególności jeśli nie wypełnił obowiązków GDPR skierowanych bezpośrednio do podmiotów przetwarzających lub działał poza zakresem lub wbrew zgodnym z prawem poleceniom Administratora.

11.2. Ograniczenia odpowiedzialności zawarte w Regulaminie mają zastosowanie do niniejszej Umowy w zakresie dozwolonym przez prawo; nie ograniczają one praw osób, których dane dotyczą.

12.1. Niniejsza Umowa podlega prawu Republiki Czeskiej oraz bezpośrednio obowiązującemu prawu Unii Europejskiej, w szczególności RODO.

12.2. W przypadku sprzeczności między niniejszą Umową a Regulaminem, w sprawach ochrony danych osobowych pierwszeństwo ma niniejsza Umowa.

12.3. Zmiany niniejszej Umowy wymagają formy pisemnej, co obejmuje zaktualizowaną wersję opublikowaną na stronie internetowej i zgłoszoną Administratorowi zgodnie z Regulaminem.

12.4. Spory wynikające z niniejszej Umowy rozstrzygają sądy Republiki Czeskiej właściwe według siedziby Podmiotu przetwarzającego, bez uszczerbku dla praw osób, których dane dotyczą, oraz organów nadzorczych.

Szyfrowanie

• Szyfrowanie AES-256 danych przechowywanych, w tym kopii zapasowych.
• TLS 1.2 lub wyższy dla wszystkich danych przesyłanych, w tym połączeń z podprzetwarzającymi.

Kontrola dostępu

• Dostęp według zasady najmniejszych uprawnień; każdy pracownik i system ma tylko uprawnienia potrzebne do swojej roli.
• Uwierzytelnianie wieloskładnikowe dla dostępu administracyjnego i infrastrukturalnego.
• Rozdzielenie przestrzeni roboczych klientów na poziomie aplikacji i bazy danych.
• Regularny przegląd i szybkie cofanie uprawnień dostępu.

Dostępność i odporność

• Regularne, automatyczne kopie zapasowe z testowanymi procedurami przywracania.
• Redundantna infrastruktura hostingowa w Unii Europejskiej.
• Monitorowanie dostępności i wydajności z systemem alertów.

Integralność i rejestrowanie zdarzeń

• Rejestrowanie dostępu do danych osobowych oraz działań administracyjnych.
• Ślad audytowy dla dokumentów: kto je przesłał, zmienił, zatwierdził lub wyeksportował i kiedy.
• Wykrywanie anomalii i incydentów bezpieczeństwa.

Środki organizacyjne

• Zobowiązania do zachowania poufności wszystkich pracowników i wykonawców mających dostęp do danych osobowych.
• Szkolenia pracowników z zakresu ochrony danych i bezpieczeństwa.
• Udokumentowane procedury wewnętrzne dotyczące przetwarzania danych osobowych i obsługi żądań osób, których dane dotyczą.
• Plan reagowania na incydenty z określonymi rolami i terminami powiadomień.
• Weryfikacja ochrony danych nowych podprzetwarzających przed nawiązaniem współpracy.