Договір доручення обробки персональних даних

§ 1. Сторони та укладення договору

1. Договір укладається між Клієнтом, який користується сервісом Księguś (Адміністратор), і Volt and Amaranth spółka z ograniczoną odpowiedzialnością, ul. 55 Pułku Piechoty 34, 64-100 Leszno, NIP 6972347881, KRS 0000733234 (Обробник).
2. Договір укладається в електронній формі (ст. 28 п. 9 GDPR), під час реєстрації в сервісі, разом із договором про надання послуг на умовах Правил (Основний договір), і діє, доки діє Основний договір, а також до моменту видалення даних відповідно до § 9. Терміни, написані з великої літери, мають значення, наданого їм у Правилах.
3. Договір виконує ст. 28 Регламенту (ЄС) 2016/679 Європейського Парламенту та Ради (Загальний регламент про захист даних, GDPR/RODO). У питаннях, не врегульованих цим договором, застосовуються GDPR і Правила.

§ 2. Предмет, характер і мета обробки

1. Адміністратор доручає Обробнику обробку персональних даних, що містяться в Даних Клієнта, виключно з метою надання послуг, описаних у Правилах.
2. Обробка охоплює: збирання (зокрема завантаження з KSeF і зчитування з надісланих файлів і виписок), фіксацію, зберігання, упорядкування, перегляд, зіставлення, використання для підготовки рахунків-фактур, файлів переказів і звітів, надання доступу Користувачам Адміністратора, передачу до KSeF за дорученням Адміністратора, створення резервних копій і видалення. Дані обробляються в інформаційній системі, безперервно, протягом строку дії Основного договору.
3. Категорії суб'єктів даних:
   • контрагенти Адміністратора (покупці та постачальники), які є фізичними особами, зокрема особами, що ведуть підприємницьку діяльність, а також їхні представники та контактні особи;
   • особи, зазначені в призначеннях платежів і банківських операціях;
   • працівники та співпрацівники Адміністратора (трудовий договір, цивільно-правовий договір доручення (umowa zlecenia), договір підряду (umowa o dzieło)), а також особи, яким Адміністратор надав доступ до сервісу.
4. Види даних:
   • ідентифікаційні та контактні дані: ім'я та прізвище, назва фірми, NIP, адреса, адреса електронної пошти, номер телефону;
   • фінансові дані: номери банківських рахунків, суми, призначення та дати платежів, зміст рахунків-фактур;
   • дані працівників: PESEL, дата народження, адреса, номер рахунку, вид і умови договору, заробітна плата, робочий час, відпустки та відсутності, кадрові документи;
   • дані особливої категорії (дані про здоров'я): листки непрацездатності та медичні висновки щодо працівників, якщо Адміністратор введе їх до сервісу.

§ 3. Доручення Адміністратора

1. Обробник обробляє дані виключно за задокументованим дорученням Адміністратора, зокрема щодо передачі даних до третьої країни, якщо тільки обов'язок обробки не покладено на нього правом Союзу або правом Польщі. У такому разі він повідомляє про це Адміністратора до початку обробки, якщо закон цього не забороняє.
2. Задокументованим дорученням є: цей договір, Правила, налаштування та дії, виконані Користувачами Адміністратора в сервісі (наприклад, завантаження рахунків-фактур, завантаження виписки, додавання працівника, експорт), а також доручення, надіслані електронною поштою з адреси власника облікового запису фірми.
3. Якщо, на думку Обробника, доручення порушує GDPR або інші норми про захист даних, Обробник негайно повідомляє про це Адміністратора і може призупинити його виконання до з'ясування питання.
4. Обробник не використовує доручених даних для власних цілей.

§ 4. Обов'язки Обробника

1. Обробник допускає до даних виключно осіб, яким вони потрібні для надання послуг, підтримки та захисту сервісу, уповноважених ним і зобов'язаних зберігати конфіденційність, зокрема після завершення співпраці.
2. Обробник застосовує технічні та організаційні заходи, яких вимагає ст. 32 GDPR, описані в Додатку № 1, і оновлює їх відповідно до ризику та рівня техніки. Він може їх змінювати за умови, що не знизить рівня захисту.
3. Обробник у міру можливості допомагає Адміністратору виконувати обов'язок відповідати на запити суб'єктів даних (ст. 12–22 GDPR), зокрема за допомогою функцій сервісу, що дозволяють знайти, виправити, експортувати та видалити дані. Запит, спрямований безпосередньо Обробнику, він передає Адміністратору без зайвої затримки і сам на нього не відповідає, якщо Адміністратор не попросить його про це.
4. Обробник допомагає Адміністратору виконувати обов'язки, передбачені ст. 32–36 GDPR (безпека, повідомлення про порушення, оцінка впливу, попередні консультації), з урахуванням характеру обробки та доступної йому інформації.
5. Обробник веде реєстр категорій операцій з обробки, передбачений ст. 30 п. 2 GDPR.

§ 5. Порушення захисту даних

1. Обробник повідомляє Адміністратора про виявлене порушення захисту доручених даних без зайвої затримки, не пізніше ніж протягом 36 годин з моменту його виявлення, електронною поштою на адресу власника облікового запису фірми.
2. Повідомлення містить, у міру наявності, інформацію, зазначену в ст. 33 п. 3 GDPR: характер порушення, категорії та приблизну кількість осіб і записів, імовірні наслідки, вжиті та запропоновані заходи, а також контактні дані. Інформацію, яку неможливо надати одразу, Обробник передає поступово.
3. Обробник негайно вживає заходів для обмеження наслідків порушення і документує кожне порушення. Рішення про повідомлення наглядового органу про порушення та про повідомлення суб'єктів даних ухвалює Адміністратор.

§ 6. Подальше доручення (субобробники)

1. Адміністратор надає Обробнику загальний дозвіл на залучення інших обробників (субобробників). Актуальний перелік наведено в Додатку № 2.
2. Про намір додати або замінити субобробника Обробник повідомляє Адміністратора електронною поштою щонайменше за 14 днів. Протягом цього часу Адміністратор може висловити обґрунтоване заперечення. Якщо сторони не дійдуть згоди, Адміністратор може розірвати Основний договір із негайним набранням чинності, а Обробник повертає йому невикористану частину сплаченої винагороди.
3. Обробник шляхом укладення договору покладає на субобробника ті самі обов'язки щодо захисту даних, що й у цьому договорі, зокрема обов'язок запровадити належні заходи безпеки. Обробник відповідає перед Адміністратором за виконання обов'язків субобробником.
4. Передача даних до KSeF, переліку платників ПДВ, реєстру REGON або іншої системи органів державної влади за дорученням Адміністратора не є подальшим дорученням. Ці системи ведуть органи, що діють на підставі законодавства.

§ 7. Місце обробки

Обробник обробляє дані виключно на території Європейської економічної зони і не передає їх до третіх країн чи міжнародних організацій без попередньої згоди Адміністратора, наданої в письмовій або електронній формі.

§ 8. Контроль

1. Обробник надає Адміністратору всю інформацію, необхідну для підтвердження того, що він виконує обов'язки, передбачені ст. 28 GDPR, зокрема відповідає на запитання, надіслані електронною поштою, протягом 14 днів.
2. Адміністратор або уповноважений ним аудитор, зобов'язаний зберігати конфіденційність, може провести аудит або інспекцію, повідомивши Обробника щонайменше за 14 днів, у робочі дні, у спосіб, що не ускладнює роботу сервісу, і без доступу до даних інших клієнтів. Аудит проводиться, як правило, шляхом аналізу документів і пояснень; інспекція на місці можлива, якщо їх недостатньо для підтвердження відповідності, або після порушення захисту даних. Витрати на аудит несе Адміністратор.
3. Обробник негайно повідомляє Адміністратора про перевірку наглядового органу, що стосується доручених даних.

§ 9. Завершення обробки

1. Після припинення Основного договору Адміністратор може протягом 30 днів завантажити дані за допомогою функцій експорту, доступних у сервісі, або попросити передати їх електронною поштою в поширеному форматі.
2. Після спливу цього строку Обробник видаляє доручені дані із сервісу. З резервних копій дані видаляються у звичайному циклі їх заміни, не пізніше ніж через 12 місяців; до цього часу копії залишаються зашифрованими і не використовуються для жодної іншої мети, крім відновлення сервісу після збою.
3. Обов'язок видалення не стосується даних, зберігання яких Обробнику приписує право Союзу або право Польщі.
4. На прохання Адміністратора Обробник підтверджує видалення даних електронною поштою.

§ 10. Відповідальність і прикінцеві положення

1. Відповідальність сторін перед суб'єктами даних і перед органами визначають ст. 82 і 83 GDPR. У взаємовідносинах сторін застосовуються засади та обмеження відповідальності, передбачені Правилами, якщо законодавство не забороняє їх застосування.
2. Адміністратор заявляє, що має правову підставу для обробки доручених даних, зокрема даних про здоров'я працівників, і що вводить до сервісу лише дані, необхідні для цілей, з якими він ним користується.
3. Зміни до цього договору вносяться в порядку, передбаченому для змін Правил. Зміна Додатка № 2 здійснюється в порядку § 6 п. 2.
4. Договір регулюється правом Польщі. У разі суперечності між цим договором і Правилами в питаннях захисту персональних даних перевагу має цей договір.

Додаток № 1. Технічні та організаційні заходи

• Сервер і база даних у центрі обробки даних на території ЄС із сертифікатом ISO/IEC 27001 (Hetzner, Гельсінкі). База даних недоступна з інтернету.
• З'єднання із сервісом виключно зашифровані (HTTPS, HSTS).
• Шифрування в базі даних: токени KSeF, деталі банківських операцій (назва контрагента, рахунок, призначення платежу), файли переказів, файли рахунків-фактур, надісланих електронною поштою, а також дані працівників (PESEL, адреса, рахунок, документи). Ключ шифрування зберігається поза базою даних та її копіями; його можна замінити з повторним шифруванням даних.
• Щоденна зашифрована резервна копія в іншого постачальника, в іншому центрі обробки даних у ЄС (OVHcloud, Варшава); відновлення з копії тестується.
• Паролі зберігаються у вигляді хешів Argon2; блокування облікового запису після 5 невдалих спроб входу; обмеження кількості спроб також за IP-адресою; двоетапний вхід (застосунок для автентифікації, резервні коди) доступний кожному Користувачу.
• Сесія спливає після 60 хвилин бездіяльності і не пізніше ніж через 12 годин; зміна пароля завершує сесії на інших пристроях.
• Розмежування даних клієнтів: кожна сторінка фірми перевіряє повноваження Користувача, доступ залежить від ролі в цій фірмі; автоматичні тести перевіряють, що Користувач не бачить даних іншої фірми.
• Захист застосунку: запити до бази даних виключно з параметрами (захист від SQL injection), політика Content Security Policy, захист від вбудовування у фрейми, файли, завантажені користувачами, відкриваються в ізольованому середовищі.
• Журнал безпеки (входи, невдалі спроби, експорти, завантажені файли переказів, відкриття документів про здоров'я, зміни токена KSeF), доступний власнику та бухгалтерії фірми, зберігається 365 днів.
• Автоматичне видалення непотрібних даних: файли переказів і неприйняті файли з електронних листів — через 90 днів, записи журналу безпеки — через 365 днів.
• Автоматична перевірка бібліотек на відомі вразливості під час кожної зміни коду та щотижня; оновлення безпеки системи сервера.
• Адміністративний доступ до сервера виключно за допомогою ключа SSH, для уповноважених осіб; процедура реагування на інциденти з розподілом обов'язків щодо повідомлення про порушення.

Додаток № 2. Субобробники