Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

1. Umowa zostaje zawarta między Klientem, który korzysta z serwisu Księguś (Administrator), a Volt and Amaranth spółka z ograniczoną odpowiedzialnością, ul. 55 Pułku Piechoty 34, 64-100 Leszno, NIP 6972347881, KRS 0000733234 (Przetwarzający).
2. Umowa jest zawierana w postaci elektronicznej (art. 28 ust. 9 RODO), przy rejestracji w serwisie, razem z umową o świadczenie usług na warunkach Regulaminu (Umowa główna), i obowiązuje tak długo jak Umowa główna oraz do czasu usunięcia danych zgodnie z § 9. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.
3. Umowa wykonuje art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). W sprawach w niej nieuregulowanych stosuje się RODO i Regulamin.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych zawartych w Danych Klienta wyłącznie w celu świadczenia usług opisanych w Regulaminie.
2. Przetwarzanie obejmuje: zbieranie (w tym pobieranie z KSeF i odczytywanie z przesłanych plików i wyciągów), utrwalanie, przechowywanie, porządkowanie, przeglądanie, dopasowywanie, wykorzystywanie do przygotowania faktur, plików przelewów i zestawień, udostępnianie Użytkownikom Administratora, przekazywanie do KSeF na polecenie Administratora, tworzenie kopii zapasowych i usuwanie. Dane są przetwarzane w systemie informatycznym, w sposób ciągły, przez czas trwania Umowy głównej.
3. Kategorie osób, których dane dotyczą:
   • kontrahenci Administratora (nabywcy i dostawcy) będący osobami fizycznymi, w tym osobami prowadzącymi działalność gospodarczą, oraz ich przedstawiciele i osoby kontaktowe;
   • osoby wskazane w tytułach przelewów i operacjach bankowych;
   • pracownicy i współpracownicy Administratora (umowa o pracę, zlecenia, o dzieło) oraz osoby, którym Administrator nadał dostęp do serwisu.
4. Rodzaje danych:
   • dane identyfikacyjne i kontaktowe: imię i nazwisko, nazwa firmy, NIP, adres, adres e-mail, numer telefonu;
   • dane finansowe: numery rachunków bankowych, kwoty, tytuły i daty płatności, treść faktur;
   • dane pracowników: PESEL, data urodzenia, adres, numer rachunku, rodzaj i warunki umowy, wynagrodzenie, czas pracy, urlopy i nieobecności, dokumenty kadrowe;
   • dane szczególnej kategorii (dane o zdrowiu): zwolnienia lekarskie i orzeczenia lekarskie pracowników, jeżeli Administrator wprowadzi je do serwisu.

§ 3. Polecenia Administratora

1. Przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora, także w zakresie przekazywania danych do państwa trzeciego, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo polskie. W takim przypadku informuje o tym Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.
2. Udokumentowanym poleceniem są: niniejsza umowa, Regulamin, ustawienia i czynności wykonane przez Użytkowników Administratora w serwisie (np. pobranie faktur, wczytanie wyciągu, dodanie pracownika, eksport) oraz polecenia przesłane e-mailem z adresu właściciela konta firmy.
3. Jeżeli zdaniem Przetwarzającego polecenie narusza RODO lub inne przepisy o ochronie danych, Przetwarzający niezwłocznie informuje o tym Administratora i może wstrzymać jego wykonanie do czasu wyjaśnienia.
4. Przetwarzający nie wykorzystuje powierzonych danych do własnych celów.

§ 4. Obowiązki Przetwarzającego

1. Przetwarzający dopuszcza do danych wyłącznie osoby, które ich potrzebują do świadczenia usług, utrzymania i ochrony serwisu, upoważnione przez niego i zobowiązane do zachowania tajemnicy, także po zakończeniu współpracy.
2. Przetwarzający stosuje środki techniczne i organizacyjne wymagane przez art. 32 RODO, opisane w Załączniku nr 1, i aktualizuje je stosownie do ryzyka oraz stanu techniki. Może je zmieniać, o ile nie obniży poziomu ochrony.
3. Przetwarzający, w miarę możliwości, pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 12–22 RODO), w szczególności przez funkcje serwisu pozwalające wyszukać, poprawić, wyeksportować i usunąć dane. Żądanie skierowane wprost do Przetwarzającego przekazuje Administratorowi bez zbędnej zwłoki i sam na nie nie odpowiada, chyba że Administrator go o to poprosi.
4. Przetwarzający pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne mu informacje.
5. Przetwarzający prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO.

§ 5. Naruszenia ochrony danych

1. Przetwarzający zgłasza Administratorowi stwierdzone naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, e-mailem na adres właściciela konta firmy.
2. Zgłoszenie zawiera, w miarę dostępności, informacje wymienione w art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje, podjęte i proponowane środki oraz dane kontaktowe. Informacje, których nie da się podać od razu, Przetwarzający przekazuje sukcesywnie.
3. Przetwarzający niezwłocznie podejmuje działania, które ograniczą skutki naruszenia, i dokumentuje każde naruszenie. Decyzję o zgłoszeniu naruszenia organowi nadzorczemu i zawiadomieniu osób, których dane dotyczą, podejmuje Administrator.

§ 6. Dalsze powierzenie (podprzetwarzający)

1. Administrator udziela Przetwarzającemu ogólnej zgody na korzystanie z usług innych podmiotów przetwarzających (podprzetwarzających). Aktualna lista jest w Załączniku nr 2.
2. O zamiarze dodania lub zastąpienia podprzetwarzającego Przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw. Jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć Umowę główną ze skutkiem natychmiastowym, a Przetwarzający zwraca mu niewykorzystaną część opłaconego wynagrodzenia.
3. Przetwarzający nakłada na podprzetwarzającego, w drodze umowy, te same obowiązki ochrony danych co w tej umowie, w szczególności obowiązek wdrożenia odpowiednich środków bezpieczeństwa. Przetwarzający odpowiada wobec Administratora za wykonanie obowiązków przez podprzetwarzającego.
4. Przekazanie danych do KSeF, wykazu podatników VAT, rejestru REGON albo innego systemu administracji publicznej na polecenie Administratora nie jest dalszym powierzeniem. Te systemy prowadzą organy działające na podstawie przepisów prawa.

§ 7. Miejsce przetwarzania

Przetwarzający przetwarza dane wyłącznie na terytorium Europejskiego Obszaru Gospodarczego i nie przekazuje ich do państw trzecich ani organizacji międzynarodowych bez uprzedniej zgody Administratora wyrażonej na piśmie lub w postaci elektronicznej.

§ 8. Kontrola

1. Przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania, że spełnia obowiązki z art. 28 RODO, w szczególności odpowiada na pytania przesłane e-mailem w ciągu 14 dni.
2. Administrator lub upoważniony przez niego audytor zobowiązany do zachowania tajemnicy może przeprowadzić audyt lub inspekcję, po zawiadomieniu Przetwarzającego co najmniej 14 dni wcześniej, w dniach roboczych, w sposób nieutrudniający działania serwisu i bez dostępu do danych innych klientów. Audyt odbywa się zasadniczo przez analizę dokumentów i wyjaśnień; inspekcja na miejscu jest możliwa, gdy nie wystarczą one do wykazania zgodności albo po naruszeniu ochrony danych. Koszty audytu ponosi Administrator.
3. Przetwarzający niezwłocznie informuje Administratora o kontroli organu nadzorczego dotyczącej powierzonych danych.

§ 9. Zakończenie przetwarzania

1. Po zakończeniu Umowy głównej Administrator może przez 30 dni pobrać dane za pomocą eksportów dostępnych w serwisie albo poprosić o ich przekazanie e-mailem w powszechnie używanym formacie.
2. Po upływie tego terminu Przetwarzający usuwa powierzone dane z serwisu. Z kopii zapasowych dane są usuwane w zwykłym cyklu ich zastępowania, nie później niż po 12 miesiącach; do tego czasu kopie pozostają zaszyfrowane i nie są używane do żadnego innego celu niż odtworzenie serwisu po awarii.
3. Obowiązek usunięcia nie dotyczy danych, których przechowywanie nakazuje Przetwarzającemu prawo Unii lub prawo polskie.
4. Na prośbę Administratora Przetwarzający potwierdza usunięcie danych e-mailem.

§ 10. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność stron wobec osób, których dane dotyczą, i wobec organów określa art. 82 i 83 RODO. We wzajemnych relacjach stron stosuje się zasady i ograniczenia odpowiedzialności z Regulaminu, chyba że przepisy prawa nie pozwalają ich zastosować.
2. Administrator oświadcza, że ma podstawę prawną do przetwarzania powierzanych danych, w tym danych o zdrowiu pracowników, i że wprowadza do serwisu tylko dane potrzebne do celów, w których z niego korzysta.
3. Zmiany tej umowy wprowadza się w trybie przewidzianym dla zmian Regulaminu. Zmiana Załącznika nr 2 następuje w trybie § 6 ust. 2.
4. Umowa podlega prawu polskiemu. W razie sprzeczności między tą umową a Regulaminem w sprawach ochrony danych osobowych pierwszeństwo ma ta umowa.

Załącznik nr 1. Środki techniczne i organizacyjne

• Serwer i baza danych w centrum danych na terenie UE z certyfikatem ISO/IEC 27001 (Hetzner, Helsinki). Baza danych nie jest dostępna z internetu.
• Połączenia z serwisem wyłącznie szyfrowane (HTTPS, HSTS).
• Szyfrowanie w bazie danych: tokeny KSeF, szczegóły operacji bankowych (nazwa kontrahenta, rachunek, tytuł), pliki przelewów, pliki faktur przesłanych e-mailem oraz dane pracowników (PESEL, adres, rachunek, dokumenty). Klucz szyfrujący jest przechowywany poza bazą danych i jej kopiami; można go wymienić z ponownym zaszyfrowaniem danych.
• Codzienna, zaszyfrowana kopia zapasowa u innego dostawcy, w innym centrum danych w UE (OVHcloud, Warszawa); odtwarzanie z kopii jest testowane.
• Hasła zapisane jako skróty Argon2; blokada konta po 5 nieudanych próbach logowania; ograniczenie prób także według adresu IP; logowanie dwuetapowe (aplikacja uwierzytelniająca, kody zapasowe) dostępne dla każdego Użytkownika.
• Sesja wygasa po 60 minutach bezczynności i najpóźniej po 12 godzinach; zmiana hasła wylogowuje pozostałe urządzenia.
• Rozdzielenie danych klientów: każda strona firmy sprawdza uprawnienia Użytkownika, dostęp zależy od roli w danej firmie; testy automatyczne sprawdzają, że Użytkownik nie widzi danych innej firmy.
• Ochrona aplikacji: zapytania do bazy wyłącznie z parametrami (ochrona przed SQL injection), polityka Content Security Policy, ochrona przed osadzaniem w ramkach, pliki przesłane przez użytkowników otwierane w izolacji.
• Dziennik bezpieczeństwa (logowania, nieudane próby, eksporty, pobrane pliki przelewów, otwarcia dokumentów o zdrowiu, zmiany tokenu KSeF), dostępny dla właściciela i księgowości firmy, przechowywany 365 dni.
• Automatyczne usuwanie danych niepotrzebnych: pliki przelewów i nieprzyjęte pliki z e-maili po 90 dniach, wpisy dziennika bezpieczeństwa po 365 dniach.
• Automatyczne sprawdzanie bibliotek pod kątem znanych podatności przy każdej zmianie kodu i co tydzień; aktualizacje bezpieczeństwa systemu serwera.
• Dostęp administracyjny do serwera wyłącznie kluczem SSH, dla upoważnionych osób; procedura reagowania na incydenty z podziałem obowiązków przy zgłaszaniu naruszeń.

Załącznik nr 2. Podprzetwarzający