Umowa powierzenia przetwarzania danych osobowych – załącznik do Regulaminu (Bookkeepio)

Umowa powierzenia przetwarzania danych osobowych nr [numer ID] (dalej: Umowa)

zawarta dnia [data akceptacji Regulaminu] pomiędzy:

360BIURO Spółka z ograniczoną odpowiedzialnością z siedzibą w Samborowie, ul. Ostródzka 18, 14-100 Samborowo, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w Olsztynie pod numerem KRS 0001240518, NIP 7412176226, REGON 544703499, kapitał zakładowy 5000 zł, zwaną dalej Podmiotem przetwarzającym lub Bookkeepio,

a

[Dane Firmy: nazwa, adres, NIP – z konta Usługobiorcy], zwanym dalej Administratorem.

Zważywszy, że Strony łączy umowa o świadczenie usług zawarta na podstawie Regulaminu świadczenia usług Bookkeepio (dalej: Umowa główna), Strony zawierają niniejszą Umowę na podstawie art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: RODO).

§ 1. Przedmiot Umowy

  1. Administrator oświadcza, że jest administratorem danych osobowych, które wprowadza do Serwisu Bookkeepio, i że przetwarza je zgodnie z przepisami. Administrator oświadcza ponadto, że zawiera Umowę w związku z prowadzoną działalnością gospodarczą lub zawodową.
  2. Administratorem jest Usługobiorca w rozumieniu Regulaminu, czyli właściciel Firmy (tenant). Użytkownicy, w tym biuro rachunkowe obsługujące Usługobiorcę, działają w jego imieniu i na rzecz; nie są stroną Umowy.
  3. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu określonych w Umowie, a Podmiot przetwarzający zobowiązuje się je przetwarzać zgodnie z Umową i RODO.

§ 2. Zakres danych, kategorie osób i cel przetwarzania

  1. Powierzenie obejmuje dane osobowe wprowadzone przez Administratora do Serwisu lub zgromadzone w Serwisie w związku z korzystaniem z Usług, w szczególności:
    1. dane kontrahentów i osób reprezentujących kontrahentów: imię i nazwisko, firma, NIP, adres, adres e-mail, numer telefonu, numer rachunku bankowego, dane na fakturach i w korespondencji;
    2. dane pracowników, zleceniobiorców i innych osób zatrudnionych lub współpracujących (moduł kadrowy i listy płac): imię i nazwisko, PESEL, adres, data urodzenia, numer rachunku bankowego, dane o umowie i wynagrodzeniu, dane o składkach ZUS i zaliczkach na podatek;
    3. dane osobowe widoczne w dokumentach i plikach przesłanych do Serwisu (faktury, rachunki, skany, wyciągi bankowe, załączniki), w tym tytuły przelewów i dane stron operacji;
    4. dane Użytkowników Administratora: imię i nazwisko, adres e-mail, identyfikatory kont i kluczy dostępu, role i uprawnienia, adresy IP i logi działań.
  2. Celem przetwarzania jest wyłącznie świadczenie Usług określonych w Umowie głównej, tj.: udostępnianie Serwisu, przechowywanie danych, generowanie dokumentów i zestawień, aktualizacja Serwisu, archiwizacja i zabezpieczanie danych przed utratą, obsługa Zgłoszeń i Asystenta oraz działanie Integracji uruchomionych przez Administratora.
  3. Operacje na danych obejmują: zbieranie, utrwalanie, przechowywanie, przeglądanie, porządkowanie, modyfikowanie, udostępnianie przez Integracje na polecenie Administratora, kopiowanie (kopie bezpieczeństwa), usuwanie.
  4. Podmiot przetwarzający nie będzie wykorzystywał powierzonych danych w innych celach.

Administrator nie powinien powierzać Podmiotowi przetwarzającemu danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków (art. 10 RODO), chyba że jest to nieuniknione w związku z treścią przetwarzanych dokumentów (np. dane wynikające z zasiłków, listy płac). Ewentualne takie dane przetwarzane są wyłącznie w zakresie wynikającym z korzystania z funkcji Serwisu, a Administrator ponosi odpowiedzialność za zapewnienie podstawy prawnej.

[KOMENTARZ] Moduł kadrowy (listy płac, ZUS) może zawierać informacje o zwolnieniach lekarskich/zasiłkach, co jest daną o zdrowiu. Zdecyduj, czy moduł ma to wspierać (wtedy dopisz to do zakresu i do środków bezpieczeństwa), czy zakazać i przypomnieć w UI.

§ 3. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

  1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora; za udokumentowane polecenie uznaje się Umowę, Regulamin oraz działania Użytkowników w Serwisie, chyba że obowiązek przetwarzania nakłada na niego prawo UE lub prawo polskie – wtedy informuje o tym Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zakazuje;
  2. zapewnia, by osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;
  3. stosuje środki techniczne i organizacyjne wymagane art. 32 RODO, w tym wskazane w Załączniku nr 1 do Umowy;
  4. przestrzega warunków korzystania z usług innych podmiotów przetwarzających (§ 4);
  5. w miarę możliwości, uwzględniając charakter przetwarzania, pomaga Administratorowi, za pomocą odpowiednich środków technicznych i organizacyjnych, wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO); w szczególności udostępnia funkcje eksportu, sprostowania i usuwania danych w Serwisie;
  6. uwzględniając charakter przetwarzania i dostępne mu informacje, pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO;
  7. zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, a w miarę możliwości nie później niż w ciągu [____] godzin od stwierdzenia naruszenia, podając informacje, którymi dysponuje, niezbędne do oceny skutków i dokonania ewentualnego zgłoszenia do organu nadzorczego;
  8. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia audyty, w tym inspekcje, przeprowadzane przez Administratora lub audytora przez niego upoważnionego, w zakresie, trybie i czasie ustalonych z Podmiotem przetwarzającym z co najmniej [30] dniowym wyprzedzeniem, bez naruszania tajemnicy przedsiębiorstwa Podmiotu przetwarzającego i bezpieczeństwa danych innych klientów; koszty audytu ponosi Administrator;

niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.

[KOMENTARZ] Termin zgłaszania naruszeń (ust. 7): Administrator ma 72 h na zgłoszenie do UODO od chwili „dowiedzenia się”, więc procesor powinien zgłaszać szybko – rynkowo 24–48 h. Wpisz taki, jaki realnie obsłużysz (np. 48).

§ 4. Podpowierzenie

  1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z usług innych podmiotów przetwarzających (dalej: Podprzetwarzający) w zakresie niezbędnym do świadczenia Usług, w szczególności dostawców infrastruktury informatycznej, przechowywania plików, poczty elektronicznej i operatorów płatności.
  2. Aktualny wykaz Podprzetwarzających jest dostępny pod adresem [https://www.bookkeepio.pl/podpowierzenie] (Załącznik nr 2) i jest aktualizowany na bieżąco.
  3. O zamiarze dodania lub zastąpienia Podprzetwarzającego Podmiot przetwarzający informuje Administratora z wyprzedzeniem co najmniej [14] dni, [komunikatem w Serwisie / wiadomością e-mail]. W tym terminie Administrator może zgłosić umotywowany sprzeciw w Serwisie lub przez moduł Zgłoszenia. Do czasu rozstrzygnięcia sprzeciwu dane nie będą przekazywane nowemu Podprzetwarzającemu.
  4. Jeżeli sprzeciw nie może zostać uwzględniony, każda ze Stron może rozwiązać Umowę główną w odniesieniu do usług objętych sprzeciwem ze skutkiem na koniec bieżącego Okresu abonamentowego lub – w razie braku zgody Administratora na dalsze korzystanie z Serwisu – Administrator może usunąć Firmę i wyeksportować dane przed jej usunięciem. Dane powierzone przed zgłoszeniem sprzeciwu uznaje się za powierzone zgodnie z prawem.
  5. Podmiot przetwarzający nakłada na Podprzetwarzających obowiązki ochrony danych równoważne wynikającym z Umowy i odpowiada wobec Administratora za wykonywanie tych obowiązków.
  6. Podmiot przetwarzający wybiera Podprzetwarzających zapewniających przetwarzanie danych w Europejskim Obszarze Gospodarczym albo w państwie, wobec którego Komisja Europejska wydała decyzję stwierdzającą odpowiedni poziom ochrony (art. 45 RODO), albo stosujących odpowiednie zabezpieczenia (art. 46 RODO), w szczególności standardowe klauzule umowne.

§ 5. Usługi AI i Integracje

  1. Usługa odczytu danych ze skanów (Usługi AI) wykorzystuje usługę Claude API dostarczaną przez Anthropic PBC. Przekazanie skanu do tej usługi następuje wyłącznie z inicjatywy Użytkownika (wgranie skanu lub włączenie odczytu).
  2. Usługa działa wyłącznie w oparciu o klucz dostępu do Claude API wprowadzony w Serwisie przez Administratora, w ramach jego własnego konta u dostawcy. Administrator oświadcza, że zawarł z dostawcą umowę uprawniającą go do przekazywania danych do usługi i ponosi odpowiedzialność za tę umowę oraz za zgodność z jej warunkami. Podmiot przetwarzający działa wyłącznie jako narzędzie techniczne przekazujące dane na polecenie Administratora, nie jest stroną umowy z dostawcą, a dostawca nie jest jego Podprzetwarzającym.
  3. Integracje uruchomione przez Administratora (KSeF, 360 Księgowość, WooCommerce, REGON, VIES) przekazują dane do tych systemów lub z nich pobierają dane wyłącznie na polecenie Administratora. Dostawcy tych systemów nie są Podprzetwarzającymi Podmiotu przetwarzającego, lecz odrębnymi administratorami lub podmiotami przetwarzającymi Administratora.

§ 6. Biuro rachunkowe działające w imieniu Administratora

  1. Jeżeli Administrator korzysta z Serwisu za pośrednictwem biura rachunkowego lub innego podmiotu, który działa na jego rzecz jako Użytkownik (w tym jako jego podmiot przetwarzający), polecenia wydawane w Serwisie przez takiego Użytkownika uważa się za polecenia Administratora. Podmiot ten nie jest stroną Umowy ani Umowy głównej.
  2. Administrator odpowiada za dobór Użytkowników, nadawanie im uprawnień i odebranie ich po ustaniu upoważnienia, a także za zawarcie z biurem rachunkowym umowy powierzenia przetwarzania danych osobowych, jeżeli biuro przetwarza dane osobowe w jego imieniu.
  3. Biuro rachunkowe, które samo jest Usługobiorcą (właścicielem własnej Firmy), jest Administratorem w odniesieniu do danych tej Firmy. Jeżeli w stosunku do danych swoich klientów wprowadzonych do jej Firmy występuje jako podmiot przetwarzający, niniejsza Umowa stanowi umowę o dalsze powierzenie (podpowierzenie) w rozumieniu art. 28 ust. 4 RODO; biuro oświadcza wówczas, że uzyskało od swoich klientów zgodę na podpowierzenie danych Podmiotowi przetwarzającemu i Podprzetwarzającym z Załącznika nr 2.

§ 7. Okres obowiązywania, zwrot i usunięcie danych

  1. Umowa obowiązuje od dnia akceptacji Regulaminu do zakończenia świadczenia Usług i usunięcia danych zgodnie z ust. 2–4. Przedłużenie Okresu abonamentowego powoduje przedłużenie Umowy bez składania dodatkowych oświadczeń.
  2. Po zakończeniu świadczenia Usług Podmiot przetwarza dane przez okres określony w Regulaminie (§ 8 i § 9), w tym w trybie tylko do odczytu do 6 miesięcy od wygaśnięcia Planu płatnego, w celu umożliwienia Administratorowi ich eksportu lub wznowienia korzystania z Serwisu, a następnie usuwa je albo – na żądanie Administratora – zwraca wcześniej w postaci możliwej do odczytania (eksport w formatach CSV, XLSX, PDF, XML/JPK).
  3. Usunięcie Firmy przez Administratora powoduje usunięcie danych z systemu produkcyjnego; dane z kopii bezpieczeństwa są usuwane w ciągu 30 dni.
  4. Podmiot przetwarzający może przechowywać dane dłużej wyłącznie wtedy, gdy wymaga tego prawo UE lub prawo polskie.

§ 8. Odpowiedzialność

  1. Podmiot przetwarzający nie odpowiada za udostępnienie danych osobom nieupoważnionym, ich zabranie, uszkodzenie lub zniszczenie, jeżeli przyczyną jest działanie lub zaniechanie Administratora, w szczególności udostępnienie danych uwierzytelniających osobom trzecim lub ustalenie niewłaściwych uprawnień Użytkowników.
  2. Odpowiedzialność Podmiotu przetwarzającego z tytułu Umowy względem Administratora jest ograniczona zgodnie z Regulaminem (§ 11 ust. 3), z wyłączeniem szkody wyrządzonej umyślnie.
  3. Do odpowiedzialności Podmiotu przetwarzającego stosuje się odpowiednio zasady odpowiedzialności określone w Regulaminie.

§ 9. Postanowienia końcowe

  1. W sprawach nieuregulowanych stosuje się RODO, ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych, Regulamin oraz Kodeks cywilny.
  2. Sądem właściwym do rozstrzygania sporów jest sąd powszechny właściwy ze względu na siedzibę Podmiotu przetwarzającego.
  3. Zmiany Umowy są publikowane w Serwisie, a o zmianie Administrator jest informowany drogą elektroniczną w trybie przewidzianym dla zmiany Regulaminu.
  4. Umowa została zawarta w formie elektronicznej i nie wymaga podpisów Stron.

Załącznik nr 1 – Środki techniczne i organizacyjne

  1. Transmisja danych szyfrowana protokołem HTTPS/TLS.
  2. Uwierzytelnianie kluczami dostępu (WebAuthn/passkeys) przez usługę logowania Podmiotu przetwarzającego; brak przechowywania haseł.
  3. Szyfrowanie sekretów Administratora (certyfikaty, klucze, hasła do integracji, klucze API) w spoczynku algorytmem AES-256-GCM; klucz główny przechowywany poza bazą danych, procedura rotacji kluczy.
  4. Logiczna separacja danych: osobny schemat bazy danych dla każdej Firmy; osobny prefiks w magazynie plików.
  5. Udostępnianie plików wyłącznie przez podpisane linki o ograniczonej ważności.
  6. Kontrola dostępu oparta na rolach i uprawnieniach do modułów; zasada najmniejszych uprawnień dla pracowników Podmiotu przetwarzającego.
  7. Dzienniki zdarzeń (logi) dotyczące dostępu i działań w systemie.
  8. Kopie bezpieczeństwa: [częstotliwość, lokalizacja, okres przechowywania].
  9. Procedura reagowania na naruszenia ochrony danych: [____].
  10. Zobowiązanie osób upoważnionych do zachowania poufności.
  11. Aktualizowanie oprogramowania i zależności; przegląd zabezpieczeń: [____].

Załącznik nr 2 – Wykaz Podprzetwarzających

Zob. plik 05-podpowierzenie.md (publikowany pod adresem [https://www.bookkeepio.pl/podpowierzenie]).