Umowa powierzenia przetwarzania danych

Verwerkersovereenkomst · ProFaktura · wersja 1.0, obowiązuje od 10 sierpnia 2026 · Nederlandse versie

1. Strony

Administrator danych (verwerkingsverantwoordelijke): użytkownik Usługi ProFaktura - przedsiębiorca prowadzący w programie własną administrację (dalej „Administrator", „Ty").

Podmiot przetwarzający (verwerker): Look Arts Vision, działający pod nazwą handlową ProFaktura.nl, Akelei 76, 4102 JM Culemborg, Holandia, KVK 81661851 (dalej „Przetwarzający", „my").

2. Przedmiot i czas przetwarzania

1. Przetwarzamy dane osobowe wyłącznie w celu świadczenia Usługi opisanej w regulaminie: prowadzenia Twojej administracji, wystawiania i przechowywania dokumentów, wysyłki ich do wskazanych odbiorców oraz udostępniania Ci eksportów.
2. Przetwarzanie trwa tak długo, jak długo korzystasz z Usługi, a po jej zakończeniu - w zakresie i przez okres wymagany obowiązkiem przechowywania dokumentacji (par. 10).
3. Nie przetwarzamy powierzonych danych do własnych celów, nie profilujemy ich i nie wykorzystujemy do trenowania modeli.

3. Rodzaje danych i kategorie osób

Nie oczekujemy powierzania danych szczególnych kategorii (art. 9 RODO) ani numerów BSN. Prosimy o ich nieumieszczanie w dokumentach; jeżeli mimo to je wprowadzisz, odpowiadasz za podstawę prawną takiego przetwarzania.

4. Nasze obowiązki

1. Przetwarzamy dane wyłącznie na Twoje udokumentowane polecenie. Polecenie stanowią: regulamin, ta umowa oraz Twoje działania w programie (np. wystawienie dokumentu, wysłanie go mailem, uruchomienie skanera paragonu).
2. Zapewniamy poufność - dostęp do danych mają wyłącznie osoby, którym jest to niezbędne, zobowiązane do poufności.
3. Stosujemy odpowiednie środki techniczne i organizacyjne (par. 5, art. 32 RODO).
4. Pomagamy Ci wywiązać się z obowiązków wobec osób, których dane dotyczą, oraz - w razie potrzeby - przy ocenie skutków dla ochrony danych i kontaktach z organem nadzorczym.
5. Informujemy Cię, jeżeli w naszej ocenie Twoje polecenie naruszałoby przepisy o ochronie danych.

5. Środki bezpieczeństwa (art. 32 RODO)

1. Szyfrowanie transmisji (HTTPS/TLS); serwery w Holandii (UE).
2. Rozdzielenie danych na poziomie konta i administracji - dokumenty i klienci jednej firmy nie są dostępne z innej.
3. Uwierzytelnianie: hasła jako skróty kryptograficzne (scrypt), sesje jako skróty tokenów, ograniczanie prób logowania, opcjonalne logowanie przez Google/Apple.
4. Niezmienność dokumentów: wystawiona faktura zapisywana jest jako niezmienny PDF z sumą kontrolną SHA-256, weryfikowaną przy każdym wydaniu pliku; korekty wyłącznie kredytnotą.
5. Dziennik zdarzeń: rejestrujemy wystawienie, zmianę statusu, wysyłkę, korektę i usunięcie dokumentu (kto, kiedy, adres IP).
6. Kopie zapasowe wykonywane codziennie i przechowywane poza serwerem produkcyjnym; testowane odtworzenie.
7. Zasada minimalizacji: nie zbieramy danych zbędnych do wystawienia dokumentu; danych kart płatniczych nie przechowujemy w ogóle.

6. Podprzetwarzający (subverwerkers)

Wyrażasz ogólną zgodę na korzystanie z poniższych podprzetwarzających. Z każdym z nich zawarliśmy wymaganą umowę powierzenia:

O planowanej zmianie lub dodaniu podprzetwarzającego poinformujemy co najmniej 30 dni wcześniej (w programie lub mailem). Możesz wnieść uzasadniony sprzeciw; jeżeli nie znajdziemy rozwiązania, masz prawo wypowiedzieć umowę bez kosztów przed wejściem zmiany w życie.

7. Przekazywanie poza EOG

Powierzone dane przetwarzamy w Unii Europejskiej. Wyjątek stanowią wyłącznie funkcje opcjonalne wymienione w par. 6 (odczyt paragonu i przejazdów), które uruchamiasz świadomie - wtedy dane przekazywane są do OpenAI na podstawie standardowych klauzul umownych (SCC) Komisji Europejskiej wraz z oceną ryzyka. Jeżeli nie korzystasz z tych funkcji, powierzone dane nie opuszczają EOG.

8. Naruszenia ochrony danych

1. O naruszeniu dotyczącym powierzonych danych poinformujemy Cię bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego wykrycia - mailem na adres przypisany do Twojego konta.
2. Przekażemy znane nam informacje: charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, prawdopodobne konsekwencje i podjęte działania zaradcze - tak, abyś mógł ocenić obowiązek zgłoszenia do Autoriteit Persoonsgegevens (art. 33 RODO).
3. Zgłoszenie do organu nadzorczego i ewentualne poinformowanie osób, których dane dotyczą, pozostaje obowiązkiem Administratora; wspieramy Cię w tym.

9. Prawa osób, których dane dotyczą

Jeżeli osoba (np. Twój klient) zwróci się bezpośrednio do nas z żądaniem dostępu, sprostowania lub usunięcia danych, przekażemy je Tobie i - o ile prawo nie stanowi inaczej - nie odpowiemy merytorycznie samodzielnie. Narzędzia w programie (edycja klienta, eksport, usunięcie) umożliwiają Ci samodzielną realizację takich żądań; na Twoją prośbę udzielimy dodatkowej pomocy technicznej.

10. Zakończenie i usunięcie danych

1. Po zakończeniu korzystania z Usługi możesz w każdej chwili wyeksportować pełną administrację (PDF, CSV, UBL/XML). Nie pobieramy za to opłat.
2. Na Twoje żądanie usuwamy powierzone dane - z zastrzeżeniem dokumentów, których przechowywania wymaga od nas lub od Ciebie prawo podatkowe (co do zasady 7 lat). W takim wypadku dane pozostają zabezpieczone i nie są przetwarzane w innym celu niż spełnienie tego obowiązku.
3. Kopie zapasowe podlegają rotacji zgodnie z polityką prywatności; dane usuniętego konta nie są z nich przywracane do systemu produkcyjnego.

11. Audyt i wykazanie zgodności

Na uzasadnione żądanie udostępnimy informacje niezbędne do wykazania zgodności z tą umową (opis środków bezpieczeństwa, listę podprzetwarzających, procedurę reagowania na naruszenia). Audyt na miejscu jest możliwy po uprzednim ustaleniu terminu, nie częściej niż raz w roku, na koszt Administratora, o ile audyt nie wykaże istotnych nieprawidłowości.

12. Odpowiedzialność i postanowienia końcowe

1. Do odpowiedzialności stosuje się ograniczenia z par. 10 regulaminu, o ile przepisy o ochronie danych nie stanowią inaczej.
2. W razie sprzeczności między regulaminem a tą umową, w kwestiach przetwarzania danych osobowych pierwszeństwo ma ta umowa.
3. Umowa podlega prawu holenderskiemu. W razie rozbieżności językowych wiążąca jest wersja niderlandzka.
4. Kontakt w sprawach tej umowy: info@profaktura.nl.