Umowa Powierzenia Przetwarzania Danych Osobowych

§ 1. Strony i przedmiot Umowy

1. Niniejsza Umowa zawarta jest pomiędzy:

a) Administratorem Danych Osobowych (ADO) – Klientem, podmiotem prowadzącym działalność gospodarczą, który zarejestrował Konto w Platformie Administy i zaakceptował niniejszą Umowę;

b) Procesorem (Podmiotem Przetwarzającym) – Administy spółką z ograniczoną odpowiedzialnością z siedzibą w Radomiu (26-600), ul. Kazimierza Pułaskiego 6/10, KRS 0001148259, NIP 7963034226, REGON 540604168.

2. Przedmiotem niniejszej Umowy jest określenie zasad, na jakich Procesor przetwarza dane osobowe powierzone mu przez ADO w związku ze świadczeniem usług za pośrednictwem Platformy Administy (Platforma).

3. Umowa stanowi integralną część stosunku prawnego pomiędzy ADO a Procesorem regulowanego Regulaminem Platformy i jest zawierana automatycznie z chwilą akceptacji Regulaminu przez Klienta. Regulamin dostępny jest na stronie www.administy.pl.

§ 2. Zakres i cel przetwarzania

1. Procesor przetwarza dane osobowe powierzone przez ADO wyłącznie w celu świadczenia usług określonych w Regulaminie Platformy, w szczególności: zarządzania fakturami i dokumentami finansowymi, obsługi płatności i windykacji, controllingu finansowego, integracji z KSeF, integracjami bankowymi oraz obsługi innych modułów funkcjonalnych Platformy.

2. Kategorie danych osobowych przetwarzanych przez Procesora obejmują, w zależności od korzystanych modułów i danych wprowadzanych przez ADO: dane identyfikacyjne i kontaktowe osób fizycznych (kontrahentów, pracowników, przedstawicieli) – imię, nazwisko, firma, NIP, adres, adres e-mail, numer telefonu; dane finansowe i transakcyjne – kwoty, numery dokumentów, daty, numery rachunków bankowych; dane z Krajowego Systemu e-Faktur (KSeF) – ustrukturyzowane faktury XML; oraz inne dane wprowadzane przez ADO w związku z korzystaniem z Platformy.

3. Procesor przetwarza dane wyłącznie na polecenie ADO lub w zakresie niezbędnym do realizacji Usług. Procesor nie przetwarza danych w innych celach, w szczególności nie wykorzystuje ich do profilowania na własne potrzeby ani do szkolenia modeli AI.

4. ADO oświadcza, że jest uprawniony do powierzenia przetwarzania danych osobowych Procesorowi oraz że dysponuje odpowiednią podstawą prawną do przetwarzania powierzonych danych.

§ 3. Dalsze powierzenie — Podprocesory

1. Procesor jest uprawniony do korzystania z usług dalszych podmiotów przetwarzających (Podprocesorów) wyłącznie w zakresie wskazanym w Załączniku 1 do niniejszej Umowy.

2. Procesor poinformuje ADO o wszelkich planowanych zmianach dotyczących Podprocesorów (dodanie nowego lub zastąpienie istniejącego) z co najmniej 14-dniowym wyprzedzeniem, tak aby ADO miał możliwość zgłoszenia sprzeciwu. Informacja przekazywana jest drogą elektroniczną na adres e-mail wskazany przez ADO.

3. ADO może wnieść sprzeciw w terminie 14 dni od otrzymania informacji. W przypadku wniesienia uzasadnionego sprzeciwu, Strony podejmą negocjacje w celu znalezienia rozwiązania; jeżeli porozumienie nie jest możliwe, ADO może rozwiązać Umowę bez okresu wypowiedzenia.

4. Procesor zobowiązuje się nakładać na Podprocesorów takie same obowiązki ochrony danych, jakie wynikają z niniejszej Umowy. Procesor pozostaje odpowiedzialny wobec ADO za działania i zaniechania Podprocesorów w zakresie wykonania tych obowiązków.

5. Transfer danych do Podprocesorów mających siedzibę poza Europejskim Obszarem Gospodarczym (wymienionych w Załączniku 1) odbywa się na podstawie Standardowych Klauzul Umownych (SCC) przyjętych decyzją Komisji Europejskiej 2021/914 (moduł 3 — Procesor–Procesor) lub innego mechanizmu przewidzianego w Rozdziale V RODO. Procesor zobowiązuje się dysponować i udostępniać ADO na żądanie dokumentację Transfer Impact Assessment (TIA) dla każdego transferu poza EOG.

§ 4. Obowiązki Procesora

1. Procesor zobowiązuje się przetwarzać dane osobowe wyłącznie na udokumentowane polecenie ADO.

2. Procesor zapewnia, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.

3. Procesor wdraża odpowiednie środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku przetwarzania, zgodnie z art. 32 RODO.

4. Procesor niezwłocznie informuje ADO, jeżeli zdaniem Procesora wydane przez ADO polecenie stanowi naruszenie RODO lub innych przepisów prawa dotyczących ochrony danych.

5. Procesor udostępnia ADO wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia i wspiera audyty lub inspekcje zlecone przez ADO lub innego upoważnionego audytora, na koszt ADO.

6. Procesor nie sprzedaje, nie ujawnia ani nie udostępnia danych osobowych powierzonych przez ADO jakimkolwiek podmiotom trzecim poza zakresem wynikającym z niniejszej Umowy i Załącznika 1.

§ 5. Naruszenia bezpieczeństwa i incydenty

1. W przypadku stwierdzenia naruszenia ochrony danych osobowych (w rozumieniu art. 4 pkt 12 RODO) Procesor zobowiązuje się powiadomić ADO bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od stwierdzenia naruszenia, niezależnie od dnia tygodnia i godziny.

2. Powiadomienie, o którym mowa w ust. 1, zawiera co najmniej: opis charakteru naruszenia, w tym kategorie i przybliżoną liczbę osób i rekordów danych, których dotyczy naruszenie; dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego; opis możliwych konsekwencji naruszenia; opis środków zastosowanych lub proponowanych przez Procesora w celu zaradzenia naruszeniu.

3. Powiadomienie przekazywane jest drogą elektroniczną na adres e-mail wskazany przez ADO oraz przez dedykowany kanał bezpieczeństwa dostępny na stronie www.administy.pl. Jeżeli informacje wskazane w ust. 2 nie są dostępne w momencie zgłoszenia, Procesor uzupełnia je niezwłocznie po ich uzyskaniu.

4. Procesor współpracuje z ADO w celu wypełnienia obowiązku zgłoszenia naruszenia do organu nadzorczego (UODO) w terminie 72 godzin od jego stwierdzenia przez ADO, jak i w zakresie ewentualnego powiadamiania osób, których dane dotyczą.

§ 6. Prawa osób, których dane dotyczą

1. Procesor niezwłocznie (nie później niż w ciągu 5 dni roboczych) przekazuje ADO wszelkie wnioski i żądania złożone przez osoby, których dane dotyczą, w zakresie przysługujących im praw (dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie danych, sprzeciw).

2. Procesor zapewnia ADO funkcjonalność techniczną umożliwiającą eksport Danych Klienta w standardowych formatach (CSV, JSON), stosownie do wymagań art. 20 RODO oraz Rozporządzenia Data Act (UE) 2023/2854.

3. Procesor wspiera ADO — przez odpowiednie środki techniczne i organizacyjne — w wywiązywaniu się z obowiązku odpowiadania na żądania wynikające z praw osób, których dane dotyczą, o których mowa w Rozdziale III RODO.

§ 7. Bezpieczeństwo danych

1. Procesor wdraża i utrzymuje co najmniej następujące środki bezpieczeństwa:

a) kontrola dostępu oparta na rolach (RBAC) — dostęp do danych wyłącznie dla autoryzowanych pracowników i systemów na zasadzie minimalnych uprawnień;

b) szyfrowanie transmisji danych (TLS 1.2+) dla wszystkich połączeń z Platformą;

c) dostęp do plików (faktury, załączniki, dokumenty KSeF, zdjęcia) wyłącznie poprzez jednorazowe presigned URL z ograniczonym czasem ważności (3 minuty); każdorazowe pobranie pliku wymaga wygenerowania nowego tokenu; brak ważnego tokenu lub jego wygaśnięcie uniemożliwia dostęp do pliku; mechanizm dotyczy wszystkich typów plików, w tym dokumentów XML i HTML KSeF;

d) szyfrowanie danych w spoczynku w bazie danych (PostgreSQL);

e) regularne tworzenie kopii zapasowych bazy danych z zachowaniem kopii przez co najmniej 7 dni;

f) monitorowanie i rejestrowanie dostępu do systemów (audit logs), przechowywane przez co najmniej 12 miesięcy;

g) cykliczne przeglądy uprawnień dostępu pracowników;

h) testy bezpieczeństwa (penetration testing) przeprowadzane co najmniej raz w roku.

2. Procesor zobowiązuje się do utrzymywania aktualności środków bezpieczeństwa i dostosowywania ich do zmieniającego się stanu wiedzy technicznej.

§ 8. Moduł AI — specjalne warunki

1. Postanowienia niniejszego paragrafu dotyczą wyłącznie ADO, którzy aktywowali Moduł AI Asystent w Platformie. ADO, którzy nie aktywowali Modułu AI, nie są objęci transferem danych do podmiotów poza EOG.

2. Architektura przetwarzania w Module AI: model AI otrzymuje schemat bazy danych i pytanie ADO; wygenerowane zapytanie SQL wykonywane jest wyłącznie lokalnie w infrastrukturze Procesora; do zewnętrznego dostawcy modelu przesyłany jest wyłącznie zagregowany wynik (maks. 50 wierszy), nigdy surowe dane osobowe ani pełne zbiory danych.

3. Procesor zobowiązuje się korzystać wyłącznie z dostawców modeli AI, których warunki korzystania z API zakazują trenowania modeli na danych klientów API. Na dzień wejścia w życie Umowy są to: Anthropic (Commercial Terms, Sekcja B) oraz OpenAI za pośrednictwem OpenRouter (API Terms §3.3). Procesor poinformuje ADO z co najmniej 14-dniowym wyprzedzeniem o zmianie dostawcy lub o zmianie warunków istniejącego dostawcy niekorzystnej dla ADO.

4. Transfer danych poza EOG w ramach Modułu AI realizowany jest na podstawie Standardowych Klauzul Umownych (SCC) — patrz § 3 ust. 5 i Załącznik 1.

§ 9. Okres przetwarzania, retencja i usunięcie danych

1. Procesor przetwarza dane osobowe przez okres obowiązywania stosunku umownego między Stronami (czas korzystania z Platformy przez ADO).

2. Po rozwiązaniu Umowy lub usunięciu Konta przez ADO, Procesor usuwa Dane Powierzone w terminie 30 dni, z zastrzeżeniami wskazanymi poniżej.

3. Dokumenty XML i HTML faktur KSeF archiwizowane są przez 5 (pięć) lat od daty wystawienia faktury, niezależnie od zakończenia Umowy. Podstawę prawną stanowi art. 112a ust. 1 ustawy z dnia 11 marca 2004 r. o podatku od towarów i usług (Dz. U. t.j. 2023, poz. 1570 ze zm.), nakładający obowiązek przechowywania faktur przez podatnika. Po upływie okresu retencji dokumenty są trwale usuwane.

4. Przed zakończeniem Umowy lub usunięciem Konta ADO ma prawo do eksportu wszystkich Danych Powierzonych w standardowym formacie cyfrowym (CSV, JSON) przez panel Platformy lub na żądanie złożone na adres hello@administy.pl. Eksport jest bezpłatny.

5. Procesor prowadzi i aktualizuje rejestr czynności przetwarzania (art. 30 ust. 2 RODO) obejmujący dane przetwarzane na podstawie niniejszej Umowy.

§ 10. Odpowiedzialność

1. Strony odpowiadają za szkody wyrządzone w związku z naruszeniem niniejszej Umowy lub przepisów RODO zgodnie z zasadami określonymi w art. 82 RODO.

2. Procesor odpowiada za szkody spowodowane przetwarzaniem, jeżeli naruszył obowiązki nałożone na Procesory na mocy RODO lub działał poza zgodnymi z prawem instrukcjami ADO lub wbrew tym instrukcjom.

3. Ograniczenie odpowiedzialności wskazane w Regulaminie nie dotyczy roszczeń osób fizycznych z tytułu naruszenia RODO — prawa te wynikają bezpośrednio z art. 82 RODO.

§ 11. Postanowienia końcowe

1. Umowa obowiązuje przez czas korzystania przez ADO z Platformy i wygasa z chwilą rozwiązania stosunku wynikającego z Regulaminu.

2. Wszelkie zmiany niniejszej Umowy wymagają pisemnej lub elektronicznej zgody obu Stron i wchodzą w życie zgodnie z procedurą określoną w Regulaminie.

3. W zakresie nieuregulowanym niniejszą Umową zastosowanie mają przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2019, poz. 1781 ze zm.) oraz prawa polskiego.

4. Spory wynikające z niniejszej Umowy rozpatrywane są przez sąd właściwy dla siedziby Procesora.

5. Załącznik 1 stanowi integralną część niniejszej Umowy.

Załącznik 1 — Wykaz Podprocesorów

Stan na dzień wejścia w życie UPPDO v4.1.

(*) Dotyczy wyłącznie Klientów (ADO), którzy aktywowali Moduł AI Asystent w Platformie. Klienci, którzy nie aktywowali Modułu AI, nie są objęci transferem danych do podmiotów z USA.

Procesor zobowiązuje się aktualizować niniejszy Załącznik i informować ADO o wszelkich zmianach z co najmniej 14-dniowym wyprzedzeniem zgodnie z § 3 ust. 2 Umowy.