Umowa powierzenia przetwarzania danych

Załącznik 1 do umowy o prowadzenie księgowości. Strony: Klient (administrator) i VAERD sp. z o.o. (podmiot przetwarzający).

§1 Przedmiot i czas

Klient powierza Biuru przetwarzanie danych osobowych wyłącznie w celu wykonania Umowy głównej, na czas jej trwania, a po jej zakończeniu – do zwrotu lub usunięcia danych (§7).

§2 Zakres

1. Kategorie osób: właściciel i wspólnicy Klienta, jego pracownicy i zleceniobiorcy, kontrahenci będący osobami fizycznymi.
2. Rodzaje danych: imię i nazwisko, adres, PESEL, NIP, dane kontaktowe, dane z faktur i umów, dane płacowe i ubezpieczeniowe, numery rachunków bankowych.
3. Operacje: przechowywanie, wprowadzanie do systemów księgowych, ewidencjonowanie, przesyłanie do organów (urząd skarbowy, ZUS), archiwizacja.

§3 Obowiązki Biura

1. Przetwarza dane wyłącznie na udokumentowane polecenie Klienta (za polecenie uważa się Umowę główną i polecenia wydane w formie dokumentowej).
2. Zapewnia poufność: osoby upoważnione są zobowiązane do zachowania tajemnicy.
3. Stosuje środki bezpieczeństwa z art. 32 RODO (m.in. kontrola dostępu, szyfrowanie połączeń, kopie zapasowe, dwuskładnikowe uwierzytelnianie).
4. Pomaga Klientowi w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie), w rozsądnym terminie.
5. Zgłasza Klientowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w 48 godzin od stwierdzenia.
6. Pomaga Klientowi w obowiązkach z art. 32–36 RODO (bezpieczeństwo, zgłoszenia, ocena skutków).
7. Udostępnia Klientowi informacje potrzebne do wykazania zgodności z art. 28 RODO i umożliwia audyt, nie częściej niż raz w roku, po zawiadomieniu z 14-dniowym wyprzedzeniem, na koszt Klienta.

§4 Dalsze powierzenie

1. Klient wyraża ogólną zgodę na korzystanie przez Biuro z podmiotów wymienionych w Załączniku 1A.
2. O zamiarze zmiany lub dodania podmiotu Biuro informuje e-mailem z 14-dniowym wyprzedzeniem; Klient może zgłosić sprzeciw w tym terminie. Przy sprzeciwie Strony szukają rozwiązania, a gdy go nie ma, Klient może wypowiedzieć Umowę główną w 30 dni bez dodatkowych opłat.
3. Biuro nakłada na te podmioty te same obowiązki ochrony danych i odpowiada za ich działania wobec Klienta.

§5 Przekazywanie poza EOG

Biuro nie przekazuje danych poza Europejski Obszar Gospodarczy poza przypadkami wskazanymi w Załączniku 1A. Klient wyraża zgodę na przekazanie danych do USA przez Google na podstawie standardowych klauzul umownych lub Data Privacy Framework, zgodnie z art. 44–49 RODO.

§6 Odpowiedzialność

Strony odpowiadają zgodnie z art. 82 RODO; w stosunkach między Stronami odpowiedzialność Biura ograniczają postanowienia §9 Umowy głównej.

§7 Zwrot lub usunięcie

Po zakończeniu Umowy głównej Biuro, według wyboru Klienta, zwraca dane (w pliku na dysku online) lub je usuwa po 30 dniach, chyba że prawo nakazuje dalsze przechowywanie (np. dokumentacja AML – 5 lat).

§8 Postanowienia końcowe

Prawo polskie; w sprawach nieuregulowanych – RODO i Umowa główna. Zmiany w formie dokumentowej.

Załącznik 1A – podmioty, z których korzysta Biuro