Договор поручения обработки данных

Приложение 1 к договору о ведении бухгалтерии. Стороны: Клиент (администратор) и VAERD sp. z o.o. (обработчик).

§1 Предмет и срок

Клиент поручает Бюро обработку персональных данных исключительно с целью исполнения Основного договора, на время его действия, а после окончания – до возврата или удаления данных (§7).

§2 Объём

1. Категории лиц: владелец и участники Клиента, его работники и исполнители по гражданско-правовым договорам, контрагенты – физические лица.
2. Виды данных: имя и фамилия, адрес, PESEL, NIP, контактные данные, данные из счетов-фактур и договоров, данные о зарплате и страховании, номера банковских счетов.
3. Операции: хранение, внесение в бухгалтерские системы, учёт, передача органам (налоговая, ZUS), архивирование.

§3 Обязанности Бюро

1. Обрабатывает данные только по документированному поручению Клиента (поручением считается Основной договор и указания, выданные в документированной форме).
2. Обеспечивает конфиденциальность: уполномоченные лица обязаны хранить тайну.
3. Применяет меры безопасности из ст. 32 GDPR (в частности контроль доступа, шифрование соединений, резервные копии, двухфакторная аутентификация).
4. Помогает Клиенту реализовать права субъектов данных (доступ, исправление, удаление, ограничение) в разумный срок.
5. Сообщает Клиенту о нарушении защиты данных без неоправданной задержки, не позднее чем через 48 часов после обнаружения.
6. Помогает Клиенту с обязанностями по ст. 32–36 GDPR (безопасность, уведомления, оценка воздействия).
7. Предоставляет Клиенту информацию, необходимую для подтверждения соответствия ст. 28 GDPR, и допускает аудит не чаще одного раза в год, после уведомления за 14 дней, за счёт Клиента.

§4 Дальнейшее поручение

1. Клиент даёт общее согласие на то, что Бюро пользуется субъектами, перечисленными в Приложении 1A.
2. О намерении заменить или добавить субъект Бюро сообщает по e-mail за 14 дней; Клиент может возразить в этот срок. При возражении Стороны ищут решение, а если его нет, Клиент может расторгнуть Основной договор за 30 дней без дополнительных платежей.
3. Бюро возлагает на эти субъекты те же обязанности по защите данных и отвечает за их действия перед Клиентом.

§5 Передача за пределы ЕЭП

Бюро не передаёт данные за пределы Европейского экономического пространства, кроме случаев, указанных в Приложении 1A. Клиент соглашается на передачу данных в США компанией Google на основании стандартных договорных положений или Data Privacy Framework в соответствии со ст. 44–49 GDPR.

§6 Ответственность

Стороны отвечают согласно ст. 82 GDPR; в отношениях между Сторонами ответственность Бюро ограничивают положения §9 Основного договора.

§7 Возврат или удаление

После окончания Основного договора Бюро по выбору Клиента возвращает данные (в файле на онлайн-диске) или удаляет их через 30 дней, если закон не требует дальнейшего хранения (напр. документация AML – 5 лет).

§8 Заключительные положения

Польское право; в неурегулированных вопросах – GDPR и Основной договор. Изменения в документированной форме.

Приложение 1A – субъекты, которыми пользуется Бюро