Договір доручення обробки даних

Додаток 1 до договору про ведення бухгалтерії. Сторони: Клієнт (адміністратор) і VAERD sp. z o.o. (обробник).

§1 Предмет і строк

Клієнт доручає Бюро обробку персональних даних виключно з метою виконання Основного договору, на час його дії, а після завершення – до повернення чи видалення даних (§7).

§2 Обсяг

1. Категорії осіб: власник і учасники Клієнта, його працівники та виконавці за цивільно-правовими договорами, контрагенти – фізичні особи.
2. Види даних: ім'я та прізвище, адреса, PESEL, NIP, контактні дані, дані з рахунків-фактур і договорів, дані про зарплату та страхування, номери банківських рахунків.
3. Операції: зберігання, внесення до бухгалтерських систем, облік, передавання органам (податкова, ZUS), архівування.

§3 Обов'язки Бюро

1. Обробляє дані лише за задокументованою вказівкою Клієнта (вказівкою вважається Основний договір і доручення, видані в документованій формі).
2. Забезпечує конфіденційність: уповноважені особи зобов'язані зберігати таємницю.
3. Застосовує заходи безпеки з ст. 32 GDPR (зокрема контроль доступу, шифрування з'єднань, резервні копії, двофакторна автентифікація).
4. Допомагає Клієнту реалізувати права суб'єктів даних (доступ, виправлення, видалення, обмеження) у розумний строк.
5. Повідомляє Клієнта про порушення захисту даних без зайвої затримки, не пізніше ніж за 48 годин після виявлення.
6. Допомагає Клієнту з обов'язками за ст. 32–36 GDPR (безпека, повідомлення, оцінка впливу).
7. Надає Клієнту інформацію, потрібну для підтвердження відповідності ст. 28 GDPR, і допускає аудит не частіше ніж раз на рік, після повідомлення за 14 днів, за рахунок Клієнта.

§4 Подальше доручення

1. Клієнт дає загальну згоду на те, що Бюро користується суб'єктами, перерахованими в Додатку 1A.
2. Про намір змінити чи додати суб'єкта Бюро повідомляє e-mail за 14 днів; Клієнт може заперечити в цей строк. У разі заперечення Сторони шукають рішення, а якщо його немає, Клієнт може розірвати Основний договір за 30 днів без додаткових плат.
3. Бюро покладає на ці суб'єкти ті самі обов'язки із захисту даних і відповідає за їх дії перед Клієнтом.

§5 Передавання поза ЄЕП

Бюро не передає дані поза Європейський економічний простір, крім випадків, зазначених у Додатку 1A. Клієнт погоджується на передавання даних до США компанією Google на підставі стандартних договірних положень або Data Privacy Framework відповідно до ст. 44–49 GDPR.

§6 Відповідальність

Сторони відповідають згідно зі ст. 82 GDPR; у відносинах між Сторонами відповідальність Бюро обмежують положення §9 Основного договору.

§7 Повернення або видалення

Після завершення Основного договору Бюро за вибором Клієнта повертає дані (у файлі на онлайн-диску) або видаляє їх через 30 днів, якщо закон не вимагає подальшого зберігання (напр. документація AML – 5 років).

§8 Прикінцеві положення

Польське право; у питаннях, що не врегульовані, – GDPR та Основний договір. Зміни в документованій формі.

Додаток 1A – суб'єкти, якими користується Бюро