Umowa powierzenia przetwarzania

Strony

• Administrator: [NAZWA ORGANIZACJI KLIENTA] z siedzibą w [MIEJSCOWOSC], numer Izby Handlowej [NUMER IZBY HANDLOWEJ] („Administrator”).
• Podmiot przetwarzający: AGENTICA z siedzibą w Hadze (Langeland 18, 2548 WE), numer Izby Handlowej 94577056, numer VAT NL005093484B44 („Przetwarzający”).

Artykuł 1: Definicje

• RODO: Ogólne rozporządzenie o ochronie danych.
• Dane osobowe: wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, przetwarzane w ramach niniejszej Umowy.
• Przetwarzanie: każda operacja na Danych osobowych, taka jak zbieranie, przechowywanie, przeglądanie i usuwanie.
• Podprzetwarzający: podmiot trzeci, któremu Przetwarzający powierza wykonanie (części) Przetwarzania.

Artykuł 2: Przedmiot i czas trwania

Przetwarzający przetwarza Dane osobowe wyłącznie na rzecz i na polecenie Administratora, w ramach korzystania z TelMaar. Niniejsza Umowa obowiązuje równolegle z umową główną i wygasa z mocy prawa wraz z jej rozwiązaniem, bez uszczerbku dla postanowień, które ze swej natury pozostają w mocy po rozwiązaniu (w tym artykułu 10 dotyczącego zwrotu i usunięcia).

Artykuł 3: Charakter i cel przetwarzania

Przetwarzanie obejmuje przechowywanie, zarządzanie i przetwarzanie Danych osobowych kontrahentów (klientów, dostawców i osób do kontaktu) Administratora na potrzeby administracji finansowej, fakturowania i zarządzania relacjami z klientami, zgodnie z opisem w oświadczeniu o ochronie prywatności Administratora. Kategorie osób, których dane dotyczą, oraz Danych osobowych odpowiadają artykułom 2 i 4 tego oświadczenia.

Artykuł 4: Obowiązki Przetwarzającego

• Przetwarzający przetwarza Dane osobowe wyłącznie na podstawie pisemnych poleceń Administratora, chyba że obowiązek prawny stanowi inaczej.
• Przetwarzający zapewnia, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania poufności.
• Przetwarzający udziela rozsądnej pomocy przy wnioskach osób, których dane dotyczą, o dostęp, sprostowanie lub usunięcie, w granicach ustawowego obowiązku przechowywania.
• Przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza obowiązujące przepisy.
• Przetwarzający nie wykorzystuje Danych osobowych do trenowania ani ulepszania własnych lub cudzych modeli i nakłada ten obowiązek również na Podprzetwarzających, z których korzysta.

Artykuł 5: Środki bezpieczeństwa

Przetwarzający stosuje odpowiednie środki techniczne i organizacyjne, w tym:

• Szyfrowanie danych w tranzycie za pomocą TLS 1.3.
• Szyfrowanie danych w spoczynku za pomocą AES-256, z dodatkowym szyfrowaniem kopertowym (klucz szyfrowania danych na organizację, zaszyfrowany kluczem głównym) dla poświadczeń dostawców płatności i innych szczególnie wrażliwych pól.
• Kontrola dostępu oparta na rolach (RBAC) i zabezpieczenia na poziomie wiersza (Row Level Security) w bazie danych, tak aby dane jednej organizacji nigdy nie były dostępne dla innej.
• Obowiązkowe uwierzytelnianie dwuskładnikowe (2FA) dla użytkowników z prawem zapisu danych finansowych.
• Dziennik audytu zmian danych finansowych tylko do dopisywania, wraz z czasem, adresem IP i użytkownikiem.
• Okresowe, szyfrowane kopie zapasowe przechowywane przez co najmniej 7 dni i nie dłużej niż 30 dni, tak aby po usunięciu na podstawie artykułu 10 nie pozostała żadna kopia.

Artykuł 6: Podprzetwarzający

Administrator upoważnia Podmiot przetwarzający do korzystania z następujących Podprzetwarzających: Supabase (baza danych, uwierzytelnianie, przechowywanie), Vercel (hosting), Resend (e-mail), Stripe i Mollie (obsługa płatności), Cloudflare (bezpieczeństwo i dostarczanie treści), Anthropic (przetwarzanie pytań i dokumentów, które Administrator przekazuje przez asystenta), Sentry (zgłoszenia błędów z aplikacji, pozbawione danych osobowych), Expo, Google i Apple (dostarczanie powiadomień na telefon), Google ML Kit (rozpoznawanie tekstu na urządzeniu przy fotografowaniu paragonu), Mapbox (mapa dla adresu), overheid.io (wyszukiwanie w rejestrze handlowym) i postcode.tech (adres na podstawie kodu pocztowego). Asystent jest dostępny wyłącznie dla użytkowników z rolą finansową i przetwarza tylko to, co użytkownik sam przekaże; przekazane dane nie są wykorzystywane do trenowania modeli. Podmiot przetwarzający nakłada na każdego Podprzetwarzającego obowiązki porównywalne z zawartymi w niniejszej Umowie i informuje Administratora o każdej zmianie tej listy, z możliwością wniesienia sprzeciwu.

Artykuł 7: Przekazywanie poza EOG

Przetwarzanie odbywa się zasadniczo na terenie Europejskiego Obszaru Gospodarczego. W zakresie, w jakim Podprzetwarzający przetwarza Dane osobowe poza EOG, następuje to wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych (SCC) Komisji Europejskiej, uzupełnionych o odpowiednie środki dodatkowe, takie jak szyfrowanie danych w tranzycie i w spoczynku. Na żądanie Przetwarzający przedstawia Administratorowi podstawę przekazywania obowiązującą dla każdego Podprzetwarzającego.

Artykuł 8: Naruszenia ochrony danych i termin zgłoszenia

Przetwarzający zgłasza Administratorowi stwierdzone naruszenie ochrony Danych osobowych bez zbędnej zwłoki, najpóźniej w ciągu 48 godzin od wykrycia, aby Administrator mógł w terminie wypełnić własny obowiązek zgłoszenia (w ciągu 72 godzin) wobec niderlandzkiego organu ochrony danych. Zgłoszenie obejmuje co najmniej charakter naruszenia, kategorie i liczbę osób, których dane dotyczą, oraz podjęte lub proponowane środki.

Artykuł 9: Audyty

Administrator ma prawo, po uprzednim pisemnym powiadomieniu z rozsądnym wyprzedzeniem wynoszącym co najmniej cztery tygodnie, zlecić audyty przestrzegania niniejszej Umowy albo uzyskać informacje na podstawie udostępnionego przez Przetwarzającego raportu niezależnej strony trzeciej. Koszty audytu przeprowadzonego przez Administratora ponosi Administrator, chyba że stwierdzono uchybienia.

Artykuł 10: Zwrot i usunięcie po zakończeniu

Po zakończeniu umowy głównej Przetwarzający na żądanie Administratora udostępnia wszystkie Dane osobowe w powszechnie stosowanym formacie eksportu, a następnie usuwa wszystkie Dane osobowe, z wyjątkiem danych, które muszą być przechowywane na podstawie ustawowego obowiązku przechowywania (w tym siedmioletniego obowiązku podatkowego). Usunięcie następuje w ciągu 30 dni od żądania.

Artykuł 11: Odpowiedzialność

Odpowiedzialność stron na podstawie niniejszej Umowy reguluje umowa główna między stronami, to jest artykuł 11 ogólnych warunków.

Artykuł 12: Prawo właściwe

Do niniejszej Umowy stosuje się prawo niderlandzkie. Spory poddawane są właściwemu sądowi w okręgu Haga, chyba że bezwzględnie obowiązujące przepisy stanowią inaczej.

Artykuł 13: Załącznik dla Administratorów w Zjednoczonych Emiratach Arabskich

Niniejszy artykuł ma zastosowanie wyłącznie wtedy, gdy Administrator ma siedzibę w Zjednoczonych Emiratach Arabskich. W zakresie, w jakim różni się od poprzednich artykułów, niniejszy artykuł ma pierwszeństwo.

Właściwe ramy prawne. Przetwarzanie podlega Federalnemu Dekretowi z mocą ustawy nr 45 z 2021 r. o ochronie danych osobowych (PDPL). Gdy niniejsza Umowa odwołuje się do RODO, wobec Administratora stosuje się odpowiednie przepisy PDPL.

Przekazanie. Podmiot przetwarzający przetwarza dane osobowe na serwerach w Unii Europejskiej. Administrator poleca to przekazanie; jest ono niezbędne do wykonania Umowy, a terytorium docelowe zapewnia poziom ochrony co najmniej równoważny poziomowi PDPL.

Naruszenia ochrony danych. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, aby Administrator mógł wypełnić obowiązki zgłoszeniowe wobec UAE Data Office i wobec osób, których dane dotyczą.

Prawa osób, których dane dotyczą. Podmiot przetwarzający udziela Administratorowi rozsądnej pomocy przy wnioskach o dostęp, sprostowanie, usunięcie, ograniczenie, przeniesienie i sprzeciw na podstawie PDPL.

Okres przechowywania. W drodze odstępstwa od artykułu 10 dokumentacja podatkowa jest przechowywana tak długo, jak wymaga tego prawo ZEA: pięć lat po zakończeniu okresu rozliczeniowego w przypadku VAT i piętnaście lat w przypadku dokumentacji dotyczącej nieruchomości.

Prawo właściwe. W drodze odstępstwa od artykułu 12 spory wynikające z niniejszego załącznika poddawane są właściwemu sądowi w Dubaju i podlegają prawu Zjednoczonych Emiratów Arabskich.

Podpisy

Uzgodniono i podpisano przez obie strony: