Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

1. Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: „Umowa DPA”) zostaje zawarta na podstawie art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) pomiędzy:

a) Klientem korzystającym z konta firmowego w Serwisie FakturaProsto — występującym w roli Administratora Danych Osobowych (dalej: „Administrator”), a

b) Operatorem: MICHAŁ WYCZAŁEK-JAGIEŁŁO GEOMATIC, NIP: 7831574888 — występującym w roli Podmiotu Przetwarzającego (dalej: „Podmiot Przetwarzający”).

2. Zawarcie Umowy DPA następuje z chwilą akceptacji Regulaminu Serwisu przez osobę upoważnioną do reprezentacji Klienta i utworzenia Konta firmowego. Umowa DPA stanowi integralną część umowy o świadczenie usług.

3. Przedmiotem niniejszej Umowy jest powierzenie Podmiotowi Przetwarzającemu przetwarzania danych osobowych wprowadzanych przez Administratora do Serwisu w celu i w zakresie niezbędnym do świadczenia Usług fakturowania, ewidencji, integracji z KSeF i obsługi dokumentów.

1. Charakter przetwarzania: Zautomatyzowane przetwarzanie danych osobowych w systemach teleinformatycznych SaaS (przechowywanie, rejestrowanie, modyfikowanie, generowanie plików PDF i XML, przesyłanie do KSeF, usuwanie).

2. Cel przetwarzania: Świadczenie usługi oprogramowania do wystawiania i ewidencjonowania faktur, zarządzania bazą kontrahentów, rozliczania transakcji walutowych, transmisji danych do KSeF oraz archiwizacji dokumentacji na zlecenie Administratora.

3. Kategorie osób, których dane dotyczą:

a) kontrahenci Administratora będący osobami fizycznymi (w tym prowadzący jednoosobową działalność gospodarczą),

b) przedstawiciele, pracownicy, pełnomocnicy oraz osoby kontaktowe kontrahentów Administratora,

c) pracownicy i współpracownicy Administratora upoważnieni do korzystania z Konta.

4. Rodzaje powierzanych danych osobowych:

• dane identyfikacyjne: imię i nazwisko, firma/nazwa działalności, numer NIP, REGON, PESEL (jeśli występuje), zagraniczny numer identyfikacji podatkowej (VAT UE, TIN),

• dane adresowe: adres siedziby, adres korespondencyjny, adres miejsca dostawy towaru/usługi,

• dane kontaktowe: adres e-mail, numer telefonu,

• dane finansowe: numer rachunku bankowego (IBAN, SWIFT), kwoty transakcji, pozycje na fakturze, historia płatności.

5. Czas trwania przetwarzania: Przez czas obowiązywania umowy o świadczenie usług w Serwisie, z zastrzeżeniem § 7 niniejszej Umowy.

1. Administrator oświadcza, że:

a) jest administratorem powierzanych danych osobowych lub posiada inną skuteczną podstawę prawną do ich powierzenia Podmiotowi Przetwarzającemu,

b) pozyskał dane zgodnie z prawem i spełnił wobec osób, których dane dotyczą, wymagane obowiązki informacyjne z art. 13 lub 14 RODO.

2. Administrator ponosi wyłączną odpowiedzialność za treść, legalność oraz merytoryczną poprawność danych wprowadzanych do Serwisu.

3. Za udokumentowane polecenie Administratora uznaje się wszelkie dyspozycje składane za pośrednictwem interfejsu Aplikacji (w tym zapisanie faktury, wysyłka e-mailem, przekazanie do KSeF, pobranie eksportu lub usunięcie rekordu).

Podmiot Przetwarzający zobowiązuje się do:

1. Przetwarzania danych osobowych wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek taki nakłada na niego prawo Unii Europejskiej lub prawo Rzeczypospolitej Polskiej.

2. Zapewnienia, by osoby upoważnione do przetwarzania danych osobowych (pracownicy, współpracownicy) zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.

3. Wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, zgodnie z art. 32 RODO (w tym szyfrowanie TLS, separacja danych firm, kontrola dostępu, dziennik audytu).

4. Pomagania Administratorowi poprzez odpowiednie środki techniczne i organizacyjne w wywiązywaniu się z obowiązku odpowiadania na żądania osób wykonujących swoje prawa określone w Rozdziale III RODO (dostęp, sprostowanie, usunięcie, przenoszenie). Serwis zapewnia narzędzia umożliwiające Administratorowi samodzielną realizację większości tych praw bezpośrednio w Aplikacji.

5. Pomagania Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków dla ochrony danych).

6. Zgłaszania naruszeń ochrony danych: W przypadku stwierdzenia incydentu bezpieczeństwa skutkującego przypadkowym lub niezgodnym z prawem zniszczeniem, utratą, zmodyfikowaniem, nieuprawnionym ujawnieniem lub dostępem do powierzonych danych osobowych, Podmiot Przetwarzający zgłasza ten fakt Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od powzięcia wiedzy o naruszeniu.

7. Udostępnienia Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwienia Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzania audytów lub inspekcji, na zasadach uzgodnionych przez Strony z co najmniej 14-dniowym wyprzedzeniem.

1. Administrator wyraża ogólną pisemną zgodę na korzystanie przez Podmiot Przetwarzający z usług innych podmiotów przetwarzających (podwykonawców / podprocesorów).

2. Aktualna lista zaakceptowanych podprocesorów jest stale publicznie dostępna pod adresem https://fakturaprosto.pl/podwykonawcy i obejmuje:

• MongoDB Inc. (baza danych),

• cyber_Folks S.A. oraz Netlify Inc. (hosting i infrastruktura),

• Resend Inc. (wysyłka poczty elektronicznej).

3. Podmiot Przetwarzający informuje Administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających z co najmniej 14-dniowym wyprzedzeniem (poprzez powiadomienie e-mail lub publikację w Serwisie), dając tym samym Administratorowi możliwość wyrażenia sprzeciwu.

4. Podmiot Przetwarzający nakłada na każdego dalszego podprocesora te same obowiązki ochrony danych, jakie zostały nałożone na niego w niniejszej Umowie DPA. W przypadku niewywiązania się dalszego podprocesora z obowiązków ochrony danych, Podmiot Przetwarzający ponosi pełną odpowiedzialność wobec Administratora za wypełnienie obowiązków przez tego podprocesora w granicach określonych w Regulaminie.

1. Podmiot Przetwarzający zobowiązuje się, że powierzone dane osobowe:

a) nie będą wykorzystywane do celów własnych Podmiotu Przetwarzającego (w szczególności marketingowych, reklamowych czy profilowania),

b) nie będą wykorzystywane do trenowania modeli sztucznej inteligencji (AI/LLM),

c) nie będą sprzedawane, wypożyczane ani udostępniane podmiotom nieuprawnionym.

1. Z chwilą rozwiązania umowy o świadczenie usług w Serwisie i usunięcia Konta przez Administratora, Podmiot Przetwarzający — zależnie od decyzji Administratora:

a) umożliwia Administratorowi uprzednie pobranie danych za pomocą eksportów dostępnych w poszczególnych modułach Serwisu (m.in. JSON, CSV, XLSX oraz dostępne pliki XML). Eksport profilu w Ustawieniach nie obejmuje pełnej dokumentacji. W sprawie zwrotu powierzonych danych wykraczających poza dostępne eksporty Administrator kontaktuje się z Operatorem pod adresem faktura.prosto@gmail.com przed usunięciem Konta,

b) trwale usuwa wszelkie powierzone dane osobowe ze środowiska produkcyjnego, chyba że prawo Unii Europejskiej lub prawo Rzeczypospolitej Polskiej nakazuje ich dalsze przechowywanie.

2. Usunięcie danych z aktywnej bazy nie zmienia kopii zapasowych już wykonanych przed usunięciem. W kopiach dane pozostają do wygaśnięcia retencji skonfigurowanej przez Operatora lub dostawcę infrastruktury. Aplikacja nie narzuca automatycznego terminu 30 ani 60 dni. Kopie są przeznaczone do odzyskiwania po awarii; przy odtworzeniu należy ponownie zastosować wcześniej wykonane żądania usunięcia.