Umowa powierzenia przetwarzania danych osobowych

1. Umowa zostaje zawarta pomiędzy klientem korzystającym z usługi KaiLedger („Administrator”) a [Operator: nazwa spółki, adres siedziby, NIP, KRS] („Podmiot przetwarzający”), łącznie „Strony”.

2. Umowa jest zawierana przy zakładaniu konta, razem z akceptacją Regulaminu (/legal/terms), i stanowi część umowy o świadczenie usługi KaiLedger („Umowa główna”). Spełnia wymogi art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”).

3. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu określonym w §2, a Podmiot przetwarzający zobowiązuje się przetwarzać je zgodnie z Umową, RODO i innymi przepisami.

1. Cel: świadczenie usługi KaiLedger — import, przechowywanie, kategoryzacja i analiza danych finansowych i kadrowych lokali Administratora oraz prezentacja wyników (prognoza gotówki, rachunek wyników, alerty, zestawienia, asystent „Zapytaj”).

2. Charakter: przechowywanie, porządkowanie, przeglądanie, wyliczanie zestawień, eksport, usuwanie — operacje zautomatyzowane wykonywane w infrastrukturze chmurowej.

3. Kategorie osób, których dane dotyczą:

• pracownicy i współpracownicy Administratora (w tym osoby zatrudnione przez agencje pracy tymczasowej),
• kontrahenci Administratora będący osobami fizycznymi lub reprezentanci i osoby kontaktowe kontrahentów (dostawcy, wynajmujący, franczyzodawca),
• osoby fizyczne widoczne w historii rachunku bankowego (nadawcy i odbiorcy przelewów),
• Użytkownicy konta wskazani przez Administratora.

4. Rodzaje danych:

• linie wyciągów bankowych: imię i nazwisko lub nazwa strony, numer rachunku, tytuł i kwota przelewu, data,
• faktury zakupowe pobrane z KSeF: dane sprzedawcy i nabywcy (nazwa, NIP, adres), pozycje, kwoty,
• dane sprzedaży z systemu kasowego (co do zasady bez danych osobowych klientów lokalu; ewentualnie imię kasjera),
• dane pracowników: imię i nazwisko, przypisany lokal, stanowisko, godziny pracy, stawka i koszt wynagrodzenia,
• dane Użytkowników: adres e-mail, imię i nazwisko, rola.

5. Powierzenie nie obejmuje szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator zobowiązuje się nie wprowadzać takich danych do usługi.

6. Czas: przez okres obowiązywania Umowy głównej oraz do czasu usunięcia danych zgodnie z §9.

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora, także w odniesieniu do przekazywania danych do państwa trzeciego, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo polskie — wtedy przed rozpoczęciem przetwarzania informuje o tym Administratora, o ile prawo tego nie zabrania.

2. Poleceniami są: Umowa główna, niniejsza Umowa oraz czynności Administratora i Użytkowników w usłudze (np. wgranie pliku, podłączenie KSeF lub systemu kasowego, zadanie pytania asystentowi, eksport, żądanie usunięcia).

3. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy.

Podmiot przetwarzający dopuszcza do danych wyłącznie osoby upoważnione, które zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi tajemnicy, i tylko w zakresie niezbędnym do świadczenia usługi, wsparcia technicznego lub usuwania awarii.

Podmiot przetwarzający stosuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku, opisane w Załączniku 1. Może je zmieniać, o ile nie obniża to poziomu ochrony.

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających wymienionych w Załączniku 2.

2. O zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym terminie wnieść sprzeciw z uzasadnionych przyczyn; jeśli Strony nie dojdą do porozumienia, Administrator może wypowiedzieć Umowę główną ze skutkiem natychmiastowym bez dodatkowych kosztów.

3. Podmiot przetwarzający nakłada na dalszych przetwarzających te same obowiązki ochrony danych co w niniejszej Umowie i odpowiada wobec Administratora za ich wykonanie.

4. Asystent „Zapytaj” przekazuje dostawcy modelu językowego tylko pytanie i dane potrzebne do odpowiedzi. Administrator może wyłączyć asystenta — wtedy dane nie są przekazywane temu dostawcy.

5. Systemy, z których usługa pobiera dane na polecenie Administratora (KSeF, bank, Loyverse, systemy ewidencji czasu pracy), nie są dalszymi podmiotami przetwarzającymi Podmiotu przetwarzającego — ich dostawcy działają w relacji z Administratorem.

Dane w bazie usługi są przechowywane w Europejskim Obszarze Gospodarczym. Przekazanie danych poza EOG (wskazane w Załączniku 2) następuje wyłącznie na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework) lub standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO), wraz z dodatkowymi środkami tam, gdzie są potrzebne.

1. Prawa osób: uwzględniając charakter przetwarzania, Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób (art. 15–22 RODO), m.in. udostępniając w usłudze eksport, poprawianie i usuwanie danych. Żądanie skierowane do Podmiotu przetwarzającego przekazuje Administratorowi bez zbędnej zwłoki i nie odpowiada na nie samodzielnie.

2. Naruszenia: Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, przekazując informacje wymienione w art. 33 ust. 3 RODO w zakresie, w jakim są dostępne, i uzupełniając je w miarę ustalania faktów.

3. Podmiot przetwarzający pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), w zakresie wynikającym z charakteru przetwarzania i dostępnych mu informacji.

1. Administrator może w każdej chwili wyeksportować dane w formacie umożliwiającym ich dalsze wykorzystanie, także gdy konto jest w trybie tylko do odczytu.

2. Na żądanie Administratora Podmiot przetwarzający usuwa dane po upływie 30 dni karencji od żądania (w tym czasie żądanie można cofnąć); kopie zapasowe są nadpisywane w ciągu kolejnych [30] dni.

3. Po zakończeniu Umowy głównej Podmiot przetwarzający usuwa dane zgodnie z Regulaminem (§12), chyba że prawo Unii lub prawo polskie nakazują ich dalsze przechowywanie. Na żądanie Administratora potwierdza usunięcie na piśmie lub e-mailem.

4. Brak płatności nie jest podstawą do usunięcia danych.

1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w tym aktualną listę dalszych przetwarzających i opis środków bezpieczeństwa.

2. Administrator może przeprowadzić audyt lub inspekcję, samodzielnie lub przez niezależnego audytora zobowiązanego do poufności, po uprzedzeniu co najmniej 14 dni wcześniej, w godzinach pracy i nie częściej niż raz w roku, chyba że zachodzi uzasadnione podejrzenie naruszenia lub żąda tego organ nadzorczy. W pierwszej kolejności audyt odbywa się w formie pisemnych pytań i dokumentów. Audyt nie obejmuje infrastruktury dalszych przetwarzających — w ich zakresie Podmiot przetwarzający udostępnia raporty i certyfikaty (np. SOC 2, ISO 27001) tych dostawców.

3. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie Umowy przez Podmiot przetwarzający.

Odpowiedzialność Stron za szkody wyrządzone osobom, których dane dotyczą, określa art. 82 RODO. W pozostałym zakresie stosuje się postanowienia Umowy głównej o odpowiedzialności, w tym jej ograniczenia, w zakresie dopuszczalnym przez prawo.

1. Umowa obowiązuje przez czas obowiązywania Umowy głównej i wygasa wraz z nią, z tym że obowiązki dotyczące usunięcia danych i poufności trwają do ich wykonania.

2. W sprawach nieuregulowanych stosuje się RODO, ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeks cywilny. Umowa podlega prawu polskiemu, a spory rozstrzyga sąd właściwy dla siedziby Podmiotu przetwarzającego.

3. W razie sprzeczności między niniejszą Umową a Umową główną w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza Umowa. W razie rozbieżności wersji językowych rozstrzyga wersja polska.

• Izolacja danych firm: reguły Row Level Security w bazie danych — każde zapytanie Użytkownika zwraca wyłącznie dane firm, do których ma on dostęp; regularne automatyczne testy izolacji.
• Szyfrowanie: połączenia wyłącznie po HTTPS/TLS; dane w spoczynku i kopie zapasowe szyfrowane przez dostawcę bazy danych (AES-256).
• Sekrety: tokeny KSeF, klucze integracji i klucze API przechowywane w sejfie (Supabase Vault) lub w zaszyfrowanych zmiennych środowiskowych; nie są wyświetlane po zapisaniu.
• Uwierzytelnianie: logowanie jednorazowym linkiem e-mail (bez haseł), sesja w pliku cookie przesyłanym wyłącznie po HTTPS, z krótko ważnym tokenem odnawianym automatycznie.
• Kontrola dostępu: role (np. właściciel, księgowa, kierownik lokalu) z minimalnym zakresem uprawnień; właściciel może w każdej chwili odebrać dostęp.
• Rozliczalność: dziennik zmian (audit log) rejestrujący istotne operacje w koncie.
• Integracje tylko do odczytu: usługa nie wystawia faktur i nie zleca płatności.
• Kopie zapasowe: codzienne kopie bazy danych u dostawcy, z okresem przechowywania [7–30 dni].
• Dostęp personelu Operatora: wyłącznie imienny, z uwierzytelnianiem dwuskładnikowym do paneli dostawców, tylko w celu wsparcia i usuwania awarii.
• Bezpieczeństwo rozwoju: przegląd zmian w kodzie, automatyczne testy przed wdrożeniem, aktualizacje zależności.
• Procedura obsługi naruszeń: wykrycie, ocena, powiadomienie Administratora w terminie z §8 ust. 2.