Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

§ 1. Strony umowy

§ 2. Przedmiot umowy

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i celu opisanym w niniejszej umowie.

2. Powierzenie wynika z korzystania z usługi KSeF Integro dostępnej pod adresem ksefintegro.pl, świadczonej przez NOWART na podstawie Regulaminu.

§ 3. Cel i zakres przetwarzania

1. Cele przetwarzania:

• Przechowywanie i przetwarzanie faktur sprzedażowych i zakupowych
• Wysyłka faktur do KSeF (Krajowy System e-Faktur Ministerstwa Finansów)
• Generowanie deklaracji JPK_V7M (ewidencja VAT)
• Zarządzanie kartoteką kontrahentów
• Obsługa kalendarza płatności (faktury, ZUS, PIT, VAT, leasing, czynsze)
• Integracje z platformami e-commerce (Allegro, Baselinker — jeśli włączone)
• Obsługa modułu HR / e-Teczki pracownika (jeśli włączone w pakiecie Pełny)
• AI Asystent (chat Q&A, sugestie GTU, drafty windykacji — jeśli włączony)

2. Kategorie danych osobowych:

• Dane kontrahentów: NIP, nazwa firmy, adres, e-mail, telefon, numer konta bankowego
• Dane pracowników (jeśli moduł HR włączony): imię, nazwisko, PESEL, adres, dane bankowe, dokumenty
• Dane klientów detalicznych B2C (jeśli sprzedaż konsumentom): imię, nazwisko, adres
• Dane techniczne: adres IP użytkownika, logi dostępu

3. Kategorie osób, których dane dotyczą: osoby fizyczne prowadzące działalność, pracownicy Administratora, kontrahenci Administratora, klienci detaliczni (B2C).

§ 4. Czas trwania powierzenia

1. Umowa wchodzi w życie z dniem podpisania.

2. Obowiązuje przez czas korzystania przez Administratora z usługi KSeF Integro.

3. Wygasa automatycznie z chwilą rozwiązania umowy o świadczenie usługi (zgodnie z Regulaminem § 12).

§ 5. Obowiązki Procesora (RODO Art 28 ust. 3)

Procesor zobowiązuje się do:

1. Przetwarzania danych wyłącznie na udokumentowane polecenie Administratora (cele i zakres jak w § 3).
2. Zapewnienia, że osoby upoważnione do przetwarzania zostały zobowiązane do zachowania tajemnicy.
3. Zastosowania środków technicznych i organizacyjnych zapewniających bezpieczeństwo (RODO Art 32):
   • Szyfrowanie HTTPS/TLS 1.2+ (transmisja)
   • Szyfrowanie AES-256-GCM (tokeny KSeF, certyfikaty P12, klucze OAuth)
   • Hashowanie haseł bcrypt (min. 8 znaków + wielka litera + cyfra)
   • 2FA TOTP (opcjonalnie dla wszystkich, obowiązkowo dla admin/superadmin)
   • Backupy codzienne 30 dni rotacyjnie
   • Lokalizacja serwerów: Polska (UE)
   • Audit log dla wszystkich działań administracyjnych
4. Pomocy Administratorowi w realizacji praw osób, których dane dotyczą (Art 15-22 RODO).
5. Pomocy w wypełnianiu obowiązków z Art 32-36 (bezpieczeństwo, ocena skutków, konsultacje z UODO).
6. Po zakończeniu świadczenia usługi usunięcia lub zwrotu wszystkich danych, w zależności od decyzji Administratora.
7. Udostępnienia Administratorowi wszelkich informacji niezbędnych do wykazania zgodności z obowiązkami RODO + umożliwienia audytu.

§ 6. Podprocesorzy

1. Procesor korzysta z następujących podprocesorów (zgodnie z Polityką prywatności § 5):

* — aktywni tylko gdy Administrator włączy daną integrację.

2. Procesor poinformuje Administratora o każdej zmianie podprocesorów z 30-dniowym wyprzedzeniem (e-mail). Administrator ma prawo sprzeciwu i wypowiedzenia umowy w przypadku niezadowalającego stopnia ochrony.

3. Wszyscy podprocesorzy są związani umową DPA z Procesorem, zapewniającą odpowiednie środki ochrony zgodne z RODO.

§ 7. Naruszenia danych (RODO Art 33-34)

1. Procesor zgłosi Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od stwierdzenia.

2. Zgłoszenie zawierać będzie: charakter naruszenia, kategorie i przybliżoną liczbę osób, kategorie i liczbę rekordów, prawdopodobne konsekwencje, środki zaradcze.

3. Procesor współpracuje z Administratorem w zgłaszaniu naruszenia do UODO (Art 33 ust. 1) — termin 72h od stwierdzenia.

§ 8. Ochrona tajemnicy

1. Procesor zobowiązuje się zachować w tajemnicy wszelkie dane osobowe, do których uzyska dostęp.

2. Pracownicy i podwykonawcy Procesora są zobowiązani do zachowania tajemnicy również po zakończeniu zatrudnienia.

§ 9. Audyt

1. Administrator ma prawo do audytu Procesora w zakresie realizacji niniejszej umowy.

2. Audyt może być przeprowadzony osobiście, przez upoważnioną osobę trzecią, lub w drodze pisemnego pytania (preferowana forma — proporcjonalność do skali).

3. Procesor udostępnia: politykę bezpieczeństwa informacji, raporty z audytów wewnętrznych, certyfikaty (jeśli posiada — np. ISO 27001 w przyszłości).

4. Koszty audytu ponosi Administrator. W przypadku stwierdzenia istotnych uchybień — koszty ponosi Procesor.

§ 10. Postanowienia końcowe

1. Umowa wchodzi w życie z dniem podpisania.

2. W sprawach nieuregulowanych — przepisy RODO oraz Ustawy o ochronie danych osobowych z 10.05.2018 r.

3. Sąd właściwy: zgodnie z miejscem siedziby Administratora.