Umowa powierzenia przetwarzania danych osobowych (DPA)
Strony: Administrator — Klient korzystający z usługi ID Faktura na podstawie Regulaminu („Klient”); Podmiot przetwarzający — SILERS – Adrian Błaszczykowski, ul. Stefana Żeromskiego 29, 08-400 Garwolin, NIP 8261941094, REGON 142599930, biuro@silers.pl („Przetwarzający”).
Umowa jest zawierana z chwilą zawarcia umowy o świadczenie usługi ID Faktura (akceptacji Regulaminu) i obowiązuje przez czas jej trwania oraz do usunięcia danych po jej zakończeniu. Pojęcia użyte w umowie mają znaczenie nadane im przez RODO (rozporządzenie (UE) 2016/679).
§1. Przedmiot, charakter i cel
- Klient powierza Przetwarzającemu przetwarzanie danych osobowych, które wprowadza do systemu ID Faktura albo które powstają w toku korzystania z niego, wyłącznie w celu świadczenia usługi: wystawianie i przechowywanie dokumentów sprzedaży i zakupu, ewidencja kontrahentów, sprzedaż w POS i obsługa drukarki fiskalnej, magazyn, wysyłka dokumentów do KSeF i przygotowanie plików JPK na polecenie Klienta, przypomnienia o płatnościach, wysyłka wiadomości e-mail, portal klienta, integracje uruchomione przez Klienta, kopie zapasowe i wsparcie techniczne.
- Charakter przetwarzania: przechowywanie, porządkowanie, generowanie dokumentów, udostępnianie Klientowi i — na jego polecenie — jego kontrahentom oraz organom (KSeF), wysyłka, usuwanie.
§2. Kategorie osób i danych
- Osoby: kontrahenci Klienta (osoby fizyczne, przedsiębiorcy, reprezentanci firm), odbiorcy dokumentów i nabywcy w sprzedaży detalicznej, pracownicy i współpracownicy Klienta mający konta w systemie.
- Dane: identyfikacyjne (imię, nazwisko, nazwa firmy, NIP, REGON, KRS, PESEL — jeżeli Klient je wprowadzi), adresowe, kontaktowe (e-mail, telefon), finansowe (numer rachunku, kwoty dokumentów, historia płatności), dane techniczne (adres IP, logi dostępu). System nie jest przeznaczony do przetwarzania szczególnych kategorii danych (art. 9 RODO).
§3. Obowiązki Przetwarzającego
Przetwarzający:
- przetwarza dane wyłącznie na udokumentowane polecenie Klienta — poleceniem są Regulamin, ta umowa i działania Klienta w panelu;
- zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy;
- stosuje środki bezpieczeństwa z §5;
- pomaga Klientowi w realizacji praw osób, których dane dotyczą (§8), i obowiązków z art. 32–36 RODO;
- zgłasza Klientowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, wraz z informacjami z art. 33 ust. 3 RODO;
- po zakończeniu umowy umożliwia Klientowi eksport danych przez 30 dni, a następnie je usuwa; kopie zapasowe zawierające te dane są usuwane w cyklu retencji kopii (do 30 dni);
- udostępnia informacje potrzebne do wykazania spełnienia obowiązków i umożliwia audyt (raz w roku, po uzgodnieniu terminu, bez dostępu do danych innych klientów);
- informuje niezwłocznie, jeżeli polecenie Klienta narusza jego zdaniem przepisy.
§4. Obowiązki Klienta
- Klient odpowiada za podstawę prawną przetwarzania danych, które wprowadza, oraz za obowiązek informacyjny wobec swoich kontrahentów i pracowników.
- Obowiązek przechowywania faktur i innych dokumentów przez okres wymagany przepisami (m.in. ustawa o VAT, Ordynacja podatkowa) ciąży na Kliencie. Przed zakończeniem umowy Klient eksportuje dane, których potrzebuje (§3 pkt 6).
- Klient oświadcza, że ma umocowanie do działania w imieniu podmiotów, których dane i certyfikaty KSeF wprowadza do systemu; system nie weryfikuje pełnomocnictw.
§5. Środki bezpieczeństwa
- Szyfrowane połączenia (HTTPS/TLS z HSTS).
- Separacja danych firm w bazie (każde zapytanie ograniczone do danej firmy), role i uprawnienia użytkowników (m.in. administrator, księgowa).
- Logowanie wyłącznie Kontem Silers (konto.silers.pl) z możliwością drugiego składnika (2FA); hasła przechowywane wyłącznie jako skróty.
- Szyfrowanie wrażliwych ustawień w bazie (AES-256-GCM), m.in. haseł SMTP i kluczy integracji.
- Codzienne kopie zapasowe bazy, przechowywane na serwerze i poza nim (OVH Object Storage, Warszawa), z retencją 30 dni.
- Dziennik zdarzeń w systemie, monitoring błędów i dostępności, ograniczenia liczby żądań.
§6. Podprzetwarzający
1. Klient wyraża ogólną zgodę na korzystanie z następujących podprzetwarzających:
| Podmiot | Cel | Lokalizacja |
|---|---|---|
| Sprint S.A. | serwer (hosting) | Polska |
| cyber_Folks S.A. (marka Kei.pl) | systemowy serwer poczty — wysyłka dokumentów i powiadomień | Polska |
| OVH Sp. z o.o. | kopie zapasowe poza serwerem, pliki (zdjęcia produktów) | Polska (Warszawa) |
| Functional Software, Inc. (Sentry) | wykrywanie błędów aplikacji | UE (Niemcy) |
| Anthropic PBC | Asystent AI — tylko gdy Klient korzysta z funkcji AI | USA — standardowe klauzule umowne |
2. Nie są podprzetwarzającymi: Ministerstwo Finansów (KSeF) — dokumenty trafiają tam na polecenie Klienta jako do organu publicznego; operatorzy płatności (np. Paynow) — przy płatnościach online za dokumenty Klienta działają na podstawie umowy Klienta z operatorem; własny serwer poczty Klienta, jeżeli Klient go skonfiguruje. Przetwarzający przekazuje im dane wyłącznie w zakresie włączonej funkcji.
3. O dodaniu lub zmianie podprzetwarzającego informujemy e-mailem co najmniej 30 dni wcześniej. Klient może zgłosić sprzeciw — wtedy może wypowiedzieć umowę przed wejściem zmiany.
4. Przetwarzający nakłada na podprzetwarzających te same obowiązki ochrony danych i odpowiada za ich wykonanie.
§7. Przekazywanie poza EOG
Poza EOG dane trafiają wyłącznie do Anthropic PBC (USA) i tylko wtedy, gdy Klient korzysta z Asystenta AI. Podstawą są standardowe klauzule umowne zatwierdzone decyzją wykonawczą Komisji (UE) 2021/914 (moduł trzeci — podmiot przetwarzający do podmiotu przetwarzającego), zawarte w umowie powierzenia Anthropic, która jest częścią warunków korzystania z usług Anthropic.
§8. Prawa osób, których dane dotyczą
Przetwarzający pomaga Klientowi w realizacji praw osób:
- dostęp i przenoszenie (art. 15, 20 RODO) — eksport danych z panelu (listy i dokumenty do plików, JPK) oraz na żądanie przez biuro@silers.pl;
- sprostowanie (art. 16) — edycja danych w panelu;
- usunięcie i ograniczenie (art. 17, 18) — usunięcie lub dezaktywacja w panelu, a gdy funkcja nie wystarcza — na żądanie przez biuro@silers.pl, z uwzględnieniem obowiązku przechowywania dokumentów przez Klienta;
- Przetwarzający odpowiada na polecenie Klienta w tej sprawie w ciągu 14 dni.
§9. Odpowiedzialność i postanowienia końcowe
- Strony odpowiadają na zasadach RODO i Kodeksu cywilnego.
- W sprawach nieuregulowanych stosuje się Regulamin ID Faktura i przepisy RODO.
- Kontakt w sprawach danych: biuro@silers.pl. Przetwarzający nie powołał inspektora ochrony danych.