Umowa powierzenia przetwarzania danych osobowych

zawarta w w dniu pomiędzy:

1. nazwa albo imię i nazwisko
   adres siedziby albo zamieszkania
   NIP KRS albo wpis do CEIDG
   osoba reprezentująca — dalej: „Administrator”,

2. Podatki.pro sp. z o.o. z siedzibą w Częstochowie, ul. Gajowa 31, 42-229 Częstochowa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000858893 (Sąd Rejonowy w Częstochowie, XVII Wydział Gospodarczy Krajowego Rejestru Sądowego), NIP 573-292-11-79, REGON 386974378, kapitał zakładowy 5 000,00 zł; osoba reprezentująca — dalej: „Podmiot przetwarzający”,

dalej łącznie: „Strony”.

§ 1. Przedmiot umowy

1. Umowa jest zawierana w związku z umową o świadczenie usług księgowych z dnia (dalej: „Umowa o usługi”).
2. Użyte w Umowie określenia oznaczają: „RODO” — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (ogólne rozporządzenie o ochronie danych); „Dane” — dane osobowe powierzone na podstawie Umowy; „Podprocesor” — inny podmiot przetwarzający w rozumieniu art. 28 ust. 2 i 4 RODO.
3. Administrator powierza Podmiotowi przetwarzającemu, na podstawie art. 28 RODO, przetwarzanie Danych w zakresie i w celu określonych w § 2, a Podmiot przetwarzający zobowiązuje się przetwarzać je zgodnie z Umową i przepisami o ochronie danych osobowych.
4. Umowa nie dotyczy danych osobowych przetwarzanych przez Podmiot przetwarzający we własnym imieniu jako administratora, w szczególności danych Administratora i osób go reprezentujących, przetwarzanych w celu zawarcia i rozliczania Umowy o usługi oraz w celu wykonania obowiązków wynikających z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.
5. Administrator oświadcza, że przysługuje mu podstawa prawna przetwarzania Danych i że wypełnił wobec osób, których Dane dotyczą, obowiązki informacyjne (art. 13 i 14 RODO). Podmiot przetwarzający oświadcza, że zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 28 ust. 1 RODO).

§ 2. Zakres i cel przetwarzania

1. Podmiot przetwarzający przetwarza Dane wyłącznie w celu wykonania Umowy o usługi, w zakresie objętych nią usług: prowadzenia ksiąg i ewidencji, sporządzania i składania deklaracji, sprawozdań i plików JPK, rozliczeń z organami podatkowymi i ZUS oraz obsługi kadrowo-płacowej.
2. Przetwarzanie obejmuje operacje wykonywane ręcznie i w systemach informatycznych Podmiotu przetwarzającego, w tym w Strefie klienta: zbieranie, utrwalanie, porządkowanie, przechowywanie, wykorzystywanie, udostępnianie organom w imieniu Administratora, usuwanie i niszczenie Danych.
3. Kategorie osób, których Dane dotyczą, i rodzaje Danych:

4. Powierzenie obejmuje dane szczególnych kategorii (art. 9 ust. 1 RODO) tylko wtedy, gdy Umowa o usługi obejmuje obsługę kadrowo-płacową, i tylko w niezbędnym zakresie: dane o zdrowiu (zaświadczenia o niezdolności do pracy, orzeczenia o niepełnosprawności) oraz o przynależności do związków zawodowych (potrącenia składek). Dostęp do nich mają wyłącznie osoby prowadzące obsługę kadrowo-płacową. Nie obejmuje ono innych danych szczególnych kategorii ani danych z art. 10 RODO.

§ 3. Czas trwania

Umowa obowiązuje od dnia zawarcia przez okres obowiązywania Umowy o usługi oraz do wykonania obowiązków z § 10; po zakończeniu usług Dane są przetwarzane wyłącznie w celu ich zwrotu albo usunięcia. W razie naruszenia Umowy Administrator może polecić zawieszenie przetwarzania Danych do czasu przywrócenia zgodności z Umową, a jeżeli nie nastąpi to w ciągu miesiąca albo naruszenie jest poważne lub stałe — rozwiązać Umowę w zakresie przetwarzania Danych. Podmiot przetwarzający niezwłocznie zawiadamia Administratora o niemożności zastosowania się do Umowy.

§ 4. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający przetwarza Dane wyłącznie na udokumentowane polecenie Administratora, także w zakresie przekazywania Danych do państwa trzeciego lub organizacji międzynarodowej, i nie przetwarza ich we własnych celach (art. 28 ust. 3 lit. a RODO). Poleceniami są Umowa, Umowa o usługi oraz dalsze polecenia na piśmie lub w postaci elektronicznej, w tym przez Strefę klienta albo na adresy z § 7 ust. 4. Jeżeli obowiązek przetwarzania nakłada na Podmiot przetwarzający prawo Unii lub państwa członkowskiego, informuje on o tym Administratora przed rozpoczęciem przetwarzania, o ile prawo nie zabrania takiej informacji z uwagi na ważny interes publiczny.
2. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy Unii lub państwa członkowskiego o ochronie danych; może wstrzymać jego wykonanie do czasu potwierdzenia, zmiany lub cofnięcia polecenia.
3. Podmiot przetwarzający zapewnia, aby osoby upoważnione do przetwarzania Danych — jego pracownicy i inne osoby działające pod jego kierownictwem — przetwarzały je wyłącznie na polecenie Administratora, miały upoważnienie i dostęp w niezbędnym zakresie oraz zobowiązały się do zachowania tajemnicy, także po ustaniu zatrudnienia lub współpracy, albo podlegały ustawowemu obowiązkowi jej zachowania (art. 28 ust. 3 lit. b i art. 29 RODO).
4. Podmiot przetwarzający prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO) i niezwłocznie informuje Administratora o żądaniach organów dotyczących Danych, o ile prawo tego nie zabrania.

§ 5. Środki bezpieczeństwa

Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku, z uwzględnieniem stanu wiedzy technicznej, kosztu wdrożenia oraz charakteru, zakresu, kontekstu i celów przetwarzania (art. 28 ust. 3 lit. c i art. 32 RODO). Środki obejmują co najmniej te opisane w załączniku nr 2 oraz, w stosownym przypadku, środki wymienione w art. 32 ust. 1 lit. a–d RODO (m.in. szyfrowanie, zdolność do przywrócenia dostępności Danych po incydencie, regularne testowanie skuteczności środków).

§ 6. Podprocesorzy

1. Administrator udziela Podmiotowi przetwarzającemu ogólnej pisemnej zgody na korzystanie z usług Podprocesorów wymienionych w załączniku nr 1, w zakresie w nim wskazanym (art. 28 ust. 2 RODO).
2. O zamierzonym dodaniu lub zastąpieniu Podprocesora Podmiot przetwarzający informuje Administratora na piśmie lub w postaci elektronicznej z wyprzedzeniem co najmniej 14 dni, wskazując nazwę, adres, zakres czynności i kraj przetwarzania. Administrator może wnieść sprzeciw w terminie 7 dni; brak sprzeciwu oznacza zgodę, a załącznik nr 1 jest wówczas aktualizowany bez zmiany Umowy. W razie sprzeciwu Podmiot przetwarzający nie powierza Danych nowemu Podprocesorowi, a jeżeli uniemożliwia to należyte wykonywanie Umowy o usługi, Administrator może ją wypowiedzieć w trybie w niej przewidzianym.
3. Podmiot przetwarzający zawiera z Podprocesorem umowę nakładającą na niego te same obowiązki ochrony danych, które wynikają z Umowy, w szczególności zapewnienie wystarczających gwarancji wdrożenia odpowiednich środków (art. 28 ust. 3 lit. d i ust. 4 RODO). Na żądanie przekazuje Administratorowi jej kopię, z pominięciem tajemnicy przedsiębiorstwa, i niezwłocznie zawiadamia go o niewywiązaniu się Podprocesora ze zobowiązań.

§ 7. Pomoc Administratorowi

1. Podmiot przetwarzający przekazuje Administratorowi żądanie osoby, której Dane dotyczą, w terminie 3 dni roboczych i nie odpowiada na nie samodzielnie, chyba że Administrator na to zezwoli. W miarę możliwości, odpowiednimi środkami technicznymi i organizacyjnymi, pomaga mu w realizacji praw z rozdziału III RODO, w terminie pozwalającym dotrzymać terminu z art. 12 ust. 3 RODO (art. 28 ust. 3 lit. e RODO).
2. Po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego Danych, także u Podprocesora, Podmiot przetwarzający zgłasza je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od stwierdzenia, na adres z ust. 4. Zgłoszenie zawiera co najmniej informacje wymienione w art. 33 ust. 3 RODO, w zakresie dostępnym Podmiotowi przetwarzającemu; informacje, których nie można przekazać jednocześnie, przekazuje się sukcesywnie, bez zbędnej zwłoki (art. 33 ust. 2–4 RODO).
3. Podmiot przetwarzający, z uwzględnieniem charakteru przetwarzania i dostępnych mu informacji, pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO, w szczególności ze zgłoszenia naruszenia organowi nadzorczemu, zawiadomienia osób, których Dane dotyczą, oceny skutków dla ochrony danych i konsultacji z organem nadzorczym (art. 28 ust. 3 lit. f RODO).
4. Kontakt w sprawach ochrony danych: Administrator — ; Podmiot przetwarzający — biuro@podatki.pro. Podmiot przetwarzający nie wyznaczył inspektora ochrony danych.

§ 8. Kontrola i audyt

1. Podmiot przetwarzający udostępnia Administratorowi na żądanie, w terminie 14 dni, informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i Umowy, w tym o środkach bezpieczeństwa, miejscu przetwarzania, osobach i podmiotach mających dostęp do Danych oraz o Podprocesorach (art. 28 ust. 3 lit. h RODO).
2. Podmiot przetwarzający umożliwia Administratorowi lub audytorowi przez niego upoważnionemu i zobowiązanemu do poufności przeprowadzanie audytów, w tym inspekcji w swoich pomieszczeniach, i przyczynia się do nich. Audyty przeprowadza się w rozsądnych odstępach czasu albo gdy istnieją przesłanki wskazujące na niezgodność przetwarzania z Umową, po powiadomieniu z wyprzedzeniem co najmniej 14 dni, w godzinach pracy i z zachowaniem poufności danych innych klientów Podmiotu przetwarzającego. Każda ze Stron ponosi własne koszty audytu.

§ 9. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Podmiot przetwarzający przetwarza Dane na terytorium Europejskiego Obszaru Gospodarczego (EOG), z wyjątkiem Podprocesorów wymienionych w załączniku nr 1, którzy mogą przetwarzać Dane także poza EOG — na podstawie przewidzianej w rozdziale V RODO, wskazanej w tym załączniku.
2. Przekazanie Danych do państwa trzeciego lub organizacji międzynarodowej, w tym dostęp do Danych z takiego państwa, jest dopuszczalne wyłącznie na udokumentowane polecenie Administratora albo w celu spełnienia wymogu prawa Unii lub państwa członkowskiego (o którym Podmiot przetwarzający informuje Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania) i wyłącznie zgodnie z rozdziałem V RODO.

§ 10. Zwrot i usunięcie Danych po zakończeniu usług

1. Po zakończeniu świadczenia usług związanych z przetwarzaniem, to jest z dniem rozwiązania lub wygaśnięcia Umowy o usługi, Podmiot przetwarzający, zależnie od decyzji Administratora, zwraca mu wszystkie Dane albo je usuwa, oraz usuwa wszelkie istniejące kopie, chyba że prawo Unii lub państwa członkowskiego nakazuje przechowywanie Danych (art. 28 ust. 3 lit. g RODO).
2. Administrator wskazuje wybór na piśmie lub w postaci elektronicznej najpóźniej na 14 dni przed zakończeniem Umowy o usługi i może go zmienić do tego dnia; w braku wskazania Podmiot przetwarzający zwraca Dane, a po potwierdzeniu ich odbioru usuwa pozostałe kopie.
3. Usunięcie następuje w sposób uniemożliwiający odtworzenie Danych, w terminie 30 dni od zakończenia usług albo od potwierdzenia odbioru Danych, a kopii zapasowych — w terminie nie dłuższym niż 90 dni; Podmiot przetwarzający potwierdza je na piśmie lub w postaci elektronicznej.
4. Jeżeli prawo Unii lub prawo polskie nakazuje dalsze przechowywanie Danych, Podmiot przetwarzający wskazuje Administratorowi przepis i okres przechowywania, przetwarza Dane wyłącznie w tym celu i do czasu ich usunięcia stosuje do nich Umowę.
5. Ust. 1–4 nie dotyczą danych przetwarzanych przez Podmiot przetwarzający we własnym imieniu (§ 1 ust. 4), w tym dokumentów i informacji, które jako instytucja obowiązana przechowuje przez 5 lat od dnia zakończenia stosunków gospodarczych z klientem, a wyniki analiz transakcji — przez 5 lat od dnia ich przeprowadzenia (art. 49 ust. 1 i 2 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu).

§ 11. Odpowiedzialność

1. Strony odpowiadają za szkody wyrządzone osobom, których Dane dotyczą, na zasadach art. 82 RODO. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem wyłącznie wtedy, gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem instrukcjami Administratora albo wbrew nim.
2. Podmiot przetwarzający odpowiada wobec Administratora za działania i zaniechania Podprocesorów jak za własne (art. 28 ust. 4 RODO).
3. W pozostałym zakresie odpowiedzialność Stron określa Umowa o usługi; jej ograniczenia nie dotyczą odpowiedzialności wobec osób, których Dane dotyczą.

§ 12. Postanowienia końcowe

1. Umowę zawarto w formie pisemnej w dwóch jednobrzmiących egzemplarzach albo w formie elektronicznej (art. 28 ust. 9 RODO). Zmiana Umowy wymaga formy pisemnej lub elektronicznej pod rygorem nieważności, z wyjątkiem poleceń (§ 4 ust. 1) i aktualizacji załącznika nr 1 (§ 6 ust. 2).
2. W razie sprzeczności Umowy z Umową o usługi w zakresie ochrony danych osobowych pierwszeństwo mają postanowienia Umowy. Wynagrodzenie określa Umowa o usługi; Umowa nie przewiduje odrębnego wynagrodzenia.

Załącznik nr 1. Wykaz Podprocesorów

Podprocesorzy (§ 6 ust. 1) i podstawa przekazania Danych poza EOG (§ 9 ust. 1):

Załącznik nr 2. Środki techniczne i organizacyjne

Podmiot przetwarzający stosuje co najmniej poniższe środki.

1. Kontrola dostępu — indywidualne konta, zasada niezbędności, przegląd uprawnień.
2. Ochrona w przekazywaniu i przechowywaniu — szyfrowanie łączności i nośników, zabezpieczone kanały wymiany dokumentów, w tym Strefa klienta.
3. Kopie zapasowe — regularne kopie i testy odtworzenia.
4. Stacje robocze i sieć — aktualizacje, ochrona przed złośliwym oprogramowaniem, zapora, rejestrowanie dostępu.
5. Bezpieczeństwo fizyczne — zabezpieczenie pomieszczeń, niszczenie dokumentów i nośników.
6. Środki organizacyjne — upoważnienia, poufność, szkolenia, procedura zgłaszania incydentów, rejestr naruszeń, ocena skuteczności środków.

Wzór pobrano ze strony https://podatki.pro/wzory/umowa-powierzenia-przetwarzania-danych