UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

§ 1. Strony i charakter dokumentu

1. Niniejszy dokument określa zasady powierzenia przetwarzania danych osobowych przez Klienta jako administratora danych na rzecz Mobilni Księgowi prosta spółka akcyjna jako podmiotu przetwarzającego.
2. Dokument stanowi integralną część umowy, regulaminu, zamówienia albo innego stosunku prawnego łączącego strony w zakresie świadczenia usług księgowych, kadrowo-płacowych, administracyjnych, organizacyjnych lub pokrewnych.

§ 2. Przedmiot i cel powierzenia

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie niezbędnym do realizacji usług świadczonych przez Procesora na rzecz Administratora.
2. Powierzenie następuje wyłącznie w celu wykonania umowy głównej, w szczególności w zakresie:
   1. prowadzenia ksiąg rachunkowych i ewidencji,
   2. obsługi podatkowej,
   3. obsługi kadrowo-płacowej,
   4. sporządzania deklaracji, raportów, zestawień i sprawozdań,
   5. organizacji obiegu dokumentów, archiwizacji i komunikacji związanej z wykonywaniem usług.

§ 3. Kategorie osób i rodzaje danych

1. Powierzenie może obejmować dane dotyczące w szczególności:
   1. Administratora będącego osobą fizyczną,
   2. osób reprezentujących Administratora,
   3. wspólników, akcjonariuszy, beneficjentów rzeczywistych, członków organów i pełnomocników,
   4. pracowników, współpracowników, zleceniobiorców i kandydatów do pracy,
   5. kontrahentów, klientów, dostawców i osób kontaktowych,
   6. członków rodzin pracowników lub współpracowników – jeżeli jest to niezbędne do realizacji obowiązków kadrowo-płacowych lub ZUS.
2. Powierzenie może obejmować dane takie jak:
   1. dane identyfikacyjne,
   2. dane adresowe i kontaktowe,
   3. dane finansowe, rozliczeniowe, podatkowe i księgowe,
   4. dane zatrudnieniowe, płacowe i ubezpieczeniowe,
   5. dane zawarte w dokumentach, korespondencji i systemach związanych z realizacją usług,
   6. szczególne kategorie danych – wyłącznie w zakresie niezbędnym do realizacji usług oraz obowiązków wynikających z przepisów prawa.

§ 4. Czas trwania przetwarzania

Procesor przetwarza dane przez okres obowiązywania współpracy oraz po jej zakończeniu przez czas niezbędny do wykonania obowiązków prawnych, archiwizacyjnych, rozliczeniowych oraz do ustalenia, dochodzenia lub obrony roszczeń.

§ 5. Obowiązki Procesora

1. Procesor zobowiązuje się przetwarzać dane wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek przetwarzania wynika z przepisów prawa.
2. Za udokumentowane polecenie uważa się w szczególności umowę główną, niniejszy dokument, wiadomości e-mail, dyspozycje przekazywane przez system obsługowy albo inny uzgodniony kanał komunikacji.
3. Procesor zapewnia, że osoby upoważnione do przetwarzania danych są zobowiązane do zachowania poufności.
4. Procesor stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych.
5. Procesor pomaga Administratorowi, w zakresie wynikającym z charakteru przetwarzania i dostępnych informacji, w realizacji obowiązków dotyczących:
   1. odpowiadania na żądania osób, których dane dotyczą,
   2. bezpieczeństwa danych,
   3. zgłaszania naruszeń,
   4. oceny skutków dla ochrony danych,
   5. konsultacji z organem nadzorczym, jeśli są wymagane.

§ 6. Dalsze powierzenie

1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z dalszych podmiotów przetwarzających, o ile jest to niezbędne do realizacji usług.
2. Dalsze powierzenie może dotyczyć w szczególności dostawców:
   1. systemów księgowych i kadrowych,
   2. hostingu, poczty elektronicznej i infrastruktury IT,
   3. obiegów dokumentów, podpisu elektronicznego i archiwizacji,
   4. narzędzi komunikacyjnych, wsparcia IT i narzędzi organizacyjnych.
3. Procesor zobowiązuje się korzystać wyłącznie z takich podmiotów, które zapewniają odpowiedni poziom ochrony danych.
4. Na dalszy podmiot przetwarzający nakładane są obowiązki ochrony danych nie mniej rygorystyczne niż wynikające z niniejszego dokumentu.

§ 7. Naruszenia ochrony danych

1. Procesor informuje Administratora o naruszeniu ochrony danych osobowych dotyczącym powierzonych danych bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 48 godzin od jego stwierdzenia.
2. Informacja o naruszeniu powinna, w miarę możliwości, obejmować:
   1. opis charakteru naruszenia,
   2. kategorie danych i osób, których naruszenie dotyczy,
   3. możliwe konsekwencje naruszenia,
   4. zastosowane lub proponowane środki zaradcze.

§ 8. Audyt i informacje

1. Procesor udostępnia Administratorowi informacje niezbędne do wykazania zgodności przetwarzania z niniejszym dokumentem i obowiązującymi przepisami.
2. Administrator ma prawo do przeprowadzenia kontroli lub audytu, po wcześniejszym uzgodnieniu terminu, zakresu i sposobu przeprowadzenia.
3. Audyt nie może naruszać bezpieczeństwa danych innych klientów, tajemnicy przedsiębiorstwa ani zakłócać bieżącej działalności Procesora.
4. W przypadku braku możliwości przeprowadzenia pełnego audytu Procesor może zaproponować alternatywną formę wykazania zgodności.

§ 9. Zwrot lub usunięcie danych

1. Po zakończeniu świadczenia usług Procesor, według wyboru Administratora, usuwa albo zwraca dane osobowe, chyba że przepisy prawa wymagają dalszego przechowywania danych.
2. Procesor może zachować dane w zakresie niezbędnym do realizacji obowiązków prawnych oraz do ustalenia, dochodzenia lub obrony roszczeń.

§ 10. Odpowiedzialność stron

1. Każda ze stron odpowiada za własne obowiązki wynikające z przepisów prawa oraz niniejszego dokumentu.
2. Administrator potwierdza, że posiada podstawę prawną do przetwarzania danych oraz do ich powierzenia Procesorowi.
3. Procesor nie odpowiada za przetwarzanie danych wykraczające poza udokumentowane polecenia Administratora, chyba że wynika ono z przepisów prawa albo zawinionego działania Procesora.

§ 11. Postanowienia końcowe

1. W sprawach nieuregulowanych zastosowanie mają postanowienia umowy głównej, Regulaminu współpracy oraz przepisy prawa powszechnie obowiązującego.
2. Dokument obowiązuje przez okres trwania współpracy oraz przez czas niezbędny do rozliczenia obowiązków stron z niego wynikających.