Umowa powierzenia przetwarzania danych osobowych

1. Strony

Administrator — użytkownik serwisu prowadzący działalność gospodarczą, który wprowadza do serwisu dane swoich pracowników, współpracowników i kontrahentów.

Podmiot przetwarzający — MR10 Marcin Rojek i Michał Gniado: MR10 Marcin Rojek, ul. Hansa Christiana Andersena 30/370, 05-091 Ząbki, NIP 5242884057; Michał Gniado, ul. Łukowska 1/U13, 04-113 Warszawa, NIP 8222394989.

2. Przedmiot i cel

Administrator powierza przetwarzanie danych osobowych wyłącznie w celu świadczenia usług serwisu: pobierania i prezentacji faktur z KSeF, rozliczeń VAT i PIT, ewidencji kadrowej i wyliczeń ZUS, przechowywania dokumentów oraz wysyłki powiadomień. Podmiot przetwarzający nie wykorzystuje danych do własnych celów.

3. Zakres danych i kategorie osób

• Pracownicy i zleceniobiorcy: imię, nazwisko, PESEL, adres, warunki zatrudnienia, wynagrodzenie, potrącenia (w tym komornicze), dane do rozliczeń ZUS i PIT.
• Kontrahenci: nazwa, NIP, adres, dane z faktur.
• Osoby kontaktowe: imię, nazwisko, e-mail, telefon.

Dane szczególnych kategorii (art. 9 RODO) nie są objęte powierzeniem i nie należy ich wprowadzać.

4. Czas trwania

Przez okres korzystania z serwisu. Po usunięciu konta dane są usuwane w ciągu 30 dni, chyba że przepis prawa nakazuje ich dalsze przechowywanie. Na życzenie Administratora przed usunięciem udostępniamy eksport danych.

5. Obowiązki podmiotu przetwarzającego

• Przetwarza dane wyłącznie na udokumentowane polecenie Administratora (art. 28 ust. 3 lit. a RODO).
• Zapewnia, że osoby z dostępem do danych zobowiązały się do zachowania tajemnicy.
• Pomaga Administratorowi w realizacji praw osób, których dane dotyczą, i w obowiązkach z art. 32–36 RODO.
• Udostępnia informacje niezbędne do wykazania zgodności i umożliwia audyt po uprzednim uzgodnieniu terminu.
• Zgłasza naruszenie ochrony danych Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia.

6. Zabezpieczenia

• Szyfrowane połączenia (HTTPS/TLS) i szyfrowanie danych w spoczynku.
• Ścisła izolacja kont — każdy użytkownik ma dostęp wyłącznie do własnych danych, na poziomie bazy danych.
• Tokeny KSeF dostępne wyłącznie dla serwera, nigdy w przeglądarce.
• Obowiązkowe logowanie dwuetapowe dla administratorów serwisu; dostępne dla wszystkich użytkowników.
• Dziennik dostępu administratorów do kont klientów z podaniem powodu.
• Limity prób dla formularzy i blokada haseł, które wyciekły w innych serwisach.
• Kopie zapasowe bazy danych i regularne aktualizacje bezpieczeństwa.

7. Dalsze powierzenie (podwykonawcy)

Administrator udziela ogólnej zgody na korzystanie z poniższych podwykonawców. O planowanej zmianie informujemy z 14-dniowym wyprzedzeniem; Administrator może zgłosić sprzeciw i wypowiedzieć umowę.

8. Kontakt

Sprawy dotyczące ochrony danych i zgłoszenia naruszeń: kontakt@twojerozliczenie.app.