Umowa powierzenia przetwarzania danych osobowych (Należy się)

Wersja dla firm. Załącznik nr 1 do Regulaminu usługi Należy się (w Regulaminie tylko odesłanie; wiążąca jest treść tego pliku). Załączniki nr 1 i 2 na końcu tego dokumentu są załącznikami do Umowy powierzenia, nie do Regulaminu. Zawierana przez akceptację w aplikacji przy zakładaniu konta (forma elektroniczna, art. 28 ust. 9 RODO). Na wniosek Firmy ta sama treść może zostać podpisana jako odrębny dokument.

zawarta w dniu akceptacji Regulaminu pomiędzy:

Firmą, czyli przedsiębiorcą, dla którego założono konto w usłudze Należy się, oznaczonym w aplikacji numerem NIP i nazwą, zwanym dalej „Administratorem”,

a

Kamilem Sobkowiczem, prowadzącym działalność gospodarczą pod firmą Mooning Charts Research Kamil Sobkowicz [do potwierdzenia w CEIDG], adres: [do uzupełnienia], NIP 7133061369, REGON 362010370, wpisanym do CEIDG, zwanym dalej „Podmiotem przetwarzającym”,

zwanymi dalej łącznie „Stronami”.

Preambuła#

Strony zawarły umowę o świadczenie usługi Należy się na podstawie Regulaminu usługi Należy się („Umowa główna”). Wykonanie Umowy głównej wymaga przetwarzania danych osobowych w imieniu Administratora, dlatego Strony zawierają niniejszą umowę („Umowa”).

§ 1. Definicje#

1. RODO: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
2. Dane: dane osobowe powierzone Podmiotowi przetwarzającemu na podstawie Umowy, opisane w § 3.
3. Usługa: usługa Należy się opisana w Regulaminie: wczytywanie faktur (XML FA(3), program fakturowy, KSeF), zestawienia należności i płatności, kalkulacje rekompensat i odsetek, informacja o uldze na złe długi, przypomnienia do Kontrahentów, pytania do Pracowników przez jednorazowy link, Talia kart i historia decyzji.
4. Kontrahent, Pracownik, Talia: jak w Regulaminie.
5. Dalszy podmiot przetwarzający: podmiot, któremu Podmiot przetwarzający powierza przetwarzanie Danych w zakresie potrzebnym do świadczenia Usługi.
6. Polecenie: udokumentowane polecenie Administratora, w tym Umowa, Regulamin, ustawienia i działania Administratora w aplikacji (np. wczytanie pliku, podłączenie klucza, zatwierdzenie przypomnienia, wysłanie pytania do Pracownika, decyzja w Talii) oraz polecenia przekazane e-mailem.

§ 2. Przedmiot, charakter i cel przetwarzania#

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych wyłącznie w celu świadczenia Usługi zgodnie z Umową główną i Poleceniami.
2. Charakter przetwarzania: zbieranie (wczytanie plików, pobranie z programu fakturowego lub KSeF na polecenie Administratora), utrwalanie, organizowanie, porządkowanie, przechowywanie, przeglądanie, wyliczanie, sprawdzanie rachunków w wykazie podatników VAT, przesyłanie wiadomości, eksport, usuwanie.
3. W zakresie Danych, których administratorem jest Administrator, Umowa jest umową powierzenia w rozumieniu art. 28 ust. 3 RODO. Jeśli Administrator przetwarza część Danych jako podmiot przetwarzający na rzecz innego administratora, Umowa jest w tym zakresie umową o dalsze powierzenie w rozumieniu art. 28 ust. 4 RODO, a Administrator oświadcza, że ma zgodę tego administratora na korzystanie z Podmiotu przetwarzającego.
4. Umowa nie obejmuje danych, których administratorem jest Podmiot przetwarzający: danych konta i logowania, rozliczeń, bezpieczeństwa oraz danych z rejestrów publicznych przechowywanych we wspólnej pamięci podręcznej Usługi, pobieranych w Diagnozie publicznej i przy sprawdzeniach wykonywanych z konta (Polityka prywatności § 3). Wynik sprawdzenia zapisany przy fakturze lub płatności Administratora jest Danymi objętymi Umową.
5. Umowa obowiązuje przez czas obowiązywania Umowy głównej, a po jej zakończeniu do czasu usunięcia lub zwrotu Danych zgodnie z § 13.

§ 3. Rodzaj danych i kategorie osób#

1. Kategorie osób, których dane dotyczą: a) Kontrahenci Administratora wskazani w fakturach (nabywcy i sprzedawcy), w tym osoby fizyczne prowadzące działalność gospodarczą, oraz osoby wskazane w fakturach jako osoby kontaktowe; b) Pracownicy i współpracownicy Administratora, do których Administrator wysyła pytania o faktury; c) osoby, których kontakt Administrator zapisał jako kontakt Kontrahenta lub księgowej (w tym adres e-mail księgowej, na który Usługa wysyła zestawienia na polecenie Administratora).
2. Rodzaje danych: imię i nazwisko, nazwa firmy, NIP, numer VAT UE, adres, numer rachunku bankowego, numer telefonu, adres e-mail, dane z faktur (numery, daty, terminy, kwoty, waluty, pozycje, numer KSeF, status zapłaty), treść przypomnień i ich status doręczenia, odpowiedź Pracownika i jego notatka, decyzje Administratora w Talii i ich historia.
3. Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących i naruszeń prawa (art. 10 RODO). Administrator nie poleca ich przetwarzania.
4. Usługa nie ocenia osób, nie tworzy scoringu ani profili Kontrahentów lub Pracowników.

§ 4. Obowiązki Podmiotu przetwarzającego#

Podmiot przetwarzający zobowiązuje się: a) przetwarzać Dane wyłącznie na Polecenie Administratora, także w odniesieniu do przekazywania Danych do państwa trzeciego, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo polskie; w takim przypadku poinformuje Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania; b) zapewnić, aby osoby upoważnione do przetwarzania Danych zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi tajemnicy; c) stosować środki techniczne i organizacyjne wymagane przez art. 32 RODO, opisane w Załączniku nr 2 do Umowy; d) przestrzegać warunków korzystania z dalszych podmiotów przetwarzających określonych w § 5; e) pomagać Administratorowi, przez odpowiednie środki techniczne i organizacyjne, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO), w terminie 5 dni roboczych od otrzymania prośby; f) pomagać Administratorowi w wywiązywaniu się z obowiązków z art. 32-36 RODO, uwzględniając charakter przetwarzania i dostępne informacje; g) po zakończeniu świadczenia Usługi usunąć albo zwrócić Dane zgodnie z § 13; h) udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwiać audyty zgodnie z § 11; i) niezwłocznie poinformować Administratora, jeżeli jego zdaniem wydane mu polecenie narusza RODO lub inne przepisy o ochronie danych; j) prowadzić rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO).

§ 5. Dalsze podmioty przetwarzające#

1. Administrator udziela ogólnej pisemnej zgody (art. 28 ust. 2 RODO) na korzystanie z dalszych podmiotów przetwarzających wymienionych w Załączniku nr 1 do Umowy. Wykaz zawiera nazwę, adres, zakres, lokalizację przetwarzania, podstawę transferu i okres przechowywania danych u każdego z nich i jest stale dostępny pod adresem [adres]/umowa-powierzenia.
2. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego (w tym o wprowadzeniu dostawcy modelu językowego) Podmiot przetwarzający informuje Administratora z co najmniej 14-dniowym wyprzedzeniem, SMS-em lub e-mailem oraz w aplikacji. Administrator może w tym terminie wnieść uzasadniony sprzeciw; w razie sprzeciwu Strony uzgodnią rozwiązanie, a gdy to niemożliwe, Administrator może wypowiedzieć Umowę główną ze skutkiem natychmiastowym, bez kosztów.
3. W sytuacji nagłej, gdy zmiana dostawcy jest konieczna dla bezpieczeństwa lub ciągłości Usługi, Podmiot przetwarzający może dokonać zmiany wcześniej, informując Administratora niezwłocznie; prawo sprzeciwu z ust. 2 stosuje się odpowiednio.
4. Podmiot przetwarzający nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych nie mniejsze niż wynikające z Umowy, w szczególności zakaz wykorzystywania Danych do trenowania modeli, i odpowiada wobec Administratora za ich wykonanie.
5. Przekazanie Danych do państwa spoza Europejskiego Obszaru Gospodarczego odbywa się wyłącznie przy zachowaniu warunków rozdziału V RODO: na podstawie decyzji Komisji stwierdzającej odpowiedni stopień ochrony (w tym decyzji z 10 lipca 2023 r. w sprawie EU-US Data Privacy Framework, dla podmiotów certyfikowanych), a jako mechanizm zapasowy na podstawie standardowych klauzul umownych (decyzja wykonawcza Komisji (UE) 2021/914), z oceną skutków transferu.
6. Program fakturowy wskazany przez Administratora (np. DogInvoice) i KSeF są źródłami danych, z których Usługa pobiera dane na polecenie Administratora, który sam udziela dostępu. Rejestry publiczne (wykaz podatników VAT, VIES, KRS) i NBP są źródłami informacji publicznej. Żaden z tych podmiotów nie jest dalszym podmiotem przetwarzającym Podmiotu przetwarzającego.
7. Jeśli wiadomości SMS są wysyłane przez Twilio, Twilio przetwarza część danych wiadomości także jako odrębny administrator, we własnym celu zapobiegania nadużyciom i spamowi (Załącznik nr 1, uwaga 2). Administrator uwzględnia tę informację w swoim obowiązku informacyjnym.

§ 6. Wykorzystanie Danych: nie trenujemy, nie sprzedajemy#

1. Podmiot przetwarzający przetwarza Dane wyłącznie w celu świadczenia Usługi na rzecz Administratora, a ponadto wyłącznie w zakresie niezbędnym do zapewnienia bezpieczeństwa Usługi, wykrywania nadużyć i zapobiegania im, wykonania obowiązków prawnych oraz obsługi zgłoszeń Administratora.
2. Podmiot przetwarzający nie wykorzystuje Danych do trenowania, dostrajania ani ulepszania modeli sztucznej inteligencji, własnych ani cudzych, chyba że Administrator wyrazi na to odrębną, wyraźną zgodę w formie dokumentowej, odwołalną w każdym czasie.
3. Podmiot przetwarzający nie sprzedaje Danych, nie udostępnia ich odpłatnie ani nieodpłatnie podmiotom trzecim i nie wykorzystuje ich do własnych celów, w tym reklamowych, marketingowych, profilowania ani budowy baz danych (w szczególności baz dłużników lub kontrahentów, także zbiorczo z danych różnych firm). Nie stanowi udostępnienia przekazanie Danych dalszym podmiotom przetwarzającym z Załącznika nr 1 ani przekazanie organom publicznym, gdy wymaga tego prawo (§ 4 lit. a). Wyjątkiem od zakazu używania do własnych celów są wyłącznie cele z ust. 1 oraz zagregowane statystyki techniczne bez treści Danych, nieidentyfikujące Administratora ani osób fizycznych (§ 16 ust. 6 Regulaminu).
4. Usługa nie korzysta dziś z modeli językowych. Jeśli zostaną wprowadzone, Podmiot przetwarzający skorzysta wyłącznie z dostawców, którzy zobowiązali się nie wykorzystywać Danych do trenowania modeli, w trybie bez przechowywania danych (zero data retention), z wyłączeniem dostawców zbierających dane (data_collection: deny), po uprzedzeniu z § 5 ust. 2.

§ 7. Naruszenia ochrony danych#

1. Podmiot przetwarzający zgłasza Administratorowi stwierdzone naruszenie ochrony Danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, SMS-em na numer konta i e-mailem, jeśli Administrator go podał.
2. Zgłoszenie zawiera co najmniej: opis naruszenia (w miarę możliwości kategorie i przybliżoną liczbę osób i rekordów), możliwe konsekwencje, zastosowane lub proponowane środki zaradcze oraz dane osoby kontaktowej. Informacje, których nie da się podać od razu, Podmiot przetwarzający przekazuje sukcesywnie.
3. Podmiot przetwarzający dokumentuje naruszenia i współpracuje z Administratorem przy zgłoszeniu do Prezesa UODO i zawiadomieniu osób, których dane dotyczą. Zgłoszeń tych dokonuje Administrator.

§ 8. Przypomnienia i pytania do Pracowników#

1. Administrator zapewnia podstawę prawną kontaktu z Kontrahentami i Pracownikami (w szczególności art. 6 ust. 1 lit. b lub f RODO) i spełnia wobec nich obowiązek informacyjny. Podmiot przetwarzający udostępnia wzór krótkiej informacji na stronie linku dla Pracownika.
2. Przypomnienia są wiadomościami transakcyjnymi. Administrator nie umieszcza w nich informacji handlowej; w przeciwnym razie odpowiada za brak zgody z art. 398 ustawy Prawo komunikacji elektronicznej.
3. Usługa wysyła wiadomości wyłącznie na kontakty z faktury albo zapisane i potwierdzone przez Administratora, po zatwierdzeniu treści przez Administratora, z limitami z Regulaminu.

§ 9. Zautomatyzowane przetwarzanie#

1. Wyliczenia w Usłudze wykonuje kod według deterministycznych reguł opisanych w aplikacji (Informacja o AI). Usługa nie ocenia zdolności kredytowej ani wiarygodności płatniczej osób fizycznych i nie tworzy scoringu.
2. Usługa nie podejmuje wobec osób fizycznych decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, wywołujących skutki prawne lub w podobny sposób istotnie na nie wpływających (art. 22 RODO). Każdą wiadomość i decyzję zatwierdza Administrator.

§ 10. Okresy przechowywania#

Podmiot przetwarzający przechowuje Dane nie dłużej niż [okresy domyślne do potwierdzenia; część wymaga wdrożenia, patrz ZMIANY-W-PRODUKCIE-PRZED-PUBLIKACJA.md]:

Administrator może polecić krótsze okresy e-mailem. Usunięcie następuje automatycznie raz na dobę.

§ 11. Kontrola i audyt#

1. Administrator ma prawo sprawdzić zgodność przetwarzania z Umową, w szczególności przez żądanie informacji i dokumentów, a nie częściej niż raz w roku (poza przypadkiem naruszenia ochrony danych lub żądania organu) także przez audyt przeprowadzony przez Administratora albo upoważnionego audytora zobowiązanego do poufności.
2. O audycie Administrator zawiadamia co najmniej 14 dni wcześniej. Audyt nie może naruszać tajemnicy przedsiębiorstwa Podmiotu przetwarzającego ani danych innych jego klientów. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie Umowy.
3. W odniesieniu do dalszych podmiotów przetwarzających będących dużymi dostawcami infrastruktury Podmiot przetwarzający może wykazać zgodność ich raportami i certyfikatami (np. SOC 2, ISO 27001).

§ 12. Odpowiedzialność#

1. Strony odpowiadają za szkody wyrządzone przetwarzaniem Danych na zasadach art. 82 RODO i przepisów Kodeksu cywilnego.
2. Odpowiedzialność kontraktowa Podmiotu przetwarzającego wobec Administratora z tytułu Umowy podlega łącznemu limitowi z § 18 Regulaminu (opłaty netto za 12 miesięcy, nie mniej niż [500] zł), z wyłączeniem szkody wyrządzonej umyślnie [oraz wskutek rażącego niedbalstwa]. Limit nie ogranicza odpowiedzialności wobec osób, których dane dotyczą, i nie dotyczy Administratora będącego przedsiębiorcą na prawach konsumenta (§ 24 Regulaminu).
3. Jeśli Strona naprawiła szkodę osoby, której dane dotyczą, w całości, może żądać od drugiej Strony zwrotu części odszkodowania odpowiadającej jej udziałowi w odpowiedzialności za szkodę (art. 82 ust. 5 RODO). Administrator ponosi w tym zakresie odpowiedzialność za brak podstawy prawnej przetwarzania, brak obowiązku informacyjnego i treść wiadomości zatwierdzonych przez Administratora.

§ 13. Czas trwania i zakończenie#

1. Umowa wygasa z chwilą rozwiązania lub wygaśnięcia Umowy głównej, z zastrzeżeniem ust. 2.
2. W ciągu 30 dni od zakończenia Umowy głównej (a jeśli Administrator zażądał przeniesienia danych do innego dostawcy, w okresach z § 23 ust. 5 Regulaminu) Administrator może pobrać Dane w aplikacji (CSV/JSON); pobranie stanowi zwrot Danych w rozumieniu art. 28 ust. 3 lit. g RODO. Administrator może też polecić usunięcie Danych przed upływem tego terminu. Po tym terminie Podmiot przetwarzający usuwa Dane, łącznie z kopiami u dalszych podmiotów przetwarzających, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie. Kopie zapasowe są nadpisywane w cyklu dostawcy infrastruktury, nie dłuższym niż [7] dni. Na żądanie Podmiot przetwarzający potwierdza usunięcie w formie dokumentowej.

§ 14. Postanowienia końcowe#

1. Kontakt w sprawach ochrony danych: po stronie Administratora numer telefonu konta i adres e-mail podany w ustawieniach; po stronie Podmiotu przetwarzającego Kamil Sobkowicz, [e-mail], [telefon].
2. W zakresie ochrony danych osobowych postanowienia Umowy mają pierwszeństwo przed postanowieniami Umowy głównej.
3. Zmiany Umowy następują w trybie zmiany Regulaminu (§ 25 Regulaminu), z wyjątkiem aktualizacji Załącznika nr 1 w trybie § 5 ust. 2-3.
4. W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych i Kodeksu cywilnego. Spory rozstrzyga sąd właściwy zgodnie z § 26 Regulaminu.

Załącznik nr 1. Dalsze podmioty przetwarzające#

Stan docelowy po wykonaniu zmian z ZMIANY-W-PRODUKCIE-PRZED-PUBLIKACJA.md. Przed publikacją zweryfikować z aktualnymi umowami DPA dostawców: nazwę podmiotu kontraktującego, adres, lokalizację, mechanizm transferu, certyfikację DPF (dataprivacyframework.gov) i retencję. Pola [do weryfikacji] nie mogą zostać w wersji publikowanej. Wiersze dostawców nieużywanych na produkcji usunąć. Warunek prawdziwości tabeli: zawarte umowy powierzenia z każdym dostawcą (ZMIANY-W-PRODUKCIE-PRZED-PUBLIKACJA.md, A9).

Uwagi:

1. Usługa nie korzysta z dostawców modeli językowych. Dodanie takiego dostawcy wymaga trybu z § 5 ust. 2.
2. Twilio jest według swojej umowy DPA (wersja z 9.04.2026) odrębnym administratorem części danych klienta (m.in. treści i metadanych komunikacji) w celu wykrywania nadużyć i spamu, w tym przez rozwijanie wewnętrznych narzędzi i modeli antynadużyciowych. [do weryfikacji: pkt 3.2-3.4 DPA Twilio]
3. Program fakturowy wskazany przez Administratora, KSeF, rejestry publiczne i NBP są źródłami danych, nie dalszymi podmiotami przetwarzającymi.

Załącznik nr 2. Środki techniczne i organizacyjne#