Umowa powierzenia przetwarzania danych osobowych

Strony

Podmiot przetwarzający

TAXNXT sp. z o.o.ul. Toruńska 15/7780-747 GdańskNIP: 6783218496REGON: 529197763KRS: 0001117478PolskaE-mail: support@taxnxt.euStrona Bilantio: bilantio.com

W niniejszej Umowie TAXNXT sp. z o.o. jest określana jako „Podmiot przetwarzający”, „TAXNXT”, „Bilantio”, „my”, „nas” lub „nasz”.

Klient

Spółka, przedsiębiorca, biuro rachunkowe, organizacja lub inny podmiot gospodarczy, który zawiera umowę o korzystanie z Bilantio.

W niniejszej Umowie podmiot ten jest określany jako „Administrator” lub „Klient”.

Gdy Klient przetwarza Dane osobowe w imieniu innego administratora, Klient może działać jako podmiot przetwarzający, a TAXNXT jako podmiot podprzetwarzający. Odniesienia do Administratora należy wówczas rozumieć jako odniesienia do Klienta działającego w odpowiedniej roli.

§1. Definicje

Na potrzeby niniejszej Umowy:

1. 1.
   Właściwe przepisy o ochronie danych oznaczają:

   1. a.Rozporządzenie (UE) 2016/679, ogólne rozporządzenie o ochronie danych, czyli RODO;
   2. b.właściwe polskie przepisy o ochronie danych osobowych;
   3. c.właściwe przepisy wdrażające lub uzupełniające RODO;
   4. d.właściwe wiążące decyzje, nakazy lub wymogi właściwego organu nadzorczego; oraz
   5. e.inne przepisy o ochronie danych lub prywatności mające zastosowanie do przetwarzania objętego niniejszą Umową.
2. 2.
   Administrator, Podmiot przetwarzający, Osoba, której dane dotyczą, Dane osobowe, Przetwarzanie, Naruszenie ochrony danych osobowych, Organ nadzorczy oraz Szczególne kategorie danych osobowych mają znaczenie nadane im w RODO.
3. 3.
   Dane Klienta oznaczają informacje, dokumenty, pliki, polecenia (prompty), zapisy, instrukcje, dane księgowe, dane fakturowe, dane kadrowo-płacowe, dane HR, dane podatkowe oraz inne materiały przekazywane do Bilantio lub przetwarzane w Bilantio przez Klienta lub w jego imieniu.
4. 4.
   Umowa Główna oznacza Regulamin Bilantio, właściwe Zamówienie, umowę subskrypcyjną, umowę o świadczenie usług lub inną umowę regulującą korzystanie przez Klienta z Bilantio.
5. 5.
   Transfer objęty ograniczeniami oznacza przekazanie Danych osobowych do państwa lub odbiorcy, dla którego Właściwe przepisy o ochronie danych wymagają odpowiedniego zabezpieczenia lub mechanizmu transferu.
6. 6.
   Usługi oznaczają platformę programistyczną Bilantio oraz usługi świadczone na podstawie Umowy Głównej.
7. 7.
   Podmiot podprzetwarzający oznacza podmiot trzeci wyznaczony przez TAXNXT do przetwarzania Danych osobowych w imieniu Klienta.
8. 8.
   Standardowe klauzule umowne lub SCC oznaczają standardowe klauzule umowne zatwierdzone przez Komisję Europejską dla przekazywania Danych osobowych do państw trzecich, wraz z późniejszymi zmianami lub zastąpieniami.
9. 9.
   Użytkownik oznacza osobę fizyczną upoważnioną przez Klienta do dostępu do Bilantio lub korzystania z niego.

§2. Zakres i relacja z Umową Główną

1. 1.
   Niniejsza Umowa stanowi część Umowy Głównej.
2. 2.
   Niniejsza Umowa ma zastosowanie wyłącznie do Przetwarzania, w którym TAXNXT działa jako:

   1. a.podmiot przetwarzający w imieniu Klienta; albo
   2. b.podmiot podprzetwarzający, gdy Klient przetwarza Dane osobowe w imieniu innego administratora.
3. 3.
   Niniejsza Umowa nie ma zastosowania do Przetwarzania, w którym TAXNXT działa jako niezależny Administrator.
4. 4.
   TAXNXT może działać jako niezależny Administrator, przetwarzając Dane osobowe we własnych uzasadnionych celach, w tym w celu:

   1. a.tworzenia kont Użytkowników i zarządzania nimi;
   2. b.obsługi subskrypcji;
   3. c.obsługi rozliczeń i płatności;
   4. d.przeciwdziałania oszustwom i nadużyciom;
   5. e.utrzymania bezpieczeństwa platformy;
   6. f.komunikacji z Użytkownikami;
   7. g.zapewnienia wsparcia klienta;
   8. h.wypełnienia obowiązków prawnych;
   9. i.prowadzenia dokumentacji biznesowej;
   10. j.ustalenia, dochodzenia lub obrony roszczeń; oraz
   11. k.doskonalenia Bilantio z wykorzystaniem informacji zagregowanych lub zanonimizowanych.
5. 5.
   Przetwarzanie wykonywane przez TAXNXT jako niezależnego Administratora podlega Polityce prywatności Bilantio, a nie niniejszej Umowie.
6. 6.
   W razie sprzeczności między niniejszą Umową a Umową Główną w zakresie Przetwarzania objętego niniejszą Umową, pierwszeństwo ma niniejsza Umowa.
7. 7.
   W razie sprzeczności między niniejszą Umową a mającymi zastosowanie Standardowymi klauzulami umownymi, dla danego Transferu objętego ograniczeniami pierwszeństwo mają Standardowe klauzule umowne.

§3. Role stron

1. 1.
   Klient określa cele i istotne sposoby Przetwarzania Danych osobowych w Bilantio.
2. 2.
   TAXNXT przetwarza Dane osobowe w imieniu Klienta i zgodnie z jego udokumentowanymi poleceniami.
3. 3.
   Klient odpowiada za ustalenie, czy działa jako:

   1. a.administrator;
   2. b.współadministrator;
   3. c.podmiot przetwarzający w imieniu innego administratora; albo
   4. d.w innej roli przewidzianej we Właściwych przepisach o ochronie danych.
4. 4.
   Gdy Klient działa jako podmiot przetwarzający na rzecz innego administratora:

   1. a.Klient potwierdza, że jest uprawniony do wyznaczenia TAXNXT jako podmiotu podprzetwarzającego;
   2. b.Klient zapewni, że jego polecenia są zgodne z poleceniami właściwego administratora;
   3. c.odniesienia w niniejszej Umowie do praw i obowiązków Klienta stosuje się z uwzględnieniem jego własnej umowy powierzenia z tym administratorem; oraz
   4. d.TAXNXT przetwarza Dane osobowe wyłącznie w zakresie zgodnych z prawem poleceń Klienta.
5. 5.
   Żadna ze stron nie staje się współadministratorem wyłącznie z powodu zawarcia niniejszej Umowy.
6. 6.
   Jeżeli TAXNXT samodzielnie określi cele i istotne sposoby konkretnej operacji Przetwarzania, dla tej operacji działa jako administrator i wypełnia obowiązki właściwe dla administratorów.

§4. Przedmiot i czas trwania

1. 1.
   Przedmiotem Przetwarzania jest świadczenie, prowadzenie, zabezpieczanie, wspieranie, utrzymanie i doskonalenie Usług Bilantio zamówionych przez Klienta.
2. 2.
   Przetwarzanie może obejmować:

   1. a.administrowanie kontem i Użytkownikami;
   2. b.tworzenie faktur i zarządzanie nimi;
   3. c.przetwarzanie i przesyłanie faktur ustrukturyzowanych;
   4. d.procesy związane z KSeF;
   5. e.przesyłanie i przechowywanie dokumentów;
   6. f.optyczne rozpoznawanie znaków;
   7. g.ekstrakcję informacji z dokumentów;
   8. h.klasyfikację i porządkowanie dokumentów księgowych;
   9. i.przygotowywanie zestawień i raportów;
   10. j.procesy księgowe i prowadzenia ksiąg;
   11. k.procesy VAT i podatkowe;
   12. l.administracyjne procesy kadrowo-płacowe;
   13. m.przetwarzanie wspierane przez AI;
   14. n.usługi wsparcia;
   15. o.monitorowanie bezpieczeństwa;
   16. p.eksport i migrację danych;
   17. q.kopie zapasowe i odtwarzanie po awarii; oraz
   18. r.integracje aktywowane przez Klienta.
3. 3.
   Przetwarzanie rozpoczyna się z chwilą pierwszego przekazania Danych osobowych do Bilantio przez Klienta lub wydania TAXNXT innego polecenia przetwarzania.
4. 4.
   Przetwarzanie trwa przez okres obowiązywania Umowy Głównej oraz przez dodatkowy okres retencji lub pobrania danych dopuszczony niniejszą Umową.
5. 5.
   Dalsze szczegóły Przetwarzania określają Załącznik I i Załącznik II.

§5. Polecenia dotyczące przetwarzania

1. 1.
   TAXNXT przetwarza Dane osobowe wyłącznie na udokumentowane polecenie Klienta, chyba że Przetwarzanie jest wymagane przez prawo Unii Europejskiej lub prawo państwa członkowskiego.
2. 2.
   Udokumentowane polecenia obejmują:

   1. a.Umowę Główną;
   2. b.niniejszą Umowę;
   3. c.konfigurację Bilantio dokonaną przez Klienta;
   4. d.czynności wykonywane przez upoważnionych Użytkowników;
   5. e.polecenia przekazywane przez API;
   6. f.ustawienia integracji;
   7. g.zgłoszenia do wsparcia;
   8. h.polecenia pisemne złożone przez upoważnionego przedstawiciela Klienta; oraz
   9. i.polecenia racjonalnie niezbędne do świadczenia Usług wybranych przez Klienta.
3. 3.
   Klient poleca TAXNXT przetwarzanie Danych osobowych w zakresie niezbędnym do:

   1. a.świadczenia Usług;
   2. b.utrzymania i zabezpieczenia Bilantio;
   3. c.zapobiegania nieuprawnionemu dostępowi i nadużyciom;
   4. d.zapewnienia wsparcia;
   5. e.wykonywania kopii zapasowych i odtwarzania;
   6. f.korzystania z zatwierdzonych podmiotów podprzetwarzających;
   7. g.realizacji zgodnych z prawem żądań Klienta; oraz
   8. h.usunięcia lub zwrotu Danych osobowych zgodnie z niniejszą Umową.
4. 4.
   TAXNXT nie będzie:

   1. a.sprzedawać Danych osobowych;
   2. b.wykorzystywać Danych osobowych do reklamy niezwiązanej z Bilantio;
   3. c.wykorzystywać danych fakturowych, księgowych, kadrowo-płacowych, dokumentów, poleceń ani treści czatu Klienta do trenowania modeli sztucznej inteligencji; ani
   4. d.przetwarzać Danych osobowych w celach niezgodnych z poleceniami Klienta.
5. 5.
   TAXNXT może przetwarzać informacje zagregowane lub zanonimizowane, jeżeli nie można racjonalnie zidentyfikować osób fizycznych ani Klienta.
6. 6.
   Jeżeli prawo wymaga od TAXNXT przetwarzania Danych osobowych w sposób inny niż zgodnie z poleceniami Klienta, TAXNXT poinformuje o tym Klienta przed Przetwarzaniem, chyba że prawo zakazuje takiego powiadomienia.
7. 7.
   TAXNXT niezwłocznie poinformuje Klienta, jeżeli w uzasadnionej ocenie TAXNXT polecenie narusza Właściwe przepisy o ochronie danych.
8. 8.
   TAXNXT może wstrzymać wykonanie polecenia na czas wyjaśniania przez strony jego zgodności z prawem.
9. 9.
   TAXNXT nie jest zobowiązana do wykonania polecenia, które:

   1. a.jest niezgodne z prawem;
   2. b.wykracza poza zakres Usług;
   3. c.w istotny sposób naruszyłoby bezpieczeństwo Bilantio;
   4. d.naruszyłoby prawa innego klienta lub osoby trzeciej;
   5. e.jest technicznie niemożliwe do wykonania w ramach uzgodnionych Usług; albo
   6. f.wymaga nieproporcjonalnych prac programistycznych nieobjętych Umową Główną.
10. 10.
    Strony mogą uzgodnić dodatkowe usługi lub opłaty, jeżeli polecenie wymaga istotnych prac wykraczających poza standardowe Usługi.

§6. Zgodność z prawem

1. 1.
   Każda ze stron przestrzega Właściwych przepisów o ochronie danych w zakresie własnych obowiązków.
2. 2.
   TAXNXT zobowiązuje się:

   1. a.przetwarzać Dane osobowe zgodnie z niniejszą Umową;
   2. b.wdrożyć odpowiednie środki techniczne i organizacyjne;
   3. c.zapewnić, że osoby upoważnione do przetwarzania Danych osobowych są zobowiązane do zachowania poufności;
   4. d.wspierać Klienta w sposób opisany w niniejszej Umowie;
   5. e.prowadzić rejestry wymagane od podmiotu przetwarzającego;
   6. f.współpracować z właściwymi Organami nadzorczymi w zakresie wymaganym prawem; oraz
   7. g.udostępniać informacje racjonalnie niezbędne do wykazania zgodności.
3. 3.
   Klient zapewni, że:

   1. a.Przetwarzanie w Bilantio jest zgodne z prawem;
   2. b.istnieje odpowiednia podstawa prawna Przetwarzania;
   3. c.wymagane informacje o przetwarzaniu zostały przekazane;
   4. d.wymagane zgody, upoważnienia i zezwolenia zostały uzyskane;
   5. e.polecenia Klienta są zgodne z Właściwymi przepisami o ochronie danych;
   6. f.Przetwarzanie ogranicza się do tego, co niezbędne i proporcjonalne;
   7. g.ustalono okresy retencji;
   8. h.skonfigurowano odpowiednie uprawnienia dostępu Użytkowników; oraz
   9. i.Bilantio jest odpowiednie do zamierzonych przez Klienta czynności Przetwarzania.

§7. Poufność i osoby upoważnione

1. 1.
   TAXNXT zapewni, że osoby upoważnione do przetwarzania Danych osobowych:

   1. a.mają dostęp do Danych osobowych wyłącznie w zakresie niezbędnym do wykonywania obowiązków;
   2. b.przetwarzają Dane osobowe wyłącznie zgodnie z obowiązującymi poleceniami;
   3. c.są związane umownym lub ustawowym obowiązkiem poufności;
   4. d.otrzymują odpowiednie wytyczne dotyczące prywatności i bezpieczeństwa; oraz
   5. e.podlegają odpowiednim mechanizmom kontroli dostępu.
2. 2.
   Dostęp do Danych osobowych przyznawany jest zgodnie z zasadą najmniejszych uprawnień.
3. 3.
   TAXNXT okresowo weryfikuje uprawnienia dostępu i odbiera dostęp, który nie jest już potrzebny.
4. 4.
   Obowiązki poufności trwają po zakończeniu zatrudnienia, współpracy lub upoważnienia danej osoby.
5. 5.
   TAXNXT nie ujawni Danych osobowych osobie trzeciej, z wyjątkiem:

   1. a.zgodnie z poleceniami Klienta;
   2. b.za pośrednictwem zatwierdzonego podmiotu podprzetwarzającego;
   3. c.gdy wymaga tego prawo;
   4. d.gdy jest to niezbędne do ochrony bezpieczeństwa Usług; albo
   5. e.za upoważnieniem Klienta.

§8. Bezpieczeństwo przetwarzania

1. 1.
   TAXNXT wdraża i utrzymuje odpowiednie środki techniczne i organizacyjne mające chronić Dane osobowe przed:

   1. a.przypadkowym lub niezgodnym z prawem zniszczeniem;
   2. b.utratą;
   3. c.modyfikacją;
   4. d.nieuprawnionym ujawnieniem;
   5. e.nieuprawnionym dostępem;
   6. f.nadużyciem; oraz
   7. g.innym niezgodnym z prawem Przetwarzaniem.
2. 2.
   Środki te uwzględniają:

   1. a.stan wiedzy technicznej;
   2. b.koszty wdrożenia;
   3. c.charakter, zakres, kontekst i cele Przetwarzania;
   4. d.prawdopodobieństwo i wagę ryzyk dla osób fizycznych; oraz
   5. e.kategorie i wolumen przetwarzanych Danych osobowych.
3. 3.
   Środki utrzymywane przez TAXNXT opisuje Załącznik III.
4. 4.
   TAXNXT może aktualizować środki bezpieczeństwa, o ile ogólny poziom ochrony nie zostanie istotnie obniżony.
5. 5.
   TAXNXT nie gwarantuje, że każdemu incydentowi bezpieczeństwa da się zapobiec.
6. 6.
   Klient odpowiada za kwestie bezpieczeństwa pozostające pod jego kontrolą, w tym za:

   1. a.urządzenia Użytkowników;
   2. b.sieci lokalne;
   3. c.zarządzanie hasłami i danymi uwierzytelniającymi;
   4. d.uprawnienia Użytkowników;
   5. e.wewnętrzne polityki dostępu;
   6. f.dane wprowadzane do Bilantio;
   7. g.integracje z podmiotami trzecimi wybrane przez Klienta; oraz
   8. h.pobrania i eksporty przechowywane poza Bilantio.
7. 7.
   Klient bez zbędnej zwłoki powiadomi TAXNXT, jeżeli poweźmie wiedzę o:

   1. a.nieuprawnionym dostępie do Konta;
   2. b.ujawnieniu danych uwierzytelniających;
   3. c.podatności dotyczącej Bilantio;
   4. d.przypadkowym ujawnieniu danych z udziałem Bilantio; albo
   5. e.innym incydencie bezpieczeństwa istotnym dla Usług.

§9. Naruszenia ochrony danych osobowych

1. 1.
   TAXNXT powiadomi Klienta bez zbędnej zwłoki po stwierdzeniu Naruszenia ochrony danych osobowych dotyczącego Danych osobowych przetwarzanych na podstawie niniejszej Umowy.
2. 2.
   Powiadomienie kierowane jest do wskazanego przez Klienta kontaktu ds. bezpieczeństwa, prywatności lub kontaktu do Konta.
3. 3.
   W zakresie, w jakim informacje są racjonalnie dostępne, powiadomienie obejmuje:

   1. a.charakter Naruszenia ochrony danych osobowych;
   2. b.kategorie osób, których dane dotyczą;
   3. c.kategorie objętych Danych osobowych;
   4. d.przybliżoną liczbę osób i rekordów, których dotyczy naruszenie;
   5. e.prawdopodobne konsekwencje;
   6. f.środki podjęte lub proponowane w celu zaradzenia naruszeniu;
   7. g.środki mające ograniczyć możliwe negatywne skutki; oraz
   8. h.dane kontaktowe do dalszej komunikacji.
4. 4.
   Jeżeli nie wszystkie informacje są dostępne jednocześnie, TAXNXT może przekazywać je etapami, bez zbędnej dalszej zwłoki.
5. 5.
   TAXNXT podejmie racjonalne kroki, aby:

   1. a.ograniczyć naruszenie;
   2. b.zbadać jego przyczynę;
   3. c.złagodzić negatywne skutki;
   4. d.przywrócić odpowiedni poziom bezpieczeństwa; oraz
   5. e.zapobiec ponownemu wystąpieniu.
6. 6.
   Powiadomienie ze strony TAXNXT nie stanowi uznania winy ani odpowiedzialności.
7. 7.
   Klient odpowiada za ustalenie, czy powiadomienie musi zostać przekazane:

   1. a.Organowi nadzorczemu;
   2. b.osobom, których dane dotyczą;
   3. c.innemu administratorowi; albo
   4. d.innemu właściwemu organowi.
8. 8.
   TAXNXT zapewni racjonalne wsparcie przy realizacji takich obowiązków powiadomienia, uwzględniając charakter Przetwarzania i informacje dostępne TAXNXT.
9. 9.
   Jeżeli Naruszenie ochrony danych osobowych zostało spowodowane przez Klienta, Użytkownika, systemy Klienta lub integrację kontrolowaną przez Klienta, dodatkowe wsparcie może zostać rozliczone według uzgodnionej stawki za usługi profesjonalne.

§10. Żądania osób, których dane dotyczą

1. 1.
   Uwzględniając charakter Przetwarzania, TAXNXT zapewni racjonalne wsparcie umożliwiające Klientowi odpowiedź na żądania dotyczące:

   1. a.dostępu;
   2. b.sprostowania;
   3. c.usunięcia;
   4. d.ograniczenia;
   5. e.sprzeciwu;
   6. f.przenoszenia danych;
   7. g.cofnięcia zgody; oraz
   8. h.praw związanych ze zautomatyzowanym podejmowaniem decyzji.
2. 2.
   Jeżeli osoba, której dane dotyczą, skieruje żądanie bezpośrednio do TAXNXT w zakresie Danych osobowych przetwarzanych w imieniu Klienta, TAXNXT:

   1. a.nie udzieli odpowiedzi merytorycznej, chyba że upoważni ją Klient lub wymaga tego prawo;
   2. b.skieruje osobę, której dane dotyczą, do Klienta, gdy jest to właściwe; oraz
   3. c.przekaże żądanie Klientowi bez zbędnej zwłoki, jeżeli właściwego Klienta można racjonalnie zidentyfikować.
3. 3.
   TAXNXT może zażądać informacji niezbędnych do zidentyfikowania właściwego Klienta i Danych osobowych.
4. 4.
   Klient odpowiada za:

   1. a.weryfikację tożsamości osoby składającej żądanie;
   2. b.ustalenie, czy żądanie jest zasadne;
   3. c.decyzję o sposobie odpowiedzi;
   4. d.komunikację z osobą, której dane dotyczą; oraz
   5. e.dotrzymanie obowiązujących terminów.
5. 5.
   Standardowe wsparcie dostępne w ramach funkcjonalności Bilantio jest objęte Usługami.
6. 6.
   Istotne prace dodatkowe mogą zostać rozliczone, o ile pozwala na to prawo i zostaną wcześniej uzgodnione z Klientem.

§11. Wsparcie w zakresie zgodności

1. 1.
   Uwzględniając charakter Przetwarzania i informacje dostępne TAXNXT, TAXNXT zapewni racjonalne wsparcie w zakresie obowiązków Klienta dotyczących:

   1. a.bezpieczeństwa Przetwarzania;
   2. b.oceny i zgłaszania Naruszeń ochrony danych osobowych;
   3. c.ocen skutków dla ochrony danych;
   4. d.uprzednich konsultacji z Organami nadzorczymi;
   5. e.praw osób, których dane dotyczą;
   6. f.rejestrów czynności przetwarzania; oraz
   7. g.wykazywania zgodności.
2. 2.
   Wsparcie może obejmować:

   1. a.udostępnienie właściwej dokumentacji bezpieczeństwa;
   2. b.przekazanie informacji o podmiotach podprzetwarzających;
   3. c.wyjaśnienie czynności Przetwarzania w Bilantio;
   4. d.udostępnienie dostępnych raportów audytowych lub raportów zgodności;
   5. e.przekazanie racjonalnych informacji o lokalizacjach danych;
   6. f.wsparcie eksportu lub usunięcia danych;
   7. g.przekazanie dostępnych informacji o incydentach; oraz
   8. h.udzielenie odpowiedzi na racjonalne kwestionariusze zgodności.
3. 3.
   TAXNXT nie odpowiada za:

   1. a.przygotowanie całego programu zgodności Klienta;
   2. b.ustalenie podstawy prawnej Klienta;
   3. c.sporządzanie informacji o przetwarzaniu danych Klienta;
   4. d.pełnienie funkcji inspektora ochrony danych Klienta;
   5. e.udzielanie porad prawnych; ani
   6. f.zagwarantowanie, że korzystanie przez Klienta z Bilantio jest zgodne ze wszystkimi obowiązującymi przepisami.
4. 4.
   Wsparcie wymagające istotnych prac na zamówienie może podlegać dodatkowym opłatom w zakresie dozwolonym prawem.

§12. Ocena skutków dla ochrony danych

1. 1.
   Jeżeli Klient racjonalnie uzna, że korzystanie z Bilantio wymaga oceny skutków dla ochrony danych, TAXNXT przekaże racjonalnie dostępne mu informacje dotyczące:

   1. a.charakteru i celów Przetwarzania;
   2. b.przepływów danych;
   3. c.kategorii Danych osobowych;
   4. d.podmiotów podprzetwarzających;
   5. e.transferów międzynarodowych;
   6. f.retencji i usuwania danych;
   7. g.środków bezpieczeństwa; oraz
   8. h.zidentyfikowanych ryzyk związanych z Usługami.
2. 2.
   Klient pozostaje odpowiedzialny za:

   1. a.ustalenie, czy ocena skutków dla ochrony danych jest wymagana;
   2. b.przeprowadzenie oceny;
   3. c.udokumentowanie jej wyniku;
   4. d.wskazanie właściwych podstaw prawnych;
   5. e.wdrożenie zabezpieczeń pozostających pod kontrolą Klienta; oraz
   6. f.konsultację z Organem nadzorczym, gdy jest to konieczne.
3. 3.
   TAXNXT będzie racjonalnie współpracować przy uprzednich konsultacjach wymaganych Właściwymi przepisami o ochronie danych.

§13. Podmioty podprzetwarzające

1. 1.
   Klient udziela TAXNXT ogólnego pisemnego upoważnienia do wyznaczania podmiotów podprzetwarzających na potrzeby świadczenia Usług.
2. 2.
   TAXNXT prowadzi aktualny rejestr podmiotów podprzetwarzających zawierający, w stosownym zakresie:

   1. a.pełną nazwę prawną podmiotu podprzetwarzającego;
   2. b.adres siedziby lub główny adres prowadzenia działalności;
   3. c.dane kontaktowe;
   4. d.opis wykonywanego Przetwarzania;
   5. e.kategorie Danych osobowych;
   6. f.lokalizację Przetwarzania;
   7. g.mający zastosowanie mechanizm transferu międzynarodowego; oraz
   8. h.właściwą usługę lub funkcję.
3. 3.
   Aktualnie zatwierdzone podmioty podprzetwarzające wskazuje Załącznik IV lub rejestr podmiotów podprzetwarzających publikowany albo udostępniany za pośrednictwem Bilantio.
4. 4.
   TAXNXT powiadomi o nowym lub zastępczym podmiocie podprzetwarzającym, zanim rozpocznie on istotne przetwarzanie Danych osobowych.
5. 5.
   Powiadomienie może nastąpić poprzez:

   1. a.wiadomość e-mail;
   2. b.Konto Klienta;
   3. c.rejestr podmiotów podprzetwarzających Bilantio; albo
   4. d.inny uzgodniony kanał komunikacji.
6. 6.
   Klient może wnieść sprzeciw wobec nowego podmiotu podprzetwarzającego z uzasadnionych i udokumentowanych przyczyn dotyczących ochrony danych.
7. 7.
   Sprzeciw musi:

   1. a.zostać złożony w terminie 15 dni kalendarzowych od powiadomienia;
   2. b.wskazywać konkretną obawę dotyczącą ochrony danych;
   3. c.wyjaśniać, dlaczego proponowany podmiot podprzetwarzający tworzy istotne ryzyko; oraz
   4. d.zawierać racjonalne informacje uzasadniające.
8. 8.
   Strony będą w dobrej wierze dążyć do rozpatrzenia zasadnego sprzeciwu.
9. 9.
   TAXNXT może rozpatrzyć sprzeciw poprzez:

   1. a.przekazanie dodatkowych informacji;
   2. b.wprowadzenie racjonalnych zabezpieczeń;
   3. c.zaproponowanie rozsądnej handlowo alternatywy;
   4. d.wyłączenie objętej sprzeciwem funkcji opcjonalnej; albo
   5. e.umożliwienie Klientowi rozwiązania danej Usługi.
10. 10.
    Jeżeli nie jest dostępne rozsądne rozwiązanie, każda ze stron może rozwiązać objętą sprzeciwem część Usług, zanim nowy podmiot podprzetwarzający rozpocznie Przetwarzanie Danych osobowych Klienta.
11. 11.
    Prawo sprzeciwu nie uprawnia Klienta do zgłoszenia sprzeciwu wyłącznie z powodu:

    1. a.tożsamości handlowej podmiotu podprzetwarzającego;
    2. b.ogólnej preferencji dla innego dostawcy;
    3. c.zastrzeżenia niezwiązanego z ochroną danych; albo
    4. d.ryzyka już odpowiednio zaadresowanego przez obowiązujące zabezpieczenia.
12. 12.
    TAXNXT zawrze z każdym podmiotem podprzetwarzającym pisemną umowę nakładającą obowiązki w zakresie ochrony danych zapewniające poziom ochrony istotnie równoważny obowiązkom TAXNXT wynikającym z niniejszej Umowy.
13. 13.
    TAXNXT pozostaje odpowiedzialna wobec Klienta za wykonanie obowiązków w zakresie ochrony danych przez każdy podmiot podprzetwarzający w zakresie wymaganym Właściwymi przepisami o ochronie danych.
14. 14.
    TAXNXT stosuje racjonalne środki w celu weryfikacji, czy podmioty podprzetwarzające zapewniają wystarczające gwarancje w zakresie ochrony danych i bezpieczeństwa.
15. 15.
    TAXNXT może korzystać ze swoich podmiotów powiązanych jako podmiotów podprzetwarzających na zasadach określonych w niniejszym paragrafie.
16. 16.
    Wyznaczenie podmiotu podprzetwarzającego w trybie pilnym bez uprzedniego powiadomienia jest dopuszczalne, gdy jest racjonalnie niezbędne w celu zaradzenia:

    1. a.krytycznemu incydentowi bezpieczeństwa;
    2. b.zapewnieniu ciągłości usług;
    3. c.zgodności z prawem; albo
    4. d.pilnej awarii technicznej.
17. 17.
    W takim przypadku TAXNXT powiadomi Klienta najszybciej, jak jest to racjonalnie możliwe.

§14. Transfery międzynarodowe

1. 1.
   TAXNXT nie dokona Transferu objętego ograniczeniami, chyba że jest on zgodny z Właściwymi przepisami o ochronie danych.
2. 2.
   Transfer międzynarodowy może opierać się na:

   1. a.decyzji stwierdzającej odpowiedni stopień ochrony;
   2. b.Standardowych klauzulach umownych;
   3. c.wiążących regułach korporacyjnych;
   4. d.zatwierdzonej certyfikacji lub kodeksie postępowania;
   5. e.dopuszczalnym prawnie wyjątku; albo
   6. f.innym zgodnym z prawem mechanizmie transferu.
3. 3.
   Jeżeli TAXNXT wyznaczy podmiot podprzetwarzający poza EOG lub w państwie bez decyzji o odpowiednim stopniu ochrony, TAXNXT zapewni zastosowanie odpowiedniego mechanizmu transferu.
4. 4.
   W przypadku stosowania Standardowych klauzul umownych TAXNXT:

   1. a.wybierze właściwy moduł;
   2. b.uzupełni odpowiednie załączniki;
   3. c.przeprowadzi lub uzyska odpowiednią ocenę transferu, gdy jest wymagana;
   4. d.wdroży uzupełniające zabezpieczenia, gdy jest to racjonalnie konieczne; oraz
   5. e.podejmie racjonalne kroki w celu monitorowania istotnych zmian.
5. 5.
   Jeżeli Transfer objęty ograniczeniami następuje bezpośrednio między Klientem a TAXNXT i nie ma zastosowania inny zgodny z prawem mechanizm transferu, strony zawrą właściwe Standardowe klauzule umowne.
6. 6.
   W stosownych przypadkach, o ile nie uzgodniono inaczej, przyjmuje się, że:

   1. a.można stosować klauzulę przystąpienia (docking clause);
   2. b.obowiązuje ogólne upoważnienie dla podmiotów podprzetwarzających;
   3. c.właściwy Organ nadzorczy ustala się zgodnie ze Standardowymi klauzulami umownymi i Właściwymi przepisami o ochronie danych;
   4. d.prawem właściwym jest prawo polskie w zakresie dozwolonym prawem; oraz
   5. e.spory poddaje się sądom polskim w zakresie dozwolonym prawem.
7. 7.
   TAXNXT przekaże na żądanie racjonalne informacje dotyczące stosowanych mechanizmów transferu.
8. 8.
   TAXNXT nie jest zobowiązana do ujawnienia informacji, jeżeli ujawnienie:

   1. a.naruszyłoby bezpieczeństwo;
   2. b.naruszyłoby poufność wobec innej strony;
   3. c.ujawniłoby tajemnice przedsiębiorstwa w zakresie wykraczającym poza racjonalnie niezbędny; albo
   4. d.naruszyłoby obowiązujące prawo.

§15. Żądania organów publicznych

1. 1.
   Jeżeli TAXNXT otrzyma prawnie wiążące żądanie sądu, organu publicznego, organu ścigania, organu regulacyjnego lub innego organu władzy dotyczące Danych osobowych przetwarzanych w imieniu Klienta, TAXNXT — w zakresie dozwolonym prawem:

   1. a.zweryfikuje ważność prawną i zakres żądania;
   2. b.powiadomi Klienta przed ujawnieniem;
   3. c.zakwestionuje żądania oczywiście bezprawne lub nieproporcjonalne, gdy istnieją uzasadnione podstawy;
   4. d.ujawni wyłącznie minimalny prawnie wymagany zakres Danych osobowych; oraz
   5. e.udokumentuje żądanie i odpowiedź.
2. 2.
   Jeżeli TAXNXT ma zakaz powiadomienia Klienta, podejmie racjonalne starania o uzyskanie zgody na przekazanie powiadomienia, gdy jest to właściwe.
3. 3.
   TAXNXT może przekazywać ogólne informacje o przejrzystości dotyczące żądań organów publicznych w zakresie dozwolonym prawem.
4. 4.
   Niniejszy paragraf nie zobowiązuje TAXNXT do prowadzenia postępowań sądowych, jeżeli byłoby to nieracjonalne, niezgodne z prawem lub nieproporcjonalne.

§16. Rejestry i informacje o zgodności

1. 1.
   TAXNXT prowadzi rejestry czynności przetwarzania wymagane od podmiotu przetwarzającego na podstawie Właściwych przepisów o ochronie danych.
2. 2.
   Rejestry mogą obejmować:

   1. a.kategorie Przetwarzania;
   2. b.kategorie Klientów;
   3. c.podmioty podprzetwarzające;
   4. d.transfery międzynarodowe;
   5. e.zabezpieczenia transferów; oraz
   6. f.ogólny opis środków bezpieczeństwa.
3. 3.
   TAXNXT udostępni właściwe rejestry właściwemu Organowi nadzorczemu, gdy wymaga tego prawo.
4. 4.
   Na uzasadnione żądanie TAXNXT przekaże Klientowi informacje niezbędne do wykazania zgodności z niniejszą Umową.
5. 5.
   TAXNXT może zrealizować żądanie informacyjne, przekazując:

   1. a.niniejszą Umowę;
   2. b.Politykę prywatności;
   3. c.dokumentację bezpieczeństwa;
   4. d.informacje o podmiotach podprzetwarzających;
   5. e.podsumowania audytów;
   6. f.certyfikaty;
   7. g.podsumowania testów penetracyjnych;
   8. h.raporty zgodności; albo
   9. i.odpowiedzi pisemne.
6. 6.
   Przekazane informacje mogą podlegać ograniczeniom poufności.

§17. Audyty i kontrole

1. 1.
   Klient może audytować zgodność TAXNXT z niniejszą Umową w racjonalnie niezbędnym zakresie.
2. 2.
   Przed żądaniem kontroli na miejscu Klient zapozna się najpierw z dokumentacją udostępnioną przez TAXNXT.
3. 3.
   Audyt:

   1. a.dotyczy wyłącznie Przetwarzania objętego niniejszą Umową;
   2. b.przeprowadzany jest nie częściej niż raz w okresie 12 miesięcy;
   3. c.wymaga pisemnego zgłoszenia z co najmniej 30-dniowym wyprzedzeniem;
   4. d.odbywa się w normalnych godzinach pracy;
   5. e.nie powoduje nieuzasadnionych zakłóceń;
   6. f.jest zgodny z wymogami bezpieczeństwa i poufności TAXNXT;
   7. g.chroni informacje dotyczące innych klientów; oraz
   8. h.jest prowadzony przez wykwalifikowany personel zobowiązany do poufności.
4. 4.
   Limit roczny i okres wypowiedzenia nie mają zastosowania, gdy:

   1. a.doszło do Naruszenia ochrony danych osobowych istotnie dotyczącego Klienta;
   2. b.audytu wymaga Organ nadzorczy;
   3. c.istnieją wiarygodne dowody istotnej niezgodności; albo
   4. d.bezwzględnie obowiązujące prawo stanowi inaczej.
5. 5.
   TAXNXT może wymagać, aby niezależny audytor:

   1. a.nie był bezpośrednim konkurentem TAXNXT;
   2. b.podpisał odpowiednią umowę o poufności;
   3. c.przedstawił dowody odpowiednich kwalifikacji; oraz
   4. d.przestrzegał racjonalnych zasad bezpieczeństwa obiektów i informacji.
6. 6.
   TAXNXT może ograniczyć dostęp do:

   1. a.Danych osobowych należących do innych klientów;
   2. b.danych pracowników TAXNXT niezwiązanych z audytem;
   3. c.kodu źródłowego;
   4. d.aktywnych danych uwierzytelniających;
   5. e.informacji, których ujawnienie tworzyłoby ryzyko bezpieczeństwa;
   6. f.objętych tajemnicą porad prawnych; oraz
   7. g.tajemnic przedsiębiorstwa nieniezbędnych do wykazania zgodności.
7. 7.
   TAXNXT może przekazać informacje w formie zanonimizowanej, podsumowanej lub niezależnie zweryfikowanej, jeżeli bezpośrednie ujawnienie tworzyłoby istotne ryzyko.
8. 8.
   Każda ze stron ponosi własne koszty audytu.
9. 9.
   Klient zwróci racjonalne koszty audytu, gdy:

   1. a.audyt przekracza jeden audyt rocznie bez kwalifikującej przyczyny;
   2. b.wymagane są istotne prace na zamówienie;
   3. c.audyt jest niepotrzebnie powtarzalny; albo
   4. d.nie stwierdzono istotnej niezgodności po stronie TAXNXT.
10. 10.
    TAXNXT ponosi racjonalne koszty audytu, jeżeli audyt wykaże istotną niezgodność po stronie TAXNXT.
11. 11.
    TAXNXT niezwłocznie usunie potwierdzone istotne uchybienia w racjonalnym terminie naprawczym.

§18. Zwrot i usunięcie Danych osobowych

1. 1.
   W okresie obowiązywania Umowy Głównej Klient może eksportować Dane osobowe przy użyciu dostępnych funkcji eksportu.
2. 2.
   Po rozwiązaniu lub wygaśnięciu Umowy Głównej Klient może wybrać, w zakresie technicznie dostępnym:

   1. a.eksport Danych osobowych;
   2. b.żądanie zwrotu Danych osobowych;
   3. c.żądanie przekazania danych innemu dostawcy; albo
   4. d.żądanie usunięcia danych.
3. 3.
   Klient musi złożyć szczególne polecenia dotyczące zwrotu lub usunięcia przed upływem właściwego okresu pobrania danych.
4. 4.
   O ile Umowa Główna nie stanowi inaczej, TAXNXT zapewni okres pobrania danych wynoszący co najmniej 30 dni kalendarzowych po rozwiązaniu.
5. 5.
   Po upływie okresu pobrania danych TAXNXT może usunąć Dane osobowe, chyba że ich zachowanie jest wymagane lub dopuszczone prawem.
6. 6.
   TAXNXT może zachować Dane osobowe, gdy jest to niezbędne w celu:

   1. a.wypełnienia obowiązków podatkowych lub księgowych;
   2. b.prowadzenia dokumentacji wymaganej prawem;
   3. c.ustalenia, dochodzenia lub obrony roszczeń;
   4. d.przeciwdziałania oszustwom;
   5. e.wykonania wiążącego żądania prawnego; albo
   6. f.wypełnienia innych obowiązków prawnych.
7. 7.
   Dane osobowe zachowane na podstawie ust. 6:

   1. a.pozostają chronione na zasadach niniejszej Umowy;
   2. b.są w stosownych przypadkach odseparowane od zwykłego Przetwarzania komercyjnego;
   3. c.są przetwarzane wyłącznie w danym celu retencyjnym; oraz
   4. d.zostaną usunięte, gdy cel retencji ustanie.
8. 8.
   Dane osobowe zapisane w kopiach zapasowych mogą pozostawać do czasu nadpisania lub usunięcia w ramach zwykłego cyklu kopii zapasowych.
9. 9.
   W tym okresie dane z kopii zapasowych pozostają objęte odpowiednimi środkami bezpieczeństwa i nie są odtwarzane, chyba że jest to niezbędne w celu:

   1. a.odtworzenia po awarii;
   2. b.badania incydentu bezpieczeństwa;
   3. c.zgodności z prawem; albo
   4. d.zapewnienia ciągłości Usług.
10. 10.
    TAXNXT może zachować informacje nieodwracalnie zanonimizowane.
11. 11.
    Na uzasadnione żądanie TAXNXT potwierdzi zakończenie usuwania danych, z zastrzeżeniem wyjątków opisanych powyżej.

§19. Obowiązki Administratora

1. 1.
   Klient oświadcza i zapewnia, że:

   1. a.jest uprawniony do przekazywania Danych osobowych TAXNXT;
   2. b.przekazał wszystkie wymagane informacje osobom, których dane dotyczą;
   3. c.posiada odpowiednią podstawę prawną Przetwarzania;
   4. d.jego polecenia są zgodne z prawem;
   5. e.korzystanie z Bilantio nie narusza praw osób trzecich;
   6. f.uzyskał wszelkie upoważnienia wymagane do wyznaczenia TAXNXT;
   7. g.ustalił odpowiednie okresy retencji; oraz
   8. h.nie będzie polecał TAXNXT wykonywania Przetwarzania niezgodnego z prawem.
2. 2.
   Klient odpowiada za:

   1. a.prawidłowość i jakość Danych osobowych;
   2. b.zgodność zbierania danych z prawem;
   3. c.kategorie przesyłanych Danych osobowych;
   4. d.konfigurację uprawnień;
   5. e.zarządzanie Użytkownikami;
   6. f.ochronę danych uwierzytelniających;
   7. g.weryfikację integracji;
   8. h.odpowiadanie osobom, których dane dotyczą;
   9. i.powiadamianie Organów nadzorczych, gdy jest to wymagane; oraz
   10. j.ustalenie, czy konieczne są szczególne zabezpieczenia.
3. 3.
   Klient powinien unikać przesyłania Danych osobowych zbędnych dla wybranego celu.
4. 4.
   Klient nie może przesyłać Szczególnych kategorii danych osobowych, chyba że:

   1. a.Przetwarzanie jest niezbędne dla dozwolonej funkcji Bilantio;
   2. b.Klient posiada ważną podstawę prawną wynikającą z Właściwych przepisów o ochronie danych;
   3. c.wdrożono odpowiednie zabezpieczenia; oraz
   4. d.Klient ocenił związane z tym ryzyka.
5. 5.
   Klient nie może przesyłać Danych osobowych dotyczących wyroków skazujących i czynów zabronionych, chyba że Przetwarzanie jest zgodne z prawem i wyraźnie dopuszczone.
6. 6.
   Klient nie może korzystać z Bilantio jako jedynego repozytorium dokumentacji, jeżeli prawo lub jego obowiązki zawodowe wymagają niezależnego przechowywania lub kopii zapasowych.

§20. Odpowiedzialność

1. 1.
   Każda ze stron odpowiada za własną zgodność z Właściwymi przepisami o ochronie danych.
2. 2.
   Odpowiedzialność między stronami wynikająca z niniejszej Umowy podlega wyłączeniom i ograniczeniom przewidzianym w Umowie Głównej, z wyjątkiem przypadków, gdy:

   1. a.Właściwe przepisy o ochronie danych stanowią inaczej;
   2. b.ograniczenie bezprawnie ograniczałoby prawa osób, których dane dotyczą;
   3. c.odpowiedzialność wynika z winy umyślnej; albo
   4. d.odpowiedzialności nie można ograniczyć zgodnie z prawem.
3. 3.
   Żadne postanowienie niniejszej Umowy nie ogranicza praw osób, których dane dotyczą, wynikających z Właściwych przepisów o ochronie danych.
4. 4.
   Jeżeli strona zapłaci odszkodowanie lub administracyjną karę pieniężną wynikającą w części lub całości z naruszenia przez drugą stronę, wzajemne roszczenia regresowe ustala się według:

   1. a.odpowiedniego zakresu odpowiedzialności każdej ze stron;
   2. b.Umowy Głównej;
   3. c.Właściwych przepisów o ochronie danych; oraz
   4. d.rozstrzygnięcia właściwego sądu lub Organu nadzorczego.
5. 5.
   Klient pozostaje odpowiedzialny za szkody spowodowane przez:

   1. a.bezprawne polecenia;
   2. b.brak podstawy prawnej;
   3. c.nieprzekazanie wymaganych informacji o przetwarzaniu danych;
   4. d.nieuprawnione przesłanie Danych osobowych;
   5. e.nieodpowiednie zarządzanie Użytkownikami lub danymi uwierzytelniającymi;
   6. f.brak odpowiedzi osobom, których dane dotyczą; albo
   7. g.nadużycie Usług.
6. 6.
   TAXNXT pozostaje odpowiedzialna za szkody spowodowane Przetwarzaniem naruszającym obowiązki właściwe dla podmiotów przetwarzających lub wykraczającym poza zgodne z prawem polecenia Klienta.

§21. Czas trwania i rozwiązanie

1. 1.
   Niniejsza Umowa wchodzi w życie, gdy:

   1. a.Klient akceptuje Umowę Główną;
   2. b.Klient akceptuje niniejszą Umowę drogą elektroniczną;
   3. c.Klient podpisuje Zamówienie włączające niniejszą Umowę; albo
   4. d.TAXNXT rozpoczyna przetwarzanie Danych osobowych w imieniu Klienta.
2. 2.
   Niniejsza Umowa obowiązuje tak długo, jak TAXNXT przetwarza Dane osobowe w imieniu Klienta.
3. 3.
   Rozwiązanie Umowy Głównej automatycznie rozwiązuje niniejszą Umowę, z zastrzeżeniem:

   1. a.okresów pobrania danych;
   2. b.obowiązków usunięcia danych;
   3. c.zgodnej z prawem retencji;
   4. d.obowiązków audytowych dotyczących wcześniejszego Przetwarzania;
   5. e.poufności; oraz
   6. f.postanowień, które mają obowiązywać po rozwiązaniu.
4. 4.
   Każda ze stron może rozwiązać niniejszą Umowę, jeżeli dalsze Przetwarzanie naruszałoby Właściwe przepisy o ochronie danych.
5. 5.
   Jeżeli niezgodna z prawem jest wyłącznie określona czynność Przetwarzania, strony podejmą najpierw próbę jej zawieszenia lub zmiany bez rozwiązywania całej Umowy Głównej.

§22. Zmiany niniejszej Umowy

1. 1.
   TAXNXT może zaktualizować niniejszą Umowę, gdy jest to konieczne, aby:

   1. a.uwzględnić zmiany prawa;
   2. b.zastosować się do wymogów Organu nadzorczego;
   3. c.zaktualizować rozwiązania bezpieczeństwa lub operacyjne;
   4. d.odzwierciedlić zmiany Usług;
   5. e.zaktualizować procedury dotyczące podmiotów podprzetwarzających;
   6. f.przyjąć nowe zatwierdzone klauzule umowne; albo
   7. g.ulepszyć zabezpieczenia ochrony danych.
2. 2.
   TAXNXT powiadomi z rozsądnym wyprzedzeniem o istotnych zmianach.
3. 3.
   Zmiany wymagane przez prawo, wiążącą decyzję organu lub pilne względy bezpieczeństwa mogą wejść w życie natychmiast.
4. 4.
   Aktualizacja nie może istotnie obniżyć poziomu ochrony Danych osobowych bez ważnej przyczyny prawnej lub operacyjnej i odpowiednich zabezpieczeń.
5. 5.
   Jeżeli Klient racjonalnie uzna, że istotna zmiana powoduje po jego stronie naruszenie Właściwych przepisów o ochronie danych, może powiadomić TAXNXT przed wejściem zmiany w życie.
6. 6.
   Strony podejmą próbę rozwiązania zastrzeżenia w dobrej wierze.
7. 7.
   Jeżeli nie jest dostępne rozsądne rozwiązanie, Klient może rozwiązać objęte zmianą Usługi.

§23. Prawo właściwe i spory

1. 1.
   Niniejsza Umowa podlega prawu polskiemu, bez uszczerbku dla bezwzględnie obowiązujących Właściwych przepisów o ochronie danych.
2. 2.
   Strony podejmą najpierw próbę rozwiązania sporów w drodze negocjacji prowadzonych w dobrej wierze.
3. 3.
   O ile bezwzględnie obowiązujące prawo lub mające zastosowanie Standardowe klauzule umowne nie stanowią inaczej, spory poddaje się sądowi właściwemu dla siedziby TAXNXT.
4. 4.
   Żadne postanowienie niniejszego paragrafu nie ogranicza:

   1. a.kompetencji właściwego Organu nadzorczego;
   2. b.praw osób, których dane dotyczą;
   3. c.praw wynikających z mających zastosowanie Standardowych klauzul umownych; ani
   4. d.bezwzględnie obowiązujących praw wynikających z Właściwych przepisów o ochronie danych.

§24. Postanowienia różne

1. 1.
   Niniejsza Umowa stanowi umowę powierzenia przetwarzania danych dla objętego nią Przetwarzania.
2. 2.
   Zmiany wymagają formy pisemnej lub procesu elektronicznego rejestrującego akceptację.
3. 3.
   Akceptacja elektroniczna ma skutek równoważny podpisowi własnoręcznemu w zakresie dozwolonym prawem.
4. 4.
   Jeżeli którekolwiek postanowienie jest nieważne lub niewykonalne, pozostałe postanowienia pozostają w mocy.
5. 5.
   Nieważne postanowienie interpretuje się lub zastępuje w sposób możliwie najbliższy jego zgodnemu z prawem celowi.
6. 6.
   Brak egzekwowania postanowienia nie stanowi zrzeczenia się prawa.
7. 7.
   Nagłówki mają charakter porządkowy i nie wpływają na wykładnię.
8. 8.
   Wyrażenia „w tym” oraz „na przykład” nie ograniczają poprzedzającej je treści.
9. 9.
   Niniejsza Umowa może zostać zawarta w egzemplarzach lub zaakceptowana elektronicznie.
10. 10.
    Mogą być publikowane różne wersje językowe.
11. 11.
    W razie rozbieżności rozstrzyga wersja wyraźnie wskazana jako obowiązująca w Umowie Głównej.
12. 12.
    Jeżeli żadna wersja nie została wyraźnie wskazana, rozstrzyga wersja angielska, z zastrzeżeniem bezwzględnie obowiązującego prawa polskiego.

§25. Kontakt

Pytania i żądania dotyczące ochrony danych związane z niniejszą Umową można kierować na adres:

TAXNXT sp. z o.o.ul. Toruńska 15/7780-747 GdańskNIP: 6783218496REGON: 529197763KRS: 0001117478PolskaE-mail: support@taxnxt.eu

Klient powinien podać i utrzymywać aktualne dane kontaktowe swojego:

• –Administratora Konta;
• –kontaktu ds. ochrony danych;
• –kontaktu ds. bezpieczeństwa; oraz
• –kontaktu do doręczeń prawnych.

Załącznik I — Szczegóły przetwarzania

1. Przedmiot

Przetwarzanie Danych osobowych niezbędne do świadczenia, prowadzenia, zabezpieczania, wspierania, utrzymania i doskonalenia Bilantio zgodnie z poleceniami Klienta.

2. Charakter Przetwarzania

Przetwarzanie może obejmować:

• –zbieranie;
• –otrzymywanie;
• –utrwalanie;
• –organizowanie;
• –porządkowanie;
• –przechowywanie;
• –hosting;
• –przesyłanie i pobieranie;
• –wyszukiwanie;
• –przeglądanie;
• –dostęp;
• –ekstrakcję;
• –optyczne rozpoznawanie znaków;
• –klasyfikację;
• –tagowanie;
• –porównywanie;
• –obliczanie;
• –analizę;
• –podsumowywanie;
• –generowanie projektów treści;
• –transmisję;
• –ujawnianie upoważnionym odbiorcom;
• –integrację z systemami podmiotów trzecich;
• –ograniczanie;
• –eksport;
• –tworzenie kopii zapasowych;
• –odtwarzanie;
• –poprawianie;
• –anonimizację;
• –pseudonimizację, gdy ma zastosowanie;
• –usuwanie; oraz
• –niszczenie.

3. Cele Przetwarzania

Przetwarzanie może być prowadzone w celu:

• –tworzenia faktur i zarządzania nimi;
• –przygotowywania projektów faktur;
• –wysyłania lub odbierania faktur ustrukturyzowanych;
• –obsługi procesów KSeF;
• –przechowywania dokumentów księgowych;
• –ekstrakcji informacji z dokumentów;
• –klasyfikacji faktur i paragonów;
• –porządkowania zapisów księgowych;
• –przygotowywania zestawień i raportów;
• –wsparcia procesów prowadzenia ksiąg;
• –wsparcia procesów VAT i podatkowych;
• –wsparcia administracji kadrowo-płacowej;
• –udostępniania funkcji wspieranych przez AI;
• –odpowiadania na polecenia Klienta;
• –zarządzania integracjami;
• –zapewnienia wsparcia;
• –prowadzenia logów bezpieczeństwa i audytu;
• –przeciwdziałania nadużyciom;
• –wykonywania kopii zapasowych;
• –przywracania dostępności usług;
• –ułatwienia eksportu danych i zmiany dostawcy; oraz
• –realizacji innych udokumentowanych poleceń Klienta w zakresie Usług.

4. Czas trwania

Przez okres obowiązywania Umowy Głównej, w tym każdy właściwy okres przejściowy, okres pobrania danych, okres kopii zapasowych, okres retencji wymaganej prawem lub okres usuwania danych.

5. Częstotliwość Przetwarzania

Ciągła lub cykliczna, w zależności od sposobu korzystania z Bilantio przez Klienta.

6. Lokalizacje Przetwarzania

Lokalizacje Przetwarzania wskazuje aktualny rejestr podmiotów podprzetwarzających Bilantio oraz dokumentacja infrastruktury.

TAXNXT zamierza konfigurować główną infrastrukturę bazodanową i magazynową w regionach europejskich, tam gdzie jest to dostępne i właściwe.

Załącznik II — Kategorie danych osobowych i osób, których dane dotyczą

1. Kategorie osób, których dane dotyczą

W zależności od sposobu korzystania z Bilantio osobami, których dane dotyczą, mogą być:

• –pracownicy Klienta;
• –Użytkownicy i Administratorzy Klienta;
• –członkowie zarządu i dyrektorzy;
• –wspólnicy i akcjonariusze;
• –beneficjenci rzeczywiści;
• –osoby upoważnione;
• –prokurenci;
• –wykonawcy;
• –konsultanci;
• –kandydaci do pracy;
• –byli pracownicy;
• –odbiorcy wynagrodzeń;
• –klienci i potencjalni klienci;
• –osoby prowadzące jednoosobową działalność gospodarczą;
• –dostawcy;
• –usługodawcy;
• –podwykonawcy;
• –partnerzy biznesowi;
• –osoby kontaktowe wskazane na fakturach;
• –odbiorcy płatności;
• –dłużnicy i wierzyciele;
• –posiadacze rachunków bankowych;
• –klienci biur rachunkowych;
• –pracownicy i przedstawiciele klientów biur rachunkowych;
• –osoby wskazane na fakturach, paragonach, w umowach, dokumentach płacowych, zapisach księgowych lub przesłanych plikach; oraz
• –inne osoby fizyczne, których Dane osobowe przekazuje Klient.

2. Dane konta i dane identyfikacyjne

Mogą to być:

• –imię i nazwisko;
• –służbowy adres e-mail;
• –numer telefonu;
• –nazwa użytkownika;
• –identyfikator logowania;
• –dane uwierzytelniające;
• –nazwa firmy;
• –rola;
• –stanowisko;
• –uprawnienia Użytkownika;
• –preferencje językowe; oraz
• –ustawienia Konta.

3. Dane firmowe i biznesowe

Mogą to być:

• –nazwy firm;
• –adresy siedzib;
• –adresy korespondencyjne;
• –numery NIP i VAT;
• –REGON;
• –dane z KRS;
• –inne identyfikatory rejestrowe;
• –firmowe dane kontaktowe;
• –dane członków zarządu;
• –dane wspólników;
• –dane beneficjentów rzeczywistych;
• –dane przedstawicieli;
• –informacje o pełnomocnictwach; oraz
• –powiązania organizacyjne.

4. Dane faktur i dane księgowe

Mogą to być:

• –numery faktur;
• –daty faktur;
• –daty sprzedaży lub dostawy;
• –dane nabywcy i sprzedawcy;
• –adresy;
• –numery NIP i VAT;
• –opisy towarów i usług;
• –ilości i jednostki;
• –kwoty netto;
• –stawki i kwoty VAT;
• –kwoty brutto;
• –waluty;
• –terminy płatności;
• –status płatności;
• –informacje o rachunkach bankowych;
• –referencje transakcji;
• –klasyfikacje księgowe;
• –centra kosztów;
• –notatki księgowe;
• –paragony;
• –dokumenty źródłowe;
• –zapisy księgowe;
• –rejestry księgowe;
• –raporty; oraz
• –zestawienia finansowe.

5. Dane KSeF i dane podatkowe

Mogą to być:

• –ustrukturyzowane dane faktur;
• –pliki XML faktur;
• –identyfikatory KSeF;
• –urzędowe statusy przesłania;
• –urzędowe potwierdzenia;
• –klasyfikacje podatkowe;
• –informacje o VAT;
• –informacje sprawozdawcze dotyczące podatków;
• –rejestry księgowe; oraz
• –dane niezbędne do komunikacji z systemami fakturowania lub systemami podatkowymi.

6. Dane kadrowo-płacowe

Mogą to być:

• –imiona i nazwiska pracowników;
• –identyfikatory pracowników;
• –dane kontaktowe;
• –informacje o zatrudnieniu;
• –informacje o umowach;
• –informacje o wynagrodzeniu;
• –obliczenia płacowe;
• –premie i potrącenia;
• –informacje podatkowe;
• –informacje o ubezpieczeniach społecznych;
• –dane rachunków bankowych;
• –informacje o czasie pracy;
• –informacje o urlopach i nieobecnościach;
• –informacje o świadczeniach;
• –rola organizacyjna;
• –daty zatrudnienia; oraz
• –inne informacje przesłane na potrzeby obsługi kadrowo-płacowej.

7. Dane poleceń AI i Wyników

Mogą to być:

• –polecenia (prompty);
• –instrukcje Użytkownika;
• –dokumenty załączone do poleceń;
• –pytania biznesowe;
• –wygenerowane odpowiedzi;
• –projekty faktur;
• –projekty dokumentów;
• –podsumowania księgowe;
• –klasyfikacje;
• –wyekstrahowane informacje; oraz
• –logi techniczne związane z przetwarzaniem AI.

8. Dane techniczne i dane bezpieczeństwa

Mogą to być:

• –adresy IP;
• –informacje o urządzeniu;
• –informacje o przeglądarce;
• –informacje o systemie operacyjnym;
• –identyfikatory sesji;
• –znaczniki czasu logowania;
• –logi dostępu;
• –logi audytowe;
• –logi API;
• –logi błędów;
• –zdarzenia bezpieczeństwa;
• –aktywność systemu; oraz
• –identyfikatory integracji.

9. Szczególne kategorie danych osobowych

Bilantio nie jest przeznaczone przede wszystkim do przetwarzania Szczególnych kategorii danych osobowych.

W zależności jednak od korzystania przez Klienta z funkcji kadrowo-płacowych, HR lub dokumentowych przesyłane dokumenty mogą zawierać:

• –informacje o zdrowiu;
• –informacje o zwolnieniach lekarskich;
• –informacje dotyczące niepełnosprawności;
• –informacje o przynależności do związków zawodowych;
• –dane biometryczne zawarte w dokumentach tożsamości; albo
• –inne informacje wrażliwe.

Klient musi zapewnić, że takie Przetwarzanie jest niezbędne, zgodne z prawem i objęte odpowiednimi zabezpieczeniami.

10. Dane dotyczące wyroków skazujących i czynów zabronionych

Bilantio nie jest przeznaczone przede wszystkim do Przetwarzania Danych osobowych dotyczących wyroków skazujących i czynów zabronionych.

Klient nie może przekazywać takich informacji, chyba że Przetwarzanie jest zgodne z prawem, niezbędne i należycie umocowane.

Załącznik III — Środki techniczne i organizacyjne

TAXNXT utrzymuje środki techniczne i organizacyjne odpowiednie do ryzyk związanych z Usługami.

Środki mogą być dostosowywane wraz ze zmianami technologii i ryzyk, o ile ogólny poziom ochrony nie zostanie istotnie obniżony.

1. Zarządzanie bezpieczeństwem informacji

Środki obejmują, w stosownym zakresie:

• –określoną odpowiedzialność za bezpieczeństwo informacji;
• –wewnętrzne zasady bezpieczeństwa i poufności;
• –przeglądy bezpieczeństwa oparte na ryzyku;
• –procedury kontroli dostępu;
• –procedury reagowania na incydenty;
• –weryfikację dostawców i podmiotów podprzetwarzających;
• –bezpieczne praktyki wytwarzania oprogramowania;
• –planowanie ciągłości działania; oraz
• –okresowy przegląd środków bezpieczeństwa.

2. Kontrola dostępu

Środki obejmują:

• –indywidualne konta Użytkowników;
• –uprawnienia oparte na rolach;
• –zasadę najmniejszych uprawnień;
• –ograniczenie dostępu do systemów produkcyjnych;
• –okresowe przeglądy dostępu;
• –niezwłoczne odbieranie zbędnego dostępu;
• –rozdzielenie uprawnień administracyjnych;
• –mechanizmy uwierzytelniania; oraz
• –logowanie istotnych czynności administracyjnych.

3. Uwierzytelnianie

Środki obejmują:

• –wymogi ochrony hasłem;
• –bezpieczne mechanizmy uwierzytelniania;
• –kontrolę sesji;
• –ochronę przed nieuprawnionymi próbami logowania;
• –bezpieczną obsługę danych uwierzytelniających;
• –opcjonalne lub wymagane uwierzytelnianie wieloskładnikowe tam, gdzie zostało wdrożone; oraz
• –procedury unieważniania skompromitowanych danych uwierzytelniających.

4. Szyfrowanie i bezpieczeństwo transmisji

Środki obejmują:

• –szyfrowanie Danych osobowych w transmisji z użyciem odpowiednich protokołów bezpieczeństwa transportu;
• –bezpieczną komunikację API;
• –bezpieczne tokeny uwierzytelniające;
• –ograniczenia niebezpiecznych metod transmisji; oraz
• –szyfrowanie w spoczynku tam, gdzie jest wspierane i właściwe dla danej infrastruktury.

5. Przechowywanie i separacja danych

Środki obejmują:

• –logiczną separację środowisk lub danych klientów;
• –kontrolę dostępu na poziomie aplikacji i bazy danych;
• –kontrolowane uprawnienia do zasobów magazynowych;
• –ograniczenie bezpośredniego dostępu do bazy danych;
• –oddzielenie środowisk produkcyjnych i deweloperskich, gdzie jest to właściwe; oraz
• –procedury mające zapobiegać nieuprawnionemu dostępowi między klientami.

6. Logowanie i monitorowanie

Środki obejmują:

• –logi dostępu;
• –logi uwierzytelniania;
• –logi audytowe;
• –logowanie błędów;
• –monitorowanie zdarzeń bezpieczeństwa;
• –monitorowanie istotnej aktywności systemu;
• –badanie podejrzanych zdarzeń; oraz
• –ochronę logów przed nieuprawnioną modyfikacją, gdzie jest to właściwe.

7. Dostępność i odporność

Środki obejmują:

• –kopie zapasowe;
• –procedury odtwarzania;
• –monitorowanie systemów;
• –redundancję tam, gdzie jest to właściwe;
• –procedury zarządzania incydentami;
• –testy odtwarzania tam, gdzie jest to właściwe;
• –monitorowanie wydajności; oraz
• –środki wspierające ciągłą dostępność.

8. Bezpieczne wytwarzanie oprogramowania

Środki obejmują:

• –kontrolowane procesy rozwoju;
• –ograniczenia dostępu do kodu źródłowego;
• –przeglądy kodu tam, gdzie jest to właściwe;
• –zarządzanie zależnościami;
• –testowanie przed istotnymi wdrożeniami;
• –usuwanie podatności;
• –oddzielenie dostępu deweloperskiego i produkcyjnego, gdzie jest to właściwe;
• –procedury zarządzania zmianą; oraz
• –bezpieczną obsługę sekretów i danych uwierzytelniających.

9. Zarządzanie podatnościami

Środki obejmują:

• –aktualizacje bezpieczeństwa;
• –monitorowanie zależności;
• –ocenę podatności;
• –usuwanie podatności stosownie do ryzyka;
• –ograniczony dostęp do informacji o podatnościach;
• –przegląd raportów bezpieczeństwa; oraz
• –testy penetracyjne lub równoważne testy techniczne tam, gdzie jest to właściwe.

10. Reagowanie na incydenty

Środki obejmują:

• –kanały zgłaszania incydentów bezpieczeństwa;
• –identyfikację i klasyfikację incydentów;
• –ograniczanie skutków;
• –badanie incydentu;
• –działania naprawcze;
• –przywracanie działania;
• –procedury powiadamiania o naruszeniach;
• –dokumentowanie; oraz
• –przegląd poincydentalny.

11. Bezpieczeństwo personelu

Środki obejmują:

• –obowiązki poufności;
• –przyznawanie dostępu stosownie do obowiązków;
• –wytyczne dotyczące prywatności i bezpieczeństwa;
• –odbieranie dostępu po zmianie roli lub odejściu;
• –środki dyscyplinarne za nieuprawniony dostęp; oraz
• –weryfikację kandydatów tam, gdzie jest to zgodne z prawem, właściwe i proporcjonalne.

12. Zarządzanie podmiotami podprzetwarzającymi

Środki obejmują:

• –przegląd w zakresie prywatności i bezpieczeństwa;
• –pisemne warunki powierzenia przetwarzania;
• –obowiązki poufności;
• –ocenę lokalizacji Przetwarzania;
• –ocenę mechanizmów transferu międzynarodowego;
• –monitorowanie istotnych zmian;
• –prowadzenie rejestru podmiotów podprzetwarzających; oraz
• –procedury wymiany lub zakończenia współpracy z podmiotem podprzetwarzającym.

13. Minimalizacja danych i ograniczenie celu

Środki obejmują:

• –ograniczenie Przetwarzania do Usług wybranych przez Klienta;
• –ograniczenie dostępu wewnętrznego;
• –ograniczenie informacji zbieranych przez zgłoszenia do wsparcia;
• –wykorzystanie informacji zanonimizowanych lub zagregowanych tam, gdzie jest to właściwe;
• –usuwanie lub deidentyfikację, gdy informacje nie są już potrzebne; oraz
• –opcje konfiguracji pozwalające Klientom kontrolować przekazywane dane.

14. Usuwanie i niszczenie

Środki obejmują:

• –procedury usuwania Konta;
• –mechanizmy kontroli retencji danych;
• –usuwanie po upływie właściwych okresów pobrania danych;
• –bezpieczne usuwanie lub nadpisywanie tam, gdzie jest to właściwe;
• –procedury wygasania kopii zapasowych;
• –ograniczenie zakresu zachowywanych informacji; oraz
• –bezpieczne niszczenie nośników danych tam, gdzie ma to zastosowanie.

15. Środki po stronie Klienta

Bilantio zapewnia lub może zapewniać środki umożliwiające Klientom:

• –zarządzanie Użytkownikami;
• –przydzielanie uprawnień;
• –odbieranie dostępu Użytkownikom;
• –eksport danych;
• –poprawianie informacji;
• –usuwanie informacji, gdy pozwala na to funkcjonalność;
• –przeglądanie logów lub informacji o aktywności, jeżeli są objęte danym Planem;
• –kontrolę integracji; oraz
• –ochronę Kont poprzez ustawienia uwierzytelniania.

Załącznik V — Zasady transferów międzynarodowych

1. Przetwarzanie w EOG

Jeżeli Dane osobowe są przetwarzane wyłącznie w EOG i nie następuje dostęp z państwa trzeciego, mechanizm Transferu objętego ograniczeniami nie jest wymagany.

2. Decyzje o odpowiednim stopniu ochrony

Jeżeli Dane osobowe są przekazywane do państwa objętego ważną decyzją o odpowiednim stopniu ochrony, transfer może opierać się na tej decyzji.

3. Standardowe klauzule umowne

Jeżeli nie ma zastosowania decyzja o odpowiednim stopniu ochrony, TAXNXT może stosować Standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914 lub ich zgodne z prawem zastąpienie.

4. Transfery podmiotów podprzetwarzających

Jeżeli zatwierdzony podmiot podprzetwarzający otrzymuje Dane osobowe poza EOG, TAXNXT zapewni, że:

• –ma zastosowanie zgodny z prawem mechanizm transferu;
• –uzupełniono właściwą dokumentację transferową;
• –podmiot podprzetwarzający jest umownie związany odpowiednimi obowiązkami ochrony danych;
• –transfer został opisany w rejestrze podmiotów podprzetwarzających; oraz
• –wdrożono uzupełniające zabezpieczenia tam, gdzie jest to racjonalnie wymagane.

5. Oceny transferu

W wymaganym zakresie TAXNXT ocenia:

• –charakter Danych osobowych;
• –cel transferu;
• –odbiorcę;
• –państwo docelowe;
• –właściwe prawo i praktykę lokalną;
• –prawdopodobieństwo dostępu organów publicznych;
• –zabezpieczenia umowne;
• –zabezpieczenia techniczne; oraz
• –zabezpieczenia organizacyjne.

6. Zabezpieczenia uzupełniające

Zabezpieczenia uzupełniające mogą obejmować:

• –szyfrowanie;
• –ograniczenia dostępu;
• –minimalizację danych;
• –pseudonimizację;
• –zobowiązania umowne;
• –obowiązki w zakresie przejrzystości;
• –procedury dotyczące żądań organów publicznych;
• –ograniczenia dalszych transferów; oraz
• –rozszerzone prawa audytu lub monitorowania.

7. Kolizja przepisów

Jeżeli TAXNXT lub podmiot podprzetwarzający nie może dalej stosować obowiązującego mechanizmu transferu, TAXNXT:

• –powiadomi Klienta w zakresie dozwolonym prawem;
• –zawiesi objęty tym transfer, gdy jest to wymagane;
• –wdroży alternatywne zgodne z prawem zabezpieczenie, o ile jest to możliwe; albo
• –zakończy objęte tym Przetwarzanie, jeżeli nie ma zgodnego z prawem rozwiązania.