Umowa powierzenia przetwarzania danych

Niniejsza umowa powierzenia przetwarzania danych ("Umowa") stanowi część Warunków korzystania z usługi zawartych między przedsiębiorstwem korzystającym z KRONENWERK ("Klient") a dostawcą wskazanym w Nocie prawnej ("KRONENWERK"). Ma ona zastosowanie wszędzie tam, gdzie KRONENWERK przetwarza dane osobowe w imieniu Klienta, a ogólne rozporządzenie o ochronie danych (UE) 2016/679 ("RODO"), brytyjskie RODO (UK GDPR), szwajcarska FADP lub porównywalne przepisy wymagają zawarcia takiej umowy. Umowa została napisana tak, aby opisywać, co oprogramowanie faktycznie robi; tam, gdzie czegoś się nie wykonuje, niniejsza Umowa tego nie obiecuje.

1. Role

W odniesieniu do danych, które Klient tworzy w KRONENWERK — dotyczących jego klientów, dostawców, kontaktów, faktur, ofert, paragonów, transakcji bankowych, zapisów księgowych i dokumentów — Klient jest administratorem, a KRONENWERK jest podmiotem przetwarzającym w rozumieniu art. 28 RODO.

W odniesieniu do własnego konta Klienta, danych logowania, subskrypcji i rozliczeń, KRONENWERK jest administratorem; to przetwarzanie zostało opisane w Polityce prywatności i nie jest przedmiotem niniejszej Umowy.

2. Przedmiot, czas trwania, charakter i cel

Przedmiot: świadczenie oprogramowania księgowego, fakturującego i do e-fakturowania jako usługi, w tym generowanie, walidacja, przechowywanie, przesyłanie i odbiór faktur ustrukturyzowanych.

Czas trwania: okres subskrypcji Klienta, powiększony o okres odzyskiwania danych oraz okresy przechowywania opisane w sekcji 9 Polityki prywatności i w sekcji 8 poniżej.

Charakter przetwarzania: przechowywanie, strukturyzacja, renderowanie, walidacja, przesyłanie kanałem doręczenia właściwym dla kraju Klienta, odbiór oraz tworzenie kopii zapasowych.

Cel: umożliwienie Klientowi prowadzenia ksiąg, wystawiania i odbierania faktur oraz wypełniania jego ustawowych obowiązków fakturowych. KRONENWERK nie przetwarza danych Klienta w żadnym innym celu, a w szczególności nie wykorzystuje ich do reklamy, profilowania, trenowania modeli ani sprzedaży.

3. Rodzaje danych osobowych i kategorie osób, których dane dotyczą

Osoby, których dane dotyczą: klienci i dostawcy Klienta oraz ich osoby kontaktowe; pracownicy i członkowie Klienta korzystający z KRONENWERK; osoby wymienione w dokumentach przesyłanych przez Klienta.

Rodzaje danych: imiona i nazwiska, adresy firmowe i pocztowe, adresy e-mail, numery telefonów, identyfikatory podatkowe (numery identyfikacji VAT, krajowe numery podatkowe, numery rejestracji działalności gospodarczej), identyfikatory rachunków bankowych (IBAN, BIC), dane dotyczące faktur i płatności oraz treść przesyłanych dokumentów. KRONENWERK nie wymaga i świadomie nie przetwarza szczególnych kategorii danych w rozumieniu art. 9 RODO; Klient zobowiązuje się nie wprowadzać takich danych.

4. Obowiązki KRONENWERK jako podmiotu przetwarzającego

1. Instrukcje. KRONENWERK przetwarza dane osobowe wyłącznie na udokumentowane polecenie Klienta, którym są Warunki korzystania z usługi, niniejsza Umowa oraz korzystanie przez Klienta z funkcji oprogramowania. KRONENWERK informuje Klienta, jeżeli uzna, że polecenie narusza RODO. Jeżeli prawo Unii lub państwa członkowskiego wymaga od KRONENWERK przetwarzania danych w inny sposób, KRONENWERK informuje o tym Klienta przed przetwarzaniem, chyba że prawo to zabrania takiego poinformowania.
2. Poufność. Osoby upoważnione do przetwarzania danych osobowych są zobowiązane do zachowania poufności. Dostęp do systemów produkcyjnych jest ograniczony do operatora.
3. Bezpieczeństwo. KRONENWERK wdraża środki techniczne i organizacyjne wskazane w Załączniku 1. Są one przedstawione w sposób faktograficzny; stanowią środki, a nie gwarancje.
4. Dalsze podmioty przetwarzające. KRONENWERK korzysta z dalszych podmiotów przetwarzających wymienionych w Załączniku 2, a Klient je akceptuje. KRONENWERK informuje Klienta o każdym zamierzonym dodaniu lub zastąpieniu, publikując zaktualizowany Załącznik 2 pod tym adresem co najmniej 30 dni przed zmianą oraz przesyłając wiadomość e-mail do właściciela konta. Klient może w tym okresie zgłosić sprzeciw z uzasadnionych względów ochrony danych; jeżeli nie znajdzie się rozwiązania, Klient może rozwiązać subskrypcję odnośnej usługi ze skutkiem od dnia zmiany. KRONENWERK nakłada na każdy dalszy podmiot przetwarzający obowiązki ochrony danych równoważne niniejszej Umowie i pozostaje odpowiedzialny wobec Klienta za działania dalszego podmiotu przetwarzającego.
5. Pomoc. Uwzględniając charakter przetwarzania, KRONENWERK pomaga Klientowi za pomocą odpowiednich środków technicznych w odpowiadaniu na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie, sprzeciw), oraz wspiera Klienta w wypełnianiu obowiązków wynikających z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, oceny skutków, uprzednie konsultacje), przy pomocy informacji, którymi dysponuje KRONENWERK.
6. Naruszenia ochrony danych osobowych. KRONENWERK zawiadamia Klienta bez zbędnej zwłoki po powzięciu wiadomości o naruszeniu ochrony danych osobowych dotyczącym danych Klienta, w każdym razie w ciągu 48 godzin, przekazując informacje dostępne w tym czasie (charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz rekordów, prawdopodobne konsekwencje, podjęte lub proponowane środki) i uzupełnia je w miarę pozyskiwania dalszych informacji.
7. Usunięcie i zwrot danych. Po zakończeniu subskrypcji Klient może eksportować swoje dane w okresie odzyskiwania opisanym w Polityce prywatności; Ustawienia → Eksport danych tworzą kompletne archiwum (dane podstawowe, klienci i dostawcy, wystawione faktury wraz z ich plikiem PDF i plikami ustrukturyzowanymi, oferty, zapisy księgowe, dokumenty, członkowie) w dowolnym momencie w trakcie subskrypcji oraz okresu odzyskiwania danych. Po tym okresie KRONENWERK usuwa lub anonimizuje dane osobowe, których nie jest prawnie zobowiązany przechowywać. Wystawione faktury, zapisy księgowe, ewidencje podatkowe dotyczące subskrypcji oraz rejestry bezpieczeństwa typu „tylko dopisywanie” są przechowywane przez okresy wymagane przez prawo i nie są usuwane na żądanie; patrz sekcja 8.
8. Informacja i audyt. KRONENWERK udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO: niniejszą Umowę, Załącznik 1, Załącznik 2 oraz Politykę prywatności, a na żądanie — pisemny opis stosowanych środków oraz wyniki wewnętrznych testów bezpieczeństwa. KRONENWERK umożliwia audyty, w tym kontrole, przeprowadzane przez Klienta lub audytora upoważnionego przez Klienta, i uczestniczy w nich, raz w roku lub po naruszeniu, z 30-dniowym wyprzedzeniem, w godzinach pracy, na koszt Klienta, na podstawie zobowiązania do zachowania poufności i bez dostępu do danych innych klientów. KRONENWERK nie posiada żadnego certyfikatu bezpieczeństwa strony trzeciej i niniejsza Umowa nie rości sobie takiego certyfikatu.

5. Obowiązki Klienta

Klient odpowiada za zgodność z prawem danych, które wprowadza, za informowanie własnych osób, których dane dotyczą, za prawidłowość poleceń wydawanych za pośrednictwem oprogramowania, za członków, których zaprasza, oraz za role, jakie im przydziela, za dane uwierzytelniające i tokeny powierzane KRONENWERK na potrzeby sieci doręczeń, a także za przestrzeganie obowiązków w zakresie przechowywania danych mających zastosowanie do jego własnych zapisów księgowych.

6. Transfery międzynarodowe

Aplikacja i jej baza danych działają we Frankfurcie, w Niemczech. KRONENWERK jest prowadzony z Québecu w Kanadzie, który Komisja Europejska uznaje za zapewniający odpowiedni stopień ochrony w odniesieniu do organizacji komercyjnych (decyzja 2002/2/WE, potwierdzona w 2024 r.). Dalsze podmioty przetwarzające mające siedzibę poza EOG są wymienione w Załączniku 2 wraz z mechanizmem transferu, na którym się opierają. KRONENWERK nie przekazuje danych Klienta do żadnego innego kraju.

7. Sieci doręczeń i systemy krajowe

Jeżeli kraj Klienta narzuca określony kanał dla faktur — punkt dostępowy Peppol, zatwierdzoną platformę lub krajowy system administracji podatkowej — a Klient podłączy się do niego w Ustawieniach, KRONENWERK przesyła faktury Klienta tym kanałem i odbiera z niego faktury na polecenie Klienta. Operator danego kanału jest albo dalszym podmiotem przetwarzającym (Załącznik 2), albo — w przypadku krajowego systemu administracji podatkowej — niezależnym administratorem działającym na podstawie własnego prawa. Własny token Klienta dla systemu krajowego jest przechowywany w formie zaszyfrowanej i wykorzystywany wyłącznie do transmisji tego Klienta.

8. Przechowywanie, którego nie można zmienić poleceniem Klienta

Wystawione faktury, noty korygujące i zapisy księgowe są dokumentami, które Klient jest zobowiązany prawnie przechowywać (przykładowo przez osiem lub dziesięć lat), a KRONENWERK zachowuje je w postaci, w jakiej zostały wystawione; korekta następuje w drodze noty korygującej. Własne zapisy podatkowe i rozliczeniowe KRONENWERK dotyczące subskrypcji są przechowywane przez okres wymagany przez prawo podatkowe dostawcy. Rejestry bezpieczeństwa i audytu mają charakter „tylko dopisywanie”. Jeżeli osobie, której dane dotyczą, przysługuje prawo do usunięcia danych, KRONENWERK usuwa odniesienia do danych osobowych, o ile jest to prawnie możliwe, zachowując przy tym zapis księgowy.

9. Odpowiedzialność i prawo właściwe

Odpowiedzialność wynikająca z niniejszej Umowy podlega ograniczeniom określonym w Warunkach korzystania z usługi, chyba że RODO stanowi inaczej. Niniejsza Umowa podlega prawu właściwemu dla Warunków korzystania z usługi; przepisy RODO mające bezwzględnie zastosowanie do podmiotu przetwarzającego stosuje się niezależnie od tego wyboru. Jeżeli strony zawrą standardowe klauzule umowne Komisji Europejskiej dla podmiotów przetwarzających (decyzja (UE) 2021/915), klauzule te mają pierwszeństwo przed niniejszą Umową w razie sprzeczności.

10. Zmiany

Każda wersja niniejszej Umowy zawiera oznaczenie wersji oraz datę wejścia w życie u góry strony. Istotnie zmieniona wersja jest publikowana tutaj przed jej wejściem w życie. Tekst angielski jest wersją rozstrzygającą; tłumaczenia, jeżeli są udostępniane, mają charakter wyłącznie informacyjny.

Załącznik 1 — Środki techniczne i organizacyjne

Przedstawione jako fakty dotyczące oprogramowania i jego działania na dzień wskazany powyżej.

• Szyfrowanie w transmisji: cały ruch jest obsługiwany za pośrednictwem TLS 1.2 lub wyższego, z HTTP Strict Transport Security; połączenie między aplikacją a jej bazą danych jest szyfrowane wewnątrz prywatnej sieci dostawcy hostingu.
• Szyfrowanie w spoczynku: dostawca hostingu szyfruje bazę danych oraz przestrzeń kopii zapasowych w spoczynku. Dane uwierzytelniające do integracji oraz tokeny sieci doręczeń są dodatkowo szyfrowane przez KRONENWERK za pomocą klucza przechowywanego wyłącznie w środowisku produkcyjnym.
• Dane uwierzytelniające: hasła są haszowane algorytmem Argon2id; kody logowania, tokeny resetu, tokeny zaufanych urządzeń oraz klucze API są przechowywane wyłącznie jako haszy jednokierunkowe. Logowanie hasłem z urządzenia, którego konto wcześniej nie potwierdziło, wymaga kodu przesłanego na adres e-mail konta; zmiana hasła kończy wszystkie inne sesje i powoduje zapomnienie każdego potwierdzonego urządzenia.
• Izolacja najemców (tenant isolation): każdy rekord jest powiązany z organizacją Klienta, a każde zapytanie jest ograniczone do niej po stronie serwera; sam identyfikator nie daje dostępu. Ta granica jest objęta zautomatyzowanymi testami regresyjnymi uruchamianymi przed każdym wydaniem.
• Kontrola dostępu: uprawnienia oparte na rolach w ramach organizacji Klienta; dostęp operatora do konsoli wymaga odrębnych danych uwierzytelniających; działania operatora na koncie Klienta są rejestrowane w rejestrze audytowym typu „tylko dopisywanie”.
• Integralność: wystawione dokumenty, ewidencje podatkowe dotyczące subskrypcji, rejestry akceptacji dokumentów prawnych, zdarzenia bezpieczeństwa oraz rejestr audytowy operatora mają charakter „tylko dopisywanie” i są egzekwowane na poziomie bazy danych (wyzwalacze bazy danych odrzucają aktualizacje i usunięcia; jedyną dozwoloną zmianą jest usunięcie odniesienia osobowego na żądanie usunięcia danych).
• Dostępność i kopie zapasowe: dostawca hostingu przechowuje codzienne kopie zapasowe bazy danych. Próbne przywrócenie danych nie zostało jeszcze przeprowadzone przez operatora; ta pozycja zostanie zaktualizowana po jego przeprowadzeniu, wraz ze zmierzonym czasem odzyskiwania.
• Rejestrowanie zdarzeń (logi): dzienniki aplikacji nie zawierają haseł, kodów, tokenów ani sekretów; działania istotne dla bezpieczeństwa generują rejestry audytowe.
• Rozwój oprogramowania: zmiany są wprowadzane za pośrednictwem systemu kontroli wersji z zautomatyzowanym zestawem testów obejmującym walidację, izolację najemców i integralność finansową, uruchamianym przed każdym wydaniem; zależności są przypięte do konkretnych wersji i przeglądane przy aktualizacji.
• Przesyłane pliki: przesyłane pliki są walidowane pod względem zawartości, przechowywane pod kluczami generowanymi systemowo, udostępniane bez wykonywania i nigdy nie są renderowane jako zaufana treść aplikacji.

Załącznik 2 — Dalsze podmioty przetwarzające

Usługa VIES Komisji Europejskiej nie jest dalszym podmiotem przetwarzającym: jest pytana, czy numer identyfikacji VAT jest ważny, otrzymuje wyłącznie ten numer i zwraca odpowiedź z rejestru publicznego.

Krajowe systemy administracji podatkowej (na przykład polski Krajowy System e-Faktur, KSeF) nie są dalszymi podmiotami przetwarzającymi: odbierają faktury Klienta jako niezależni administratorzy działający na podstawie własnego prawa, na polecenie Klienta i przy użyciu jego własnych danych uwierzytelniających.

Google nie jest dalszym podmiotem przetwarzającym w odniesieniu do danych Klienta; jest wykorzystywany wyłącznie do uwierzytelniania użytkowników, którzy wybierają logowanie za pomocą konta Google, zgodnie z opisem w Polityce prywatności.