fakturbox
Załóż konto

Umowa powierzenia (DPA)

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

DPA – DATA PROCESSING AGREEMENT

obowiązująca od dnia [DATA]

§ 1. Postanowienia ogólne

  1. Niniejsza Umowa powierzenia przetwarzania danych osobowych, dalej jako „DPA”, określa zasady przetwarzania danych osobowych przez VHN Sp. z o.o. w związku ze świadczeniem Usług za pośrednictwem Serwisu Fakturbox.pl.
  2. DPA stanowi integralną część umowy o świadczenie Usług zawartej pomiędzy Użytkownikiem a Operatorem na podstawie Regulaminu Serwisu Fakturbox.pl, dalej jako „Umowa Główna”.
  3. Podmiotem przetwarzającym jest VHN SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ z siedzibą przy ul. Gliwickiej 35, 42-600 Tarnowskie Góry, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000790022, NIP 6452561131, REGON 383347422, o kapitale zakładowym 10 000 zł, dalej jako „VHN Sp. z o.o.”, „Operator” albo „Podmiot Przetwarzający”.
  4. Administratorem albo podmiotem powierzającym dalsze przetwarzanie jest Użytkownik zawierający Umowę Główną, dalej jako „Klient”.
  5. Jeżeli Klient samodzielnie określa cele i sposoby przetwarzania danych osobowych wprowadzanych do Serwisu, występuje on jako administrator danych, a VHN Sp. z o.o. jako podmiot przetwarzający.
  6. Jeżeli Klient przetwarza dane osobowe na zlecenie własnego klienta lub innego administratora, w szczególności gdy Klient jest Biurem Rachunkowym:
  7. Klient może występować jako podmiot przetwarzający;
  8. VHN Sp. z o.o. występuje jako dalszy podmiot przetwarzający;
  9. postanowienia DPA stosuje się odpowiednio do dalszego powierzenia;
  10. Klient zapewnia, że posiada upoważnienie administratora do korzystania z VHN Sp. z o.o. jako dalszego podmiotu przetwarzającego.
  11. DPA zostaje zawarta z chwilą:
  12. zaakceptowania jej przez Klienta podczas rejestracji, aktywacji Konta, zakupu Pakietu albo uruchomienia funkcji wymagającej przetwarzania danych;
  13. zawarcia Umowy Głównej odsyłającej do DPA;
  14. podpisania DPA przez strony

— zależnie od stosowanego sposobu zawarcia Umowy.

  1. Akceptacja DPA w formie elektronicznej jest równoznaczna z jej zawarciem.
  2. DPA obowiązuje przez cały czas, w którym VHN Sp. z o.o. przetwarza Dane Powierzone na rzecz Klienta.
  3. Pojęcia pisane wielką literą, których nie zdefiniowano w DPA, mają znaczenie nadane im w Regulaminie.

§ 2. Definicje

  1. Administrator – podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania Danych Powierzonych.
  2. Dane Powierzone – dane osobowe przetwarzane przez VHN Sp. z o.o. w imieniu Klienta w związku ze świadczeniem Usług.
  3. Dalszy Podmiot Przetwarzający albo Subprocesor – podmiot, któremu VHN Sp. z o.o. powierza wykonanie określonych operacji na Danych Powierzonych.
  4. EOG – Europejski Obszar Gospodarczy.
  5. Incydent Bezpieczeństwa – zdarzenie wpływające albo mogące wpływać na poufność, integralność, dostępność lub odporność systemów, danych lub Usług.
  6. Klient – Użytkownik będący stroną Umowy Głównej, występujący jako administrator albo podmiot powierzający dalsze przetwarzanie.
  7. Naruszenie Ochrony Danych – naruszenie bezpieczeństwa prowadzące do przypadkowego albo niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do Danych Powierzonych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
  8. Organ Nadzorczy – właściwy organ ochrony danych osobowych, w Polsce Prezes Urzędu Ochrony Danych Osobowych.
  9. Osoba Upoważniona – osoba działająca z upoważnienia VHN Sp. z o.o. albo Subprocesora, posiadająca dostęp do Danych Powierzonych.
  10. RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.
  11. Usługi – usługi świadczone przez VHN Sp. z o.o. za pośrednictwem Fakturbox zgodnie z Umową Główną.
  12. Żądanie Osoby – żądanie osoby, której dane dotyczą, dotyczące wykonania praw wynikających z RODO.

§ 3. Przedmiot powierzenia

  1. Klient powierza VHN Sp. z o.o. przetwarzanie Danych Powierzonych w zakresie niezbędnym do świadczenia Usług.
  2. Powierzenie obejmuje w szczególności operacje konieczne do:
  3. przechowywania danych;
  4. tworzenia i obsługi Faktur oraz innych Dokumentów;
  5. prowadzenia kartotek kontrahentów, towarów i usług;
  6. realizacji funkcji magazynowych;
  7. importu i eksportu danych;
  8. wysyłania Dokumentów;
  9. obsługi przypomnień i automatyzacji;
  10. integracji z KSeF;
  11. importowania lub przetwarzania danych bankowych;
  12. korzystania z OCR;
  13. korzystania z funkcji AI;
  14. korzystania z API;
  15. korzystania z Integracji zewnętrznych;
  16. zarządzania rolami i dostępem;
  17. tworzenia kopii zapasowych;
  18. zapewnienia bezpieczeństwa;
  19. diagnozowania i usuwania błędów;
  20. obsługi zgłoszeń technicznych;
  21. wykonania innych poleceń Klienta związanych z funkcjami Serwisu.
  22. Szczegółowy przedmiot, charakter, cel, zakres i czas przetwarzania określa Załącznik nr 1.
  23. VHN Sp. z o.o. nie może wykorzystywać Danych Powierzonych dla własnych, niezależnych celów, z wyjątkiem sytuacji, w których:
  24. przetwarzanie jest wymagane przez prawo;
  25. dane zostały skutecznie zanonimizowane;
  26. VHN Sp. z o.o. działa wobec określonych danych jako odrębny administrator na podstawie właściwej podstawy prawnej.
  27. Dane związane z zawarciem i wykonywaniem Umowy Głównej, rozliczeniami, bezpieczeństwem, zapobieganiem oszustwom, dochodzeniem roszczeń oraz wykonaniem obowiązków prawnych mogą być przetwarzane przez VHN Sp. z o.o. jako odrębnego administratora zgodnie z Polityką prywatności.

§ 4. Oświadczenia Klienta

  1. Klient oświadcza, że:
  2. jest administratorem Danych Powierzonych albo posiada uprawnienie do ich dalszego powierzenia;
  3. przetwarza Dane Powierzone zgodnie z prawem;
  4. posiada właściwą podstawę prawną do przetwarzania;
  5. wykonał albo wykona wymagane obowiązki informacyjne;
  6. posiada prawo do wprowadzenia danych do Serwisu;
  7. może zgodnie z prawem polecić VHN Sp. z o.o. wykonywanie operacji określonych w DPA;
  8. zakres Danych Powierzonych jest adekwatny i niezbędny;
  9. korzystanie z Usług nie narusza praw osób trzecich.
  10. Klient odpowiada za:
  11. zgodność z prawem celów i sposobów przetwarzania;
  12. prawidłowość Danych Powierzonych;
  13. zakres wydawanych poleceń;
  14. wybór funkcji i Integracji;
  15. konfigurację uprawnień;
  16. ustalenie okresów przechowywania;
  17. legalność przekazywania danych do KSeF, banków, AI, OCR i innych Integracji;
  18. realizację obowiązków administratora wobec osób, których dane dotyczą.
  19. Jeżeli Klient działa jako podmiot przetwarzający, zobowiązuje się:
  20. posiadać udokumentowane polecenie administratora;
  21. posiadać ogólną albo szczegółową zgodę na dalsze powierzenie;
  22. zapewnić zgodność DPA z umową zawartą z administratorem;
  23. przekazać administratorowi informacje o Subprocesorach;
  24. nie wydawać VHN Sp. z o.o. poleceń wykraczających poza upoważnienie administratora.
  25. Klient nie może polecić VHN Sp. z o.o. przetwarzania danych w sposób bezprawny.
  26. Jeżeli VHN Sp. z o.o. uzna, że polecenie Klienta narusza RODO albo inne przepisy ochrony danych, poinformuje o tym Klienta, chyba że przekazanie takiej informacji jest prawnie zabronione.
  27. VHN Sp. z o.o. może wstrzymać wykonanie polecenia budzącego uzasadnione wątpliwości prawne do czasu jego wyjaśnienia lub zmiany.
  28. Wstrzymanie polecenia nie stanowi naruszenia DPA, jeżeli było konieczne do uniknięcia bezprawnego przetwarzania.

§ 5. Udokumentowane polecenia Klienta

  1. VHN Sp. z o.o. przetwarza Dane Powierzone wyłącznie na udokumentowane polecenie Klienta.
  2. Za udokumentowane polecenia uważa się w szczególności:
  3. zawarcie Umowy Głównej i DPA;
  4. działania wykonane przez Klienta w Panelu Użytkownika;
  5. konfigurację Konta i uprawnień;
  6. aktywację funkcji;
  7. przesłanie Dokumentu do OCR lub AI;
  8. aktywację Integracji;
  9. wysłanie Dokumentu do KSeF;
  10. wywołanie API;
  11. import lub eksport danych;
  12. dyspozycję przesłaną z autoryzowanego adresu e-mail;
  13. dyspozycję przekazaną w zgłoszeniu technicznym;
  14. inne jednoznaczne działanie Klienta w ramach Usługi.
  15. Polecenie powinno mieścić się w zakresie Umowy Głównej i dostępnej funkcjonalności Serwisu.
  16. Polecenia wymagające:
  17. niestandardowej pracy ręcznej;
  18. opracowania indywidualnego rozwiązania;
  19. znacznego nakładu czasu;
  20. ingerencji w architekturę systemu;
  21. przygotowania niestandardowego eksportu;
  22. wykonania czynności niewchodzącej w zakres Pakietu

mogą wymagać odrębnego uzgodnienia, terminu oraz Opłaty.

  1. VHN Sp. z o.o. może odmówić wykonania polecenia:
  2. niemożliwego technicznie;
  3. sprzecznego z prawem;
  4. zagrażającego bezpieczeństwu;
  5. naruszającego prawa innego Użytkownika;
  6. wykraczającego poza Usługi;
  7. wymagającego ujawnienia tajemnic lub zabezpieczeń VHN Sp. z o.o.;
  8. naruszającego warunki Zewnętrznego Dostawcy.
  9. VHN Sp. z o.o. poinformuje Klienta o odmowie i jej ogólnej przyczynie, o ile nie jest to zabronione prawem lub nie zagraża bezpieczeństwu.

§ 6. Zakres i cel przetwarzania

  1. VHN Sp. z o.o. przetwarza Dane Powierzone w celu:
  2. świadczenia Usług;
  3. wykonania funkcji uruchomionych przez Klienta;
  4. przechowywania i zabezpieczenia danych;
  5. realizacji Integracji;
  6. zapewnienia wsparcia technicznego;
  7. utrzymania, diagnozowania i rozwoju technicznego Serwisu;
  8. zapobiegania utracie danych, nadużyciom i cyberatakom;
  9. wykonania innych udokumentowanych poleceń Klienta.
  10. Charakter przetwarzania jest zautomatyzowany lub częściowo zautomatyzowany i obejmuje w szczególności:
  11. zbieranie;
  12. utrwalanie;
  13. organizowanie;
  14. porządkowanie;
  15. przechowywanie;
  16. adaptowanie lub modyfikowanie;
  17. pobieranie;
  18. przeglądanie;
  19. wykorzystywanie;
  20. ujawnianie przez przesłanie;
  21. dopasowywanie lub łączenie;
  22. ograniczanie;
  23. usuwanie;
  24. niszczenie;
  25. eksportowanie;
  26. tworzenie kopii zapasowych.
  27. VHN Sp. z o.o. nie określa samodzielnie zasadniczych celów przetwarzania Danych Powierzonych.
  28. Rozwój techniczny Serwisu nie uprawnia VHN Sp. z o.o. do wykorzystywania identyfikowalnych Danych Powierzonych do własnych celów niezwiązanych ze świadczeniem Usług.
  29. VHN Sp. z o.o. może wykorzystywać dane zagregowane lub skutecznie zanonimizowane do:
  30. statystyki;
  31. mierzenia wydajności;
  32. poprawy działania;
  33. planowania funkcji;
  34. bezpieczeństwa;
  35. badań wewnętrznych

pod warunkiem, że nie pozwalają one na identyfikację Klienta ani osób fizycznych.

§ 7. Kategorie osób i danych

  1. Dane Powierzone mogą dotyczyć w szczególności:
  2. Klienta;
  3. Użytkowników Konta;
  4. klientów Klienta;
  5. kontrahentów;
  6. nabywców i sprzedawców;
  7. pracowników;
  8. współpracowników;
  9. pełnomocników;
  10. członków organów;
  11. dostawców;
  12. odbiorców;
  13. klientów Biura Rachunkowego;
  14. pracowników klientów Biura;
  15. osób wskazanych w Fakturach i Dokumentach;
  16. nadawców i odbiorców płatności;
  17. osób korzystających z Integracji;
  18. innych osób, których dane Klient wprowadzi do Serwisu.
  19. Dane Powierzone mogą obejmować:
  20. imię i nazwisko;
  21. firmę przedsiębiorcy;
  22. adres;
  23. adres e-mail;
  24. numer telefonu;
  25. numer NIP;
  26. numer PESEL, jeżeli Klient wprowadzi go zgodnie z prawem;
  27. REGON i KRS;
  28. stanowisko i funkcję;
  29. dane pełnomocnictwa;
  30. numer rachunku bankowego;
  31. dane transakcji i płatności;
  32. treść Faktur i Dokumentów;
  33. informacje o towarach i usługach;
  34. informacje o podatkach i rozliczeniach;
  35. dane magazynowe;
  36. dane techniczne i identyfikatory;
  37. dane przesyłane przez API i Integracje;
  38. dane zawarte w załącznikach;
  39. inne dane wprowadzone przez Klienta.
  40. Klient powinien ograniczać zakres Danych Powierzonych do danych potrzebnych do realizacji własnych, zgodnych z prawem celów.
  41. Serwis nie jest przeznaczony do systematycznego przetwarzania szczególnych kategorii danych ani danych dotyczących wyroków skazujących i czynów zabronionych.
  42. Klient nie powinien wprowadzać danych wymienionych w ust. 4, chyba że:
  43. jest to konieczne;
  44. posiada odpowiednią podstawę prawną;
  45. przeprowadził wymaganą ocenę ryzyka;
  46. zastosował odpowiednie zabezpieczenia;
  47. funkcjonalność Serwisu jest odpowiednia do takiego przetwarzania.
  48. Klient odpowiada za ocenę, czy Serwis jest odpowiedni dla szczególnego charakteru powierzanych danych.

§ 8. Czas przetwarzania

  1. VHN Sp. z o.o. przetwarza Dane Powierzone przez okres obowiązywania Umowy Głównej oraz przez okres niezbędny do:
  2. realizacji poleceń dotyczących eksportu lub usunięcia;
  3. zakończenia aktywnych operacji;
  4. wykonania obowiązków prawnych;
  5. wygaśnięcia cyklu kopii zapasowych;
  6. ochrony przed roszczeniami w zakresie, w którym VHN Sp. z o.o. działa jako odrębny administrator.
  7. Po zakończeniu Umowy Głównej Dane Powierzone mogą pozostawać przez ograniczony czas w systemie produkcyjnym zgodnie z zasadami retencji określonymi w Regulaminie.
  8. Dane znajdujące się w kopiach zapasowych są usuwane albo nadpisywane zgodnie z przyjętym cyklem technicznym.
  9. Dane pozostające wyłącznie w kopiach zapasowych:
  10. nie są wykorzystywane do bieżących celów;
  11. są objęte środkami bezpieczeństwa;
  12. mogą zostać przywrócone wyłącznie w związku z odtworzeniem systemu;
  13. po przywróceniu ponownie podlegają zasadom DPA.
  14. Szczegółowe okresy mogą wynikać z Polityki retencji albo aktualnej dokumentacji Operatora.

§ 9. Poufność

  1. VHN Sp. z o.o. zapewnia, że Osoby Upoważnione:
  2. przetwarzają Dane Powierzone wyłącznie w zakresie powierzonych obowiązków;
  3. posiadają odpowiednie upoważnienie;
  4. zostały zobowiązane do zachowania poufności;
  5. są informowane o obowiązkach w zakresie ochrony danych;
  6. posiadają dostęp zgodny z zasadą minimalnych uprawnień.
  7. Obowiązek poufności obowiązuje również po:
  8. zakończeniu współpracy z Osobą Upoważnioną;
  9. cofnięciu jej dostępu;
  10. zakończeniu DPA.
  11. Dostęp do Danych Powierzonych może być udzielany wyłącznie osobom, dla których jest on niezbędny do:
  12. utrzymania Serwisu;
  13. wsparcia technicznego;
  14. zapewnienia bezpieczeństwa;
  15. usunięcia awarii;
  16. wykonania polecenia Klienta;
  17. realizacji obowiązku prawnego.
  18. VHN Sp. z o.o. stosuje procedury nadawania, przeglądu i odbierania uprawnień.
  19. Klient zobowiązuje się zapewnić poufność po swojej stronie oraz po stronie osób, którym nadaje dostęp do Konta.

§ 10. Środki techniczne i organizacyjne

  1. VHN Sp. z o.o. wdraża i utrzymuje środki techniczne i organizacyjne odpowiednie do:
  2. ryzyka przetwarzania;
  3. zakresu i charakteru Danych Powierzonych;
  4. stanu wiedzy technicznej;
  5. kosztu wdrożenia;
  6. prawdopodobieństwa oraz wagi potencjalnych skutków dla osób.
  7. Środki bezpieczeństwa mogą obejmować w szczególności:
  8. szyfrowanie transmisji;
  9. kontrolę dostępu;
  10. indywidualne identyfikatory Użytkowników;
  11. bezpieczne przechowywanie danych uwierzytelniających;
  12. uwierzytelnianie wieloskładnikowe dla wybranych funkcji;
  13. rejestrowanie zdarzeń;
  14. monitoring infrastruktury;
  15. mechanizmy ochrony przed automatycznymi atakami;
  16. kopie zapasowe;
  17. procedury odtwarzania;
  18. aktualizacje bezpieczeństwa;
  19. zarządzanie podatnościami;
  20. ograniczenie dostępu personelu;
  21. fizyczne zabezpieczenia centrów danych zapewniane przez dostawców infrastruktury;
  22. procedury reagowania na incydenty;
  23. zarządzanie zmianą;
  24. testowanie i ocenę skuteczności wybranych zabezpieczeń;
  25. zobowiązania do poufności;
  26. zarządzanie Subprocesorami;
  27. bezpieczne usuwanie lub nadpisywanie danych.
  28. Ogólny opis środków stanowi Załącznik nr 2.
  29. VHN Sp. z o.o. może zmieniać i rozwijać środki bezpieczeństwa, pod warunkiem że zmiana nie prowadzi do istotnego obniżenia ogólnego poziomu ochrony.
  30. DPA nie zobowiązuje VHN Sp. z o.o. do ujawniania:
  31. kodu źródłowego;
  32. kluczy kryptograficznych;
  33. pełnej konfiguracji infrastruktury;
  34. danych innych Użytkowników;
  35. informacji, których ujawnienie zwiększałoby ryzyko ataku;
  36. tajemnicy przedsiębiorstwa wykraczającej poza zakres konieczny do wykazania zgodności.
  37. Klient przyjmuje do wiadomości, że żaden system informatyczny nie zapewnia całkowitego wyeliminowania ryzyka.
  38. Klient jest zobowiązany stosować własne środki bezpieczeństwa, w szczególności:
  39. chronić dane logowania;
  40. właściwie nadawać uprawnienia;
  41. usuwać dostęp osób nieuprawnionych;
  42. zabezpieczać urządzenia;
  43. chronić eksporty;
  44. zabezpieczać klucze API i tokeny;
  45. korzystać z bezpiecznych Integracji;
  46. wykonywać własne kopie danych, gdy jest to wymagane przez jego procedury lub prawo.

§ 11. Kopie zapasowe

  1. VHN Sp. z o.o. może wykonywać kopie zapasowe Danych Powierzonych w celu:
  2. zapewnienia ciągłości działania;
  3. odtworzenia systemu po awarii;
  4. ograniczenia skutków Incydentu Bezpieczeństwa;
  5. ochrony integralności danych.
  6. Kopie zapasowe nie stanowią indywidualnego archiwum Klienta ani usługi przywracania pojedynczych Dokumentów, chyba że odrębne warunki stanowią inaczej.
  7. VHN Sp. z o.o. nie gwarantuje:
  8. dowolnego punktu odtworzenia;
  9. zachowania każdej wersji Dokumentu;
  10. możliwości odtworzenia pojedynczej operacji;
  11. bezterminowego przechowywania kopii.
  12. Klient powinien samodzielnie eksportować dane wymagające niezależnej archiwizacji.
  13. Usunięte dane mogą pozostawać w kopiach do czasu ich rotacyjnego usunięcia albo nadpisania.
  14. Dostęp do kopii zapasowych jest ograniczony do osób i procesów, dla których jest to konieczne.

§ 12. Dalsze powierzenie przetwarzania

  1. Klient udziela VHN Sp. z o.o. ogólnej zgody na korzystanie z Subprocesorów niezbędnych do świadczenia Usług.
  2. Aktualny wykaz Subprocesorów jest publikowany:
  3. w Serwisie;
  4. w dokumencie „Subprocesorzy”;
  5. pod adresem wskazanym w Panelu Użytkownika albo DPA.
  6. Wykaz może zawierać:
  7. nazwę Subprocesora;
  8. rodzaj usługi;
  9. cel przetwarzania;
  10. kategorie danych;
  11. lokalizację przetwarzania;
  12. informację o transferze poza EOG.
  13. VHN Sp. z o.o. może dodawać, zmieniać lub zastępować Subprocesorów.
  14. O planowanej zmianie Subprocesora VHN Sp. z o.o. poinformuje Klienta w sposób umożliwiający zgłoszenie uzasadnionego sprzeciwu, w szczególności:
  15. pocztą elektroniczną;
  16. komunikatem w Panelu;
  17. publikacją zmiany w wykazie połączoną z mechanizmem subskrypcji powiadomień;
  18. innym trwałym kanałem.
  19. O ile pilne względy bezpieczeństwa, prawne albo techniczne nie wymagają krótszego terminu, informacja zostanie przekazana co najmniej 14 dni przed rozpoczęciem przetwarzania przez nowego Subprocesora.
  20. Klient może wnieść uzasadniony sprzeciw w terminie 14 dni od otrzymania informacji.
  21. Sprzeciw powinien:
  22. dotyczyć ochrony Danych Powierzonych;
  23. wskazywać konkretne ryzyko;
  24. zawierać uzasadnienie;
  25. zostać przesłany na adres kontakt@fakturbox.pl.
  26. Sam brak biznesowej akceptacji dostawcy bez wskazania ryzyka dla ochrony danych nie stanowi uzasadnionego sprzeciwu.
  27. Po otrzymaniu sprzeciwu strony podejmą próbę uzgodnienia rozwiązania, w szczególności:

1) ograniczenia zakresu danych; 2) zastosowania innego dostawcy; 3) wyłączenia określonej funkcji; 4) zastosowania dodatkowego zabezpieczenia.

  1. Jeżeli rozwiązanie nie jest możliwe bez nieproporcjonalnych kosztów albo istotnej zmiany Usługi, Klient może:

1) zrezygnować z funkcji wymagającej danego Subprocesora; 2) rozwiązać Umowę Główną w zakresie, w którym dalsze korzystanie jest niemożliwe.

  1. Sprzeciw nie daje automatycznie prawa do zwrotu Opłaty, chyba że obowiązek zwrotu wynika z prawa albo Operator postanowi inaczej.
  2. VHN Sp. z o.o. zawiera z Subprocesorem umowę nakładającą na niego obowiązki ochrony danych odpowiadające w istotnym zakresie obowiązkom wynikającym z DPA.
  3. VHN Sp. z o.o. pozostaje wobec Klienta odpowiedzialna za wykonanie obowiązków przez Subprocesora w zakresie wymaganym przez RODO.
  4. Jeżeli Klient działa jako podmiot przetwarzający, ogólna zgoda udzielona w niniejszym paragrafie oznacza zgodę na dalsze powierzenie w zakresie, w jakim Klient jest uprawniony do jej udzielenia przez administratora.

§ 13. Transfery poza EOG

  1. VHN Sp. z o.o. może przekazywać Dane Powierzone poza EOG albo umożliwiać dostęp do nich spoza EOG wyłącznie zgodnie z rozdziałem V RODO.
  2. Transfer może nastąpić w szczególności na podstawie:
  3. decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony;
  4. standardowych klauzul umownych;
  5. wiążących reguł korporacyjnych;
  6. zatwierdzonego kodeksu lub mechanizmu certyfikacji;
  7. innej podstawy przewidzianej przez RODO.
  8. Jeżeli jest to wymagane, VHN Sp. z o.o.:
  9. dokonuje oceny transferu;
  10. analizuje prawo państwa odbiorcy;
  11. wdraża dodatkowe zabezpieczenia;
  12. ogranicza zakres przekazywanych danych;
  13. stosuje szyfrowanie lub pseudonimizację, gdy jest to możliwe i uzasadnione.
  14. Klient upoważnia VHN Sp. z o.o. do zawierania standardowych klauzul umownych z Subprocesorami w imieniu własnym oraz, w zakresie dopuszczalnym, w związku z Danymi Powierzonymi Klienta.
  15. Jeżeli do transferu pomiędzy Klientem a VHN Sp. z o.o. konieczne będzie zastosowanie standardowych klauzul umownych, strony uzgodnią ich właściwy moduł.
  16. W przypadku, gdy Klient jest administratorem, a VHN Sp. z o.o. podmiotem przetwarzającym, zastosowanie może mieć moduł administrator–podmiot przetwarzający.
  17. W przypadku, gdy Klient jest podmiotem przetwarzającym, a VHN Sp. z o.o. dalszym podmiotem przetwarzającym, zastosowanie może mieć moduł podmiot przetwarzający–dalszy podmiot przetwarzający.
  18. Informacje o transferach dokonywanych przez poszczególnych Subprocesorów są zawarte w wykazie Subprocesorów.
  19. VHN Sp. z o.o. może udostępnić Klientowi informacje o zastosowanych mechanizmach, z zastrzeżeniem ochrony:
  20. tajemnicy przedsiębiorstwa;
  21. danych innych klientów;
  22. informacji o bezpieczeństwie;
  23. treści prawnie chronionych.

§ 14. Współpraca przy realizacji praw osób

  1. VHN Sp. z o.o., biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Klientowi w realizacji Żądań Osób.
  2. Pomoc może obejmować:
  3. udostępnienie funkcji wyszukiwania danych;
  4. eksport danych;
  5. sprostowanie;
  6. ograniczenie;
  7. usunięcie;
  8. przekazanie Klientowi otrzymanego żądania;
  9. dostarczenie informacji technicznych pozostających w dyspozycji VHN Sp. z o.o.
  10. Jeżeli VHN Sp. z o.o. otrzyma Żądanie Osoby dotyczące Danych Powierzonych:
  11. niezwłocznie przekaże je Klientowi, jeżeli możliwe jest jego ustalenie;
  12. nie będzie samodzielnie odpowiadać merytorycznie, chyba że otrzyma polecenie albo jest do tego zobowiązana prawem;
  13. może poinformować osobę, że powinna skontaktować się z właściwym administratorem.
  14. Klient odpowiada za:
  15. ocenę zasadności żądania;
  16. ustalenie tożsamości osoby;
  17. wybór sposobu realizacji;
  18. zachowanie terminu;
  19. przekazanie odpowiedzi.
  20. VHN Sp. z o.o. nie odpowiada za niewykonanie przez Klienta jego obowiązku wobec osoby.
  21. Jeżeli realizacja żądania wymaga niestandardowej pracy wykraczającej poza zwykłe funkcje Serwisu, VHN Sp. z o.o. może pobrać uzasadnioną Opłatę odpowiadającą dodatkowym kosztom, o ile:
  22. konieczność dodatkowej pracy nie wynika z naruszenia DPA przez VHN Sp. z o.o.;
  23. Opłata została wcześniej uzgodniona z Klientem.
  24. VHN Sp. z o.o. nie może uzależnić podstawowej pomocy wymaganej art. 28 RODO od dodatkowej Opłaty, jeżeli pomoc mieści się w standardowym zakresie Usług i dostępnych funkcji.

§ 15. Naruszenia ochrony danych

  1. VHN Sp. z o.o. poinformuje Klienta o stwierdzonym Naruszeniu Ochrony Danych dotyczących Danych Powierzonych bez zbędnej zwłoki.
  2. Zawiadomienie zostanie przekazane:
  3. na adres e-mail Administratora Konta;
  4. na adres wskazany przez Klienta do spraw bezpieczeństwa;
  5. w Panelu Użytkownika;
  6. innym uzgodnionym kanałem.
  7. Zawiadomienie będzie zawierało, w zakresie informacji dostępnych VHN Sp. z o.o.:
  8. opis charakteru Naruszenia;
  9. kategorie danych;
  10. kategorie osób;
  11. przybliżoną liczbę osób albo rekordów, jeżeli możliwa do ustalenia;
  12. opis możliwych konsekwencji;
  13. opis zastosowanych lub proponowanych działań;
  14. dane kontaktowe punktu kontaktowego;
  15. inne informacje potrzebne Klientowi do wykonania obowiązków.
  16. Jeżeli pełne informacje nie są dostępne w chwili pierwszego zawiadomienia, mogą być przekazywane etapami.
  17. Wstępna informacja o zdarzeniu nie oznacza potwierdzenia, że:
  18. doszło do Naruszenia Ochrony Danych;
  19. zdarzenie stwarza ryzyko;
  20. VHN Sp. z o.o. ponosi odpowiedzialność.
  21. VHN Sp. z o.o.:
  22. podejmuje działania ograniczające skutki;
  23. zabezpiecza dowody i logi;
  24. analizuje przyczynę;
  25. dokumentuje zdarzenie;
  26. współpracuje z Klientem w rozsądnym zakresie.
  27. Klient odpowiada za:
  28. ocenę ryzyka dla praw i wolności osób;
  29. zgłoszenie Naruszenia Organowi Nadzorczemu;
  30. zawiadomienie osób;
  31. zachowanie ustawowych terminów;
  32. dokumentowanie własnych decyzji.
  33. VHN Sp. z o.o. nie dokonuje zgłoszenia w imieniu Klienta, chyba że:
  34. strony odrębnie to uzgodnią;
  35. VHN Sp. z o.o. jest samodzielnie zobowiązana do zgłoszenia;
  36. obowiązek wynika z prawa.
  37. Klient zobowiązuje się nie publikować informacji o incydencie w sposób:
  38. nieprawdziwy;
  39. wprowadzający w błąd;
  40. ujawniający informacje zwiększające ryzyko;
  41. naruszający prawa innych Użytkowników

bez wcześniejszego skonsultowania zakresu technicznego z VHN Sp. z o.o., chyba że natychmiastowa publikacja jest wymagana prawem.

§ 16. Pomoc w wykonaniu obowiązków administratora

  1. VHN Sp. z o.o., uwzględniając charakter przetwarzania i dostępne informacje, pomaga Klientowi w wykonaniu obowiązków dotyczących:
  2. bezpieczeństwa przetwarzania;
  3. Naruszeń Ochrony Danych;
  4. oceny skutków dla ochrony danych;
  5. uprzednich konsultacji z Organem Nadzorczym.
  6. Pomoc może obejmować:
  7. udostępnienie opisu środków bezpieczeństwa;
  8. informacje o Subprocesorach;
  9. informacje o transferach;
  10. informacje o architekturze przetwarzania w zakresie możliwym do ujawnienia;
  11. informacje o stwierdzonych Naruszeniach;
  12. odpowiedzi na uzasadnione kwestionariusze bezpieczeństwa;
  13. udział w uzgodnionych konsultacjach.
  14. Klient odpowiada za:
  15. ustalenie, czy wymagana jest ocena skutków;
  16. jej przeprowadzenie;
  17. określenie ryzyk wynikających z własnych celów i konfiguracji;
  18. konsultację z Organem Nadzorczym;
  19. dokumentowanie zgodności.
  20. VHN Sp. z o.o. nie świadczy w ramach standardowej Usługi:
  21. doradztwa prawnego;
  22. kompleksowego przygotowania oceny skutków;
  23. reprezentacji przed Organem Nadzorczym;
  24. audytu procesów Klienta.
  25. Niestandardowa pomoc wymagająca znacznego nakładu pracy może podlegać dodatkowej Opłacie, o ile konieczność tej pomocy nie wynika z naruszenia DPA przez VHN Sp. z o.o.

§ 17. Audyty i wykazywanie zgodności

  1. VHN Sp. z o.o. udostępnia Klientowi informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO.
  2. W pierwszej kolejności zgodność może być wykazywana za pomocą:
  3. DPA;
  4. opisu środków bezpieczeństwa;
  5. wykazu Subprocesorów;
  6. polityk i procedur w zakresie możliwym do ujawnienia;
  7. raportów z testów lub audytów;
  8. certyfikatów, jeżeli zostaną uzyskane;
  9. odpowiedzi na kwestionariusz;
  10. spotkania wyjaśniającego.
  11. Klient może przeprowadzić audyt, jeżeli:
  12. informacje przekazane w trybie ust. 2 są niewystarczające;
  13. istnieje uzasadnione podejrzenie naruszenia DPA;
  14. wymaga tego Organ Nadzorczy;
  15. obowiązek wynika z prawa albo umowy Klienta z administratorem.
  16. Klient powinien poinformować VHN Sp. z o.o. o planowanym audycie co najmniej 30 dni wcześniej, chyba że:
  17. istnieje pilne ryzyko;
  18. audyt nakazał Organ Nadzorczy;
  19. krótszy termin jest wymagany prawem.
  20. Audyt:
  21. odbywa się w Dni Robocze;
  22. nie może nadmiernie zakłócać działalności VHN Sp. z o.o.;
  23. powinien ograniczać się do systemów i danych dotyczących Klienta;
  24. musi uwzględniać prawa innych Użytkowników;
  25. musi chronić tajemnicę przedsiębiorstwa;
  26. powinien być wykonywany przez osobę posiadającą odpowiednie kwalifikacje i zobowiązaną do poufności.
  27. Audyt nie może obejmować:
  28. danych innych Klientów;
  29. kodu źródłowego, chyba że obowiązek jego udostępnienia wynika z prawa;
  30. fizycznego dostępu do współdzielonej infrastruktury dostawcy bez jego zgody;
  31. przeprowadzania testów penetracyjnych bez odrębnego uzgodnienia;
  32. działań zagrażających bezpieczeństwu;
  33. informacji niezwiązanych z przetwarzaniem Danych Powierzonych.
  34. VHN Sp. z o.o. może zaproponować audyt przeprowadzony przez niezależny podmiot albo przedstawić aktualny raport zamiast odrębnego audytu Klienta.
  35. Klient ponosi koszty audytu, chyba że:
  36. audyt wykaże istotne naruszenie DPA przez VHN Sp. z o.o.;
  37. obowiązek pokrycia kosztów przez VHN Sp. z o.o. wynika z prawa;
  38. strony uzgodnią inaczej.
  39. Jeżeli audyt wymaga ponadstandardowego zaangażowania personelu VHN Sp. z o.o., Operator może pobrać uzasadnioną Opłatę odpowiadającą kosztom, pod warunkiem wcześniejszego poinformowania Klienta.
  40. Ograniczenia audytu nie mają zastosowania w zakresie, w jakim uniemożliwiałyby wykonanie bezwzględnie obowiązującego prawa Organu Nadzorczego.
  41. Klient przekaże VHN Sp. z o.o. kopię wyników audytu dotyczących VHN Sp. z o.o.
  42. Informacje i wyniki audytu są poufne.

§ 18. Kontrole i postępowania organów

  1. VHN Sp. z o.o. współpracuje z właściwym Organem Nadzorczym w zakresie wymaganym prawem.
  2. Jeżeli VHN Sp. z o.o. otrzyma żądanie organu dotyczące Danych Powierzonych Klienta, w miarę możliwości:
  3. poinformuje Klienta;
  4. ograniczy ujawnienie do wymaganego zakresu;
  5. zweryfikuje formalną podstawę żądania;
  6. udokumentuje przekazanie danych.
  7. VHN Sp. z o.o. może nie informować Klienta, jeżeli:
  8. jest to zabronione prawem;
  9. mogłoby utrudnić postępowanie;
  10. stwarzałoby zagrożenie bezpieczeństwa;
  11. organ wyraźnie zakazał powiadomienia.
  12. Klient współpracuje z VHN Sp. z o.o. w zakresie potrzebnym do udzielenia odpowiedzi organowi.
  13. VHN Sp. z o.o. nie odpowiada za zgodne z prawem ujawnienie danych właściwemu organowi.

§ 19. KSeF

  1. Aktywując Integrację z KSeF, Klient poleca VHN Sp. z o.o. przetwarzanie Danych Powierzonych w zakresie koniecznym do:
  2. uwierzytelnienia;
  3. wysyłania Dokumentów;
  4. pobierania Dokumentów;
  5. pobierania statusów;
  6. przechowywania identyfikatorów i potwierdzeń;
  7. obsługi innych funkcji KSeF.
  8. Klient odpowiada za:
  9. podstawę prawną danych zawartych w Fakturach;
  10. uprawnienie do działania w KSeF;
  11. prawidłowe nadanie uprawnień;
  12. ochronę tokenów i certyfikatów;
  13. zakres przesyłanych danych;
  14. wykonanie obowiązków informacyjnych.
  15. Dane przekazane do KSeF są przetwarzane dalej przez właściwe organy administracji publicznej jako odrębnych administratorów na podstawie prawa.
  16. VHN Sp. z o.o. nie jest podmiotem przetwarzającym dla organu prowadzącego KSeF wyłącznie dlatego, że technicznie przesyła dane na polecenie Klienta.
  17. Usunięcie danych z Fakturbox nie powoduje usunięcia ich z KSeF.

§ 20. OCR i AI

  1. Aktywując OCR lub funkcję AI, Klient poleca VHN Sp. z o.o. przekazanie i przetwarzanie danych w zakresie niezbędnym do wykonania operacji.
  2. Dane mogą być przetwarzane przez Subprocesorów dostarczających:
  3. modele AI;
  4. OCR;
  5. infrastrukturę obliczeniową;
  6. systemy klasyfikacji i ekstrakcji danych.
  7. Aktualni dostawcy są wskazani w wykazie Subprocesorów.
  8. VHN Sp. z o.o. dąży do korzystania z konfiguracji i warunków, zgodnie z którymi Dane Powierzone:
  9. nie są wykorzystywane do trenowania ogólnodostępnych modeli;
  10. są przetwarzane wyłącznie w celu realizacji polecenia;
  11. są przechowywane przez możliwie ograniczony okres;
  12. są objęte odpowiednim mechanizmem transferu.
  13. Postanowienie ust. 4 obowiązuje w zakresie wynikającym z faktycznie wybranej usługi, konfiguracji i umowy z dostawcą.
  14. Klient powinien:
  15. ograniczyć dane wejściowe do minimum;
  16. nie przekazywać sekretów, haseł i kluczy;
  17. nie przekazywać danych szczególnych kategorii bez wyraźnej potrzeby i podstawy prawnej;
  18. ocenić, czy użycie AI jest zgodne z jego obowiązkami;
  19. zweryfikować wynik przed jego wykorzystaniem.
  20. VHN Sp. z o.o. nie podejmuje decyzji wywołujących skutki prawne wobec osób wyłącznie na podstawie wyniku AI, chyba że odrębna funkcja oraz zasady świadczenia wyraźnie stanowią inaczej.

§ 21. Integracje bankowe, API i usługi zewnętrzne

  1. Aktywując Integrację, Klient poleca VHN Sp. z o.o. pobieranie, przekazywanie lub synchronizację danych pomiędzy Fakturbox a wskazanym systemem.
  2. Klient odpowiada za:
  3. wybór Integracji;
  4. zakres udzielonych uprawnień;
  5. podstawę prawną transferu danych;
  6. legalność korzystania z zewnętrznej usługi;
  7. ochronę kluczy API i danych uwierzytelniających;
  8. zapoznanie się z warunkami i polityką dostawcy.
  9. Podmiot zewnętrzny może działać jako:
  10. Subprocesor VHN Sp. z o.o.;
  11. podmiot przetwarzający wybrany bezpośrednio przez Klienta;
  12. odrębny administrator.
  13. Jeżeli Klient samodzielnie podaje klucz API albo łączy usługę niewskazaną jako Subprocesor, VHN Sp. z o.o. nie odpowiada za dalsze przetwarzanie przez ten podmiot poza zakresem, w którym VHN Sp. z o.o. decyduje o jego wykorzystaniu.
  14. Wyłączenie Integracji zatrzymuje przyszły przepływ danych, ale nie usuwa automatycznie danych wcześniej przekazanych do zewnętrznego systemu.

§ 22. Zwrot i usunięcie danych

  1. Po zakończeniu świadczenia Usług VHN Sp. z o.o., zgodnie z wyborem Klienta:
  2. umożliwia eksport Danych Powierzonych;
  3. usuwa Dane Powierzone;
  4. wykonuje obie czynności w odpowiedniej kolejności.
  5. Klient powinien pobrać dane przed:
  6. usunięciem Konta;
  7. upływem okresu retencji;
  8. zakończeniem dostępu;
  9. rozwiązaniem Umowy Głównej.
  10. Eksport odbywa się w formatach udostępnianych przez Serwis.
  11. VHN Sp. z o.o. nie ma obowiązku:
  12. tworzenia niestandardowego formatu bez odrębnego uzgodnienia;
  13. przygotowania danych w formie wymagającej ręcznej przebudowy;
  14. zapewnienia zgodności eksportu z każdym konkurencyjnym systemem;
  15. przechowywania danych po upływie okresu retencji.
  16. Po otrzymaniu skutecznego żądania usunięcia VHN Sp. z o.o. usuwa dane z aktywnego środowiska w terminie wynikającym z:
  17. zakresu żądania;
  18. możliwości technicznych;
  19. zasad retencji;
  20. obowiązków prawnych.
  21. Dane mogą pozostać przez ograniczony czas:
  22. w kopiach zapasowych;
  23. logach bezpieczeństwa;
  24. dokumentacji incydentów;
  25. systemach rozliczeniowych;
  26. materiałach zabezpieczonych na potrzeby roszczeń

w zakresie wymaganym prawem lub uzasadnionym technicznie.

  1. Dane pozostające w kopiach nie są przetwarzane do innych celów i są usuwane w ramach zwykłego cyklu rotacji.
  2. VHN Sp. z o.o. może zachować dane, jeżeli prawo wymaga ich dalszego przechowywania.
  3. W takim przypadku VHN Sp. z o.o.:
  4. ogranicza przetwarzanie do wymaganego celu;
  5. informuje Klienta, o ile jest to dozwolone;
  6. usuwa dane po ustaniu obowiązku.
  7. Usunięcie danych z Fakturbox nie powoduje usunięcia danych:

1) z KSeF; 2) z systemu bankowego; 3) z systemu kontrahenta; 4) z systemu zewnętrznego połączonego przez Klienta; 5) z urządzenia, na które Klient wykonał eksport.

§ 23. Odpowiedzialność stron

  1. Każda ze stron odpowiada za wykonanie własnych obowiązków wynikających z RODO, DPA i właściwych przepisów.
  2. Klient odpowiada w szczególności za:
  3. legalność Danych Powierzonych;
  4. cele i sposoby przetwarzania;
  5. podstawy prawne;
  6. obowiązki informacyjne;
  7. realizację praw osób;
  8. treść i legalność poleceń;
  9. konfigurację Konta;
  10. działania Użytkowników Konta;
  11. wybór Integracji;
  12. terminy usuwania i archiwizacji danych;
  13. legalność dalszego powierzenia, gdy sam jest procesorem.
  14. VHN Sp. z o.o. odpowiada w szczególności za:
  15. przetwarzanie zgodnie z poleceniem;
  16. poufność Osób Upoważnionych;
  17. zastosowanie odpowiednich środków;
  18. zgodne z DPA korzystanie z Subprocesorów;
  19. pomoc wymaganą art. 28 RODO;
  20. informowanie o stwierdzonych Naruszeniach;
  21. usunięcie lub zwrot danych zgodnie z DPA.
  22. Strona, której działanie lub zaniechanie przyczyniło się do szkody, ponosi odpowiedzialność w zakresie wynikającym z RODO i innych właściwych przepisów.
  23. Postanowienia DPA nie ograniczają odpowiedzialności wobec osób, których dane dotyczą, ani uprawnień Organów Nadzorczych w sposób sprzeczny z RODO.
  24. W relacji pomiędzy stronami zastosowanie mają ograniczenia odpowiedzialności przewidziane w Umowie Głównej, w zakresie dopuszczalnym przez prawo.
  25. Ograniczenia z Umowy Głównej nie mają zastosowania w zakresie, w którym:
  26. odpowiedzialności nie można wyłączyć lub ograniczyć;
  27. szkoda została wyrządzona umyślnie;
  28. ograniczenie byłoby sprzeczne z art. 82 RODO albo innym bezwzględnie obowiązującym przepisem.
  29. Klient powinien niezwłocznie poinformować VHN Sp. z o.o. o okoliczności mogącej prowadzić do roszczenia dotyczącego Danych Powierzonych.
  30. Strony współpracują przy ustalaniu przyczyn, zakresu i odpowiedzialności za zdarzenie.

§ 24. Rozwiązanie i wygaśnięcie DPA

  1. DPA obowiązuje przez czas obowiązywania Umowy Głównej oraz do zakończenia przetwarzania Danych Powierzonych.
  2. Rozwiązanie Umowy Głównej powoduje rozwiązanie DPA bez potrzeby składania dodatkowego oświadczenia.
  3. Rozwiązanie DPA bez rozwiązania Umowy Głównej jest możliwe wyłącznie, jeżeli:
  4. dalsze świadczenie Usług nie wymaga powierzenia danych;
  5. Klient zaprzestaje korzystania z funkcji przetwarzających Dane Powierzone;
  6. strony uzgodnią inny zgodny z prawem model.
  7. VHN Sp. z o.o. może zawiesić przetwarzanie albo rozwiązać Umowę Główną, jeżeli:
  8. polecenia Klienta są bezprawne;
  9. Klient poważnie lub uporczywie narusza DPA;
  10. dalsze przetwarzanie naraża VHN Sp. z o.o. na naruszenie prawa;
  11. Klient nie usuwa naruszenia mimo wezwania;
  12. właściwy organ nakazuje zakończenie przetwarzania.
  13. Jeżeli naruszenie można usunąć, VHN Sp. z o.o. może przed rozwiązaniem wezwać Klienta do jego usunięcia w odpowiednim terminie.
  14. Obowiązki dotyczące:
  15. poufności;
  16. odpowiedzialności;
  17. audytów dotyczących okresu obowiązywania DPA;
  18. współpracy z organami;
  19. usuwania danych

pozostają w mocy w zakresie, w którym ze swej natury powinny obowiązywać po zakończeniu DPA.

§ 25. Zmiany DPA

  1. VHN Sp. z o.o. może zmienić DPA w przypadku:
  2. zmiany prawa;
  3. zmiany wytycznych Organu Nadzorczego lub EROD;
  4. zmiany funkcjonalności Serwisu;
  5. zmiany sposobu przetwarzania;
  6. zmiany środków bezpieczeństwa;
  7. zmiany Subprocesorów;
  8. zmiany mechanizmów transferu;
  9. konieczności doprecyzowania obowiązków stron.
  10. Zmiana nie może prowadzić do ograniczenia obowiązków VHN Sp. z o.o. poniżej poziomu wymaganego przez art. 28 RODO.
  11. O istotnej zmianie Klient zostanie poinformowany:
  12. pocztą elektroniczną;
  13. w Panelu Użytkownika;
  14. innym trwałym kanałem.
  15. Zmiany wymagane prawem albo bezpieczeństwem mogą wejść w życie natychmiast.
  16. W pozostałych przypadkach zmiana może wejść w życie po upływie terminu wskazanego w powiadomieniu.
  17. Jeżeli Klient nie akceptuje istotnej zmiany wpływającej na przetwarzanie Danych Powierzonych, może zgłosić sprzeciw albo zakończyć korzystanie z Usług przed jej wejściem w życie.
  18. Dalsze korzystanie z Usług po wejściu zmiany w życie oznacza akceptację zaktualizowanej DPA, w zakresie dopuszczalnym przez prawo.

§ 26. Kolejność stosowania dokumentów

  1. DPA stanowi integralną część Umowy Głównej.
  2. W przypadku sprzeczności dokumentów zastosowanie ma następująca kolejność:
  3. standardowe klauzule umowne dotyczące transferu, w zakresie ich zastosowania;
  4. DPA – w zakresie przetwarzania Danych Powierzonych;
  5. indywidualne pisemne uzgodnienia stron;
  6. Regulamin;
  7. Polityka prywatności;
  8. pozostała dokumentacja.
  9. Polityka prywatności ma zastosowanie przede wszystkim do sytuacji, w których VHN Sp. z o.o. działa jako administrator.
  10. Wykaz Subprocesorów uzupełnia DPA i określa aktualnych dostawców.
  11. Dokumentacja techniczna i informacje w Panelu mogą doprecyzowywać zakres poszczególnych operacji, ale nie mogą ograniczać obowiązków wynikających z DPA i RODO.

§ 27. Komunikacja

  1. W sprawach dotyczących DPA strony komunikują się:
  2. pod adresem kontakt@fakturbox.pl;
  3. za pośrednictwem Panelu Użytkownika;
  4. na adres e-mail przypisany do Konta;
  5. pisemnie na adres siedziby VHN Sp. z o.o.
  6. Klient powinien zapewnić aktualność:
  7. adresu Administratora Konta;
  8. adresu osoby odpowiedzialnej za ochronę danych;
  9. adresu do zgłaszania incydentów.
  10. Powiadomienie przesłane na aktualny adres wskazany w Koncie uznaje się za skutecznie przekazane.
  11. Klient odpowiada za brak otrzymania informacji wynikający z:
  12. nieaktualnego adresu;
  13. pełnej skrzynki;
  14. filtra antyspamowego;
  15. utraty dostępu do poczty;
  16. braku aktualizacji danych kontaktowych.

§ 28. Prawo właściwe i spory

  1. Do DPA stosuje się prawo polskie oraz bezpośrednio obowiązujące przepisy prawa Unii Europejskiej.
  2. Spory wynikające z DPA strony będą w pierwszej kolejności starały się rozwiązać polubownie.
  3. W przypadku Klientów niebędących Konsumentami ani Przedsiębiorcami na prawach konsumenta właściwy jest sąd właściwy miejscowo dla siedziby VHN Sp. z o.o.
  4. Postanowienie ust. 3 nie ogranicza właściwości Organów Nadzorczych ani sądów wynikającej bezpośrednio z RODO.

§ 29. Postanowienia końcowe

  1. DPA została sporządzona w języku polskim.
  2. Wersją wiążącą jest wersja polska.
  3. Jeżeli określone postanowienie okaże się nieważne albo bezskuteczne, pozostałe postanowienia pozostają w mocy.
  4. Nieważne postanowienie zostanie zastąpione rozwiązaniem, które w największym możliwym stopniu realizuje jego zgodny z prawem cel.
  5. Brak wykonania określonego uprawnienia przez stronę nie oznacza zrzeczenia się tego uprawnienia.
  6. VHN Sp. z o.o. przechowuje wersje DPA w zakresie niezbędnym do wykazania warunków przetwarzania obowiązujących w danym okresie.
  7. Klient powinien zapisać kopię DPA obowiązującą w chwili zawarcia lub zmiany Umowy.

ZAŁĄCZNIK NR 1

OPIS POWIERZONEGO PRZETWARZANIA

1. Przedmiot przetwarzania

Przetwarzanie danych osobowych w związku z udostępnianiem i utrzymywaniem programu Fakturbox, w szczególności funkcji fakturowania, magazynu, KSeF, OCR, AI, API, banków, Integracji, wysyłki Dokumentów i obsługi Biur Rachunkowych.

2. Czas trwania

Przez czas obowiązywania Umowy Głównej oraz przez okres retencji i rotacji kopii zapasowych, z uwzględnieniem poleceń Klienta i obowiązków prawnych.

3. Charakter przetwarzania

Przetwarzanie zautomatyzowane i częściowo zautomatyzowane, w tym:

  • zbieranie,
  • utrwalanie,
  • organizowanie,
  • przechowywanie,
  • odczytywanie,
  • modyfikowanie,
  • dopasowywanie,
  • przesyłanie,
  • udostępnianie wskazanym przez Klienta odbiorcom,
  • eksportowanie,
  • wykonywanie kopii,
  • ograniczanie,
  • usuwanie.

4. Cele

  1. Świadczenie Usług.
  2. Realizacja poleceń Klienta.
  3. Obsługa Dokumentów.
  4. Utrzymanie infrastruktury.
  5. Integracje i automatyzacje.
  6. Pomoc techniczna.
  7. Bezpieczeństwo i odtwarzanie danych.
  8. Realizacja praw osób i obowiązków administratora w zakresie pomocy wymaganej RODO.

5. Kategorie osób

  1. Użytkownicy Konta.
  2. Kontrahenci.
  3. Klienci Klienta.
  4. Nabywcy i sprzedawcy.
  5. Pracownicy i współpracownicy.
  6. Pełnomocnicy i członkowie organów.
  7. Klienci Biur Rachunkowych.
  8. Dostawcy i odbiorcy.
  9. Osoby wskazane w Dokumentach.
  10. Nadawcy i odbiorcy płatności.
  11. Inne osoby, których dane Klient zgodnie z prawem wprowadzi do Serwisu.

6. Kategorie danych

  1. Dane identyfikacyjne.
  2. Dane kontaktowe.
  3. Dane firmowe i rejestrowe.
  4. Dane transakcyjne.
  5. Dane dotyczące Faktur.
  6. Dane bankowe i numery rachunków.
  7. Dane podatkowe i księgowe.
  8. Dane magazynowe.
  9. Dane pracownicze wprowadzone przez Klienta.
  10. Dane techniczne.
  11. Dane przesyłane przez API.
  12. Dane w załącznikach, plikach OCR i zapytaniach AI.
  13. Inne dane wprowadzone przez Klienta.

7. Szczególne kategorie danych

Usługa nie jest projektowana do systematycznego przetwarzania szczególnych kategorii danych. Ich wprowadzenie jest dopuszczalne wyłącznie na odpowiedzialność Klienta, gdy posiada on właściwą podstawę prawną i ocenił adekwatność zabezpieczeń.

8. Obowiązki i prawa Klienta

Obowiązki i prawa Klienta określają RODO, Umowa Główna, DPA, Regulamin i dostępne funkcje Panelu Użytkownika.

ZAŁĄCZNIK NR 2

OGÓLNY OPIS ŚRODKÓW TECHNICZNYCH I ORGANIZACYJNYCH

VHN Sp. z o.o. może stosować, zależnie od aktualnej architektury i poziomu ryzyka, następujące kategorie zabezpieczeń:

1. Kontrola dostępu

  1. Indywidualne Konta.
  2. Role i uprawnienia.
  3. Zasada minimalnego dostępu.
  4. Procedura nadawania i cofania dostępów.
  5. Dodatkowa weryfikacja operacji wysokiego ryzyka.
  6. Możliwość stosowania uwierzytelniania wieloskładnikowego.

2. Ochrona transmisji

  1. Szyfrowanie połączeń.
  2. Protokoły HTTPS/TLS.
  3. Ochrona komunikacji z API i Integracjami.
  4. Ograniczenie niezaszyfrowanego przesyłania danych.

3. Ochrona danych i systemów

  1. Separacja logiczna danych Kont.
  2. Zarządzanie aktualizacjami.
  3. Ochrona sieciowa.
  4. Ochrona przed automatycznymi atakami.
  5. Limity zapytań.
  6. Rejestrowanie zdarzeń.
  7. Monitorowanie błędów i dostępności.
  8. Procedury zarządzania podatnościami.

4. Ciągłość działania

  1. Kopie zapasowe.
  2. Replikacja lub redundancja wybranych elementów.
  3. Procedury odtwarzania.
  4. Monitoring infrastruktury.
  5. Zarządzanie awariami.
  6. Planowanie pojemności i wydajności.

5. Organizacja bezpieczeństwa

  1. Upoważnienia do przetwarzania.
  2. Obowiązek poufności.
  3. Ograniczenie dostępu personelu.
  4. Procedury reagowania na incydenty.
  5. Przeglądy uprawnień.
  6. Zarządzanie dostawcami.
  7. Dokumentowanie wybranych zdarzeń i zmian.
  8. Szkolenie albo informowanie personelu o zasadach bezpieczeństwa.

6. Bezpieczny rozwój

  1. Kontrola zmian.
  2. Przeglądy techniczne.
  3. Testowanie przed wdrożeniem w zakresie odpowiednim do zmiany.
  4. Oddzielenie wybranych środowisk.
  5. Ograniczanie danych testowych.
  6. Reagowanie na zgłoszone podatności.

7. Usuwanie danych

  1. Usuwanie z aktywnego środowiska.
  2. Rotacja kopii zapasowych.
  3. Cofanie dostępów.
  4. Unieważnianie tokenów i kluczy.
  5. Ograniczenie przetwarzania danych wymagających dalszej retencji.

8. Dostawcy infrastruktury

  1. Korzystanie z profesjonalnych dostawców hostingu i zabezpieczeń.
  2. Weryfikacja warunków powierzenia.
  3. Zawieranie właściwych umów.
  4. Stosowanie mechanizmów transferu poza EOG, gdy są potrzebne.
  5. Prowadzenie wykazu Subprocesorów.

Szczegółowa konfiguracja zabezpieczeń może ulegać zmianie w związku z rozwojem technologii, zmianą ryzyka, infrastruktury albo wymagań prawnych, bez obniżenia ogólnego poziomu ochrony.

ZAŁĄCZNIK NR 3

OGÓLNA ZGODA NA SUBPROCESORÓW

  1. Klient udziela ogólnej zgody na korzystanie przez VHN Sp. z o.o. z Subprocesorów wymienionych w aktualnym wykazie „Subprocesorzy”.
  2. Wykaz Subprocesorów stanowi dokument powiązany z DPA i może być aktualizowany zgodnie z § 12 DPA.
  3. W dniu zawarcia DPA wykaz może obejmować w szczególności dostawców:
  4. hostingu i infrastruktury;
  5. ochrony sieciowej;
  6. poczty elektronicznej;
  7. płatności;
  8. OCR i AI;
  9. monitoringu;
  10. Integracji i komunikacji.
  11. Konkretne nazwy, cele i lokalizacje są publikowane w odrębnym wykazie, dzięki czemu ich aktualizacja nie wymaga zastąpienia całej DPA.

ZAŁĄCZNIK NR 4

DANE KONTAKTOWE DO SPRAW OCHRONY DANYCH

VHN Sp. z o.o. ul. Gliwicka 35 42-600 Tarnowskie Góry Polska

E-mail do spraw ochrony danych: [kontakt@fakturbox.pl](mailto:kontakt@fakturbox.pl)

E-mail do zgłaszania incydentów: [kontakt@fakturbox.pl](mailto:kontakt@fakturbox.pl)

Aktualne dane Klienta są ustalane na podstawie danych zapisanych w Koncie.