Regulamin powierzenia przetwarzania danych osobowych

REGULAMIN POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

(dalej: Regulamin PPDO)

 

[Definicje]

§ 1

Ilekroć w Regulaminie PPDO jest mowa o:

  1. Administratorze należy przez to rozumieć Użytkownika w rozumieniu § 1 ust. 2 lit. j) Regulaminu serwisu mKsiegowa.pl, który samodzielnie ustala cele i sposoby przetwarzania powierzonych danych osobowych;
  2. danych osobowych należy przez to rozumieć informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować;
  3. danych wrażliwych należy przez to rozumieć dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej tej osoby, a także dane osobowe dotyczące wyroków skazujących oraz naruszeń prawa lub powiązanych środków bezpieczeństwa, które to dane określone zostały w art. 9 i 10 RODO;
  4. infrastrukturze technicznej należy przez to rozumieć zespół współpracujących ze sobą urządzeń oraz oprogramowanie niezbędne do zapewnienia ciągłości działania usług świadczonych przez Podmiot przetwarzający;
  5. innym podmiocie przetwarzającym należy przez to rozumieć podmiot, któremu Podmiot przetwarzający podpowierza dane osobowe powierzone do przetwarzania na podstawie niniejszego Regulaminu PPDO;
  6. naruszeniu ochrony powierzonych danych osobowych należy przez to rozmieć:
    1. naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub
    2. nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych na podstawie niniejszego Regulaminu PPDO;
  7. panelu Użytkownika należy przez to rozumieć serwis Podmiotu przetwarzającego prowadzony przez niego na rzecz Administratora dostępny za pośrednictwem strony internetowej https://mksiegowa.pl pod unikalnym adresem URL;
  8. Podmiocie przetwarzającym należy przez to rozumieć Eurosaas sp. z o.o. z siedzibą w Brwinowie, przy ul. Otrębuskiej 42b, która w imieniu Administratora przetwarza powierzone mu dane osobowe;
  9. poleceniu Administratora należy przez to rozumieć oświadczenie Administratora kierowane do Podmiotu przetwarzającego zobowiązujące do przeprowadzenia określonego przetwarzania w zakresie powierzonych danych osobowych;
  10. powierzonych danych należy przez to rozumieć dane osobowe osób, dla których Użytkownik jest Administratorem, w rozumieniu art. 4 pkt 7 RODO i które zostały powierzone Podmiotowi przetwarzającemu do przetwarzania na zasadach określonych niniejszym Regulaminem PPDO;
  11. pracownikach Podmiotu przetwarzającego należy przez to rozumieć osoby fizyczne znajdujące się pod stałym i bezpośrednim kierownictwem Podmiotu przetwarzającego oraz świadczące na jego rzecz pracę na podstawie umowy o pracę, umowy cywilnoprawnej (w tym również osoby prowadzące działalność gospodarczą) lub na podstawie innego stosunku prawnego;
  12. przetwarzaniu powierzonych danych należy przez to rozumieć operację lub zestaw operacji wskazanych w § 2 ust. 3 Regulaminu PPDO wykonywanych na powierzonych danych oraz operacje wykonywane na odrębne polecenie Administratora;
  13. Regulaminie serwisu mKsiegowa.pl należy przez to rozumieć Regulamin serwisu mKsięgowa dostępny pod adresem: https://mksiegowa.pl/www/regulamin
  14. Regulaminie PPDO należy przez to rozumieć niniejszy Regulamin powierzenia przetwarzania danych osobowych;
  15. RODO należy przez to rozumieć Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/ 679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE;
  16. usługach systemu operacyjnego należy przez to rozumieć dodatkowe oprogramowanie - składowe komponenty systemu operacyjnego;
  17. Umowie o świadczenie usługi należy przez to rozumieć Umowę w rozumieniu § 1 ust. 2 lit. h) Regulaminu serwisu mKsiegowa.pl

 

[Postanowienia ogólne]

§2.

  1. Administrator powierza Podmiotowi przetwarzającemu do przetwarzania dane osobowe na zasadach i w zakresie określonym niniejszym Regulaminem PPDO.
  2. Powierzenie przetwarzania danych, o którym mowa w ust. 1 następuje wyłącznie w celu i w zakresie niezbędnym do należytego wykonania Umowy o świadczenie usługi zgodnie z postanowieniami Regulaminu serwisu mKsiegowa.pl
  3. Podmiot przetwarzający uprawniony jest do: utrwalania, organizowania, porządkowania, kopiowania, przechowywania, modyfikowania, pobierania, przeglądania, usuwania, niszczenia powierzonych mu danych osobowych oraz wszelkich innych operacji na danych osobowych w minimalnym zakresie niezbędnym do realizacji celu przetwarzania (wykonywanie usług na rzecz Administratora na podstawie Regulaminu serwisu mKsiegowa.pl).
  4. Podmiot przetwarzający powierza dalsze przetwarzanie powierzonych mu danych osobowych, o których mowa w ust. 5, innemu podmiotowi przetwarzającemu – IQ PL Sp. z o.o., z siedzibą w Gdańsku, ul.Geodetów 16, 80-298 Gdańsk, NIP: 5832736211 (dalej IQ) – w zakresie niezbędnym do świadczenia usług związanych z utrzymaniem technicznym systemu mKsiegowa.pl, zgodnie z zakresem usług faktycznie realizowanych przez ten podmiot. Dalsze powierzenie następuje na podstawie umowy zawartej pomiędzy Podmiotem przetwarzającym a IQ, nakładającej na IQ obowiązki ochrony danych osobowych co najmniej równoważne obowiązkom wynikającym z niniejszego Regulaminu PPDO, zgodnie z art. 28 ust. 4 RODO.
  5. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie zwykłych danych osobowych swoich kontrahentów, a także pracowników i współpracowników, zgodnie z ogólnymi zasadami sporządzania dokumentacji księgowej.
  6. Regulamin PPDO nie dotyczy danych osobowych, które Podmiot przetwarzający przetwarza jako Administrator. Dotyczy to w szczególności danych osób zakładających konto i korzystających z panelu Użytkownika, przetwarzanych w zakresie niezbędnym do:
    1. zawarcia i wykonania Umowy o świadczenie usługi;
    2. rozliczeń;
    3. obsługi zgłoszeń;
    4. zapewnienia bezpieczeństwa serwisu mKsiegowa.pl, w tym prowadzenia logów systemowych;
    5. komunikacji z Użytkownikiem.
  7. Poza przypadkami określonymi w poprzednim punkcie, Podmiot przetwarzający nie wykorzystuje powierzonych danych do własnych celów, w szczególności do celów marketingowych ani do trenowania modeli sztucznej inteligencji.

 

[Oświadczenia Stron]

§3.

Administrator oświadcza, iż:

  1. jest administratorem w rozumieniu art. 4 pkt 7 RODO w zakresie powierzanych do przetwarzania danych osobowych;
  2. dane osobowe zostały zebrane zgodnie z obowiązującymi przepisami prawa;
  3. w stosunku do powierzanych danych legitymuje się podstawą prawną do ich przetwarzania, a także do powierzenia przetwarzania w zakresie określonym niniejszym Regulaminem PPDO;
  4. zobowiązuje się nie powierzać Podmiotowi przetwarzającemu przetwarzania danych wrażliwych;
  5. powierzenie przetwarzania danych osobowych nie narusza praw i wolności osób, których dane dotyczą;
  6. zobowiązuje się na prośbę Podmiotu przetwarzającego przedstawić Podmiotowi przetwarzającemu własną analizę ryzyka co do powierzanych danych, która zostanie sporządzona zgodnie z art. 32 RODO, w sposób fachowy, rzetelny oraz na podstawie prawdziwych danych i informacji;
  7. jeżeli będzie zobowiązany na podstawie art. 35 RODO do przeprowadzenia oceny skutków dla ochrony danych w zakresie powierzanych danych, po jej wykonaniu niezwłocznie poinformuje Podmiot przetwarzający o jej wynikach;
  8. we własnym zakresie będzie wykonywał kopie zapasowe powierzonych danych;
  9. zobowiązuje się do skutecznego zabezpieczenia zarządzanych przez siebie: urządzeń, systemów operacyjnych oraz towarzyszących usług i aplikacji;
  10. zobowiązuje się współdziałać z Podmiotem przetwarzającym w wykonaniu postanowień Regulaminu PPDO, udzielać Podmiotowi przetwarzającemu wyjaśnień w razie wątpliwości co do legalności poleceń Administratora, jak też wywiązywać się terminowo ze swoich szczegółowych obowiązków;
  11. ponosi pełną odpowiedzialność za wszelkie czynności, których dokonuje on samodzielnie lub przy pomocy osób trzecich (z wyłączeniem Podmiotu przetwarzającego) w infrastrukturze technicznej Podmiotu przetwarzającego lub za jej pomocą, a które mogą powodować lub powodują naruszenie bezpieczeństwa danych osobowych lub przetwarzanie danych osobowych niezgodnie z postanowieniami Regulaminu PPDO lub przepisami o ochronie danych osobowych, w tym w szczególności niezgodnie z RODO;

Podmiot przetwarzający oświadcza, iż:

  1. zajmuje się zawodowo działalnością z zakresu świadczenia usług oprogramowania księgowości elektronicznej oraz zatrudnia i współpracuje z osobami legitymującymi się odpowiednią wiedzą, doświadczeniem i umiejętnościami z tego zakresu;
  2. dysponuje odpowiednimi środkami organizacyjnymi oraz technicznymi, dzięki którym przetwarzanie powierzonych mu danych osobowych odbywać się będzie w zgodzie z wymogami RODO, a prawa osób, których dane dotyczą będą należycie chronione;
  3. pracownikom za pomocą, których wykonuje Umowę o świadczenie usługi nadane zostały stosowne upoważnienia do przetwarzania danych osobowych oraz że osoby te zostały zapoznane z przepisami dotyczącymi ochrony danych osobowych, a także z odpowiedzialnością grożąca im za ich nieprzestrzeganie;
  4. osoby, o których mowa w punkcie 3) zobowiązały się do zachowania w tajemnicy wszelkich informacji związanych z realizacją postanowień niniejszego Regulaminu PPDO, w szczególności informacji o powierzonych danych osobowych;
  5. zobowiązuje się do nieprzenoszenia powierzonych danych osobowych poza granice Europejskiego Obszaru Gospodarczego;
  6. nie ponosi odpowiedzialności za wszelkie czynności, których Administrator dokonuje samodzielnie lub przy pomocy osób trzecich w infrastrukturze technicznej Podmiotu przetwarzającego lub za jej pomocą, a które mogą powodować lub powodują naruszenie bezpieczeństwa danych osobowych lub przetwarzanie danych niezgodnie z niniejszym Regulaminem PPDO lub przepisami o ochronie danych osobowych, w tym w szczególności niezgodnie z RODO.

 

[Polecenia Administratora]

§4.

  1. Udokumentowanymi poleceniami Administratora w rozumieniu art. 28 ust. 3 lit. a RODO są:
    1. postanowienia Regulaminu PPDO oraz Regulaminu serwisu mKsiegowa.pl, w zakresie, w jakim określają cel, zakres i sposób przetwarzania powierzonych danych;
    2. czynności dokonywane w panelu Użytkownika przy użyciu funkcjonalności serwisu mKsiegowa.pl przez Administratora lub osoby, którym Administrator nadał dostęp do panelu Użytkownika, w szczególności:
      • wprowadzanie, importowanie, edycja i usuwanie danych;
      • wystawianie dokumentów oraz ich przesyłanie, w tym do Krajowego Systemu e-Faktur oraz do kontrahentów Administratora drogą elektroniczną;
      • generowanie i wysyłanie deklaracji oraz plików JPK;
      • konfigurowanie integracji z systemami podmiotów trzecich;
      • nadawanie i odbieranie uprawnień dostępu;
      • eksport danych;
    3. inne polecenia złożone w trybie ust. 2.
  2. Polecenia inne niż wskazane w ust. 1 lit. a i b Administrator składa w formie dokumentowej, za pośrednictwem panelu Użytkownika lub na adres e-mail Podmiotu przetwarzającego wskazany w Regulaminie serwisu mKsiegowa.pl. Polecenie przesłane z adresu e-mail przypisanego do konta Administratora uważa się za złożone przez Administratora.
  3. Czynności, o których mowa w ust. 1 lit. b, dokonane przy użyciu danych dostępowych Administratora lub osób, którym nadał on dostęp do panelu Użytkownika, uważa się za czynności Administratora. Administrator odpowiada za nadawanie, zakres i odbieranie uprawnień tych osób.
  4. Podmiot przetwarzający nie weryfikuje celowości poszczególnych czynności, o których mowa w ust. 1 lit. b. Nie narusza to obowiązku niezwłocznego poinformowania Administratora, jeżeli zdaniem Podmiotu przetwarzającego wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych (art. 28 ust. 3 akapit drugi RODO).
  5. Jeżeli wykonanie polecenia Administratora mogłoby wiązać się z naruszeniem prawa, w szczególności RODO lub innych przepisów prawa ochrony danych osobowych, Podmiot przetwarzający ma prawo wstrzymać się z wykonaniem powyższego polecenia o czym niezwłocznie informuje Administratora uzasadniając przy tym swoje stanowisko.
  6. W przypadku, gdy Administrator pomimo sygnalizacji grożącego ryzyka naruszenia przepisów prawa wskutek wykonania przez Podmiot przetwarzający polecenia nadal podtrzymuje swoje polecenie, to Podmiot przetwarzający uprawniony jest do ograniczenia zakresu przetwarzania danych, których te ryzyka dotyczą.

 

[Dalsze powierzenia przetwarzania danych osobowych]

§5.

  1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na dalsze powierzanie danych osobowych objętych postanowieniami Regulaminu PPDO innym podmiotom przetwarzającym.
  2. Jednakże Podmiot przetwarzający przed każdym dalszym powierzeniem przetwarzania danych informuje Administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających, dając tym samym Administratorowi możliwość wyrażenia sprzeciwu wobec takich zmian.
  3. Brak wniesienia sprzeciwu w terminie 7 dni kalendarzowych od momentu poinformowania Administratora o zamiarze dalszego powierzenia równoznaczny jest z wyrażeniem zgody przez Administratora.
  4. Wniesienie sprzeciwu, o którym mowa w ust. 3 upoważnia Podmiot przetwarzający do rozwiązania Umowy o świadczenie usługi ze skutkiem natychmiastowym z przyczyn leżących po stronie Administratora.
  5. Podmiot przetwarzający zobowiązany jest nałożyć na inny podmiot przetwarzający, na rzecz, którego nastąpiło dalsze powierzenie te same obowiązki, które zostały określone Regulaminem PPDO, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie odpowiadało wymogom RODO.

 

[Informowanie Administratora]

§6.

  1. Podmiot przetwarzający stosownie do charakteru przetwarzania zobowiązuje się w miarę możliwości do pomocy Administratorowi w wywiązaniu się z obowiązku udzielania odpowiedzi na żądanie osoby, której dane dotyczą w zakresie realizacji praw tej osoby określonych w rozdziale III RODO.
  2. W przypadku wystąpienia naruszenia ochrony powierzonych danych osobowych takiego jak np. utrata, włamanie, kradzież lub nieuprawnione udostępnienie danych osobowych Podmiot przetwarzający zobowiązany jest:
    1. powiadomić o tym fakcie Administratora bez zbędnej zwłoki, nie później jednak niż w ciągu 72 h od wykrycia naruszenia;
    2. natychmiast podjąć wszelkie możliwe działania zaradcze, aby zapobiec i zminimalizować skutki naruszenia ochrony powierzonych danych osobowych;
    3. udokumentować okoliczności naruszenia ochrony powierzonych danych osobowych, w tym skutki oraz podjęte działania zaradcze;
    4. wspierać w kwestiach techniczno — informatycznych Administratora w procedurze zgłoszenia organowi nadzoru naruszenia, gdyby okazało się, że taki incydent może skutkować naruszeniem praw i wolności osób fizycznych.
  3. Jeżeli w trakcie realizacji Umowy o świadczenie usługi, Podmiot przetwarzający poweźmie informację o postępowaniu Administratora mogącym skutkować w zakresie powierzonych danych naruszeniem przepisów RODO lub innych przepisów o ochronie danych osobowych może on wezwać Administratora do złożenia wyjaśnień jak również wezwać do przywrócenia stanu zgodnego z prawem oraz z niniejszym Regulaminem PPDO wyznaczając mu do tego odpowiedni termin.
  4. Do czasu przywrócenia stanu zgodnego z prawem Podmiot przetwarzający uprawniony jest do wstrzymania się z realizacją postanowień Regulaminu serwisu mKsięgowa.pl, Regulaminu PPDO oraz Umowy o świadczenie usługi, tak w całości, jak i w poszczególnych ich częściach, co pozostaje bez wpływu na obowiązek uiszczenia przez Administratora opłaty abonamentowej za ten okres.
  5. W przypadku bezskutecznego upływu terminu, o którym mowa w ust. 3 Podmiot przetwarzający uprawniony jest do rozwiązania Umowy o świadczenie usługi ze skutkiem natychmiastowym z przyczyn leżących po stronie Administratora.

 

[Udostępnianie danych osobowych]

§7.

  1. W celu wykonania postanowień Regulaminu PPDO Podmiot przetwarzający może korzystać z pomocy pracowników uprzednio upoważnionych do przetwarzania danych osobowych oraz zobowiązanych do zachowania w tajemnicy informacji uzyskanych wskutek wykonania postanowień Regulaminu PPDO. Przetwarzanie, w szczególności udostępnienie powierzonych danych osobowych osobom, o których mowa w zdaniu poprzednim nie stanowi naruszenia postanowień Regulaminu PPDO.
  2. Podmiot przetwarzający zobowiązany jest niezwłocznie powiadomić Administratora o zgłoszonym przez osobę trzecią żądaniu ingerującym w proces przetwarzania powierzonych danych osobowych, w szczególności dotyczy to żądania skopiowania, zabezpieczenia lub udostępnienia tych danych osobowych. W takim przypadku Podmiot przetwarzający zobowiązany jest niezwłocznie powiadomić Administratora o zgłoszonym żądaniu, chyba że co innego wynika z przepisów prawa.
  3. W przypadku, gdy przepis prawa zobowiązuje Podmiot przetwarzający do wykonania określonej operacji odnośnie powierzonych danych osobowych, w szczególności dotyczy to prawnego obowiązku udostępnienia danych osobowych podmiotom, o których mowa w ust. 2, wykonanie powyższego obowiązku nie stanowi naruszenia postanowień Regulaminu PPDO.

 

[Nadzór]

§ 8.

  1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO, w zakresie, w jakim dotyczą one przetwarzania danych osobowych powierzonych na podstawie niniejszego Regulaminu PPDO. Informacje te mogą być przekazywane w szczególności w formie odpowiedzi na pytania, opisów stosowanych procedur, dokumentacji dotyczącej bezpieczeństwa, wyników audytów lub certyfikatów, jeżeli są dostępne i adekwatne do zakresu żądania.
  2. Podmiot przetwarzający nie jest zobowiązany do sporządzania na rzecz Administratora indywidualnej dokumentacji z zakresu ochrony danych osobowych, przeprowadzania na jego rzecz odrębnych analiz ryzyka ani wykonywania czynności doradczych, które wykraczają poza obowiązki Podmiotu przetwarzającego wynikające z RODO i niniejszego Regulaminu PPDO. Nie wyłącza to obowiązku udostępnienia informacji i udzielenia pomocy wymaganych przepisami prawa.
  3. Administrator ma prawo do przeprowadzania audytów, w tym inspekcji, dotyczących przetwarzania powierzonych danych osobowych, samodzielnie lub za pośrednictwem upoważnionego audytora. Audyt powinien być ograniczony do zakresu niezbędnego do zweryfikowania zgodności przetwarzania powierzonych danych osobowych z RODO oraz niniejszym Regulaminem PPDO.
  4. Przed przeprowadzeniem audytu Administrator w pierwszej kolejności zwraca się do Podmiotu przetwarzającego o udostępnienie informacji lub dokumentacji pozwalających zweryfikować kwestie objęte planowanym audytem. Jeżeli udostępnione informacje okażą się niewystarczające do przeprowadzenia takiej weryfikacji, Administrator może przeprowadzić audyt w szerszym zakresie, w tym inspekcję w miejscu przetwarzania danych. Postanowienie to nie ogranicza prawa Administratora do przeprowadzenia audytu, jeżeli jest on niezbędny do wykazania zgodności przetwarzania z RODO.
  5. Administrator zawiadamia Podmiot przetwarzający o planowanym audycie z co najmniej 10-dniowym wyprzedzeniem, wskazując jego cel, zakres, proponowany termin oraz osoby uczestniczące w audycie. Strony uzgadniają termin i sposób przeprowadzenia audytu z uwzględnieniem uzasadnionych potrzeb organizacyjnych, bezpieczeństwa systemów informatycznych oraz ciągłości świadczenia usług przez Podmiot przetwarzający. Wymóg wcześniejszego zawiadomienia może zostać skrócony lub pominięty, jeżeli jest to uzasadnione podejrzeniem naruszenia ochrony danych osobowych, stwierdzonym naruszeniem przepisów o ochronie danych osobowych lub żądaniem właściwego organu nadzorczego. Preferowanym sposobem przeprowadzenia audytu jest audyt zdalny. Jeżeli Administrator będzie oczekiwał audytu na miejscu, harmonogram musi uwzględniać ograniczenia w ramach otwartości biura Podmiotu przetwarzającego, jak i limit czasu nie przekraczający 1 dnia roboczego.
  6. Z zastrzeżeniem przypadków uzasadniających częstsze kontrole, audyty przeprowadzane z inicjatywy Administratora nie powinny odbywać się częściej niż raz w roku kalendarzowym. Ograniczenie częstotliwości nie ma zastosowania, gdy dodatkowy audyt jest uzasadniony stwierdzonym lub podejrzewanym naruszeniem ochrony danych osobowych, istotną zmianą okoliczności dotyczących przetwarzania danych, uzasadnionymi wątpliwościami co do zgodności przetwarzania z RODO albo żądaniem właściwego organu nadzorczego. Postanowienie to nie wyłącza uprawnień Administratora wynikających z bezwzględnie obowiązujących przepisów prawa.
  7. Administrator może przeprowadzić audyt samodzielnie albo za pośrednictwem upoważnionego pracownika lub zewnętrznego audytora posiadającego kwalifikacje odpowiednie do zakresu audytu. Administrator odpowiada za działania i zaniechania osób działających w jego imieniu w zakresie wynikającym z obowiązujących przepisów prawa.
  8. Administrator zapewnia, że osoby uczestniczące w audycie zostaną poinformowane o zasadach bezpieczeństwa i poufności obowiązujących u Podmiotu przetwarzającego oraz będą ich przestrzegać. Podmiot przetwarzający może wymagać od tych osób podpisania zobowiązania do zachowania poufności, o ile wymóg ten jest proporcjonalny i nie utrudnia nadmiernie wykonywania praw Administratora wynikających z RODO.
  9. Audytorem nie może być osoba, której udział w audycie powodowałby rzeczywisty konflikt interesów, nieuprawnione ujawnienie tajemnicy przedsiębiorstwa Podmiotu przetwarzającego lub istotne zagrożenie dla bezpieczeństwa przetwarzanych danych. Sam fakt prowadzenia przez audytora działalności konkurencyjnej wobec Podmiotu przetwarzającego nie stanowi wystarczającej podstawy do odmowy jego udziału w audycie, jeżeli ryzyko związane z takim udziałem może zostać ograniczone za pomocą odpowiednich zobowiązań do zachowania poufności i środków bezpieczeństwa. Osoby, które aktualnie uczestniczą w świadczeniu usług na rzecz Podmiotu przetwarzającego lub mają dostęp do jego informacji poufnych z tytułu zatrudnienia bądź współpracy, mogą uczestniczyć w audycie wyłącznie wtedy, gdy nie powoduje to konfliktu interesów ani zagrożenia dla poufności i bezpieczeństwa danych.
  10. Przez działalność konkurencyjną rozumie się działalność gospodarczą polegającą na oferowaniu produktów lub usług konkurencyjnych wobec produktów lub usług Podmiotu przetwarzającego. Samo prowadzenie takiej działalności przez audytora nie wyłącza jego udziału w audycie. Podmiot przetwarzający może jednak zastosować proporcjonalne środki ochrony swoich uzasadnionych interesów, w szczególności ograniczyć dostęp do informacji niezwiązanych z przedmiotem audytu, informacji o innych klientach, kodu źródłowego, szczegółów zabezpieczeń technicznych oraz innych informacji stanowiących tajemnicę przedsiębiorstwa, o ile ograniczenia te nie uniemożliwiają skutecznej weryfikacji zgodności przetwarzania powierzonych danych osobowych z RODO. 
  11. Audyt przeprowadza się w zakresie niezbędnym do realizacji jego celu. Podmiot przetwarzający zapewnia dostęp do tych pomieszczeń, informacji, dokumentów i systemów, które są niezbędne do zweryfikowania prawidłowości przetwarzania powierzonych danych osobowych, z uwzględnieniem technicznych i organizacyjnych możliwości świadczenia usługi. Audyt nie może prowadzić do nieuprawnionego dostępu do danych osobowych innych klientów, zakłócenia ciągłości świadczenia usług ani nieuzasadnionego ujawnienia informacji poufnych lub tajemnic przedsiębiorstwa. Jeżeli określona metoda audytu stwarza takie ryzyko, Strony uzgodnią rozwiązanie alternatywne, które umożliwi skuteczną weryfikację zgodności przetwarzania z RODO.
  12. Administrator oraz osoby działające w jego imieniu są zobowiązani do zachowania w poufności informacji uzyskanych podczas audytu, w szczególności informacji stanowiących tajemnicę przedsiębiorstwa Podmiotu przetwarzającego lub jego klientów, informacji o zabezpieczeniach systemów informatycznych oraz danych osobowych, do których uzyskali dostęp. Informacje te mogą być wykorzystywane wyłącznie w celu przeprowadzenia audytu, wypełnienia obowiązków prawnych lub dochodzenia roszczeń związanych z ochroną danych osobowych. Obowiązek poufności nie ogranicza prawa do przekazania informacji właściwemu organowi nadzorczemu, sądowi lub innemu uprawnionemu organowi, jeżeli wynika to z przepisów prawa. Administrator odpowiada za naruszenia obowiązku poufności przez osoby działające w jego imieniu w zakresie wynikającym z obowiązujących przepisów prawa.
  13. Administrator ponosi koszty audytu, w tym wynagrodzenie zewnętrznego audytora. Jeżeli przeprowadzenie audytu wymaga od Podmiotu przetwarzającego poniesienia dodatkowych, uzasadnionych i udokumentowanych kosztów lub wykonania czynności wykraczających poza standardową współpracę w zakresie udostępniania informacji, Strony uzgodnią z wyprzedzeniem zakres tych czynności i zasady pokrycia kosztów. Koszty obciążające Administratora muszą być proporcjonalne do rzeczywistego nakładu pracy i nie mogą w praktyce uniemożliwiać ani nadmiernie utrudniać przeprowadzenia audytu. Nie pobiera się opłaty za sam fakt przeprowadzenia audytu ani opłaty ryczałtowej, która nie odpowiada rzeczywistym, uzasadnionym kosztom. Postanowienie to nie uzależnia wykonywania praw Administratora wynikających z RODO od uprzedniego uiszczenia opłaty. 
  14. Z przeprowadzonego audytu sporządza się protokół zawierający co najmniej jego zakres, datę, opis przeprowadzonych czynności, ustalenia oraz ewentualne zalecenia. Administrator przekazuje Podmiotowi przetwarzającemu odpowiednią część protokołu dotyczącą przetwarzania powierzonych danych osobowych, w zakresie niezbędnym do umożliwienia wyjaśnienia ustaleń i podjęcia ewentualnych działań naprawczych. Protokół nie powinien zawierać informacji poufnych ani danych innych klientów Podmiotu przetwarzającego, które nie są niezbędne do realizacji celu audytu.
  15. Administrator ponosi odpowiedzialność za szkody wyrządzone podczas audytu z przyczyn leżących po stronie Administratora lub osób działających w jego imieniu, na zasadach wynikających z obowiązujących przepisów prawa. Odpowiedzialność ta nie obejmuje szkód, za które zgodnie z prawem odpowiada Podmiot przetwarzający, ani nie ogranicza obowiązków żadnej ze Stron wynikających bezpośrednio z RODO lub innych bezwzględnie obowiązujących przepisów prawa.

 

[Okres obowiązywania]

§ 9.

  1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych na czas trwania Umowy o świadczenie usługi, chyba że przepisy prawa stanowią inaczej.
  2. Z dniem rozwiązania lub wygaśnięcia Umowy o świadczenie usługi, postanowienia Regulaminu PPDO w zakresie powierzenia i ochrony danych osobowych przestają obowiązywać, natomiast Podmiot przetwarzający zobowiązany jest do zaprzestania przetwarzania powierzonych mu danych osobowych, chyba że Strony postanowią inaczej. Obowiązywanie postanowień regulaminu może być przedłużone, jeżeli Podmiot przetwarzający dane przechowuje dane Administratora zgodnie z par 10, ust. 2 na czas po rozwiązaniu lub wygaśnięciu Umowy

 

[Usunięcie danych osobowych]

§ 10.

  1. Po rozwiązaniu lub wygaśnięciu Umowy o świadczenie usługi Podmiot przetwarzający, zależnie od polecenia Administratora, usuwa albo zwraca Administratorowi powierzone dane oraz usuwa ich istniejące kopie, z zastrzeżeniem ust. 2–5 oraz przypadków, w których prawo Unii Europejskiej lub prawo polskie nakazuje Podmiotowi przetwarzającemu dalsze przechowywanie danych.
  2. Akceptując Regulamin PPDO, Administrator poleca Podmiotowi przetwarzającemu przechowywanie powierzonych danych w archiwum przez okres 5 lat od dnia następującego po dniu wygaśnięcia abonamentu (dalej: Okres archiwizacji), na zasadach określonych w § 12 Regulaminu serwisu mKsiegowa.pl. W Okresie archiwizacji Podmiot przetwarzający przechowuje dane wyłącznie w celu umożliwienia Administratorowi dostępu do nich i ich eksportu. Nie wykonuje na nich innych operacji, z wyjątkiem niezbędnych do zapewnienia ich bezpieczeństwa.
  3. Administrator może w każdym czasie, w tym w Okresie archiwizacji, polecić usunięcie danych za pośrednictwem panelu Użytkownika lub w formie dokumentowej z adresu e-mail przypisanego do konta. Podmiot przetwarzający usuwa dane w terminie 30 dni od otrzymania polecenia. Do czasu usunięcia kopie zapasowe są zabezpieczone i wykorzystywane wyłącznie do odtwarzania danych po awarii.
  4. Po upływie Okresu archiwizacji Podmiot przetwarzający usuwa dane bez odrębnego polecenia, w terminach określonych w ust. 3. Co najmniej 30 dni przed usunięciem Podmiot przetwarzający informuje o nim Administratora na adres e-mail przypisany do konta. Niedoręczenie informacji z przyczyn leżących po stronie Administratora, w szczególności z powodu nieaktualnego adresu e-mail, nie wstrzymuje usunięcia.
  5. Do czasu usunięcia danych postanowienia Regulaminu PPDO stosuje się odpowiednio, niezależnie od rozwiązania lub wygaśnięcia Umowy o świadczenie usługi.
  6. Zwrot danych następuje przez umożliwienie Administratorowi ich eksportu za pośrednictwem panelu Użytkownika. Na życzenie Administratora Strony sporządzają protokół zdawczo-odbiorczy.
  7. Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie danych oświadczeniem przesłanym na adres e-mail przypisany do konta.

 

[Odpowiedzialność]

§ 11.

  1. W zakresie szkód powstałych w związku z niewykonaniem lub nienależytym wykonaniem przez Strony postanowień Regulaminu PPDO, postanowienia niniejszego paragrafu mają pierwszeństwo przed zapisami dotyczącymi odpowiedzialności cywilnej określonymi w Regulaminie.
  2.   Podmiot przetwarzający ponosi wobec Administratora odpowiedzialność za niewykonanie lub nienależyte wykonanie obowiązków wynikających z niniejszego Regulaminu PPDO na zasadach określonych w obowiązujących przepisach prawa, z uwzględnieniem postanowień niniejszego paragrafu.
    1. Podmiot przetwarzający nie ponosi odpowiedzialności za niewykonanie lub nienależyte wykonanie obowiązków w zakresie, w jakim wynika ono z okoliczności, za które Podmiot przetwarzający nie ponosi odpowiedzialności, w szczególności z:
      1. niezgodnych z prawem lub Regulaminem PPDO poleceń Administratora, jeżeli Podmiot przetwarzający nie miał obowiązku ich wykonania lub zasadnie odmówił ich wykonania;
      2. działań lub zaniechań Administratora, osób działających z jego upoważnienia albo innych osób, za które Podmiot przetwarzający nie odpowiada na podstawie obowiązujących przepisów prawa;
      3. nieprawidłowości w danych lub informacjach przekazanych przez Administratora, jeżeli miały one wpływ na powstanie szkody;
      4. okoliczności pozostających poza kontrolą Podmiotu przetwarzającego, których skutkom nie można było zapobiec pomimo dochowania wymaganej prawem należytej staranności.
    2. Z zastrzeżeniem ust. 3, łączna odpowiedzialność Podmiotu przetwarzającego wobec Administratora za szkody wynikające z jednego zdarzenia lub serii powiązanych zdarzeń związanych z wykonywaniem niniejszego Regulaminu PPDO jest ograniczona do kwoty całkowitej odpowiadającej dwunastokrotności miesięcznej opłaty abonamentowej netto należnej za usługę świadczoną Administratorowi, obowiązującej w dniu wystąpienia zdarzenia powodującego szkodę.
    3. Ograniczenia odpowiedzialności określone w ust. 2a nie mają zastosowania w zakresie, w jakim ich zastosowanie byłoby niedopuszczalne na podstawie bezwzględnie obowiązujących przepisów prawa, w szczególności w odniesieniu do odpowiedzialności za szkodę wyrządzoną umyślnie. Postanowienia niniejszego paragrafu nie ograniczają praw osób, których dane dotyczą, ani obowiązków lub odpowiedzialności Stron wynikających bezpośrednio z RODO lub innych bezwzględnie obowiązujących przepisów prawa.
    4. Odpowiedzialność Podmiotu przetwarzającego wobec Administratora za działania lub zaniechania innego podmiotu przetwarzającego, któremu powierzono dane do dalszego przetwarzania, podlega zasadom określonym w niniejszym ustępie oraz w obowiązujących przepisach prawa, w tym art. 28 ust. 4 RODO.
    5. Z zastrzeżeniem ust. 4, odpowiedzialność Podmiotu przetwarzającego wobec Administratora z jakiegokolwiek tytułu, w granicach dopuszczalnych przez prawo, obejmuje wyłącznie straty, które Administrator poniósł (szkoda rzeczywista). Nie obejmuje korzyści, które Administrator mógłby osiągnąć, gdyby mu szkody nie wyrządzono (utracone korzyści). Dotyczy to w szczególności utraconego zysku lub przychodu, utraconych kontraktów, zamówień lub klientów. Strony zgodnie postanawiają, że niniejszy ustęp stanowi postanowienie umowy w rozumieniu art. 361 § 2 Kodeksu cywilnego.
  3. Podmiot przetwarzający nie odpowiada za szkody Administratora lub osoby trzeciej powstałe na skutek:
    1. uzasadnionej odmowy wykonania polecenia Administratora, jeżeli wykonanie tego polecenia mogłoby spowodować naruszenie prawa;
    2. uzasadnionego wstrzymania się z realizacją postanowień Regulaminu PPDO, które nastąpiło w trybie § 4 ust. 5 i ust. 6 Regulaminu PPDO;
    3. wykonania obowiązku wynikającego z przepisów prawa;
    4. rozwiązania przez Podmiot przetwarzający Umowy o świadczenie usługi w trybie natychmiastowym w przypadkach określonych wprost w niniejszym Regulaminie PPDO i z przyczyn leżących po stronie Administratora;
    5. Podmiot przetwarzający nie odpowiada za szkody Administratora lub osoby trzeciej powstałe z winy Administratora, w szczególności powstałe wskutek:
      1. naruszenia postanowień RODO;
      2. przetwarzania danych osobowych niezgodnie z prawem;
      3. udostępnianie konta osobom trzecim;
      4. niewykonania lub nienależytego wykonania postanowień Regulaminu PPDO lub Regulaminu serwisu mKsiegowa.pl;
      5. powierzenia przetwarzania danych osobowych, co do których Administrator nie legitymuje się podstawą prawną do przetwarzania;
      6. przetwarzania danych osobowych w sposób sprzeczny z celami, dla których te dane pozyskał;
      7. wykonania sprzecznego z prawem polecenia Administratora, gdy ten choćby nieumyślnie wprowadził Podmiot przetwarzający w błąd co do okoliczności determinujących bezprawność wykonania takiego polecenia;
      8. przechowywania, dostarczania i wymiany treści, informacji, danych niezgodnych z prawem, postanowieniami Regulaminu PPDO lub umową oświadczenie usługi;
    6. korzystania z infrastruktury technicznej w sposób niezgodny z jej przeznaczeniem oraz z Regulaminem serwisu mKsiegowa.pl;
    7. niezastosowania zalecanych przez Podmiot przetwarzający zabezpieczeń;
  4. Podmiot przetwarzający nie odpowiada za prawidłowe zabezpieczenie danych osobowych w tej części systemu teleinformatycznego, która jest zarządzana przez Administratora.
  5. Podmiot przetwarzający jest w szczególności wyłączony z odpowiedzialności za zabezpieczenie danych osobowych w warstwie usług systemu operacyjnego oraz w warstwie aplikacji instalowanych na urządzeniach końcowych przez Administratora.
  6. Jeżeli Podmiot przetwarzający lub jego klienci poniosą szkodę wskutek niewykonania lub nienależytego wykonania postanowień niniejszego Regulaminu PPDO przez Administratora, w szczególności wskutek zastosowania nienależytych zabezpieczeń lub niewłaściwego korzystania, konfiguracji, aktualizacji lub zabezpieczenia systemu operacyjnego/usług systemu operacyjnego aplikacji Administrator zobowiązany jest do jej naprawienia w całości.
  7. Jeżeli wskutek działania lub zaniechania Administratora stanowiącego naruszenie postanowień Regulaminu PPDO, Regulaminu serwisu mKsięgowa.pl lub przepisów obowiązującego prawa, w szczególności wskutek wykonania polecenia Administratora, Prezes Urzędu Ochrony Danych Osobowych nałoży na Podmiot przetwarzający lub inny podmiot przetwarzający karę pieniężną lub inną sankcję Administrator zobowiązany będzie do naprawienia wobec Podmiotu przetwarzającego  całości wynikłej stąd szkody, obejmującej w szczególności zwrot uregulowanej przez Podmiot przetwarzający kary pieniężnej.
  8. Jeżeli wskutek działania lub zaniechania Administratora stanowiącego naruszenie postanowień Regulaminu PPDO, Regulaminu serwisu mKsięgowa.pl lub przepisów obowiązującego prawa, w szczególności wskutek wykonania polecenia Administratora, osoba, której dane osobowe są przetwarzane na podstawie Regulaminu PPDO zgłosi do Podmiotu przetwarzającego roszczenia odszkodowawcze, Administrator zobowiązany jest do:
    1. zwolnienia Podmiotu przetwarzającego z długu poprzez wstąpienie w jego miejsce i zaspokojenie roszczeń wobec osoby je zgłaszającej, oraz
    2. naprawienia wobec Podmiotu przetwarzającego wynikłej stąd szkody w całości, obejmującej w szczególności zwrot uregulowanej przez Podmiot przetwarzający kwoty odszkodowania.

 

[Postanowienia końcowe]

§ 12.

  1. Jeżeli Regulamin PPDO nie stanowi inaczej, w razie sprzeczności pomiędzy postanowieniami Regulaminu PPDO a Regulaminem serwisu mKsięgowa.pl, pierwszeństwo mają postanowienia Regulaminu PPDO.
  2. Niniejszy Regulamin PPDO, w brzmieniu uwzględniającym zmiany wprowadzone w 2026 r., wchodzi w życie z dniem 1 listopada 2026 r. i od tego dnia zastępuje poprzednią wersję Regulaminu PPDO, z zastrzeżeniem zasad skutecznego wprowadzenia zmian do umów zawartych przed tą datą oraz bezwzględnie obowiązujących przepisów prawa.
  3. W razie konieczności Podmiot przetwarzający może zmienić postanowienia niniejszego Regulaminu PPDO. W takim przypadku §13 Regulaminu serwisu mKsiegowa.pl stosuje się odpowiednio.
  4. Niniejszy Regulamin PPDO może ulec zmianie gdy konieczność taka powstanie w wyniku zmiany powszechnie obowiązujących przepisów prawa.
  5. Sądem właściwym dla rozstrzygania sporów wynikłych z Regulaminu PPDO jest sąd właściwy dla każdorazowej siedziby Podmiotu przetwarzającego.
  6. Regulamin PPDO obowiązuje od chwili zaakceptowania jego postanowień przez Administratora.
  7. W sprawach nieunormowanych Regulaminem PPDO zastosowanie znajduje RODO, krajowe przepisy o ochronie danych osobowych, Kodeks cywilny i inne odpowiednie przepisy.

 

 

Wypróbuj nas
mKsiegowa.pl