Umowa powierzenia przetwarzania danych osobowych: Toldo

Strony:

• Administrator: sprzedawca, który instaluje aplikację Toldo w swoim sklepie Shopify. Jego nazwa, adres i NIP pochodzą z „Danych sprzedawcy” w aplikacji w chwili akceptacji umowy.
• Podmiot przetwarzający: Do uzupełnienia: [Nazwa firmy], Do uzupełnienia: [Adres siedziby], Do uzupełnienia: [Numer rejestrowy i NIP].

Umowa stanowi część regulaminu aplikacji Toldo (https://toldo.io/en/legal/terms), dalej „Regulamin”. Pojęcia niezdefiniowane w umowie mają znaczenie nadane im w rozporządzeniu (UE) 2016/679 („RODO”).

1. Przedmiot i czas trwania

1.1 Podmiot przetwarzający przetwarza dane osobowe w imieniu Administratora w celu świadczenia usługi Toldo opisanej w Załączniku nr 1: wystawiania faktur na podstawie zamówień ze sklepu Shopify, wysyłania ich do KSeF i przechowywania związanych z nimi dokumentów.

1.2 Umowa obowiązuje tak długo, jak Podmiot przetwarzający przetwarza dane osobowe dla Administratora. Obowiązki dotyczące usunięcia danych obowiązują także po zakończeniu Regulaminu.

2. Polecenia Administratora

2.1 Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniami są:

• niniejsza umowa i Regulamin;
• ustawienia wybrane przez Administratora w aplikacji, na przykład zasady wystawiania, fakturowanie konsumentów i wybór środowiska KSeF;
• prośby zgłoszone pisemnie do pomocy technicznej.

Dotyczy to także przekazywania danych do państw trzecich, chyba że obowiązek przetwarzania wynika z prawa UE lub państwa członkowskiego. Wtedy Podmiot przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.

2.2 Podłączenie tokena KSeF i włączenie wystawiania jest poleceniem wysyłania faktur Administratora do KSeF w jego imieniu.

2.3 Podmiot przetwarzający niezwłocznie informuje Administratora, jeśli uzna, że polecenie narusza RODO lub inne przepisy o ochronie danych.

3. Poufność

Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności albo podlegają ustawowemu obowiązkowi poufności.

4. Bezpieczeństwo

Podmiot przetwarzający stosuje środki techniczne i organizacyjne opisane w Załączniku nr 2 (art. 32 RODO). Może je zmieniać, o ile nie obniża to ogólnego poziomu ochrony.

5. Dalsze podmioty przetwarzające

5.1 Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych w Załączniku nr 3.

5.2 O każdym nowym lub zastępującym podmiocie Podmiot przetwarzający informuje co najmniej Do uzupełnienia: [Liczba dni] dni wcześniej, w aplikacji i e-mailem na adres kontaktowy sklepu. W tym czasie Administrator może zgłosić uzasadniony sprzeciw z powodów dotyczących ochrony danych. Jeśli strony nie dojdą do porozumienia, Administrator może zakończyć korzystanie z usługi, odinstalowując aplikację, bez opłat za pozostały okres. Do uzupełnienia: [Zasada zwrotu]

5.3 Podmiot przetwarzający nakłada na dalsze podmioty obowiązki ochrony danych nie mniej rygorystyczne niż w tej umowie i odpowiada za nie wobec Administratora.

6. Odbiorcy, którzy nie są dalszymi podmiotami przetwarzającymi

6.1 Ministerstwo Finansów (KSeF). Faktury wysłane do KSeF otrzymuje polska administracja skarbowa na podstawie przepisów prawa. Działa ona jako odrębny administrator, a nie jako dalszy podmiot przetwarzający. Faktur przyjętych w produkcyjnym środowisku KSeF nie można usunąć ani zmienić; można je jedynie skorygować fakturą korygującą.

6.2 Narodowy Bank Polski. Podmiot przetwarzający pobiera z NBP publiczne kursy walut. Do NBP nie trafiają żadne dane osobowe.

6.3 Shopify. Shopify udostępnia Administratorowi sklep na podstawie odrębnej umowy między Administratorem a Shopify. Shopify nie jest dalszym podmiotem przetwarzającym Podmiotu przetwarzającego.

6.4 Środowisko testowe. Do środowiska testowego KSeF (tryb piaskownicy w aplikacji) Podmiot przetwarzający wysyła wyłącznie dane fikcyjne: przed wysyłką dane sprzedawcy i nabywcy są zastępowane fikcyjnymi, a wysyłane są tylko zamówienia testowe Shopify. Wymaga tego Ministerstwo Finansów, a środowisko testowe jest wspólne dla wielu integratorów. Podmiot przetwarzający nie korzysta ze środowiska przedprodukcyjnego (Demo).

7. Pomoc w realizacji praw osób, których dane dotyczą

7.1 Uwzględniając charakter przetwarzania, Podmiot przetwarzający pomaga Administratorowi odpowiadać na żądania osób, których dane dotyczą.

7.2 Obejmuje to realizację w ciągu 30 dni żądań przekazywanych przez Shopify (customers/data_request, customers/redact, shop/redact), zgodnie z polityką prywatności Toldo.

7.3 Jeśli przepisy podatkowe wymagają zachowania danych z faktury, Podmiot przetwarzający informuje Administratora, co zachował i dlaczego.

8. Pomoc w zakresie bezpieczeństwa, naruszeń i oceny skutków

8.1 Uwzględniając charakter przetwarzania i dostępne mu informacje, Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO: bezpieczeństwo, zgłaszanie naruszeń, ocena skutków dla ochrony danych i uprzednie konsultacje.

8.2 Naruszenia. O naruszeniu ochrony danych osobowych Podmiot przetwarzający zawiadamia Administratora bez zbędnej zwłoki, nie później niż w ciągu Do uzupełnienia: [Liczba godzin] godzin od jego stwierdzenia. W miarę dostępnej wiedzy zawiadomienie zawiera informacje, o których mowa w art. 33 ust. 3 RODO. Następnie Podmiot przetwarzający przekazuje aktualizacje i pomaga w ograniczeniu skutków naruszenia oraz w zawiadomieniu osób, których dane dotyczą.

9. Usunięcie i zwrot danych

9.1 Zwrot. Przed odinstalowaniem aplikacji Administrator może pobrać wszystkie faktury i dokumenty w plikach ZIP za poszczególne miesiące (XML, UPO, PDF). Faktury przyjęte przez KSeF pozostają też dostępne dla Administratora w KSeF.

9.2 Usunięcie. Po odinstalowaniu aplikacji i otrzymaniu żądania shop/redact od Shopify Podmiot przetwarzający usuwa dane osobowe Administratora w ciągu 30 dni. Kopie zapasowe są nadpisywane w ciągu Do uzupełnienia: [Okres przechowywania kopii]. Nie dotyczy to danych, których przechowywania wymaga prawo UE lub państwa członkowskiego.

9.3 Token KSeF Administratora jest usuwany natychmiast po jego odłączeniu albo odinstalowaniu aplikacji.

10. Informacje i audyty

10.1 Podmiot przetwarzający udostępnia Administratorowi wszystkie informacje niezbędne do wykazania przestrzegania art. 28 RODO.

10.2 Umożliwia audyty, w tym inspekcje, przeprowadzane przez Administratora lub wskazanego przez niego audytora, na następujących zasadach:

• nie częściej niż raz na 12 miesięcy, chyba że doszło do naruszenia albo żąda tego organ nadzorczy;
• po uprzedzeniu z wyprzedzeniem Do uzupełnienia: [Liczba dni] dni;
• w godzinach pracy;
• z zachowaniem poufności;
• na koszt Administratora.

10.3 Podmiot przetwarzający może w pierwszej kolejności przedstawić aktualne raporty z audytów, certyfikaty lub pisemne odpowiedzi.

11. Przekazywanie danych poza EOG

Podmiot przetwarzający przechowuje dane w Europejskim Obszarze Gospodarczym. Poza EOG przekazuje je wyłącznie na podstawie ważnego mechanizmu z rozdziału V RODO, na przykład standardowych klauzul umownych, i tylko do podmiotów wymienionych w Załączniku nr 3.

12. Odpowiedzialność, pierwszeństwo i prawo właściwe

12.1 Odpowiedzialność określa Regulamin, z zastrzeżeniem art. 82 RODO. Do uzupełnienia: [Limit odpowiedzialności]

12.2 Pierwszeństwo. W sprawach ochrony danych w razie sprzeczności ta umowa ma pierwszeństwo przed Regulaminem.

12.3 Prawo właściwe. Umowa podlega Do uzupełnienia: [Prawo właściwe]. Sądem właściwym jest Do uzupełnienia: [Sąd właściwy].

---

Załącznik nr 1: Opis przetwarzania

Załącznik nr 2: Środki techniczne i organizacyjne

1. Szyfrowanie. TLS dla całego ruchu. Baza danych i kopie zapasowe są szyfrowane. Tokeny KSeF i tokeny dostępu KSeF są szyfrowane algorytmem AES-256-GCM kluczem przechowywanym w Do uzupełnienia: [Miejsce przechowywania klucza], oddzielnie od bazy danych. Później widać wyłącznie 4 ostatnie znaki tokena.
2. Kontrola dostępu. Zasada minimalnych uprawnień. Dostęp do produkcji mają tylko Do uzupełnienia: [Kto ma dostęp do produkcji]. Konta mają unikalne, silne hasła i uwierzytelnianie dwuskładnikowe, a niepotrzebny dostęp jest niezwłocznie odbierany.
3. Rejestrowanie. Rejestrowany jest dostęp do danych produkcyjnych i czynności administracyjne. Logi są przechowywane przez Do uzupełnienia: [Okres przechowywania logów] i przeglądane Do uzupełnienia: [Częstotliwość przeglądu].
4. Rozdzielenie środowisk. Środowisko testowe jest oddzielone od produkcyjnego. Danych produkcyjnych nie kopiuje się do systemów testowych. Do środowiska testowego KSeF trafiają tylko dane fikcyjne, a środowisko Demo nie jest używane.
5. Minimalizacja danych. Przechowywane są tylko pola potrzebne do faktury, bez e-maili i telefonów nabywców. Logi i raporty błędów nie zawierają danych faktur ani nabywców.
6. Zapobieganie wyciekom. Zakaz eksportu danych produkcyjnych na urządzenia prywatne. Dostęp do bazy tylko przez Do uzupełnienia: [Sposób dostępu do bazy]. Masowy eksport jest możliwy wyłącznie przez eksport ZIP w aplikacji, i tylko danych własnego sklepu.
7. Kopie zapasowe. Kopie są szyfrowane, przechowywane w EOG przez Do uzupełnienia: [Okres przechowywania kopii], a ich odtwarzanie jest testowane Do uzupełnienia: [Częstotliwość testów].
8. Podatności. Aktualizacja zależności i poprawki bezpieczeństwa w ciągu Do uzupełnienia: [Czas na poprawki].
9. Reagowanie na incydenty. Pisemna procedura określa poziomy powagi, role, eskalację, zabezpieczanie dowodów i terminy zawiadomień (pkt 8.2).
10. Ludzie. Zobowiązania do poufności oraz szkolenia z ochrony danych i bezpieczeństwa dla osób z dostępem.
11. Usuwanie. Procedury usuwania danych uruchamiają się na podstawie webhooków prywatności Shopify i przy odinstalowaniu aplikacji (pkt 9).

Załącznik nr 3: Dalsze podmioty przetwarzające

Dalszymi podmiotami przetwarzającymi nie są (zob. pkt 6): Ministerstwo Finansów (KSeF), Narodowy Bank Polski i Shopify.