Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

Umowa zawierana jest między Użytkownikiem będącym właścicielem Konta (dalej: „Administrator”) a IRUKA DIGITAL spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie (ul. Anieli Krzywoń 2/155, 01-391 Warszawa), NIP 5223230254, REGON 522516722, wpisana do rejestru przedsiębiorców KRS pod nr 0000980870 przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, Wydział Gospodarczy KRS, kapitał zakładowy 5 000,00 zł (dalej: „Podmiot przetwarzający”).

Umowa zostaje zawarta z chwilą akceptacji Regulaminu i obowiązuje przez czas prowadzenia Konta. Na żądanie Administratora Podmiot przetwarzający przekaże jej treść podpisaną w formie elektronicznej.

§ 2. Przedmiot, charakter i cel przetwarzania

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych zawartych w Danych źródłowych wyłącznie w celu wygenerowania Dokumentów i przechowywania ich na Koncie. Przetwarzanie obejmuje: przechowywanie, odczyt, analizę automatyczną, utrwalanie w Dokumentach i usuwanie.

§ 3. Rodzaj danych i kategorie osób

• kategorie osób: członkowie organów jednostki, wspólnicy i akcjonariusze, osoby sporządzające sprawozdanie i prowadzące księgi, pełnomocnicy, kontrahenci wymienieni w Danych źródłowych,
• rodzaj danych: imię i nazwisko, funkcja, numery identyfikacyjne (PESEL, NIP), adres, liczba i wartość udziałów, inne dane zawarte w przesłanych plikach.
• Powierzenie nie obejmuje szczególnych kategorii danych (art. 9 RODO); Administrator nie przesyła takich danych.

§ 4. Obowiązki Podmiotu przetwarzającego

• przetwarza dane wyłącznie na udokumentowane polecenie Administratora — poleceniem jest w szczególności przesłanie pliku i uruchomienie generowania,
• zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy,
• stosuje środki techniczne i organizacyjne z art. 32 RODO: szyfrowanie transmisji i danych w spoczynku, izolację danych między Kontami, kontrolę dostępu opartą na rolach, dziennik zdarzeń, kopie zapasowe,
• pomaga Administratorowi w realizacji praw osób, których dane dotyczą, oraz obowiązków z art. 32–36 RODO,
• zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia,
• udostępnia informacje niezbędne do wykazania spełnienia obowiązków i umożliwia audyt, zapowiedziany z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku, chyba że doszło do naruszenia.

§ 5. Dalsze powierzenie

Administrator udziela ogólnej zgody na dalsze powierzenie przetwarzania podmiotom wymienionym w Polityce prywatności (Cloudflare, Inc. — infrastruktura; Anthropic, PBC — kontrola poprawności odczytu danych). O zamiarze zmiany lub dodania podmiotu Podmiot przetwarzający informuje e-mailem z 14-dniowym wyprzedzeniem; Administrator może w tym czasie wnieść sprzeciw i rozwiązać umowę ze skutkiem natychmiastowym. Podmiot przetwarzający nakłada na dalszych przetwarzających te same obowiązki i odpowiada za ich wykonanie.

Przekazanie danych poza EOG odbywa się wyłącznie na podstawie mechanizmów z rozdziału V RODO.

Odrębnym administratorem, a nie podprocesorem, jest Stripe Payments Europe, Ltd. (Dublin, Irlandia; spółka z grupy Stripe, Inc., USA) w zakresie realizacji płatności, na zasadach opisanych w Polityce prywatności.

§ 6. Zakończenie przetwarzania

Po usunięciu Konta lub na żądanie Administratora Podmiot przetwarzający usuwa powierzone dane w terminie 30 dni, z wyjątkiem kopii zapasowych, które są nadpisywane w normalnym cyklu nie dłuższym niż 30 kolejnych dni. Przed usunięciem Administrator może pobrać Dokumenty z Konta.

§ 7. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się Regulamin, RODO i prawo polskie. W razie sprzeczności między Regulaminem a niniejszą umową w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.