Umowa powierzenia przetwarzania danych

Zgodnie z art. 28 ogólnego rozporządzenia o ochronie danych (RODO).

1. Wprowadzenie

Pomiędzy ECONOMY REGNSKAP AS („Biuro rachunkowe”) a Klientem (każda zwana dalej „Stroną”, łącznie „Stronami”) zawarta została „Umowa zlecenia usług księgowych” („Umowa”).

Realizacja zlecenia oznacza, że Biuro rachunkowe Przetwarza Dane osobowe w imieniu Klienta. Biuro rachunkowe działa tym samym jako Podmiot przetwarzający na rzecz Klienta będącego Administratorem.

Celem niniejszej umowy powierzenia przetwarzania danych jest uregulowanie Przetwarzania Danych osobowych przez Biuro rachunkowe w imieniu Klienta, a tym samym zapewnienie, że Przetwarzanie odbywa się zgodnie z norweską ustawą o danych osobowych (personopplysningsloven, LOV-2018-06-15-38), w tym z unijnym ogólnym rozporządzeniem o ochronie danych (UE/2016/679), oraz późniejszymi przepisami, które je zastępują lub uzupełniają („Przepisy o ochronie danych”).

Definicje zawarte w art. 4 ogólnego rozporządzenia o ochronie danych stosuje się odpowiednio do pojęć używanych w niniejszej umowie powierzenia przetwarzania danych.

2. Cel i charakter przetwarzania

Celem Przetwarzania Danych osobowych przez Biuro rachunkowe jest realizacja zlecenia księgowego zgodnie z Umową, w tym ze standardowymi warunkami świadczenia usług księgowych Regnskap Norge („Warunki standardowe”).

Załącznik 1 do niniejszego dokumentu opisuje konkretne cele Przetwarzania oraz kategorie Danych osobowych i Osób, których dane dotyczą.

Umowa powierzenia przetwarzania danych nie ma zastosowania do Przetwarzania Danych osobowych w celach własnych Biura rachunkowego. Obejmuje to również Przetwarzanie niezbędne do wypełnienia obowiązków nałożonych na Biuro rachunkowe przez prawo. W odniesieniu do takiego Przetwarzania Biuro rachunkowe jest samo Administratorem.

3. Obowiązki biura rachunkowego

3.1 Zakaz swobodnego dysponowania danymi i obowiązek powiadamiania

Biuro rachunkowe Przetwarza Dane osobowe wyłącznie zgodnie z udokumentowanymi poleceniami Klienta, w tym zawartymi w Umowie oraz w Załączniku 1 do niniejszej umowy powierzenia przetwarzania danych.

Jeżeli Biuro rachunkowe uzna, że polecenie Klienta, zob. akapit pierwszy, narusza Przepisy o ochronie danych, powiadamia o tym Klienta.

Biuro rachunkowe musi bez zbędnej zwłoki powiadomić Klienta, jeżeli nie będzie w stanie wywiązać się ze swoich obowiązków wynikających z niniejszej umowy powierzenia przetwarzania danych.

3.2 Udostępnianie danych i obowiązek zachowania poufności

Biuro rachunkowe nie udostępnia Danych osobowych Osobom trzecim, chyba że Klient uprzednio wyraził na to pisemną zgodę lub na Biurze rachunkowym ciąży ustawowy obowiązek udostępnienia Danych osobowych. Udostępnianie innym Podmiotom przetwarzającym odbywa się zgodnie z warunkami określonymi w pkt 4 niniejszej umowy powierzenia przetwarzania danych.

Postanowienie o obowiązku zachowania poufności zawarte w pkt 1.6 Warunków standardowych ma zastosowanie również do Danych osobowych Przetwarzanych na podstawie Umowy.

3.3 Bezpieczeństwo informacji i zgłaszanie naruszeń

Biuro rachunkowe podejmuje wszelkie środki niezbędne do zapewnienia odpowiedniego poziomu bezpieczeństwa Przetwarzania zgodnie z wymogami art. 32 ogólnego rozporządzenia o ochronie danych. Środki te muszą być udokumentowane.

Biuro rachunkowe bez zbędnej zwłoki powiadamia Klienta o każdym Naruszeniu ochrony danych osobowych, które doprowadziło do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do Danych osobowych Przetwarzanych na podstawie niniejszej umowy powierzenia przetwarzania danych. Powiadomienie musi zawierać informacje wymagane na podstawie art. 33 ust. 3 ogólnego rozporządzenia o ochronie danych.

Biuro rachunkowe niezwłocznie podejmuje działania w celu zapobieżenia skutkom naruszenia bezpieczeństwa lub ich ograniczenia.

3.4 Korzystanie z lokalnie utrzymywanych modeli AI

Biuro rachunkowe może korzystać z modeli AI o otwartym kodzie źródłowym jako narzędzia wspomagającego podejmowanie decyzji przy realizacji zlecenia księgowego, pod warunkiem że modele działają lokalnie na sprzęcie kontrolowanym przez Biuro rachunkowe lub na serwerach, którymi Biuro rachunkowe samo dysponuje i które samo kontroluje.

Dane osobowe, dane księgowe, dokumenty, polecenia (prompty) i wygenerowane odpowiedzi nie mogą być przekazywane ani udostępniane zewnętrznym dostawcom AI, zewnętrznym interfejsom API modeli ani innym osobom trzecim. Rozwiązanie musi być technicznie skonfigurowane tak, aby przetwarzanie odbywało się w kontrolowanym środowisku operacyjnym bez zewnętrznego przekazywania danych, a dane nie mogą być wykorzystywane do trenowania ani dalszego rozwijania modeli bez szczególnego udokumentowanego polecenia Klienta i ważnej podstawy przetwarzania.

Biuro rachunkowe dokumentuje kontrolę dostępu, rejestrowanie zdarzeń, przechowywanie, usuwanie, aktualizacje zabezpieczeń oraz pozostałe środki techniczne i organizacyjne dotyczące rozwiązania AI. Korzystanie z AI służy wyłącznie wspomaganiu decyzji. Oceny merytoryczne, księgowanie, sprawozdawczość i składane dokumenty muszą zostać sprawdzone i zatwierdzone przez upoważniony personel, zanim zostaną wykorzystane przy realizacji zlecenia.

3.5 Obowiązek udzielania pomocy

Biuro rachunkowe pomaga Klientowi w spełnianiu wymogów art. 32–36 ogólnego rozporządzenia o ochronie danych dotyczących bezpieczeństwa informacji.

Biuro rachunkowe pomaga również Klientowi w wypełnianiu jego obowiązku odpowiadania na żądania Osób, których dane dotyczą, pragnących wykonywać swoje prawa wynikające z Rozporządzenia. Biuro rachunkowe nie odpowiada samo na takie żądania, lecz bez zbędnej zwłoki przekazuje je Klientowi lub kieruje Osobę, której dane dotyczą, do bezpośredniego kontaktu z Klientem.

3.6 Dostęp do informacji i audyty bezpieczeństwa

Biuro rachunkowe na żądanie zapewnia Klientowi dostęp do wszelkich informacji i dokumentacji niezbędnych do wykazania, że Przetwarzanie odbywa się zgodnie z niniejszą umową powierzenia przetwarzania danych oraz poleceniami Klienta.

Jeżeli Klient wykryje nieprawidłowości, Biuro rachunkowe bez zbędnej zwłoki wdraża działania naprawcze.

4. Warunki korzystania z innych podmiotów przetwarzających

Klient wyraża zgodę na powierzenie przez Biuro rachunkowe Danych osobowych Przetwarzanych na podstawie Umowy innym Podmiotom przetwarzającym (podwykonawcom) wymienionym w Załączniku 2 do niniejszego dokumentu.

Przed zaangażowaniem nowych Podmiotów przetwarzających w Przetwarzanie Klient otrzymuje pisemne zawiadomienie, najpóźniej na dwa tygodnie przed powierzeniem Danych osobowych nowemu Podmiotowi przetwarzającemu. Zawiadomienie zawiera informacje o miejscu, w którym będzie odbywać się Przetwarzanie, zob. pkt 5 niniejszej umowy powierzenia przetwarzania danych.

Klient może sprzeciwić się powierzeniu Danych osobowych nowym Podmiotom przetwarzającym. W takim przypadku Strony lojalnie dążą do uzgodnienia rozwiązania akceptowalnego dla obu Stron. Jeżeli nie przyniesie to rezultatu, Umowa może zostać wypowiedziana przez każdą ze Stron zgodnie z pkt 12 Warunków standardowych.

Biuro rachunkowe zawiera ze swoimi Podmiotami przetwarzającymi pisemną umowę nakładającą na nie takie same obowiązki, jakie ciążą na samym Biurze rachunkowym na podstawie niniejszej umowy powierzenia przetwarzania danych. Biuro rachunkowe ponosi wobec Klienta pełną odpowiedzialność za Przetwarzanie dokonywane przez Podmiot przetwarzający.

5. Warunki przekazywania danych poza obszar UE/EOG

Dane osobowe mogą być przekazywane do państw spoza obszaru UE/EOG wyłącznie za uprzednią zgodą Klienta.

Klient wyraża zgodę na przekazywanie danych poza obszar UE/EOG, które następuje w związku z powierzeniem Danych osobowych istniejącym Podmiotom przetwarzającym, na warunkach określonych w Załączniku 2 do niniejszego dokumentu.

Za uprzednią zgodę w rozumieniu niniejszego postanowienia uważa się również brak sprzeciwu wobec powierzenia Przetwarzania Podmiotowi przetwarzającemu, który Przetwarza Dane osobowe poza obszarem UE/EOG, zob. pkt 4 niniejszej umowy powierzenia przetwarzania danych.

6. Usuwanie i zwrot danych osobowych

Po zakończeniu Umowy Biuro rachunkowe jest zobowiązane zwrócić, usunąć lub zanonimizować wszystkie Dane osobowe zgodnie ze szczegółowymi poleceniami Klienta w chwili zakończenia Umowy. Strony lojalnie uzgadniają praktyczny sposób wykonania tego obowiązku, uwzględniający potrzebę obu Stron w zakresie spełnienia wymogów ustawowych i zapewnienia bieżącej działalności.

Obowiązek usunięcia w żadnym wypadku nie dotyczy Danych osobowych stanowiących część własnej dokumentacji zlecenia Biura rachunkowego, zob. pkt 2 akapit trzeci niniejszej umowy powierzenia przetwarzania danych.

7. Okres obowiązywania i zmiany umowy powierzenia przetwarzania danych

Umowa powierzenia przetwarzania danych obowiązuje tak długo, jak Biuro rachunkowe przetwarza dane osobowe w imieniu Klienta. Obowiązek zachowania poufności obowiązuje bezterminowo.

Umowa powierzenia przetwarzania danych może zostać zmieniona w razie potrzeby i za porozumieniem stron zgodnie z pkt 7 Warunków standardowych.

8. Zawiadomienia i inna komunikacja

Zawiadomienia i inna komunikacja na podstawie niniejszej umowy powierzenia przetwarzania danych odbywają się zgodnie z pkt 1.4 Warunków standardowych.

9. Prawo właściwe i właściwość sądu

Prawo właściwe i właściwość sądu reguluje pkt 15 Warunków standardowych.