Umowa powierzenia przetwarzania danych osobowych

Wersja 1.0. Data wejścia w życie: 16 października 2026 r.

Załącznik nr 1 do Regulaminu świadczenia usług drogą elektroniczną — Wystaw.

§ 1. Strony i zawarcie umowy

1. Administrator — Użytkownik Wystaw (przedsiębiorca), który zaakceptował regulamin, oznaczony danymi firmy podanymi w Koncie.
2. Podmiot przetwarzający — Jakub Wolak, prowadzący działalność gospodarczą pod firmą Jakub Wolak trapcode, ul. Dworskie Ogrody 1/5, 35-214 Rzeszów, NIP 8133932416, REGON: zgodnie z wpisem w CEIDG, prowadzący serwis Wystaw (wystaw.io).
3. Umowa zostaje zawarta w formie elektronicznej, o której mowa w art. 28 ust. 9 RODO, w chwili zaznaczenia przez Administratora pola akceptacji regulaminu i tej umowy przy zakładaniu Konta. Podmiot przetwarzający zapisuje wersję umowy, datę akceptacji, osobę akceptującą i Konto, którego dotyczy. Na prośbę Administratora przesyła potwierdzenie zawarcia umowy e-mailem.
4. Pojęcia z tej umowy mają znaczenie nadane w RODO (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) i w regulaminie.

§ 2. Przedmiot, charakter i cel

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usług Wystaw opisanych w regulaminie, w szczególności:
   1. przechowywania danych kontrahentów i produktów;
   2. tworzenia, numerowania, przechowywania i archiwizacji faktur (XML FA(3), PDF);
   3. wysyłania faktur do KSeF w imieniu Administratora i przechowywania UPO;
   4. wysyłania faktur e-mailem do odbiorców wskazanych przez Administratora;
   5. pobierania danych kontrahentów z rejestrów publicznych na żądanie Administratora;
   6. udostępniania danych osobom z Zespołu, Agentom AI i integracjom (API, webhooki), które Administrator sam upoważnił;
   7. tworzenia eksportów (archiwum ZIP, CSV) i kopii zapasowych.
2. Charakter przetwarzania: zbieranie, utrwalanie, przechowywanie, porządkowanie, przeglądanie, udostępnianie przez przesłanie (KSeF, e-mail, API), usuwanie — w sposób zautomatyzowany, w systemie informatycznym.
3. Rodzaje danych:
   1. dane identyfikacyjne i adresowe nabywców i odbiorców faktur, w tym osób fizycznych prowadzących działalność (imię, nazwisko, firma, adres, NIP, numer VAT UE, inny identyfikator podatkowy) oraz osób fizycznych nieprowadzących działalności (imię, nazwisko, adres);
   2. adresy e-mail odbiorców faktur i osób kontaktowych;
   3. dane transakcyjne: pozycje, kwoty, terminy, status płatności, numery rachunków bankowych;
   4. treść notatek i uwag wpisanych przez Administratora;
   5. dane osób z Zespołu Administratora w zakresie, w jakim pojawiają się w dzienniku zdarzeń.
4. Kategorie osób: kontrahenci Administratora (przedsiębiorcy będący osobami fizycznymi, konsumenci), osoby kontaktowe kontrahentów, odbiorcy e-maili z fakturami, członkowie Zespołu Administratora.
5. Umowa nie obejmuje szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator nie wprowadza takich danych do Wystaw. Administrator nie wprowadza też numeru PESEL ani innych danych, których faktura nie wymaga.
6. Umowa nie obejmuje danych, dla których Podmiot przetwarzający jest administratorem (dane Konta, płatności, statystyki) — opisuje je Polityka prywatności.

§ 3. Czas trwania

1. Umowa obowiązuje przez czas trwania umowy o świadczenie usług (regulaminu), a po jej rozwiązaniu — do usunięcia danych zgodnie z § 10.
2. Umowa rozwiązuje się automatycznie wraz z rozwiązaniem umowy o świadczenie usług.

§ 4. Polecenia Administratora

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest: regulamin, ta umowa oraz każda czynność wykonana w Wystaw przez Administratora, osoby z jego Zespołu, Agentów AI lub integracje API przez niego upoważnione (np. wystawienie faktury, wysyłka do KSeF, wysyłka e-maila, eksport). Polecenia przekazywane inną drogą Administrator wysyła e-mailem na [email protected] z adresu Właściciela.
2. Jeśli prawo Unii lub państwa członkowskiego nakłada na Podmiot przetwarzający obowiązek przetwarzania, Podmiot przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania.
3. Jeśli polecenie, zdaniem Podmiotu przetwarzającego, narusza RODO lub inne przepisy o ochronie danych, Podmiot przetwarzający niezwłocznie informuje o tym Administratora i może wstrzymać wykonanie polecenia do czasu jego potwierdzenia lub zmiany.
4. Przekazanie faktur do KSeF jest wykonaniem obowiązku prawnego Administratora. Minister Finansów jako operator KSeF jest odrębnym odbiorcą danych, nie dalszym podmiotem przetwarzającym.
5. Agent AI lub integracja, którą Administrator łączy z Kontem, działa na polecenie Administratora. Jej dostawca jest odbiorcą danych albo podmiotem przetwarzającym Administratora — nie dalszym podmiotem przetwarzającym Podmiotu przetwarzającego. Administrator sam wybiera tego dostawcę, ustala z nim zasady przetwarzania i odpowiada za podstawę przekazania mu danych.

§ 5. Poufność

Podmiot przetwarzający zapewnia, że każda osoba upoważniona do przetwarzania danych zobowiązała się do zachowania tajemnicy albo podlega ustawowemu obowiązkowi tajemnicy. Dziś dostęp do danych produkcyjnych ma wyłącznie osoba prowadząca działalność — tylko w zakresie niezbędnym do utrzymania usługi, obsługi zgłoszeń Administratora i usuwania awarii.

§ 6. Bezpieczeństwo (art. 32 RODO)

1. Podmiot przetwarzający stosuje środki techniczne i organizacyjne opisane w Załączniku B.
2. Podmiot przetwarzający może zmieniać środki, jeśli nie obniża to poziomu bezpieczeństwa.

§ 7. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Aktualna lista: Załącznik A.
2. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie wnieść uzasadniony sprzeciw. Jeśli strony nie dojdą do porozumienia, Administrator może rozwiązać umowę o świadczenie usług ze skutkiem natychmiastowym, a Podmiot przetwarzający zwraca proporcjonalną część opłaty za niewykorzystany, opłacony okres.
3. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający te same obowiązki ochrony danych co w tej umowie (umowa powierzenia z dostawcą) i odpowiada wobec Administratora za wypełnianie przez niego tych obowiązków.
4. Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie na podstawie rozdziału V RODO (decyzja Komisji stwierdzająca odpowiedni stopień ochrony, w tym EU-US Data Privacy Framework, albo standardowe klauzule umowne).

§ 8. Prawa osób, których dane dotyczą

1. Administrator realizuje prawa osób samodzielnie, korzystając z funkcji Wystaw (edycja i usuwanie kontrahentów, eksport faktur).
2. Wystawionych faktur nie można zmieniać ani usuwać — wymaga tego prawo podatkowe; zmiany wprowadza się korektą. Usunięcie kontrahenta z bazy nie usuwa jego danych z wystawionych faktur.
3. Jeśli osoba zwróci się z żądaniem bezpośrednio do Podmiotu przetwarzającego, Podmiot przetwarzający przekazuje je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 7 dni, i nie odpowiada na nie samodzielnie, chyba że Administrator tak poleci.
4. Podmiot przetwarzający pomaga Administratorowi w realizacji żądań, gdy funkcje Wystaw nie wystarczają.

§ 9. Naruszenia i pomoc Administratorowi

1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres Właściciela Konta.
2. Zgłoszenie zawiera, w miarę dostępności: opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje, podjęte i proponowane środki oraz kontakt do osoby, która udzieli dalszych informacji. Informacje mogą być uzupełniane etapami.
3. Podmiot przetwarzający dokumentuje naruszenia i pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłoszenie naruszenia, zawiadomienie osób, ocena skutków, uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne informacje.

§ 10. Koniec przetwarzania: usunięcie lub zwrot

1. Przez czas trwania umowy Administrator może w każdej chwili pobrać dane (faktury PDF, XML, UPO, archiwum ZIP z zestawieniem CSV).
2. Po rozwiązaniu umowy o świadczenie usług Podmiot przetwarzający udostępnia dane do pobrania przez 30 dni, a następnie, w ciągu kolejnych 7 dni, usuwa je z bazy produkcyjnej i magazynu plików i potwierdza to e-mailem. Kopie zapasowe są nadpisywane i usuwane w ciągu 35 dni od usunięcia danych z bazy.
3. Podmiot przetwarzający może zachować dane dłużej tylko, gdy wymaga tego prawo Unii lub państwa członkowskiego.
4. Obowiązek przechowywania faktur przez okres wymagany przepisami podatkowymi spoczywa na Administratorze. Podmiot przetwarzający nie przechowuje danych w tym celu po rozwiązaniu umowy. Faktury przesłane do KSeF są przechowywane w KSeF przez 10 lat.

§ 11. Audyt i informacje

1. Podmiot przetwarzający udostępnia Administratorowi wszystkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO — w pierwszej kolejności w formie pisemnych odpowiedzi i dokumentów (ta umowa, Załączniki A i B, umowy powierzenia z dalszymi podmiotami), w ciągu 14 dni od prośby.
2. Administrator lub upoważniony przez niego audytor może przeprowadzić audyt, w tym inspekcję, po uzgodnieniu terminu co najmniej 14 dni wcześniej, w godzinach pracy, w sposób, który nie zakłóca działania usługi i nie ujawnia danych innych Użytkowników. Audytor zobowiązuje się do zachowania poufności. Każda strona ponosi własne koszty audytu. Infrastrukturę dalszych podmiotów przetwarzających weryfikuje się na podstawie ich certyfikatów i raportów.

§ 12. Odpowiedzialność

1. Wobec osób, których dane dotyczą, strony odpowiadają na zasadach art. 82 RODO.
2. Podmiot przetwarzający odpowiada tylko za szkody wynikłe z niedopełnienia obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub z działania poza zgodnymi z prawem poleceniami Administratora albo wbrew nim.
3. W relacji między stronami stosuje się postanowienia regulaminu o odpowiedzialności (§ 16 regulaminu), w tym wyłączenia ograniczeń przy winie umyślnej, rażącym niedbalstwie i wobec JDG na prawach konsumenta.

§ 13. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się RODO, przepisy krajowe o ochronie danych osobowych i regulamin.
2. W razie sprzeczności między tą umową a regulaminem w sprawach ochrony danych osobowych pierwszeństwo ma ta umowa.
3. Zmiany tej umowy wprowadza się w trybie zmian regulaminu (§ 22 regulaminu), a zmiany Załącznika A — w trybie § 7.

Załącznik A — Dalsze podmioty przetwarzające

Podmiot	Zakres	Lokalizacja danych	Podstawa przekazania poza EOG
OVH Sp. z o.o., ul. Swobodna 1, 50-088 Wrocław	serwer VPS: aplikacja, baza danych (wszystkie dane z § 2), logi serwera	Polska (Warszawa)	nie dotyczy
Cloudflare, Inc. (USA)	R2: pliki faktur (XML, PDF, UPO), logo, archiwa eksportu, szyfrowane kopie zapasowe bazy danych; proxy: ruch HTTPS do serwisu (w tym przesyłane dane) i logi bezpieczeństwa; Email Routing: wiadomości wysyłane na [email protected] (np. żądania osób, zgłoszenia z danymi kontrahentów)	R2: jurysdykcja UE; proxy i Email Routing: globalna sieć Cloudflare	EU-US Data Privacy Framework / standardowe klauzule umowne
Resend (Plus Five Five, Inc., USA)	adresy e-mail odbiorców, treść e-maili i załączniki (faktury PDF) wysyłane na polecenie Administratora	region UE	EU-US Data Privacy Framework / standardowe klauzule umowne
Functional Software, Inc. (Sentry), USA	dane techniczne o błędach; dane osobowe usuwane przed wysłaniem (bez treści żądań, danych użytkownika, ciasteczek; e-maile maskowane); mogą wystąpić identyfikatory techniczne	UE (Niemcy)	EU-US Data Privacy Framework / standardowe klauzule umowne
Anthropic, PBC (USA)	tylko funkcja generatora layoutu AI: opis stylu, etykiety stylu, kody kolorów odczytane z logo (bez logo), projekt układu, polecenia poprawek i opcjonalny obraz referencyjny dodany przez Użytkownika; nie otrzymuje danych z faktur ani danych kontrahentów — dane osobowe Administratora trafiają tam tylko wtedy, gdy Użytkownik sam umieści je w opisie lub na obrazie	USA	standardowe klauzule umowne / EU-US Data Privacy Framework

Nie są dalszymi podmiotami przetwarzającymi:

• Stripe Payments Europe, Limited — obsługuje płatności za Abonament jako odrębny administrator (dane Użytkownika, nie jego kontrahentów).
• Minister Finansów (KSeF) — odbiorca faktur z mocy prawa (§ 4 ust. 4).
• Rejestry publiczne (Biała lista MF, GUS REGON, VIES) — otrzymują tylko NIP lub numer VAT UE, o który pyta Użytkownik.
• Dostawcy Agentów AI i integracji łączonych przez Administratora (§ 4 ust. 5).
• Umami i Uptime Kuma — działają na serwerze Podmiotu przetwarzającego (OVH) i nie przetwarzają danych z faktur.

Załącznik B — Środki techniczne i organizacyjne

1. Szyfrowanie w transmisji: HTTPS/TLS dla aplikacji (automatyczne certyfikaty, HSTS), TLS do magazynu plików i do usługi poczty.
2. Izolacja danych: dane każdej firmy są odseparowane w bazie PostgreSQL mechanizmem Row-Level Security. Aplikacja łączy się rolą, która nie może omijać tych reguł, i dodatkowo filtruje każde zapytanie po identyfikatorze firmy.
3. Szyfrowanie sekretów: dane uwierzytelniające KSeF i tokeny KSeF są szyfrowane AES-256-GCM kluczem przechowywanym poza bazą i powiązane z firmą. Klucze API są przechowywane jako skrót SHA-256.
4. Kopie zapasowe: co 6 godzin, szyfrowane GPG (AES-256) z sumą kontrolną, przechowywane w magazynie R2 z jurysdykcją UE przez 30 dni (automatyczne usuwanie po 35 dniach). Raz w miesiącu kopia jest testowo odtwarzana do jednorazowej bazy na tym samym serwerze, usuwanej zaraz po teście; dane produkcyjne nie trafiają do aplikacji testowej.
5. Kontrola dostępu: role w Koncie (właściciel, członek, księgowa — tylko odczyt), uprawnienia sprawdzane po stronie serwera; Agenci AI z ograniczonym zakresem, dziennym limitem i obowiązkowym potwierdzeniem wystawienia; logowanie bez haseł (link e-mail ważny 15 minut, passkey).
6. Integralność: po wystawieniu treść faktury jest blokowana na poziomie bazy danych; zmiany tylko korektą. Dziennik zdarzeń jest tylko do dopisywania.
7. Serwer: dostęp administracyjny tylko kluczami SSH, zapora (otwarte tylko porty 22, 80 i 443), ochrona przed próbami zgadywania haseł, automatyczne aktualizacje bezpieczeństwa; panele administracyjne (statystyki, monitoring) dostępne tylko po uwierzytelnieniu w Cloudflare Access.
8. Minimalizacja w monitoringu: zdarzenia wysyłane do Sentry są oczyszczane z danych osobowych i treści faktur.
9. Środowiska: środowisko testowe ma osobną bazę danych i osobny magazyn plików.
10. Organizacja: jedna osoba z dostępem do danych produkcyjnych; sekrety i klucze przechowywane w menedżerze haseł; procedura rotacji kluczy; monitoring dostępności i alerty o błędach; naruszenia są rejestrowane i zgłaszane Administratorowi zgodnie z § 9.