Umowa powierzenia przetwarzania danych

Wersja robocza. Projekt do weryfikacji przez prawnika. Wersja polska jest wiążąca, angielska jest tłumaczeniem.

Do sprawdzenia przez prawnika: (1) Tekst klauzul opiera się na standardowych klauzulach umownych z decyzji wykonawczej Komisji (UE) 2021/915 (art. 28 ust. 7 RODO). Klauzula 2 stanowi, że klauzul nie wolno zmieniać. Nie udało się pobrać pełnego oficjalnego tekstu z EUR-Lex (pobrano tylko streszczenie wersji angielskiej), więc poniższe klauzule są sformułowane na podstawie wzoru, a nie jako jego dosłowne przeniesienie. Prosimy o zastąpienie ich dosłownym tekstem polskim z Dz.U. UE L 199 z 7.6.2021, s. 18, zachowując numerację, i dodanie jedynie opcji wybranych w załącznikach. (2) Wybrane opcje: ogólne upoważnienie na podmioty przetwarzające z 14-dniowym powiadomieniem (klauzula 7.7 lit. a, opcja 2), klauzula przystąpienia (klauzula 5) pominięta. (3) Zawarcie umowy w formie elektronicznej przez akceptację regulaminu: czy wystarcza? (4) Zakres odpowiedzialności za naruszenie umowy powierzenia a limit odpowiedzialności w regulaminie.

Postanowienia wstępne

Niniejsza umowa („Umowa”) jest zawierana między klientem Fiskory (osobą lub podmiotem, który założył konto w app.fiskora.com), zwanym dalej Administratorem, a [FIRMA], [ADRES], NIP [NIP], REGON [REGON], zwanym dalej Podmiotem przetwarzającym lub „Fiskorą”.
Umowa wchodzi w życie z chwilą zaakceptowania regulaminu i założenia konta i obowiązuje, dopóki Fiskora przetwarza dane osobowe w imieniu Administratora (do usunięcia danych po zakończeniu świadczenia usługi).
Umowa stanowi umowę, o której mowa w art. 28 ust. 3 RODO. Jest oparta na standardowych klauzulach umownych z decyzji wykonawczej Komisji (UE) 2021/915. Jeśli Administrator jest sam podmiotem przetwarzającym (np. biurem rachunkowym działającym w imieniu swojego klienta), Fiskora jest jego dalszym podmiotem przetwarzającym, a „Administrator” w Umowie oznacza wówczas tego przetwarzającego, który gwarantuje, że ma upoważnienie od administratora danych.
W razie sprzeczności między Umową a regulaminem pierwszeństwo w sprawach ochrony danych ma Umowa.
Pojęcia „dane osobowe”, „przetwarzanie”, „naruszenie ochrony danych” mają znaczenie z RODO (rozporządzenie (UE) 2016/679).

SEKCJA I

Klauzula 1. Cel i zakres

a) Celem niniejszych klauzul jest zapewnienie zgodności z art. 28 ust. 3 i 4 RODO. b) Administrator i Podmiot przetwarzający zgadzają się na te klauzule, aby zapewnić zgodność z art. 28 ust. 3 i 4 RODO. c) Klauzule mają zastosowanie do przetwarzania danych osobowych opisanego w załączniku II. d) Załączniki I do IV stanowią integralną część klauzul. e) Klauzule nie wpływają na obowiązki, którym podlega Administrator na mocy RODO. f) Klauzule same w sobie nie zapewniają zgodności z obowiązkami dotyczącymi transferów międzynarodowych z rozdziału V RODO.

Klauzula 2. Niezmienność klauzul

a) Strony zobowiązują się nie zmieniać klauzul, z wyjątkiem uzupełnienia lub aktualizacji informacji w załącznikach. b) Nie stoi to na przeszkodzie włączeniu klauzul do szerszej umowy ani dodaniu innych klauzul lub dodatkowych zabezpieczeń, o ile nie są one sprzeczne z klauzulami ani nie ograniczają praw osób, których dane dotyczą.

Klauzula 3. Wykładnia

a) Użyte w klauzulach pojęcia rozumie się jak w RODO. b) Klauzule należy czytać i interpretować w świetle RODO. c) Klauzul nie wolno interpretować w sposób sprzeczny z prawami i obowiązkami wynikającymi z RODO ani w sposób naruszający podstawowe prawa lub wolności osób, których dane dotyczą.

Klauzula 4. Hierarchia

W razie sprzeczności między klauzulami a przepisami powiązanych umów między Stronami, obowiązujących w chwili ich zaakceptowania lub zawartych później, pierwszeństwo mają klauzule.

Klauzula 5. Klauzula przystąpienia

Nie stosuje się.

SEKCJA II. OBOWIĄZKI STRON

Klauzula 6. Opis przetwarzania

Szczegóły przetwarzania, w szczególności kategorie danych osobowych i cele, dla których dane są przetwarzane w imieniu Administratora, są określone w załączniku II.

Klauzula 7. Obowiązki Stron

7.1. Instrukcje

a) Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek przetwarzania wynika z prawa Unii lub prawa państwa członkowskiego, któremu podlega. W takim przypadku informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, chyba że prawo zakazuje takiej informacji ze względu na ważny interes publiczny. Administrator może wydawać dalsze polecenia przez cały czas trwania przetwarzania. Polecenia są zawsze dokumentowane. b) Podmiot przetwarzający niezwłocznie informuje Administratora, jeśli uważa, że polecenie Administratora narusza RODO lub inne przepisy o ochronie danych Unii lub państwa członkowskiego.

Polecenia Administratora to: Umowa, regulamin oraz czynności wykonywane przez Administratora w aplikacji (np. wystawienie i wysłanie faktury do KSeF lub e-mailem, eksport, usunięcie konta).

7.2. Ograniczenie celu

Podmiot przetwarza dane osobowe wyłącznie w konkretnych celach określonych w załączniku II, chyba że otrzyma dalsze polecenia od Administratora.

7.3. Czas przetwarzania

Przetwarzanie odbywa się przez czas określony w załączniku II.

7.4. Bezpieczeństwo przetwarzania

a) Podmiot przetwarzający wdraża co najmniej środki techniczne i organizacyjne określone w załączniku III, aby zapewnić bezpieczeństwo danych osobowych, w tym ochronę przed naruszeniem bezpieczeństwa prowadzącym do przypadkowego lub bezprawnego zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu. Przy ocenie stosownego poziomu bezpieczeństwa Strony uwzględniają stan wiedzy technicznej, koszty wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko dla osób, których dane dotyczą. b) Podmiot przetwarzający zapewnia członkom swojego personelu dostęp do danych osobowych wyłącznie w zakresie niezbędnym do realizacji, zarządzania i monitorowania Umowy. Zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi poufności.

7.5. Dane wrażliwe

Jeżeli przetwarzanie dotyczy danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność do związków zawodowych, danych genetycznych, biometrycznych, danych o zdrowiu, seksualności lub orientacji seksualnej albo danych dotyczących wyroków skazujących i naruszeń prawa („dane wrażliwe”), Podmiot przetwarzający stosuje szczególne ograniczenia lub dodatkowe zabezpieczenia. Fiskora nie jest przeznaczona do przetwarzania takich danych, a Administrator nie powinien ich wprowadzać (patrz załącznik II).

7.6. Dokumentacja i zgodność

a) Strony muszą być w stanie wykazać zgodność z klauzulami. b) Podmiot przetwarzający rzetelnie i niezwłocznie odpowiada na pytania Administratora dotyczące przetwarzania danych zgodnie z klauzulami. c) Podmiot przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania zgodności z obowiązkami z klauzul i z RODO. Na żądanie Administratora umożliwia audyty przetwarzania objętego klauzulami, w rozsądnych odstępach lub gdy są oznaki niezgodności, i przyczynia się do nich. Przy decyzji o przeglądzie lub audycie Administrator może uwzględnić certyfikaty posiadane przez Podmiot przetwarzający. d) Administrator może przeprowadzić audyt samodzielnie lub upoważnić niezależnego audytora. Audyty mogą obejmować inspekcje w pomieszczeniach lub fizycznych obiektach Podmiotu przetwarzającego i w stosownych przypadkach są przeprowadzane z rozsądnym wyprzedzeniem. e) Strony udostępniają informacje, o których mowa w tej klauzuli, w tym wyniki audytów, organowi nadzorczemu na żądanie.

Do sprawdzenia przez prawnika: Praktyczne zasady audytu (wyprzedzenie, częstotliwość, koszty, zakres: odpowiedzi pisemne i dokumentacja zamiast wizyty na serwerze Hetznera) można doprecyzować w dodatkowym postanowieniu poza klauzulami, o ile nie zmienia to klauzuli 7.6.

7.7. Korzystanie z dalszych podmiotów przetwarzających

a) Podmiot przetwarzający ma ogólne upoważnienie Administratora do korzystania z dalszych podmiotów przetwarzających z uzgodnionej listy (załącznik IV). Podmiot przetwarzający informuje Administratora na piśmie, e-mailem na adres konta, co najmniej 14 dni przed planowaną zmianą polegającą na dodaniu lub zastąpieniu dalszych podmiotów przetwarzających, dając Administratorowi wystarczająco dużo czasu na wniesienie sprzeciwu przed zaangażowaniem danego podmiotu. Podmiot przetwarzający dostarcza Administratorowi informacje potrzebne do wykonania prawa sprzeciwu. b) Gdy Podmiot przetwarzający angażuje dalszy podmiot przetwarzający do czynności w imieniu Administratora, zawiera z nim umowę nakładającą te same obowiązki ochrony danych co w klauzulach. Podmiot przetwarzający zapewnia, że dalszy podmiot spełnia obowiązki, którym podlega Podmiot przetwarzający na mocy klauzul i RODO. c) Na żądanie Administratora Podmiot przetwarzający przekazuje kopię takiej umowy i jej zmian. W zakresie niezbędnym do ochrony tajemnicy handlowej lub innych informacji poufnych, w tym danych osobowych, może je zanonimizować. d) Podmiot przetwarzający ponosi pełną odpowiedzialność wobec Administratora za wykonywanie obowiązków przez dalszy podmiot przetwarzający zgodnie z jego umową. Informuje Administratora o niewykonaniu przez dalszy podmiot jego zobowiązań. e) Podmiot przetwarzający uzgadnia z dalszym podmiotem klauzulę na rzecz osoby trzeciej, zgodnie z którą w razie faktycznego zniknięcia, prawnego ustania bytu Podmiotu przetwarzającego lub jego niewypłacalności Administrator ma prawo wypowiedzieć umowę z dalszym podmiotem i polecić mu usunięcie lub zwrot danych.

Do sprawdzenia przez prawnika: Klauzula 7.7 lit. e: czy dostawcy tacy jak Hetzner, Cloudflare i Backblaze akceptują taką klauzulę w standardowych DPA? Jeśli nie, rozważyć przedstawienie jej ograniczenia klientom.

7.8. Transfery międzynarodowe

a) Każdy transfer danych do państwa trzeciego lub organizacji międzynarodowej przez Podmiot przetwarzający odbywa się wyłącznie na udokumentowane polecenie Administratora lub aby spełnić szczególne wymagania prawa Unii lub państwa członkowskiego, i zgodnie z rozdziałem V RODO. b) Administrator zgadza się, że gdy Podmiot przetwarzający angażuje dalszy podmiot zgodnie z klauzulą 7.7 do określonych czynności i czynności te wiążą się z transferem danych w rozumieniu rozdziału V RODO, Podmiot przetwarzający i dalszy podmiot mogą zapewnić zgodność z rozdziałem V, stosując standardowe klauzule umowne przyjęte przez Komisję na podstawie art. 46 ust. 2 RODO (decyzja 2021/914) lub opierając się na decyzji o odpowiednim stopniu ochrony (w tym EU-US Data Privacy Framework), o ile warunki ich stosowania są spełnione.

Klauzula 8. Pomoc dla Administratora

a) Podmiot przetwarzający niezwłocznie powiadamia Administratora o każdym żądaniu otrzymanym od osoby, której dane dotyczą. Nie odpowiada na nie sam, chyba że Administrator go do tego upoważnił. b) Podmiot przetwarzający pomaga Administratorowi w wypełnianiu obowiązku odpowiadania na żądania osób realizujących swoje prawa, uwzględniając charakter przetwarzania. Przy wykonywaniu a) i b) stosuje się polecenia Administratora. c) Poza obowiązkiem pomocy z lit. b) Podmiot przetwarzający pomaga Administratorowi także w zapewnieniu zgodności z: (1) obowiązkiem oceny skutków dla ochrony danych, (2) obowiązkiem konsultacji z organem nadzorczym przed przetwarzaniem, jeśli ocena wskazuje na wysokie ryzyko, którego Administrator nie ogranicza, (3) obowiązkiem zapewnienia, że dane są prawidłowe i aktualne, poprzez niezwłoczne poinformowanie Administratora, jeśli dowie się, że dane są nieprawidłowe lub nieaktualne, (4) obowiązkami z art. 32 RODO. d) Strony określają w załączniku III odpowiednie środki techniczne i organizacyjne, którymi Podmiot przetwarzający pomaga Administratorowi, oraz zakres i stopień wymaganej pomocy.

Praktyczna pomoc: Administrator może sam eksportować i usuwać dane w aplikacji. W pozostałych sprawach pomaga support@fiskora.com w ciągu 2 dni roboczych (to nie jest gwarancja terminu ani SLA).

Klauzula 9. Zgłaszanie naruszeń ochrony danych

W razie naruszenia ochrony danych osobowych Podmiot przetwarzający współpracuje z Administratorem i pomaga mu w wypełnieniu obowiązków z art. 33 i 34 RODO, uwzględniając charakter przetwarzania i dostępne informacje.

9.1. Naruszenie dotyczące danych przetwarzanych przez Administratora

Podmiot przetwarzający pomaga Administratorowi: a) w zgłoszeniu naruszenia organowi nadzorczemu, bez zbędnej zwłoki od chwili, gdy Administrator się o nim dowiedział, w stosownych przypadkach (chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem); b) w uzyskaniu informacji, które zgodnie z art. 33 ust. 3 RODO muszą znaleźć się w zgłoszeniu Administratora (charakter naruszenia, kategorie i przybliżona liczba osób i wpisów, prawdopodobne konsekwencje, środki zastosowane lub proponowane); c) w wypełnieniu obowiązku zawiadomienia osób, których dane dotyczą, o naruszeniu, gdy może ono powodować wysokie ryzyko.

9.2. Naruszenie dotyczące danych przetwarzanych przez Podmiot przetwarzający

Podmiot przetwarzający zgłasza Administratorowi naruszenie bez zbędnej zwłoki, w miarę możliwości w ciągu 48 godzin od stwierdzenia, e-mailem na adres konta. Zgłoszenie zawiera co najmniej: a) opis charakteru naruszenia (w miarę możliwości kategorie i przybliżoną liczbę osób i wpisów); b) dane kontaktowe, z których można uzyskać więcej informacji; c) prawdopodobne konsekwencje i środki zastosowane lub proponowane w celu zaradzenia naruszeniu. Jeśli nie wszystkie informacje można podać jednocześnie, pierwsze zgłoszenie zawiera te dostępne, a dalsze podaje się niezwłocznie, gdy staną się dostępne.

Do sprawdzenia przez prawnika: Termin 48 godzin jest dodatkiem (standardowe klauzule mówią „bez zbędnej zwłoki”). Czy go zostawić? Czy jest wykonalny dla jednoosobowej działalności?

SEKCJA III. POSTANOWIENIA KOŃCOWE

Klauzula 10. Niezgodność z klauzulami i rozwiązanie umowy

a) Bez uszczerbku dla RODO, jeśli Podmiot przetwarzający narusza swoje obowiązki z klauzul, Administrator może polecić mu zawieszenie przetwarzania do czasu naprawienia naruszenia lub rozwiązania umowy. Podmiot niezwłocznie informuje Administratora, jeśli nie może zastosować się do klauzul z jakiegokolwiek powodu. b) Administrator ma prawo rozwiązać Umowę w zakresie przetwarzania danych zgodnie z klauzulami, jeżeli: (1) przetwarzanie zostało zawieszone przez Administratora zgodnie z lit. a) i zgodność z klauzulami nie została przywrócona w rozsądnym terminie, a w każdym razie w ciągu miesiąca od zawieszenia; (2) Podmiot istotnie lub uporczywie narusza klauzule lub swoje zobowiązania z RODO; (3) Podmiot nie stosuje się do wiążącej decyzji właściwego sądu lub organu nadzorczego dotyczącej jego obowiązków z klauzul lub RODO. c) Podmiot przetwarzający ma prawo rozwiązać Umowę w zakresie przetwarzania danych zgodnie z klauzulami, jeśli po poinformowaniu Administratora, że jego polecenia naruszają obowiązujące przepisy (klauzula 7.1 lit. b), Administrator nalega na ich wykonanie. d) Po zakończeniu Umowy Podmiot przetwarzający, według wyboru Administratora, usuwa wszystkie dane osobowe przetwarzane w jego imieniu i zaświadcza o tym Administratora, albo zwraca mu wszystkie dane i usuwa istniejące kopie, chyba że prawo Unii lub państwa członkowskiego wymaga ich przechowywania. Do tego czasu Podmiot nadal zapewnia zgodność z klauzulami.

W praktyce: przed zakończeniem Administrator może pobrać eksport ZIP (PDF, XML, CSV) i zażądać usunięcia konta. Dane są usuwane w ciągu 30 dni od żądania, a kopie zapasowe wygasają w ciągu kolejnych 30 dni. Dopóki Administrator nie usunie konta, konto z nieopłaconą lub anulowaną subskrypcją pozostaje w trybie tylko do odczytu, a dane są przechowywane na polecenie Administratora (patrz załącznik II). Fiskora nie zastępuje archiwum faktur, a obowiązki ustawowe przechowywania faktur ciążą na Administratorze.

Do sprawdzenia przez prawnika: Czy utrzymywanie danych w trybie tylko do odczytu po wygaśnięciu subskrypcji, do czasu usunięcia przez klienta, da się pogodzić z klauzulą 10 lit. d) jako „polecenie Administratora”? Czy dodać nieodwołalne usunięcie po np. 24 miesiącach nieaktywności?

Załącznik I. Wykaz stron

Administrator: klient Fiskory. Dane (imię i nazwisko lub nazwa firmy, adres, NIP, adres e-mail osoby kontaktowej) są takie jak podane w koncie w app.fiskora.com. Umowa jest zawierana elektronicznie przez założenie konta i akceptację regulaminu; osobne podpisanie nie jest wymagane. Data zawarcia: data akceptacji regulaminu.

Podmiot przetwarzający: [FIRMA], [ADRES], NIP [NIP], REGON [REGON]. Osoba kontaktowa: [IMIĘ I NAZWISKO], [EMAIL: support@fiskora.com]. Inspektor ochrony danych: nie wyznaczono [do potwierdzenia].

Załącznik II. Opis przetwarzania

Kategorie osób, których dane są przetwarzane: kontrahenci Administratora (nabywcy i sprzedawcy, ich osoby kontaktowe i przedstawiciele, jeśli są osobami fizycznymi lub osobami fizycznymi prowadzącymi działalność), pracownicy i współpracownicy Administratora, inne osoby wskazane na fakturach, osoby z konta księgowego zaproszone przez Administratora do dostępu tylko do odczytu.

Kategorie danych: imię i nazwisko, nazwa firmy, adres, NIP i inne identyfikatory podatkowe, adres e-mail, numer telefonu (jeśli wprowadzony), numer rachunku bankowego, treść faktur (pozycje, kwoty, opisy, daty), dane w plikach XML i PDF faktur, numery referencyjne KSeF, historia wysyłek.

Dane wrażliwe: nie są przewidziane. Administrator nie powinien wprowadzać danych szczególnych kategorii, ani danych o wyrokach. Jeśli opis towaru lub usługi na fakturze je ujawnia (np. usługa medyczna), odpowiada za to Administrator, a Fiskora stosuje zabezpieczenia z załącznika III.

Do sprawdzenia przez prawnika: Czy wystarczy takie oświadczenie? Czy wymagane są dodatkowe zabezpieczenia na mocy klauzuli 7.5?

Charakter przetwarzania: przechowywanie, wyświetlanie, generowanie PDF i XML, wysyłanie do KSeF i odbieranie z KSeF na polecenie Administratora, wysyłanie faktur e-mailem w imieniu Administratora, eksport, kopie zapasowe, usunięcie.

Cele: świadczenie usługi Fiskora (wystawianie, wysyłanie, odbieranie i mailowanie faktur VAT) na rzecz Administratora zgodnie z regulaminem.

Czas: od założenia konta do usunięcia danych zgodnie z klauzulą 10 i z zasadami przechowywania z regulaminu i polityki prywatności (tryb tylko do odczytu do czasu usunięcia konta przez Administratora; usunięcie w ciągu 30 dni od żądania; kopie zapasowe wygasają w ciągu kolejnych 30 dni; konta, które nigdy nie wystawiły prawdziwej faktury i są nieaktywne przez 12 miesięcy, po dwóch ostrzeżeniach e-mail są usuwane).

Załącznik III. Środki techniczne i organizacyjne

Szyfrowanie w tranzycie: połączenia z aplikacją i między komponentami zabezpiecza TLS.
Izolacja danych klientów: dane każdej firmy są odizolowane na poziomie bazy danych za pomocą Postgres row-level security, a aplikacja korzysta z konta bazy danych, które nie może jej obejść. Oddzielne konto uprzywilejowane służy tylko do migracji i administracji. Dodatkowo filtrowanie na poziomie aplikacji i testy wycieku między firmami.
Certyfikaty KSeF: szyfrowane kluczem przypisanym do klienta; klucz jest zaszyfrowany kluczem głównym przechowywanym wyłącznie na serwerze (poza bazą danych).
Uwierzytelnianie: konto z hasłem i weryfikacją e-mail; obowiązkowe uwierzytelnianie dwuskładnikowe (TOTP) przed połączeniem z KSeF; hasła przechowywane jako hashe.
Kopie zapasowe i odtwarzanie: zaszyfrowane kopie zapasowe (age), ciągła archiwizacja logów transakcji (WAL) umożliwiająca odtworzenie do wskazanego momentu; kopie w regionie UE oraz na serwerze usługodawcy w Polsce.
Hosting: serwery w Hetzner (Niemcy), utwardzone kontenery, sekrety zarządzane poza repozytorium kodu.
Kontrola dostępu: dostęp do danych produkcyjnych ma tylko usługodawca; brak panelu administracyjnego w momencie startu; ewentualny przyszły dostęp wsparcia tylko za zgodą klienta, ograniczony czasowo i logowany.
Monitorowanie: monitoring dostępności; alert o zablokowanych wysyłkach do KSeF i nieudanych procesach.
Retencja i usuwanie: opisane w załączniku II; eksport ZIP przed usunięciem.
Pomoc dla Administratora: eksport danych i usunięcie konta w aplikacji; kontakt z supportem w sprawie żądań osób, których dane dotyczą.

Do sprawdzenia przez prawnika: Czy ogólność opisu jest wystarczająca? Klauzula 7.4 wymaga konkretnych środków. Zweryfikować zgodność opisu ze stanem faktycznym przed publikacją; jeśli czegoś jeszcze nie ma w produkcie (WAL, RLS, TOTP), nie wolno tego obiecywać.

Załącznik IV. Lista dalszych podmiotów przetwarzających

Administrator udziela ogólnego upoważnienia (klauzula 7.7). Zmiany: 14 dni wcześniej, e-mailem.

Podmiot	Siedziba	Czynności	Lokalizacja danych	Podstawa transferu
Hetzner Online GmbH	Niemcy	hosting serwerów i bazy danych	Niemcy / UE	brak transferu
Cloudflare, Inc.	USA	CDN i tunel (ruch do aplikacji), wysyłka e-mail (e-maile konta i faktur wraz z załącznikami), przekierowanie poczty support@	globalnie, USA	EU-US DPF / SCC [do potwierdzenia]
Backblaze, Inc.	USA	przechowywanie zaszyfrowanych kopii zapasowych	region UE [do potwierdzenia]	SCC [do potwierdzenia]

Poza listą: (1) zaszyfrowana kopia zapasowa na własnym serwerze usługodawcy w Polsce, pod jego kontrolą, a nie dalszy podmiot; (2) Better Stack, monitoring dostępności, nie otrzymuje danych klientów; (3) Stripe i Link, LLC to odrębni administratorzy danych płatniczych; (4) Ministerstwo Finansów (KSeF) to odrębny administrator, któremu na polecenie Administratora przekazywane są faktury.

Do sprawdzenia przez prawnika: Czy każda pozycja ma ważne DPA i SCC/DPF? Czy wysyłka e-mail z załączonym PDF faktury przez Cloudflare jest poprawnie opisana (czy treść jest tylko tranzytem)? Czy dodać Better Stack?

Fragmenty zaadaptowano z otwartych polityk Basecamp, licencja CC BY 4.0. Klauzule oparte na decyzji wykonawczej Komisji (UE) 2021/915.