UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

Data Processing Agreement (DPA) — RODO Art. 28

Wersja: 1.2 Data wejścia w życie: 5 października 2026 r.

Wzór umowy powierzenia zawieranej z klientami biura iKrystyna (AutoOffice Sp. z o.o.). Pola w nawiasach kwadratowych uzupełnia się danymi Administratora w egzemplarzu zawieranym wraz z Umową o świadczenie usług księgowych. Zmiany w wersji 1.2 (5.10.2026): w § 5.2 dopisany podprocesor OVH Sp. z o.o. (serwer w Warszawie, hosting produkcyjny Systemu). Wersja 1.1 (5.10.2026): dopisany OpenAI Ireland Ltd.

Umowa stanowi załącznik do Umowy o świadczenie usług księgowych i jest OBOWIĄZKOWA zgodnie z RODO Art. 28 ust. 3 (brak umowy = naruszenie RODO, kara do 10 mln EUR lub 2% obrotu).

STRONY UMOWY

ADMINISTRATOR DANYCH OSOBOWYCH (Klient)

Nazwa: [NAZWA_SPOLKI] (pełna nazwa wg KRS: [NAZWA_PELNA_KRS]) NIP: [NIP] KRS: [KRS] REGON: [REGON] Adres: [ADRES_SIEDZIBY] Reprezentowany przez: [REPREZENTACJA] Email: [EMAIL_KLIENTA]

zwany dalej „Administratorem"

PODMIOT PRZETWARZAJĄCY (Usługodawca)

Nazwa: AutoOffice Sp. z o.o. (marka „iKrystyna") NIP: 7543370963 KRS: 0001117764 REGON: 529219565 Adres: ul. Św. Wojciecha 2/9, 45-015 Opole Reprezentowany przez: Bogdan Czarnecki, Członek Zarządu Email: kontakt@ikrystyna.pl

zwany dalej „Podmiotem Przetwarzającym" lub „Procesorem"

Strony zawierają niniejszą Umowę na podstawie:

RODO — Rozporządzenia (UE) 2016/679 z dnia 27 kwietnia 2016 r. (Art. 28 ust. 3),
Ustawy o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz.U. 2019 poz. 1781).

§ 1. DEFINICJE

Terminy: RODO, Dane Osobowe, Przetwarzanie, Administrator, Podmiot Przetwarzający (Procesor), Podprocesor, Osoba której dane dotyczą, Naruszenie Ochrony Danych (Data Breach), UODO, System Krystyna — rozumiane zgodnie z RODO (Art. 4) oraz definicjami stosowanymi przez Procesora w ramach usługi księgowej online „iKrystyna".

§ 2. PRZEDMIOT I ZAKRES UMOWY

2.1 Przedmiot

Umowa określa zasady, na jakich Procesor przetwarza dane osobowe w imieniu Administratora w związku ze świadczeniem usług księgowych za pośrednictwem Systemu Krystyna. Stanowi integralną część Umowy o świadczenie usług księgowych.

2.2 Zakres przetwarzania

Charakter przetwarzania:

prowadzenie księgowości (ewidencja przychodów, kosztów, środków trwałych i wartości niematerialnych i prawnych),
przechowywanie dokumentów księgowych (faktury, umowy, wyciągi bankowe),
sporządzanie deklaracji podatkowych (JPK_V7M, VAT-UE, CIT/PIT, PIT-11),
przygotowanie zgłoszeń i rozliczeń ZUS (DRA, RCA, RZA) oraz obsługa kadrowo-płacowa wyłącznie w ograniczonym zakresie określonym w § 6 ust. 5 Umowy o świadczenie usług księgowych (ujęcie wynagrodzeń w księgach + obliczenie i złożenie obciążeń publicznoprawnych); Procesor nie prowadzi akt osobowych, dokumentacji pracowniczej, ewidencji czasu pracy, urlopów, nieobecności ani zwolnień lekarskich,
generowanie raportów finansowych (bilans, RZiS),
obsługa asystenta AI (przetwarzanie zapytań użytkowników),
ekstrakcja danych z dokumentów (odczyt treści faktur i innych dokumentów przez modele AI Anthropic i OpenAI),
przygotowanie i kontrola projektów korespondencji z Administratorem przez modele AI (OpenAI, Anthropic).

Cele: wykonanie umowy o świadczenie usług księgowych (Art. 6 ust. 1 lit. b RODO) oraz wypełnienie obowiązków prawnych (Ustawa o rachunkowości, Ordynacja podatkowa — Art. 6 ust. 1 lit. c RODO).

Czas trwania: od dnia zawarcia umowy do zakończenia świadczenia usług plus 5 lat (obowiązek archiwizacji — Art. 74 Ustawy o rachunkowości).

Kategorie osób: osoby fizyczne wykonujące na rzecz Administratora umowy cywilnoprawne (zlecenie, o dzieło), członkowie zarządu i wspólnicy Administratora, współpracownicy rozliczający się na zasadzie B2B, kontrahenci, użytkownicy Systemu.

Kategorie danych:

identyfikacyjne osób rozliczanych — imię, nazwisko, PESEL, data urodzenia, adres zamieszkania, właściwy urząd skarbowy, kody tytułu ubezpieczenia i kody ubezpieczeń ZUS. Kategorie te są niezbędne do sporządzenia i złożenia dokumentów ZUS (DRA, RCA, RZA) oraz PIT-4R i PIT-11 — bez nich złożenie tych rozliczeń jest niemożliwe; podstawą przetwarzania jest obowiązek prawny ciążący na Administratorze jako płatniku,
kontaktowe — adres, e-mail, telefon,
finansowe — kwoty wynagrodzeń i należności, podstawy wymiaru składek, zaliczki na podatek, umowy cywilnoprawne i rachunki, honoraria autorskie oraz ewidencja utworów na potrzeby 50% KUP (o ile Administrator je stosuje),
firmowe — NIP, REGON, nazwa, adres,
techniczne — IP, session ID, logi.

Dane szczególnych kategorii (Art. 9 RODO) — WYŁĄCZONE z powierzenia. Procesor nie przetwarza danych ujawniających stan zdrowia ani innych danych szczególnych kategorii. W szczególności przedmiotem powierzenia nie są: zaświadczenia lekarskie i informacje o zwolnieniach lekarskich, orzeczenia i skierowania na badania profilaktyczne, orzeczenia o niepełnosprawności, dokumentacja medyczna, dane o urlopach i nieobecnościach oraz akta osobowe i dokumentacja pracownicza. Administrator zobowiązuje się nie przekazywać Procesorowi takich danych. Jeżeli trafią one do Procesora incydentalnie, stosuje się tryb przewidziany poniżej dla danych nieobjętych powierzeniem.

Ograniczenie to odpowiada ograniczonemu zakresowi obsługi kadrowo-płacowej z § 6 ust. 5 Umowy o świadczenie usług księgowych i realizuje zasadę minimalizacji danych (Art. 5 ust. 1 lit. c RODO).

Dane nieobjęte powierzeniem: [DANE_NIEOBJETE_POWIERZENIEM] nie stanowią przedmiotu niniejszego powierzenia. Administrator zobowiązuje się nie przekazywać Procesorowi zrzutów baz danych, plików eksportu ani innych zbiorów danych osobowych swoich klientów. Jeżeli takie dane trafią do Procesora incydentalnie (np. jako załącznik do dokumentu księgowego), Procesor niezwłocznie informuje Administratora i ogranicza dostęp do dokumentu.

Zastrzeżenie. Powyższy zakres sporządzono przy założeniu [PROFIL_DZIALALNOSCI_PRZYMIOTNIK] profilu działalności Administratora (§ 2a Umowy o świadczenie usług księgowych). Po potwierdzeniu rzeczywistego przedmiotu działalności Strony zweryfikują kategorie osób i danych; w razie potrzeby zakres zostanie zaktualizowany w trybie § 11.

§ 3. OBOWIĄZKI PODMIOTU PRZETWARZAJĄCEGO (Art. 28 ust. 3)

Procesor zobowiązuje się do:

przetwarzania danych wyłącznie na udokumentowane polecenie Administratora (polecenie realizowane m.in. przez korzystanie z funkcji Systemu — np. przesłanie faktury do zaksięgowania), chyba że obowiązek wynika z przepisów prawa;
zapewnienia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności (NDA) lub podlegają ustawowemu obowiązkowi poufności;
wdrożenia odpowiednich środków technicznych i organizacyjnych (Art. 32 — § 4);
przestrzegania warunków korzystania z Podprocesorów (§ 5);
wspierania Administratora w realizacji praw osób, których dane dotyczą (Art. 15–22 — § 6);
wspierania Administratora w zgodności z Art. 32–36 (bezpieczeństwo, zgłaszanie naruszeń);
usunięcia lub zwrotu danych po zakończeniu usług (§ 8);
udostępnienia informacji niezbędnych do wykazania zgodności oraz umożliwienia audytu (§ 9).

Polecenia szczegółowe Administrator wydaje e-mailem; Procesor realizuje je w terminie 14 dni. Procesor może odmówić wykonania polecenia sprzecznego z RODO (np. usunięcie danych przed upływem okresu archiwizacji) — z pisemnym uzasadnieniem w ciągu 7 dni.

§ 4. ŚRODKI BEZPIECZEŃSTWA (Art. 32)

Techniczne: szyfrowanie transmisji (TLS 1.3), szyfrowanie backupów, hasła (bcrypt), kontrola dostępu (multi-tenancy z izolacją danych per klient, role: właściciel/księgowy/read-only), tokeny sesji krótkotrwałe, logowanie i audyt operacji, backup dzienny/tygodniowy z retencją, firewall/rate-limiting.

Organizacyjne: dostęp „need-to-know", coroczny przegląd uprawnień, natychmiastowe odwołanie dostępu po zakończeniu współpracy, procedura reakcji na naruszenie (Data Breach), zgłoszenie do UODO w 72h (§ 7).

Minimalizacja/pseudonimizacja: zbieranie wyłącznie danych niezbędnych do księgowości; identyfikacja użytkowników/pracowników przez ID; brak profilowania.

§ 5. PODPROCESORZY (Dalsi Podmioty Przetwarzające)

5.1 Zgoda ogólna

Administrator wyraża ogólną zgodę na korzystanie z Podprocesorów wymienionych w § 5.2. Procesor powiadomi o zamiarze dodania/zmiany Podprocesora z co najmniej 30-dniowym wyprzedzeniem. Administrator może zgłosić sprzeciw w ciągu 14 dni; w razie sprzeciwu, którego nie da się uwzględnić, Administrator może rozwiązać umowę z 30-dniowym wypowiedzeniem.

5.2 Lista Podprocesorów (aktualna na dzień zawarcia Umowy)

Podprocesor	Siedziba	Zakres przetwarzania	Zabezpieczenia / podstawa transferu
Anthropic, PBC	USA (San Francisco)	Księgowanie AI: klasyfikacja i odczyt dokumentów, generowanie odpowiedzi asystenta. Brak treningu na danych API.	Standardowe Klauzule Umowne (SCC, dec. KE 2021/914) + szyfrowanie; ISO 27001/42001, SOC 2 Type II. Retencja po stronie dostawcy: do 30 dni (dłużej wyłącznie przy podejrzeniu naruszenia zasad użytkowania); opcja Zero Data Retention nie jest stosowana
OpenAI Ireland Ltd (przetwarzanie także przez podmioty powiązane OpenAI w USA)	Irlandia (Dublin) / USA	Model AI: generowanie i kontrola treści korespondencji, odczyt dokumentów (OCR). Brak treningu na danych API; odpowiedzi nie są zapisywane po stronie dostawcy; retencja: logi monitorowania nadużyć do 30 dni	Standardowe warunki przetwarzania danych dostawcy (OpenAI Data Processing Addendum, część OpenAI Services Agreement) ze Standardowymi Klauzulami Umownymi (SCC, dec. KE 2021/914) dla transferu do USA + szyfrowanie transmisji
OVH Sp. z o.o. (Wrocław)	Polska (serwer w Warszawie) / EOG	Hosting produkcyjny Systemu: serwer (VPS), na którym działają aplikacja i baza danych z dokumentami i danymi Administratora	Umowa powierzenia zgodna z Art. 28 RODO (standardowe warunki dostawcy); dane przechowywane w Polsce (EOG)
SeoHost.pl (operator: H88 S.A.)	Polska / EOG	Hosting poczty (IMAP/SMTP) oraz frontendu dashboardu	Umowa powierzenia zgodna z Art. 28 RODO; dane w EOG
PayU S.A.	Poznań, Polska / EOG	Obsługa płatności/subskrypcji za usługę	Umowa powierzenia; dane w EOG (dot. wyłącznie danych rozliczeniowych za usługę)
Cloudflare R2	EOG (region UE)	Szyfrowane kopie zapasowe bazy danych i dokumentów klientów (backup)	Szyfrowanie; lokalizacja przechowywania w UE; umowa powierzenia

Aktualna lista dostępna: https://ikrystyna.pl/podprocesory

NIE są podprocesorami: oprogramowanie Procesora (backend, PostgreSQL) — uruchamiane na serwerze dzierżawionym od OVH (wyżej); lokalny model AI (Qwen) — własna infrastruktura Procesora; KSeF — organ publiczny (Ministerstwo Finansów), nie komercyjny procesor.

5.3 Obowiązki wobec Podprocesorów

Procesor nakłada na każdego Podprocesora obowiązki ochrony danych analogiczne do niniejszej Umowy (Art. 28 ust. 4) i ponosi wobec Administratora pełną odpowiedzialność za ich działania.

5.4 Transfer poza EOG (Anthropic, OpenAI — USA)

Mechanizm: SCC (dec. KE 2021/914) zawarte w warunkach przetwarzania danych dostawców. Dodatkowe środki: szyfrowanie transmisji, minimalizacja danych, monitoring przepisów USA, zobowiązanie Anthropic do zaskarżania nakazów sprzecznych z prawem UE. Administrator ma prawo żądać kopii zabezpieczeń (SCC) oraz zgłosić sprzeciw wobec transferu (ograniczy funkcjonalność AI).

§ 6. WSPARCIE W REALIZACJI PRAW OSÓB (Art. 15–22)

Procesor wspiera Administratora w realizacji praw: dostęp (15), sprostowanie (16), usunięcie (17), ograniczenie (18), przenoszenie (20), sprzeciw (21). Żądania osób trafiają do Administratora, który przekazuje je Procesorowi e-mailem na compliance@ikrystyna.pl; potwierdzenie odbioru w 24h (dni robocze), realizacja w 14 dni (eksport danych w JSON/CSV/XML, edycja, anonimizacja, blokada konta).

Ograniczenie prawa do usunięcia (Art. 17 ust. 3): dokumenty księgowe przechowywane obowiązkowo przez 5 lat (Art. 74 Ustawy o rachunkowości) — rozwiązaniem jest anonimizacja danych osobowych z zachowaniem dokumentów.

§ 7. NARUSZENIE OCHRONY DANYCH (Data Breach)

Procesor niezwłocznie (maks. 24h od wykrycia) powiadamia Administratora (e-mail + telefon) o naruszeniu. Powiadomienie zawiera: opis naruszenia (charakter, czas, zakres danych i liczba osób), dane kontaktowe osoby odpowiedzialnej, prawdopodobne konsekwencje i ocenę ryzyka, środki zaradcze. Procesor współpracuje przy zgłoszeniu do UODO (72h — Art. 33) oraz przy ewentualnym powiadomieniu osób (Art. 34). Zgłoszenia do UODO dokonuje Administrator; Procesor dostarcza informacje.

Kanał kontaktowy Administratora na potrzeby powiadomień: e-mail [EMAIL_KLIENTA], telefon [TELEFON_KLIENTA].

§ 8. USUNIĘCIE LUB ZWROT DANYCH

Po zakończeniu usług Administrator wybiera: (A) zwrot danych (JSON/CSV/XML, termin 14 dni) albo (B) usunięcie (z wyjątkiem danych objętych obowiązkiem archiwizacji; termin 30 dni + certyfikat usunięcia). Obowiązuje 30-dniowy okres „grace" (dane read-only, możliwość zmiany decyzji/eksportu). Wyjątki od usunięcia: dokumenty księgowe (5 lat, zanonimizowane), logi audytowe (3 lata, pseudonimizowane), dane do dochodzenia roszczeń (3 lata). Dane w backupach mogą pozostać do 90 dni od usunięcia z produkcji.

§ 9. AUDYT I INSPEKCJA

Administrator ma prawo do audytu zgodności (samodzielnie lub przez audytora) — z 14-dniowym wyprzedzeniem, z zachowaniem tajemnicy handlowej i bez dostępu do danych innych klientów (multi-tenancy). Audyt „na żądanie": raz na 12 miesięcy (bezpłatnie) oraz w razie podejrzenia naruszenia. Na żądanie Procesor udostępnia: raporty z testów bezpieczeństwa, potwierdzenia szkoleń RODO, umowy z Podprocesorami (bez warunków komercyjnych), politykę bezpieczeństwa, aktualną listę Podprocesorów.

§ 10. ODPOWIEDZIALNOŚĆ

Procesor odpowiada za szkody wynikłe z naruszenia obowiązków adresowanych do procesorów (Art. 28 ust. 3) lub działania niezgodnego z poleceniami (Art. 82 ust. 2). Górna granica odpowiedzialności: 12-krotność miesięcznej opłaty za usługę (nie dotyczy winy umyślnej / rażącego niedbalstwa). Wyłączenia: błędne polecenia/dane Administratora, działania osób trzecich (hacking), siła wyższa. Procesor utrzymuje ubezpieczenie OC.

§ 11. POSTANOWIENIA KOŃCOWE

Umowa wchodzi w życie z dniem zawarcia Umowy o świadczenie usług księgowych i obowiązuje przez okres świadczenia usług oraz archiwizacji danych. Zmiany wymagają formy pisemnej/e-mail. Hierarchia dokumentów: niniejsza Umowa → Regulamin/Umowa usług → Polityka Prywatności. Prawo właściwe: polskie. Język wiążący: polski. Nieważność jednego postanowienia nie wpływa na pozostałe.

PODPISY STRON

ADMINISTRATOR DANYCH OSOBOWYCH:

[NAZWA_SPOLKI]

........................... ............................................ (imię, nazwisko, funkcja — wg KRS) Data: __________

PODMIOT PRZETWARZAJĄCY:

AutoOffice Sp. z o.o. (iKrystyna)

........................... Bogdan Czarnecki, Członek Zarządu Data: __________

ZAŁĄCZNIK — Lista Podprocesorów

Aktualizowana online: https://ikrystyna.pl/podprocesory (wersja na dzień zawarcia — patrz § 5.2).