ZAŁĄCZNIK NR 1 DO REGULAMINU

Regulamin samodzielnego Portalu KSeF dla Firm

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

Stanowiąca integralną część Regulaminu | 28 października 2026 r.

Obowiązuje od 7 listopada 2026 r.

Pobierz PDF

Regulamin Portalu KSeF dla Firm

§ 1. Strony, zawarcie i status Umowy powierzenia

1. 1. Niniejsza Umowa powierzenia stanowi Załącznik nr 1 do Regulaminu samodzielnego Portalu KSeF dla Firm i jest zawierana pomiędzy Rafałem Iwaniakiem, prowadzącym działalność gospodarczą pod firmą Rafał Iwaniak, ul. Baczyńskiego 3, 46-100 Namysłów, NIP 9910424138 (Usługodawca), a przedsiębiorcą, którego dane identyfikacyjne zostały podane podczas rejestracji Konta Firmy (Firma).
2. 2. Umowa powierzenia zostaje zawarta wraz z Umową o świadczenie Portalu w chwili skutecznej aktywacji Konta Firmy, po uprzednim zaakceptowaniu Regulaminu wraz z niniejszym Załącznikiem nr 1. Utrwalona treść i data akceptacji stanowią dokumentację zawarcia Umowy powierzenia w postaci elektronicznej.
3. 3. W zakresie Danych powierzonych Firma jest administratorem, a Usługodawca podmiotem przetwarzającym. Jeżeli Firma przetwarza dane na polecenie innego administratora, działa wobec Usługodawcy jako podmiot przetwarzający, a Usługodawca jako dalszy podmiot przetwarzający. Jeżeli Firma przetwarza Dane powierzone na polecenie innego administratora, zapewnia, że korzystanie z Usługodawcy jako dalszego podmiotu przetwarzającego następuje w granicach udokumentowanych poleceń administratora oraz na podstawie udzielonej przez niego uprzedniej szczegółowej albo ogólnej pisemnej zgody na dalsze powierzenie.
4. 4. Umowa powierzenia obowiązuje przez czas wykonywania czynności na Danych powierzonych, w tym ich zwrotu lub usuwania po zakończeniu świadczenia Portalu. Dane przetwarzane przez Usługodawcę jako odrębnego administratora, dotyczące jego własnych rozliczeń, zawarcia umów lub kontaktu z Firmą, nie są przedmiotem niniejszej Umowy powierzenia.

§ 2. Przedmiot, charakter, cele i zakres przetwarzania

1. 1. Przedmiotem powierzenia są dane osobowe zawarte w Fakturach pobieranych z KSeF, dane i metadane związane z korzystaniem z samodzielnego Konta Firmy oraz dane związane z konfiguracją dostępu do KSeF, w zakresie, w jakim Firma powierza ich przetwarzanie Usługodawcy („Dane powierzone”).
2. 2. Przetwarzanie polega na pozyskiwaniu danych z KSeF po nadaniu wymaganych uprawnień, utrwalaniu, przechowywaniu, porządkowaniu, wyszukiwaniu, zestawianiu, udostępnianiu uprawnionemu Użytkownikowi, eksportowaniu, zabezpieczaniu, wykonywaniu kopii zapasowych oraz usuwaniu danych, a także na przetwarzaniu poświadczeń niezbędnych do utrzymania połączenia z KSeF.
3. 3. Celem przetwarzania jest świadczenie bezpłatnej Usługi opisanej w Regulaminie, obejmującej dostęp do Faktur i ich archiwum, synchronizację z KSeF oraz realizację dyspozycji Firmy związanych z eksportem, zakończeniem korzystania z Portalu i połączeniem Konta Firmy z Biurem.
4. 4. Zakres przetwarzania obejmuje zwykłe dane osobowe dotyczące Firmy, jej przedstawicieli, pracowników i współpracowników oraz kontrahentów i innych osób wskazanych w Fakturach pobranych z KSeF. Dane szczególnych kategorii mogą wystąpić incydentalnie w treści Faktur pobranych z KSeF. Usługodawca nie wykorzystuje ich do własnych celów.

§ 3. Polecenia dotyczące przetwarzania

1. 1. Usługodawca przetwarza Dane powierzone wyłącznie na udokumentowane polecenie podmiotu powierzającego, w granicach celu i zakresu określonych w niniejszej Umowie powierzenia. Udokumentowane polecenia obejmują postanowienia Regulaminu, czynności wykonywane w Aplikacji przez osoby uprawnione oraz polecenia przekazane Usługodawcy w formie dokumentowej.
2. 2. Usługodawca nie wykorzystuje Danych powierzonych do prowadzenia własnych analiz gospodarczych, reklamy, rozwijania profili użytkowników ani trenowania modeli sztucznej inteligencji. Dostęp do Danych powierzonych w celach utrzymania, bezpieczeństwa i obsługi awarii ogranicza do czynności koniecznych do wykonania Usługi lub polecenia podmiotu powierzającego.
3. 3. Jeżeli określona operacja jest wymagana przepisem prawa Unii Europejskiej albo państwa członkowskiego, któremu Usługodawca podlega, Usługodawca informuje podmiot powierzający o tym obowiązku przed rozpoczęciem przetwarzania, chyba że przepis zabrania udzielenia takiej informacji z uwagi na ważny interes publiczny.
4. 4. Usługodawca niezwłocznie informuje podmiot powierzający, jeżeli w jego ocenie otrzymane polecenie narusza RODO lub inne przepisy o ochronie danych osobowych. W zakresie uzasadnionym takim ryzykiem może wstrzymać wykonanie polecenia do czasu jego wyjaśnienia, nie podejmując przy tym czynności wykraczających poza niezbędną ochronę Danych powierzonych.

§ 4. Poufność oraz dostęp personelu

1. 1. Usługodawca zapewnia, aby osoby dopuszczone z jego upoważnienia do przetwarzania Danych powierzonych były zobowiązane do zachowania ich poufności albo podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.
2. 2. Uprawnienia dostępu nadaje się wyłącznie w zakresie niezbędnym do wykonywania obowiązków. Usługodawca odbiera dostęp osobom, które utraciły podstawę do jego posiadania, oraz zapewnia odpowiednie zabezpieczenia kont administracyjnych.
3. 3. Obowiązek poufności obejmuje również okres po ustaniu współpracy z osobą dopuszczoną do przetwarzania, niezależnie od zakończenia niniejszej Umowy powierzenia.

§ 5. Środki techniczne i organizacyjne

1. 1. Usługodawca stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, o których mowa w art. 32 RODO, uwzględniając charakter danych księgowych, zagrożenia związane z dostępem do KSeF, skalę przetwarzania i dostępne rozwiązania techniczne.
2. 2. Zabezpieczenia obejmują w szczególności:
   1. a. kontrolę uprawnień i logiczne odseparowanie danych poszczególnych kont;
   2. b. obowiązkowe uwierzytelnianie dwuskładnikowe przy logowaniu do Konta Firmy;
   3. c. ochronę transmisji danych;
   4. d. przechowywanie haseł w postaci skrótów kryptograficznych;
   5. e. szyfrowanie przechowywanych poświadczeń KSeF i plików w zakresie wynikającym z architektury Aplikacji;
   6. f. szyfrowanie numeru PESEL zapisanego w związku z obsługą Certyfikatu KSeF;
   7. g. przechowywanie klucza głównego służącego do ochrony kluczy danych poza produkcyjną bazą danych, z wykorzystaniem usługi zarządzania kluczami;
   8. h. rejestrowanie zdarzeń istotnych dla bezpieczeństwa;
   9. i. wykonywanie i zabezpieczanie kopii zapasowych.
3. 3. Usługodawca chroni poświadczenia KSeF przed nieuprawnionym ujawnieniem i nie przekazuje ich w zwykłej korespondencji elektronicznej. Usunięcie tokenu lub certyfikatu z Aplikacji nie jest równoznaczne z jego unieważnieniem w KSeF.
4. 4. Usługodawca przegląda przyjęte zabezpieczenia, reaguje na stwierdzone podatności oraz podejmuje działania w celu przywrócenia dostępności danych po incydencie, odpowiednio do skutków zdarzenia i dostępnych zasobów. Szczegółowe parametry techniczne i okresy kopii wynikają z faktycznie stosowanej konfiguracji, nie zaś z samego opisu usług zewnętrznych.

§ 6. Dalsze powierzenie przetwarzania

1. 1. Firma udziela Usługodawcy ogólnego pisemnego upoważnienia do korzystania z dalszych podmiotów przetwarzających, których udział jest niezbędny do świadczenia Portalu. W dniu przyjęcia niniejszej Umowy powierzenia podstawowe usługi dalszego powierzenia przedstawia poniższe zestawienie.
2. 2. Usługodawca zawiera z każdym dalszym podmiotem przetwarzającym umowę zapewniającą ochronę danych odpowiadającą wymogom art. 28 ust. 3 i 4 RODO oraz ponosi wobec Firmy odpowiedzialność za wykonanie obowiązków dalszego podmiotu przetwarzającego w zakresie przewidzianym tymi przepisami.

1. 3. O zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego Usługodawca zawiadamia Firmę na adres e-mail przypisany do Konta Firmy z wyprzedzeniem umożliwiającym zgłoszenie sprzeciwu przed rozpoczęciem przetwarzania przez nowy podmiot. Zawiadomienie określa tożsamość podmiotu, zakres czynności i planowany termin zmiany.
2. 4. Firma może przed planowanym rozpoczęciem przetwarzania przez nowy podmiot wnieść uzasadniony sprzeciw wynikający z ryzyka dla ochrony danych. Usługodawca podejmuje próbę usunięcia przyczyny sprzeciwu lub zastosowania innego rozwiązania; gdy nie jest to możliwe, Firma może zakończyć korzystanie z Usługi i uzyskać Dane powierzone na zasadach Regulaminu.
3. 5. Obsługa zwykłej korespondencji przez konsumencką usługę pocztową nie stanowi upoważnienia do przekazywania tą drogą Faktur, poświadczeń KSeF ani innych Danych powierzonych. Dane wymagające dostępu pracowników wsparcia są przekazywane wyłącznie za pomocą kanału objętego odpowiednimi zabezpieczeniami i, jeżeli zachodzi powierzenie, właściwą umową.

§ 7. Przekazywanie danych poza EOG

1. 1. Przekazanie Danych powierzonych poza Europejski Obszar Gospodarczy lub udostępnienie ich odbiorcy w państwie trzecim jest dopuszczalne wyłącznie na udokumentowane polecenie podmiotu powierzającego i przy spełnieniu warunków rozdziału V RODO.
2. 2. W zakresie niezbędnym do korzystania z usług dalszych podmiotów przetwarzających wskazanych w § 6 niniejszego Załącznika podmiot powierzający upoważnia Usługodawcę do realizowania transferów zgodnych z aktualną architekturą Usługi, pod warunkiem zapewnienia właściwej podstawy transferu. Może nią być w szczególności decyzja stwierdzająca odpowiedni stopień ochrony, w granicach jej zastosowania, albo właściwe standardowe klauzule umowne wraz z wymaganymi środkami uzupełniającymi.
3. 3. Przy wyborze lub zmianie odbiorcy Usługodawca ustala, czy dostęp z państwa trzeciego rzeczywiście występuje, jaki podmiot otrzymuje dane oraz czy stosowany mechanizm transferu obejmuje daną operację. Na wniosek podmiotu powierzającego udostępnia informacje umożliwiające ocenę tych okoliczności.
4. 4. Samo umiejscowienie centrum danych w EOG nie przesądza o braku transferów związanych ze wsparciem, dziennikami technicznymi, korespondencją lub dostępem dalszych podmiotów przetwarzających.

§ 8. Pomoc w realizacji obowiązków wynikających z RODO

1. 1. Uwzględniając charakter przetwarzania, Usługodawca w miarę możliwości pomaga podmiotowi powierzającemu w realizacji praw osób, których dane dotyczą, przez zapewnienie dostępnych funkcji Aplikacji oraz, w uzasadnionych przypadkach, wykonanie dodatkowych czynności technicznych.
2. 2. Żądania osób, których dane dotyczą, otrzymane bezpośrednio przez Usługodawcę w związku z Danymi powierzonymi, są przekazywane podmiotowi powierzającemu bez zbędnej zwłoki. Usługodawca nie rozstrzyga samodzielnie o zasadności takich żądań, chyba że wymaga tego przepis prawa.
3. 3. Usługodawca udziela informacji i wsparcia niezbędnych do oceny ryzyka, stosowania środków bezpieczeństwa, zgłaszania naruszeń ochrony danych oraz przeprowadzenia oceny skutków dla ochrony danych i uprzednich konsultacji, w zakresie określonym w art. 28 ust. 3 lit. f RODO.
4. 4. Pomoc nie oznacza przejęcia przez Usługodawcę obowiązków administratora dotyczących ustalenia podstaw prawnych przetwarzania, wykonania obowiązków informacyjnych ani podjęcia decyzji o zgłoszeniu naruszenia organowi nadzorczemu lub zawiadomieniu osób, których dane dotyczą.

§ 9. Naruszenia ochrony danych osobowych

1. 1. Po stwierdzeniu naruszenia ochrony Danych powierzonych Usługodawca zawiadamia podmiot powierzający bez zbędnej zwłoki, nie później jednak niż w ciągu 48 godzin od stwierdzenia naruszenia, przekazując informacje dostępne na danym etapie wyjaśniania zdarzenia. Obowiązek ten obejmuje również naruszenia, o których Usługodawca uzyskał informację od dalszego podmiotu przetwarzającego. Zawiadomienie kieruje na adres poczty elektronicznej przypisany do Konta Firmy, a w razie potrzeby także innym uzgodnionym kanałem.
2. 2. Zawiadomienie zawiera, w zakresie informacji dostępnych Usługodawcy:
   1. a. opis charakteru naruszenia;
   2. b. kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych objętych naruszeniem;
   3. c. opis możliwych konsekwencji naruszenia;
   4. d. opis środków zastosowanych lub planowanych w celu ograniczenia jego skutków;
   5. e. dane punktu kontaktowego umożliwiającego uzyskanie dalszych informacji.

Brak wszystkich informacji nie wstrzymuje pierwszego zawiadomienia. Usługodawca przekazuje dalsze informacje bez zbędnej zwłoki po ich uzyskaniu.

1. 3. Usługodawca podejmuje działania ograniczające skutki naruszenia, zabezpiecza dostępne informacje pozwalające odtworzyć jego przebieg oraz współpracuje z podmiotem powierzającym przy ustalaniu zakresu zdarzenia i działań naprawczych.

§ 10. Wykazanie zgodności i audyt

1. 1. Usługodawca udostępnia informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO i umożliwia przeprowadzenie audytu, w tym inspekcji, przez uprawniony podmiot lub audytora działającego z jego umocowania.
2. 2. Weryfikacja odbywa się w pierwszej kolejności na podstawie dokumentacji bezpieczeństwa, opisów procedur, wyników niezależnych audytów i odpowiedzi na uzasadnione pytania. Usługodawca umożliwia dalszą weryfikację, jeżeli powyższe materiały nie pozwalają wykazać przestrzegania obowiązków.
3. 3. Termin i zakres audytu ustala się z uwzględnieniem bezpieczeństwa systemów, praw innych klientów i ochrony informacji poufnych. Zwykły audyt jest zapowiadany z odpowiednim wyprzedzeniem; obowiązek uprzedzenia nie wyłącza koniecznych czynności po poważnym incydencie lub na żądanie właściwego organu.
4. 4. Audyt nie obejmuje nieograniczonego dostępu do danych innych klientów ani ujawnienia haseł, kluczy prywatnych i tajemnic przedsiębiorstwa, jeżeli cel kontroli można osiągnąć za pomocą innych, równoważnych dowodów.

§ 11. Zakończenie przetwarzania, zwrot i usuwanie danych

1. 1. Z wyjątkiem zakończenia samodzielnej Umowy wskutek połączenia Konta Firmy z Biurem, po zakończeniu Umowy Firma może w terminie 30 dni odebrać Dane powierzone za pomocą dostępnego eksportu albo zwrócić się do Usługodawcy o ich bezpieczne wydanie. Jeżeli Firma zgłosi żądanie wydania danych przed upływem tego okresu, dane objęte żądaniem nie są usuwane przed zweryfikowaniem uprawnienia wnioskodawcy i ich udostępnieniem w sposób umożliwiający pobranie. Do zmiany dostawcy stosuje się odrębne terminy określone w § 16 Regulaminu.
2. 2. Firma może polecić zwrot Danych powierzonych albo ich usunięcie. Jeżeli nie wyda odrębnej dyspozycji, po upływie właściwego okresu odzyskiwania danych Usługodawca usuwa Dane powierzone ze środowiska produkcyjnego. W przypadku zwykłego wypowiedzenia Umowy przez Firmę Usługodawca przesyła przypomnienie o planowanym usunięciu danych na 3 dni przed jego wykonaniem, zgodnie z § 15 Regulaminu. Jeżeli obowiązek przechowywania określonych danych wynika z prawa Unii Europejskiej albo prawa państwa członkowskiego, któremu podlega Usługodawca, dane te są przechowywane wyłącznie w wymaganym zakresie i okresie.
3. 3. Dane powierzone usunięte ze środowiska produkcyjnego są usuwane z kopii zapasowych najpóźniej w ciągu 27 dni od ich usunięcia ze środowiska produkcyjnego. Do czasu usunięcia kopie pozostają zabezpieczone i nie są wykorzystywane do bieżącej obsługi Firmy. Jeżeli kopia zostanie odtworzona, Usługodawca ponownie wykonuje czynności usunięcia dotyczące Danych powierzonych, które wcześniej zostały skutecznie usunięte.
4. 4. Połączenie Konta Firmy z Biurem nie powoduje automatycznego przeniesienia archiwum Firmy do przestrzeni Biura. Potwierdzenie połączenia po udostępnieniu informacji o jego skutkach stanowi polecenie usunięcia Danych powierzonych zgromadzonych w ramach samodzielnej Usługi. Dane są usuwane ze środowiska produkcyjnego w ramach realizacji połączenia, bez stosowania 30-dniowego okresu określonego w ust. 1 niniejszego paragrafu. Do danych pozostających w kopiach zapasowych stosuje się ust. 3 niniejszego paragrafu. Jeżeli przed połączeniem Firma skutecznie uruchomiła procedurę zmiany dostawcy albo zgłosiła niewykonane żądanie wydania danych, do danych objętych takim żądaniem stosuje się właściwą procedurę przed ich usunięciem.
5. 5. Obowiązki zwrotu i usuwania realizuje się z uwzględnieniem bezwzględnie obowiązujących przepisów dotyczących zmiany dostawcy usług przetwarzania danych, jeżeli znajdują zastosowanie do danej Usługi.

§ 12. Pierwszeństwo postanowień i zmiany

1. 1. W zakresie przetwarzania Danych powierzonych niniejsza Umowa powierzenia ma pierwszeństwo przed Regulaminem. Nie uchybia to bezpośrednio stosowanym przepisom RODO ani obowiązkom administratora i podmiotów przetwarzających.
2. 2. Zmiana niniejszej Umowy powierzenia wymaga zachowania zasad zmiany dokumentów umownych określonych w Regulaminie, z uwzględnieniem prawa do sprzeciwu wobec nowych dalszych podmiotów przetwarzających na zasadach § 6 niniejszego Załącznika.
3. 3. Usługodawca utrwala zawarcie Umowy powierzenia w sposób pozwalający ustalić Firmę, treść wersji zaakceptowanej przy zawarciu Umowy oraz datę jej akceptacji. W przypadku późniejszych zmian zachowuje treść kolejnych wersji Umowy powierzenia oraz informacje pozwalające ustalić ich udostępnienie Firmie, przekazanie zawiadomienia o zmianie i datę rozpoczęcia stosowania zmienionych postanowień. Jeżeli dana zmiana wymaga odrębnego uzgodnienia lub nowego polecenia Firmy, Usługodawca utrwala również takie uzgodnienie lub polecenie. Umowa powierzenia jest udostępniana przed zawarciem Umowy w postaci umożliwiającej jej pobranie i odtworzenie.