Umowa Powierzenia Przetwarzania Danych Osobowych zawierana na podstawie art. 28 RODO w związku z korzystaniem z serwisu HUB-KSeF

1 §1. Strony i definicje

1.1 Podmiot przetwarzający (Procesor): Rybczak i Wspólnicy Sp. z o.o., ul. Przyjemna 4, 44-264 Jankowice, KRS 0000361541, NIP 642-318-72-10, prowadzący serwis HUB-KSeF (dalej: „Operator" lub „Procesor").

1.2 Administrator: Użytkownik, który zarejestrował konto w serwisie HUB-KSeF i przekazuje do niego dane osobowe zawarte w wystawianych fakturach (dalej: „Administrator" lub „Użytkownik"). Dane identyfikujące Administratora (nazwa, NIP, adres e-mail) wynikają z formularza rejestracji i konta w Panelu.

1.3 RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.

1.4 Dane osobowe – dane osobowe Kontrahentów Administratora, przekazane do Serwisu w związku z wystawianiem i wysyłką faktur, w zakresie, w jakim stanowią dane osobowe w rozumieniu art. 4 pkt 1 RODO.

1.5 Umowa główna – umowa o świadczenie usług serwisu HUB-KSeF, której niniejsza Umowa Powierzenia stanowi integralną część.

2 §2. Przedmiot i cel powierzenia

2.1 Administrator powierza Procesorowi przetwarzanie Danych osobowych wyłącznie w celu i zakresie niezbędnym do świadczenia usług serwisu HUB-KSeF, tj. przyjęcia faktur z systemów źródłowych Administratora, ich walidacji, uzupełnienia danych podmiotów na podstawie publicznego rejestru GUS/REGON, wygenerowania faktury w formacie FA(3) oraz przesłania jej do Krajowego Systemu e-Faktur (KSeF).

2.2 Procesor przetwarza Dane osobowe wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie uznaje się również czynności wykonywane przez Administratora za pośrednictwem Serwisu (przesłanie faktury przez API, wystawienie faktury w Panelu) oraz postanowienia Umowy głównej i niniejszej Umowy Powierzenia.

2.3 Procesor nie przetwarza Danych osobowych w celach własnych ani w celach marketingowych.

2.4 KSeF nie jest podprocesorem. Przekazanie faktury do Krajowego Systemu e-Faktur (Ministerstwo Finansów) następuje na podstawie przepisów prawa; w tym zakresie Ministerstwo Finansów działa jako odrębny administrator danych. Analogicznie, korzystanie z publicznego rejestru GUS/REGON w celu uzupełnienia danych podmiotu nie stanowi powierzenia przetwarzania.

3 §3. Zakres i kategorie danych

3.1 Kategorie osób: Kontrahenci Administratora będący osobami fizycznymi, w tym osoby fizyczne prowadzące działalność gospodarczą, oraz osoby wskazane na fakturze (np. odbiorca).

3.2 Zakres danych: dane identyfikujące i adresowe zawarte na fakturze, w szczególności: imię i nazwisko lub nazwa, NIP, adres, oraz inne dane niezbędne do wystawienia faktury i jej przesłania do KSeF.

3.3 Procesor nie przetwarza w ramach powierzenia danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator zobowiązuje się nie przekazywać takich danych do Serwisu.

4 §4. Obowiązki Podmiotu przetwarzającego

Procesor zobowiązuje się do:

1. przetwarzania Danych osobowych wyłącznie na udokumentowane polecenie Administratora, w zakresie i celu określonym w §2;
2. zapewnienia, by osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi zachowania tajemnicy;
3. stosowania środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania, zgodnie z art. 32 RODO (§7);
4. przestrzegania warunków korzystania z usług podprocesorów (§6);
5. wspierania Administratora w realizacji praw osób, których dane dotyczą (§8);
6. wspierania Administratora w wywiązywaniu się z obowiązków wynikających z art. 32–36 RODO, z uwzględnieniem charakteru przetwarzania i dostępnych mu informacji;
7. po zakończeniu świadczenia usług – usunięcia lub zwrotu Danych osobowych zgodnie z §10;
8. udostępniania Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków wynikających z art. 28 RODO oraz umożliwienia audytów na zasadach określonych w §12.

5 §5. Obowiązki Administratora

Administrator zobowiązuje się do:

1. posiadania ważnej podstawy prawnej przetwarzania Danych osobowych Kontrahentów;
2. wypełnienia obowiązku informacyjnego wobec osób, których dane dotyczą (art. 13–14 RODO);
3. przekazywania do Serwisu wyłącznie danych prawidłowych, aktualnych i niezbędnych do wystawienia oraz wysyłki faktury;
4. nieprzekazywania danych szczególnych kategorii (art. 9 RODO);
5. wydawania poleceń przetwarzania zgodnych z prawem oraz z niniejszą Umową.

6 §6. Podprocesory

6.1 Administrator wyraża ogólną zgodę na korzystanie przez Procesora z podprocesorów w celu świadczenia usług. Aktualna lista podprocesorów stanowi część niniejszej Umowy oraz jest publikowana w Polityce Prywatności.

6.2 Na dzień akceptacji niniejszej Umowy Procesor korzysta z następujących podprocesorów:

6.3 Procesor zapewnia, że każdy podprocesor jest związany obowiązkami w zakresie ochrony danych odpowiadającymi obowiązkom określonym w niniejszej Umowie.

6.4 O zamiarze dodania lub zmiany podprocesora Procesor informuje Administratora z co najmniej 14-dniowym wyprzedzeniem (drogą e-mailową lub przez powiadomienie w Panelu). Administrator może w tym terminie wnieść uzasadniony sprzeciw. W razie sprzeciwu, którego nie da się rozwiązać, Administratorowi przysługuje prawo rozwiązania Umowy głównej.

7 §7. Bezpieczeństwo danych

7.1 Procesor stosuje środki techniczne i organizacyjne odpowiadające ryzyku, zgodnie z art. 32 RODO, w szczególności:

• szyfrowanie transmisji danych (SSL/TLS),
• szyfrowane przechowywanie kluczy i danych uwierzytelniających certyfikatów KSeF,
• kontrolę dostępu opartą na zasadzie minimalnych uprawnień,
• izolację danych pomiędzy poszczególnymi Użytkownikami (Administratorami),
• regularne kopie zapasowe,
• monitorowanie i audyt logów systemowych.

7.2 Procesor zapewnia zdolność do szybkiego przywrócenia dostępności danych w razie incydentu oraz regularnie testuje skuteczność stosowanych środków.

8 §8. Prawa osób i wsparcie Administratora

8.1 W miarę możliwości Procesor pomaga Administratorowi, poprzez odpowiednie środki techniczne i organizacyjne, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie realizacji ich praw (art. 15–22 RODO).

8.2 Jeżeli żądanie osoby, której dane dotyczą, wpłynie bezpośrednio do Procesora, Procesor niezwłocznie przekaże je Administratorowi i nie będzie samodzielnie na nie odpowiadał, chyba że co innego wynika z przepisów prawa.

9 §9. Naruszenia ochrony danych

9.1 Procesor zgłasza Administratorowi każde naruszenie ochrony Danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia.

9.2 Zgłoszenie zawiera w miarę możliwości: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, prawdopodobne konsekwencje oraz zastosowane lub proponowane środki zaradcze.

9.3 Procesor wspiera Administratora w wykonaniu obowiązków wynikających z art. 33–34 RODO.

10 §10. Czas trwania i zakończenie

10.1 Niniejsza Umowa Powierzenia zostaje zawarta z chwilą jej akceptacji przez Użytkownika w toku rejestracji i obowiązuje przez czas trwania Umowy głównej.

10.2 Po zakończeniu świadczenia usług Procesor, zależnie od decyzji Administratora, usuwa lub zwraca Dane osobowe oraz usuwa istniejące kopie, w terminie 30 dni, chyba że przepisy prawa (w szczególności podatkowe) nakazują dalsze przechowywanie – w takim zakresie i przez taki okres, jaki wynika z tych przepisów.

11 §11. Odpowiedzialność

11.1 Każda ze stron ponosi odpowiedzialność za szkody spowodowane naruszeniem przepisów RODO oraz niniejszej Umowy w zakresie, w jakim naruszenie to wynika z jej działania lub zaniechania.

11.2 Ograniczenia odpowiedzialności Procesora określone w Umowie głównej (Regulaminie) stosuje się odpowiednio, z zastrzeżeniem bezwzględnie obowiązujących przepisów RODO.

12 §12. Postanowienia końcowe

12.1 Administrator ma prawo do przeprowadzenia audytu przetwarzania Danych osobowych przez Procesora, po uprzednim uzgodnieniu terminu z co najmniej 14-dniowym wyprzedzeniem, w sposób niezakłócający pracy Serwisu i z poszanowaniem poufności danych innych Użytkowników. Procesor może w pierwszej kolejności udostępnić stosowne informacje, oświadczenia lub raporty potwierdzające zgodność.

12.2 W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy o ochronie danych osobowych oraz Kodeksu cywilnego.

12.3 W razie sprzeczności pomiędzy niniejszą Umową Powierzenia a Umową główną (Regulaminem) w zakresie ochrony danych osobowych, pierwszeństwo mają postanowienia niniejszej Umowy Powierzenia.

12.4 Umowa podlega prawu polskiemu; spory rozstrzyga sąd właściwy dla siedziby Procesora.

Umowa Powierzenia obowiązuje w wersji z dnia 17 lipca 2026 r..