Quitario

Umowa powierzenia przetwarzania danych osobowych

Obowiązuje od 8 sierpnia 2026 r.

§ 1. Strony

1. Administrator — Ty, czyli przedsiębiorca korzystający z Quitario, wskazany danymi podanymi przy zakładaniu konta.
2. Przetwarzający — Jakub Zwoliński, prowadzący działalność gospodarczą pod firmą Lemon Agency Jakub Zwoliński, Aleja „Solidarności" 68/121, 00-240 Warszawa, NIP 7712932784, REGON 528999673.
3. Umowa stanowi integralną część Regulaminu i obowiązuje przez czas trwania umowy o świadczenie usług.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Powierzasz nam przetwarzanie danych osobowych wyłącznie w celu świadczenia usług Quitario: prowadzenia ewidencji podatkowych, wyliczania zobowiązań, przygotowywania i wysyłania deklaracji oraz zbierania dokumentów kosztowych.
2. Przetwarzanie ma charakter ciągły i odbywa się w systemach teleinformatycznych.
3. Przetwarzamy dane wyłącznie na Twoje udokumentowane polecenie. Poleceniem jest korzystanie przez Ciebie z funkcji Serwisu, w szczególności podłączenie źródła dokumentów i zatwierdzenie czynności.
4. Jeżeli obowiązek przetwarzania nałoży na nas prawo Unii lub prawo polskie, poinformujemy Cię o tym przed przetwarzaniem — chyba że przepis tego zabrania z uwagi na ważny interes publiczny.

§ 3. Rodzaj danych i kategorie osób

Nie powierzasz nam świadomie danych szczególnych kategorii w rozumieniu art. 9 RODO. Jeżeli takie dane trafią do Serwisu przypadkowo — na przykład w treści faktury za usługę medyczną — przetwarzamy je na tych samych zasadach i z tą samą ochroną, co pozostałe.

§ 4. Nasze obowiązki

1. Przetwarzamy dane wyłącznie w zakresie i celu opisanych w § 2.
2. Zapewniamy, że osoby dopuszczone do przetwarzania są zobowiązane do zachowania poufności.
3. Stosujemy środki techniczne i organizacyjne wymagane przez art. 32 RODO — ich opis znajduje się w § 6.
4. Pomagamy Ci wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą. Jeżeli takie żądanie trafi bezpośrednio do nas, nie odpowiadamy na nie samodzielnie — przekazujemy je Tobie bez zbędnej zwłoki.
5. Pomagamy Ci wywiązać się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne nam informacje.
6. Zgłaszamy Ci każde naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia — tak, żebyś zdążył wykonać własny obowiązek zgłoszenia do Prezesa UODO w ciągu 72 godzin. Zgłoszenie zawiera charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje oraz podjęte środki.
7. Po zakończeniu świadczenia usług usuwamy dane albo zwracamy je Tobie — zgodnie z Twoim wyborem — z zastrzeżeniem § 7.
8. Udostępniamy Ci informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwiamy audyt na zasadach z § 8.

§ 5. Podpowierzenie

1. Wyrażasz ogólną zgodę na korzystanie przez nas z podwykonawców. Poniższa lista jest kompletna na dzień obowiązywania umowy.

2. O zamiarze dodania lub zmiany podwykonawcy informujemy Cię z wyprzedzeniem 30 dni. Możesz wnieść sprzeciw w tym terminie; jeżeli go wniesiesz, a my nie zrezygnujemy ze zmiany, możesz rozwiązać umowę ze skutkiem natychmiastowym i otrzymasz zwrot opłaty za niewykorzystany okres.
3. Na podwykonawców nakładamy te same obowiązki ochrony danych, które wynikają z tej umowy. Odpowiadamy wobec Ciebie za ich działania jak za własne.
4. Przekazanie danych poza Europejski Obszar Gospodarczy następuje wyłącznie na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.

§ 6. Środki bezpieczeństwa

Stosujemy w szczególności:

• szyfrowanie transmisji (TLS) na całej drodze między Twoją przeglądarką a serwerem oraz między serwerem a systemami zewnętrznymi;
• uwierzytelnianie kontem z hasłem przechowywanym wyłącznie jako skrót scrypt z indywidualną solą;
• rozdzielenie danych między klientami wymuszone w jednym miejscu w kodzie, przez które przechodzi każde żądanie, wraz z automatycznym testem sprawdzającym to rozdzielenie przy każdej zmianie kodu;
• osobne, odwoływalne tokeny dla każdego urządzenia mobilnego, przechowywane w bazie wyłącznie jako skróty;
• podpis kryptograficzny z bezpiecznego układu telefonu przy czynnościach wywołujących skutek na zewnątrz;
• codzienne kopie zapasowe z historią sięgającą roku wstecz;
• ograniczenie uprawnień dostępowych do systemów zewnętrznych do niezbędnego minimum — dostęp do skrzynki pocztowej wyłącznie do odczytu;
• rejestrowanie dostępu do Serwisu i przeglądanie logów pod kątem nadużyć.

§ 7. Zakończenie i los danych

1. Umowa wygasa z chwilą zakończenia umowy o świadczenie usług.
2. Przez 90 dni po jej wygaśnięciu dane pozostają dostępne do pobrania. Wybór między usunięciem a zwrotem należy do Ciebie; brak wskazania po upływie tego terminu traktujemy jako polecenie usunięcia.
3. Usuwamy dane również z kopii zapasowych, przy czym z uwagi na rotacyjny charakter kopii następuje to najpóźniej w ciągu 12 miesięcy.
4. Zachowujemy dane, jeżeli obowiązek ich przechowywania wynika z przepisów prawa — wyłącznie w tym zakresie i wyłącznie w tym celu.

§ 8. Audyt

1. Masz prawo do audytu przetwarzania powierzonych danych, w tym do inspekcji, przeprowadzanego przez Ciebie lub upoważnionego audytora.
2. Audyt zapowiadasz z wyprzedzeniem 14 dni roboczych. Odbywa się w dni robocze, w sposób nieprzerywający ciągłości usług i z poszanowaniem tajemnicy przedsiębiorstwa oraz danych innych klientów.
3. Pierwszy audyt w roku kalendarzowym odbywa się na nasz koszt. Koszty kolejnych ponosisz Ty, chyba że audyt wykaże naruszenie tej umowy.

§ 9. Odpowiedzialność

1. Odpowiadamy za szkody spowodowane przetwarzaniem, jeżeli nie dopełniliśmy obowiązków nałożonych przez RODO wprost na podmioty przetwarzające albo działaliśmy poza Twoimi zgodnymi z prawem poleceniami — zgodnie z art. 82 ust. 2 RODO.
2. Ograniczenia odpowiedzialności z Regulaminu nie mają zastosowania do odpowiedzialności wynikającej z RODO wobec osób, których dane dotyczą.

§ 10. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych i przepisy prawa polskiego.
2. Zmiana umowy wymaga poinformowania Cię z wyprzedzeniem 14 dni. Do dnia wejścia zmiany w życie możesz rozwiązać umowę o świadczenie usług.
3. Jeżeli którekolwiek postanowienie okaże się nieważne, pozostałe zachowują moc.