Przejdź do treści

Umowa powierzenia przetwarzania danych osobowych (konta biur)

Wersja z dnia 25 października 2026 r.

1. Strony, role i podstawa

  1. Umowa jest zawierana między biurem rachunkowym, które założyło konto biura w Serwisie Ryczałt („Biuro”), a Iruka Digital Sp. z o.o. (KRS 0000980870), ul. Szczęsna 26, 02-454 Warszawa, NIP 5223230254 („Usługodawca”), i stanowi umowę powierzenia przetwarzania danych osobowych w rozumieniu art. 28 RODO.
  2. Biuro jest administratorem danych swoich klientów albo – gdy działa w imieniu swoich klientów – podmiotem przetwarzającym. W drugim przypadku Biuro oświadcza, że uzyskało od administratorów zgodę na dalsze powierzenie przetwarzania Usługodawcy (art. 28 ust. 2 i 4 RODO), a Usługodawca jest dalszym podmiotem przetwarzającym.
  3. Umowa zawiera się z chwilą akceptacji Regulaminu przy zakładaniu konta biura i obowiązuje, dopóki Usługodawca przetwarza dane klientów Biura. Dane konta, dane płatnicze i rozliczeniowe oraz logi bezpieczeństwa Usługodawca przetwarza jako administrator – opisuje to polityka prywatności.
  4. Umowa jest zgodna z ogólną umową powierzenia Usługodawcy (https://irukadigital.com/pl/legal/dpa); w zakresie Serwisu Ryczałt niniejsza strona ma pierwszeństwo.

2. Przedmiot, charakter, cel i zakres danych

  • Przedmiot i cel: świadczenie usługi Serwisu – przechowywanie danych klientów Biura, przygotowywanie analiz podatkowych i raportów, obsługa konta biura. Nic poza tym; dane nie są używane do własnych celów Usługodawcy, marketingu ani trenowania modeli AI.
  • Charakter przetwarzania: zbieranie, przechowywanie, porządkowanie, przeglądanie, obliczanie, udostępnianie członkom biura, eksport, usuwanie; przy pełnym raporcie – przekazanie danych niezbędnych do omówienia dostawcy modelu AI (bez nazwy klienta, NIP i e-maila).
  • Kategorie danych: nazwa klienta, NIP, e-mail, notatki biura, dane finansowe i dane o sytuacji podatkowej i rodzinnej wprowadzone do analiz (np. przychody, koszty, składki, stan cywilny, liczba dzieci), dane pracowników biura (e-mail, rola, dziennik zdarzeń).
  • Osoby, których dane dotyczą: klienci Biura i ich członkowie rodzin (w zakresie danych do analiz), osoby kontaktowe klientów, pracownicy Biura.
  • Dane szczególnych kategorii nie są zbierane ani potrzebne; Biuro nie powinno ich wprowadzać, w tym do pól tekstowych i notatek.
  • Czas: okres istnienia konta biura oraz okres zwrotu i usunięcia danych z pkt 7.

3. Polecenia i poufność

  1. Usługodawca przetwarza dane wyłącznie na udokumentowane polecenie Biura, którym są: Umowa, Regulamin oraz ustawienia i działania Biura w Serwisie (np. dodanie lub usunięcie klienta, eksport, zaproszenie pracownika). Jeżeli polecenie narusza w ocenie Usługodawcy przepisy o ochronie danych, niezwłocznie o tym informuje.
  2. Osoby upoważnione przez Usługodawcę do dostępu do danych są zobowiązane do zachowania poufności; dostęp jest przyznawany indywidualnie i w niezbędnym zakresie.

4. Środki bezpieczeństwa (art. 32 RODO)

  • Szyfrowanie transmisji (TLS); infrastruktura dostawcy hostingu zapewnia szyfrowanie danych w spoczynku.
  • Dane każdego biura są logicznie oddzielone, a dostęp do nich przechodzi przez jedną warstwę kontroli członkostwa i roli; separację weryfikują testy.
  • Logowanie linkiem e-mail lub kontem zewnętrznym, opcjonalne logowanie dwuetapowe (TOTP), hasła przechowywane wyłącznie w postaci skrótu, wygasanie sesji.
  • Dziennik zdarzeń biura (kto i kiedy utworzył, otworzył, zmienił lub usunął dane).
  • Ograniczanie liczby żądań, weryfikacja podpisów powiadomień płatniczych, regularna aktualizacja zależności.
  • Brak kopiowania danych produkcyjnych do środowisk testowych.

Usługodawca może zmieniać środki, o ile nie obniża to istotnie poziomu ochrony.

5. Dalsi podprocesorzy

Biuro wyraża ogólną zgodę na korzystanie z podprocesorów wskazanych poniżej. O zamiarze dodania lub zmiany podprocesora Usługodawca informuje Biuro e-mailem co najmniej 30 dni wcześniej; Biuro może w tym terminie zgłosić uzasadniony sprzeciw, a gdy nie da się go uwzględnić – zamknąć konto biura i odzyskać dane. Każdy podprocesor jest związany umową nakładającą te same obowiązki ochrony danych; Usługodawca odpowiada za jego działania.

  • Cloudflare, Inc. (USA; infrastruktura w UE i USA) – hosting aplikacji (Workers), baza danych (D1), sieć dostarczania treści, zabezpieczenia oraz wysyłka wiadomości e-mail (link logowania, zaproszenia, potwierdzenia).
  • OpenRouter, Inc. (USA) wraz z dostawcą modelu językowego Google (Gemini) – wygenerowanie omówienia w pełnym raporcie; dane są przekazywane bez nazwy klienta, NIP i e-maila, z wyłączeniem dostawców zapisujących lub wykorzystujących dane do trenowania.

Odrębnymi administratorami, a nie podprocesorami, są: PayU (PayU S.A.) w zakresie realizacji płatności oraz Google (Analytics, logowanie Google) i Apple (logowanie Apple) – o ile Użytkownik z nich korzysta.

6. Przekazywanie do państw trzecich

Przekazanie danych do USA następuje na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony dla podmiotów certyfikowanych w ramach EU–US Data Privacy Framework albo standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO). Kopię zabezpieczeń można uzyskać na żądanie. Jeżeli podstawa przekazania przestanie obowiązywać, Usługodawca wdroży inną albo wstrzyma przekazywanie.

7. Pomoc, naruszenia, zwrot i usunięcie danych

  1. Żądania osób, których dane dotyczą, obsługuje Biuro (lub administrator); Usługodawca informuje je o żądaniu, które do niego trafi, i zapewnia narzędzia do wyszukania, eksportu, sprostowania i usunięcia danych, a w pozostałym zakresie wykonuje pisemne polecenie w ciągu 5 dni roboczych.
  2. Usługodawca zawiadamia Biuro o naruszeniu ochrony danych dotyczącym danych klientów bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, i pomaga w wypełnieniu obowiązków z art. 32–36 RODO.
  3. Biuro może w każdej chwili pobrać eksport danych (/api/biuro/eksport) i usunąć klienta wraz z analizami. Po zamknięciu konta biura Usługodawca usuwa jego dane w ciągu 30 dni (kopie zapasowe wygasają w ciągu kolejnych 30 dni), z wyjątkiem dokumentów, które musi zachować na podstawie przepisów. Na żądanie potwierdza usunięcie pisemnie.
  4. Usługodawca udostępnia Biuru informacje niezbędne do wykazania zgodności z art. 28 RODO i umożliwia audyty na zasadach: z 30-dniowym wyprzedzeniem, w godzinach pracy, nie częściej niż raz w roku (poza naruszeniem lub żądaniem organu nadzorczego), bez dostępu do danych innych klientów.

8. Odpowiedzialność i pierwszeństwo

Strony odpowiadają na zasadach art. 82 RODO i zasadach ogólnych prawa polskiego. W zakresie powierzonych danych niniejsza umowa ma pierwszeństwo przed niezgodnymi postanowieniami Regulaminu.