RODO i powierzenie przetwarzania danych

Wprowadzenie

Profais Centrum Usług Księgowych przetwarza dane osobowe zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz polską ustawą o ochronie danych osobowych. Niniejsza strona zawiera skróconą informację o najważniejszych aspektach przetwarzania.

Pełną Politykę prywatności znajdziesz na stronie /polityka-prywatnosci/. Niniejsza strona dodatkowo wyjaśnia kwestię ról administrator/procesor specyficzną dla biura rachunkowego oraz zasady umowy powierzenia danych osobowych (DPA).

Role w przetwarzaniu danych — administrator vs procesor

Biuro rachunkowe pełni dwie różne role w przetwarzaniu danych osobowych, w zależności od kontekstu:

1. Administrator (Controller)

Profais jest administratorem w odniesieniu do danych:

• osób kontaktowych ze strony Klientów (członków zarządu, dyrektorów finansowych, osób reprezentujących Klienta przy zawieraniu Umowy)
• osób kontaktujących się z Profais przez formularz kontaktowy lub e-mail
• kontrahentów Profais (dostawców, partnerów)
• kandydatów do pracy w Profais
• klientów będących osobami fizycznymi oraz beneficjentów rzeczywistych klientów — w zakresie obowiązków z ustawy o przeciwdziałaniu praniu pieniędzy
• subskrybentów newslettera Profais

Dla tych danych Profais samodzielnie określa cele i sposoby przetwarzania.

2. Podmiot przetwarzający (Processor)

Profais jest podmiotem przetwarzającym w odniesieniu do danych:

• pracowników Klienta zatrudnionych na umowie o pracę, zlecenie lub kontrakcie B2B (gdy Profais prowadzi obsługę kadrowo-płacową)
• członków rodziny pracowników (w zakresie niezbędnym do obliczeń ulg podatkowych, świadczeń socjalnych)
• współpracowników, kontrahentów Klienta (faktury zakupu, dane identyfikacyjne)
• pracowników byłych Klienta (w okresie obowiązku przechowywania dokumentów)

W tej roli Profais przetwarza dane na polecenie Klienta (administratora), wyłącznie w zakresie niezbędnym do świadczenia uzgodnionych Usług. Zasady tego przetwarzania reguluje umowa powierzenia (DPA).

Klauzula informacyjna (skrócona)

Zgodnie z art. 13 RODO informujemy, że administratorem Twoich danych osobowych jest Profais Centrum Usług Księgowych Joanna Woźnica-Lenarczyk z siedzibą przy ul. Zgierska 176, 91-346 Łódź, NIP 7262174466.

Dane przetwarzamy w celu wykonania zawartej umowy, wypełnienia obowiązków prawnych (księgowość, prawo podatkowe), prowadzenia korespondencji i — za Twoją zgodą — w celach marketingowych. Dane przekazujemy organom administracji publicznej i instytucjom finansowym — na podstawie przepisów prawa, a podmiotom IT — na podstawie zawartych umów powierzenia.

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, sprzeciwu oraz wniesienia skargi do Prezesa UODO. Szczegółowe informacje znajdziesz w pełnej Polityce prywatności.

Umowa o powierzeniu przetwarzania danych osobowych (DPA)

Z każdym Klientem Profais zawiera umowę o powierzeniu przetwarzania danych osobowych (art. 28 ust. 3 RODO) — w zakresie księgowości oraz, jeśli dotyczy, kadr i płac — regulującą zasady, na jakich Profais przetwarza dane pracowników, współpracowników i kontrahentów Klienta.

Umowa DPA reguluje w szczególności:

• Przedmiot i czas trwania przetwarzania — zakres usług kadrowo-płacowych i okres ich świadczenia
• Charakter i cel przetwarzania — wykonywanie obowiązków pracodawcy w zakresie list płac, ZUS, PIT, ewidencji czasu pracy
• Rodzaj danych osobowych — identyfikacyjne, kontaktowe, finansowe, rodzinne (w zakresie ulg)
• Kategorie osób, których dane dotyczą — pracownicy, zleceniobiorcy, kontraktorzy B2B, członkowie ich rodzin
• Obowiązki podmiotu przetwarzającego — przetwarzanie wyłącznie na udokumentowane polecenie administratora, zachowanie poufności, środki bezpieczeństwa, pomoc administratorowi w realizacji obowiązków RODO
• Podpowierzanie — lista podwykonawców (sub-processorów) i procedura ich zmiany
• Prawo administratora do audytu — w siedzibie Profais lub na podstawie corocznego raportu zgodności
• Postępowanie z danymi po zakończeniu współpracy — zwrot lub zniszczenie zgodnie z wyborem administratora i przepisami prawa

Wzór umowy DPA przekazujemy każdemu Klientowi przed rozpoczęciem świadczenia usług. Wzór dostępny jest również na żądanie pod adresem [email protected].

Standardy bezpieczeństwa stosowane w Profais

Profais wdraża techniczne i organizacyjne środki bezpieczeństwa adekwatne do ryzyka, w szczególności:

• Kontrola dostępu — dostęp do danych osobowych ograniczony do osób upoważnionych pisemnie, z indywidualnymi loginami i wymuszoną silną polityką haseł
• Szyfrowanie — transmisja danych przez TLS (HTTPS), szyfrowane kopie zapasowe, szyfrowanie urządzeń mobilnych pracowników
• Kopie zapasowe — codzienne kopie zapasowe przechowywane w odseparowanej lokalizacji, regularnie testowane pod kątem przywracalności
• Klauzule poufności — wszyscy pracownicy podpisują zobowiązania do zachowania tajemnicy
• Szkolenia — coroczne szkolenia z ochrony danych dla całego zespołu
• Polityka czystego biurka i ekranu — dokumenty i ekrany zabezpieczane poza godzinami pracy
• Niszczenie dokumentów — papierowe dokumenty niszczone w niszczarce o odpowiedniej klasie tajności (DIN P-4 lub wyższa)
• Ubezpieczenie OC biura rachunkowego — obowiązkowe ubezpieczenie odpowiedzialności cywilnej
• Procedura obsługi naruszeń — udokumentowana procedura wykrywania, oceny, dokumentowania i zgłaszania naruszeń ochrony danych

Postępowanie w przypadku naruszenia ochrony danych

W przypadku stwierdzenia naruszenia ochrony danych osobowych Profais postępuje zgodnie z art. 33 i 34 RODO:

1. Naruszenie jest oceniane pod kątem ryzyka dla praw i wolności osób fizycznych.
2. Jeżeli naruszenie wiąże się z ryzykiem naruszenia praw lub wolności, Profais zgłasza je do Prezesa UODO w terminie do 72 godzin od stwierdzenia.
3. Jeżeli ryzyko jest wysokie, Profais informuje również osoby, których dane dotyczą.
4. W przypadku przetwarzania jako procesor (dane pracowników Klienta) Profais niezwłocznie powiadamia administratora (Klienta), umożliwiając mu wywiązanie się z obowiązków zgłoszeniowych.
5. Każde naruszenie jest dokumentowane w wewnętrznym rejestrze naruszeń niezależnie od jego skali.

Sygnaliści

Zgłoszenia naruszeń prawa (ustawa z 14 czerwca 2024 r. o ochronie sygnalistów) przyjmujemy przez bezpieczny kanał wewnętrzny. Zgłoszenie może być anonimowe.

Kontakt w sprawach ochrony danych

Wszelkie pytania, żądania i zgłoszenia w sprawie ochrony danych osobowych prosimy kierować na adres:

• E-mail: [email protected]
• Telefon: +48 42 651 89 44
• Adres pocztowy: Profais Centrum Usług Księgowych Joanna Woźnica-Lenarczyk, ul. Zgierska 176, 91-346 Łódź