Umowa powierzenia przetwarzania danych TPR Flow Online
1 Strony i udokumentowane polecenia
Powierzającym jest klient wskazany w zgłoszeniu i licencji. Przetwarzającym jest Maciej Miąskowski, TPR Flow, Obrońców Wybrzeża 29/8, 83-000 Pruszcz Gdański, NIP 6040011875, kontakt: support@tprflow.pl. Umowę zawiera się elektronicznie razem z warunkami korzystania; zapis akceptacji i treść dokumentu stanowią dokumentację uzgodnienia.
Jeżeli klient jest administratorem danych, powierza je Dostawcy na podstawie art. 28 RODO. Jeżeli klient sam jest podmiotem przetwarzającym, uzyskuje od administratora wymagane uprawnienie do dalszego powierzenia i przekazuje wiążące ograniczenia przed przesłaniem pliku. Dostawca staje się wtedy dalszym podmiotem przetwarzającym.
Poleceniem jest utworzenie dokumentu i udostępnienie wyniku z pliku przesłanego przez uprawnionego użytkownika, zgodnie z umową i ustawieniami usługi. Uprawnionym użytkownikiem jest opiekun licencji oraz użytkownicy generatora, których opiekun utworzył w panelu licencji; ich działania przypisuje się klientowi. Dodatkowe polecenia przekazuje się dokumentowo. Dostawca niezwłocznie informuje, jeśli uzna polecenie za naruszające RODO lub inne przepisy ochrony danych, i wstrzymuje jego niezgodną część do wyjaśnienia. O obowiązkowym przetwarzaniu wymaganym prawem informuje przed jego rozpoczęciem, chyba że prawo tego zabrania.
2 Przedmiot, charakter i kategorie danych
Przedmiotem jest przyjęcie, odczyt, walidacja, czasowe zapisanie, przekształcenie danych do PDF lub XML, udostępnienie wyniku i usunięcie. Cel stanowi wyłącznie wykonanie zleconej funkcji i niezbędna obsługa jej bezpieczeństwa. Dostawca nie używa treści do marketingu, profilowania osób ani szkolenia modeli. Jedynym wyjątkiem jest profil deklaracji opisany niżej.
Zakres zależy od przesłanego pliku: dane identyfikacyjne, adresowe i podatkowe osób fizycznych prowadzących działalność, kontrahentów, reprezentantów i osób kontaktowych, w tym imiona, nazwiska, NIP lub PESEL oraz dane ekonomiczne i transakcyjne powiązane z tymi osobami. Dotyczy to osób wymienionych w informacji TPR i danych źródłowych. Nie należy przesyłać kategorii szczególnych z art. 9 RODO ani danych o skazaniach z art. 10, jeżeli nie są konieczne i nie uzgodniono ich ochrony.
Klient odpowiada za legalność pozyskania, zakres i przekazanie danych oraz spełnienie obowiązku informacyjnego. Dostawca odpowiada za obowiązki podmiotu przetwarzającego; potwierdzenie klienta nie uchyla tych obowiązków.
Przy licencji Business z limitem spółek Dostawca, działając we własnym imieniu jako administrator, tworzy z gotowego XML profil deklaracji. Profil zawiera kody formularza, kody i przedziały wartości transakcji (z dokładnością około 9%), skrót zestawu krajów, liczbę kontrahentów i przedziały pól analizy. Nie zawiera nazw, NIP-ów ani innych danych kontrahentów, reprezentantów i osób kontaktowych ani dokładnych kwot; NIP spółki zapisuje się przy nim jako skrót kryptograficzny. Profil służy wyłącznie sprawdzeniu, czy licencję Business wykorzystano dla spółki nią objętej, w tym przez porównanie z wcześniejszymi profilami tej spółki; zapisane w ten sposób porównania, bez treści dokumentów, służą też okresowej kalibracji tego sprawdzenia. Wynik nie blokuje generowania. Zasady opisuje Informacja o danych osobowych; to przetwarzanie nie jest wykonywane w imieniu klienta i nie podlega poleceniom z tej umowy.
3 Czas przetwarzania i usunięcie
Umowa obowiązuje przez korzystanie z generatora i czas niezbędny do prawidłowego zakończenia przetwarzania. Generator nie jest archiwum. Dostęp do plików i wyników w generatorze wygasa po 24 godzinach. Po tym czasie pliki są przeznaczane do automatycznego usunięcia. Usuwanie następuje w osobnym procesie utrzymania i może zostać odłożone, gdy operacja jest zajęta; upływ 24 godzin nie jest zapewnieniem fizycznego usunięcia wszystkich plików ani kopii zapasowych w tej chwili.
Po zakończeniu świadczenia Dostawca, według wyboru klienta, usuwa albo zwraca dane osobowe i usuwa ich kopie, chyba że przepisy wymagają przechowania. Wynik można pobrać w udostępnionym formacie; inne żądanie zwrotu lub usunięcia kieruje się na support@tprflow.pl. Dostawca potwierdza wykonanie oraz informuje o zakresie danych podlegających obowiązkowi dalszego przechowania.
Pozostałości w kopiach awaryjnych podlegają cyklowi rotacji i nie mogą służyć do bieżącego wykorzystywania danych. Przy odtworzeniu ponownie stosuje się wymagane usunięcia. Okresów tych nie utożsamia się z czasem działania linku do pobrania. Metadane rozliczenia licencji i profil deklaracji przetwarzane we własnych celach Dostawcy są opisane odrębnie, w Informacji o danych osobowych.
4 Ochrona i dostęp
Dostawca stosuje środki odpowiednie do ryzyka zgodnie z art. 32 RODO, obejmujące ochronę transmisji, kontrolę uprawnień do operacji i wyników, ograniczenie dostępu administracyjnego, rozdzielenie plików użytkowników, aktualizowanie środowiska i procedurę obsługi incydentów. Dostęp uzyskują wyłącznie osoby upoważnione, związane poufnością i działające na polecenie. Środki podlegają okresowej ocenie skuteczności.
Klient chroni konto i urządzenia oraz przekazuje tylko dane potrzebne do generowania. Przy zgłoszeniu technicznym stosuje dane syntetyczne lub usuwa zbędne dane osobowe, chyba że uzgodniono bezpieczny sposób przekazania materiału niezbędnego do naprawy.
5 Dalsze powierzenie i miejsce przetwarzania
Klient udziela ogólnego upoważnienia do korzystania z LH.pl sp. z o.o. jako dostawcy infrastruktury hostingowej służącej przechowywaniu i obsłudze generatora. Dostawca nakłada na dalszy podmiot obowiązki ochrony nie mniej wymagające niż wynikające z tej umowy i pozostaje odpowiedzialny za jego wykonanie obowiązków wobec klienta.
O zamierzonej zmianie lub dodaniu dalszego podmiotu Dostawca informuje klienta e-mailem co najmniej 14 dni przed zmianą, podając tożsamość, funkcję i lokalizację przetwarzania. Klient może w tym czasie zgłosić uzasadniony sprzeciw dotyczący ochrony danych. Strony uzgadniają alternatywę; do wyjaśnienia spornej zmiany nie przekazuje się danych temu podmiotowi. Jeżeli nie da się zapewnić zgodnego rozwiązania, strony uzgadniają zakończenie właściwej usługi i rozliczenie niewykonanej części, bez ograniczenia praw ustawowych.
Przekazywanie danych poza EOG wymaga spełnienia wymogów rozdziału V RODO i udokumentowanego polecenia lub upoważnienia klienta. Sama zgoda na niniejszą umowę nie stanowi zgody na nieokreślony transfer do dowolnego państwa. Dostawca udostępnia klientowi informację o lokalizacji i podmiotach przetwarzających przed rozpoczęciem takiego transferu.
6 Pomoc, naruszenia i audyt
Uwzględniając charakter przetwarzania i dostępne informacje, Dostawca pomaga klientowi odpowiadać na żądania osób oraz realizować obowiązki bezpieczeństwa, oceny skutków i uprzednich konsultacji. Żądanie osoby dotyczące danych powierzonych przekazuje klientowi bez zbędnej zwłoki; nie rozstrzyga go sam, chyba że jest upoważniony lub zobowiązany prawem.
O stwierdzonym naruszeniu ochrony danych Dostawca zawiadamia klienta bez zbędnej zwłoki. Przekazuje dostępne informacje o zdarzeniu, kategoriach i przybliżonej liczbie osób i rekordów, możliwych skutkach, środkach naprawczych oraz kontakcie. Brak wszystkich danych nie opóźnia pierwszego zawiadomienia; uzupełnienia następują sukcesywnie. Współpracuje przy zabezpieczeniu dowodów i ograniczeniu skutków.
Dostawca udostępnia informacje potrzebne do wykazania spełnienia obowiązków i umożliwia audyty, w tym inspekcje klienta lub upoważnionego audytora. Strony uzgadniają zakres i termin, chroniąc dane innych klientów oraz tajemnice i bezpieczeństwo systemu. Uzgodnienia organizacyjne nie mogą pozbawić skutecznego prawa kontroli, szczególnie po incydencie lub na żądanie organu.
7 Pierwszeństwo zasad ochrony danych
W sprawach powierzenia ta umowa ma pierwszeństwo przed sprzecznymi postanowieniami handlowymi. W pozostałym zakresie stosuje się RODO, prawo polskie i warunki korzystania. Zmiana nie może ograniczać obowiązków wynikających z prawa.
Poprzednia wersja umowy z 17.10.2026: archiwum umowy powierzenia. Wcześniejsza z 13.10.2026: archiwum.