Umowa Powierzenia Przetwarzania Danych (AVV)

1.1. Administrator (użytkownik NiemieckaFaktura.de) powierza Podmiotowi przetwarzającemu (operatorowi NiemieckaFaktura.de) przetwarzanie danych osobowych w celu świadczenia usług e-fakturowania.

1.2. Umowa obowiązuje przez czas trwania umowy głównej oraz przez okres wymagany prawem (do 8 lat wg §257 ust. 4 HGB, BEG IV).

2.1. Cel: fakturowanie, archiwizacja, wysyłka, wsparcie, obsługa konta, płatności, walidacja ZUGFeRD, eksport danych, walidacja USt-IdNr (VIES).

2.2. Kategorie danych:

- Dane identyfikacyjne (imię, email, ID użytkownika)

- Dane firmowe (nazwa, adres, NIP, USt-IdNr, IBAN)

- Dane kontrahentów (klienci użytkownika)

- Treści faktur i dokumenty (PDF, XML)

- Dane płatności (przez Stripe)

- Logi techniczne i dane bezpieczeństwa

2.3. Osoby, których dane dotyczą: użytkownicy, ich klienci (kontrahenci), osoby kontaktowe.

3.1. Przetwarzanie wyłącznie na udokumentowane polecenie Administratora.

3.2. Zachowanie poufności przez wszystkie osoby upoważnione do przetwarzania.

3.3. Wdrożenie odpowiednich środków technicznych i organizacyjnych (TOMs).

3.4. Pomoc w realizacji praw osób, których dane dotyczą.

3.5. Niezwłoczne zgłaszanie naruszeń ochrony danych (do 72 godzin).

3.6. Usunięcie lub zwrot danych po zakończeniu umowy (o ile prawo nie wymaga ich przechowywania).

4.1. Administrator wyraża zgodę na korzystanie z następujących podwykonawców:

Google Cloud / Firebase (UE - Frankfurt, europe-west3)

- Hosting, uwierzytelnianie, baza danych (Firestore), przechowywanie plików

- DPA: https://firebase.google.com/terms/data-processing-terms

Stripe Inc. (USA z zabezpieczeniami UE)

- Obsługa płatności i subskrypcji

- DPA: https://stripe.com/legal/dpa

Sentry (USA/UE)

- Monitoring błędów i stabilności aplikacji

- DPA: https://sentry.io/legal/dpa/

Google Gemini AI (USA)

- Asystent AI do poprawy tekstów (opcjonalnie, tylko po włączeniu)

- DPA: https://cloud.google.com/terms/data-processing-addendum

OpenIBAN (UE)

- Walidacja IBAN i wyszukiwanie BIC (opcjonalnie)

EU VIES Service (UE)

- Walidacja numerów USt-IdNr (Komisja Europejska)

4.2. Administrator zostanie poinformowany e-mailem lub przez aplikację co najmniej 30 dni przed wdrożeniem nowego podwykonawcy.

4.3. Administrator ma prawo wnieść sprzeciw wobec nowego podwykonawcy w ciągu 30 dni od powiadomienia.

5.1. Główne przetwarzanie danych odbywa się w UE (Firebase europe-west3, Frankfurt).

5.2. Przy transferach poza EOG stosowane są Standardowe Klauzule Umowne (SCC) lub EU-US Data Privacy Framework (DPF).

5.3. Dotyczy to: Stripe, Sentry, Google AI - wszystkie z uznanymi zabezpieczeniami.

6.1. Szyfrowanie:

- TLS 1.2+ dla wszystkich transmisji danych

- Szyfrowanie AES-256 w spoczynku (Firebase)

6.2. Kontrola dostępu:

- Firebase Authentication z email/hasło i Google Sign-In

- Opcjonalne uwierzytelnianie biometryczne (Android)

- Kontrola dostępu oparta na rolach (Firestore Security Rules)

6.3. Bezpieczeństwo danych:

- Automatyczne kopie zapasowe Firebase

- Niezmienność sfinalizowanych faktur (zgodność z GoBD)

- Hash SHA-256 do weryfikacji integralności

6.4. Ochrona:

- Firebase App Check / reCAPTCHA

- Limity częstotliwości wywołań API

- Separacja środowisk (produkcja/test)

7.1. Administrator ma prawo do weryfikacji przestrzegania niniejszej umowy.

7.2. Audyty odbywają się po wcześniejszym uzgodnieniu, maksymalnie raz w roku.

7.3. Alternatywnie można zażądać aktualnego certyfikatu lub raportu z audytu.

8.1. Po zakończeniu umowy dane zostaną usunięte lub wyeksportowane na życzenie.

8.2. Wyjątek: ustawowe obowiązki przechowywania (faktury 8 lat wg §257 ust. 4 HGB, BEG IV).

8.3. Usunięcie następuje zgodnie z możliwościami technicznymi używanych systemów.

8a.1. Eksport danych (zwrot):

- Format: JSON, CSV lub PDF (w zależności od typu danych)

- Zakres: Wszystkie dane utworzone przez użytkownika (faktury, kontrahenci, dane firmy)

- Żądanie: Przez Ustawienia → "Eksportuj dane" lub e-mailem na datenschutz@niemieckafaktura.de

- Termin: Udostępnienie w ciągu 30 dni od żądania

8a.2. Usunięcie danych:

- Dane konta: Usunięcie w ciągu 30 dni od usunięcia konta

- Dane faktur: Po upływie ustawowego okresu przechowywania (8 lat, BEG IV)

- Logi systemowe: Automatyczne usunięcie po 14 dniach

- Kopie zapasowe: Rotacja po 30 dniach, całkowite usunięcie po 90 dniach

8a.3. Potwierdzenie usunięcia:

- Na żądanie wystawiamy pisemne potwierdzenie usunięcia danych

- Kontakt: datenschutz@niemieckafaktura.de

8a.4. Realizacja techniczna:

- Firebase Firestore: Usunięcie dokumentów z kaskadowaniem

- Firebase Storage: Usunięcie plików ze wszystkich lokalizacji

- Dane uwierzytelniania: Usunięcie przez Firebase Authentication Admin SDK

9.1. Odpowiedzialność regulują przepisy RODO oraz Regulamin.

9.2. Obie strony odpowiadają za szkody spowodowane zawinionym naruszeniem niniejszej umowy.

W sprawach dotyczących przetwarzania danych:

E-mail: datenschutz@niemieckafaktura.de

Adres: patrz Impressum