# Umowa powierzenia przetwarzania danych InvoiceIQ Wersja pakietu: `PL-COMMERCIAL-2026-11-02.2` ## 1. Strony i zawarcie 1. Administratorem jest Klient wskazany pełną nazwą, adresem i NIP w zaakceptowanym podglądzie Organizacji/Zamówienia („Administrator”). Reprezentant potwierdza właściwe umocowanie, nie podaje firmy anonimowo. 2. Procesorem jest TALITHA Piotr Szczerbowski, ul. Kościelecka 12, 32-600 Oświęcim, NIP 5492104876, REGON 121187430 („Operator”). 3. DPA jest zawierana elektronicznie przez osobną, jawną akceptację w imieniu firmy. Dowód zawiera obie strony, aktora, czas serwera i exact wersje/SHA-256 DPA oraz załączników. Samo zaakceptowanie polityki informacyjnej lub starej rejestracji nie zawiera DPA. Potwierdzenie jest przekazywane na trwałym nośniku. 4. Załącznikami są dokumenty tej wersji: Środki ochrony (`tom`), Dostawcy i podprocesorzy (`subprocessors`) oraz Retencja i wyjście (`retention_exit`). Ich skróty są częścią dowodu. DPA ma pierwszeństwo w sprawach powierzenia. ## 2. Przedmiot, cel i czas Operator przetwarza dane, aby wykonywać aktywowane funkcje InvoiceIQ: przechowywanie kartotek i dokumentów, walidację i obliczenia, wersjonowanie, generowanie reprezentacji, import/odbiór KSeF, eksport, kopie i bezpieczeństwo oraz udostępnione integracje, OCR i przygotowanie szkicu z polecenia. Obejmuje to zapis, odczyt, porządkowanie, transmisję na polecenie, zwrot i kontrolowane usunięcie. Przetwarzanie trwa przez Umowę i niezbędny etap zwrotu/usunięcia, z zastrzeżeniem konkretnego prawa wymagającego dalszego przechowania. Nie jest bezterminowym upoważnieniem do użycia danych we własnym celu Operatora. ## 3. Osoby i dane Zakres obejmuje Użytkowników i reprezentantów Klienta, kontrahentów, sprzedawców, nabywców, osoby kontaktowe, odbiorców i osoby wymienione w dokumentach. Kategorie to nazwy, imiona i nazwiska, NIP, adresy i kontakt, role i identyfikatory, pozycje towarów/usług, daty, ceny, podatki, płatności, drafty, faktury, korekty, skany, wyniki OCR, XML/PDF, numery KSeF/UPO oraz minimalne metadane integracji, zgód i audytu. Poświadczenia wymagają osobnego szyfrowanego cyklu życia; nie trafiają do OCR. Usługa nie jest przeznaczona do celowego gromadzenia danych z art. 9 lub 10 RODO. Administrator ogranicza dane do potrzeb transakcji i nie umieszcza sekretów w polach biznesowych. ## 4. Instrukcje i obowiązki Administratora 1. Instrukcje wynikają z DPA, Umowy i autoryzowanych działań uprawnionych osób lub integracji. Operator weryfikuje firmę, uprawnienie i wymagane potwierdzenie; polecenie modelu AI nie stanowi samodzielnej instrukcji Administratora. 2. OCR wymaga jawnego wyboru konkretnego dokumentu oraz uprzedniej informacji o OpenAI i transferze. Sam płatny plan nie wysyła dokumentów do modelu. OCR importuje istniejącą fakturę i wymaga ludzkiej kontroli; nie jest instrukcją wystawienia, nowej numeracji lub wysyłki KSeF. Głosowe lub tekstowe przygotowanie szkicu w PRO wymaga uprzedniej informacji o minimalizacji tekstu, OpenAI, transferze i retencji. Wybranie interpretacji jest instrukcją przygotowania propozycji, bez samodzielnego wystawienia lub wysyłki. Audio rozpoznaje usługa urządzenia/przeglądarki według warunków jej dostawcy; do serwera InvoiceIQ trafia tekst, nie nagranie. 3. Administrator zapewnia podstawę przetwarzania, obowiązki informacyjne, właściwe role, minimalizację, poprawność danych i odpowiednie do ryzyka użycie Usługi. Ustala swoje wymagania archiwizacyjne i realizuje prawa osób. 4. Jeżeli instrukcja narusza przepisy ochrony danych, Operator informuje Administratora i wstrzymuje dotyczącą jej operację. O przetwarzaniu wymaganym bezpośrednio prawem informuje przed wykonaniem, o ile prawo tego nie zabrania. 5. Operator nie trenuje modeli Treściami Klienta i nie wykorzystuje ich do własnego marketingu. Własne dane rozliczeniowe Operatora podlegają odrębnej roli administratora opisanej w Polityce prywatności. ## 5. Personel i środki ochrony Operator zobowiązuje osoby upoważnione do poufności, ogranicza ich dostęp do niezbędnego zakresu i stosuje środki art. 32 RODO, opisane w TOM. Dostęp pomocy technicznej do Treści Klienta nie jest domyślny; wymaga odrębnego celu, uprawnienia, czasu i audytu. Uprawnienie platformowe do rozliczeń nie daje dostępu do faktur innych firm. Zabezpieczenia obejmują izolację Organizacji, kontrolę ról, szyfrowanie, prywatne pliki, MFA, rewalidację przy wrażliwych skutkach, trwały stan przed wykonaniem, audyt i testy odtworzenia. Nie oznaczają gwarancji braku każdego incydentu. Zmiana środków nie może istotnie obniżyć uzgodnionej ochrony. ## 6. Podprocesorzy i transfery 1. Administrator udziela ogólnego upoważnienia na podprocesorów wyraźnie wskazanych w zaakceptowanym rejestrze. Operator zapewnia im co najmniej właściwe obowiązki ochrony wymagane DPA i odpowiada zgodnie z art. 28 ust. 4. 2. O dodaniu lub zastąpieniu podprocesora informuje co najmniej 30 dni przed planowanym dostępem do danych, aby umożliwić uzasadniony sprzeciw. Strony szukają bezpiecznego rozwiązania; przy jego braku Administrator może zakończyć dotkniętą funkcję bez kary, z odpowiednim rozliczeniem. Pilna potrzeba nie daje nieograniczonej zgody na nieujawniony transfer. 3. Dane mogą być przekazywane poza EOG wyłącznie w opisanym zakresie, na podstawie rozdziału V RODO i udokumentowanej instrukcji. Dotyczy to także dostępu wsparcia, logów i kopii, nie tylko miejsca głównego serwera. 4. Standardowe API OpenAI używane do OCR i poleceń nie jest usługą z zagwarantowaną rezydencją EU ani ZDR. Właściwe umowy i ocena transferu muszą poprzedzać przetwarzanie; kliknięcie OCR nie zastępuje tych zabezpieczeń. 5. KSeF i odbiorcy integracji wybrani przez Klienta nie stają się przez to podprocesorami Operatora. Stripe dla własnego rozliczenia abonamentu TALITHA jest opisany oddzielnie od powierzenia faktur kontrahentów. ## 7. Pomoc, incydent i audyt 1. Operator pomaga Administratorowi realizować prawa osób oraz obowiązki art. 32-36 RODO, z uwzględnieniem charakteru przetwarzania i dostępnych informacji. Przekazuje dotyczące powierzonych danych wnioski bez zbędnej zwłoki, chyba że prawo wymaga innego działania. 2. O stwierdzonym naruszeniu danych powierzonych informuje bez zbędnej zwłoki przez zweryfikowany kontakt Organizacji. Pierwsza wiadomość zawiera dostępne fakty, zakres, możliwe skutki, środki i kontakt; nie czeka na kompletne ustalenie przyczyny. Dalsze informacje przekazuje etapami. 3. Administrator ocenia swoje obowiązki notyfikacyjne. Operator współpracuje i zabezpiecza minimalny dowód, ale nie wysyła zgłoszeń w jego imieniu bez instrukcji lub bezpośredniego obowiązku prawnego. 4. Operator udostępnia informacje wykazujące wykonanie DPA i umożliwia audyty Administratora lub jego upoważnionego audytora. Strony uzgadniają bezpieczny termin i zakres; pilny incydent wymaga odpowiednio szybkiej reakcji. Ochrona innych firm i sekretów nie może uniemożliwić legalnego audytu. 5. Podstawowa pomoc wymagana RODO nie jest uzależniana od dokupienia planu. Dodatkowe prace poza tym zakresem mogą mieć osobne, uprzednio uzgodnione wynagrodzenie, bez ograniczenia ustawowych obowiązków. ## 8. Zwrot, usunięcie i zakończenie Po zakończeniu świadczenia Administrator wybiera zwrot albo usunięcie, z zachowaniem praw do przeniesienia danych i obowiązków ustawowych. Operator udostępnia eksport i uzgodniony okres pobrania, usuwa aktywne kopie zgodnie z Retencją i wyjściem oraz uzyskuje odpowiednie wykonanie u podprocesorów. Kopie zapasowe mają kontrolowany cykl; odtworzenie nie może przywracać cofniętych dostępów i usuniętych danych do zwykłego użycia. Wyjątek przechowania wymaga konkretnej podstawy, zakresu i czasu. Sam obowiązek podatkowy Klienta nie nadaje Operatorowi prawa przechowania wszystkiego na zawsze. Anulowanie odnowienia nie jest instrukcją usunięcia. Niezmienna historia faktur jest chroniona; sprostowanie następuje zgodnym procesem dokumentowym. DPA trwa, dopóki Operator przetwarza dane powierzone. Prawo właściwe wynika z Regulaminu. DPA nie ogranicza praw osób i odpowiedzialności w sposób sprzeczny z RODO. Kontakt: biuro@talitha.pl.