Адаптированный перевод с испанского. При расхождении приоритет у испанского текста.
Español · OriginalЭто соглашение входит в Условия оказания услуг Finomo (далее — «Договор») и регулирует обработку персональных данных Исполнителем. Исполнитель действует как контролёр в отношении данных учётной записи, договора, оплаты, безопасности и проверки доверителя и как обработчик в отношении данных третьих лиц и деклараций по деятельности Клиента. Клиент (оператор, ответственный за обработку): физическое или юридическое лицо, идентифицированное при оформлении. Исполнитель: Евгений Устинов (Evgenii Ustinov), NIF Z2074293C, Juan Caturla Gosalvez 2, 03005 Alicante; gdpr@finomo.es. Исполнитель действует как обработчик в отношении данных третьих лиц из деятельности Клиента и подготовки и передачи его деклараций (пункт 3.1) и как оператор в отношении данных аккаунта, оформления, выставления счетов, оплаты и безопасности Клиента и проверки личности доверителя (пункт 3.2). Применимое законодательство: Регламент (ЕС) 2016/679 (GDPR), Органический закон 3/2018 (LOPDGDD) и нормы, развивающие или заменяющие их. Термины «персональные данные», «обработка», «оператор», «обработчик», «субъект данных» и «нарушение безопасности» имеют значение, определённое статьёй 4 GDPR.
1.1 Клиент поручает Исполнителю обработку персональных данных, необходимых для оказания услуги Finomo, описанной в Договоре, на условиях настоящего соглашения и его Приложения I.
1.2 Настоящее соглашение имеет приоритет над любым иным положением Договора в области защиты данных.
2.1 Поручение действует столько же, сколько Договор, и распространяется на предусмотренный Договором период просмотра и скачивания после закрытия, в течение которого Исполнитель только хранит, показывает и экспортирует данные по указанию Клиента.
2.2 По окончании этого периода применяется пункт 12.
3.1 Исполнитель выступает обработчиком в отношении персональных данных третьих лиц (покупателей, поставщиков, работников, сотрудников и других), которые Клиент предоставляет или создаёт на платформе в ходе своей экономической деятельности, а также в отношении автоматической подготовки деклараций по этой деятельности и — после утверждения каждой из них Клиентом — их передачи в AEAT или выдачи файла для подачи Клиентом в соответствии с его указаниями. К этой обработке применяется настоящее соглашение.
3.2 Исполнитель выступает оператором в отношении: (a) идентификационных данных Клиента, данных об оформлении, выставлении счетов, оплате и безопасности; (b) копии документа, удостоверяющего личность (DNI, NIE или TIE), загруженной Клиентом, и результата проверки того, что владелец аккаунта — доверитель, которые хранятся в течение срока действия Договора и пяти лет после его прекращения и используются только для этой цели (пункт 6.1 Договора). К этой обработке применяется Политика конфиденциальности, а не настоящее соглашение.
3.3 Утверждение декларации Клиентом и доверенность, выданная в AEAT, не изменяют это распределение ролей.
4.1 Обработка включает сбор, запись, структурирование, хранение, просмотр, расчёт, извлечение, передачу в Государственное агентство налоговой администрации (AEAT) по поручению Клиента, экспорт, блокировку и удаление данных.
4.2 Цели ограничены необходимыми для: выставления и хранения счетов; учёта доходов и расходов; проверки в системе VIES NIF-IVA внутриевропейских контрагентов; автоматической подготовки по заложенным в программное обеспечение правилам проектов налоговых деклараций и их исправлений; при необходимости — проверки до предоставления проекта Клиенту, что расчёт следует заложенным правилам и загруженным документам, в качестве контроля качества программного обеспечения по пункту 2.4 Договора и без изменения данных Клиента; после утверждения каждой декларации Клиентом — передачи в AEAT ровно утверждённой версии при наличии зарегистрированной и достаточной доверенности или выдачи Клиенту файла для подачи; передачи учётных записей о счетах при активации Клиентом соответствующего режима; хранения и экспорта документации.
4.3 Типы данных, категории субъектов данных и операции описаны в Приложении I.
5.1 Указания. Обрабатывать данные только согласно документированным указаниям Клиента. Документированными указаниями считаются: Договор, настоящее соглашение, настройки, выполняемые Клиентом на платформе, предоставление документов, запрос экспорта и утверждение каждой декларации согласно Приложению IV. Если Исполнитель считает, что указание нарушает законодательство о защите данных, он немедленно информирует Клиента и может приостановить его исполнение до получения законных указаний. Простое подтверждение не легитимизирует указание, противоречащее законодательству.
5.2 Реестр операций. Вести письменный реестр категорий операций обработки, выполняемых по поручению Клиента, согласно статье 30(2) GDPR.
5.3 Конфиденциальность. Гарантировать, что лица, уполномоченные обрабатывать данные (в настоящее время — только сам Исполнитель; персонала и назначенного заместителя нет), связаны обязанностью конфиденциальности, в том числе после прекращения отношений с Исполнителем. Любое будущее привлечение персонала потребует письменного обязательства о конфиденциальности и предварительного обучения.
5.4 Безопасность. Применять технические и организационные меры Приложения II, пересматривать их не реже одного раза в год и адаптировать при изменении рисков, не снижая уровень защиты в течение срока действия Договора.
5.5 Субобработчики. Привлекать только субобработчиков, разрешённых согласно пункту 6.
5.6 Права субъектов данных. Содействовать Клиенту с помощью функций платформы и, при необходимости, прямыми действиями в обработке запросов о доступе, исправлении, удалении, ограничении, переносимости и возражении. Если субъект данных обращается напрямую к Исполнителю, тот сообщает ему о необходимости обратиться к Клиенту и пересылает запрос Клиенту максимум в течение двух рабочих дней.
5.7 Нарушения безопасности. Уведомлять Клиента о любом нарушении безопасности, затрагивающем данные поручения, без неоправданной задержки с момента, когда ему стало известно, не дожидаясь сбора всей информации и дополняя её поэтапно, с информацией и по процедуре Приложения III, а также содействовать в уведомлениях, которые Клиент должен направить в Испанское агентство по защите данных и субъектам данных.
5.8 Оценки воздействия и предварительные консультации. Предоставлять Клиенту информацию об обработке и мерах безопасности, необходимую для проведения, при необходимости, оценок воздействия и предварительных консультаций с надзорным органом.
5.9 Соблюдение и аудит. Предоставлять Клиенту информацию, необходимую для подтверждения соблюдения обязанностей по статье 28 GDPR, а также допускать и содействовать аудитам и проверкам, проводимым Клиентом или назначенным им аудитором, при разумном согласовании даты, объёма и конфиденциальности, защищая данные других клиентов и секреты Исполнителя. Ограничения частоты, препятствующие необходимой проверке, не устанавливаются.
5.10 Местонахождение и доступ. Документировать получателей, роли, страны и операции согласно Приложению I. Исполнитель получает доступ к данным поручения только через VPN-соединение, в том числе в поездках и за пределами Европейской экономической зоны, без отдельного режима для поездок; доступ самого оператора не является передачей третьему лицу. Любой доступ третьего лица из-за пределов ЕЭЗ рассматривается по критериям главы V GDPR с соответствующими гарантиями.
5.11 Собственные цели. Не использовать данные поручения для собственных целей, не обучать на них системы искусственного интеллекта и не передавать их третьим лицам, кроме случаев законной обязанности, — в этом случае информировать Клиента до передачи, когда закон это позволяет.
6.1 Клиент даёт Исполнителю общее разрешение привлекать субобработчиков, указанных в Приложении I, для описанных там функций.
6.2 Исполнитель сообщает Клиенту по электронной почте и на платформе о любом добавлении или замене субобработчиков не менее чем за пятнадцать дней до вступления в силу. Клиент может возразить письменно на gdpr@finomo.es до этой даты, указав разумные причины, связанные с защитой данных. Исполнитель рассматривает возражение и, если не может предложить учитывающую его альтернативу, Клиент может прекратить поручение и Договор без штрафа и получить возврат своих данных согласно пункту 12. Если поставщик не предоставляет Исполнителю достаточного предуведомления, Исполнитель информирует Клиента, как только узнаёт об изменении.
6.3 Исполнитель возлагает на каждого субобработчика договором обязанности, эквивалентные обязанностям настоящего соглашения, в частности достаточные гарантии технических и организационных мер, и остаётся ответственным перед Клиентом за соблюдение обязанностей своими субобработчиками. Настоящий субобработчик отличается от получателя, действующего как самостоятельный оператор, например AEAT или платёжный провайдер в отношении собственных списаний Исполнителя.
6.4 Персонал или профессиональный заместитель к обработке не привлечены. Любое будущее привлечение требует определения функции, разрешения и гарантий до предоставления доступа.
7.1 Гарантировать, что предоставляемые им данные получены законно, что у него есть правовое основание для их обработки и что он проинформировал своих субъектов данных согласно статьям 13 и 14 GDPR.
7.2 Давать законные указания и решать вопрос о включении данных особых категорий в предоставляемые документы.
7.3 Обрабатывать запросы о правах своих субъектов данных, используя функции платформы и содействие Исполнителя.
7.4 Выполнять собственные обязанности по хранению счетов, книг и подтверждающих документов в течение установленных законом сроков независимо от хранения, осуществляемого Исполнителем.
7.5 Сохранять конфиденциальность своих учётных данных и использовать меры защиты аккаунта, предоставляемые платформой.
8.1 Услуга не предназначена для обработки данных особых категорий третьих лиц. Если Клиент включает в счета или документы данные третьих лиц о здоровье, членстве в профсоюзе, религии, сексуальной ориентации, этническом происхождении, политических взглядах либо биометрические или генетические данные, он делает это под свою ответственность, располагая основанием по статье 9(2) GDPR, и сообщает об этом Исполнителю для применения соответствующих дополнительных мер безопасности.
9.1 Платформа позволяет Клиенту находить, исправлять, экспортировать и удалять зарегистрированные им данные третьих лиц в пределах законных обязанностей по хранению счетов и книг.
9.2 Когда удаление, запрошенное субъектом данных Клиента, затрагивает данные, которые Клиент обязан хранить по закону, Исполнитель обеспечивает ограничение обработки и блокировку, а Клиент сообщает субъекту данных причину хранения.
9.3 Исполнитель выполняет удаления, исправления и ограничения в базе данных, в последующих экспортах и в журналах и гарантирует посредством реестра удалений, что удалённые данные не активируются вновь после восстановления резервных копий.
10.1 Исполнитель хранит данные поручения в течение срока действия Договора и последующего периода просмотра и скачивания согласно срокам по категориям Политики конфиденциальности.
10.2 Временные технические данные (диагностика, временные экспорты, незавершённые загрузки, обычные неактивные черновики форм в браузере) удаляются в сроки, указанные в Политике конфиденциальности, не затрагивая доказательства поданных деклараций.
11.1 Каждая сторона отвечает за ущерб, причинённый нарушением обязанностей, возложенных на неё GDPR и настоящим соглашением в качестве оператора или обработчика, согласно статье 82 GDPR.
11.2 Исполнитель отвечает за нарушения своих субобработчиков как за собственные.
11.3 Договор не устанавливает договорного количественного предела ответственности (пункт 10.4 Договора). Ни в каком случае не ограничивается ответственность за санкции, наложенные надзорным органом на одну сторону за нарушения, за которые отвечает другая, а также за ущерб, причинённый субъектам данных.
12.1 По выбору Клиента-оператора Исполнитель возвращает или удаляет данные по его поручению и уничтожает копии, за исключением хранения, требуемого законной обязанностью. Указание о возврате или удалении документируется; оно не выводится из молчания. Услуга просмотра и скачивания после закрытия является ограниченным указанием о хранении и переходном периоде, а не обязанностью хранить всё досье бессрочно.
12.2 После фактического завершения услуги Клиент бесплатно сохраняет возможность просматривать и скачивать своё досье в течение шести календарных месяцев, если не зафиксировано полное получение архива. Когда подтверждено первое полное скачивание после закрытия, доступ прекращается через три календарных месяца, даже если дата наступает позже первоначального шестимесячного предела. Исполнитель сообщает конкретную дату окончания доступа и планируемого удаления и обновляет её при подтверждении скачивания. Последующие скачивания не перезапускают срок; неполная или дефектная выдача по вине Исполнителя исправляется и не сокращает право доступа. Клик, частичный экспорт или неудавшаяся передача не подтверждают полное получение.
12.3 При закрытии отправляется первое уведомление; затем напоминания каждые четырнадцать дней в первые три месяца и каждые семь дней после этого; в последний календарный месяц до запланированной даты удаления — каждые три дня. Во всех письмах указана конкретная дата. Закрытие происходит при фактическом завершении услуги; отмена продления его не приближает. Месяцы рассчитываются по Europe/Madrid, и доступ действует до конца сообщённого дня. Временный ZIP истекает через семь дней и может быть создан заново, пока доступ открыт. Для просмотра, скачивания или осуществления прав не требуется погашать задолженность, продлевать подписку или отзывать доверенность.
12.4 По окончании доступа удаляются данные, которые больше не должны храниться. Доказательства, необходимые по применимой обязанности или для урегулирования ответственности, разделяются по категории, цели, доступу и сроку с ограничением и блокировкой, когда требуется. Всё досье без разбора не хранится. Резервные копии следуют собственному циклу, и при восстановлении удаления и ограничения применяются повторно до повторного включения данных. Срок архива не заменяет законные сроки.
12.5 Возврат включает структурированный формат и доступные оригинальные документы с перечнем и проверкой целостности. Результат каждого удаления или ограничения фиксируется, и доказательство предоставляется Клиенту по запросу с мотивированными исключениями. Права субъектов данных не зависят от истечения срока архива.
13.1 Настоящее соглашение изменяется по процедуре изменения Договора. Изменения, требуемые изменениями законодательства или предписаниями надзорного органа, сообщаются и применяются в срок, установленный нормой или предписанием.
13.2 Регулируется испанским правом; юрисдикция — предусмотренная Договором.
Предмет: оказание услуги Finomo: выставление счетов, учёт доходов и расходов, автоматическая подготовка деклараций и передача в AEAT утверждённых Клиентом деклараций или выдача файла для подачи, передача учётных записей о счетах при активации, хранение и экспорт.
Срок: срок действия поручения и ограниченный переходный период после закрытия (шесть месяцев без полного получения архива или три месяца с первого полного получения, в том числе за пределами первоначального предела) согласно пункту 12.
Характер: сбор, запись, структурирование, хранение, просмотр, расчёт, извлечение, передача в AEAT, экспорт, блокировка и удаление.
Цели: указанные в пункте 4.2.
Категории субъектов данных: покупатели и клиенты Клиента; поставщики и кредиторы; работники и сотрудники Клиента, если есть; представители и контактные лица вышеуказанных; арендодатели или арендаторы, если есть.
Категории данных: идентификационные (имя, NIF, адрес); контактные (электронная почта, телефон); экономические и данные о счетах (суммы, позиции, способы и даты оплаты и получения, IBAN, если указан в счёте); данные операции, необходимые для счёта и книг; NIF-IVA внутриевропейских контрагентов и результат их проверки в VIES; суммы и удержания по счетам, полученным от специалистов, если Клиент удерживает налог (формы 111 и 190).
Особые категории: не предусмотрены; при необходимости — пункт 8.
Уполномоченные лица: в настоящее время — только владелец Исполнителя. Персонала или нанятого заместителя нет.
Субобработчик хостинга: IONOS SE (Германия) и компании его группы — для виртуального сервера (VPS), на котором размещены база данных, документы и локальные резервные копии. Местонахождение сервера: Испания.
Субобработчик электронной почты: IONOS SE и компании его группы — для почтовых ящиков и отправки и получения почты Finomo (уведомления, поддержка и переписка с Клиентом). Исполнитель не утверждает, что вся цепочка IONOS (поддержка, фильтрация, копии провайдера) осуществляется исключительно в Испании; он опирается на соглашение об обработке данных с IONOS и его гарантии в пределах ЕЭЗ. Документы, полученные по электронной почте, не включаются в расчёт без их загрузки Клиентом на платформу.
Субобработчик внешней резервной копии (запланирован, не в эксплуатации): IONOS Object Storage, регион Берлин (Германия, ЕЭЗ) — как предполагаемое место ежедневной зашифрованной копии с хранением тридцать дней и блокировкой объектов, препятствующей удалению в этот срок. Эта внешняя копия не введена в эксплуатацию: её оформление и тест восстановления ещё не выполнены, и этот субобработчик в настоящее время не обрабатывает данные Клиента. Сегодня копии выполняются только в инфраструктуре сервера в Испании. Исполнитель сообщит Клиенту о её вводе в эксплуатацию согласно пункту 6.2.
Получатели, не являющиеся субобработчиками: AEAT как орган-получатель утверждённых деклараций, переданных по доверенности, учётных записей о счетах при активации и запросов VIES; и Stripe Payments Europe, Limited (Ирландия), платёжный провайдер собственных платежей Исполнителя, который не обрабатывает данные третьих лиц Клиента и указан в Политике конфиденциальности.
Международные передачи: Исполнитель не осуществляет собственных передач за пределы ЕЭЗ. Доступ владельца через VPN из-за пределов ЕЭЗ во время поездок — доступ самого оператора, а не передача третьему лицу. Исполнитель не утверждает полное отсутствие доступа поддержки из третьих стран со стороны своих поставщиков; в таком случае применяются гарантии главы V, предусмотренные договорами этих поставщиков.
Исполнитель применяет и документирует следующие меры, соразмерные риску обработки. У Исполнителя нет сторонних сертификатов безопасности, и он на них не ссылается; меры пересматриваются не реже одного раза в год и после каждого инцидента. Меры, прямо обозначенные как запланированные, не введены в эксплуатацию и не учитываются среди применяемых.
Управление: инвентаризация активов и данных, распределение ответственности (в настоящее время — только владелец), управление изменениями и индивидуальные учётные данные.
Контроль доступа: принцип минимальных привилегий, усиленная аутентификация оператора, управление сессиями, защита учётных данных, отзыв доступа и логическое разделение между клиентами с тестами изоляции.
Шифрование: шифрование коммуникаций (TLS), защита документов и резервных копий, управление ключами отдельно от кода. Реальный объём шифрования при хранении документируется по каждому ресурсу.
Электронный сертификат Исполнителя: ограниченное хранение, контроль срока действия, журнал использования и ротация.
Прослеживаемость: защищённый журнал договоров, деклараций, доверенностей, доступов, экспортов, осуществления прав и внешних операций. Обычные события безопасности хранятся шесть месяцев; связанные с расследованием — пока оно длится и документируется.
Резервные копии. Применяется: локальные зашифрованные копии в инфраструктуре сервера в Испании с проверенным восстановлением; при восстановлении удаления и ограничения применяются повторно до повторного включения данных. Запланировано, не в эксплуатации: ежедневная зашифрованная внешняя копия в IONOS Object Storage (Берлин) с хранением тридцать дней и блокировкой объектов; её оформление и тест восстановления ещё не выполнены, и она не учитывается среди применяемых мер.
Права и удаление: выполнение по категории и сервису, блокировка и реестр удалений и ограничений, повторно применяемый при восстановлении; архив три или шесть месяцев с уведомлениями каждые четырнадцать, семь и три дня.
Среды: разделение сред разработки, тестирования и продакшена; тестовые среды не взаимодействуют с реальной AEAT и используют синтетические данные.
Обновления: оценка и устранение уязвимостей по их серьёзности, подверженности и возможностям с фиксацией решений.
Устройства оператора: работа внутри платформы, без постоянных налоговых файлов клиентов на личных устройствах оператора; доступ к данным только через VPN, в том числе в поездках и за пределами ЕЭЗ.
Электронная почта: канал коммуникаций и поддержки, защищённый аутентификацией домена и контролем ошибок доставки; документы, полученные по почте, не включаются в расчёт без их загрузки Клиентом на платформу.
Инциденты: сдерживание, оценка, фиксация, уведомление Клиента-оператора и содействие согласно Приложению III.
Поставщики: идентификация каждого поставщика, его функции, стран, доступов, договора, изменений и выхода согласно Приложению I.
Конфигурация и внутренние документы не раскрываются без разбора, если они содержат секреты или данные других клиентов; Клиенту предоставляется достаточное доказательство для его контроля.
1. Обнаружение и фиксация. Любая аномалия, которая может представлять нарушение безопасности (несанкционированный доступ, потеря, изменение, раскрытие или недоступность данных), фиксируется с датой и временем обнаружения, источником и первоначальным описанием.
2. Сдерживание. Исполнитель немедленно принимает меры сдерживания (отзыв учётных данных, изоляция систем, блокировка доступа) и сохраняет доказательства.
3. Оценка. Без задержки оцениваются категории, субъекты данных, затронутые данные, вероятные последствия и меры. Технический инцидент не становится автоматически подлежащим уведомлению нарушением. Документируются факты и момент, когда стало известно; сообщение Клиенту не откладывается для завершения расследования.
4. Уведомление Клиента. Без неоправданной задержки с момента, когда Исполнителю стало известно о нарушении, и не дожидаясь получения всей информации, дополняя её поэтапно, Исполнитель сообщает Клиенту по электронной почте и на платформе: дату и время обнаружения и предполагаемую дату начала; описание нарушения; категории затронутых данных и субъектов данных и приблизительное количество; вероятные последствия; принятые и предлагаемые меры; контактное лицо (gdpr@finomo.es); и дополнительную информацию, которая будет предоставлена поэтапно.
5. Содействие. Исполнитель помогает Клиенту в уведомлении Испанского агентства по защите данных (срок 72 часа с момента, когда Клиенту стало известно) и в сообщении субъектам данных при высоком риске, предоставляя дополнительную информацию по мере её появления.
6. Собственная обработка. Если Исполнитель является оператором, он применяет статью 33 GDPR: уведомление органа без неоправданной задержки и, если возможно, в течение 72 часов с момента, когда стало известно, за исключением случаев, когда риск маловероятен; задержка мотивируется. Статья 34 требует незамедлительного сообщения субъекту данных при высоком риске с её исключениями. Решение не уведомлять также документируется.
7. Фиксация и пересмотр. Каждое нарушение, уведомлённое или нет, документируется в реестре инцидентов с фактами, последствиями и корректирующими мерами. Анализ рисков и Приложение II пересматриваются после каждого инцидента.
Документированными указаниями Клиента для целей пункта 5.1 считаются следующие действия, выполняемые на платформе из его аутентифицированного аккаунта:
1. Настройка налогового профиля, режима, периодов и предпочтений расчёта.
2. Предоставление, замена или удаление документов и регистрация операций.
3. Отметка данных периода как готовых («все данные готовы»), которая запускает подготовку проекта и не является его утверждением.
4. Утверждение каждого проекта декларации или исправления, которое является приказом на его передачу или, без доверенности, на выдачу файла для подачи Клиентом, с фиксацией даты, времени, IP-адреса и цифрового отпечатка утверждённого проекта, причём принятие автоматического предупреждения не позволяет передачу или выдачу файла при отсутствии существенных данных.
5. Активация режима передачи учётных записей о счетах в AEAT.
6. Запрос экспорта, исправления, ограничения или удаления данных.
7. Принятие добавления субобработчика или возражение против него.
Любое иное указание оформляется письменно на gdpr@finomo.es и вносится в реестр указаний с датой.
Evgenii Ustinov · NIF Z2074293C
Juan Caturla Gosalvez 2, Alicante
Связь: support@finomo.es
Персональные данные: gdpr@finomo.es