Адаптований переклад з іспанської. У разі розбіжності пріоритет має іспанський текст.
Español · OriginalЦя угода входить до Умов надання послуг Finomo (далі — «Договір») і регулює обробку персональних даних, яку Виконавець здійснює за дорученням Клієнта. Клієнт (контролер, відповідальний за обробку): фізична або юридична особа, ідентифікована під час оформлення. Виконавець: Євгеній Устінов (Evgenii Ustinov), NIF Z2074293C, Juan Caturla Gosalvez 2, 03005 Alicante; gdpr@finomo.es. Виконавець діє як обробник щодо даних третіх осіб з діяльності Клієнта та підготовки і передачі його декларацій (пункт 3.1) і як контролер щодо даних акаунта, оформлення, виставлення рахунків, оплати і безпеки Клієнта та перевірки особи довірителя (пункт 3.2). Застосовне законодавство: Регламент (ЄС) 2016/679 (GDPR), Органічний закон 3/2018 (LOPDGDD) і норми, що їх розвивають або замінюють. Терміни «персональні дані», «обробка», «контролер», «обробник», «суб’єкт даних» і «порушення безпеки» мають значення, визначене статтею 4 GDPR.
1.1 Клієнт доручає Виконавцеві обробку персональних даних, потрібних для надання послуги Finomo, описаної в Договорі, на умовах цієї угоди та її Додатка I.
1.2 Ця угода має пріоритет над будь-яким іншим положенням Договору у сфері захисту даних.
2.1 Доручення діє стільки ж, скільки Договір, і поширюється на передбачений Договором період перегляду і завантаження після закриття, протягом якого Виконавець лише зберігає, показує та експортує дані за вказівкою Клієнта.
2.2 Після закінчення цього періоду застосовується пункт 12.
3.1 Виконавець виступає обробником щодо персональних даних третіх осіб (покупців, постачальників, працівників, співробітників та інших), які Клієнт надає або створює на платформі в ході своєї економічної діяльності, а також щодо автоматичної підготовки декларацій за цією діяльністю і — після затвердження кожної з них Клієнтом — їхньої передачі до AEAT або видачі файлу для подання Клієнтом відповідно до його вказівок. До цієї обробки застосовується ця угода.
3.2 Виконавець виступає контролером щодо: (a) ідентифікаційних даних Клієнта, даних про оформлення, виставлення рахунків, оплату та безпеку; (b) копії документа, що посвідчує особу (DNI, NIE або TIE), завантаженої Клієнтом, і результату перевірки того, що власник акаунта — довіритель, які зберігаються протягом строку дії Договору та п’яти років після його припинення і використовуються лише для цієї мети (пункт 6.1 Договору). До цієї обробки застосовується Політика конфіденційності, а не ця угода.
3.3 Затвердження декларації Клієнтом і довіреність, видана в AEAT, не змінюють цього розподілу ролей.
4.1 Обробка включає збирання, запис, структурування, зберігання, перегляд, розрахунок, вилучення, передачу до Державного агентства податкової адміністрації (AEAT) за дорученням Клієнта, експорт, блокування і видалення даних.
4.2 Цілі обмежені потрібними для: виставлення і зберігання рахунків; обліку доходів і витрат; перевірки в системі VIES NIF-IVA внутрішньоєвропейських контрагентів; автоматичної підготовки за закладеними в програмне забезпечення правилами проєктів податкових декларацій та їхніх виправлень; за потреби — перевірки до надання проєкту Клієнтові, що розрахунок відповідає закладеним правилам і завантаженим документам, як контролю якості програмного забезпечення за пунктом 2.4 Договору і без зміни даних Клієнта; після затвердження кожної декларації Клієнтом — передачі до AEAT саме затвердженої версії за наявності зареєстрованої і достатньої довіреності або видачі Клієнтові файлу для подання; передачі облікових записів про рахунки в разі активації Клієнтом відповідного режиму; зберігання та експорту документації.
4.3 Типи даних, категорії суб’єктів даних і операції описані в Додатку I.
5.1 Вказівки. Обробляти дані лише згідно з документованими вказівками Клієнта. Документованими вказівками вважаються: Договір, ця угода, налаштування, які Клієнт виконує на платформі, надання документів, запит експорту і затвердження кожної декларації згідно з Додатком IV. Якщо Виконавець вважає, що вказівка порушує законодавство про захист даних, він негайно інформує Клієнта і може призупинити її виконання до отримання законних вказівок. Просте підтвердження не легітимізує вказівки, що суперечить законодавству.
5.2 Реєстр операцій. Вести письмовий реєстр категорій операцій обробки, що виконуються за дорученням Клієнта, згідно зі статтею 30(2) GDPR.
5.3 Конфіденційність. Гарантувати, що особи, уповноважені обробляти дані (нині — лише сам Виконавець; персоналу і призначеного заступника немає), зв’язані обов’язком конфіденційності, у тому числі після припинення відносин з Виконавцем. Будь-яке майбутнє залучення персоналу потребуватиме письмового зобов’язання про конфіденційність і попереднього навчання.
5.4 Безпека. Застосовувати технічні й організаційні заходи Додатка II, переглядати їх не рідше ніж раз на рік і адаптувати за зміни ризиків, не знижуючи рівня захисту протягом строку дії Договору.
5.5 Субобробники. Залучати лише субобробників, дозволених згідно з пунктом 6.
5.6 Права суб’єктів даних. Сприяти Клієнтові за допомогою функцій платформи і, за потреби, прямими діями в обробці запитів про доступ, виправлення, видалення, обмеження, перенесення і заперечення. Якщо суб’єкт даних звертається безпосередньо до Виконавця, той повідомляє йому про необхідність звернутися до Клієнта і пересилає запит Клієнтові щонайбільше протягом двох робочих днів.
5.7 Порушення безпеки. Повідомляти Клієнта про будь-яке порушення безпеки, що зачіпає дані доручення, без невиправданої затримки з моменту, коли йому стало відомо, не чекаючи збирання всієї інформації і доповнюючи її поетапно, з інформацією і за процедурою Додатка III, а також сприяти в повідомленнях, які Клієнт має надіслати до Іспанського агентства із захисту даних і суб’єктам даних.
5.8 Оцінки впливу та попередні консультації. Надавати Клієнтові інформацію про обробку і заходи безпеки, потрібну для проведення, за потреби, оцінок впливу і попередніх консультацій з наглядовим органом.
5.9 Дотримання та аудит. Надавати Клієнтові інформацію, потрібну для підтвердження дотримання обов’язків за статтею 28 GDPR, а також допускати і сприяти аудитам і перевіркам, що проводяться Клієнтом або призначеним ним аудитором, за розумного погодження дати, обсягу і конфіденційності, захищаючи дані інших клієнтів і секрети Виконавця. Обмеження частоти, що перешкоджають потрібній перевірці, не встановлюються.
5.10 Місцезнаходження та доступ. Документувати отримувачів, ролі, країни та операції згідно з Додатком I. Виконавець отримує доступ до даних доручення лише через VPN-з’єднання, у тому числі в поїздках і за межами Європейської економічної зони, без окремого режиму для поїздок; доступ самого оператора не є передачею третій особі. Будь-який доступ третьої особи з-за меж ЄЕЗ розглядається за критеріями глави V GDPR з відповідними гарантіями.
5.11 Власні цілі. Не використовувати даних доручення для власних цілей, не навчати на них систем штучного інтелекту і не передавати їх третім особам, крім випадків законного обов’язку, — у цьому разі інформувати Клієнта до передачі, коли закон це дозволяє.
6.1 Клієнт надає Виконавцеві загальний дозвіл залучати субобробників, зазначених у Додатку I, для описаних там функцій.
6.2 Виконавець повідомляє Клієнтові електронною поштою і на платформі про будь-яке додавання або заміну субобробників не менше ніж за п’ятнадцять днів до набуття чинності. Клієнт може заперечити письмово на gdpr@finomo.es до цієї дати, вказавши розумні причини, пов’язані із захистом даних. Виконавець розглядає заперечення і, якщо не може запропонувати альтернативи, що його враховує, Клієнт може припинити доручення і Договір без штрафу та отримати повернення своїх даних згідно з пунктом 12. Якщо постачальник не надає Виконавцеві достатнього попереднього повідомлення, Виконавець інформує Клієнта, як тільки дізнається про зміну.
6.3 Виконавець покладає на кожного субобробника договором обов’язки, еквівалентні обов’язкам цієї угоди, зокрема достатні гарантії технічних і організаційних заходів, і залишається відповідальним перед Клієнтом за дотримання обов’язків своїми субобробниками. Справжній субобробник відрізняється від отримувача, що діє як самостійний контролер, наприклад AEAT або платіжний провайдер щодо власних списань Виконавця.
6.4 Персонал або професійний заступник до обробки не залучені. Будь-яке майбутнє залучення потребує визначення функції, дозволу і гарантій до надання доступу.
7.1 Гарантувати, що надані ним дані отримані законно, що в нього є правова підстава для їхньої обробки і що він поінформував своїх суб’єктів даних згідно зі статтями 13 і 14 GDPR.
7.2 Давати законні вказівки і вирішувати питання про включення даних особливих категорій до наданих документів.
7.3 Обробляти запити про права своїх суб’єктів даних, використовуючи функції платформи і сприяння Виконавця.
7.4 Виконувати власні обов’язки щодо зберігання рахунків, книг і підтвердних документів протягом установлених законом строків незалежно від зберігання, яке здійснює Виконавець.
7.5 Зберігати конфіденційність своїх облікових даних і використовувати заходи захисту акаунта, які надає платформа.
8.1 Послуга не призначена для обробки даних особливих категорій третіх осіб. Якщо Клієнт включає до рахунків або документів дані третіх осіб про здоров’я, членство в профспілці, релігію, сексуальну орієнтацію, етнічне походження, політичні погляди або біометричні чи генетичні дані, він робить це під свою відповідальність, маючи підставу за статтею 9(2) GDPR, і повідомляє про це Виконавцеві для застосування відповідних додаткових заходів безпеки.
9.1 Платформа дозволяє Клієнтові знаходити, виправляти, експортувати і видаляти зареєстровані ним дані третіх осіб у межах законних обов’язків щодо зберігання рахунків і книг.
9.2 Коли видалення, запитане суб’єктом даних Клієнта, зачіпає дані, які Клієнт зобов’язаний зберігати за законом, Виконавець забезпечує обмеження обробки і блокування, а Клієнт повідомляє суб’єктові даних причину зберігання.
9.3 Виконавець виконує видалення, виправлення та обмеження в базі даних, у подальших експортах і в журналах і гарантує через реєстр видалень, що видалені дані не активуються знову після відновлення резервних копій.
10.1 Виконавець зберігає дані доручення протягом строку дії Договору і подальшого періоду перегляду і завантаження згідно зі строками за категоріями Політики конфіденційності.
10.2 Тимчасові технічні дані (діагностика, тимчасові експорти, незавершені завантаження, звичайні неактивні чернетки форм у браузері) видаляються у строки, зазначені в Політиці конфіденційності, не зачіпаючи доказів поданих декларацій.
11.1 Кожна сторона відповідає за шкоду, заподіяну порушенням обов’язків, покладених на неї GDPR і цією угодою як на контролера або обробника, згідно зі статтею 82 GDPR.
11.2 Виконавець відповідає за порушення своїх субобробників як за власні.
11.3 Договір не встановлює договірної кількісної межі відповідальності (пункт 10.4 Договору). У жодному разі не обмежується відповідальність за санкції, накладені наглядовим органом на одну сторону за порушення, за які відповідає інша, а також за шкоду, заподіяну суб’єктам даних.
12.1 На вибір Клієнта-контролера Виконавець повертає або видаляє дані за його дорученням і знищує копії, за винятком зберігання, що вимагається законним обов’язком. Вказівка про повернення або видалення документується; вона не виводиться з мовчання. Послуга перегляду і завантаження після закриття є обмеженою вказівкою про зберігання і перехідний період, а не обов’язком зберігати все досьє безстроково.
12.2 Після фактичного завершення послуги Клієнт безкоштовно зберігає можливість переглядати і завантажувати своє досьє протягом шести календарних місяців, якщо не зафіксовано повного отримання архіву. Коли підтверджено перше повне завантаження після закриття, доступ припиняється через три календарні місяці, навіть якщо дата настає пізніше за початкову шестимісячну межу. Виконавець повідомляє конкретну дату закінчення доступу і запланованого видалення й оновлює її після підтвердження завантаження. Подальші завантаження не перезапускають строку; неповна або дефектна видача з вини Виконавця виправляється і не скорочує права доступу. Клік, частковий експорт або невдала передача не підтверджують повного отримання.
12.3 Під час закриття надсилається перше повідомлення; потім нагадування кожні чотирнадцять днів у перші три місяці і кожні сім днів після цього; в останній календарний місяць до запланованої дати видалення — кожні три дні. В усіх листах зазначена конкретна дата. Закриття відбувається після фактичного завершення послуги; скасування продовження його не наближає. Місяці розраховуються за Europe/Madrid, і доступ діє до кінця повідомленого дня. Тимчасовий ZIP спливає через сім днів і може бути створений заново, доки доступ відкритий. Для перегляду, завантаження або здійснення прав не вимагається погашати заборгованість, продовжувати підписку чи відкликати довіреність.
12.4 Після закінчення доступу видаляються дані, які більше не повинні зберігатися. Докази, потрібні за застосовним обов’язком або для врегулювання відповідальності, розділяються за категорією, метою, доступом і строком з обмеженням і блокуванням, коли потрібно. Усе досьє без розбору не зберігається. Резервні копії йдуть за власним циклом, і під час відновлення видалення та обмеження застосовуються повторно до повторного увімкнення даних. Строк архіву не замінює законних строків.
12.5 Повернення включає структурований формат і доступні оригінальні документи з переліком і перевіркою цілісності. Результат кожного видалення або обмеження фіксується, і доказ надається Клієнтові на запит з мотивованими винятками. Права суб’єктів даних не залежать від закінчення строку архіву.
13.1 Ця угода змінюється за процедурою зміни Договору. Зміни, що вимагаються змінами законодавства або приписами наглядового органу, повідомляються і застосовуються у строк, встановлений нормою або приписом.
13.2 Регулюється іспанським правом; юрисдикція — передбачена Договором.
Предмет: надання послуги Finomo: виставлення рахунків, облік доходів і витрат, автоматична підготовка декларацій і передача до AEAT затверджених Клієнтом декларацій або видача файлу для подання, передача облікових записів про рахунки в разі активації, зберігання та експорт.
Строк: строк дії доручення і обмежений перехідний період після закриття (шість місяців без повного отримання архіву або три місяці з першого повного отримання, у тому числі за межами початкової межі) згідно з пунктом 12.
Характер: збирання, запис, структурування, зберігання, перегляд, розрахунок, вилучення, передача до AEAT, експорт, блокування і видалення.
Цілі: зазначені в пункті 4.2.
Категорії суб’єктів даних: покупці і клієнти Клієнта; постачальники і кредитори; працівники і співробітники Клієнта, якщо є; представники і контактні особи вищезазначених; орендодавці або орендарі, якщо є.
Категорії даних: ідентифікаційні (ім’я, NIF, адреса); контактні (електронна пошта, телефон); економічні та дані про рахунки (суми, позиції, способи і дати оплати та отримання, IBAN, якщо зазначений у рахунку); дані операції, потрібні для рахунку і книг; NIF-IVA внутрішньоєвропейських контрагентів і результат їхньої перевірки у VIES; суми та утримання за рахунками, отриманими від фахівців, якщо Клієнт утримує податок (форми 111 і 190).
Особливі категорії: не передбачені; за потреби — пункт 8.
Уповноважені особи: нині — лише власник Виконавця. Персоналу або найнятого заступника немає.
Субобробник хостингу: IONOS SE (Німеччина) і компанії його групи — для віртуального сервера (VPS), на якому розміщені база даних, документи і локальні резервні копії. Місцезнаходження сервера: Іспанія.
Субобробник електронної пошти: IONOS SE і компанії його групи — для поштових скриньок і надсилання та отримання пошти Finomo (повідомлення, підтримка і листування з Клієнтом). Виконавець не стверджує, що весь ланцюжок IONOS (підтримка, фільтрація, копії провайдера) здійснюється виключно в Іспанії; він спирається на угоду про обробку даних з IONOS та його гарантії в межах ЄЕЗ. Документи, отримані електронною поштою, не включаються до розрахунку без їхнього завантаження Клієнтом на платформу.
Субобробник зовнішньої резервної копії (запланований, не в експлуатації): IONOS Object Storage, регіон Берлін (Німеччина, ЄЕЗ) — як передбачуване місце щоденної зашифрованої копії зі зберіганням тридцять днів і блокуванням об’єктів, що перешкоджає видаленню в цей строк. Ця зовнішня копія не введена в експлуатацію: її оформлення і тест відновлення ще не виконані, і цей субобробник нині не обробляє даних Клієнта. Сьогодні копії виконуються лише в інфраструктурі сервера в Іспанії. Виконавець повідомить Клієнтові про її введення в експлуатацію згідно з пунктом 6.2.
Отримувачі, що не є субобробниками: AEAT як орган-отримувач затверджених декларацій, переданих за довіреністю, облікових записів про рахунки в разі активації та запитів VIES; і Stripe Payments Europe, Limited (Ірландія), платіжний провайдер власних платежів Виконавця, який не обробляє даних третіх осіб Клієнта і зазначений у Політиці конфіденційності.
Міжнародні передачі: Виконавець не здійснює власних передач за межі ЄЕЗ. Доступ власника через VPN з-за меж ЄЕЗ під час поїздок — доступ самого оператора, а не передача третій особі. Виконавець не стверджує повної відсутності доступу підтримки з третіх країн з боку своїх постачальників; у такому разі застосовуються гарантії глави V, передбачені договорами цих постачальників.
Виконавець застосовує і документує такі заходи, пропорційні ризику обробки. У Виконавця немає сторонніх сертифікатів безпеки, і він на них не посилається; заходи переглядаються не рідше ніж раз на рік і після кожного інциденту. Заходи, прямо позначені як заплановані, не введені в експлуатацію і не враховуються серед застосовуваних.
Управління: інвентаризація активів і даних, розподіл відповідальності (нині — лише власник), управління змінами та індивідуальні облікові дані.
Контроль доступу: принцип мінімальних привілеїв, посилена автентифікація оператора, керування сесіями, захист облікових даних, відкликання доступу і логічне розділення між клієнтами з тестами ізоляції.
Шифрування: шифрування комунікацій (TLS), захист документів і резервних копій, керування ключами окремо від коду. Реальний обсяг шифрування під час зберігання документується за кожним ресурсом.
Електронний сертифікат Виконавця: обмежене зберігання, контроль строку дії, журнал використання і ротація.
Простежуваність: захищений журнал договорів, декларацій, довіреностей, доступів, експортів, здійснення прав і зовнішніх операцій. Звичайні події безпеки зберігаються шість місяців; пов’язані з розслідуванням — доки воно триває і документується.
Резервні копії. Застосовується: локальні зашифровані копії в інфраструктурі сервера в Іспанії з перевіреним відновленням; під час відновлення видалення та обмеження застосовуються повторно до повторного увімкнення даних. Заплановано, не в експлуатації: щоденна зашифрована зовнішня копія в IONOS Object Storage (Берлін) зі зберіганням тридцять днів і блокуванням об’єктів; її оформлення і тест відновлення ще не виконані, і вона не враховується серед застосовуваних заходів.
Права та видалення: виконання за категорією і сервісом, блокування і реєстр видалень та обмежень, що повторно застосовується під час відновлення; архів три або шість місяців з повідомленнями кожні чотирнадцять, сім і три дні.
Середовища: розділення середовищ розробки, тестування і продакшену; тестові середовища не взаємодіють зі справжньою AEAT і використовують синтетичні дані.
Оновлення: оцінка та усунення вразливостей за їхньою серйозністю, схильністю і можливостями з фіксацією рішень.
Пристрої оператора: робота всередині платформи, без постійних податкових файлів клієнтів на особистих пристроях оператора; доступ до даних лише через VPN, у тому числі в поїздках і за межами ЄЕЗ.
Електронна пошта: канал комунікацій і підтримки, захищений автентифікацією домену і контролем помилок доставки; документи, отримані поштою, не включаються до розрахунку без їхнього завантаження Клієнтом на платформу.
Інциденти: стримування, оцінка, фіксація, повідомлення Клієнта-контролера і сприяння згідно з Додатком III.
Постачальники: ідентифікація кожного постачальника, його функції, країн, доступів, договору, змін і виходу згідно з Додатком I.
Конфігурація і внутрішні документи не розкриваються без розбору, якщо вони містять секрети або дані інших клієнтів; Клієнтові надається достатній доказ для його контролю.
1. Виявлення та фіксація. Будь-яка аномалія, що може становити порушення безпеки (несанкціонований доступ, втрата, зміна, розкриття або недоступність даних), фіксується з датою і часом виявлення, джерелом і первинним описом.
2. Стримування. Виконавець негайно вживає заходів стримування (відкликання облікових даних, ізоляція систем, блокування доступу) і зберігає докази.
3. Оцінка. Без затримки оцінюються категорії, суб’єкти даних, зачеплені дані, ймовірні наслідки і заходи. Технічний інцидент не стає автоматично порушенням, що підлягає повідомленню. Документуються факти і момент, коли стало відомо; повідомлення Клієнтові не відкладається для завершення розслідування.
4. Повідомлення Клієнта. Без невиправданої затримки з моменту, коли Виконавцеві стало відомо про порушення, і не чекаючи отримання всієї інформації, доповнюючи її поетапно, Виконавець повідомляє Клієнтові електронною поштою і на платформі: дату і час виявлення та орієнтовну дату початку; опис порушення; категорії зачеплених даних і суб’єктів даних та приблизну кількість; ймовірні наслідки; вжиті і пропоновані заходи; контактну особу (gdpr@finomo.es); і додаткову інформацію, яка надаватиметься поетапно.
5. Сприяння. Виконавець допомагає Клієнтові в повідомленні Іспанського агентства із захисту даних (строк 72 години з моменту, коли Клієнтові стало відомо) і в повідомленні суб’єктів даних за високого ризику, надаючи додаткову інформацію в міру її появи.
6. Власна обробка. Якщо Виконавець є контролером, він застосовує статтю 33 GDPR: повідомлення органу без невиправданої затримки і, якщо можливо, протягом 72 годин з моменту, коли стало відомо, за винятком випадків, коли ризик малоймовірний; затримка мотивується. Стаття 34 вимагає негайного повідомлення суб’єкта даних за високого ризику з її винятками. Рішення не повідомляти також документується.
7. Фіксація та перегляд. Кожне порушення, повідомлене чи ні, документується в реєстрі інцидентів з фактами, наслідками і коригувальними заходами. Аналіз ризиків і Додаток II переглядаються після кожного інциденту.
Документованими вказівками Клієнта для цілей пункту 5.1 вважаються такі дії, що виконуються на платформі з його автентифікованого акаунта:
1. Налаштування податкового профілю, режиму, періодів і уподобань розрахунку.
2. Надання, заміна або видалення документів і реєстрація операцій.
3. Позначення даних періоду як готових («всі дані готові»), яке запускає підготовку проєкту і не є його затвердженням.
4. Затвердження кожного проєкту декларації або виправлення, яке є наказом на його передачу або, без довіреності, на видачу файлу для подання Клієнтом, з фіксацією дати, часу, IP-адреси і цифрового відбитка затвердженого проєкту, причому прийняття автоматичного попередження не дозволяє передачі чи видачі файлу за відсутності істотних даних.
5. Активація режиму передачі облікових записів про рахунки до AEAT.
6. Запит експорту, виправлення, обмеження або видалення даних.
7. Прийняття додавання субобробника або заперечення проти нього.
Будь-яка інша вказівка оформлюється письмово на gdpr@finomo.es і вноситься до реєстру вказівок з датою.
Evgenii Ustinov · NIF Z2074293C
Juan Caturla Gosalvez 2, Alicante
Зв'язок: support@finomo.es
Персональні дані: gdpr@finomo.es