Политика конфиденциальности

1. Администратор данных и контакт

Администратором ваших персональных данных является компания, ведущая бухгалтерскую фирму Steers — полное наименование, адрес, номер KRS, NIP и REGON указаны в подвале сайта и в блоке в конце настоящего документа.

По всем вопросам, касающимся обработки персональных данных и реализации прав, описанных в пункте 9, вы можете написать на e-mail фирмы или письмом на адрес его местонахождения.

Мы не назначили инспектора по защите данных — у нас нет такой обязанности согласно ст. 37 RODO. Вопросами защиты данных занимается непосредственно правление фирмы.

2. Сфера действия документа

Настоящая политика описывает обработку данных в трёх сферах: сайта steers.com.pl, панели клиента (платформы Steers) и текущего бухгалтерского и кадрово-расчётного обслуживания наших клиентов.

Отдельную сокращённую информацию для клиентов, контрагентов и кандидатов на работу вы найдёте в информационной оговорке RODO. Правила применения файлов cookie описывает Политика cookies. Правила пользования сайтом и панелью описывает Регламент.

3. Категории обрабатываемых данных

Мы собираем только те данные, которые нам необходимы для подготовки предложения, заключения договора и его исполнения. Мы не покупаем базы данных и не получаем данные из источников, о которых вы бы не знали — за исключением публичных реестров (KRS, CEIDG, «белый список» плательщиков НДС, CRBR), которыми мы пользуемся при проверке контрагентов.

• Контактная форма и запрос коммерческого предложения: имя и фамилия или название компании, адрес e-mail, номер телефона, выбранный пакет из прайс-листа, правовая форма и масштаб деятельности, текст сообщения, язык использования сайта.
• Панель клиента — данные для входа и технические данные учётной записи: адрес e-mail, зашифрованный хеш пароля, роль в организации клиента, дата и IP-адрес входа, история операций в панели (кто и когда загрузил или утвердил документ).
• Панель клиента — содержание бухгалтерских документов: счета продажи и покупки, чеки, банковские выписки, кассовые отчёты и отчёты с фискальных касс, договоры, протоколы, складские и инвентаризационные документы вместе со сканами и фотографиями, сделанными в приложении.
• Данные работников, исполнителей по гражданско-правовым договорам и контрагентов наших клиентов, содержащиеся в кадрово-расчётных документах: идентификационные и адресные данные, PESEL, номера банковских счетов, данные о вознаграждении, рабочем времени, отпусках, отсутствиях и больничных листах, данные членов семьи, заявляемых на страхование. В этой части мы действуем как процессор данных — см. пункт 5.
• Данные из интеграций, запускаемых по запросу клиента: POS-системы продаж и системы для гастрономии, HR-системы и системы учёта рабочего времени, платформы e-commerce и маркетплейсы, поставщики услуг доставки, банковские выписки, получаемые автоматически. Объём каждой интеграции мы согласовываем с клиентом перед её запуском и ограничиваем данными, необходимыми для расчётов.
• Корреспонденция: сообщения по e-mail, переписка в чате панели (вопросы бухгалтера по конкретному документу), заметки со встреч с бухгалтером, сервисные обращения.
• Данные, собираемые для целей противодействия отмыванию денег: документы и информация, указанные в Политике AML, включая данные бенефициарных владельцев и информацию о занятии значимой публичной должности.
• Технические данные: IP-адрес, тип и версия браузера, операционная система, дата и время запроса, сохраняемые в логах сервера и в логах безопасности панели.

4. Цели и правовые основания обработки

Каждая цель имеет собственное правовое основание. Основания указаны в соответствии с Регламентом 2016/679 (RODO).

• Ответ на запрос из формы, подготовка коммерческого предложения и иные действия, направленные на заключение договора, — ст. 6 п. 1 подп. b RODO.
• Коммерческая коммуникация на основании добровольного согласия, включая напоминание о подготовленном предложении, — ст. 6 п. 1 подп. a RODO. Согласие можно отозвать в любой момент, без ущерба для законности обработки, произведённой до отзыва.
• Оказание бухгалтерских, кадрово-расчётных и консультационных услуг, а также ведение учётной записи в панели клиента — ст. 6 п. 1 подп. b RODO.
• Исполнение правовых обязанностей, лежащих на фирме и на наших клиентах, в частности вытекающих из Закона о бухгалтерском учёте (ustawa o rachunkowości), Налогового кодекса (ordynacja podatkowa), законов о подоходном налоге и о налоге на товары и услуги, положений о социальном страховании и о работничьих капитальных планах (PPK), а также Закона о противодействии отмыванию денег и финансированию терроризма — ст. 6 п. 1 подп. c RODO.
• Обработка данных особых категорий в кадровой документации (например, сведений о состоянии здоровья, вытекающих из больничных листов или решений об инвалидности) — ст. 9 п. 2 подп. b RODO во взаимосвязи с нормами трудового права и права социального страхования.
• Обеспечение безопасности сайта и панели, выявление злоупотреблений, ведение логов доступа и резервных копий — ст. 6 п. 1 подп. f RODO (законный интерес, заключающийся в защите доверенных нам данных).
• Установление, предъявление и защита требований, включая рассмотрение претензий, а также контакт со страховщиком в рамках обязательного страхования гражданской ответственности — ст. 6 п. 1 подп. f RODO.
• Текущая связь с лицами, указанными клиентом как контактные лица (владелец, кадровик, управляющий точкой), — ст. 6 п. 1 подп. f RODO, при этом первичным администратором данных остаётся наш клиент.
• Измерение трафика сайта в Google Analytics 4 — ст. 6 п. 1 подп. f RODO (законный интерес, заключающийся в том, чтобы понимать, какие материалы полезны и откуда к нам приходят запросы). У нас инструмент работает в режиме без файлов cookie. Вы можете возразить против такой обработки либо отключить измерение — способ описан в Политике cookies.

5. Когда мы администратор, а когда процессор данных

Мы являемся администратором в отношении данных лиц, которые связываются с нами через сайт, данных наших клиентов и представляющих их лиц, данных наших контрагентов, а также данных, собираемых для целей обязанностей AML.

Процессором данных (podmiot przetwarzający) в понимании ст. 28 RODO мы являемся в отношении данных работников, исполнителей, контрагентов и клиентов нашего клиента, которые поступают к нам в документах и через интеграции. Администратором этих данных остаётся клиент, а мы обрабатываем их исключительно по его документированному поручению, на основании договора поручения обработки данных (umowa powierzenia przetwarzania danych), являющегося приложением к договору об оказании бухгалтерских услуг.

Исключение составляют ситуации, когда закон прямо возлагает обязанности на бухгалтерскую фирму — тогда в отношении тех же данных мы действуем как самостоятельный администратор (это касается прежде всего документации AML и архивирования доказательств выполнения услуги).

6. Получатели данных

Данные мы не продаём и не предоставляем в маркетинговых целях. Мы передаём их только там, где это необходимо для выполнения услуги или требуется законом, — субподрядчикам всегда на основании договоров поручения обработки и после проверки того, дают ли они гарантии, требуемые ст. 28 п. 1 RODO.

• Поставщик хостинга и серверной инфраструктуры с центрами обработки данных на территории Европейской экономической зоны, на которой работают сайт, панель клиента и резервные копии.
• Поставщик электронной почты и инструментов для офисной работы.
• Поставщики бухгалтерского, кадрово-расчётного программного обеспечения и ПО для отправки деклараций, включая системы для обработки e-Deklaracji и JPK (JPK_V7).
• Субподрядчики фирмы: бухгалтеры и кадровики, сотрудничающие на основе B2B, ИТ-обслуживание, архивирование и уничтожение документов.
• Операторы интеграций, запускаемых по запросу клиента, — системы POS, HR, e-commerce и поставщики банковских услуг, в объёме данных, получаемых для расчётов.
• Органы и публичные учреждения, когда передача данных вытекает из закона: налоговые управления (US), Национальная налоговая администрация (KAS) и Национальная система электронных счетов-фактур (KSeF), ZUS, GUS, PFR в части PPK, Генеральный инспектор финансовой информации (GIIF) в части обязанностей AML, суды и правоохранительные органы.
• Банки и платёжные учреждения — в части переводов и выписок, осуществляемых по поручению клиента.
• Юридические фирмы, присяжные аудиторы (biegli rewidenci) и страховщик — если этого требует дело.
• Мессенджер, через который фирма получает уведомление о новой заявке с сайта; уведомление содержит данные, указанные в форме.
• Google Ireland Limited — поставщик Google Analytics 4, которым мы измеряем трафик сайта. Получает данные о визитах, перечисленные в Политике cookies; данные из формы и документы клиентов мы ему не передаём.

7. Передача данных за пределы Европейской экономической зоны

Как правило, данные остаются в пределах Европейской экономической зоны (ЕЭЗ) — инфраструктуру и резервные копии мы поддерживаем у поставщиков с центрами обработки данных в ЕЭЗ.

Если конкретная вспомогательная услуга связана с обработкой данных за пределами ЕЭЗ (это касается коммуникационных инструментов и измерения трафика сайта), это происходит на основании стандартных договорных положений, утверждённых Европейской комиссией, либо решения о надлежащем уровне защиты, вместе с оценкой последствий такой передачи. По запросу мы предоставляем информацию о применённых гарантиях.

Мы не передаём за пределы ЕЭЗ бухгалтерские документы и кадровую документацию клиентов.

8. Сроки хранения

Мы удаляем или анонимизируем данные, когда прекращает существовать основание для их обработки. Приведённые ниже сроки мы исчисляем способом, указанным в нормах, на которые они ссылаются.

• Запросы, не завершившиеся сотрудничеством, — до 12 месяцев с последнего контакта; при наличии маркетингового согласия — до его отзыва.
• Бухгалтерские книги, учётные документы и налоговая документация — 5 лет, считая с конца календарного года, в котором истёк срок уплаты налога, в соответствии с Налоговым кодексом и Законом о бухгалтерском учёте.
• Кадровая документация, ведущаяся для клиентов, — 10 лет с конца календарного года, в котором прекратились трудовые отношения, а для лиц, трудоустроенных до 1 января 1999 г., — 50 лет.
• Документация и результаты применения мер финансовой безопасности, а также доказательства операций для целей AML — 5 лет, считая с первого дня года, следующего за годом, в котором были прекращены деловые отношения или проведена разовая операция.
• Договоры, переписка и документация расчётов с клиентом — до истечения срока исковой давности требований, как правило 3 года для требований, связанных с ведением хозяйственной деятельности, а в налоговых делах — до истечения срока давности обязательства.
• Учётная запись в панели клиента и история операций — на протяжении срока действия договора; после его расторжения доверенные данные мы возвращаем или удаляем согласно указанию клиента и договору поручения, за исключением документов, которые мы обязаны сохранить на основании закона.
• Логи сервера и логи безопасности панели — до 12 месяцев.
• Резервные копии — до 30 дней, после чего перезаписываются; удаление данных из рабочей системы означает их удаление из копий не позднее этого срока.

9. Ваши права

В той мере, в какой мы являемся администратором ваших данных, вам принадлежит право:

• на доступ к данным и получение их копии (ст. 15 RODO),
• на исправление неверных данных и дополнение неполных (ст. 16 RODO),
• на удаление данных, если у нас нет основания для их дальнейшей обработки (ст. 17 RODO),
• на ограничение обработки (ст. 18 RODO),
• на перенос данных, обрабатываемых на основании согласия или договора (ст. 20 RODO),
• на возражение против обработки, основанной на нашем законном интересе (ст. 21 RODO),
• на отзыв согласия в любой момент, без ущерба для законности обработки, произведённой до отзыва (ст. 7 п. 3 RODO),
• на подачу жалобы Председателю Управления по защите персональных данных (PUODO), ul. Stawki 2, 00-193 Warszawa.

10. Как мы исполняем запросы

Запрос можно подать в любой форме — проще всего по e-mail на адрес фирмы. Мы отвечаем без необоснованной задержки, не позднее чем в течение месяца; в особо сложных случаях мы можем продлить этот срок ещё на два месяца, проинформировав вас о причине.

Если ваши данные попали к нам от нашего клиента — например, как к работнику, исполнителю по гражданско-правовому договору или контрагенту, — направляйте запрос ему как администратору. Мы передадим ему обращение и выполним его указание в срок, вытекающий из договора поручения.

Перед исполнением запроса мы можем попросить дополнительную информацию, позволяющую подтвердить вашу личность. Речь идёт не об усложнении процедуры, а о том, чтобы не выдать данные неуполномоченному лицу.

11. Добровольность предоставления данных

Предоставление данных в контактной форме добровольно, но без адреса e-mail или номера телефона мы не сможем ответить на запрос. Остальные поля помогают подготовить конкретную оценку стоимости.

Предоставление данных, требуемых нормами налогового права, права о бухгалтерском учёте, трудового права и права социального страхования, а также нормами AML, обязательно — без них мы не можем вести книги, расчёты и вступать в деловые отношения.

12. Безопасность данных

• Доступ к документам и к панели имеют исключительно уполномоченные сотрудники и партнёры фирмы, в объёме, вытекающем из порученных задач; каждое разрешение фиксируется в учёте.
• Лица, имеющие доступ к данным, обязаны сохранять конфиденциальность, в том числе после окончания сотрудничества.
• Соединения с сайтом и панелью шифруются; панель клиента и панель сотрудников — это отдельные приложения с отдельной аутентификацией и разграниченными правами доступа.
• Операции с документами регистрируются — известно, кто и когда загрузил, изменил или утвердил документ.
• Мы выполняем регулярное резервное копирование и тестируем восстановление данных.
• О нарушениях защиты данных мы уведомляем Председателя PUODO в течение 72 часов с момента обнаружения, а субъектов данных — если нарушение может повлечь высокий риск нарушения их прав. Клиентов, для которых мы являемся процессором данных, мы информируем незамедлительно после обнаружения нарушения.

13. Профилирование и автоматизированные решения

Мы не принимаем в отношении вас решений, основанных исключительно на автоматизированной обработке, включая профилирование, которые вызывали бы правовые последствия или иным образом существенно на вас влияли.

Документы, загружаемые в панель, предварительно считываются системой (распознавание текста и предварительная разметка), однако каждый документ перед проводкой проверяет бухгалтер. Оценка риска клиента для целей AML поддерживается инструментами, но решение всегда принимает человек.

14. Файлы cookie

Сайт сохраняет только файлы cookie, необходимые для его работы, и сессионные cookie панели клиента. Трафик сайта мы измеряем в Google Analytics 4 в режиме без файлов cookie — инструмент не сохраняет на вашем устройстве ни файлов, ни идентификаторов. Маркетинговые cookie мы не применяем и данные рекламным сетям не передаём. Подробности, включая объём собираемых данных и способ отключения измерения, — в Политике cookies.

15. Изменения политики

Если мы изменим объём собираемых данных, цели обработки, список получателей или сроки хранения, мы обновим настоящий документ и дату последнего обновления в его начале.

Об изменениях, существенно затрагивающих права клиентов, мы дополнительно информируем в панели клиента или по электронной почте, не менее чем за 14 дней.