Політика конфіденційності

1. Адміністратор даних і контакт

Адміністратором ваших персональних даних є компанія, що веде бухгалтерську фірму Steers — повна назва, юридична адреса, номер KRS, NIP і REGON вказані в підвалі сайту та в рамці наприкінці цього документа.

З усіх питань, повʼязаних з обробкою персональних даних і реалізацією прав, описаних у пункті 9, ви можете написати на e-mail фірми або листом на адресу юридичної особи.

Ми не призначили інспектора із захисту даних — така вимога на нас не поширюється відповідно до ст. 37 GDPR (RODO). Питаннями захисту даних безпосередньо займається керівництво фірми.

2. Обсяг документа

Політика описує обробку даних у трьох сферах: вебсайту steers.com.pl, кабінету клієнта (платформи Steers) та поточного бухгалтерського й кадрово-розрахункового обслуговування наших клієнтів.

Окрему, скорочену інформацію для клієнтів, контрагентів і кандидатів на роботу ви знайдете в інформаційному застереженні RODO (GDPR). Правила застосування файлів cookie описує Політика cookies. Правила користування сайтом і кабінетом описує Регламент.

3. Категорії оброблюваних даних

Ми збираємо лише ті дані, які нам необхідні для підготовки пропозиції, укладення договору та його виконання. Ми не купуємо бази даних і не отримуємо дані з джерел, про які ви б не знали, — за винятком публічних реєстрів (KRS, CEIDG, білий список платників ПДВ, CRBR), якими ми користуємося під час перевірки контрагентів.

• Контактна форма і запит на пропозицію: імʼя та прізвище або назва компанії, e-mail, номер телефону, обраний пакет із прайс-листа, організаційно-правова форма і масштаб діяльності, зміст повідомлення, мова користування сайтом.
• Кабінет клієнта — дані входу та технічні дані облікового запису: e-mail, зашифрований хеш пароля, роль у структурі клієнта, дата й IP-адреса входу, історія операцій у кабінеті (хто і коли завантажив або затвердив документ).
• Кабінет клієнта — зміст бухгалтерських документів: видаткові й прибуткові рахунки-фактури, чеки, банківські виписки, касові звіти й звіти з фіскальних реєстраторів, договори, протоколи, складські та інвентаризаційні документи разом зі сканами та фотографіями, зробленими в застосунку.
• Дані працівників, виконавців за цивільно-правовими договорами та контрагентів наших клієнтів, що містяться в кадрово-розрахункових документах: ідентифікаційні та адресні дані, PESEL, номери банківських рахунків, дані про заробітну плату, робочий час, відпустки, відсутності та лікарняні, дані членів родини, заявлених на страхування. У цій частині ми діємо як обробник даних — див. пункт 5.
• Дані з інтеграцій, що запускаються на прохання клієнта: POS-системи та системи для гастрономії, HR-системи та системи обліку робочого часу, платформи e-commerce й маркетплейси, постачальники служб доставки, банківські виписки, що завантажуються автоматично. Обсяг кожної інтеграції ми узгоджуємо з клієнтом до її запуску та обмежуємо даними, потрібними для розрахунків.
• Кореспонденція: електронні листи, повідомлення в чаті кабінету (питання бухгалтера щодо конкретного документа), нотатки із зустрічей з бухгалтером, сервісні звернення.
• Дані, що збираються для протидії відмиванню коштів: документи та відомості, зазначені в Політиці AML, зокрема дані бенефіціарних власників та інформація про статус особи, яка обіймає визначну публічну посаду.
• Технічні дані: IP-адреса, тип і версія браузера, операційна система, дата й час запиту — зберігаються в логах сервера та в логах безпеки кабінету.

4. Цілі та правові підстави обробки

Кожна мета має власну правову підставу. Підстави ми вказуємо відповідно до Регламенту 2016/679 (RODO/GDPR).

• Відповідь на запит із форми, підготовка кошторису та інших дій, спрямованих на укладення договору, — ст. 6 п. 1 підп. b GDPR.
• Комерційний контакт на підставі добровільної згоди, зокрема нагадування про підготовлену пропозицію, — ст. 6 п. 1 підп. a GDPR. Згоду можна відкликати в будь-який момент без впливу на законність попередньої обробки.
• Надання бухгалтерських, кадрово-розрахункових та консультаційних послуг, а також ведення облікового запису в кабінеті клієнта — ст. 6 п. 1 підп. b GDPR.
• Виконання правових обовʼязків, що покладені на фірму та на наших клієнтів, зокрема тих, що випливають із закону про бухгалтерський облік, податкового кодексу (Ordynacja podatkowa), законів про податок на прибуток і про податок на товари й послуги, положень про соціальне страхування та про працівничі капітальні плани (PPK), а також закону про протидію відмиванню коштів і фінансуванню тероризму — ст. 6 п. 1 підп. c GDPR.
• Обробка даних особливих категорій у кадровій документації (наприклад, відомостей про стан здоровʼя з лікарняних листків або довідок про інвалідність) — ст. 9 п. 2 підп. b GDPR у звʼязку з нормами трудового права та права соціального страхування.
• Забезпечення безпеки сайту й кабінету, виявлення зловживань, ведення логів доступу та резервних копій — ст. 6 п. 1 підп. f GDPR (законний інтерес, що полягає в захисті довірених нам даних).
• Встановлення, розслідування та захист претензій, зокрема розгляд скарг, а також контакт зі страховиком у межах обовʼязкового страхування цивільної відповідальності — ст. 6 п. 1 підп. f GDPR.
• Поточний контакт з особами, вказаними клієнтом як контактні (власник, кадровик, керівник закладу), — ст. 6 п. 1 підп. f GDPR, при цьому первинним адміністратором цих даних залишається наш клієнт.
• Вимірювання трафіку сайту в Google Analytics 4 — ст. 6 п. 1 підп. f GDPR (законний інтерес, що полягає в розумінні того, які матеріали корисні та звідки до нас надходять запити). У нас інструмент працює в режимі без файлів cookie. Ви можете заперечити проти такої обробки або вимкнути вимірювання — спосіб описано в Політиці cookies.

5. Коли ми адміністратор, а коли обробник даних

Ми є адміністратором щодо даних осіб, які звертаються до нас через сайт, даних наших клієнтів і осіб, що їх представляють, даних наших контрагентів, а також даних, що збираються для виконання обовʼязків AML.

Обробником даних у розумінні ст. 28 GDPR ми є щодо даних працівників, виконавців за цивільно-правовими договорами, контрагентів і клієнтів нашого клієнта, які потрапляють до нас у документах та інтеграціях. Адміністратором цих даних залишається клієнт, а ми обробляємо їх виключно за його задокументованим дорученням, на підставі договору доручення обробки даних, що є додатком до договору про надання бухгалтерських послуг.

Винятком є ситуації, коли закон покладає обовʼязки безпосередньо на бухгалтерську фірму — тоді щодо тих самих даних ми діємо як окремий адміністратор (це стосується насамперед документації AML та архівування доказів виконання послуги).

6. Одержувачі даних

Ми не продаємо дані й не надаємо їх у маркетингових цілях. Ми передаємо їх лише туди, де це необхідно для виконання послуги або вимагається законом, — підрядникам завжди на підставі договорів доручення обробки та після перевірки, чи надають вони гарантії, яких вимагає ст. 28 п. 1 GDPR.

• Постачальник хостингу та серверної інфраструктури з центрами обробки даних на території Європейського економічного простору, на якій працюють сайт, кабінет клієнта та резервні копії.
• Постачальник електронної пошти та інструментів для офісної роботи.
• Постачальники бухгалтерського й кадрово-розрахункового програмного забезпечення та систем для надсилання декларацій, зокрема системи для e-Deklaracji та JPK_V7.
• Підрядники фірми: бухгалтери й кадровики, що співпрацюють на умовах B2B, ІТ-підтримка, архівування та знищення документів.
• Оператори інтеграцій, що запускаються на прохання клієнта, — POS-системи, HR-системи, e-commerce та постачальники банківських послуг, у частині даних, що збираються для розрахунків.
• Органи та державні установи, коли передання даних випливає із закону: податкові органи, Національна податкова адміністрація (KAS) та Національна система е-Фактур (KSeF), ZUS, GUS, PFR у частині PPK, Генеральний інспектор фінансової інформації (GIIF) у частині обовʼязків AML, суди та правоохоронні органи.
• Банки та платіжні установи — у частині переказів і виписок, що виконуються за дорученням клієнта.
• Юридичні фірми, аудитори та страховик — якщо цього вимагає справа.
• Месенджер, через який фірма отримує сповіщення про нову заявку із сайту; сповіщення містить дані, вказані у формі.
• Google Ireland Limited — постачальник Google Analytics 4, яким ми вимірюємо трафік сайту. Отримує дані про візити, перелічені в Політиці cookies; дані з форми та документи клієнтів ми йому не передаємо.

7. Передавання даних за межі Європейського економічного простору

За загальним правилом дані залишаються в межах Європейського економічного простору — інфраструктуру та резервні копії ми підтримуємо в постачальників із центрами обробки даних у ЄЕП.

Якщо конкретна допоміжна послуга повʼязана з обробкою даних поза межами ЄЕП (це стосується комунікаційних інструментів і вимірювання трафіку сайту), це відбувається на підставі стандартних договірних застережень, затверджених Європейською комісією, або рішення про належний рівень захисту, разом з оцінкою наслідків такого передавання. За запитом ми надаємо інформацію про застосовані гарантії.

Ми не передаємо за межі ЄЕП бухгалтерські документи чи кадрову документацію клієнтів.

8. Строки зберігання

Ми видаляємо або знеособлюємо дані, коли зникає підстава для їх обробки. Наведені нижче строки обчислюються так, як вказано в положеннях, на які вони посилаються.

• Запити, що не завершилися співпрацею, — до 12 місяців з останнього контакту; за наявності маркетингової згоди — до її відкликання.
• Бухгалтерські книги, первинні документи та податкова документація — 5 років, рахуючи від кінця календарного року, в якому минув строк сплати податку, відповідно до Ordynacji podatkowej та закону про бухгалтерський облік.
• Кадрова документація, що ведеться для клієнтів, — 10 років від кінця календарного року, в якому припинилися трудові відносини, а для працевлаштованих до 1 січня 1999 р. — 50 років.
• Документація та результати застосування заходів фінансової безпеки, а також докази операцій для потреб AML — 5 років, рахуючи від першого дня року, що настає за роком, у якому завершилися ділові відносини або проведено разову операцію.
• Договори, кореспонденція та документація розрахунків з клієнтом — до спливу строку позовної давності, за загальним правилом 3 роки для вимог, повʼязаних із веденням господарської діяльності, а в податкових справах — до спливу строку давності зобовʼязання.
• Обліковий запис у кабінеті клієнта та історія операцій — протягом дії договору; після його припинення довірені дані ми повертаємо або видаляємо відповідно до вказівки клієнта та договору доручення, крім документів, які ми зобовʼязані зберігати відповідно до закону.
• Логи сервера та логи безпеки кабінету — до 12 місяців.
• Резервні копії — до 30 днів, після чого вони перезаписуються; видалення даних із виробничої системи означає їх видалення з копій не пізніше цього строку.

9. Ваші права

У межах, у яких ми є адміністратором ваших даних, ви маєте право на:

• доступ до даних та отримання їх копії (ст. 15 GDPR),
• виправлення неправильних даних і доповнення неповних (ст. 16 GDPR),
• видалення даних, якщо в нас немає підстави для їх подальшої обробки (ст. 17 GDPR),
• обмеження обробки (ст. 18 GDPR),
• перенесення даних, що обробляються на підставі згоди або договору (ст. 20 GDPR),
• заперечення проти обробки, що ґрунтується на нашому законному інтересі (ст. 21 GDPR),
• відкликання згоди в будь-який момент, без впливу на законність обробки до її відкликання (ст. 7 п. 3 GDPR),
• подання скарги Голові Управління із захисту персональних даних (PUODO), ul. Stawki 2, 00-193 Warszawa.

10. Як ми опрацьовуємо запити

Запит можна подати в будь-якій формі — найпростіше електронною поштою на адресу фірми. Ми відповідаємо без зайвої затримки, не пізніше ніж протягом місяця; в особливо складних справах ми можемо продовжити цей строк ще на два місяці, повідомивши вам про причину.

Якщо ваші дані потрапили до нас від нашого клієнта — наприклад, як працівника, виконавця за договором чи контрагента, — звертайтеся із запитом до нього як до адміністратора. Ми передамо йому справу і виконаємо його вказівку у строк, що випливає з договору доручення.

Перед виконанням запиту ми можемо попросити додаткову інформацію, що дає змогу підтвердити вашу особу. Це не спосіб ускладнити процес — це спосіб не видати дані неуповноваженій особі.

11. Добровільність надання даних

Надання даних у контактній формі є добровільним, але без e-mail або номера телефону ми не зможемо відповісти на запит. Решта полів полегшують підготовку конкретного кошторису.

Надання даних, яких вимагають норми податкового права, права бухгалтерського обліку, трудового права та права соціального страхування, а також норми AML, є обовʼязковим — без них ми не можемо вести бухгалтерські книги, розрахунки чи вступати в ділові відносини.

12. Безпека даних

• Доступ до документів і до кабінету мають виключно уповноважені працівники та співробітники фірми, у межах, що випливають із покладених на них завдань; кожне уповноваження реєструється.
• Особи, які мають доступ до даних, зобовʼязані зберігати таємницю, зокрема й після завершення співпраці.
• З'єднання із сайтом і кабінетом шифруються; кабінет клієнта та панель співробітників — це окремі застосунки з окремою автентифікацією та розділеними правами доступу.
• Операції з документами реєструються — відомо, хто і коли завантажив, змінив або затвердив документ.
• Ми регулярно робимо резервні копії й тестуємо відновлення даних.
• Про порушення захисту даних ми повідомляємо Голову PUODO протягом 72 годин з моменту виявлення, а осіб, чиї дані стосуються, — якщо порушення може спричинити високий ризик для їхніх прав. Клієнтів, для яких ми є обробником даних, ми повідомляємо невідкладно після виявлення порушення.

13. Профілювання та автоматизовані рішення

Ми не ухвалюємо щодо вас рішень, заснованих виключно на автоматизованій обробці, зокрема профілюванні, які б спричиняли для вас правові наслідки або подібним чином суттєво на вас впливали.

Документи, завантажені до кабінету, попередньо зчитуються системою (розпізнавання тексту та попереднє декретування), але кожен документ перед проведенням перевіряє бухгалтер. Оцінка ризику клієнта для потреб AML підтримується інструментами, однак рішення завжди ухвалює людина.

14. Файли cookie

Сайт зберігає лише файли cookie, необхідні для його роботи, та сесійні cookie кабінету клієнта. Трафік сайту ми вимірюємо в Google Analytics 4 у режимі без файлів cookie — інструмент не зберігає на вашому пристрої ні файлів, ні ідентифікаторів. Маркетингових cookie ми не використовуємо і даних рекламним мережам не надаємо. Подробиці, зокрема обсяг зібраних даних і спосіб вимкнення вимірювання, — в Політиці cookies.

15. Зміни політики

Якщо ми змінимо обсяг зібраних даних, цілі обробки, перелік одержувачів або строки зберігання, ми оновимо цей документ і дату останнього оновлення на його початку.

Про зміни, що суттєво впливають на права клієнтів, ми додатково повідомляємо в кабінеті клієнта або електронною поштою, не менш ніж за 14 днів.