Umowa powierzenia danych. Dane kancelarii pod kontrolą kancelarii.

1. Strony i zawarcie umowy

Administratorem jest Klient usługi Consilaris, czyli kancelaria, która zarejestrowała Konto kancelarii, dalej „Kancelaria” lub „Administrator”.

Podmiotem przetwarzającym jest MIVARE GROUP PROSTA SPÓŁKA AKCYJNA z siedzibą w Krasnobrodzie, KRS 0001268091, NIP 9223092251, REGON 545767254, działająca pod marką Consilaris, dalej „Procesor” lub „Mivare”.

Niniejsza umowa powierzenia przetwarzania danych osobowych, dalej „DPA”, jest umową w rozumieniu art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Zostaje zawarta w formie elektronicznej z chwilą akceptacji Regulaminu usługi Consilaris (CNS-LEG-001) przy rejestracji Konta kancelarii i obowiązuje przez czas trwania Umowy oraz do zakończenia czynności opisanych w sekcji 13; obowiązki dotyczące tajemnicy zawodowej trwają bezterminowo.

Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie. W sprawach ochrony danych osobowych i tajemnicy zawodowej DPA ma pierwszeństwo przed Regulaminem.

2. Przedmiot, charakter i cel przetwarzania

Kancelaria powierza Procesorowi przetwarzanie danych osobowych wprowadzanych do Aplikacji przez Kancelarię i Użytkowników albo przekazywanych do Aplikacji w ich imieniu, wyłącznie w celu świadczenia usługi Consilaris.

Przetwarzanie obejmuje operacje niezbędne do świadczenia usługi: przechowywanie, organizowanie, porządkowanie, wyszukiwanie, przeglądanie, modyfikowanie i usuwanie danych na polecenie Kancelarii, wyświetlanie ich Użytkownikom zgodnie z nadanymi uprawnieniami, generowanie dokumentów, zestawień i eksportów, wysyłanie wiadomości e-mail uruchamianych przez Użytkowników lub ustawienia Aplikacji, przygotowywanie podsumowań przez asystentkę Mivi, jeżeli włączą ją Administrator konta i Użytkownik, wykonywanie kopii zapasowych oraz dostęp w ramach wsparcia technicznego i usuwania awarii na zasadach sekcji 7.

Procesor nie przetwarza powierzonych danych do własnych celów, nie zapoznaje się z treścią spraw i dokumentów poza przypadkami opisanymi w sekcji 7, nie łączy danych z danymi innych klientów, nie sprzedaje ich i nie wykorzystuje do analiz, profilowania ani do trenowania modeli sztucznej inteligencji.

Na polecenie Kancelarii, gdy Administrator konta wprowadzi w Aplikacji token Kancelarii do Krajowego Systemu e-Faktur (KSeF), Procesor przesyła do KSeF faktury wystawione przez Kancelarię w Aplikacji (wraz z zawartymi w nich danymi sprzedawcy i nabywcy, pozycjami i kwotami) w imieniu Kancelarii i z jej uprawnienia, a następnie zapisuje w Aplikacji nadany numer KSeF i urzędowe poświadczenie odbioru. Kancelaria wykonuje w ten sposób obowiązek wynikający z przepisów o podatku od towarów i usług. Minister Finansów, który prowadzi KSeF, przetwarza otrzymane dane jako organ władzy publicznej na podstawie tych przepisów; Procesor pełni wyłącznie rolę narzędzia wysyłki i nie decyduje o celach przekazania. Kancelaria może w każdej chwili usunąć token z Aplikacji i unieważnić go w KSeF. Jeżeli Administrator konta wgra certyfikat Kancelarii do trybu offline, a Kancelaria wybierze przy wystawieniu faktury tryb offline, Procesor podpisuje tym certyfikatem kod weryfikujący faktury i przesyła ją do KSeF, gdy jest to możliwe; do KSeF trafia wyłącznie podpis, nigdy klucz prywatny certyfikatu.

3. Kategorie osób i danych

Kategorie osób, których dane dotyczą:

• klienci Kancelarii: osoby fizyczne, w tym prowadzące działalność gospodarczą, oraz reprezentanci, pełnomocnicy, beneficjenci rzeczywiści i osoby kontaktowe klientów niebędących osobami fizycznymi;
• potencjalni klienci Kancelarii i osoby, wobec których Kancelaria sprawdza konflikt interesów;
• strony przeciwne, ich pełnomocnicy, uczestnicy postępowań, świadkowie, biegli, kuratorzy i inne osoby występujące w sprawach prowadzonych przez Kancelarię;
• sędziowie, prokuratorzy, funkcjonariusze i pracownicy sądów, organów i urzędów, w zakresie wynikającym z prowadzonych spraw;
• wspólnicy, adwokaci, radcowie prawni, aplikanci, pracownicy i współpracownicy Kancelarii, w tym Użytkownicy Aplikacji;
• osoby kontaktowe kontrahentów Kancelarii;
• inne osoby, których dane Kancelaria wprowadzi do Aplikacji w ramach jej przeznaczenia.

Kategorie danych osobowych:

• dane identyfikacyjne i kontaktowe: imię i nazwisko, nazwa, adres, adres do korespondencji, numer telefonu, adres e-mail, preferowany kanał kontaktu i język;
• identyfikatory: PESEL, numer i seria dokumentu tożsamości, NIP, REGON, KRS, numer VAT UE oraz inne dane wprowadzone przez Kancelarię w ramach identyfikacji klienta;
• dane spraw i zleceń: przedmiot sprawy, sygnatury, sądy i organy, terminy, przebieg postępowań oraz dokumenty akt wraz z ich treścią, w tym pisma procesowe, korespondencja (w tym wiadomości e-mail zapisane w plikach EML i MSG), pełnomocnictwa, umowy, dowody, orzeczenia, notatki zespołu Kancelarii i inne dokumenty;
• dane rozliczeniowe: stawki, czas pracy, budżety, koszty, zaliczki, należności oraz faktury wystawiane przez Kancelarię;
• ewidencja czasu pracy zespołu Kancelarii: osoba, dzień, czas trwania, rodzaj i opis czynności, sprawa i postępowanie, stawka i kwota, informacja o rozliczalności, stan akceptacji i rozliczenia (z osobą akceptującą i fakturą) oraz uruchomione stopery czasu; opisy czynności mogą zawierać dane ze spraw i zleceń;
• dane Użytkowników i zespołu Kancelarii: dane kontaktowe, stanowisko, specjalizacja, uprawnienia, przynależność do zespołów, czas pracy;
• zgody i preferencje komunikacyjne oraz historia kontaktów;
• pliki dokumentów akt i inne pliki załączone przez Użytkowników, wraz z ich kolejnymi wersjami, przechowywane w magazynie plików (Object Storage);
• dane techniczne: adres IP i znaczniki czasu działań wykonanych w Aplikacji.

Z uwagi na charakter pomocy prawnej powierzone dane mogą obejmować szczególne kategorie danych osobowych (art. 9 RODO), w szczególności dane o zdrowiu, oraz dane dotyczące wyroków skazujących i czynów zabronionych (art. 10 RODO). Kancelaria odpowiada za istnienie podstawy prawnej ich przetwarzania, a Procesor przetwarza je na zasadach DPA, z tymi samymi środkami ochrony co pozostałe dane.

4. Tajemnica zawodowa

Procesor przyjmuje do wiadomości, że powierzone dane i pozostałe Dane Kancelarii mogą być objęte tajemnicą adwokacką (art. 6 ustawy Prawo o adwokaturze z dnia 26 maja 1982 r.), tajemnicą radcowską (art. 3 ustawy z dnia 6 lipca 1982 r. o radcach prawnych) lub inną tajemnicą prawnie chronioną, i traktuje wszystkie Dane Kancelarii jako objęte tajemnicą, niezależnie od ich oznaczenia.

Procesor zapewnia, że każda osoba dopuszczona do Danych Kancelarii (personel Procesora i podprocesora) zobowiązała się na piśmie, bezterminowo, do zachowania w tajemnicy wszystkiego, czego dowie się w związku z tym dostępem, również po ustaniu współpracy z Procesorem; w przypadku Mistral AI obowiązki poufności personelu wynikają z umowy powierzenia zawartej przez Procesora z Mistral AI.

Jeżeli sąd, prokurator lub inny organ zażąda od Procesora wydania Danych Kancelarii lub dostępu do nich, Procesor: niezwłocznie zawiadamia Kancelarię, chyba że przepis prawa tego zabrania; oświadcza organowi, że dane mogą zawierać informacje objęte tajemnicą zawodową, i domaga się zastosowania trybu przewidzianego dla takich informacji, w szczególności art. 225 § 1 ustawy Kodeks postępowania karnego z dnia 6 czerwca 1997 r.; wydaje dane wyłącznie w zakresie, w jakim obowiązek ich wydania wynika z przepisu prawa lub prawomocnego rozstrzygnięcia; dokumentuje przebieg sprawy i na żądanie przekazuje Kancelarii tę dokumentację, w granicach dopuszczalnych przez prawo. Procesor nie udostępnia Danych Kancelarii dobrowolnie ani na podstawie samego zapytania organu.

Procesor nie kontaktuje się z klientami Kancelarii ani z innymi osobami, których dane dotyczą, w sprawie powierzonych danych i nie potwierdza osobom trzecim, czy Kancelaria przetwarza dane określonej osoby.

5. Obowiązki Kancelarii

Kancelaria odpowiada za posiadanie podstawy prawnej przetwarzania, za prawidłowość wprowadzanych danych, za wykonanie obowiązków informacyjnych wobec osób, których dane dotyczą, w zakresie, w jakim przepisy nie przewidują wyłączeń, oraz za ocenę, czy powierzenie danych Procesorowi na zasadach DPA odpowiada jej obowiązkom wynikającym z przepisów o wykonywaniu zawodu i zasad etyki zawodowej.

Kancelaria konfiguruje Aplikację, w tym uprawnienia Użytkowników, okres przechowywania dziennika zdarzeń i wymóg uwierzytelniania dwuskładnikowego, w sposób odpowiedni do ryzyka swojego przetwarzania, oraz ustala okresy przechowywania akt i dokumentacji spraw.

6. Polecenia Kancelarii

Procesor przetwarza dane wyłącznie na udokumentowane polecenie Kancelarii. Poleceniami są: Regulamin i DPA, konfiguracja Aplikacji dokonana przez Kancelarię oraz działania Użytkowników w Aplikacji, a także polecenia przesłane z adresu e-mail Administratora konta na adres biuro@consilaris.pl.

Procesor może przetwarzać dane bez polecenia Kancelarii tylko wtedy, gdy wymaga tego prawo Unii lub państwa członkowskiego; w takim przypadku przed rozpoczęciem przetwarzania informuje Kancelarię o tym obowiązku, chyba że prawo zabrania takiej informacji. Zasady sekcji 4 stosuje się odpowiednio.

Jeżeli zdaniem Procesora polecenie narusza RODO lub inne przepisy o ochronie danych, Procesor niezwłocznie informuje o tym Kancelarię i może wstrzymać jego wykonanie do czasu wyjaśnienia.

7. Dostęp personelu Procesora

Procesor dopuszcza do danych wyłącznie osoby upoważnione, które potrzebują dostępu do świadczenia usługi, wsparcia technicznego lub usuwania awarii i które złożyły zobowiązanie, o którym mowa w sekcji 4.

Personel Procesora zapoznaje się z treścią Danych Kancelarii wyłącznie:

• na zgłoszenie Administratora konta albo Użytkownika upoważnionego przez Kancelarię, w zakresie i na czas niezbędny do wykonania zgłoszenia;
• gdy jest to niezbędne do usunięcia awarii, przywrócenia danych lub odparcia zagrożenia bezpieczeństwa, którego nie da się usunąć bez takiego dostępu; w takim przypadku Procesor zawiadamia Kancelarię o dostępie, jego przyczynie i zakresie niezwłocznie, nie później niż w ciągu 3 dni roboczych.

Procesor dokumentuje każdy taki dostęp (osoba, data, przyczyna, zakres) i na żądanie Kancelarii przekazuje jej wykaz dostępów do Danych Kancelarii. Czynności administracyjne niewymagające zapoznania się z treścią danych, w szczególności utrzymanie serwerów, aktualizacje i wykonywanie kopii zapasowych, nie stanowią dostępu w rozumieniu tej sekcji.

8. Bezpieczeństwo przetwarzania

Procesor stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO, odpowiednie do ryzyka, z uwzględnieniem tajemnicy zawodowej. Stan ich wdrożenia na dzień obowiązywania DPA:

• szyfrowanie transmisji danych protokołem TLS (stan: wdrożone);
• hasła przechowywane wyłącznie w postaci skrótu algorytmem Argon2id, wymagania dotyczące siły hasła i sprawdzanie haseł powszechnie znanych (stan: wdrożone);
• uwierzytelnianie dwuskładnikowe (TOTP) dostępne dla wszystkich Użytkowników, z możliwością wymagania go przez Administratora konta; uwierzytelnianie dwuskładnikowe dla kont administracyjnych Procesora (stan: wdrożone);
• ograniczenie liczby prób logowania, blokada konta po nieudanych próbach i automatyczne wygasanie nieaktywnej sesji (stan: wdrożone);
• logiczne oddzielenie danych każdego Konta kancelarii na poziomie aplikacji i bazy danych (stan: wdrożone);
• uprawnienia Użytkowników nadawane przez Kancelarię i zasada minimalnych uprawnień dla personelu Procesora (stan: wdrożone);
• dostęp Użytkownika do spraw, ich akt i plików wyłącznie w zakresie spraw nadanym mu przez Kancelarię (podgląd albo edycja) (stan: wdrożone);
• pliki przechowywane w prywatnym magazynie plików (Object Storage) w Unii Europejskiej, szyfrowane przez Aplikację przed wysłaniem do magazynu, zapisywane oddzielnie dla każdego konta klienta i udostępniane wyłącznie przez Aplikację po autoryzacji, przy czym Aplikacja odszyfrowuje plik w chwili pobrania (stan: wdrożone);
• skanowanie każdego przesyłanego pliku oprogramowaniem antywirusowym przed zapisem (stan: wdrożone);
• token Kancelarii do KSeF przechowywany wyłącznie w postaci zaszyfrowanej (AES-256-GCM, klucz poza bazą danych), wyświetlany tylko w skróconej postaci i używany wyłącznie do wysyłki faktur (stan: wdrożone);
• certyfikat Kancelarii do trybu offline KSeF: klucz prywatny przechowywany wyłącznie w postaci zaszyfrowanej (AES-256-GCM, klucz poza bazą danych), nigdy niewyświetlany ani niepobierany, pomijany w eksporcie danych i w dzienniku zdarzeń, używany wyłącznie do podpisu kodu weryfikującego faktury wystawionej w trybie offline; wgrywa go wyłącznie Administrator konta po potwierdzeniu hasłem, a w Aplikacji widoczne są tylko numer seryjny, ważność, algorytm i data wgrania (stan: wdrożone);
• rejestrowanie zdarzeń w Aplikacji (dziennik zdarzeń) (stan: wdrożone);
• automatyczne kopie zapasowe: kopia bazy danych co godzinę, przechowywana przez 7 dni, oraz codzienna pełna kopia bazy danych, przechowywana przez 3 dni, i bieżąca kopia plików, w której usunięty plik pozostaje najwyżej 30 dni; kopie są szyfrowane przed zapisem, klucz potrzebny do ich odczytu jest przechowywany poza serwerem i poza miejscem przechowywania kopii, a same kopie są przechowywane w Unii Europejskiej, w osobnym kontenerze Object Storage, oddzielonym od serwera Aplikacji i od magazynu plików; okresowy test odtworzenia (stan: wdrożone);
• instalowanie aktualizacji i poprawek bezpieczeństwa (stan: wdrożone);
• procedura obsługi incydentów bezpieczeństwa (stan: wdrożona);
• szyfrowanie bazy danych na dysku serwera (stan: nie wdrożone, planowane); do czasu wdrożenia ochronę danych w bazie zapewniają kontrola dostępu, zasada minimalnych uprawnień, zobowiązania z sekcji 4 i rejestrowanie zdarzeń; pliki i kopie zapasowe są szyfrowane zgodnie z punktami powyżej.

Procesor nie deklaruje certyfikacji ISO ani SOC. Procesor może zmieniać środki bezpieczeństwa, pod warunkiem że zmiana nie obniża ogólnego poziomu ochrony; o wdrożeniu środka oznaczonego jako planowany informuje Kancelarię przy najbliższej aktualizacji DPA.

9. Podpowierzenie

Kancelaria udziela Procesorowi ogólnej zgody na dalsze powierzenie przetwarzania danych podprocesorom na zasadach tej sekcji. Na dzień obowiązywania DPA Procesor korzysta z następujących podprocesorów:

• Contabo GmbH (Niemcy, Monachium): serwer, na którym działa Aplikacja wraz z bazą danych, magazyn plików i magazyn kopii zapasowych (Object Storage); centra danych w Unii Europejskiej; dostęp do wszystkich kategorii danych wyłącznie w zakresie świadczenia usług infrastrukturalnych, bez zapoznawania się z ich treścią; pliki w magazynie plików i kopie zapasowe są szyfrowane przez Procesora przed zapisem; brak przekazania poza Europejski Obszar Gospodarczy.
• OVH Sp. z o.o. (grupa OVHcloud): wysyłka poczty elektronicznej z Aplikacji, a także domeny i strony internetowe Mivare; centra danych w Unii Europejskiej; dostęp do danych zawartych w wiadomościach e-mail wysyłanych z Aplikacji, wyłącznie w zakresie ich doręczenia; brak przekazania poza Europejski Obszar Gospodarczy.
• Mistral AI SAS (Francja, Paryż): przygotowywanie podsumowań, odpowiedzi i projektów dokumentów asystentki Mivi, wyłącznie w Kontach kancelarii, w których włączył ją Administrator konta, i dla Użytkowników, którzy ją włączyli; przetwarzanie i przechowywanie w Unii Europejskiej, bez wykorzystywania danych do trenowania modeli; zapytania i odpowiedzi są przechowywane najwyżej przez 30 dni wyłącznie w celu wykrywania nadużyć, po czym są usuwane; dostęp do danych przekazanych w zapytaniu; bez przekazywania danych poza Europejski Obszar Gospodarczy.

Asystentka Mivi jest domyślnie wyłączona. Włączając ją dla Konta kancelarii, Administrator konta działa w imieniu Kancelarii i wyraża jej zgodę na udział Mistral AI jako podprocesora w zakresie tej funkcji; następnie każdy Użytkownik sam włącza ją albo wyłącza dla swojego konta. Procesor przekazuje do Mistral AI wyłącznie dane potrzebne do przygotowania podsumowania albo odpowiedzi dla Użytkownika, który włączył asystentkę (wpisy dziennika zdarzeń i fragmenty rekordów, do których ten Użytkownik ma dostęp w Aplikacji), i nie przekazuje haseł, danych uwierzytelniania, danych kart płatniczych, numerów PESEL ani numerów dokumentów tożsamości. W module Mivi+ zakres ten obejmuje także treść dokumentów i rekordów, na których Użytkownik pracuje z asystentką, oraz historię jego rozmów z asystentką, którą Procesor przechowuje w Aplikacji przez 90 dni, chyba że Użytkownik usunie ją wcześniej; wyłączenia określone w zdaniu poprzednim obowiązują bez zmian. Wyłączenie asystentki przez Administratora konta albo przez Użytkownika natychmiast zatrzymuje przekazywanie danych w tym zakresie.

O planowanym dodaniu lub zastąpieniu podprocesora Procesor informuje Administratora konta pocztą elektroniczną co najmniej 30 dni przed zmianą, wskazując podprocesora, zakres i miejsce przetwarzania, a aktualny wykaz publikuje w DPA. Kancelaria może w terminie 14 dni od otrzymania informacji zgłosić umotywowany sprzeciw. Jeżeli strony nie uzgodnią rozwiązania, Kancelaria może rozwiązać Umowę ze skutkiem na dzień poprzedzający zmianę i otrzymuje zwrot opłaty za niewykorzystany, opłacony z góry okres.

Podprocesor obsługujący funkcję, którą Kancelaria włącza sama (w szczególności sztuczną inteligencję, rozpoznawanie tekstu lub mowy), otrzymuje dane wyłącznie wtedy, gdy Administrator konta tę funkcję włączy, i wyłącznie z Kont kancelarii, które ją włączyły, a w przypadku asystentki Mivi dodatkowo wyłącznie dla Użytkowników, którzy włączyli ją dla swojego konta.

Procesor nakłada na każdego podprocesora obowiązki ochrony danych nie mniej ochronne niż wynikające z DPA, w tym obowiązek zachowania poufności i zakaz wykorzystywania danych do własnych celów, i odpowiada wobec Kancelarii za wykonanie obowiązków przez podprocesora.

Podmiotem przetwarzającym nie jest operator płatności Stripe (Stripe Payments Europe, Limited): obsługuje on wyłącznie płatności Kancelarii za usługę i nie ma dostępu do danych powierzonych. Podprocesorem nie jest także Minister Finansów, który prowadzi Krajowy System e-Faktur i otrzymuje faktury Kancelarii w trybie sekcji 2.

10. Lokalizacja danych i przekazywanie poza Europejski Obszar Gospodarczy

Procesor przechowuje powierzone dane, w tym ich kopie zapasowe, wyłącznie w centrach danych na terytorium Unii Europejskiej i tam je przetwarza. Dotyczy to także asystentki Mivi: gdy Administrator konta włączy ją dla Konta kancelarii, a Użytkownik dla swojego konta, dane przekazane w zapytaniu przetwarza Mistral AI SAS (Francja) w Unii Europejskiej i przechowuje je tam najwyżej przez 30 dni wyłącznie w celu wykrywania nadużyć, po czym je usuwa; dane te nie są wykorzystywane do trenowania modeli. Kancelaria przed włączeniem asystentki ocenia, czy takie przetwarzanie odpowiada jej obowiązkom dotyczącym tajemnicy zawodowej, i może określić w zasadach wewnętrznych, którzy Użytkownicy z niej korzystają. Przekazanie danych do państwa trzeciego lub organizacji międzynarodowej wymaga uprzedniej informacji dla Kancelarii w trybie sekcji 9, prawa sprzeciwu i zastosowania mechanizmu zgodnego z rozdziałem V RODO.

11. Pomoc Kancelarii

Procesor pomaga Kancelarii wywiązywać się z obowiązku odpowiadania na żądania osób, których dane dotyczą. Aplikacja umożliwia Kancelarii samodzielny wgląd w dane, ich poprawienie, eksport i usunięcie. Jeżeli żądanie osoby trafi bezpośrednio do Procesora, Procesor bez zbędnej zwłoki przekazuje je Kancelarii i nie odpowiada na nie samodzielnie.

Procesor, uwzględniając charakter przetwarzania i dostępne informacje, pomaga Kancelarii w wykonaniu obowiązków z art. 32–36 RODO, w tym w ocenie skutków dla ochrony danych i uprzednich konsultacjach, przekazując posiadane informacje o Aplikacji i stosowanych środkach.

12. Naruszenie ochrony danych

Procesor zgłasza Kancelarii naruszenie ochrony danych osobowych oraz każde zdarzenie, które mogło skutkować ujawnieniem informacji objętych tajemnicą zawodową, bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, na adres e-mail Administratora konta.

Zgłoszenie zawiera, w miarę dostępności informacji: opis charakteru naruszenia, w tym kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje, zastosowane lub proponowane środki zaradcze oraz dane kontaktowe osoby udzielającej informacji. Informacje niedostępne w chwili zgłoszenia Procesor przekazuje sukcesywnie.

Procesor dokumentuje naruszenia i podejmuje działania w celu ograniczenia ich skutków. Zgłoszenie naruszenia organowi nadzorczemu, zawiadomienie osób, których dane dotyczą, oraz obowiązki wobec samorządu zawodowego należą do Kancelarii; Procesor udziela jej w tym pomocy.

13. Zakończenie przetwarzania, zwrot i usunięcie danych

Kancelaria może w każdej chwili pobrać kopię danych funkcją eksportu w Aplikacji (archiwum ZIP z plikami CSV i załączonymi plikami). Po zakończeniu Umowy Procesor przez 30 dni przechowuje dane, aby umożliwić ich eksport lub wznowienie usługi, a na żądanie Kancelarii przekazuje eksport w tym czasie drogą elektroniczną.

Następnie Procesor usuwa powierzone dane, nie później niż 60 dni od zakończenia Umowy. Kopie danych w kopiach zapasowych są usuwane w cyklu rotacji, nie później niż 30 dni po usunięciu danych z Aplikacji. Na żądanie Kancelarii Procesor potwierdza usunięcie drogą elektroniczną.

Dziennik zdarzeń jest przechowywany przez okres ustawiony przez Kancelarię, od 30 do 180 dni. Kopie usuniętych rekordów, przechowywane w celu przywrócenia danych usuniętych omyłkowo, są przechowywane nie dłużej niż 180 dni i usuwane wraz z usunięciem Konta kancelarii.

Procesor może przechowywać powierzone dane dłużej wyłącznie wtedy, gdy wymaga tego prawo Unii lub państwa członkowskiego, i tylko w zakresie wynikającym z tego obowiązku; zasady sekcji 4 stosuje się do nich bez ograniczenia w czasie.

14. Informacje i audyt

Procesor udostępnia Kancelarii informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i z sekcji 4, w szczególności odpowiedzi na pytania dotyczące Aplikacji, środków bezpieczeństwa, podprocesorów i wykazu dostępów z sekcji 7, przesyłane na adres hello@mivaregroup.com w terminie 14 dni.

Jeżeli przekazane informacje nie są wystarczające, Kancelaria lub niezależny audytor związany obowiązkiem poufności może przeprowadzić audyt, nie częściej niż raz na 12 miesięcy, z wyjątkiem audytu po naruszeniu ochrony danych lub na żądanie organu nadzorczego. Audyt wymaga zawiadomienia z wyprzedzeniem co najmniej 30 dni, odbywa się w dni robocze, nie może zakłócać świadczenia usługi ani naruszać poufności danych i tajemnicy zawodowej innych klientów i jest przeprowadzany na koszt Kancelarii.

15. Odpowiedzialność i postanowienia końcowe

Odpowiedzialność stron z tytułu DPA określają art. 82 RODO oraz Regulamin, z zastrzeżeniem, że ograniczenia odpowiedzialności nie dotyczą naruszenia sekcji 4 ani przypadków, w których wyłączenie lub ograniczenie jest niedopuszczalne z mocy prawa.

Zmiany DPA, w tym aktualizacja wykazu podprocesorów, następują w trybie przewidzianym w Regulaminie dla zmian dokumentów, z zastrzeżeniem sekcji 9.

DPA podlega prawu polskiemu. Jest udostępniana w językach polskim i angielskim; w razie rozbieżności rozstrzyga wersja polska. Aktualna wersja jest dostępna pod adresem https://mivaregroup.com/pl/legal/consilaris/dpa/

DPA obowiązuje od 29 października 2026 r.