1. Kto odpowiada za dane
Aplikację BCR Bilans prowadzi BCR Group Sp. z o.o. z siedzibą w Lublinie, ul. Kowalska 5/203, 20-115 Lublin, KRS 0001187674, NIP 9462756777, REGON 542416175 (dalej: BCR Group). Kontakt w sprawach ochrony danych: roman.kachniuk@bcr-group.pl, tel. +48 459 567 480.
W Aplikacji BCR Group występuje w dwóch rolach:
Jako podmiot przetwarzający w odniesieniu do danych zawartych w dokumentach księgowych klienta: danych kontrahentów klienta, osób fizycznych prowadzących działalność gospodarczą, pracowników klienta oraz danych z rachunków bankowych klienta. Administratorem tych danych jest klient, a BCR Group przetwarza je na jego zlecenie, na podstawie umowy o świadczenie usług księgowych i zawartej z nią umowy powierzenia przetwarzania (art. 28 RODO). O celach i podstawach prawnych tego przetwarzania decyduje klient; BCR Group odpowiada za sposób przetwarzania, bezpieczeństwo i dobór dalszych podmiotów przetwarzających.
Jako administrator w odniesieniu do danych użytkowników Aplikacji (osób upoważnionych przez klienta i pracowników BCR Group), dzienników bezpieczeństwa oraz danych przetwarzanych w celu wykonania własnych obowiązków prawnych BCR Group i obrony roszczeń.
2. Czym jest BCR Bilans
BCR Bilans jest aplikacją w usłudze Microsoft Teams, którą BCR Group udostępnia swoim klientom w ramach umowy o świadczenie usług księgowych. Aplikacja gromadzi w jednym miejscu dokumenty księgowe klienta (faktury z Krajowego Systemu e-Faktur, skany dokumentów, przelewy bankowe) i wspiera pracę księgowych BCR Group. Każdy klient ma dostęp wyłącznie do danych własnej firmy.
3. Jakie dane są przetwarzane
Dane użytkowników (BCR Group jako administrator): imię i nazwisko, służbowy adres e-mail nadany przez BCR Group, rola w firmie klienta, identyfikator konta Microsoft, dzienniki logowania i zdarzeń w Aplikacji.
Dane w dokumentach klienta (BCR Group jako podmiot przetwarzający):
- treść faktur zakupu i sprzedaży pobranych z KSeF lub wprowadzonych jako skan, w tym dane kontrahentów (nazwa, NIP, adres, numer rachunku), dane osób fizycznych prowadzących działalność, opisy pozycji i kwoty;
- dane z rachunków bankowych klienta: numery rachunków, salda, historia transakcji (data, kwota, tytuł, nazwa i rachunek drugiej strony), pobierane wyłącznie po udzieleniu przez klienta zgody w interfejsie jego banku (pkt 7); Aplikacja nie może zlecać płatności ani wykonywać operacji na rachunku;
- dane kontrahentów z rejestrów publicznych: status VAT i rachunki z Wykazu podatników VAT, dane z KRS, status VAT UE z systemu VIES;
- dane pracowników klienta, jeżeli klient korzysta z tej funkcji: imię i nazwisko, PESEL, dane umowy, dane do wypłaty wynagrodzenia, w zakresie niezbędnym do prowadzenia ksiąg i rozliczeń.
4. Cele i podstawy prawne
Przetwarzanie na zlecenie klienta. Dane w dokumentach klienta są przetwarzane w celu prowadzenia jego ksiąg rachunkowych, ewidencji podatkowych i rozliczeń: pobrania i uporządkowania dokumentów, dopasowania przelewów do faktur, weryfikacji kontrahentów, przygotowania dekretacji i wymaganych prawem rejestrów. Podstawy prawne tego przetwarzania leżą po stronie klienta jako administratora: wykonanie jego umów z kontrahentami i pracownikami, jego obowiązki z ustawy o rachunkowości, ustaw podatkowych i przepisów prawa pracy oraz jego uzasadniony interes w prawidłowym rozliczeniu działalności. BCR Group przetwarza te dane wyłącznie w zakresie i celu wynikającym z umowy z klientem.
Przetwarzanie własne BCR Group.
| Cel | Podstawa prawna (RODO) |
|---|---|
| Nadanie i utrzymanie dostępu użytkowników do Aplikacji | art. 6 ust. 1 lit. b (umowa z klientem, którego użytkownik reprezentuje) oraz lit. f (uzasadniony interes: wykonanie umowy z klientem wobec osób go reprezentujących) |
| Bezpieczeństwo Aplikacji, dzienniki zdarzeń, wykrywanie nadużyć | art. 6 ust. 1 lit. f (uzasadniony interes) |
| Rozliczenie usług BCR Group z klientem, archiwizacja własnej dokumentacji | art. 6 ust. 1 lit. c (ustawa o rachunkowości, Ordynacja podatkowa) |
| Dochodzenie i obrona roszczeń | art. 6 ust. 1 lit. f |
- Cel
- Nadanie i utrzymanie dostępu użytkowników do Aplikacji
- Podstawa prawna (RODO)
- art. 6 ust. 1 lit. b (umowa z klientem, którego użytkownik reprezentuje) oraz lit. f (uzasadniony interes: wykonanie umowy z klientem wobec osób go reprezentujących)
- Cel
- Bezpieczeństwo Aplikacji, dzienniki zdarzeń, wykrywanie nadużyć
- Podstawa prawna (RODO)
- art. 6 ust. 1 lit. f (uzasadniony interes)
- Cel
- Rozliczenie usług BCR Group z klientem, archiwizacja własnej dokumentacji
- Podstawa prawna (RODO)
- art. 6 ust. 1 lit. c (ustawa o rachunkowości, Ordynacja podatkowa)
- Cel
- Dochodzenie i obrona roszczeń
- Podstawa prawna (RODO)
- art. 6 ust. 1 lit. f
5. Wykorzystanie sztucznej inteligencji
Do odczytu skanów, dopasowania przelewów do faktur i przygotowania propozycji księgowań BCR Group używa modeli językowych dostawcy zewnętrznego (pkt 6). Model otrzymuje treść dokumentu lub przelewu oraz dane słownikowe potrzebne do propozycji. Każda propozycja jest sprawdzana przez księgowego BCR Group przed wprowadzeniem do ksiąg. Dostawca modeli działa jako dalszy podmiot przetwarzający na podstawie umowy powierzenia, przetwarza dane wyłącznie w celu zwrócenia wyniku, nie wykorzystuje ich do trenowania modeli i przechowuje dane wejściowe i wyjściowe nie dłużej niż 30 dni w celu wykrywania nadużyć, chyba że uzgodniono brak przechowywania. Aplikacja nie podejmuje wobec osób fizycznych decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne.
6. Odbiorcy danych
Dalsze podmioty przetwarzające, działające na zlecenie BCR Group na podstawie umów powierzenia (klient wyraża na nie zgodę w umowie powierzenia i jest informowany o zmianach):
| Podmiot | Zakres | Lokalizacja |
|---|---|---|
| Microsoft Ireland Operations Ltd. | hosting Aplikacji i bazy danych (Microsoft Azure, region Poland Central), Microsoft 365, Teams i SharePoint w ramach granicy danych UE (EU Data Boundary) | Unia Europejska |
| Anthropic PBC | przetwarzanie treści dokumentów i przelewów przez modele językowe | Stany Zjednoczone; transfer na podstawie standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO); kopię zabezpieczeń można uzyskać pod adresem kontaktowym z pkt 1 |
- Podmiot
- Microsoft Ireland Operations Ltd.
- Zakres
- hosting Aplikacji i bazy danych (Microsoft Azure, region Poland Central), Microsoft 365, Teams i SharePoint w ramach granicy danych UE (EU Data Boundary)
- Lokalizacja
- Unia Europejska
- Podmiot
- Anthropic PBC
- Zakres
- przetwarzanie treści dokumentów i przelewów przez modele językowe
- Lokalizacja
- Stany Zjednoczone; transfer na podstawie standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO); kopię zabezpieczeń można uzyskać pod adresem kontaktowym z pkt 1
Odrębni administratorzy:
| Podmiot | Rola |
|---|---|
| Enable Banking Oy (Finlandia), dostawca usługi dostępu do informacji o rachunku (AISP) nadzorowany przez fiński Urząd Nadzoru Finansowego | świadczy klientowi usługę dostępu do rachunku na podstawie zgody udzielonej w banku i przekazuje dane do Aplikacji; przetwarza dane zgodnie z własną polityką prywatności |
| banki klienta | udostępniają dane o rachunku na podstawie zgody klienta |
| organy publiczne | odbiorcy danych w zakresie wynikającym z przepisów prawa |
- Podmiot
- Enable Banking Oy (Finlandia), dostawca usługi dostępu do informacji o rachunku (AISP) nadzorowany przez fiński Urząd Nadzoru Finansowego
- Rola
- świadczy klientowi usługę dostępu do rachunku na podstawie zgody udzielonej w banku i przekazuje dane do Aplikacji; przetwarza dane zgodnie z własną polityką prywatności
- Podmiot
- banki klienta
- Rola
- udostępniają dane o rachunku na podstawie zgody klienta
- Podmiot
- organy publiczne
- Rola
- odbiorcy danych w zakresie wynikającym z przepisów prawa
Źródła danych, z których Aplikacja pobiera informacje: Krajowy System e-Faktur i Wykaz podatników VAT (Ministerstwo Finansów), Krajowy Rejestr Sądowy (Ministerstwo Sprawiedliwości), VIES (Komisja Europejska), banki klienta za pośrednictwem Enable Banking, dokumenty przekazane przez klienta.
7. Dostęp do rachunku bankowego
Dostęp do rachunku następuje na podstawie zgody wyrażonej przez osobę uprawnioną do rachunku w interfejsie banku, z użyciem silnego uwierzytelnienia. Zakres dostępu obejmuje wyłącznie odczyt sald i transakcji. Dostęp pozostaje aktywny do czasu jego cofnięcia lub do upływu terminu wskazanego przez bank; przepisy wymagają ponowienia silnego uwierzytelnienia co najmniej co 180 dni, a bank może wymagać go częściej. Aplikacja informuje o zbliżającym się terminie ponowienia. Klient może cofnąć dostęp w każdej chwili: w Aplikacji (Ustawienia → Banki → Odłącz), w swoim banku albo pisząc na adres z pkt 1. Cofnięcie zatrzymuje pobieranie nowych danych; dane ujęte już w księgach pozostają w nich przez okres wymagany prawem.
8. Okres przechowywania
- Dokumenty księgowe, dane z faktur i dane bankowe stanowiące dowody księgowe klienta: przez okres wskazany przez klienta w umowie powierzenia, co do zasady 5 lat od początku roku następującego po roku obrotowym, którego dotyczą, a w zakresie rozliczeń podatkowych do przedawnienia zobowiązania. Po zakończeniu umowy z klientem dane są zwracane klientowi i usuwane zgodnie z pkt 9.
- Dokumentacja pracownicza klienta, jeżeli jest przetwarzana: przez okres wynikający z przepisów prawa pracy, określony przez klienta.
- Komunikacja między klientem a księgowym w Aplikacji (pytania, wyjaśnienia): jako element dokumentacji księgowej, razem z dokumentami, których dotyczy.
- Dane użytkowników: przez czas trwania umowy z klientem i 3 lata po jej zakończeniu.
- Dzienniki techniczne i zdarzeń bezpieczeństwa: 12 miesięcy.
- Kopie zapasowe bazy danych: do 35 dni; dane usunięte z Aplikacji znikają z kopii po tym okresie.
- Dane przekazane dostawcy modeli językowych: zgodnie z pkt 5.
9. Zakończenie współpracy
Po rozwiązaniu umowy z klientem BCR Group w terminie 30 dni przekazuje klientowi jego dokumenty i zestawienia w formatach otwartych (PDF, XML, CSV) albo, na żądanie, w formacie uzgodnionym, a następnie usuwa dane klienta z Aplikacji, z wyjątkiem danych, które BCR Group musi zachować na podstawie własnych obowiązków prawnych (dokumentacja wykonanej usługi, rozliczenia). W razie nagłego zakończenia współpracy klient zachowuje dostęp do Aplikacji w trybie tylko do odczytu przez 14 dni w celu pobrania danych, chyba że bezpieczeństwo wymaga natychmiastowego zablokowania dostępu; wówczas dane są przekazywane innym kanałem.
10. Prawa osób, których dane dotyczą
Każdej osobie przysługuje prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie, w granicach określonych przepisami, w tym obowiązkiem przechowywania dowodów księgowych. W sprawach danych zawartych w dokumentach klienta właściwym adresatem wniosku jest klient jako administrator; BCR Group przekazuje mu otrzymane wnioski i wspiera go w ich realizacji. Wnioski dotyczące danych, których administratorem jest BCR Group, można kierować na adres roman.kachniuk@bcr-group.pl. Każdemu przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).
11. Bezpieczeństwo
Dostęp do Aplikacji wymaga konta w środowisku Microsoft 365 BCR Group z uwierzytelnianiem wieloskładnikowym. Dane są szyfrowane podczas przesyłania i przechowywania. Dane poszczególnych klientów są od siebie odseparowane na poziomie bazy danych. Klucze i dane uwierzytelniające są przechowywane w Azure Key Vault. Dostęp pracowników BCR Group jest ograniczony do klientów, których obsługują, i jest rejestrowany. Incydenty naruszenia ochrony danych BCR Group zgłasza klientowi bez zbędnej zwłoki, nie później niż w 48 godzin od stwierdzenia.
12. Zmiany polityki
O zmianach polityki BCR Group informuje w Aplikacji i na tej stronie co najmniej 14 dni przed ich wejściem w życie. W razie rozbieżności między wersjami językowymi rozstrzyga wersja polska.