1. Strony, zakres i role
Niniejsza Umowa powierzenia przetwarzania danych („DPA”) stanowi część Regulaminu świadczenia usług pomiędzy Tatic ApS (CVR 42532940), Mejsevej 2, Hadbjerg, 8370 Hadsten, Dania, prowadzącą serwis open-banking.io pod nazwą dodatkową OpenBanking IO ApS („Podmiot przetwarzający”, „my”), a klientem biznesowym korzystającym z usługi („Administrator”, „Ty”).
Ma ona zastosowanie zgodnie z art. 28 RODO za każdym razem, gdy łączysz rachunki bankowe, których wyciągi lub transakcje zawierają dane osobowe (takie jak nazwy kontrahentów, numery IBAN, wynagrodzenia pracowników lub tytuły płatności). Pytania: privacy@open-banking.io.
2. Charakter, cel i czas trwania przetwarzania
Przetwarzamy dane osobowe wyłącznie w celu świadczenia usługi open-banking.io: pobierania danych o rachunkach i transakcjach za pośrednictwem interfejsów API PSD2 podczas synchronizacji, szyfrowania wrażliwych danych bankowych przy użyciu zarejestrowanego przez Ciebie klucza publicznego, przechowywania powstałych rekordów oraz strukturalnych metadanych synchronizacji, a także udostępniania ich Tobie poprzez aplikację internetową i API.
Przetwarzanie trwa tak długo, jak długo Twoje konto pozostaje aktywne, i kończy się w momencie usunięcia pojedynczego rachunku bankowego lub usunięcia konta użytkownika.
3. Kategorie osób, których dane dotyczą, oraz kategorie danych osobowych
- Osoby, których dane dotyczą: posiadacze rachunków, kontrahenci, klienci, dostawcy i pracownicy, których dane widnieją na połączonych rachunkach bankowych i wyciągach z transakcji, a także upoważnieni użytkownicy Twojego konta.
- Dane osobowe: identyfikatory rachunków (IBAN, BBAN, numery rachunków), imiona i nazwiska lub nazwy posiadaczy rachunków i kontrahentów, kwoty transakcji, opisy oraz referencje płatności (zapieczętowane Twoim kluczem publicznym po jego zarejestrowaniu), wraz ze strukturalnymi metadanymi niezbędnymi do synchronizacji, deduplikacji i zgodności z PSD2 (identyfikator banku, waluta, daty księgowania/waluty, zaszyfrowane identyfikatory UID sesji/rachunków, adres IP i User-Agent użytkownika podczas synchronizacji inicjowanych przez użytkownika oraz 90-dniowe dzienniki operacyjne API i synchronizacji).
Dane logowania do bankowości nigdy nie są przez nas zbierane, przeglądane ani przechowywane.
4. Udokumentowane polecenia i szyfrowanie po stronie klienta
Przetwarzamy dane osobowe wyłącznie na Twoje udokumentowane polecenie — tj. zgodnie z Twoją konfiguracją oraz korzystaniem z usługi i API — chyba że obowiązek taki nakłada na nas prawo Unii lub prawo duńskie.
Po zarejestrowaniu klucza publicznego ECDH P-256 wrażliwe dane bankowe pobrane za pośrednictwem Enable Banking (nazwy posiadaczy rachunków i kontrahentów, IBAN/BBAN, kwoty transakcji, opisy przelewów i surowe dane JSON z banku) są pieczętowane Twoim kluczem publicznym (efemeryczny ECDH P-256 + HKDF-SHA256 + AES-256-GCM), dzięki czemu nie możemy ich odszyfrować w spoczynku, chyba że wyraźnie włączysz tymczasowe debugowanie wsparcia na ograniczony czas.
5. Poufność i środki bezpieczeństwa (art. 32 RODO)
Każda osoba upoważniona przez nas do dostępu do infrastruktury jest zobowiązana do zachowania ścisłej poufności.
Wdrażamy środki techniczne i organizacyjne odpowiednie do ryzyka:
- Szyfrowanie kopertowe end-to-end przy użyciu kluczy generowanych i przechowywanych na Twoich własnych urządzeniach lub w Twoich systemach
- Szyfrowanie TLS 1.2/1.3 dla wszystkich danych w tranzycie
- Hosting w centrach danych na terenie UE certyfikowanych zgodnie z normą ISO/IEC 27001:2022 ze ścisłymi politykami sieciowymi Kubernetes oraz dostępem według zasady najmniejszych uprawnień
- Europejska ochrona przed atakami DDoS, zapora aplikacji internetowych (WAF) oraz ograniczanie liczby zapytań (rate limiting) na brzegu sieci
6. Upoważnione podmioty podprzetwarzające
Udzielasz ogólnej pisemnej zgody na korzystanie z następujących europejskich podmiotów podprzetwarzających:
- Enable Banking Oy (Espoo, Finlandia) — dostawca usług dostępu do informacji o rachunku (AISP) w ramach PSD2 nadzorowany przez Fiński Urząd Nadzoru Finansowego (FIN-FSA).
- Hetzner (Hetzner Online GmbH / Hetzner Finland Oy, Niemcy i Finlandia) — hosting i przechowywanie danych w centrach danych certyfikowanych zgodnie z ISO/IEC 27001:2022.
- Bunny.net (BunnyWay d.o.o., Lublana, Słowenia) — ochrona DDoS, WAF, DNS i sieć brzegowa na europejskiej infrastrukturze.
- Stripe (Stripe Payments Europe, Ltd., Irlandia) — obsługa płatności i fakturowanie.
Nakładamy na każdy podmiot podprzetwarzający obowiązki ochrony danych nie mniej rygorystyczne niż określone w niniejszej DPA i ponosimy odpowiedzialność za ich wykonanie. Powiadamiamy Cię drogą mailową przed dodaniem lub zmianą podmiotu podprzetwarzającego, abyś mógł wyrazić sprzeciw poprzez zamknięcie konta przed wejściem zmiany w życie.
7. Lokalizacja danych w UE i przekazywanie międzynarodowe
Wszystkie dane bankowe i dane rachunków są przechowywane i przetwarzane wyłącznie na terenie Unii Europejskiej i EOG (Niemcy, Finlandia oraz europejska infrastruktura brzegowa). Nie przekazujemy Twoich danych bankowych poza UE/EOG.
8. Pomoc, zgłaszanie naruszeń i audyty
Ponieważ masz bezpośredni dostęp do swoich danych bankowych za pośrednictwem aplikacji i API, możesz w dowolnym momencie samodzielnie eksportować lub usuwać rekordy. Uwzględniając charakter przetwarzania, pomagamy Ci na wniosek skierowany na adres privacy@open-banking.io w obsłudze żądań osób, których dane dotyczą, ocenach bezpieczeństwa oraz zapytaniach dotyczących DPIA.
Powiadamiamy Cię bez zbędnej zwłoki — i nie później niż w ciągu 48 godzin od stwierdzenia naruszenia — o każdym naruszeniu ochrony danych osobowych dotyczącym Twojego konta, przekazując informacje wymagane na mocy art. 33 RODO.
Udostępniamy wszelkie informacje racjonalnie niezbędne do wykazania zgodności z art. 28 RODO oraz umożliwiamy przeprowadzenie audytów lub inspekcji po uprzednim pisemnym zawiadomieniu z odpowiednim wyprzedzeniem.
9. Usunięcie danych po zakończeniu umowy i prawo właściwe
Odłączenie połączenia bankowego powoduje cofnięcie sesji PSD2 i zatrzymanie nowych synchronizacji, przy zachowaniu zaimportowanej historii do momentu usunięcia rachunku. Gdy usuniesz pojedynczy rachunek bankowy lub usuniesz swoje konto użytkownika, rekordy rachunków i transakcji są trwale usuwane z aktywnych baz danych i wygasają z kopii zapasowych bazy danych w ciągu 30 dni (z zachowaniem wyłącznie ustawowych dokumentów rozliczeniowych i księgowych wymaganych przez duńską ustawę o rachunkowości oraz krótkotrwałych dzienników operacyjnych wygasających w ciągu maksymalnie 90 dni).
Niniejsza DPA podlega prawu duńskiemu i jurysdykcji sądów duńskich. Kontakt we wszystkich sprawach dotyczących ochrony danych: privacy@open-banking.io.