Umowa powierzenia przetwarzania danych osobowych

Niniejsza Umowa powierzenia przetwarzania danych osobowych („Umowa”) została zawarta w trybie art. 384 Kodeksu cywilnego, między:

Mateusz Sikorski prowadzącym działalność gospodarczą pod firmą MSCode Mateusz Sikorski wpisaną do Centralnej Ewidencji i Informacji Działalności Gospodarczej pod numerem NIP 5681637622, REGON 543787927, z siedzibą w Pułtusku, ul. Świętokrzyska 3, 06-100 Pułtusk („Podmiot przetwarzający”),

oraz

Podmiotem powierzającym dane osobowe zwanym w dalszej części umowy „Administratorem danych” lub „Administratorem”,

w toku procedury rejestracji Administratora danych w systemie informatycznym Podmiotu przetwarzającego na potrzeby korzystania z usług świadczonych przez Podmiot przetwarzający.

Administrator oraz Podmiot przetwarzający zwani są dalej łącznie „Stronami”, a każdy z nich z osobna zwany jest „Stroną”.

1.1.W celu wykonania postanowień Umowy Głównej, Administrator danych powierza Podmiotowi przetwarzającemu, zgodnie z treścią art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dn. 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylania dyrektywy 95/46/WE („Rozporządzenie”) dane osobowe do przetwarzania, na zasadach i w celu określonym w niniejszej Umowie, mając na względzie postanowienia Umowy Głównej.

1.2.Podmiot przetwarzający zobowiązuje się do przetwarzania powierzonych mu danych osobowych zgodnie z treścią niniejszej Umowy, Rozporządzeniem oraz innymi obowiązującymi przepisami prawa powszechnie obowiązującego, których celem jest ochrona prawa osób, których one dotyczą.

1.3.Podmiot przetwarzający oświadcza, że stosuje środki bezpieczeństwa spełniające wymogi wymienione w treści Rozporządzenia.

2.1.Administrator oświadcza, że powierza do przetwarzania Podmiotowi przetwarzającemu na podstawie niniejszej Umowy dane osobowe, nie stanowiące danych szczególnej kategorii danych osobowych w rozumieniu treści Rozporządzenia, zgromadzone przez Administratora w utworzonych przez niego zbiorach tj. zbiorze klientów Administratora obejmujące: imię i nazwisko, PESEL, NIP, dane kontaktowe, dane dot. płatności, dane zamieszkania, inne dane personalne tj. PKK.

2.2.Dane powierzone przez Administratora będą przetwarzane przez Podmiot przetwarzający wyłącznie w celu wykonania Umowy Głównej zawartej drogą papierową lub elektroniczną, specyfikacji technicznej oraz wzorców umownych, a w przypadku zawarcia Umowy Głównej formą elektroniczną zatwierdzeniem za pośrednictwem wykorzystania środków identyfikacji elektronicznej.

2.3.Cel i zakres powierzenia przetwarzania danych osobowych wynika bezpośrednio i ogranicza się do zadań oraz czynności koniecznych do realizacji postanowień Umowy Głównej.

2.5.Powierzone dane osobowe przetwarzane będą przez Podmiot przetwarzający w systemach informatycznych.

3.1.Podmiot przetwarzający zobowiązuje się dołożyć należytej staranności przy przetwarzaniu powierzonych danych osobowych przez Administratora.

3.2.Podmiot przetwarzający zobowiązuje się zapewnić, aby powierzone dane osobowe przetwarzały wyłącznie osoby, którym nadano upoważnienie do przetwarzania danych osobowych w celu realizacji niniejszej umowy.

3.3.Podmiot przetwarzający zobowiązuje się zapewnić (zgodnie z art. 28 ust 3 pkt b Rozporządzenia), aby osoby, które upoważnia do przetwarzania danych osobowych w celu realizacji niniejszej Umowy, zobowiązały się do zachowania tajemnicy co do tych danych, zarówno w trakcie zatrudnienia ich w Podmiocie przetwarzającym, jak i po jego ustaniu.

3.4.Podmiot przetwarzający po zakończeniu Umowy Głównej, nie później niż w terminie 30 dni od zakończenia Umowy Głównej, usuwa wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego lub prawo polskie, nakazują przechowywanie danych osobowych.

3.5.Zapis pkt. 3.4 nie znajduje zastosowania w sytuacji, gdy usługa objęta Umową Główną zostanie odnowiona na kolejny okres abonamentowy. W takim przypadku Strony zgodnie uznają, iż Umowa Główna ulega przedłużeniu na kolejny okres abonamentowy.

3.6.Uwzględniając charakter przetwarzania danych osobowych oraz dostępne Podmiotowi przetwarzającemu informacje, pomaga on Administratorowi danych wywiązać się z obowiązków dotyczących bezpiecznego przetwarzania, zgłaszania naruszeń ochrony danych osobowych organowi nadzoru, zawiadomienia osoby, której dane osobowe dotyczą, o naruszeniu ochrony danych osobowych, oceny skutków dla ochrony danych osobowych, uprzednich konsultacji z organem nadzorczym, wskazanym w Rozporządzeniu.

3.7.Podmiot przetwarzający stosuje w celu przetwarzania powierzonych mu danych osobowych środki techniczne i organizacyjne (w rozumieniu art. 32 Rozporządzenia) adekwatne do rodzaju powierzonych mu danych osobowych, zgodnie z opisem danych dokonanym przez Administratora danych w § 2 ust. 1 powyżej.

3.8.Jeżeli Podmiot przetwarzający otrzyma wniosek od osoby, której dane osobowe dotyczą, związany z przetwarzaniem danych osobowych, prześle taki wniosek w formie wiadomości elektronicznej do Administratora danych, w celu dalszego przetwarzania przez Administratora danych. Podmiot przetwarzający nie jest uprawniony, ani zobowiązany do samodzielnego załatwienia wniosku, chyba że, co innego wynika z obowiązujących przepisów prawa lub Umowy Głównej.

3.9.Jeżeli Podmiot przetwarzający otrzyma żądanie udzielenia dostępu lub udzielenia informacji o danych osobowych od właściwego organu nadzorczego, dotyczącą danych osobową objętych niniejszą Umową, powiadomi o tym fakcie Administratora danych w formie wiadomości elektronicznej i przekaże mu w formie wiadomości elektronicznej otrzymane żądanie. Podmiot przetwarzający nie jest uprawniony ani zobowiązany do samodzielnego załatwienia żądania, chyba że co innego wynika z obowiązujących przepisów prawa lub Umowy Głównej.

4.1.Administrator gwarantuje, że dane osobowe są przetwarzane w celach zgodnych z prawem, oraz że Podmiot przetwarzający nie przetwarza więcej danych osobowych niż jest to wymagane do spełnienia tych celów.

4.2.Administrator danych zapewnia, że w momencie przekazania danych osobowych Podmiotowi przetwarzającemu, istnieć będzie ważna podstawa prawna do ich przetwarzania, w tym w szczególności, zgodna z treścią Rozporządzenia – zgoda podmiotu, którego dane osobowe dotyczą. Administrator na wyraźne żądanie Podmiotu przetwarzającego, Administrator ma obowiązek w formie pisemnej udokumentować lub też wskazać podstawę prawną przetwarzania danych osobowych.

4.3.Zgodnie z treścią niniejszej Umowy a także z treścią Umowy Głównej, instrukcje dotyczące przetwarzania danych osobowych Administratora przez Podmiot przetwarzający zostaną przekazane za pośrednictwem poczty elektronicznej, chyba że przepisy prawa stanowią inaczej.

4.4.Wszelkie instrukcje dotyczące przetwarzania danych osobowych zgodnie z niniejszą Umową będą przekazywane Podmiotowi przetwarzającemu. W przypadku, gdy Administrator danych udzieli instrukcji bezpośrednio Podwykonawcy, Administrator danych niezwłocznie powiadomi o tym fakcie Podmiot przetwarzający. Podmiot przetwarzający nie ponosi odpowiedzialności za jakiekolwiek przetwarzanie wykonane przez Podwykonawcę zgodnie z takimi instrukcjami, jeżeli instrukcje te nie są zgodne z zasadami przetwarzania danych osobowych przyjętymi w niniejszej Umowie.

5.1.Podmiot przetwarzający może powierzyć dane osobowe innym podmiotom przetwarzającym („Podwykonawcy”), wyłącznie w celu wykonania niniejszej Umowy a także Umowy Głównej.

5.2.Podmiot przetwarzający jest zobowiązany poinformować Administratora o każdym planowanym dalszym powierzeniu przetwarzania danych osobowych oraz o wszelkich zamierzonych zmianach w zakresie Podwykonawców, z wyszczególnieniem zastąpienia obecnego Podwykonawcy lub o rezygnacji z usług Podwykonawcy.

5.3.Powiadomienie wymienione w ust. 3 niniejszego paragrafu następuje w formie elektronicznej za pośrednictwem wiadomości e-mail skierowanej do Administratora lub w formie publicznie dostępnej informacji na stronach Podmiotu przetwarzającego.

5.4.Po otrzymaniu powiadomienia wymienionego w ust. 3 niniejszego paragrafu Administrator ma prawo do zgłoszenia sprzeciwu co do podpowierzenia danych osobowych Administratora.

5.5.Administrator jest świadom, iż zgłoszenie sprzeciwu może skutkować niemożnością wykonania Umowy Głównej, a w konsekwencji prowadzić do jej rozwiązania przez Podmiot przetwarzający z winy leżącej po stronie Administratora.

5.6.Podmiot przetwarzający zobowiązuje się do uregulowania powierzenia przetwarzania danych osobowych Podwykonawcom w odpowiednich umowach powierzenia, zawierające zakres powierzonych do przetwarzania danych osobowych i dopuszczalnych czynności przetwarzania przez Podwykonawców będzie adekwatny do określonego w niniejszej Umowie celu powierzenia danych, oraz nie będzie wykraczał poza zakres Umowy Głównej i niniejszej Umowy, a Podwykonawcy będą stosowali się do instrukcji Administratora i stosowali środki techniczne i organizacyjne zapewniające wysoki poziom ochrony powierzanych danych osobowych.

5.7.Podmiot przetwarzający ponosi pełną odpowiedzialność wobec Administratora danych za działania lub zaniechania Podwykonawców.

6.1.Podmiot przetwarzający jest odpowiedzialny za udostępnienie, zmodyfikowanie, wykorzystanie danych osobowych Administratora, niezgodnie z treścią niniejszej Umowy, a w szczególności udostępnienie danych osobowych osobom i/lub podmiot nieupoważnionym do powyższej czynności.

6.2.Podmiot przetwarzający po stwierdzeniu naruszenia ochrony danych osobowych zgłasza je Administratorowi danych w formie wiadomości elektronicznej, niezwłocznie, lecz nie później niż w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych.

6.3.Podmiot przetwarzający nie ponosi odpowiedzialności za brak zgodności zastosowanych środków technicznych i organizacyjnych do rodzaju powierzonych mu na podstawie niniejszej Umowy danych osobowych, jeśli środki te są zgodne z rodzajem danych osobowych zadeklarowanym przez Administratora danych w § 2 ust. 1 powyżej.

6.4.W razie stwierdzenia w toku wykonywania Umowy, iż zachodzi wzmiankowany brak zgodności, Podmiot przetwarzający niezwłocznie (lecz nie później niż w ciągu 48 godzin od stwierdzenia niezgodności), powiadamia o tym fakcie Administratora danych w formie elektronicznej, jednocześnie wzywając Administratora do właściwego określenia rodzaju przetwarzanych danych.

6.5.Administrator po otrzymaniu wymienionej informacji w ust. 4 niniejszego paragrafu powyżej, jest zobowiązany do zajęcia stanowiska w tym przedmiocie w czasie kolejnych 48 godzin od momentu otrzymania informacji.

6.6.Podmiot przetwarzający zastrzega sobie prawo, do wstrzymania dalszego przetwarzania danych osobowych a także świadczenia usługi zgodnie z treścią Umowy Głównej do czasu otrzymania odpowiedniej korekty informacji o rodzaju powierzonych danych osobowych.

6.7.W przypadku braku otrzymania stosownej korekty wymienionej w ust. 5 niniejszego paragrafu od Administratora, Podmiot przetwarzający może wezwać Administratora ponownie do złożenia korekty informacyjnej, wyznaczając mu kolejny 48 godzinowy termin.

6.8.W przypadku braku otrzymania stosownej korekty po dodatkowym czasie wymienionym w ustępie powyżej niniejszego paragrafu, Podmiot przetwarzający może rozwiązać niniejszą Umowę oraz Umowę Główną bez zachowania okresu wypowiedzenia z winy Administratora danych.

6.9.Forma komunikacji z Podmiotem przetwarzającym i zarówno Administratora wymieniona w ust. 4, nie dotyczy możliwych oświadczeń o rozwiązaniu niniejszej Umowy oraz Umowy Głównej, której formę określają odrębne postanowienia tych umów.

6.10.Procedurę postępowania oraz sankcje określone w ust. 6 stosuje się odpowiednio również w razie stwierdzenia przez Podmiot przetwarzający naruszenia przez Administratora danych postanowień § 4 ust. 1 lub 2.

6.11.Całkowite i maksymalne zobowiązanie Podmiotu przetwarzającego wobec Administratora danych w związku z wykonywaniem niniejszej Umowy w każdym dwunastomiesięcznym (12) okresie trwania niniejszej Umowy nie może w żadnym przypadku przekroczyć kwoty równej całkowitej kwocie zapłaconej za usługi świadczone w ramach Umowy Głównej za okres dwunastu (12) miesięcy poprzedzających zdarzenie, które pociąga za sobą odpowiedzialność. Powyższe ograniczenie nie ma zastosowania do szkód spowodowanych umyślnie.

7.1.Niniejsza Umowa obowiązuje w okresie trwania Umowy Głównej i wchodzi w życie z dniem zawarcia niniejszej Umowy przez Strony, z zastrzeżeniem ust. 2 poniżej.

7.2.W przypadku, gdy usługa objęta Umową Główną zostanie odnowiona na kolejny okres abonamentowy Strony zgodnie uznają, iż Umowa Główna trwa nadal.

7.4.W przypadku rozwiązania niniejszej Umowy rozwiązaniu ulega Umowa Główna.

8.1.Z zastrzeżeniem ust. 2, czynności związane z powierzeniem przetwarzania danych osobowych wykonywane będą w ramach wynagrodzenia uzgodnionego w Umowie Głównej.

8.2.Określone czynności związane z powierzeniem przetwarzania danych osobowych zostaną wskazane w załączniku Umowy Głównej lub treści Umowy Głównej lub na podstawie kwot i stawek wskazanej w Cenniku na stronie internetowej Podmiotu przetwarzającego.

9.1.Podmiot przetwarzający zobowiązuje się do zachowania w tajemnicy wszelkich informacji, danych, materiałów, dokumentów i danych osobowych otrzymanych od Administratora danych i od współpracujących z nim osób oraz danych uzyskanych w jakikolwiek inny sposób, zamierzony czy przypadkowy w formie ustnej, pisemnej lub elektronicznej („dane poufne”).

9.2.Podmiot przetwarzający oświadcza, że w związku ze zobowiązaniem do zachowania w tajemnicy danych poufnych nie będą one wykorzystywane, ujawniane ani udostępniane bez pisemnej zgody Administratora danych w innym celu niż wykonanie niniejszej Umowy lub Umowy Głównej, chyba że konieczność ujawnienia posiadanych informacji wynika z obowiązujących przepisów prawa lub niniejszej Umowy lub Umowy Głównej.

9.3.Strony zobowiązują się do dołożenia wszelkich starań w celu zapewnienia, aby środki łączności wykorzystywane do odbioru, przekazywania oraz przechowywania danych poufnych gwarantowały zabezpieczenie danych poufnych w tym w szczególności danych osobowych powierzonych do przetwarzania, przed dostępem osób trzecich nieupoważnionych do zapoznania się z ich treścią.

10.1.W sprawach nieuregulowanych niniejszą Umową zastosowanie będą miały przepisy Rozporządzenia oraz obowiązujące przepisy prawa polskiego.

10.2.Dane kontaktowe Stron (w tym adresy pocztowe i elektroniczne do doręczeń) określa Umowa Główna.

10.3.Wszelkie zmiany niniejszej Umowy, oświadczenia i porozumienia o jej rozwiązaniu, dokonywane będą w formie pisemnej pod rygorem nieważności.

10.4.Sądem właściwym dla rozpatrzenia sporów wynikających z niniejszej Umowy będzie sąd właściwy dla powoda.