Załącznik nr 2 do IPU UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH. zawarta w dniu 2015 r. w Warszawie zwana dalej Umową, pomiędzy:

Transkrypt

1 Projekt Powszechn e e-usłu gi administracji publicznej na platformie epuap Załącznik nr 2 do IPU UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH zawarta w dniu 2015 r. w Warszawie zwana dalej Umową, pomiędzy: Ministrem Administracji i Cyfryzacji z siedzibą w Warszawie, adres: ul. Królewska 27, Warszawa, zwanym dalej: Ministrem, reprezentowanym przez: - a z siedzibą w przy,, wpisaną do pod numerem, NIP:, REGON i, zwanym dalej Wykonawcą, reprezentowanym przez: - łącznie zwanymi dalej: Stronami Mając na uwadze, iż: 1) w dniu 10 czerwca 2013 r. zostało zawarte porozumienie w sprawie powierzenia przetwarzania danych osobowych w ramach Programu Operacyjnego Kapitał Ludzki Nr KL/MAC/DO/2013/1 pomiędzy Ministrem a Ministrem Rozwoju Regionalnego; 2) w dniu 27 czerwca 2014 r. została zawarta umowa o dofinansowanie Projektu Instytucji Pośredniczącej w ramach Programu Operacyjnego Kapitał Ludzki nr POKL /13 pomiędzy Ministrem a Ministrem Infrastruktury i Rozwoju, zgodnie z którą Minister upoważniony jest do dalszego powierzenia przetwarzania powierzonych do przetwarzania danych osobowych; 3) w związku z realizacją Umowy nr 2015/CPI/./ z dnia zachodzi konieczność przetwarzania Danych przez Wykonawcę; 4) zgodnie z 17 ust. 9 umowy, o której mowa w pkt 2 powyżej, Minister Infrastruktury i Rozwoju nie wyraził sprzeciwu na powierzenie przetwarzania danych osobowych Wykonawcy; Strony zawierają niniejszą Umowę, zwaną dalej: Umową, o następującej treści: Definicje: W niniejszej Umowie następujące pojęcia i skróty będą miały znaczenie zgodne z podanymi poniżej definicjami:

2 1) Dane dane osobowe w rozumieniu ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (j.t. Dz. U. z 2014 r. poz. 1182), których administratorem jest Minister Infrastruktury i Rozwoju, dotyczące uczestników Projektu. Danymi są wszystkie dane osobowe, które Wykonawca przetwarza w związku z wykonaniem Umowy nr 2015/CPI/ / w szczególności dane osobowe uczestników/uczestniczek szkoleń i konferencji, dane osobowe uzyskane w związku ze świadczeniem usługi helpdesk oraz rozsyłaniem newslettera; 2) ; 3) Pracownicy osoby świadczące pracę na podstawie stosunku pracy lub stosunku cywilnoprawnego; 4) Rozporządzenie rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024); 5) Umowa nr 2015/CPI/ / oznacza umowę nr 2015/CPI/ /. zawartą w dniu pomiędzy Centrum Projektów Informatycznych a Wykonawcą w wyniku postępowania o udzielenie zamówienia publicznego nr 54-CPI-WZP-2244/14; 6) Ustawa ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (j.t. Dz. U. z 2014 r. poz. 1182); 7) Umowa o dofinansowanie - umowa o dofinansowanie Projektu Instytucji Pośredniczącej w ramach Programu Operacyjnego Kapitał Ludzki nr POKL /13 zawarta w dniu 27 czerwca 2014 roku pomiędzy Ministrem Infrastruktury i Rozwoju a Ministrem; 8) Projekt - projekt systemowy Powszechne e-usługi administracji publicznej na platformie epuap Minister, działając na podstawie art. 31 ust. 1 Ustawy oraz na podstawie 17 ust. 9 Umowy o dofinansowanie, powierza Wykonawcy przetwarzanie Danych na warunkach określonych w Umowie. 2. Minister powierza Wykonawcy przetwarzanie Danych wyłącznie w celu realizacji Umowy nr 2015/CPI/ /, w zakresie niezbędnym do realizacji przez Wykonawcę zadań objętych Umową nr 2015/CPI/ /., określonym w załączniku nr 1 do Umowy. 3. Wykonawca jest uprawniony do udzielania swoim Pracownikom upoważnień do przetwarzania danych osobowych w zakresie i celu określonym w ust. 2, zgodnie z wzorem upoważnienia, stanowiącym załącznik nr 2 do Umowy. Upoważnienia są ważne do dnia odwołania (zgodnie ze wzorem stanowiącym załącznik nr 3 do Umowy), nie później niż do 31 grudnia 2020 r. Upoważnienie wygasa z chwilą ustania zatrudnienia upoważnionego Pracownika. 4. Przetwarzanie danych jest dopuszczalne jeżeli osoba, której dane dotyczą wyrazi zgodę na ich przetwarzanie, według wzoru stanowiącego załącznik nr 4 do Umowy. str. 2 z 6

3 5. Zawarcie i wykonywanie Umowy, w tym przetwarzanie przez Wykonawcę Danych, objęte jest wynagrodzeniem brutto, o którym mowa w 12 ust. 1 Umowy nr 2015/CPI/ / Wykonawca zobowiązuje się do przetwarzania Danych wyłącznie w zakresie i celu określonym w 1 ust. 2 Umowy. 2. Wykonawca zobowiązuje się do wykonywania Umowy zgodnie z obowiązującymi przepisami prawa, w szczególności Rozporządzenia, Ustawy oraz innych aktów prawnych, które znajdować będą zastosowanie do przetwarzania Danych, a także do dołożenia należytej staranności w celu ochrony interesów osób, których Dane są przetwarzane. 3. Wykonawca oświadcza, że posiada wiedzę i umiejętności oraz środki techniczne i organizacyjne potrzebne do rzetelnego wykonania obowiązków wynikających z Umowy. 4. Wykonawca zobowiązuje się przed przystąpieniem do przetwarzania Danych powierzonych przez Ministra, wdrożyć i utrzymywać przez czas przetwarzania wszelkie środki i zabezpieczenia związane z przetwarzaniem Danych, odpowiednie do rodzaju przetwarzanych Danych i zagrożeń, które są wymagane przez obowiązujące przepisy prawa, a w szczególności określone w art Ustawy i Rozporządzeniu, w tym zabezpieczające przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, utratą, uszkodzeniem lub zniszczeniem. 5. Wykonawca zobowiązuje się zapewnić urządzenia i systemy, umożliwiające mu prawidłowe przetwarzanie Danych zgodnie z wymogami określonymi w Rozporządzeniu oraz prowadzić wymaganą Rozporządzeniem dokumentację opisującą procedury przetwarzania Danych oraz środki, o których mowa w ust. 3 i Wykonawca zobowiązuje się do prowadzenia ewidencji pracowników upoważnionych do przetwarzania Danych w związku z wykonywaniem Umowy nr 2015/CPI/ /. W dniu zawarcia Umowy Wykonawca przekaże Ministrowi i Centrum Projektów Informatycznych, potwierdzone za zgodność z oryginałem przez Wykonawcę kopie upoważnień Pracowników do przetwarzania Danych oraz kopię ewidencji Pracowników upoważnionych do przetwarzania Danych. 7. W przypadku udzielenia upoważnień po zawarciu Umowy, Wykonawca zobowiązuje się do niezwłocznego, nie później niż w ciągu 3 dni od dnia udzielenia upoważnienia swojemu Pracownikowi, przesłania Ministrowi i Centrum Projektów Informatycznych kopii potwierdzonego za zgodność z oryginałem przez Wykonawcę upoważnienia wraz z potwierdzoną za zgodność z oryginałem przez Wykonawcę uaktualnioną kopią ewidencji Pracowników upoważnionych do przetwarzania Danych, o której mowa w ust. 6 powyżej. 8. Wykonawca będzie stale nadzorował swoich pracowników w zakresie zabezpieczania powierzonych do przetwarzania Danych. 9. Wykonawca zobowiązuje się zachować w tajemnicy i zapewnić zachowanie w tajemnicy przez osoby, które upoważnia do przetwarzania Danych, Danych oraz sposobów ich zabezpieczenia. Zobowiązanie do zachowania w tajemnicy istnieje w trakcie str. 3 z 6

4 obowiązywania Umowy oraz po jej rozwiązaniu lub wygaśnięciu, a także zarówno w trakcie zatrudnienia u Wykonawcy, jak i po jego ustaniu. 10. Wykonawca, w przypadku przetwarzania powierzonych Danych w systemie informatycznym, zobowiązuje się do przetwarzania ich w systemie informatycznym Podsystem Monitorowania Europejskiego Funduszu Społecznego Minister dopuszcza przetwarzanie przez Wykonawcę powierzonych danych osobowych dodatkowo także w innym niż Podsystem Monitorowania Europejskiego Funduszu Społecznego 2007 systemie informatycznym, pod warunkiem, że Wykonawca zapewni, że system informatyczny służący do przetwarzania powierzonych Danych spełnia wymagania określone w Rozporządzeniu. 12. Niezwłocznie po wykonaniu, rozwiązaniu lub innym zakończeniu obowiązywania Umowy, Wykonawca usunie z własnych systemów informatycznych Dane oraz zniszczy Dane przechowywane na nośnikach danych oraz w wersji papierowej. Ponadto niezwłocznie po wykonaniu, rozwiązaniu lub innym zakończeniu obowiązywania Umowy lub na żądanie Ministra Wykonawca przekaże Ministrowi pisemne oświadczenie, w którym potwierdzi, że nie posiada już żadnych Danych, których przetwarzanie zostało mu powierzone na podstawie Umowy. Wykonawca odpowiada za naprawienie szkody wyrządzonej Ministrowi lub osobom trzecim wynikłej z niewykonania lub nienależytego wykonania Umowy Minister ma prawo do przeprowadzania kontroli, w tym w miejscach gdzie są przetwarzane Dane, przestrzegania przez Wykonawcę wszelkich obowiązków związanych z przetwarzaniem Danych, przestrzegania przez Wykonawcę zasad i sposobu przetwarzania Danych, w szczególności kontroli dokumentów, urządzeń, pomieszczeń i systemów informatycznych związanych z przetwarzaniem Danych, ich bezpieczeństwa, sposobu postępowania z dokumentami lub nośnikami zawierającymi Dane. Minister ma prawo żądania złożenia, w wyznaczonym terminie, wyjaśnień ustnych lub pisemnych. 2. O zamiarze przeprowadzenia kontroli, o której mowa w ust. 1, Minister powiadomi Wykonawcę z wyprzedzeniem co najmniej 5 dni, ze wskazaniem osób upoważnionych do przeprowadzenia czynności kontrolnych w imieniu Ministra. Jednakże Minister może przeprowadzić kontrolę, o której mowa w ust. 1, w każdym czasie bez uprzedniego powiadomienia Wykonawcy, w przypadku powzięcia wiadomości o rażącym naruszeniu zobowiązań wynikających z Ustawy, Rozporządzenia lub Umowy. 3. Kontrolerzy mają w szczególności prawo: 1) wstępu, w godzinach pracy Wykonawcy, za okazaniem imiennego upoważnienia, do pomieszczenia, w którym jest zlokalizowany zbiór powierzonych do przetwarzania Danych, oraz pomieszczenia, w którym są przetwarzane powierzone dane osobowe poza zbiorem danych osobowych, i przeprowadzenia niezbędnych badań lub innych str. 4 z 6

5 czynności kontrolnych w celu oceny zgodności przetwarzania danych osobowych z Ustawą, Rozporządzeniem oraz Umową; 2) żądać złożenia pisemnych lub ustnych wyjaśnień oraz wzywać i przesłuchiwać pracowników w zakresie niezbędnym do ustalenia stanu faktycznego; 3) wglądu do wszelkich dokumentów i wszelkich danych mających bezpośredni związek z przedmiotem kontroli oraz sporządzania ich kopii; 4) przeprowadzania oględzin urządzeń, nośników oraz systemu informatycznego służącego do przetwarzania Danych. 4. Uprawnienia Ministra określone w niniejszym paragrafie stosuje się odpowiednio do kontroli przeprowadzanej wobec Wykonawcy przez Instytucję Zarządzającą lub podmiot przez nią upoważniony. 5. Minister jest zobowiązany do poinformowania Wykonawcy na piśmie o wynikach kontroli niezwłocznie po ich opracowaniu. 6. Wykonawca jest zobowiązany zastosować się do zaleceń dotyczących poprawy jakości zabezpieczenia powierzonych do przetwarzania Danych oraz sposobu ich przetwarzania sporządzonych w wyniku kontroli przeprowadzonych przez Ministra, Instytucję Zarządzającą lub podmiot przez nie wskazany, administratora danych lub inne instytucje upoważnione do kontroli na podstawie odrębnych przepisów. 7. Wykonawca zobowiązuje się do zawiadomienia Ministra o wszelkich zdarzeniach związanych z przetwarzaniem Danych dotyczących zakłóceń w funkcjonowaniu systemu informatycznego, wszelkich zdarzeniach dotyczących naruszenia bezpieczeństwa Danych lub mających wpływ na bezpieczeństwo Danych oraz o wszelkich zdarzeniach dotyczących niewłaściwego użycia Danych. 8. Wykonawca zobowiązuje się do niezwłocznego zawiadomienia Ministra o wszelkich czynnościach w sprawach dotyczących ochrony powierzonych Danych prowadzonych w szczególności przed Generalnym Inspektorem Ochrony Danych Osobowych, urzędami państwowymi, policją lub przed sądem. 9. Każda ze Stron zobowiązuje się do niezwłocznego poinformowania drugiej Strony o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania Danych, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania Danych, a także o wszelkich kontrolach i inspekcjach dotyczących przetwarzania Danych, w szczególności prowadzonych przez inspektorów upoważnionych przez Generalnego Inspektora Ochrony Danych Osobowych (w tym o kontrolach ad hoc). 10. Wykonawca zobowiązuje się do udzielenia Ministrowi, na każde jego żądanie, informacji na temat przetwarzania powierzonych Danych oraz niezwłocznego przekazywania informacji o każdym przypadku naruszenia przez Wykonawcę lub jego Pracowników obowiązków dotyczących ochrony powierzonych Danych. 5. str. 5 z 6

6 1. W przypadku otrzymania przez Wykonawcę: 1) wniosku o udzielenie informacji lub żądania, o których mowa w art. 32 ust. 1 Ustawy; 2) wniosku w przedmiocie udostępnienia danych osobowych niepochodzącego od osoby, której dane dotyczą, Wykonawca obowiązany jest przekazać je Ministrowi niezwłocznie, nie później niż w ciągu trzech dni roboczych od dnia ich otrzymania wraz ze stanowiskiem w sprawie. 2. Wykonawca udzieli Ministrowi wszelkich niezbędnych wyjaśnień w celu udzielenia odpowiedzi na wnioski i żądania, o których mowa w ust. 1. Postanowienie to ma zastosowanie również w przypadku otrzymania wniosku lub żądania bezpośrednio przez Ministra, o czym Minister powiadomi Wykonawcę. 6 Umowa zostaje zawarta do dnia 31 grudnia 2020 r Wszelkie zmiany i uzupełnienia postanowień Umowy wymagają formy pisemnej pod rygorem nieważności. 2. W sprawach nieuregulowanych Umową zastosowanie znajdują powszechnie obowiązujące przepisy prawa, a w szczególności przepisy Ustawy o ochronie danych osobowych i aktów wykonawczych do tej ustawy oraz przepisy Kodeksu cywilnego. 3. Spory wynikające z Umowy rozstrzygane będą przez sąd właściwy dla siedziby Ministra. 4. Umowa została sporządzona w trzech jednobrzmiących egzemplarzach, po jednym egzemplarzu dla każdej ze Stron oraz jednym dla Centrum Projektów Informatycznych. 5. Następujące załączniki do Umowy stanowią jej integralną część: 1) załącznik nr 1 - Zakres Danych powierzonych do przetwarzania ; 2) załącznik nr 2 - Wzór upoważnienia do przetwarzania Danych; 3) załącznik nr 3 - Wzór odwołania upoważnienia do przetwarzania Danych; 4) załącznik nr 4 - Wzór oświadczenia o wyrażeniu zgody na przetwarzanie Danych; 5) załącznik nr 5 - dokumenty potwierdzające reprezentację Wykonawcy. WYKONAWCA MINISTER i Komparycja zostanie uzupełniona stosownie do danych Wykonawcy i formy prowadzonej przez niego działalności str. 6 z 6