WZÓR UMOWA licencyjna nr...

Transkrypt

1 WZÓR UMOWA licencyjna nr... zawarta w dniu w Olsztynie pomiędzy: Gminą Olsztyn ul. Jana Pawła II 1, Olsztyn, NIP , reprezentowaną przez Pana Piotra Grzymowicza Prezydenta Olsztyna, w imieniu którego działa Pan Rafał Ruchlewicz- Dyrektor Wydziału Informatyki zwaną w dalszej części umowy Zamawiającym, a. zwaną w dalszej części umowy Wykonawcą w wyniku przeprowadzenia postępowania zgodnie z Zarządzeniem nr 285 Prezydenta Miasta Olsztyna z dnia 28 lipca 2016 r. z późn. zm. w sprawie wprowadzenia w Urzędzie Miasta Olsztyna Regulaminu uruchamiania zamówień do których nie stosuje się przepisów ustawy Prawo Zamówień Publicznych w trybie przetargu z ogłoszeniem, w którym oferta Wykonawcy uznana została za najkorzystniejszą, zawarta została umowa o następującej treści: 1. Postanowienie ogólne 1. Wykonawca oświadcza, że jest producentem elektronicznej bazy danych w postaci kompleksowego, aktualizowanego zbioru aktów prawnych, porad, komentarzy, przepisów, orzecznictwa i innych informacji prawnych, zwanej dalej Bazą oraz że przysługują mu autorskie prawa majątkowe do utworu stanowiącego element Bazy (Programu). Wymagania dotyczące Bazy, jej elementów, posiadanych przez nią funkcjonalności oraz wymagań technicznych, jakie spełnia, zostały zawarte w Opisie Przedmiotu Zamówienia zawartym w Załączniku nr 1 do niniejszej umowy. 2. Baza składa się z bazy danych w rozumieniu art. 2 ust. 1 pkt 1 ustawy o ochronie baz danych z dnia 27 lipca 2001 r. (Dz.U. Nr 128, poz z późn. zm.) oraz programu komputerowego w rozumieniu art. 1 ust. 2 pkt 1 ustawy o prawie autorskim i prawach pokrewnych z dnia 4 lutego 1994 r. (tj. z dnia 29 kwietnia 2016 r. Dz.U. z 2016 r. poz. 666), służącego do dostępu i korzystania z tej bazy danych, zwanego dalej Programem. 3. Zamawiający zobowiązuje się przestrzegać praw autorskich i praw sui generis Wykonawcy odpowiednio do Programu i Bazy. 4. W ramach niniejszej umowy Wykonawca zobowiązuje się do świadczenia na rzecz Zamawiającego, zgodnie z Opisem Przedmiotu Zamówienia, stanowiącym załącznik nr 1 do niniejszej umowy, usługi udostępnienia Bazy przez okres 12 miesięcy od daty zawarcia umowy, udzielenia licencji na korzystanie z Bazy oraz świadczenie usług dodatkowych w zakresie wskazanym w niniejszej umowie oraz Załączniku nr 1. Usługi będą świadczone w języku polskim, drogą elektroniczną poprzez sieć Internet i będą dostępne za pośrednictwem standardowych wersji przeglądarki internetowej bez konieczności instalacji dodatkowych narzędzi w celu zapewnienia dostępu do Bazy. 1

2 5. Zamawiający oświadcza, że posiada własną wewnętrzną sieć rozległą, zwaną dalej Intranetem. Zamawiający zabezpieczy dostęp do Bazy przez Intranet poprzez użycie posiadanych środków technicznych. 6. Zamawiający oświadcza, że w okresie obowiązywania niniejszej umowy Baza nie będzie udostępniona osobom trzecim. 7. Zamawiający oświadcza, że w okresie obowiązywania niniejszej umowy Baza nie będzie udostępniana innym podmiotom. 2. Przedmiot i zakres licencji 1. Wykonawca udziela Zamawiającemu niewyłączną i nieprzenośną, odpłatną licencję na korzystanie z Bazy i Programu bez ograniczeń terytorialnych, bez prawa do sublicencjonowania. Licencja jest udzielana na okres 12 miesięcy od dnia zawarcia niniejszej umowy. Udzielona licencja gwarantuje prawo do swobodnego korzystania z wszelkich elementów Bazy i Programu, tj. zarówno z utworów w rozumieniu ustawy o prawie autorskim i prawach pokrewnych, jak i Bazy. 2. Baza dostępna będzie z sieci Intranet Zamawiającego oraz z dowolnej lokalizacji, po zalogowaniu się poprzez użycie nadanych Zamawiającemu loginu i hasła na zasadach określonych w punkcie I.7. Załącznika nr 1 Szczegółowy opis przedmiotu zamówienia. 3. Zamawiający zastrzega na swoją rzecz prawo opcji. W ramach prawa opcji Zamawiający może zamówić łącznie maksymalnie od 1 do 10 dodatkowych kont imiennych, do których zapewniony będzie zewnętrzny dostęp online. Zasady składania zamówień określone są w Zamawiający zobowiązuje się do zastosowania niezbędnych środków ochrony w celu uniemożliwienia dostępu osób trzecich do Bazy. 5. Licencja, o której mowa w ust.1, obejmuje wszystkie wersje i aktualizacje Bazy udostępnione Zamawiającemu na podstawie postanowień niniejszej umowy. 6. W zakresie w jakim Baza obejmuje utwory w rozumieniu ustawy o prawie autorskim i prawach pokrewnych, licencja obejmuje następujące pola eksploatacji: a. w odniesieniu do Programu: trwałe oraz czasowe zwielokrotnienie Programu w całości lub w części jakimikolwiek środkami i w jakiejkolwiek formie, b. w odniesieniu do pozostałych utworów stanowiących elementy Bazy: w zakresie utrwalania i zwielokrotniania dokumentacji - wytwarzanie dowolną techniką egzemplarzy utworów, w tym techniką drukarską, reprograficzną, zapisu magnetycznego oraz techniką cyfrową, 7. W ramach udzielonej licencji Zamawiający może w szczególności: a. przeglądać, ładować, wyświetlać i wyszukiwać i kopiować zawarte w Bazie akty prawne, dokumenty lub inne rekordy co najmniej w zakresie i w sposób określony w Załączniku nr 1 do niniejszej umowy, b. dokonywać wydruku danych z Bazy dla własnych potrzeb wewnętrznych w zakresie i na zasadach przewidzianych programem komputerowym ją obsługującym, c. dokonywać eksportu danych z Bazy dla własnych potrzeb wewnętrznych w zakresie i na zasadach określonych programem komputerowym ją obsługującym, 2

3 d. tworzyć bazy (opracowania będące pochodną Bazy) i stosować pochodne Bazy na własny użytek. 8. Z zastrzeżeniem przepisów art. 75 ust. 2 i ust. 3 Prawa autorskiego, Zamawiający nie ma w szczególności prawa: a. dekompilować ani dezasemblować całości lub którejkolwiek części Programu, b. dokonywać czynności tłumaczenia, przystosowywania, zmiany układu lub jakichkolwiek innych zmian w Programie, za wyjątkiem dopuszczonych Programem, c. rozpowszechniać, w tym użyczać ani wynajmować Bazy czy jej kopii. 9. Uruchomienie dostępu do Bazy nastąpi w terminie 3 dni od zawarcia umowy i zostanie potwierdzone podpisanym przez Zamawiającego protokołem odbioru. 3. Aktualizacje Bazy 1. Wykonawca zobowiązuje się, że Baza będzie zawsze zawierała treści obowiązujące na dzień dostępu do Bazy. 2. Aktualizacje dla Bazy będą udostępniane w sposób niezauważalny dla użytkownika tj. nie będą powodowały niedostępności Bazy. 4. Wynagrodzenie 1. Za wykonanie przedmiotu umowy Zamawiający zapłaci Wykonawcy wynagrodzenie ryczałtowe stanowiące kwotę.. (słownie ) netto PLN. Powyższa kwota zostanie powiększona o należny podatek VAT w wysokości.. (słownie..), co stanowi kwotę.. (słownie..) brutto PLN. Wynagrodzenie obejmuje opłatę licencyjną oraz wynagrodzenie za świadczenie usług, bez prawa opcji. 2. Za wykonanie przedmiotu umowy w ramach prawa opcji Zamawiający zapłaci Wykonawcy wynagrodzenie ryczałtowe stanowiąca kwotę.. (słownie ) netto PLN miesięcznie za każde dodatkowe konto imienne z dostępem on-line zewnętrznym, powiększoną o należny podatek VAT w wysokości.. (słownie..), co stanowi kwotę.. (słownie..) brutto PLN, lecz nie więcej niż.. (słownie ) netto PLN i.. (słownie ) brutto PLN 1. Wynagrodzenie obejmuje opłatę licencyjną oraz wynagrodzenie za świadczenie usług. 3. Wynagrodzenie za każde dodatkowe konto imienne z dostępem on-line zewnętrznym stanowić będzie iloczyn: a) wynagrodzenia miesięcznego za jedno dodatkowe konto imienne z dostępem on-line zewnętrznym o którym mowa w ust. 2; b) liczby kont objętych danym zamówieniem w ramach prawa opcji; c) liczby miesięcy obejmujących okres od dnia uruchomienia dodatkowego konta imiennego z dostępem on-line zewnętrznym do końca okresu obowiązywania umowy, określonego w 1 ust. 4. W przypadku gdy uruchomienie dodatkowego konta nastąpi w trakcie miesiąca kalendarzowego, wynagrodzenie za ten miesiąc 1 kwota stanowiąca iloczyn wynagrodzenia za 1 dodatkowe konto imienne z dostępem on-line zewnętrznym, max. liczby 10 dodatkowych kont i okresu 12 miesięcy korzystania z dodatkowego konta imiennego. 3

4 zostanie ustalone w wysokość 1/30 miesięcznego wynagrodzenia za każdy dzień korzystania z dostępu do Bazy za pośrednictwem tego konta. 4. Wynagrodzenie określone w ust. 1 płatne będzie w 12 równych miesięcznych ratach, z dołu. Miesiąc liczony jest jako kolejny miesiąc (odpowiednio 28, 29, 30 lub 31 dni) wykonywania umowy, począwszy od dnia jej zawarcia. 5. Wykonawca wystawiać będzie miesięczne faktury VAT zgodnie z obowiązującymi w tym zakresie przepisami prawnymi, w miesiącu następującym po danym miesiącu wykonywania umowy, którego dotyczy płatność. Podstawą wystawienia pierwszej faktury VAT będzie odbiór przez Zamawiającego uruchomienia Systemu online i zakończenie pierwszego miesiąca świadczenia usług. 6. Wynagrodzenie będzie płatne przelewem w terminie 30 (trzydzieści) dni od dnia wystawienia danej faktury VAT pod warunkiem doręczenia faktury w terminie 7 (siedmiu) dni od dnia jej wystawienia. W przypadku doręczenia faktury po terminie 7 (siedmiu) dni od dnia jej wystawienia, termin zapłaty ulega wydłużeniu o ilość dni przekroczenia wskazanego wyżej 7 dniowego terminu. Wynagrodzenie płatne będzie na rachunek bankowy Wykonawcy wskazany na fakturze VAT. 7. Za datę płatności uważa się obciążenie rachunku bankowego Zamawiającego. 5. Usługi dodatkowe 1. W ramach usług dodatkowych, o których mowa w 2 ust. 1 niniejszej umowy, Wykonawca zobowiązuje się zapewnić Zamawiającemu stałą opiekę informatyczną, w tym zobowiązuje się do zapewnienia bieżącego wsparcia technicznego oraz usuwania wad Bazy, zapewniania upgrade i update Bazy, zgodnie z wymaganiami opisanymi w Załączniku nr Wykonawca zapewni Zamawiającemu szkolenia z zakresu obsługi Bazy. Szkolenia będą odbywały się zgodnie z wymaganiami zawartymi w Załączniku nr Wykonawca zapewni Zamawiającemu dostęp do wszelkich aktualizacji Programu i Bazy. 4. Bieżące wsparcie oraz konsultacje techniczne związane z obsługą Bazy będą świadczone w dni robocze w godzinach 8:00-17:00 w formie telefonicznej lub za pośrednictwem poczty Wykonawca dostarczy Zamawiającemu kwartalne raporty czasu wykorzystania Bazy przez użytkowników. 6. W ramach udzielonej Licencji Wykonawca zapewni Zamawiającemu konto administratora, umożliwiające dodawanie, usuwanie i modyfikację uprawnień poszczególnych kont użytkowników. Wykonawca zapewni Zamawiającemu funkcjonalność zmiany hasła i automatycznego wysłania hasła na adres podany dla konta zarejestrowanego użytkownika. 6. Prawo opcji 1. W celu wykonania z prawa opcji, o którym mowa w 2 ust 3, Zamawiający złoży Wykonawcy zamówienie na dodatkowe konta imienne z zewnętrznym dostępem on-line. Zamówienie zawierać będzie: a. Ilość dodatkowych kont, b. Termin uruchomienia dostępu do kont, c. Dane osobowe użytkowników niezbędne do założenia kont, 4

5 2. Zamówienie zostanie złożone w formie pisemnej, pod rygorem nieważności. 3. Zamówienia mogą obejmować jedno lub więcej dostępów do kont, nie więcej jednak niż 10 w całym okresie obowiązywania umowy. 4. Na podstawie złożonego zamówienia Wykonawca uruchomi dostęp do zamówionych kont. Uruchomienie dostępu nastąpi w terminie wskazanym zgodnie z ust. 1 lit. b, a odbiór zostanie dokonany zgodnie z 2 ust W zakresie nieuregulowanym zamówieniem zastosowanie będą miały postanowienia niniejszej Umowy. 6. Zamawiający jest uprawniony, a nie zobligowany do skorzystania z prawa opcji. Wykonawca nie przysługują żadne roszczenia z tytuł niewykonania przez Zamawiającego prawa opcji, ani z tytułu wykonania prawa opcji nie w pełnym zakresie (zamówienie mniej niż 10 dostępów). 7. Zasady odpowiedzialności Wykonawcy. 1. Wykonawca zapewnia, że w okresie trwania umowy udostępniona Baza będzie wolna od wad, w tym w szczególności że będzie ona działała poprawnie, posiadała właściwości uzgodnione przez Strony i spełniała wymagania wskazane w Załączniku nr 1 do niniejszej umowy, a także że nie będzie zawiera błędów tekstowych ani merytorycznych. 2. W przypadku poinformowania Wykonawcy o wykryciu przez Zamawiającego wady Bazy, Wykonawca zobowiązuje się do usunięcia wady Bazy na swój koszt niezwłocznie, nie później niż w terminie 3 dni roboczych od dnia przekazania informacji o wystąpieniu wady. Niezwłocznie po przekazaniu zgłoszenia o wystąpieniu wady Wykonawca zobowiązuje się do dostarczenia obejścia, zapewniającego pełną dostępność Bazy. 3. Wykonawca zapewnia, że Baza jest wolna od wad prawnych, w szczególności że korzystanie przez Zamawiającego z Bazy nie będzie naruszało praw osób trzecich w zakresie praw autorskich, praw własności przemysłowej lub innych praw osób trzecich oraz zobowiązuje się do pokrycia wszelkich odszkodowań i kosztów w związku z dochodzeniem przez osoby trzecie takich roszczeń od Zamawiającego. 4. Zamawiający jest zobowiązany do ścisłego przestrzegania zasad użytkowania oprogramowania określonych w Bazie (zwłaszcza w ramach funkcji Pomoc ) oraz zasad, o których Wykonawca poinformuje go, w odpowiednim czasie, w trakcie realizacji umowy, w szczególności wynikłych ze stałej modernizacji Bazy. 8. Poufność 1. Wykonawca zobowiązuje się przestrzegać postanowień Regulaminu Ochrony Informacji dla wykonawcy Urzędu Miasta Olsztyna, stanowiącego załącznik nr 2 do niniejszej Umowy. 2. Strony zawierają Umowę o zachowaniu poufności informacji. Umowa o zachowaniu poufności informacji stanowi Załącznik nr 3 do niniejszej Umowy. 3. Strony zawrą umowę o powierzeniu przetwarzania danych osobowych. Umowa o powierzeniu przetwarzania danych osobowych stanowi załącznik nr 4 do niniejszej Umowy. 9. Rozwiązanie umowy 5

6 1. Niniejsza umowa może zostać wypowiedziana przez każdą ze stron z ważnych powodów, z zachowaniem 30 dniowego okresu wypowiedzenia ze skutkiem na koniec miesiąca kalendarzowego. 2. Wykonawca może wypowiedzieć z powodów, o których mowa w ust. 1 i z zachowaniem wskazanego tam terminu w szczególności jeżeli Zamawiający: a. naruszył prawa autorskie Wykonawcy lub twórcy(ów) Bazy lub Programu, b. udostępnił Bazę nieuprawnionej osobie trzeciej, c. opóźnia się z zapłatą wynagrodzenia Wykonawcy określonego niniejszą umową (jego części), a okres opóźnienia przekracza 30 dni. 10. Postanowienia końcowe 1. Wszelkie zmiany niniejszej umowy wymagają formy pisemnej pod rygorem nieważności, z tym zastrzeżeniem, że każda ze Stron może jednostronnie dokonać zmiany w zakresie numerów telefonów, adresów, numerów rachunków bankowych, wskazanych w niniejszej umowie, zawiadamiając o tym pisemnie, we właściwym terminie, drugą Stronę. 2. Umowa niniejsza podlega prawu polskiemu. Spory wynikłe na tle jej realizacji podlegają jurysdykcji sądów polskich. 3. Umowę sporządzono w dwóch jednobrzmiących egzemplarzach jeden dla Zamawiającego i jeden dla Wykonawcy. 4. Wszystkie załączniki do niniejszej umowy stanowią jej integralną część Zamawiający Wykonawca Załączniki: 1. Załącznik nr 1 Opis przedmiotu zamówienia 2. Załącznik nr 2 - Regulamin Ochrony Informacji dla Wykonawcy Urzędu Miasta Olsztyna 3. Załącznik nr 3 - Umowa o Zachowaniu poufności 4. Załącznik nr 4 - Umowa o Powierzeniu przetwarzania Danych Osobowych 6

7 Załącznik nr 1 do umowy nr z dn.. r. Szczegółowy opis przedmiotu zamówienia Przedmiotem zamówienia jest usługa dostępu do Bazy aktów prawnych, porad, komentarzy, przepisów, orzecznictwa i innych informacji prawnych, udzielenia licencji na korzystanie z Bazy oraz świadczenie usług dodatkowych do elektronicznego systemu informacji prawnej na potrzeby Urzędu Miasta Olsztyna przez okres 12 miesięcy od daty podpisania umowy. I. WYMAGANIA FORMALNE I TECHNICZNE SYSTEMU: 1. Wykonawca będzie świadczył usługi dostępu do elektronicznego systemu informacji prawnej (zwany dalej System), przez okres 12 miesięcy od podpisania umowy. 2. Wykonawca jest zobowiązany do usuwania zgłaszanych wad/błędów w funkcjonowaniu Systemu w terminie 3 dni roboczych. 3. Wykonawca zapewni pomoc techniczną przy obsłudze Systemu dotyczącą administracji, świadczoną telefonicznie lub em. 4. Wykonawca, w ramach wynagrodzenia określonego w umowie udostępni Zamawiającemu w okresie trwania umowy dostęp online do Systemu. 5. Wykonawca zapewni szkolenie w siedzibie Zamawiającego, zakresem pokrywające praktyczne użytkowanie systemu. Szkolenia powinny zostać przeprowadzone zgodnie z następującymi wymaganiami: a) dla 600 użytkowników w grupach nie mniej niż po 50 osób; b) czas trwania szkolenia: minimum 1 godzina zegarowa; c) szkolenia winny zostać zakończone w ciągu trzech miesięcy od dnia zawarcia umowy; d) szczegółowy harmonogram szkoleń zostanie ustalony po zawarciu umowy. 6. Wykonawca zapewni usługę w języku polskim, świadczoną drogą elektroniczną poprzez sieć Internet z użyciem przeglądarki internetowej w wersji najnowszej lub jednej z czterech wersji poprzedzających wersję najnowszą na dzień dostępu do Systemu bez konieczności instalacji dodatkowych narzędzi. 7. Usługa w ramach określonego zakresu adresów IP sieci wewnętrznej Urzędu Miasta Olsztyna dostępna będzie bez ograniczeń co do ilości użytkowników. Dodatkowo dla 10 kont imiennych (z możliwością domówienia, w ramach prawa opcji, kolejnych, łącznie maksymalnie 10 dodatkowych kont imiennych) zostanie zapewniony dostęp online zewnętrzny (spoza sieci wewnętrznej Urzędu Miasta Olsztyna). 8. Usługa obejmie aktualizację zawartości merytorycznej. 9. Zarządzanie zarejestrowanymi użytkownikami leży po stronie Zamawiającego. 10. Wykonawca zapewni narzędzia informatyczne do zarządzania użytkownikami. 11. Moduł zarządzania użytkownikami zapewnić musi dostęp z prawami administratora. Rola administrator umożliwi dodawanie, aktywowanie, dezaktywowanie oraz modyfikację kont użytkowników. 12. System musi zawierać funkcjonalność zmiany hasła. 13. Wykonawca zapewni dostęp do informacji służących analizie czasu wykorzystania usługi i licencji dostępu do Bazy. II. FUNKCJE ELEKTRONICZNEGO SYSTEMU INFORMACJI PRAWNEJ: 1. Baza musi być kompleksowym, aktualizowanym zbiorem porad, komentarzy, przepisów, orzecznictwa i innych informacji prawnych. 7

8 2. Usługa dostępu do Systemu powinna być świadczona przez Wykonawcę z uwzględnieniem następujących wymagań: a) System musi umożliwiać przeglądanie kolejnych wersji historycznych obowiązujących aktów prawnych i uchylonych aktów prawnych; b) System musi umożliwiać porównanie bieżącej treści całego aktu prawnego z wersją poprzednio obowiązującą z dokładnością do znaku interpunkcyjnego; c) System musi umożliwiać wykorzystywanie funkcjonalność w postaci wzajemnych powiązań formalnych między aktami (co najmniej relacje typu: zmienia - zmieniony przez, uchyla uchylony przez, wykonuje wykonywany przez); d) System musi zapewniać funkcjonalność, która pozwoli na odwołania do przywołanych w aktach przepisów innych aktów prawnych, aktów wykonawczych; e) System musi zapewniać funkcjonalność polegającą na wyszukiwaniu dokumentów zawartych w systemie informacji prawnej według identyfikatora/sygnatury, według rocznika, według daty wydania/opublikowania oraz początku obowiązywania (daty wejścia w życie), według indeksu przedmiotowego, według słów zawartych w danym dokumencie; f) System musi przewidywać funkcjonalność umożliwiającą odsyłanie do orzeczeń sądów, orzeczeń administracyjnych, pism urzędowych wzorów pism z poziomu tekstu aktu prawnego lub z poziomu metryki aktu prawnego; g) System musi umożliwiać identyfikację aktów prawnych obowiązujących, nieobowiązujących i oczekujących; h) System musi umożliwiać kopiowanie całości lub części dokumentów bezpośrednio z Systemu do edytorów tekstu; i) System musi umożliwiać wydruk całego aktu, poszczególnych jednostek redakcyjnych lub zaznaczonego fragmentu; 3. Sposoby wyszukiwania w Systemie informacji prawnej: a) System musi umożliwiać wyszukanie zawartych w systemie aktów/dokumentów według: I. identyfikatora/sygnatury; II. rocznika; III. daty wydania/opublikowania/początku lub końca obowiązywania; IV. indeksu przedmiotowego; V. słów zawartych w treści tych dokumentów; VI. w odniesieniu do dokumentów zawartych w Monitorze Sądowym i Gospodarczym - według numeru KRS; VII. w odniesieniu do dokumentów zawartych w Monitorze Polskim B - według numeru PKD/ EKD; VIII. w odniesieniu do dokumentów zawartych w Monitorze Sądowym i Gospodarczym, Monitorze Polskim B, Monitorze Spółdzielczym B - według nazwy podmiotu, którego te dokumenty dotyczą; IX. w odniesieniu do dokumentów zawartych w Monitorze Sądowym i Gospodarczym - według siedziby podmiotu, którego te dokumenty dotyczą. b) System musi gwarantować wyszukiwanie zawartych w nim projektów ustaw po numerze druku, tytule oraz słowach kluczowych; c) System musi gwarantować wyszukiwanie dokumentów zawartych w Dziennikach resortowych; d) System musi gwarantować wyszukiwanie dokumentów zawartych w Dziennikach wojewódzkich ; e) w odniesieniu do bazy informacji gospodarczej System musi gwarantować możliwość wyszukiwania podmiotów poprzez nr KRS, REGON, NIP, dane osobowe, dane adresowe, nazwę lub część nazwy; f) W odniesieniu do bazy informacji gospodarczej system musi gwarantować możliwość wyszukiwania powiązanych ze sobą w określonym czasie podmiotów/osób. 4. System zawiera: a) kolejne wersje historycznych aktów obowiązujących i uchylonych dla Dz. U. i M. P.; 8

9 b) wzajemne powiązania formalne między aktami (w tym aktami prawa polskiego i europejskiego); c) odwołania do innych aktów prawnych z poziomu tekstu aktu prawnego, w tym aktów wykonawczych; d) zaprezentowane odesłania do orzeczeń z poziomu tekstu aktu prawnego; e) zaprezentowane odesłania do cytatów/tez/pism z piśmiennictwa prawniczego z poziomu tekstu aktu prawnego; f) zaprezentowane odesłania do komentarzy z poziomu tekstu aktu prawnego; g) zaprezentowane odesłania do pism urzędowych z poziomu tekstu aktu prawnego; h) możliwość przeglądania tekstów projektów mogących zmienić akt obowiązujący; i) możliwość wyodrębnienia w poszczególnych kategoriach aktów prawnych osobnych baz z aktami: obowiązującymi, nieobowiązującymi i oczekującymi, (np. Dz.U, M.P. dzienniki resortowe); III. MINIMALNE WYMAGANIA ZAMAWIAJĄCEGO ODNOŚNIE ZAWARTOŚCI BAZY DANYCH SYSTEMU INFORMACJI PRAWNEJ Z ZAKRESU PEŁNEJ BAZY DANYCH I AKTÓW PRAWNYCH: 1. System informacji prawnej jest zbiorem porad, komentarzy, przepisów, orzecznictwa monografii, wzorów pism i innych informacji prawnych, które będą mogły być wykorzystywane przez Zamawiającego. 2. System ma zapewnić w szczególności: a) dostęp do aktów prawnych ze wszystkich dzienników urzędowych wymienionych w art. 8 ustawy z dnia 20 lipca 2000 r. o ogłaszaniu aktów normatywnych i niektórych innych aktów prawnych (Dz.U. z 2016 r. poz. 296 j.t.) oraz aktów prawa powszechnie obowiązującego w Polsce, zgodnie z art. 87 Konstytucji RP; b) dostęp do kompletu informacji formalnych o aktach opublikowanych w Dz. U. od 1918 r. (co najmniej: identyfikator, tytuł, organ wydający, data uchwalenia lub wydania aktu, data ogłoszenia, data wejścia w życie, data wprowadzenia zmian, data utraty mocy obowiązującej); c) dostęp do wszystkich aktów z Dz. U. i M. P., obowiązujących i oczekujących; d) komplet tekstów aktów ujednoliconych i ocenionych, co do obowiązywania, opublikowanych w Dz. U. i M.P od 1980 roku; e) kompletną bazę ujednoliconych aktów opublikowanych w Dziennikach Urzędowych Unii Europejskiej seria L wydanie polskie, Dziennikach Urzędowych Unii Europejskiej seria C wydanie polskie, Dziennikach Urzędowych Unii Europejskiej polskie wydanie specjalne; f) dostęp do wzorów pism i umów, w tym zbiór obowiązujących formularzy urzędowych opublikowanych w Dziennikach Ustaw i Monitorach Polskich; g) dostęp do orzeczeń Trybunału Konstytucyjnego, Sądu Najwyższego, Naczelnego Sądu Administracyjnego i wojewódzkich sądów administracyjnych oraz sądów apelacyjnych, opublikowaną w oficjalnych zbiorach urzędowych; h) dostęp do niepublikowanych orzeczeń Sądu Najwyższego, orzeczeń Trybunału Konstytucyjnego, Naczelnego Sądu Administracyjnego i wojewódzkich sądów administracyjnych oraz dostępnego orzecznictwa sądów apelacyjnych; i) dostęp do orzecznictwa administracyjnego w tym m.in. Głównej Komisji Orzekającej w Sprawach o Naruszenie Dyscypliny Finansów Publicznych przy Ministerstwie Finansów, orzecznictwa Zespołu Arbitrów/Krajowej Izby Odwoławczej przy Prezesie Urzędu Zamówień Publicznych; j) dostęp do orzecznictwa Europejskiego Trybunału Sprawiedliwości i Sądu Pierwszej Instancji; k) dostęp do orzecznictwa Europejskiego Trybunału Praw Człowieka i Europejskiej Komisji Praw Człowieka; l) dostęp do komentarzy a wszystkich dziedzin prawa (w tym komentarzy do zmian w przepisach), w szczególności: Kodeks Pracy, Kodeks Postępowania Administracyjnego, Kodeks Rodzinny i Opiekuńczy, Kodeks Cywilny, Kodeks Postępowania Cywilnego, Kodeks Karny, Kodeks Postępowania Karnego, Kodeks Karny Skarbowy, Kodeks Spółek Handlowych, Kodeks Karny Wykonawczy, Kodeks Postępowania w Sprawach o Wykroczenia, Kodeks Wykroczeń; 9

10 m) monografie, glosy do orzeczeń, tezy z piśmiennictwa i inne opracowania dotyczące prawa polskiego oraz europejskiego, (nie mniej niż 1000 egz.); n) bazę teleadresową sądów; o) bazę informacji prawno-gospodarczej zawierającą dane podmiotów gospodarczych; p) komplet ogłoszeń opublikowanych w Monitorze Polskim B od początku 2001 r.; q) komplet ogłoszeń opublikowanych w Monitorze Spółdzielczym B od początku 2001 r.; r) komplet ogłoszeń opublikowanych w Monitorze Sądowym i Gospodarczym od wejścia w życie ustawy z dnia 30 sierpnia 1997 r. o Krajowym Rejestrze Sądowym; s) dostęp do bazy artykułów z czasopism prawniczych (nie mniej niż 15 periodyków). 3. System ma zapewnić dostęp do kompletu piśmiennictwa i modułów komentarzowych z dziedzin: a) Samorząd terytorialny; b) Zamówienia publiczne; c) Prawo europejskie; d) Prawo ochrony środowiska; e) Prawo pracy; f) Prawo administracyjne; g) Prawo podatkowe; 10

11 Załącznik nr 2 do umowy nr z dn.. r. Regulamin Ochrony Informacji dla wykonawcy Urzędu Miasta Olsztyna Dokument wydrukowany i niepodpisany jest dokumentem nienadzorowanym. Opracowali: Sprawdzili: Zatwierdzili: Mariola Iciak Rafał Ruchlewicz Piotr Grzymowicz przy współpracy firmy ARTSYSTEMS Artur Cieślik Data: Data: Data: Pełny zakres dostępu do dokumentu odczyt, modyfikacja, usuwanie, dodawanie: 1. Administrator Bezpieczeństwa Informacji. Zakres dostępu do dokumentu odczyt: 2. Podmioty i instytucje upoważnione na podstawie przepisów prawa. 11

12 KARTA ZMIAN: Nr Opis dokonanej zmiany w treści dokumentu Data zmiany Podpis uprawnionego pracownika W nagłówku załącznika nr 13 dodaje się konieczność uzupełnienia przez osobę podpisującą danych: imię i nazwisko oraz umowy/zakresu, którego oświadczenie Dodaje się p-t 17 w ust 8. o treści: 17. Dostęp zdalny jest przez Zamawiającego monitorowany. Monitorowanie odbywa się poprzez: a. Właściwą konfigurację UTM w zakresie wszystkich sesji połączeń z siecią Internet. b. Nadzór nad wykonawcami za pomocą systemu monitorowania zdalnych sesji w zakresie prac wykonywanych zdalnie w sieci Urzędu. Aktualizacja zał.13.2 (wzór umowy powierzenia) w związku z aktualizacją zał.12 PBDO MARIOLA ICIAK ANDRZEJ DZIEWIT ANITA CZERWIŃSKA

13 Spis treści Spis treści Cel Zakres Terminologia Postanowienia ogólne Nadawanie, zmiana bądź odebranie uprawnień Metody i środki uwierzytelniania Dostęp zdalny Wymagania zabezpieczeń Reagowanie na incydenty Postanowienia końcowe Lista dokumentów związanych Załączniki

14 2 Cel Celem dokumentu w Urzędzie Miasta Olsztyna jest: 1. Określenie minimalnych wymagań w zakresie bezpieczeństwa informacji dla podmiotów zewnętrznych. 2. Określenie minimalnych wymagań w zakresie zabezpieczeń systemów teleinformatycznych. 3 Zakres 1. Niniejszy dokument stosują wszystkie podmioty zewnętrzne wykonujące prace na rzecz Urzędu Miasta, związane z przetwarzaniem aktywów informacyjnych Urzędu. 2. Niniejszy dokument należy stosować we wszystkich umowach z podmiotami zewnętrznymi, których przedmiot jest związany z ochroną informacji. 4 Terminologia Pojęcia używane w Polityce Bezpieczeństwa Informacji Urzędu Miasta Olsztyna oraz innych dokumentach Systemu Zarządzania Bezpieczeństwem Informacji są zdefiniowane w dokumencie Słownik pojęć używanych w dokumentach Systemu Zarządzania Bezpieczeństwem Informacji Urzędu Miasta Olsztyna. 14

15 5 Postanowienia ogólne 1. Regulamin Ochrony Informacji dla Wykonawcy Urzędu Miasta Olsztyna, zwany dalej Regulaminem, określa zakres obowiązków i odpowiedzialności podmiotów zewnętrznych w zakresie bezpieczeństwa informacji. Regulamin obejmuje swym zakresem wszystkich użytkowników podmiotów zewnętrznych, mających dostęp do systemów teleinformatycznych Urzędu Miasta Olsztyna (zwanego dalej Urzędem). Regulamin jest syntezą informacji zawartych w Polityce Bezpieczeństwa Informacji Urzędu Miasta Olsztyna, Polityce Bezpieczeństwa Systemów Teleinformatycznych Urzędu Miasta Olsztyna. 2. Podmiot zewnętrzny spełnia wymagania niniejszego Regulaminu przed uzyskaniem dostępu do Systemu Teleinformatycznego Urzędu Miasta Olsztyna. 3. Przed rozpoczęciem przetwarzania informacji chronionych, w szczególności danych osobowych, których administratorem jest Prezydent Miasta Olsztyna, podmiot zewnętrzny powinien spełnić warunki: a. Podpisać zobowiązanie do zachowania poufności przetwarzanych danych na wzorze obowiązującym w Urzędzie, będącym załącznikiem nr 1 do Regulaminu. b. Podpisać umowę powierzenia przetwarzania danych osobowych na wzorze obowiązującym w Urzędzie, będącym załącznikiem nr 2 do Regulaminu. 6 Nadawanie, zmiana bądź odebranie uprawnień 1. W przypadku podmiotów zewnętrznych zakres uprawnień w poszczególnych systemach i aplikacjach ustawia się adekwatnie do przedmiotu umowy i zakresu powierzonych danych osobowych. 2. Lista użytkowników podmiotu zewnętrznego powinna być dostarczona przez osoby ze strony podmiotu zewnętrznego wskazane w umowie jako odpowiedzialne za jej realizację. 3. Po każdej zmianie użytkowników ze strony podmiotu zewnętrznego, jest on zobowiązany do przekazania listy użytkowników ze wskazaniem zmian w ich zakresie uprawnień. 4. Rejestrowanie/wyrejestrowanie użytkowników zewnętrznych Systemu Teleinformatycznego Urzędu Miasta Olsztyna oraz nadawanie/zmiana/odebranie uprawnień jest realizowane przez pracowników Wydziału Informatyki zgodnie ze schematem postępowania: a. Podczas rejestracji użytkownika zewnętrznego nadawany jest unikalny identyfikator użytkownika oraz ustawiane jest hasło tymczasowe niezbędne do logowania po raz pierwszy Systemu (zgodne z zasadami opisanymi w niniejszej procedurze) dla użytkownika zewnętrznego Systemu Teleinformatycznego. b. Na podstawie informacji przekazanych przez GABS nadawane lub modyfikowane są uprawnienia użytkownika. c. O nadaniu/zmianie/odebraniu uprawnień właściwych identyfikatorów w odpowiednich systemach i aplikacjach i nadaniu właściwych uprawnień jest informowany GABS oraz przedstawiciel podmiotu zewnętrznego. 7 Metody i środki uwierzytelniania 15

16 Dostęp do poszczególnych części systemu informatycznego jest możliwy wyłącznie poprzez podanie prawidłowego identyfikatora i hasła przyznanych użytkownikowi podczas procesu nadawania uprawnień do Systemu Teleinformatycznego. 7.1 Hasła użytkowników 1. Hasła użytkowników do systemów powinny podlegać następującym zasadom: a. hasło składa się z minimum 8 znaków, b. hasło musi spełniać warunek złożoności polegający na występowaniu w nim: wielkiej i małej litery, oraz cyfry lub znaku specjalnego (np.!@#), c. hasło musi być zmieniane minimum co 30 dni, d. kolejne hasła muszą być różne, e. hasła należy przechowywać w sposób gwarantujący ich poufność, 2. Zabrania się udostępniania haseł innym osobom. 3. Zabrania się tworzenia haseł na podstawie: a. cech i numerów osobistych (np. dat urodzenia, imion itp.), b. sekwencji klawiszy klawiatury (np. qwerty, 12qwaszx), c. identyfikatora użytkownika 4. Zabrania się tworzenia haseł łatwych do odgadnięcia. 5. Logowanie anonimowe do systemu informatycznego jest zabronione dla użytkowników. 6. Uwierzytelnienie następuje wyłącznie po podaniu zgodnego hasła i powiązanego z nim identyfikatora. 7. W przypadku logowania do systemu informatycznego odbywającego się po raz pierwszy, użytkownik ma obowiązek zmiany hasła tymczasowego na właściwe, na znane tylko użytkownikowi. 8. W przypadku systemów, które nie wymuszają automatycznie cyklicznej zmiany hasła oraz nie kontrolują jego znaków obowiązkiem użytkownika jest zmiana hasła zgodnie z zasadami określonymi w ust. poprzednich. 9. Użytkownik ponosi pełną odpowiedzialność za utworzenie hasła i jego bezpieczne przechowywanie. 10. Hasła nie mogą być ujawniane w sposób celowy lub przypadkowy i powinny być znane wyłącznie użytkownikowi. 11. Hasła nie powinny być przechowywane w formie dostępnej dla osób nieupoważnionych: a. w plikach, b. na kartkach papieru w miejscach dostępnych dla osób trzecich, c. w skryptach, d. w innych zapisach elektronicznych i papierowych, które byłyby dostępne dla osób trzecich. 12. W przypadku podejrzenia ujawnienia haseł osobie nieupoważnionej, hasła muszą być natychmiast zmienione przez użytkownika lub Administratora Systemu. 16

17 13. Hasło użytkownika sytemu, umożliwiające dostęp do Systemu Teleinformatycznego, utrzymuje się w tajemnicy również po upływie jego ważności. 14. Zmiany hasła dokonuje użytkownik. W przypadku, gdy użytkownik zapomniał hasła, właściwy Administrator Systemu ustawia hasło tymczasowe użytkownikowi z wymuszeniem jego zmiany podczas pierwszego logowania. 15. Hasła przez użytkowników nie powinny być przekazywane ani przesyłane za pomocą telefonu, faksu ani poczty e- mail w formie jawnej. 8 Dostęp zdalny 1. Wydział Informatyki prowadzi pisemny wykaz osób i podmiotów zewnętrznych posiadających dostęp zdalny do zasobów Systemu Teleinformatycznego Urzędu Miasta Olsztyna. 2. Dostęp zdalny podmiotów zewnętrznych, możliwy jest tylko po spełnieniu warunków wymienionych w niniejszym Regulaminie. 3. Dla każdej umowy z podmiotem zewnętrznym Dyrektor Wydziału Informatyki wyznacza Koordynatora Prac Zdalnych Wydziału Informatyki Urzędu Miasta Olsztyna (dalej zwany KPZ) 4. Podmiot zewnętrzny powierzając prace swoim pracownikom we własnym zakresie udziela im niezbędnych pełnomocnictw. 5. Dostępu udziela się na czas obowiązywania umowy na podstawie pisemnego wniosku przekazanego przez podmiot zewnętrzny do KPZ o podanie potrzebnych identyfikatorów i haseł dostępu. 6. W ramach dostępu zabrania się podmiotowi zewnętrznemu trwale usuwać dane, przeprowadzać jakiekolwiek operacje na dyskach mogące prowadzić do ich uszkodzenia lub utraty danych, w szczególności ich formatowania. Przedstawiciel podmiotu zewnętrznego wykonujący prace, przystępując do czynności, o których wie, że w konsekwencji doprowadzić one mogą do zniszczenia danych, musi poinformować przedstawiciela Zamawiającego i dopiero po jego akceptacji podjąć może te czynności. 7. Podmiot zewnętrzny, przed przystąpieniem do prac, przedstawia scenariusz planowanych prac wraz z oceną ryzyka podejmowanych czynności. Podmiot zewnętrzny odpowiada za odstępstwa od przedstawionego scenariusza. Scenariusz powinien obejmować: a. Kto będzie prowadził prace. b. Kiedy, przewidywany czas trwania. c. Zakres wykonywanych prac. d. Informację czy wymagana jest przerwa w pracy użytkowników. e. Potencjalne ryzyka podejmowanych czynności. 8. Pracownik lub przedstawiciel podmiotu zewnętrznego wykonujący prace, przystępując do czynności, co do których istnieje wysokie ryzyko utraty danych, informuje o ryzyku KPZ. 9. Po formalnej, pisemnej akceptacji ryzyka przez KPZ, pracownik podmiotu zewnętrznego może rozpocząć realizację czynności objętej wskazanym ryzykiem. 10. Wykonywanie prac polegających na standardowej obsłudze serwisowej, prac nad rozwojem programu będącego w fazie wdrażania nie wymaga każdorazowego ustalenia warunków realizacji czynności, będącej ich częścią. W ramach wykonywania tych czynności obowiązują warunki uzgodnione wcześniej. W szczególności nie wymagają 17

18 każdorazowego ustalenia warunków realizacji te czynności, które wynikają z przedmiotu umowy i nie są objęte ryzykami opisanymi w pkt Wykonywanie czynności niestandardowych wymaga każdorazowo określenia warunków. 11. Zabrania się podejmowania czynności zmierzających do penetrowania zasobów sieci Urzędu Miasta Olsztyna. 12. KPZ w porozumieniu z właściwymi administratorami ogranicza zasoby dostępne dla sesji zdalnej, do niezbędnego minimum, chyba, że wymagałoby rozległej ingerencji w konfigurację urządzeń dostępowych. 13. KPZ wraz z właściwymi administratorami ustalają wymagane zasoby. Podmiot zewnętrzny zobowiązuje się do wykorzystywania tylko i wyłącznie ustalonych zasobów, nawet, jeśli dostępne są inne niż tylko wymagane. Zobowiązanie powinno przyjmować formę pisemną i być podpisane przez uprawnionego przedstawiciela podmiotu zewnętrznego. 14. Tworzona jest lista zasobów dostępnych dla sesji zdalnej, ze szczególnym uwzględnieniem zasobów innych niż wymagane. Za prowadzenie tej listy odpowiedzialny jest KPZ. 15. Na potrzeby realizacji umowy KPZ może udzielić dostępu zdalnego do następujących środowisk: a. Testowych. b. Produkcyjnego. 16. Zabrania się dostępu zdalnego z komputerów dostępnych publicznie np. kafejki internetowe, dworce PKP, restauracje, bezprzewodowe sieci miejskie. 17. Dostęp zdalny jest przez Zamawiającego monitorowany. Monitorowanie odbywa się poprzez: a. Właściwą konfigurację UTM w zakresie wszystkich sesji połączeń z siecią Internet. b. Nadzór nad wykonawcami za pomocą systemu monitorowania zdalnych sesji w zakresie prac wykonywanych zdalnie w sieci Urzędu. 9 Wymagania zabezpieczeń 9.1 Zasady zabezpieczeń stacji roboczych 1. Do systemu informatycznego mogą być podłączane wyłącznie komputery i urządzenia zgodne z minimalnymi wymaganiami bezpieczeństwa, w szczególności: a. System antywirusowy jest zainstalowany w systemie operacyjnym i jego sygnatury są aktualne. b. System operacyjny posiada zainstalowane wszystkie dostępne aktualizacje zabezpieczeń. c. Firewall jest uruchomiony w systemie operacyjnym i posiada właściwą konfigurację, odpowiadającą wykonywanym obowiązkom pracowniczym przez użytkowników komputera. d. Zainstalowane na komputerze oprogramowanie pochodzi z godnych zaufania źródeł. e. Oprogramowanie jest zainstalowane zgodnie z postanowieniami licencji producenta oprogramowania. f. Oprogramowanie nie łamie Ustawy o prawie autorskim i prawach pokrewnych z dnia 4 lutego 1994 r. z późniejszymi zmianami. 18

19 9.2 Stosowanie zabezpieczeń kryptograficznych W celu ochrony poufności przesyłanych oraz przechowywanych danych stosuje się zabezpieczenia kryptograficzne. Miejsca stosowania kryptografii powinny być zgodne z wymaganiami prawnymi oraz regulacjami wewnętrznymi, w szczególności należy stosować zabezpieczenia kryptograficzne: 1. Na dyskach twardych komputerów przenośnych. 2. Na pendrive ach. 3. Na nośnikach kopii zapasowych przechowywanych poza Systemem Teleinformatycznym Urzędu. 4. Na urządzeniach typu smartfon oraz tablet w aplikacjach, które przechowują dane objęte ochroną np. dane osobowe. 5. Tunelach VPN. 6. Wiadomościach poczty elektronicznej, w których przesyłane są dane objęte ochroną, w szczególności dane osobowe. 7. Zakres stosowanych rozwiązań kryptograficznych powinien obejmować minimum dane znajdujące się na nośnikach, które objęte są ochroną ze względu na wymagania utrzymania odpowiedniego poziomu poufności. 8. Rozwiązania kryptograficzne powinny wykorzystywać algorytm AES o długości klucza min. 128 bit. 10 Reagowanie na incydenty 1. Każde naruszenie bezpieczeństwa informacji należy zgłaszać Głównemu Administratorowi Bezpieczeństwa Systemów lub Koordynatorowi Dostępu Zdalnego lub w formie za potwierdzeniem odbioru na adres informatycy@olsztyn.eu z tematem wiadomości Naruszenie bezpieczeństwa informacji 2. Jeśli zdarzenie jest ewidentnym naruszeniem bezpieczeństwa, osoby wskazane w punkcie powyżej mogą zdecydować o natychmiastowym odebraniu uprawnień w systemach użytkownikom podmiotu zewnętrznego i bez zbędnej zwłoki przekazują informację o blokadzie dostępu osobie upoważnionej ze strony podmiotu zewnętrznego. 3. Upoważnione osoby z podmiotu zewnętrznego zabezpieczają ślady (np. logi systemowe) naruszenia bezpieczeństwa. 4. W szczególnych przypadkach Główny Administrator Bezpieczeństwa Systemu informuje organy ścigania o zaistniałej sytuacji. 5. Główny Administrator Bezpieczeństwa Systemu w Wydziale Informatyki Urzędu Miasta Olsztyna sporządza notatkę dotyczącą naruszenia bezpieczeństwa i kieruje ją do Głównego Administratora Bezpieczeństwa Informacji Urzędu Miasta Olsztyna. 6. Ostatnim etapem zamykania naruszenia bezpieczeństwa jest usunięcie skutków naruszenia bezpieczeństwa oraz wprowadzenie dodatkowych zabezpieczeń (np. zmieniając konfigurację) w porozumieniu z uprawnionym przedstawicielem podmiotu zewnętrznego. 7. Każdy incydent związany z naruszeniem bezpieczeństwa informacji musi być zarejestrowany w rejestrze incydentów prowadzonym przez Głównego Administratora Bezpieczeństwa Systemu. 19

20 11 Postanowienia końcowe 1. Za nadzór nad przestrzeganiem postanowień Regulaminu odpowiada: a. Ze strony podmiotu zewnętrznego uprawniony przedstawiciel tego podmiotu. b. Ze strony Urzędu Miasta Olsztyna Główny Administrator Bezpieczeństwa Systemów i Administrator Bezpieczeństwa Informacji. 2. Naruszając Regulamin podmiot zewnętrzny może podlegać sankcjom karnym, cywilnym oraz wynikającym z przepisów art ustawy z dnia 29 sierpnia 1997 o ochronie danych osobowych wraz z późniejszymi zmianami. 12 Lista dokumentów związanych 1. Polityka Bezpieczeństwa Informacji Urzędu Miasta Olsztyna. 2. Polityka Bezpieczeństwa Danych Osobowych Urzędu Miasta Olsztyna. 3. Polityka Bezpieczeństwa Systemów Teleinformatycznych Urzędu Miasta Olsztyna. 4. Procedura reagowania na incydenty Urzędu Miasta Olsztyna. 13 Załączniki 20

21 13.1 Załącznik nr 1 do Regulaminu ochrony informacji dla wykonawcy Urzędu Miasta Olsztyna - wzór zobowiązania do zachowania poufności przetwarzanych danych UMOWA O ZACHOWANIU POUFNOŚCI INFORMACJI (zwana dalej Umową ) zawarta w [ ] pomiędzy: [ ] zwaną dalej Stroną Ujawniającą, reprezentowaną przez: [ ] a [ ] reprezentowaną przez: [ ] zwaną dalej Odbiorcą Informacji Poufnych lub Odbiorcą, zwane dalej łącznie Stronami. 1. Dla celów Umowy: Informacje Poufne oznaczają wszelkie materiały i/lub informacje Strony Ujawniającej, zarówno handlowe, finansowe, techniczne, technologiczne i inne, ujawnione Odbiorcy, w związku z realizacją usług świadczonych przez Odbiorcę dla Strony Ujawniającej w związku z umową [ ], dotyczących [ ] (dalej Usługa ), w formie ustnej, pisemnej lub w jakikolwiek inny sposób, zapisane w jakiejkolwiek formie (w tym między innymi w formie prezentacji, rysunków, filmów, dokumentów, w formie elektronicznej). Jeżeli, w związku z Usługą, którakolwiek ze Stron posiada dostęp do bazy danych osobowych (w rozumieniu obowiązującej Ustawy o ochronie danych osobowych) drugiej Strony, to informacje z takiej bazy danych będą traktowane jako Informacje Poufne; Postanowienia Umowy będą miały zastosowanie w przypadku, gdy w związku z Usługą, Strona Ujawniająca ujawni Odbiorcy Informacje Poufne. 1. Odbiorca Informacji Poufnych zobowiązuje się: (a) zachować w tajemnicy uzyskane Informacje Poufne; (b) nie przekazywać ani nie ujawniać bez każdorazowej uprzedniej pisemnej zgody Strony Ujawniającej, jakichkolwiek Informacji Poufnych żadnej osobie, z wyjątkiem: (i) pracowników Odbiorcy wyznaczonych do realizacji Usługi, którzy potrzebują takich informacji w związku z realizacją Usługi, pod warunkiem podpisania przez nich Oświadczenia stanowiącego Załącznik do niniejszej Umowy, zawierającego zobowiązanie do zachowania w poufności; (ii) przypadków, w których Odbiorca jest zobowiązany do takiego ujawnienia przez sąd lub w przypadku ustawowego obowiązku takiego ujawnienia, z zastrzeżeniem, że Odbiorca dołoży właściwych starań 21

22 (c) (d) (e) (f) w celu uprzedniego pisemnego poinformowania Strony Ujawniającej przed dokonaniem takiego ujawnienia; (iii) osób trzecich zaangażowanych przez Odbiorcę do realizacji Usługi pod warunkiem podpisania przez nich Oświadczenia stanowiącego Załącznik do niniejszej Umowy, zawierającego zobowiązanie do zachowania w poufności; ponieść wobec Strony Ujawniającej odpowiedzialność za naruszenie obowiązków w zakresie zachowania w tajemnicy Informacji Poufnych, również w przypadku, gdy naruszenie jest dokonane przez osobę trzecią, o której mowa w pkt (b) iii, za której działania Odbiorca odpowiada jak za działania własne; nie wykorzystywać i nie rozpowszechniać Informacji Poufnych w ramach swojej działalności, z wyjątkiem wykorzystywania lub rozpowszechniania wyłącznie w zakresie koniecznym dla celów Usługi; dołożyć odpowiednich starań w celu zapewnienia i utrzymania odpowiednich środków zabezpieczających ochronę Informacji Poufnych przed dostępem i bezprawnym wykorzystaniem przez osoby nieuprawnione; spowodować, na żądanie Strony Ujawniającej, aby którekolwiek z osób i organów, o których mowa w pkt. (b) - (ii), podpisały przed udostępnieniem Informacji Poufnych odrębne zobowiązanie do zachowania poufności, z tym, że obowiązek określony powyżej ma zastosowanie w sytuacjach, gdy jest to prawnie dopuszczalne. 2. Obowiązku zachowania poufności, o którym mowa w ust. 2 powyżej, nie stosuje się: do jakiejkolwiek części Informacji Poufnych, w stosunku, do których Odbiorca może wykazać, że informacje takie: są lub stały się publicznie znane z przyczyn, za które pozostają poza kontrolą Odbiorcy; lub zostały zgodnie z prawem otrzymane od niezależnej osoby trzeciej bez naruszenia obowiązku zachowania poufności; lub w dacie ich ujawnienia przez Stronę Ujawniającą lub otrzymania od Strony Ujawniającej były już znane Odbiorcy bez obowiązku zachowania poufności; 3. Każda Strona może ujawnić Informacje Poufne otrzymane od drugiej Strony wyłącznie w celu wykorzystania w związku z realizacją Usługi. Każda Strona będzie odpowiedzialna za przestrzeganie postanowień niniejszej Umowy. 4. Po zakończeniu lub zaprzestaniu realizacji Usługi, Odbiorca bezzwłocznie zwróci Stronie Ujawniającej wszelkie Materiały dostarczone przez Stronę Ujawniającą, zawierające Informacje Poufne oraz wszystkie ich kopie oraz zniszczy lub usunie wszelkie Informacje Poufne zapisane w jakimkolwiek urządzeniu służącym do przechowywania danych. 5. Zakończenie realizacji Usługi z jakiejkolwiek przyczyny nie będzie miało wpływu na obowiązki określone w niniejszej Umowie. 6. Umowa podlega prawu polskiemu. W sprawach nie uregulowanych niniejszą Umową zastosowanie mają przepisy kodeksu cywilnego. 7. Wszelkie zmiany Umowy wymagają formy pisemnej pod rygorem nieważności. 8. Niniejsza Umowa sporządzona została w dwóch egzemplarzach w języku polskim, po jednym egzemplarzu dla każdej ze Stron. Strona Ujawniająca Odbiorca 22

23 Załącznik do Umowy o zachowaniu poufności informacji z dnia. /WZÓR/ OŚWIADCZENIE, dnia r. Niniejszym oświadczam, że znana mi jest treść Umowy o zachowaniu poufności informacji z dnia zawartej pomiędzy a... z siedzibą w.. przy ul. i wynikające z niej zobowiązania do utrzymywania w tajemnicy ujawnionych Informacji Poufnych. Niniejszym zobowiązuję się jako pracownik.. (nazwa firmy)/zleceniobiorca* do zachowania w tajemnicy wszelkich Informacji Poufnych, które zostały mi ujawnione w związku z moim uczestnictwem w realizacji Usługi, na warunkach określonych w Umowie o zachowaniu poufności. Jestem świadomy, że naruszenie powyższych zobowiązań może skutkować odpowiedzialnością cywilną i karną na podstawie obowiązujących przepisów prawa. * niepotrzebne skreślić 23

24 13.2 Załącznik nr 2 do Regulaminu ochrony informacji dla wykonawcy Urzędu Miasta Olsztyna - wzór umowy powierzenia przetwarzania danych osobowych UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH dotycząca umowy: zawarta w Olsztynie, w dniu roku, pomiędzy: Gminą Olsztyn, z siedzibą w Olsztynie, Pl. Jana Pawła II 1, Olsztyn reprezentowaną przez Prezydenta Olsztyna - Pana Piotra Grzymowicza (zwaną dalej Powierzającym) a, reprezentowaną przez 1. (zwaną dalej Przetwarzającym) Powierzający oświadcza, że jest, w rozumieniu przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, administratorem danych osobowych, zgromadzonych w zbiorze pn.: 2. Na podstawie art. 31 ust. 1 Ustawy Powierzający powierza Przetwarzającemu przetwarzanie danych osobowych zgromadzonych w zbiorze, o którym mowa w pkt.1, w zakresie:.. oraz przetwarzanych przez system teleinformatyczny/aplikację /program pod nazwą: wyłącznie w celu wykonania zobowiązań w zakresie realizacji zadań wynikających z umowy:, zawartej do dnia Powierzający przekazuje Przetwarzającemu jako załącznik do niniejszej umowy, Regulaminu ochrony informacji dla Wykonawcy,, na którą składa się polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych, które Przetwarzający powinien stosować przetwarzając powierzone mu na podstawie niniejszej umowy dane osobowe. 2. W przypadku stwierdzenia przez Przetwarzającego nieadekwatnego poziomu zabezpieczeń w przekazanym mu Regulaminie ochrony informacji dla Wykonawcy wynikających ze stosowanej u Powierzającego dokumentacji przetwarzania danych osobowych jest on zobowiązany do powiadomienia o tym fakcie Powierzającego, a do 24

25 momentu wyeliminowania nieprawidłowości stosować środki techniczne i organizacyjne odpowiednie do wykrytych nieprawidłowości. 3. Przetwarzający jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające przekazany mu na podstawie umowy zbiór danych, o których mowa w art , oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych. W zakresie przestrzegania tych przepisów Przetwarzający ponosi odpowiedzialność jak administrator danych. W szczególności Przetwarzający zobowiązuje się do : a. zastosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych, a w szczególności zabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem, b. dopuszczenia do obsługi służącego do przetwarzania powierzonych danych osobowych systemu informatycznego oraz wchodzących w jego skład urządzeń wyłącznie osób posiadających wydane przez niego upoważnienie, c. zapewnienia kontroli nad prawidłowością przetwarzania powierzonych danych osobowych, d. prowadzenia ewidencji osób upoważnionych do przetwarzania powierzonych danych osobowych, dochowania szczególnej staranności, aby osoby upoważnione do przetwarzania tych danych zachowały je w tajemnicy, również po zakończeniu realizacji niniejszej umowy, między innymi poprzez poinformowanie ich o prawnych konsekwencjach naruszenia poufności danych, e. prowadzenia dokumentacji opisującej sposób przetwarzania powierzonych danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzania tych danych, w tym w szczególności Politykę Bezpieczeństwa Danych Osobowych oraz Instrukcję Zarządzania Systemem Informatycznym Służącym do Przetwarzania Danych Osobowych, 4. Powierzający ma prawo przez cały okres objęty umową kontrolować poprawność zabezpieczeń i przetwarzania danych przekazanych Przetwarzającemu. 5. Przetwarzający zobowiązuje się do nieudostępniania przetwarzanych danych jakiemukolwiek innym podmiotom i osobom innym niż Powierzający. 6. Powierzający i Przetwarzający zobligowani są do zachowania w tajemnicy wszelkich informacji powziętych z związku z realizowaną Umową również po jej zakończeniu. 7. Przetwarzający zobowiązany jest do dołożenia należytej staranności przy wykonywaniu niniejszej Umowy. 8. Przetwarzający pozostaje w posiadaniu danych do przetwarzania, przekazanych przez Powierzającego, przez okres trwania umowy o której mowa w 1 ust. 2 oraz zobowiązuje się do bezzwłocznego trwałego usunięcia tych danych natychmiast po jej wygaśnięciu Przetwarzający odpowiada za szkody, jakie powstaną wobec Powierzającego lub osób trzecich w wyniku niezgodnego z Umową przetwarzania danych osobowych zgromadzonych w bazie danych, o której mowa w 1 ust. 2. Przetwarzający może się uwolnić od odpowiedzialności względem Powierzającego, jeżeli wykaże, że stosował co najmniej środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych określone w istotnych wymogach przekazanych mu przez Powierzającego zgodnie z 2 ust. 1 umowy, w odniesieniu do danych osobowych zgromadzonych w bazach danych, o których mowa w 1 ust Odpowiedzialność Przetwarzającego ograniczona jest do zakresu danych osobowych znajdujących się w jego faktycznym posiadaniu w związku z wykonywaniem czynności zgodnie z umową o której mowa w 1 wymagających dostępu do danych osobowych i czasu wykonywania tych czynności