DZZK/83/DKWO/2017 Załącznik nr 6 do IPU UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH Zawarta w dniu r., w.., pomiędzy: Bankiem Gospodarstwa Krajowego z siedzibą w Warszawie, Al. Jerozolimskie 7, 00-955 Warszawa, działającym na podstawie ustawy z dnia 14 marca 2003 r. o Banku Gospodarstwa Krajowego (tekst jedn. Dz. U. z 2016 r., poz. 1787 z późn. zm.) oraz rozporządzenia Ministra Rozwoju z dnia 16 września 2016 r. w sprawie nadania statutu Bankowi Gospodarstwa Krajowego (Dz. U. 2016, poz. 1527), posiadającym numer REGON 000017319, NIP 525-00-12-372, reprezentowanym przez: 1)..., 2), zwanym dalej Administratorem Danych, a... z siedzibą w.. adres:, wpisaną do Krajowego Rejestru Sądowego Rejestru Przedsiębiorców pod numerem., której dokumentacja rejestrowa jest przechowywana przez Sąd Rejonowy dla,.. Wydział Gospodarczy Krajowego Rejestru Sądowego, REGON., NIP.., z kapitałem zakładowym w wysokości.pln, opłaconym/nieopłaconym w całości, reprezentowaną przez: 1)..., 2), zwaną dalej Zleceniobiorcą, zwanymi także dalej wspólnie Stronami lub z osobna Stroną. /oświadczenia reprezentantów o upoważnieniu do działania i przedstawieniu do wglądu stosownych pełnomocnictw/
1 Przedmiot umowy 1. W związku z zawarciem przez Strony w dniu... r. umowy nr o świadczenie kompleksowych usług medycznych, Administrator Danych powierza Zleceniobiorcy w trybie art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r., poz. 922), dalej zwana Ustawą, przetwarzanie danych osobowych w celu realizacji powyższej umowy. 2. Administrator Danych powierza Zleceniobiorcy przetwarzanie danych osobowych w zakresie określonym w 3 niniejszej Umowy i tylko w zakresie niezbędnym do prawidłowej realizacji przez Zleceniobiorcę umowy, o której mowa w ust. 1. 3. Zleceniobiorca nie jest uprawniony do jakiegokolwiek dalszego wykorzystywania i udostępniania powierzonych danych osobowych ani do przechowywania i sporządzania kopii bezpieczeństwa powierzonych danych w zakresie, który nie jest konieczny do prawidłowej realizacji umowy, o której mowa w ust. 1. 2 Oświadczenia Stron Strony oświadczają, co następuje: 1) Administrator Danych oświadcza, iż jest administratorem zbioru danych osobowych Pracownicy BGK oraz że spełnił warunki legalności przetwarzania danych osobowych, przewidzianych ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, 2) Zleceniobiorca oświadcza, iż dysponuje środkami, doświadczeniem, wiedzą i wykwalifikowanym personelem, co umożliwia mu prawidłowe wykonanie usług objętych Umową, 3) Zleceniobiorca oświadcza, iż urządzenia i systemy informatyczne służące do przetwarzania powierzonych mu danych osobowych są zgodne z wymogami rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024), dalej jako Rozporządzenie, 4) Zleceniobiorca oświadcza, że znane są mu obowiązki nałożone przez przepisy Ustawy oraz rozporządzeń wykonawczych do Ustawy na podmiot przetwarzający dane osobowe powierzone mu do przetwarzania przez Administratora Danych, a w szczególności treść art. 31 oraz art. 36-39a Ustawy. 2
3 Zakres i cel przetwarzania danych osobowych 1. Zleceniobiorca będzie przetwarzał powierzone mu dane osobowe w następującym zakresie: 1) Imię i nazwisko, 2) Numer ewidencyjny PESEL, 3) Data urodzenia, 4) Płeć, 5) Adres zameldowania lub zamieszkania, 6) Numer telefonu komórkowego. 2. Powierzone przez Administratora Danych dane osobowe będą przetwarzane przez Zleceniobiorcę wyłącznie w celu wykonywania na rzecz Administratora Danych usług szczegółowo opisanych w umowie, o której mowa w 1 ust. 1 oraz w sposób zgodny z niniejszą Umową. 4 Zasady przetwarzania danych osobowych 1. Przy przetwarzaniu danych osobowych związanych z wykonaniem Umowy, Zleceniobiorca powinien przestrzegać zasad wskazanych w niniejszym paragrafie oraz w Ustawie, przepisach wykonawczych i innych przepisach prawa powszechnie obowiązującego, chroniących prawa osób, których dane dotyczą. Zleceniobiorca zobowiązuje się do stosowania wysokiego poziomu bezpieczeństwa przetwarzania danych osobowych, o którym mowa w Rozporządzeniu. 2. Przed rozpoczęciem przetwarzania danych osobowych Zleceniobiorca zobowiązany jest do podjęcia środków zabezpieczających dane osobowe, o których mowa w art. 36-39a Ustawy, a w szczególności obowiązany jest: 1) zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych, a przede wszystkim powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem Ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem, 2) zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do Bazy Danych wprowadzone oraz komu są przekazywane, zwłaszcza gdy przekazuje się je za pomocą urządzeń teletransmisji, 3) dopuszczać do obsługi systemu przetwarzającego dane osobowe oraz urządzeń wchodzących w jego skład, służących do przetwarzania danych osobowych, wyłącznie osoby posiadające wydane przez niego imiennie 3
upoważnienie, do udzielenia którego Administrator Danych Zleceniobiorcę upoważnia; Zleceniobiorca za działania upoważnionych pracowników ponosi odpowiedzialność jak za działania własne, 4) prowadzić ewidencję osób zatrudnionych przy przetwarzaniu danych osobowych w związku z wykonywaniem Umowy, zgodnie z wymaganiami określonymi w Ustawie; Zleceniobiorca, na żądanie Administratora Danych, zobowiązany jest przedstawić aktualną listę osób z przyznanym dostępem do danych osobowych, 5) zapewnić, aby osoby mające dostęp do przetwarzania danych osobowych zachowały te dane oraz sposoby ich zabezpieczeń w tajemnicy, przy czym obowiązek zachowania tajemnicy istnieje również po wykonaniu Umowy oraz ustaniu zatrudnienia u Zleceniobiorcy. 5 Uprawnienia kontrolne Administratora Danych 1. Administrator Danych ma prawo do przeprowadzenia kontroli przestrzegania przez Zleceniobiorcę zasad przetwarzania danych osobowych. 2. Kontrole, o których mowa w ust. 1, mogą być wykonywane przez Administratora Danych (osoby przez niego wyznaczone) w miejscu przetwarzania powierzonych danych osobowych w dni robocze w godzinach od 08.00 do 16.00 3. Administrator Danych powiadomi Zleceniobiorcę o zamiarze przeprowadzania kontroli z wyprzedzeniem, nie krótszym niż 7 dni, a Zleceniobiorca zobowiązany jest umożliwić Administratorowi Danych przeprowadzenie przedmiotowej kontroli, w szczególności poprzez udostępnienie systemów komputerowych, dokumentacji i pomieszczeń, w zakresie niezbędnym dla kontroli przetwarzania danych osobowych oraz udzielić wszelkich niezbędnych informacji dotyczących realizacji niniejszych postanowień. 4. Na zakończenie kontroli zostanie sporządzony protokół, który podpisują przedstawiciele obu Stron. Zleceniobiorca może wnieść zastrzeżenia do protokołu w ciągu 5 dni roboczych od daty podpisania. Zleceniobiorca zobowiązuje się dostosować do zaleceń pokontrolnych mających na celu usunięcie uchybień i poprawę bezpieczeństwa przetwarzania danych. 5. Zleceniobiorca zobowiązany jest do niezwłocznego poinformowania Administratora Danych o następujących okolicznościach: 1) wszelkich skargach, żądaniach, pytaniach oraz innych oświadczeniach skierowanych do Zleceniobiorcy lub skierowanych do Administratora Danych, lecz złożonych u Zleceniobiorcy, przez jakiekolwiek osoby trzecie, w szczególności osoby fizyczne, których dane osobowe Zleceniobiorca przetwarza na podstawie Umowy, 4
2) o podjęciu przez uprawniony organ jakichkolwiek działań względem Zleceniobiorcy w zakresie kontroli przetwarzania danych osobowych, szczególności informacji o rozpoczęciu kontroli przez uprawniony organ, a także zobowiązany jest do przekazania Administratorowi Danych na jego żądanie wszelkich informacji dotyczących zakresu, wyników oraz działań podjętych przez uprawniony organ w wyniku przeprowadzonej kontroli, 3) wszelkich przypadkach naruszenia bezpieczeństwa oraz tajemnicy danych osobowych, w tym nieupoważnionym dostępie do danych osobowych lub ich niewłaściwym użyciu. 6 Administrator Bezpieczeństwa Informacji 1. Administrator Danych oświadcza, że funkcję Inspektora Ochrony Danych Osobowych (IODO) pełni w jego przedsiębiorstwie następująca osoba: Imię Nazwisko: Janusz Jastrząb Telefon: (+48 22) 599 81 89 Adres email:. janusz.jastrzab@bgk.pl 2. Zleceniobiorca oświadcza, że funkcję Administratora Bezpieczeństwa Informacji (ABI) pełni w jego przedsiębiorstwie następująca osoba: Imię Nazwisko: Telefon: Adres email:........... 3. Każda ze Stron uprawniona jest do zmiany wyznaczonego przez siebie IODO/ABI oraz danych kontaktowych IODO/ABI, informując jednocześnie drugą Stronę Umowy o dokonanych zmianach na piśmie, za potwierdzeniem odbioru lub droga elektroniczną. Zmiana powyższa nie stanowi zmiany Umowy i nie wymaga aneksowania. 7 Usunięcie danych osobowych 1. W celu uniknięcia wątpliwości Strony przyjmują, iż Zleceniobiorca nie jest uprawniony do usuwania lub anonimizacji danych osobowych, chyba że obowiązek taki wynika z Umowy, uzgodnień Stron lub decyzji Administratora Danych. 2. Zleceniobiorca zobowiązuje się do trwałego usunięcia powierzonych mu danych osobowych po wygaśnięciu niniejszej Umowy, w tym na skutek rozwiązania 5
Umowy przez którąkolwiek ze Stron, oraz zaprzestania ich przetwarzania w terminie wskazanym przez Administratora Danych, z zastrzeżeniem przechowywania przez Zleceniobiorcę dokumentacji medycznej przez okres wymagany przepisami prawa. 3. Przez usunięcie danych osobowych rozumieć należy zniszczenie danych osobowych lub taką ich modyfikację, która trwale uniemożliwi ustalenie tożsamości osoby, której dane dotyczą. 4. Usunięcie danych osobowych potwierdzone zostanie protokołem podpisanym przez Zleceniobiorcę. 5. Protokół z usunięcia danych zostanie bezzwłocznie przekazany Administratorowi Danych. 8 Odpowiedzialność Zleceniobiorcy 1. Zleceniobiorca jest odpowiedzialny za udostępnienie lub wykorzystanie danych osobowych niezgodnie z Umową, a w szczególności za udostępnienie osobom nieupoważnionym. 2. Zleceniobiorca odpowiada za wszelkie szkody wyrządzone Administratorowi Danych lub osobom trzecim wynikające z niezgodnego z Ustawą lub Umową przetwarzania danych osobowych. 3. W przypadku naruszenia przepisów ustawy lub niniejszej Umowy z przyczyn leżących po stronie Zleceniobiorcy, w następstwie czego Administrator Danych zostanie zobowiązany do wypłaty odszkodowania lub zostanie ukarany karą grzywny, Zleceniobiorca zobowiązuje się pokryć Administratorowi Danych poniesione z tego tytułu straty i koszty. 4. Zleceniobiorca nie może powierzyć czynności przetwarzania danych osobowych objętych Umową podmiotom trzecim bez pisemnej zgody Administratora Danych. 9 Czas trwania Umowy 1. Umowa zostaje zawarta na czas zawarcia umowy o świadczenie kompleksowych usług medycznych. 2. Umowa wygasa z chwilą wygaśnięcia umowy o świadczenie usług, o której mowa w 1 ust. 1 Umowy. 3. Administrator Danych uprawniony jest do rozwiązania Umowy ze skutkiem natychmiastowym w przypadku, gdy: 6
1) organy administracji publicznej odpowiedzialne za nadzór nad przestrzeganiem zasad przetwarzania danych osobowych stwierdzą, że Zleceniobiorca nie przestrzega tych zasad, 2) Administrator Danych, w wyniku przeprowadzenia kontroli, o której mowa w 5 Umowy, stwierdzi, że Zleceniobiorca nie przestrzega zasad przetwarzania danych osobowych wynikających z Umowy lub obowiązujących przepisów prawa, 3) Zleceniobiorca powierzył podmiotowi trzeciemu czynności przetwarzania danych osobowych bez zgody Administratora Danych, 4) Zleceniobiorca zawiadomi o niezdolności do wykonywania niniejszej Umowy, w szczególności niespełnienia wymagań określonych w 4. 3. Rozwiązanie niniejszej Umowy przez Administratora Danych jest równoznaczne z wypowiedzeniem umowy, o której mowa w 1 ust. 1. 10 Wynagrodzenie 1. Strony postanawiają, iż realizacja Umowy odbywać będzie się w ramach Wynagrodzenia należnego Zleceniobiorcy z tytułu wykonania Umowy Generalnej nr. z dnia, o której mowa w 1 ust. 1 niniejszej Umowy. 2. Zleceniobiorca nie jest uprawniony do żądania od Administratora Danych jakiegokolwiek dodatkowego wynagrodzenia z tytułu realizacji Umowy ani też zwrotu jakichkolwiek kosztów związanych z realizacją praw lub zobowiązań wynikających z Umowy. 11 Adresy Stron i dane osób 1. Wszelka korespondencja w sprawach związanych z Umową będzie kierowana na podane niżej adresy Stron: Nazwa do Zleceniobiorcy: do Administratora Danych: Bank Gospodarstwa Krajowego Departament Kadr Wynagrodzeń i Organizacji Adres Al. Jerozolimskie 7 Tel. (+48 22) 522 91 10 e-mail sekretariatdkwo@bgk.pl 7
2. Zleceniobiorcę w kontaktach z Administratorem Danych, w zakresie ustaleń Umowy reprezentują:...,.... 3. Administratora Danych w kontaktach ze Zleceniobiorcą, w zakresie ustaleń Umowy reprezentują: Imię i nazwisko Marta Podedworna Justyna Sierpińska-Więsyk Telefon (+48 22) 599 86 33 (+48 22) 522 91 09 Adres email marta.podedworna@bgk.pl justyna.sierpinska-wiesyk@bgk.pl 4. Zmiana adresów i danych osób, o których mowa w ust. 1-3, nie stanowi zmiany Umowy i nie wymaga aneksowania. O każdej zmianie powyższych danych Strony powiadomią się na piśmie, za potwierdzeniem odbioru lub drogą elektroniczną. 12 Postanowienia końcowe 1. Wszelkie zmiany w treści Umowy wymagają formy pisemnej pod rygorem nieważności, z zastrzeżeniem przypadków wymienionych w Umowie. 2. W sprawach, które nie zostały uregulowane Umową, znajdują zastosowanie odpowiednie przepisy Kodeksu cywilnego oraz Ustawy. 3. Sądem właściwym do rozstrzygnięcia sporów związanych z Umową będzie sąd właściwy miejscowo dla siedziby Administratora Danych. 4. Umowa została sporządzona w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej ze Stron. 5. Umowa obowiązuje od dnia jej podpisania. Pieczęć i podpisy osób działających w imieniu Zleceniobiorcy Pieczęć i podpisy osób działających w imieniu Administratora Danych 1.. 1.. 2.. 2.. 8