Załącznik nr 15j do SIWZ: Wzór umowy powierzenia danych osobowych dla Powiatu Prudnickiego Dotyczy: Oś Priorytetowa RPOP.10.00.00 Inwestycje w infrastrukturę społeczną Działanie RPOP.10.03.00 E-usługi publiczne Podziałanie - Nr ewidencyjny RPOP.10.03.00-16-0012/17 wniosku Beneficjent Powiat Opolski Tytuł projektu E-usługi cyfrowych zasobów geodezyjnych i kartograficznych województwa opolskiego Nr umowy o dofinansowanie RPOP.10.03.00-16-0012/17-00 z dnia 27.03.2018 r. Załącznik do umowy nr.. z dnia.. ZAŁ. UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH zawarta w dniu. w Prudniku pomiędzy: Starostą Prudnickim ul. Kościuszki 76, 48-200 Prudnik zwanym w dalszej części umowy Administratorem danych osobowych a Panem, prowadzącym działalność gospodarczą pod firmą. z siedzibą.. NIP.., zwanym w dalszej części Umowy Podmiotem przetwarzającym zwanymi łącznie w dalszej części Umowy Stronami, o następującej treści: 1 Powierzenie przetwarzania danych osobowych 1. Strony postanawiają, że w celu spełnienia obowiązków wynikających z przepisów prawa, a w szczególności Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych; RODO; zwanych w dalszej części Rozporządzeniem") oraz właściwej realizacji postanowień umowy. z dnia.. w przedmiocie współpracy w zakresie realizacji prac geodezyjnych określonych w niniejszej umowie Starosta Prudnicki powierza Panu prowadzącemu firmę.. dane osobowe do przetwarzania, na zasadach i w celu określonym w niniejszej Umowie. 2. Starosta Prudnicki oświadcza, że jest Administratorem Danych Osobowych w rozumieniu Rozporządzenia w stosunku do danych powierzonych dalej Panu.. do przetwarzania, a Pan jest podmiotem przetwarzającym w rozumieniu RODO. 3. Podmiot przetwarzający zobowiązuje się przetwarzać powierzone mu dane osobowe zgodnie z niniejszym powierzeniem, RODO oraz z innymi przepisami prawa powszechnie obowiązującego, które chronią prawa osób, których dane dotyczą. 1
4. Podmiot przetwarzający oświadcza, iż stosuje środki bezpieczeństwa spełniające wymogi RODO. 2 Zakres i cel przetwarzania danych 1. Powierzone przez Administratora danych osobowych dane osobowe i pozostałe dane będą przetwarzane przez Podmiot przetwarzający wyłącznie w celu i zakresie niezbędnym do realizacji umowy, o której mowa w 1 ust.1,zwanej dalej umową, w sposób zgodny z treścią niniejszego powierzenia i jedynie przez czas jego trwania. 2. Podmiot przetwarzający zobowiązuje się do przetwarzania danych osobowych które będą wykorzystywane do realizacji celów umowy następujących kategorii osób, których dane dotyczą: a) użytkowników Systemu pracowników Administratora, danych klientów Administratora, kontrahentów, reprezentantów i osób kontaktowych kontrahentów, b) dane osób z ewidencji gruntów i budynków, koniecznych do realizacji prac geodezyjnych -gleboznawczej klasyfikacji gruntów na terenie powiatu prudnickiego. 3. Cel i zakres powierzenia przetwarzania danych osobowych wynika bezpośrednio i ogranicza się wyłącznie do zadań wynikających z zawartej umowy w ramach zgromadzonych w systemie danych w zakresie: 1) w odniesieniu do pracowników Administratora - imię, nazwisko, adres e-mail, numer telefonu, 2) klientów i kontrahentów Administratora - imię, nazwisko, dane kontaktowe (adres e- mail, numer telefonu,) 3) osób z ewidencji gruntów i budynków -dane wynikające z rozporządzenia Ministra Rozwoju Regionalnego i Budownictwa z dnia 29 marca 2001r. w sprawie ewidencji gruntów i budynków (Dz.U z 2016r. poz.1034 t.j.z poźń zm.) - data urodzenia, miejsce urodzenia, dane adresowe, pesel i inne dane, które mogą zostać przekazane przez klienta Administratorowi w treści składanych dokumentów lub wpisane w metrykach rejestrowanych w systemie dokumentów (np. informacje o dokumentach identyfikujących), Przetwarzanie danych osobowych odbywać się będzie w formie papierowej oraz przy wykorzystaniu systemów informatycznych. 4 Przetwarzanie danych osobowych obejmuje takie operacje jak w szczególności: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie danych osobowych. 5 Rodzajem przetwarzanych danych osobowych są dane zwykłe. 3 Prawa i obowiązki stron 1. Podmiot przetwarzający zobowiązuje się, przy przetwarzaniu powierzonych danych osobowych, do ich zabezpieczenia poprzez stosowanie odpowiednich środków technicznych i organizacyjnych zapewniających adekwatny stopień bezpieczeństwa odpowiadający ryzyku związanym z przetwarzaniem danych osobowych, o których mowa w art. 32 RODO. 2
2. Podmiot przetwarzający zobowiązuje się dysponować zasobami, doświadczeniem, wiedzą fachową i wykwalifikowanym personelem, który umożliwi mu prawidłowe wykonanie umowy z zachowaniem należytej staranności przy przetwarzaniu powierzonych danych osobowych oraz w pełnej zgodzie z wymaganiami RODO. 3. Do przetwarzania danych osobowych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie, o których mowa w art. 29 RODO oraz przeszkolone z zakresu przepisów dotyczących ochrony danych osobowych. 4. Administrator danych osobowych upoważnia Podmiot przetwarzający do wyznaczania osób uprawnionych do przetwarzania danych osobowych w zakresie koniecznym do wypełnienia zobowiązania z tytułu realizowania zapisów niniejszej umowy. 5. Podmiot przetwarzający oświadcza, że każda osoba (np. pracownik etatowy, osoba świadcząca czynności na podstawie umów cywilnoprawnych, inne osoby pracujące na rzecz Podmiot przetwarzającego), która zostanie upoważniona do przetwarzania danych osobowych będących przedmiotem umowy, zostanie zobowiązana do zachowania tych danych w tajemnicy przed udostępnieniem jej ww. danych. Tajemnica ta obejmuje również wszelkie informacje dotyczące sposobów zabezpieczenia powierzonych do przetwarzania danych osobowych. 6. Podmiot przetwarzający zobowiązuje się zapewnić zachowanie w tajemnicy, (o której mowa w art. 28 ust 3 pkt b Rozporządzenia) przetwarzanych danych przez osoby, które upoważnia do przetwarzania danych osobowych w celu realizacji niniejszej umowy, zarówno w trakcie zatrudnienia ich w Podmiocie przetwarzającym, jak i po jego ustaniu. 7. Podmiot przetwarzający zobowiązuje się do udzielania pomocy Administratorowi danych osobowych w zakresie: 1) wywiązywania się z obowiązku odpowiadania na żądania osoby, której dane dotyczą oraz wywiązywania się z obowiązków określonych w art. 32-36 Rozporządzenia, 2) realizacji obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III RODO. 8. Administrator danych osobowych zgodnie z art. 28 Rozporządzenia ma prawo do przeprowadzenia kontroli przestrzegania przez Podmiot przetwarzający zasad przetwarzania danych osobowych, o których mowa w niniejszym powierzeniu oraz w obowiązujących przepisach prawa, w szczególności poprzez żądanie udzielenia informacji dotyczących przetwarzania przez Podmiot przetwarzający danych osobowych, stosowanych środków technicznych i organizacyjnych, aby przetwarzanie toczyło się zgodnie z prawem lub dokonywania kontroli w miejscach, w których są przetwarzane powierzone dane osobowe, po wcześniejszym pisemnym uzgodnieniu terminu przez Strony na co najmniej 7 dni przed planowaną kontrolą. Podmiot przetwarzający dokona niezbędnych czynności w celu umożliwienia wykonania tego uprawnienia przez Administratora danych osobowych. 9. Administrator danych osobowych ma prawo do przeprowadzenia kontroli w celu weryfikacji przestrzegania niniejszego powierzenia bezpośrednio lub za pośrednictwem upoważnionego audytora. 10. Podmiot przetwarzający jest zobowiązany do zastosowania się do zaleceń Administratora dot. zasad przetwarzania powierzonych danych osobowych oraz dotyczących poprawy zabezpieczenia danych osobowych, sporządzonych w wyniku kontroli przeprowadzonych przez Administratora danych osobowych. 11. Podmiot przetwarzający zobowiązuje się przekazywać Administratorowi danych osobowych, w ciągu 36 godzin od wykrycia zdarzenia, informacje o naruszeniu ochrony powierzonych Podmiotowi przetwarzającemu danych osobowych, w tym informacje niezbędne Administratorowi danych osobowych do zgłoszenia naruszenia ochrony danych organowi nadzorczemu, o którym mowa w art. 33 ust 3 RODO, zgłoszenie takie powinno odbywać się do Administratora danych osobowych. 3
4 Dalsze powierzenie danych do przetwarzania 1. Administrator danych osobowych wyraża ogólną zgodę na to, by Podmiot przetwarzający korzystało z usług innego podmiotu przetwarzającego (Podwykonawcy), przy czym: 1) Podwykonawcą Podmiotu przetwarzającego może być inna osoba lub podmiot świadczący na jego rzecz czynności w związku z realizacją przedmiotu umowy na podstawie umów cywilnoprawnych, 2) Podmiot przetwarzający przedstawi Administratorowi listę z pełnymi danymi podmiotów działających na rzecz Podmiotu przetwarzającego przy realizacji zadań związanych z realizacją umowy, uprawnionych w zakresie przetwarzania i dostępu do danych. Brak wyrażonego sprzeciwu w ciągu 14 dni roboczych od daty otrzymania listy podmiotów przez Administratora uznaje się jako zaakceptowaną, 3) Podmiot przetwarzający zobowiązany jest poinformować pisemnie Administratora danych osobowych o wszelkich zamierzonych działaniach dotyczących dodania, zmiany lub zastąpienia innych podmiotów przetwarzających, których dane zostały przykazane zgodnie z pkt. 2, dając tym samym Administratorowi danych osobowych możliwość wyrażenia sprzeciwu wobec tych działań. Brak wyrażonego sprzeciwu w ciągu 14 dni roboczych od daty otrzymania zawiadomienia przez Administratora danych osobowych uznaje się jako akceptację działań Podmiotu przetwarzającego, 4) podpowierzenie przetwarzania przez Podmiot przetwarzający innemu podmiotowi wymaga formy umowy pisemnej lub zastosowania standardowych klauzul umownych, 5) Podwykonawca winien spełniać te same gwarancje i obowiązki jakie zostały nałożone na Podmiot przetwarzający w niniejszym powierzeniu, 6) Podmiot przetwarzający odpowiada za działania podmiotu przetwarzającego jak za własne. 2. Podmiot przetwarzający nie może przekazywać powierzonych mu do przetwarzania danych osobowych do podmiotów znajdujących się w państwach spoza Europejskiego Obszaru Gospodarczego. 5 Odpowiedzialność Podmiotu przetwarzającego 1. Podmiot przetwarzający jest odpowiedzialny za udostępnienie lub wykorzystanie danych osobowych niezgodnie z treścią powierzenia, a w szczególności za udostępnienie powierzonych do przetwarzania danych osobowych osobom nieupoważnionym. 2. Każda ze Stron odpowiada zgodnie z przepisami RODO i ustawy z dnia 10 maja 2018r. o ochronie danych osobowych, Kodeksu cywilnego, Kodeksu karnego i niniejszego powierzenia za szkody wyrządzone drugiej Stronie oraz osobom trzecim w związku z wykonaniem umowy nr z dnia.. i niniejszego powierzenia. 3. W przypadku szkody spowodowanej działaniem Podmiotu przetwarzającego, Podmiot przetwarzający odpowiadać będzie na zasadzie winy za szkody rzeczywiste poniesione przez Administratora danych osobowych. 4. Osoby upoważnione do realizacji wymagań niniejszego powierzenia: 1) z ramienia Podmiotu przetwarzającego: 4
2) z ramienia Administratora danych osobowych: a) Dorota Małkowska - Naczelnik Wydziału Geodezji, Kartografii i Gospodarki Nieruchomościami b) Karolina Rogoz-Kierownik Powiatowego Ośrodka Dokumentacji Geodezyjnej i Kartograficznej, 5. Podmiot przetwarzający zobowiązuje się do niezwłocznego poinformowania Administratora danych osobowych o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania przez Podmiot przetwarzający danych osobowych określonych w powierzeniu, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania tych danych, skierowanych do Podmiotu przetwarzającego, a także o wszelkich planowanych, o ile są wiadome lub realizowanych kontrolach i inspekcjach dotyczących przetwarzania w Podmiocie przetwarzającym tych danych osobowych. Niniejszy ustęp dotyczy wyłącznie danych osobowych powierzonych przez Administratora danych osobowych. 6 Czas obowiązywania umowy Niniejsze powierzenie obowiązuje od dnia jego zawarcia przez czas obowiązywania umowy nr. z dnia.. 7 Rozwiązanie umowy 1. Administrator danych osobowych może rozwiązać niniejszą umowę ze skutkiem natychmiastowym, gdy Podmiot przetwarzający: 1) pomimo zobowiązania go do usunięcia uchybień stwierdzonych podczas kontroli nie usunie ich w wyznaczonym terminie; 2) przetwarza dane osobowe w sposób niezgodny z umową; 3) powierzył przetwarzanie danych osobowych innemu podmiotowi bez zgody Administratora danych osobowych. 8 Zasady zachowania poufności 1. Podmiot przetwarzający zobowiązuje się do zachowania w tajemnicy wszelkich informacji, danych, materiałów, dokumentów otrzymanych od Administratora i od współpracujących z nim osób oraz danych uzyskanych w jakikolwiek inny sposób, zamierzony czy przypadkowy w formie ustnej, pisemnej lub elektronicznej ( dane poufne"). 2. Podmiot przetwarzający oświadcza, że w związku ze zobowiązaniem do zachowania w tajemnicy danych poufnych nie będą one wykorzystywane, ujawniane ani udostępniane bez pisemnej zgody Administratora danych osobowych w innym celu niż wykonanie umowy, chyba że konieczność ujawnienia posiadanych informacji wynika z obowiązujących przepisów prawa lub umowy nr. z dnia 3. Strony zobowiązują się do dołożenia wszelkich starań w celu zapewnienia, aby środki łączności wykorzystywane do odbioru, przekazywania oraz przechowywania danych poufnych gwarantowały zabezpieczenie danych poufnych, w tym w szczególności danych osobowych powierzonych do przetwarzania, przed dostępem osób trzecich nieupoważnionych do zapoznania się z ich treścią. 5
9 Postanowienia końcowe 1. Wynagrodzenie Podmiotu przetwarzającego z tytułu niniejszego powierzenia zawiera się w wynagrodzeniu ustalonym przez Strony w umowie nr z dnia.. 2. W przypadku rozwiązania umowy, Administrator w ciągu 7 dni od dnia wygaśnięcia umowy samodzielnie zabezpieczy dane, w tym dane osobowe powierzone do przetwarzania Podmiotu przetwarzającego. 3. Podmiot przetwarzający po 7 dniach od dnia wygaśnięcia umowy usunie wszelkie dane osobowe oraz usunie trwale wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych.. Podpis Administratora danych osobowych. Podpis podmiotu przetwarzającego 6