UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH zawarta w.., w dniu.. pomiędzy: 1) 4LINE GROUP spółka z ograniczoną odpowiedzialnością spółka komandytowa z siedzibą w Śremie, adres: ul. Gostyńska 51, 63-100 Śrem, KRS: 0000737741, NIP 7851779441, REGON 301290232, reprezentowaną przez Prezesa Zarządu Katarzynę Józefiak zwana dalej Administratorem a 2)., reprezentowaną przez zwanym dalej Podmiotem Przetwarzającym 1 DEFINICJE Dla potrzeb niniejszej umowy, Administrator i Podmiot Przetwarzający ustalają następujące znaczenie niżej wymienionych pojęć: 1) Umowa Powierzenia niniejsza umowa; 2) Umowa Główna [umowa, w związku z którą zawierana jest umowa powierzenia przetwarzanie danych jest konieczne do wykonania Umowy Głównej]; 3) RODO - rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1); 4) Administrator- 4LINE GROUP spółka z ograniczoną odpowiedzialnością spółka komandytowa z siedzibą w Śremie, reprezentowana przez Prezesa Zarządu Katarzynę Józefiak. 2 PRZEDMIOT UMOWY 1. W związku z obowiązującymi od dnia 25 maja 2018 r., przepisami o ochronie danych osobowych Administrator powierza Podmiotowi Przetwarzającemu w trybie art. 28 ust. 3 RODO do przetwarzania dane osobowe określone w 4 na zasadach i w celu określonym w niniejszej Umowie, a Podmiot Przetwarzający zobowiązuje się do ich przetwarzania zgodnego z prawem i niniejszą Umową Powierzenia. 2. Podmiot Przetwarzający może przetwarzać dane osobowe wyłącznie w zakresie i celu przewidzianym w niniejszej Umowie Powierzenia oraz zgodnie z innymi udokumentowanymi poleceniami Administratora, przy czym za takie udokumentowane polecenia uważa się również polecenia przekazywane drogą elektroniczną na adres lub na piśmie. 1
3 OŚWIADCZENIA STRON 1. Podmiot Przetwarzający oświadcza, że dysponuje środkami umożliwiającymi prawidłowe przetwarzanie danych osobowych powierzonych przez administratora, w zakresie i celu określonym Umową. 2. Podmiot Przetwarzający oświadcza, że zobowiązuje się do bezterminowego zachowania w tajemnicy przekazywanych mu przez administratora danych osobowych oraz że zatrudni przez niego przy przetwarzaniu powierzonych danych osobowych pracownicy zostali pouczeni o obowiązujących przepisach dotyczących ochrony danych osobowych oraz, że zobowiązali się do bezterminowego zachowania ich w tajemnicy. 4 RODZAJ DANYCH OSOBOWYCH ORAZ KATEGORII OSÓB, KTÓRYCH DANE DOTYCZĄ 1. Rodzaj danych (art. 28 ust. 3 RODO). Przetwarzanie obejmować będzie następujące kategorie danych osobowych: Dane zwykłe: (1) Imię i nazwisko, (2) Numer ewidencyjny PESEL, (3) Adres e-mail, (4) Adres IP, (5) Numery telefonów, (6) Adres zamieszkania, (7) Data urodzenia, (8) NIP, (9) Seria i numer dokumentu tożsamości, (10) Imiona rodziców, (11) Numer rachunku bankowego, (12) Dane szczególnych kategorii i dane karne: (13) Dokumentacja medyczna, (14), (15), Dane dzieci (16) Imię i nazwisko, (17) Data urodzenia, (18) Adres e-mail, (19) Pseudonim, (20).., 2. Kategorie osób (art. 28 ust 3 RODO). Przetwarzanie danych będzie dotyczyć następujących kategorii osób: 2
(1) Pracownicy Administratora i inne osoby stanowiące personel lub współpracujące, (2) Klienci usługi/produktu administratora określonych w Umowie Podstawowej, (3) Osoby, z którymi klienci Administratora wchodzą w interakcje społeczne, (4) Kontrahenci (dostawcy) administratora, (5)., (6).., (7), 5 CEL, ZAKRES I CHARAKTER PRZETWARZANIA 1. Celem przetwarzania danych osobowych wskazanych w 4 niniejszej umowy jest wykonanie Umowy głównej. 2. Podmiot Przetwarzający zobowiązuje się do przetwarzania powierzonych danych osobowych wyłącznie w celach związanych z realizacją Umowy Głównej i wyłącznie w zakresie, jaki jest niezbędnych do realizacji tych celów. 3. Podmiot Przetwarzający zobowiązuje się do przetwarzania danych osobowych w sposób stały. Przetwarzający będzie w szczególności wykonywał następujące operacje dotyczące powierzonych danych osobowych:. Dane osobowe będą przez Przetwarzającego przetwarzane w formie elektronicznej w systemach informatycznych oraz w formie papierowej. 6 ZASADY POWIERZENIA PRZETWARZANIA 1. Przed rozpoczęciem przetwarzania danych osobowych Podmiot Przetwarzający musi podjąć środki zabezpieczające dane osobowe, o których mowa w art. 32 RODO, a w szczególności: a) uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, obowiązany jest zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku. Podmiot Przetwarzający powinien odpowiednio udokumentować zastosowanie tych środków, a także uaktualniać te środki w porozumieniu z Administratorem, b) zapewnić, by każda osoba fizyczna działająca z upoważnienia Podmiotu Przetwarzającego, która ma dostęp do danych osobowych, przetwarzała je wyłącznie na polecenie administratora w celach i zakresie przewidzianym w Umowie Powierzenia, c) prowadzić rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora, o którym mowa w art. 30 ust. 2 RODO i udostępniać go Administratorowi na jego żądanie, chyba że Podmiot Przetwarzający jest zwolniony z tego obowiązku na podstawie art. 30 ust. 5 RODO. 2. Podmiot Przetwarzający zapewnia, aby osoby mające dostęp do przetwarzanych danych osobowych zachowały je oraz sposoby zabezpieczeń w tajemnicy, przy czym obowiązek zachowania tajemnicy istnieje również po realizacji Umowy Powierzenia oraz po ustaniu zatrudnienia u Podmiotu Przetwarzającego. 3
7 DALSZE OBOWIĄZKI PODMIOTU PRZETWARZAJĄCEGO 1. Podmiot Przetwarzający zobowiązuje się pomagać Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32-36 RODO. 2. W sytuacji podejrzenia naruszenia ochrony danych osobowych, Podmiot Przetwarzający zobowiązuje się do: a) przekazania Administratorowi informacji dotyczących naruszenia ochrony danych osobowych w ciągu 24 godzin od jego wykrycia, w tym informacji, o których mowa w art. 33 ust. 3 RODO, b) przeprowadzenia wstępnej analizy ryzyka naruszenia praw i wolności osób, których dane dotyczą, i przekazania wyników tej analizy do Administratora w ciągu 36 godzin od wykrycia zdarzenia stanowiącego naruszenie ochrony danych osobowych, c) przekazania Administratorowi na jego żądanie wszystkich informacji niezbędnych do zawiadomienia osoby, której dane dotyczą, zgodnie z art. 34 RODO, w ciągu 48 godzin od wykrycia zdarzenia stanowiącego naruszenie ochrony danych osobowych. 3. Podmiot Przetwarzający zobowiązuje się pomagać Administratorowi, poprzez odpowiednie środki techniczne i organizacyjne, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w art. 15-22 RODO. W szczególności podmiot Przetwarzający zobowiązuje się na żądanie Administratora do przygotowania i przekazania Administratorowi informacji potrzebnych do spełnienia żądania osoby, której dane dotyczą, w ciągu 3 dni od dnia otrzymania żądania Administratora. 4. Podmiot Przetwarzający zobowiązuje się stosować się do ewentualnych wskazówek lub zaleceń, wydanych przez organ nadzoru lub unijny organ doradczy zajmujący się ochroną danych osobowych, dotyczących przetwarzania danych osobowych, w szczególności w zakresie stosowania RODO. 5. Podmiot Przetwarzający zobowiązuje się do niezwłocznego poinformowania Administratora o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania powierzonych danych osobowych przez Przetwarzającego, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania powierzonych danych osobowych, skierowanej do Przetwarzającego, a także o wszelkich kontrolach i inspekcjach dotyczących przetwarzania powierzonych danych osobowych przez Przetwarzającego, w szczególności prowadzonych przez organ nadzorczy. 8 PODPOWIERZENIE PRZETWARZANIA 1. Administrator dopuszcza możliwość podpowierzenia przetwarzania powierzonych mu danych osobowych podwykonawcom Podmiotu Przetwarzającego (tj., innym Podmiotom Przetwarzającym), jeżeli jest to niezbędne do wykonania Umowy Głównej. 2. Jeżeli Przetwarzający zamierza podpowierzyć (przekazać innym Podmiotom Przetwarzającym) przetwarzanie danych osobowych swoim podwykonawcom, musi uprzednio poinformować Administratora o zamiarze podpowierzenia oraz o tożsamości (nazwie) podmiotu, któremu ma zamiar podpowierzyć przetwarzanie danych, a także o charakterze podpowierzenia, zakresie danych, celu i czasie trwania podpowierzenia. O ile Administrator nie wyrazi sprzeciwu wobec podpowierzenia w 4
terminie 7 dni od daty zawiadomienia, Przetwarzający uprawniony będzie do dokonania podpowierzenia. 3. W przypadku podpowierzenia przetwarzania danych osobowych, podpowierzenie przetwarzania będzie poprzedzone zawartą pomiędzy Podmiotem Przetwarzajacym a podwykonawcą umową podpowierzenia, na podstawie której podwykonawca zobowiąże się do wykonywania tych samych obowiązków, które na mocy niniejszej Umowy Powierzenia nałożone są na Podmiot Przetwarzający. Umowa będzie zawarta w tej same formie co niniejsza Umowa Powierzenia. Umowa ta będzie również przewidywała, że Administratorowi przysługują uprawnienia wynikające z umowy podpowierzenia bezpośrednio wobec podwykonawcy. 4. Przetwarzający nie może przekazywać powierzonych mu do przetwarzania danych osobowych do podmiotów mających siedzibę lub miejsce rzeczywistego funkcjonowania w państwach spoza Europejskiego Obszaru Gospodarczego. 5. Dokonując podpowierzenia, Podmiot Przetwarzający ma obowiązek zobowiązać Podprzetwarzającego do realizacji wszystkich obowiązków Podmiotu Przetwarzającego wynikających z niniejszej Umowy powierzenia, z wyjątkiem tych, które nie mają zastosowania ze względu na naturę konkretnego podpowierzenia (art. 28 ust 4 RODO). 6. Podmiot Przetwarzający nie ma prawa przekazać Podprzetwarzającemu całości wykonania Umowy. 9 AUDYT PODMIOTU PRZETWARZAJĄCEGO 1. Administrator jest uprawniony do weryfikacji przestrzegania zasad przetwarzania danych osobowych wynikających z RODO oraz niniejszej Umowy Powierzenia przez Podmiot Przetwarzający, poprzez prawo żądania udzielenia wszelkich informacji dotyczących powierzonych danych osobowych. 2. Podmiot Przetwarzający zobowiązuje się niezwłocznie informować Administratora, jeżeli zdaniem Podmiotu Przetwarzającego wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych. 10 ODPOWIEDZIALNOŚĆ 1. Jeżeli Podmiot Podprzetwarzający lub podmiot na rzecz którego nastąpiło podpowierzenie nie wywiąże się ze spoczywających na nim obowiązków ochrony danych, pełna odpowiedzialność wobec Administratora za wypełnienie tych obowiązków spoczywa na Podmiocie Przetwarzającym. 11 CZAS OBOWIĄZYWANIA UMOWY ORAZ ZAKOŃCZENIE POWIERZENIA PRZETWARZANIA 1. Umowa została zawarta na czas obowiązywania Umowy Głównej z zastrzeżeniem terminów usunięcia danych określonych w pkt 2. 2. Z chwilą rozwiązania Umowy Podmiot Przetwarzający nie ma prawa do dalszego przetwarzania powierzonych danych i jest zobowiązany do: 5
a) usunięcia danych i poinformowania Administratora na piśmie o dacie i sposobie, w jaki usunięto dane, b) usunięcia wszelkich istniejących kopii lub zwrotu danych, chyba że administrator postanowi inaczej lub prawo Unii Europejskiej lub prawo państwa członkowskiego nakazują dalej przechowywanie danych, 3. Podmiot Przetwarzający dokona usunięcia Danych po upływie 180 dni od zakończenia Umowy Głównej, chyba że Administrator poleci mu to uczynić wcześniej. 12 POSTANOWIENIA KOŃCOWE 1. Dokonywanie jakichkolwiek zmian w treści niniejszej Umowy wymaga dla swej ważności formy pisemnej i zgody wszystkich Stron. 2. W sprawach nieuregulowanych niniejszą Umową zastosowanie będą miały odpowiednie przepisy Kodeksu Cywilnego oraz przepisy o ochronie danych osobowych. 3. Ewentualne spory powstałe na tle stosowania niniejszej Umowy, rozstrzygane będą przez Sąd właściwy dla Miasta Śremu. 4. Umowę niniejszą sporządzono w dwóch jednobrzmiących egzemplarzach po jednym dla każdej ze Stron. Administrator Podmiot Przetwarzający 6