UMOWA Nr SM-WPR-0830 /15 zawarta w dniu... roku w Warszawie, w wyniku postępowania o udzielenie zamówienia publicznego nr sprawy SM-WLG-2131-4/15, przeprowadzonego w trybie przetargu nieograniczonego, na podstawie przepisów ustawy z dnia 29 stycznia 2004 r. Prawo zamówień publicznych (tekst jednolity Dz. U. z 2013 r., poz. 907 ze zmianami), pomiędzy: Strażą Miejską Miasta Stołecznego Warszawy z siedzibą w Warszawie przy ul. Młynarskiej 43/45, NIP 526-21-50-068, REGON 015271428 reprezentowaną przez: Zbigniewa Leszczyńskiego Komendanta Straży Miejskiej m.st. Warszawy posiadającego pisemne pełnomocnictwo nr GP-0158/3141/2007 z dnia 14.05.2007 r. udzielone przez Prezydenta Miasta Stołecznego Warszawy zwaną dalej Zamawiającym a...... zwaną dalej Wykonawcą, zwanymi dalej wspólnie Stronami lub każdą z osobna Stroną, o następującej treści: 1 [Przedmiot Umowy] 1. Przedmiotem Umowy jest modyfikacja oprogramowania Systemu Wspomagania Dowodzenia (zwanego dalej Systemem bądź System SWD ), wdrożonego u Zamawiającego, w zakresie automatycznej anonimizacji danych osobowych. 2. Przedmiot Umowy zostanie zrealizowany zgodnie z Zakresem modyfikacji Systemu Wspomagania Dowodzenia (SWD) wraz z modułem Mandatu Karnego i Oskarżyciela Publicznego (MKOP) w zakresie ANONIMIZACJI DANYCH OSOBOWYCH, stanowiącym załącznik nr 1 do Umowy. 2 [Termin realizacji Umowy] 1. Wykonawca zobowiązuje się do realizacji przedmiotu Umowy w terminie do 15.11.2015 r. 2. Za termin zrealizowania przedmiotu umowy, o którym mowa w ust. 1, uzna się dzień podpisania ostatecznego protokołu zdawczo - odbiorczego, którego wzór stanowi załącznik nr 2 do Umowy. Data podpisania Protokołu Zdawczo- Odbiorczego jest jednocześnie datą startu eksploatacji. 1
3. Start eksploatacji nastąpi w momencie rozpoczęcia wykorzystywania przedmiotu Umowy przez Zamawiającego, nie później jednak niż w dniu podpisania Protokołu Zdawczo-Odbiorczego, o którym mowa w ust. 2 powyżej. 3 [Odbiór przedmiotu umowy} 1. Wykonawca zgłosi gotowość do odbioru przedmiotu umowy do Wydziału Informatyki i Łączności Straży Miejskiej m. st. Warszawy faksem na nr. lub e-mailem:. 2. Zamawiający jest zobowiązany przystąpić do odbioru przedmiotu Umowy w terminie 3 dni roboczych od dnia zgłoszenia przez Wykonawcę gotowości do odbioru. 3. Pierwszym etapem odbioru przedmiotu umowy będzie przeprowadzenie testów w celu sprawdzenia funkcjonalności Systemu na środowisku testowym przez okres 5 dni roboczych. 4. Kolejnym etapem odbioru przedmiotu umowy będzie instalacja oraz przeprowadzenie testów umożliwiających sprawdzenie funkcjonalności Systemu na środowisku produkcyjnym, które będą trwały nie dłużej niż 10 dni roboczych. 5. W przypadku stwierdzenia przez Zamawiającego w okresie testowym użytkowania przedmiotu Umowy występowania wad, zostaną one zgłoszone Wykonawcy, a ten jest zobowiązany do niezwłocznego ich usunięcia. 6. Po zakończeniu okresu testowego użytkowania przedmiotu Umowy, a w razie stwierdzenia przez Zamawiającego w tym okresie występowania wad po ich usunięciu przez Wykonawcę, strony podpiszą protokół ostatecznego odbioru przedmiotu Umowy. Protokół podpisany zostanie przez upoważnionych przedstawicieli stron i będzie stanowił podstawę wystawienia przez Wykonawcę faktury VAT. 4 [Obowiązki Stron] 1. Zamawiający zobowiązuje się do dostarczenia lub udostępnienia Wykonawcy elementów infrastruktury technicznej, Systemu SWD i oprogramowania osób trzecich, koniecznych do wykonania przez Wykonawcę prac objętych przedmiotem Umowy, w terminie 3 dni roboczych od dnia podpisania Umowy. 2. Zamawiający wyraża zgodę na zdalny dostęp Wykonawcy do Systemu, w zakresie niezbędnym do wykonania niniejszej Umowy przy zachowaniu procedury powiadomienia administratora systemu Zamawiającego: a) Każde zestawienie połączenia będzie odnotowywane w Rejestrze Usług Serwisowych Zamawiającego przez administratora Systemu SWD Zamawiającego, b) Realizowanie usług z wykorzystaniem zdalnego dostępu do Systemu SWD przez pracowników Wykonawcy może odbywać się wyłącznie po powiadomieniu administratora Systemu SWD Zamawiającego, c) Zamawiający jest zobowiązany do stałego utrzymywania urządzeń niezbędnych do zestawienia połączenia dla celów związanych z realizacją przez Wykonawcę niniejszej Umowy, 2
3. Zamawiający zobowiązuje się do udostępnienia Wykonawcy zdalnego dostępu do Systemu z chwilą podpisania Umowy. do momentu podpisania Protokołu Zdawczo-Odbiorczego o którym mowa w 3 ust. 6. 4. Bezpieczeństwo realizowanego połączenia za pomocą zdalnego dostępu spoczywa na Wykonawcy. 5. Wykonawca przed przystąpieniem do wykonywania prac objętych Umową obowiązany jest uzyskać dla każdej osoby korzystającej ze zdalnego dostępu imienne upoważnienie do przetwarzania danych, do których może uzyskać dostęp w związku prowadzonymi pracami. Do wniosku o wydanie upoważnień winny być załączone oświadczenia osób ubiegających się o zdalny dostęp o zapoznaniu się z przepisami dotyczącymi przetwarzania i ochrony danych oraz zobowiązanie do zachowania w tajemnicy informacji, w tym danych osobowych i sposobu ich zabezpieczenia. 6. Zamawiający w trakcie realizacji Umowy zobowiązuje się ponadto do: 3 a) informowania Wykonawcy o zamiarach wprowadzenia zmian organizacyjnych, mogących mieć wpływ na przebieg prac związanych z realizacją Umowy; zmiany w zakresie prac spowodowane zmianami organizacyjnymi będą dokonywane w formie aneksów do niniejszej Umowy. b) zapewnienia upoważnionym pracownikom Wykonawcy lub jego współpracownikom wstępu na teren Straży Miejskiej przy ulicy Młynarskiej 43/45 w zakresie, w jakim jest to niezbędne do wykonywania niniejszej Umowy oraz możliwości pracy w godzinach pracy Zamawiającego, a także w godzinach popołudniowych i wieczornych po uprzednim pisemnym uzgodnieniu terminów i okresów pracy oraz zapewnienia obecności, w tym czasie upoważnionego przedstawiciela Zamawiającego, c) zapewnienia osobom, wyznaczonym do wykonania przez Wykonawcę określonych prac, koniecznego dostępu do wszelkich źródeł informacji, osób, systemów informatycznych, sprzętu, dokumentów, niezbędnych do prawidłowego i należytego wykonania prac objętych Umową, w zakresie, w jakim Zamawiający takimi osobami, systemami informatycznymi, sprzętem, dokumentami lub informacjami dysponuje lub, które jest zobowiązany zapewnić lub udostępnić, d) zapewnienia osobom wyznaczonym do wykonania przez Wykonawcę określonych prac, koniecznego dostępu do stanowisk komputerowych niezbędnych do prawidłowego i należytego wykonania prac objętych Umową, w tym również w sposób zdalny. e) niezwłocznego odpowiadania na wnioski o wprowadzenie określonych procedur dotyczących realizacji Umowy, wnioski o podanie informacji, raporty na temat problemów występujących w trakcie realizacji Umowy w uzgodnionych każdorazowo terminach. W przypadku, gdy nie są podane konkretne terminy należy odpowiedzieć na piśmie w ciągu trzech (3) dni roboczych na wnioski o podanie informacji licząc od dnia otrzymania danego wniosku, f) zapewnienia dostępu zdalnego poprzez VPN do środowiska serwerowego Systemu wraz z przyznaniem praw administracyjnych na tym środowisku wskazanym pracownikom Wykonawcy.
7. Jeśli z przyczyn nieleżących po stronie Wykonawcy, Zamawiający nie wywiąże się z obowiązków wymienionych w niniejszym paragrafie, zastrzeżone terminy wykonania zobowiązań Umownych ulegną odpowiedniemu przesunięciu 5 [Wynagrodzenie] 1. Za wykonanie przedmiotu Umowy określonego w 1 Wykonawcy przysługuje wynagrodzenie w wysokości. zł. (słownie:. złotych) brutto, w tym należny podatek VAT. 2. Zapłata nastąpi w terminie 21 dni od daty otrzymania prawidłowo wystawionej faktury VAT, wystawionej po podpisaniu ostatecznego protokołu zdawczo odbiorczego, o którym mowa w 3 ust. 6 Umowy, w drodze przelewu na rachunek bankowy Wykonawcy wskazany w fakturze VAT. 3. Za dzień zapłaty uważa się dzień obciążenia rachunku Zamawiającego. 4. Termin zapłaty uważa się za zachowany jeżeli obciążenie rachunku Zamawiającego nastąpiło w ostatnim dniu upływu terminu. 5. Zamawiający zapłaci Wykonawcy odsetki ustawowe za każdy dzień zwłoki w terminie zapłaty. 6 [Gwarancja i Rękojmia] 1. Wykonawca jest odpowiedzialny z tytułu gwarancji w okresie.. miesięcy licząc od daty ostatecznego odbioru przedmiotu umowy potwierdzonego protokołem zdawczo-odbiorczym. 2. Rękojmia za wady przedmiotu umowy obowiązuje na zasadach określonych przepisami Kodeksu cywilnego. 3. Termin przekazania i odebrania przedmiotu umowy protokołem zdawczoodbiorczym jest datą rozpoczęcia okresu gwarancji i rękojmi, który to okres biegnie równolegle. 4. Stwierdzone w okresie gwarancji i rękojmi usterki lub wady działania przedmiotu umowy Wykonawca usunie na własny koszt najpóźniej w terminie 3 dni od daty zgłoszenia albo w terminie określonym przez Zamawiającego w pisemnym zawiadomieniu, jednak nie krótszym niż 3 dni. 5. Zamawiający powiadomi Wykonawcę o powstałych wadach przedmiotu umowy w ciągu 3 dni od ich ujawnienia. 6. Jeżeli Wykonawca nie usunie wad w żądanym terminie, Zamawiający naliczy kary umowne w wysokości 0,05 % wynagrodzenia brutto za każdy dzień zwłoki, liczony od upływu żądanego terminu. Kara umowna zostanie zapłacona przez Wykonawcę na podstawie wystawionej przez Zamawiającego noty księgowej, w terminie 7 dni od daty jej otrzymania. 7 [Poufność] 1. W czasie obowiązywania niniejszej Umowy oraz przez czas nieograniczony po jej wygaśnięciu, Strony zobowiązane są zapewnić poufność informacji 4
dotyczących drugiej Strony pozyskanych w związku z wykonywaniem Umowy i nie ujawniać tych informacji bez uprzedniej pisemnej zgody drugiej Strony. 2. Żadna ze Stron Umowy nie będzie bez uprzedniej pisemnej zgody drugiej Strony kopiować, rozpowszechniać ani ujawniać komukolwiek informacji dotyczących drugiej Strony, jej interesów, finansów lub działań, włącznie z wszelkimi informacjami technicznymi, finansowymi i tajemnicą przedsiębiorstwa, niezależnie od źródeł tych informacji. 3. Obowiązek zachowania poufności nie dotyczy tych informacji, które Wykonawca obowiązany jest publikować jako Spółka Publiczna zgodnie z obowiązującymi przepisami prawa. 4. Obowiązek zachowania poufności nie dotyczy tych informacji, które Zamawiający obowiązany jest udostępnić zgodnie z ustawą o dostępie do informacji publicznej. 8 [Kary Umowne] 1. W przypadku zwłoki w realizacji Umowy Wykonawca zobowiązuje się do zapłaty na rzecz Zamawiającego kary umownej w wysokości 0,5 % wynagrodzenia brutto za każdy dzień zwłoki liczony od upływu terminu określonego w 2 ust. 1 Umowy. 2. W przypadku 3 dniowego opóźnienia w wykonaniu przedmiotu Umowy Zamawiający może odstąpić od wykonania przedmiotu Umowy bez wyznaczenia dodatkowego terminu, żądając zapłaty kary umownej w wysokości 10% wartości przedmiotu Umowy brutto. 3. W przypadku odstąpienia od Umowy przez Zamawiającego lub Wykonawcę z przyczyn, za które wyłączną odpowiedzialność ponosi Wykonawca, Wykonawca zapłaci Zamawiającemu karę Umowną w wysokości 10 % Wynagrodzenia brutto. 4. Kara umowna określona w ust. 1 zostanie potrącona przez Zamawiającego z wynagrodzenia za przedmiot Umowy, na podstawie noty księgowej. 5. Kara umowna określona w ust. 2 i 3 zostanie zapłacona przez Wykonawcę na podstawie wystawionej przez Zamawiającego noty księgowej, w terminie 7 dni od daty jej otrzymania. 6. Maksymalna łączna wysokość kar umownych naliczonych przez Zamawiającego Wykonawcy na podstawie ust. 1 niniejszego paragrafu nie może być wyższa niż 30% wynagrodzenia brutto. 7. Zamawiającemu przysługuje prawo żądania odszkodowania przewyższającego wysokości kar umownych. 8. Jeżeli szkoda rzeczywista będzie wyższa niż kara umowna, Zamawiający będzie uprawniony do dochodzenia na zasadach ogólnych, odszkodowania przekraczającego naliczoną karę umowną. 9 [Osoby odpowiedzialne] 1. Osobą odpowiedzialną za realizację niniejszej Umowy ze strony Zamawiającego jest: a) Pan.. 5
tel. Email:. 2. Osobą odpowiedzialną za realizację niniejszej Umowy ze strony Wykonawcy jest: a). tel.... Email:... 3. Strony zgodnie postanawiają, że każda z osób wskazanych powyżej jest upoważniona do jednoosobowego podpisywania Protokołów Zdawczo- Odbiorczych w imieniu Strony, którą reprezentuje 4. Zmiana osób określonych w ust. 1-2 niniejszego paragrafu nie stanowi zmiany Umowy wymagającej podpisania aneksu i jest skuteczna wobec drugiej Strony z chwilą jej zawiadomienia. 10 [Zawiadomienia] 1. Wszelkie zawiadomienia, żądania, zgody, oświadczenia czy też inne informacje przekazywane którejkolwiek ze Stron niniejszej Umowy przez inną Stronę, w zakresie wykonywania niniejszej Umowy wymagają formy pisemnej, przy czym zostaną uznane za otrzymane i doręczone: a) w chwili ich otrzymania przez Stronę w przypadku doręczenia osobiście lub listem poleconym, za zwrotnym poświadczeniem odbioru, b) w chwili otrzymania potwierdzenia prawidłowego nadania w przypadku przekazu faksowego, przekazu elektronicznego. 2. Zawiadomienia te kierowane będą na następujące adresy: a), e-mail: @strazmiejska.waw.pl; adres pocztowy: Straż Miejska m. st. Warszawy ul. Młynarska 43/45, 01-170 Warszawa faks:.. b).. e-mail:.. adres pocztowy:. faks:. 3. Każda ze Stron może zmienić adres lub osoby, do których zawiadomienia powinny być kierowane zawiadamiając o tym na piśmie drugą Stronę. W przypadku braku takiego zawiadomienia, doręczenia dokonane na adres ostatnio wskazany przez daną Stronę uważa się za skuteczne. 11 [Przetwarzanie danych osobowych Systemu SWD] 1. Administratorem danych osobowych Systemu SWD jest Zamawiający. 2. Wykonawca nie decyduje o celach i środkach przetwarzania danych osobowych w Systemie SWD. 6
3. Zasady przetwarzania przez Wykonawcę danych osobowych Systemu SWD określa Załącznik nr 3 do Umowy. 12 [Postanowienia końcowe] 1. W celu wykonania przedmiotu niniejszej Umowy Wykonawca jest uprawniony do posługiwania się osobami trzecimi za zgodą Zamawiającego, przy czym za działania i zaniechania tych osób ponosi on odpowiedzialność jak za własne działania i zaniechania. 2. Niniejsza Umowa podlega prawu polskiemu. W kwestiach nieuregulowanych w Umowie zastosowanie mają przepisy obowiązującego prawa w tym przepisy kodeksu cywilnego. 3. Zmiany lub uzupełnienia Umowy wymagają formy pisemnej pod rygorem nieważności. 4. Zakazuje się istotnych zmian postanowień umowy w stosunku do treści oferty. 5. Wszelkie spory mogące powstać w przyszłości w wyniku stosowania niniejszej Umowy, Strony poddają pod rozstrzygnięcie sądowi powszechnemu właściwemu miejscowo ze względu na siedzibę Zamawiającego. 6. Niniejsza Umowa została sporządzona w języku polskim w dwóch jednobrzmiących egzemplarzach, każdy na prawach oryginału, w tym jeden egzemplarz dla Zamawiającego oraz jeden egzemplarz dla Wykonawcy. 7. Wszelkie załączniki wymienione i dołączone do niniejszej Umowy stanowią jej integralną część. Załącznikami do niniejszej Umowy są: a) Załącznik nr 1 do Umowy Zakres modyfikacji Systemu SWD, b) Załącznik nr 2 do Umowy Wzór Protokołu Zdawczo-Odbiorczego, c) Załącznik nr 3 do Umowy Umowa o powierzeniu przetwarzania danych osobowych. d) Załącznik nr 4 do Umowy kserokopia druku Oferty ZAMAWIAJĄCY WYKONAWCA 7
8 Załącznik nr 1 do umowy Zakres modyfikacji Systemu Wspomagania Dowodzenia (SWD) wraz z modułem Mandatu Karnego i Oskarżyciela Publicznego (MKOP) w zakresie automatyzacji anonimizacji danych osobowych Zamawiający wymaga zmodyfikowania modułu Anonimizacji w SWD oraz uzupełnienia o moduł anonimizacji/kasowania danych MKOP i SWD z modułami zgodnie z poniższymi założeniami: Wymagania Ogólne: 1. Anonimizacja. a. Anonimizacji mogą podlegać tylko sprawy o statusie zakończone z wyłączeniem anonimizacji wykonywanej na żądanie, która jest przeprowadzana na sprawach w dowolnym stanie ich realizacji. b. Aplikacja musi umożliwiać wykonywanie Anonimizacji danych zgodnie z wymaganiami czasowymi opisanymi poniżej w dalszej części. c. Aplikacja musi umożliwiać wykonywanie Anonimizacji danych na żądanie zgodnie z następującymi kryteriami wyszukiwania. Zakres dat, PESEL, imię, nazwisko, numer telefonu, adres email, nip, regon, numer zdarzenia(sprawy), d. Podczas Anonimizacji kasowaniu podlegają także wszystkie dokumenty i zdjęcia załączone do sprawy w module MKiOP 2. Kasowanie danych a. Kasowaniu mogą podlegać tylko sprawy o statusie zakończone z wyłączeniem Kasowania wykonywanego na żądanie b. Aplikacja musi umożliwiać kasowanie wszystkich zgromadzonych danych w bazach danych zgodnie z dowolnym zakresem dat. Aplikacja musi umożliwiać wykonywanie Kasowania danych na żądanie zgodnie z następującymi kryteriami wyszukiwania: Zakres dat, PESEL, Imię, nazwisko, numer telefonu, adres email, nip, regon, numer zdarzenia(sprawy), c. W trakcie kasowania mają zostać usunięte także wszystkie dokumenty i zdjęcia załączone do zdarzenia/sprawy 3. Wykonawca odpowiedzialny jest za zidentyfikowanie pól w bazie danych zawierających dane osobowe zgodnie ze wskazanymi poniżej danymi osobowych. W przypadku odnalezienia w bazie danych osobowych wyszczególnionych w poniżej Wykonawca obowiązany jest do ustalenia z Zamawiającym sposobu postępowania z tymi danymi, a w szczególności objęcia ich procesem anonimizacji i kasowania. 4. Zamawiający identyfikuje na tym etapie następujące dane stanowiące dane osobowe: a. Imiona (z wyłączeniem imion pracowników SM) b. Nazwiska (z wyłączeniem nazwisk pracowników SM) c. Ulica d. Numer budynku e. Numer lokalu f. PESEL g. NIP h. Miejsce urodzenia
i. Miejsca zatrudnienia j. Data urodzenia k. Obywatelstwo l. Płeć m. Numery dokumentów tożsamości n. Numery dokumentów potwierdzających uprawnienia o. Numery blankietów dokumentów potwierdzających tożsamości lub uprawnienia p. Informacje o dochodach i stanie majątkowym q. Informacje o stanie rodzinnym 5. W przypadku gdy dane wskazane w pkt 4 znajdują się w polu opisowym z pola opisowego powinny zostać usunięte tylko te dane. Zamawiający dopuszcza wprowadzenie w tych polach wskaźników(kodów) umożliwiających oznaczenie tych danych. Wykonana aplikacja musi umożliwiać Zamawiającemu swobodne wprowadzanie oraz modyfikowanie tych znaczników. 6. W przypadku braku możliwości technicznych realizacji czynności opisanych w pkt 5 zamawiający dopuszcza kasowanie tych pól. Ostateczna decyzja w tej sprawie zostanie podjęta po przedstawieniu przez Wykonawcę opinii w tej sprawie. 7. Informacja o przeprowadzonej anonimizacji / kasowaniu ma zostać zapisana w historii sprawy/zdarzenia. Pozostałe wymagania Wymaganie Opis DOSTĘP DO MODUŁU Dostęp do modułu anonimizacji/kasowania danych Uprawnienia jest możliwy tylko dla użytkowników systemu posiadających uprawnienia do anonimizacji/kasowania danych Nadawanie uprawnień do modułu anonimizacji/kasowania musi być możliwe z Nadawanie uprawnień poziomu panelu administracyjnego Administratora i być realizowane przez Zamawiającego z wykorzystaniem interfejsu graficznego. Przypisanie uprawnienia do Zakres uprawnień anonimizacji/kasowania umożliwia wykonanie wszystkich wymagań funkcjonalnych opisanych poniżej Moduł musi umożliwiać dodanie uprawnienia do anonimizacji/kasowania danych wielu Uprawnieni do użytkownikom systemu. Uprawnienie to musi być anonimizacji/kasowania niezależne od innych posiadanych uprawnień. W szczególności od uprawnienia Administratora Systemu INTERFEJS DO ANONIMIZACJI/KASOWANIA DANYCH W celu wykonania anonimizacji/kasowania danych Okno anonimizacji/kasowania wymagane jest aby w systemie uruchamiane było oddzielne okno (tylko dla uprawnionych użytkowników) opisane jako 9
Pola w oknie anonimizacji ZAKRES CZASOWY ANONIMIZACJI/KASOWANIA DANYCH Pola w oknie anonimizacji/kasowania Inne dane Wybór danych do anonimizacji/kasowania DANE ANONIMIZACYJNE/KASOWANE 10 anonimizacja/kasowania danych. Okno to musi posiadać duże pole opisowe w jaskrawym czerwonym kolorze z napisem ANONIMIZACJA lub KASOWANIE Pod napisem musi się znajdować informacja o dacie oraz ilość dni która upłynęła od ostatniej anonimizacji/kasowania Wymagane jest aby w oknie anonimizacji/kasowania znajdowały się następujące pola: DATA OD (data założenia sprawy) pole musi posiadać kalendarz rozwijany umożliwiający nawigację z wykorzystaniem przycisków nawigacyjnych klawiatury oraz myszy. Pole to musi też umożliwiać wprowadzenie w sposób ręczny daty w formacie (rrrr-mm-dd) (rok-miesiąc-dzień) i poprzez możliwość wykorzystania kalendarza. Pole to umożliwia wprowadzenie daty początku wyszukiwania rekordów podlegających anonimizacji/kasowania licząc od godz. 00:00:00 wskazanego dnia DATA DO (data założenia sprawy) pole musi posiadać kalendarz rozwijany umożliwiający nawigację z wykorzystaniem przycisków nawigacyjnych klawiatury oraz myszy. Pole to musi też umożliwiać wprowadzenie w sposób ręczny daty w formacie (rrrr-mm-dd) (rok-miesiąc-dzień) i poprzez możliwość wykorzystania kalendarza. Pole to umożliwia wprowadzenie daty zakończenia wyszukiwania rekordów podlegających anonimizacji/kasowania licząc do godz. 23:59:59 wskazanego dnia Aplikacja musi umożliwiać wyszukiwanie danych wg wymienionych wcześniej kryteriów. W wyświetlonej liście rekordów do anonimizacji/kasowania muszą znajdować się następujące pola Pole wyboru (check box) domyślnie oznaczone jako dane do anonimizacji/kasowania. Po odznaczeniu tego pola rekord ten nie będzie anonimizowany/kasowany, numer zdarzenia (sprawy), data zdarzenia, Imię, Nazwisko, numer pesel (o ile występuje) Na podstawie kryterium wyszukiwania jakim jest data, lub inne kryteria opisane powyżej aplikacja wykonuje wyszukanie w bazie danych rekordów zawierających dane osobowe z wyłączeniem rekordów realizujących zadania logu aplikacji bądź logu zdarzenia i prezentuje użytkownikowi wykonującemu anonimizacje/kasowanie w postaci tabelarycznej zawierającej informację o numerze
Dane dotyczące wykonania anonimizacji/kasowania DANE KOMISJI ANONIMIZACJI Działanie przycisku anonimizacja/kasowanie 11 zdarzenia, którego te dane dotyczą, danych osobowych zgromadzonych w systemie, wszystkie pola (celowe i opisowe) służące do ich gromadzenia. Dane podlegające anonimizacji/kasowanie nie mogą być danymi, które znajdują się w zdarzeniach o statusie nie zakończone niezależnie od zakresu wskazanych dat. Każde z prezentowanych pół musi być wyświetlone w oddzielnej kolumnie i być pogrupowane dla danego zdarzenia. Użytkownik wykonujący anonimizację/kasowanie musi mieć możliwość zaznaczenia/odznaczenia wskazanych zdarzeń, które zostaną wyłączone z procesu anonimizacji/kasowania. Wybór musi być możliwy poprzez wybór funkcji: zaznacz wszystko, odznacz wszystko, zaznacz/odznacz poszczególne rekordy. Dane mogą być prezentowane w formie listy przewijalnej. Jednakże pole to musi być tak przygotowane aby nie było konieczności przewijania w bok dla monitorów o rozdzielczości nie mniejszej niż 1028x764, w taki sposób by było ono możliwe do zrealizowania a zawartość kolumny była czytelna. Po wybraniu funkcji na dole zestawienia musi pojawiać się informacja liczbowa o ilości zdarzeń podlegających anonimizacji. oraz ilości stron na jakich prezentowana jest informacja(ilość wymaganych przewinięć) Wymagane jest aby pod polem Dane Anonimizacyjne/Kasowania znajdowało się pole wyświetlające imię i nazwisko osoby wykonującej anonimizację danych (pobrane z ustawień systemowych profilu użytkownika posiadającego uprawnienie anonimizacji/kasowania, jak również muszą zostać wyświetlone dane: data wyszukanych danych do anonimizacji/kasowania, kryteria dat użytych do wyszukania rekordów podlegających anonimizacji/kasowania zgodne z zakresem czasowym, ilość wyszukanych rekordów podlegających anonimizacji/kasowania zgodnie z wartością podaną w polu Dane anonimizacyjne/kasowania. Przycisk oznaczony WYKONAJ ANONIMIZACJĘ/kasowanie. Po wciśnięciu przycisku anonimizacja/kasowanie wymagane jest aby pojawiło się okienko z opisem CZY CHCESZ WYKONAĆ ANONIMIZACJĘ/KASOWANIE oraz dwoma przyciskami TAK, NIE. Domyślnie kursor ma być
Anonimizacja/kasowanie Informacje historyczne ustawiony na polu NIE. Anonimizacja/Kasowanie wykonywane jest dopiero po wybraniu przycisku TAK Po wybraniu przycisku tak funkcja musi wykonać operacje na bazie danych wykonująca nadpisanie wartości podlegających anonimizacji/kasowania pustą wartością (NULL, SPACJA) w zależności od możliwości technicznych właściwych dla danego pola i niezbędnych do prawidłowego działania systemu INFORMACJE O ANONIMIZACJI/KASOWANIU Moduł anonimizacji/kasowania musi umożliwiać gromadzenie informacji dotyczących wykonanych anonimiazacji/kasowania i zawierać następujące dane: Data wykonania anonimizacji/kasowania wraz z godziną wykonania, zakres dat objęty anonimizacją/kasowaniem, ilość zdarzeń podlegających anonimizacji/kasowaniu, imię i nazwisko osoby wykonującej anonimizację/kasowanie, imię i nazwisko pozostałych osób z komisji anonimizacyjnej/kasowania Raport z anonimizacji/kasowania Pozostałe 12 Po zakończeniu procesu anonimizacji/kasowania aplikacja musi umożliwiać wygenerowanie, drukowanie oraz zapisanie w formacie pdf z etykietą edytowalną raportu zawierającego dane: Data wykonania anonimizacji/kasowania wraz z godziną wykonania, zakres dat objęty anonimizacją/kasowania, ilość zdarzeń podlegających anonimizacji/kasowania, imię i nazwisko osoby wykonującej anonimizację/kasowanie, imię i nazwisko pozostałych osób z komisji anonimizacyjnej/kasowania. Miejsce na podpis członków komisji, Administratora Bezpieczeństwa Informacji oraz Administratora Danych. Wzór protokołu opracuje wykonawca i przedstawi do akceptacji zamawiającemu Czas usuwania każdy 1000 rekordów ma się usuwać w czasie nie dłuższym niż 300 sekund dla maszyny o parametrach 16GB RAM, 2 procesorowej o łącznej liczbie rdzeni 16 Wykonywania procesu anonimizacji/kasowania nie wpłynie na stabilność pracy aplikacji w których dokonywana jest operacja, inni użytkownicy będą mogli w tym samym czasie wykonywać wszystkie inne czynności w aplikacji, związane co najmniej z odczytem danych Anonimizacja/kasowania będzie możliwa do
wykonania na każdej jednostce komputerowej, anonimizację/kasowanie jednocześnie będzie mógł wykonać więcej niż jeden użytkownik, któremu nadano uprawnienia do anonimizacji/kasowania. (gdyż może zdarzyć się, że każdy uprawniony użytkownik będzie robił anonimizację/kasowanie za inny okres ). Jeśli pokryje się okres, za który jest anonimizacja/kasowanie wykonywana jednocześnie przez kilku użytkowników system da komunikat. pola w których dane zostaną zanonimizowane pozostaną puste, lub wypełnione wartościami domyślnymi lub wartościami zależnymi od typu pola z zastrzeżeniem pozostawiony identyfikator podlega przekształceniu w sposób uniemożliwiający potraktowanie go jako danej osobowej. Zamawiający oczekuje rozwiązania zapewniającego realizację następującego procesu anonimizacji i kasowania danych przy uwzględnieniu wyżej opisanych funkcjonalności. 1. Wykonanie anonimizacji danych polegające na wykasowaniu wartości z pól bazy danych stanowiących daną osobową. 2. Przeniesienie danych w formie z anonimizowanej do hurtowni danych. 3. Wykasowanie z bazy produkcyjnej rekordów z anonimizowanych, które zostały przeniesione do hurtowni danych. 4. Anonimizowane/kasowanie danych osobowych nie może wpłynąć na integralność danych w systemach i hurtowni. 13
Załącznik nr 2 do Umowy Wzór Protokołu Zdawczo-Odbiorczego UMOWA NR Strona Protokół Zdawczo - Odbiorczy Nr 1 Skład komisji: Lp. Funkcja Imię i nazwisko 1 2 3 4 Przedmiot odbioru: Lp. Przedmiot Status Uwagi 1 Podpisy: Lp. Strony Podpis Data 1 ZAMAWIAJĄCY 2 WYKONAWCA 14
Załącznik nr 3 do Umowy Umowa o przetwarzaniu przetwarzania danych osobowych UMOWA O POWIERZENIU PRZETWARZANIA DANYCH OSOBOWYCH zawarta w Warszawie w dniu 2015 r. pomiędzy: Strażą Miejską Miasta Stołecznego Warszawy, z siedzibą 01-170 Warszawa, ul. Młynarska 43/45, NIP: 526-21-50-068, REGON 015271428, zwaną dalej Powierzającym, reprezentowaną przez: Zbigniewa LESZCZYŃSKIEGO - Komendanta Straży Miejskiej, posiadającego pisemne pełnomocnictwo nr GP-0158/3141/2007 z dnia 14.05.2007r. udzielone przez Prezydenta m. st. Warszawy a...... zwaną dalej Wykonawcą, zwanymi dalej wspólnie Stronami lub każdą z osobna Stroną. Preambuła Zważywszy, że Powierzający oraz Przetwarzający w dniu 2015 r. podpisali pomiędzy sobą umowę nr na modernizację Systemu Wspomagania Dowodzenia, wdrożonego u Zamawiającego, a której realizacja nie jest możliwa bez przetwarzania zbiorów danych osobowych administrowanych przez Powierzającego, Strony na podstawie art. 31 ustawy z dnia 29 sierpnia 1997 roku o ochronie danych osobowych (tekst jednolity Dz. U. z 2002 r. Nr 101, poz. 926, z późn. zm.), zgodnie z którym administrator danych może powierzyć innemu podmiotowi przetwarzanie danych osobowych w drodze umowy zawartej na piśmie, postanawiają zawrzeć następującej treści Umowę: 1 Definicje Strony przyjmują następujące znaczenie dla poniżej wymienionych sformułowań: 1. Administrator Danych Osobowych należy przez to rozumieć Powierzającego, decydującego o celach i środkach przetwarzania danych osobowych, 2. Administrator Bezpieczeństwa Informacji osoba zgodnie z art. 36 ust. 3 15
Ustawy wyznaczona do nadzorowania przestrzegania zasad ochrony danych osobowych w organizacji Powierzającego, 3. Oferta oferta Przetwarzającego, stanowiąca Załącznik nr 1 do Umowy Modernizacji SWD, 4. Ustawa Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r., nr 101, poz. 926, ze zm.). 5. Rozporządzenie rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. nr 100, poz. 1024), 6. System SWD System Wspomagania Dowodzenia, wdrożony u Powierzającego w ramach umowy z dnia 11 sierpnia 2005 r. (nr SM-221/05; nr WASKO: 142/DSM/US/2005), 7. Umowa niniejsza umowa, 8. Umowa Modernizacji SWD umowa z dnia 2015 r. nr, na modernizację Systemu SWD, 2 Przedmiot Umowy 1. Powierzający oświadcza, że w rozumieniu Ustawy jest administratorem zbioru danych osobowych pod nazwą Baza danych osobowych w postępowaniu mandatowym, skarbowym i interwencjach, zarejestrowanym w GIODO Nr księgi: 050597 Data zatw./aktual.: 2012-06-11 Nr zgł.: 020424/1999, 2. W celu realizacji zawartej Umowy Modernizacji SWD, Powierzający na mocy Umowy powierza Przetwarzającemu, a Przetwarzający przyjmuje do przetwarzania, dane osobowe zawarte w zbiorach danych osobowych, o których mowa w ust. 1. 3. Przetwarzający będzie wykonywał przedmiot Umowy w miejscach wskazanych przez Powierzającego, tj. w Warszawie przy ul. Młynarskiej 43/45. 4. Powierzający dane osobowe w uzasadnionych przypadkach zezwoli na przetwarzanie danych osobowych wskazanych 2 ust.1 przez Wykonawcę po przez zdalny dostęp z siedziby Wykonawcy 5. Przetwarzający nie jest uprawniony do wprowadzania nowych danych do wskazanych w ust. 1 zbiorów danych osobowych, ani ingerencji w treść przetwarzanych danych osobowych w sposób sprzeczny w warunkami Oferty, a także do jakiegokolwiek dalszego ich wykorzystania lub udostępniania. 16
3. Oświadczenia Stron 1. Przetwarzający oświadcza, iż zatrudnia pracowników posiadających doświadczenie i wiedzę, niezbędne do wykonania przedmiotu Umowy. 2. Przetwarzający oświadcza, iż spełnia wymagania określone w art. 36 39 Ustawy o ochronie danych osobowych dotyczące zabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem, jak również, że sposób prowadzenia i zakres dokumentacji, o której mowa w art. 39a wyżej wskazanej Ustawy oraz środki techniczne i organizacyjne zastosowane w celu zapewnienia ochrony przetwarzanych danych są zgodne z przepisami rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. z 2004 r. Nr 100, poz. 1024). 3. Przetwarzający nie decyduje o celach i środkach przetwarzania powierzonych danych osobowych w Systemie SWD. 4. Powierzający oświadcza, że zgłosił zbiory danych osobowych wskazane w 2 ust. 1 Umowy do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych. 5. Powierzający oświadcza, że powierzone dane nie ujawniają bezpośrednio ani w jakimkolwiek kontekście danych osobowych wymienionych w art. 27 ust. 1 Ustawy. 6. Powierzający oświadcza, że dane osobowe przetwarza na podstawie art. 23 ust. 1 pkt 2 i powierza je na podstawie art.31 ust. 1 i 2 Ustawy. 4. Obowiązki Stron 1. Przetwarzający zobowiązuje się do zapewnienia bezpieczeństwa przetwarzanych danych osobowych zgodnie z art. 36-39 Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych oraz zgodnie z rozporządzeniem, polegającego w szczególności na przestrzeganiu obowiązujących polityk bezpieczeństwa danych osobowych i instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Straży Miejskiej m.st. Warszawy. 2. Przetwarzający, zobowiązuje się umożliwić Administratorowi Bezpieczeństwa Informacji lub upoważnionym przez niego osobom, sprawdzenie w godzinach pracy, stanu bezpieczeństwa przetwarzania danych osobowych oraz usunąć w terminie 5 dni roboczych wszelkie dostrzeżone i odpowiednio uzasadnione niedociągnięcia w tym zakresie. 3. Powierzający zobowiązuje się do przekazywania Przetwarzającemu, aktualnych informacji o obowiązującej u siebie dokumentacji dotyczącej ochrony danych 17
osobowych, umożliwiających kontrolę przetwarzania danych osobowych, o której mowa w ust. 2 niniejszego paragrafu. 4. Przetwarzający zobowiązuje się do odebrania oświadczenia w zakresie powierzenia przetwarzania danych osobowych od każdego współpracownika Przetwarzającego, zaangażowanego w proces przetwarzania zbiorów danych osobowych powierzonych do przetwarzania na mocy Umowy, którego wzór stanowi Załącznik B. 5. Do przetwarzania danych osobowych mogą być dopuszczeni jedynie pracownicy lub współpracownicy Przetwarzającego, posiadający imienne upoważnienie Powierzającego do przetwarzania danych osobowych. 6. Powierzający zobowiązany jest do prowadzenia ewidencji pracowników lub współpracowników Przetwarzającego upoważnionych przez Powierzającego do przetwarzania danych osobowych w związku z wykonywaniem Umowy Modernizacji SWD. 7. Liczba osób, o których mowa w ust. 4, 5 i 6 zawarta jest w Załączniku A do Umowy. 5. Współpraca Stron 1. O ile Strony nie postanowią inaczej, w przypadku rozwiązania lub wygaśnięcia Umowy, Przetwarzający zobowiązuje się niezwłocznie zwrócić Powierzającemu wszystkie przekazane nośniki, na których znajdują się powierzone dane osobowe, oraz usunąć wszelkie kopie tych danych ze wszystkich innych nośników. Przetwarzający zobowiązuje się niezwłocznie przesłać Powierzającemu protokół z dokonania powyższych czynności. 2. Przetwarzający zobowiązuje się do niezwłocznego poinformowania Powierzającego o jakimkolwiek prowadzonym w stosunku do niego postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania przez niego danych osobowych. 3. Przetwarzający zobowiązuje się do niezwłocznego poinformowania Administratora Bezpieczeństwa Informacji o każdym przypadku naruszenia przepisów dotyczących ochrony powierzonego zbioru danych osobowych. 6. Odpowiedzialność Przetwarzającego 1. Przetwarzający przyjmuje do wiadomości, iż w zakresie przestrzegania przepisów dotyczących przetwarzania powierzonych mu danych osobowych, ponosi odpowiedzialność wyłącznie wobec Powierzającego zgodnie z ustawą o ochronie danych osobowych i w zakresie określonym w niniejszej Umowie. 2. Przetwarzający ponosi odpowiedzialność za szkody, jakie powstaną u Powierzającego w wyniku niezgodnego z Umową przetwarzania przez Przetwarzającego powierzonych mu danych osobowych. 18
7. Zobowiązanie do zachowania poufności danych osobowych 1. Osoby biorące w imieniu Przetwarzającego udział w przetwarzaniu danych osobowych zostaną zobowiązane do zachowania w tajemnicy wszelkich informacji uzyskanych w związku z przetwarzaniem danych osobowych, poprzez podpisanie oświadczenia, zgodnie ze wzorem określonym w Załączniku B do niniejszej Umowy. 2. Przetwarzający zobowiązuje się zachować w tajemnicy wszelkie informacje związane z powierzeniem danych osobowych, przez okres realizacji Umowy jak również bezterminowo po ustaniu Umowy. 8. Postanowienia końcowe 1. Umowa obowiązuje od dnia jej podpisania. 2. Umowa wygasa w całości w przypadku rozwiązania lub wygaśnięcia niniejszej Umowy. 3. Zmiany lub uzupełnienia Umowy wymagają formy pisemnej, pod rygorem nieważności. 4. Wszelkie spory mogące powstać w przyszłości w wyniku stosowania niniejszej Umowy, Strony poddają pod rozstrzygnięcie sądowi powszechnemu właściwemu miejscowo ze względu na siedzibę Powierzającego. 5. W zakresie nieuregulowanym przez Umowę zastosowanie znajdują przepisy Ustawy oraz Kodeksu cywilnego. 6. Niniejsza Umowa została sporządzona w trzech jednobrzmiących egzemplarzach, każdy na prawach oryginału, w tym dwa egzemplarze dla Powierzającego oraz jeden egzemplarz dla Przetwarzającego. 7. Integralną część Umowy stanowią załączniki: 1) Załącznik A Wykaz osób upoważnionych do przetwarzania danych osobowych w siedzibie Przetwarzającego. 2) Załącznik B Wzór oświadczenia o zobowiązania o zachowaniu poufności. Powierzający Przetwarzający 19
Załącznik A do umowy o powierzeniu przetwarzania danych osobowych Wykaz osób wskazanych przez Przetwarzającego, które zostaną upoważnione przez Powierzającego do przetwarzania danych osobowych. Lp. Login Imię i Nazwisko Stanowisko 1. 2. 3. 20
Załącznik B do umowy o powierzeniu przetwarzania danych osobowych (imię i nazwisko) (seria, nr dow. os.) (nazwa) Wzór oświadczenia Oświadczenie W związku z wykonywaniem prac w celu realizacji Umowy z dnia o powierzeniu przetwarzania danych osobowych (nr ) oraz Umowy Modernizacji SWD z dnia (nr ), stwierdzam własnoręcznym podpisem, że znana mi jest treść przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. nr 100, poz. 1024), oraz aktami wykonawczymi dotyczącymi przetwarzania danych osobowych w Straży Miejskiej m.st. Warszawy. Zobowiązuję się do zachowania w tajemnicy informacji udostępnionych mi w związku z realizacją niniejszej Umowy. Jestem świadomy/a/, wynikających z powyższego oświadczenia, obowiązków oraz odpowiedzialności dyscyplinarnej i karnej jak również tego, że obowiązek zachowania w tajemnicy danych osobowych jest nieograniczony w czasie i trwa również po ustaniu z realizacją niniejszej Umowy. Natychmiast zgłoszę przełożonemu i Administratorowi Bezpieczeństwa Informacji w Straży Miejskiej m.st. Warszawy, stwierdzenie próby lub faktu naruszenia ochrony lub bezpieczeństwa danych osobowych do których będę miał/a/ dostęp. Warszawa. 2015 r. /podpis/ 21