BDG.V.211.26.2016.AD Załącznik nr 2 do SIWZ zawarta w Warszawie, w dniu... pomiędzy: UMOWA nr Skarbem Państwa Ministerstwem Rozwoju z siedzibą w Warszawie, zwanym dalej Zamawiającym, reprezentowanym przez... działającą/-ego na podstawie pełnomocnictwa z dnia..., którego kopia stanowi załącznik nr 1 do umowy a *gdy kontrahentem jest spółka prawa handlowego: spółką pod firmą z siedzibą w... (wpisać tylko nazwę miasta/miejscowości), zwaną dalej Wykonawcą, wpisaną do Rejestru Przedsiębiorców Krajowego Rejestru Sądowego w pod numerem... zgodnie z wydrukiem z Centralnej Informacji Krajowego Rejestru Sądowego, stanowiącym załącznik nr 2 do umowy, reprezentowaną przez... 1 /reprezentowaną przez działającą/-ego na podstawie pełnomocnictwa, stanowiącego załącznik nr 2a do umowy 2, *gdy kontrahentem jest osoba fizyczna prowadząca działalność gospodarczą: Panią/Panem, zwaną/-ym dalej Wykonawcą, legitymującą/-ym się dowodem osobistym seria i numer, o numerze PESEL, zamieszkałą/-ym pod adresem, prowadzącą/-ym działalność gospodarczą pod firmą z siedzibą w (wpisać tylko nazwę miasta/miejscowości) zgodnie z wydrukiem z Centralnej Ewidencji i Informacji o Działalności Gospodarczej, stanowiącym załącznik nr 2 do umowy, reprezentowaną/-ym przez działającą/-ego na podstawie pełnomocnictwa, stanowiącego załącznik nr 2a do umowy 3, zaś wspólnie zwanymi dalej Stronami, o następującej treści: 1. 1. Strony oświadczają, że umowa została zawarta w wyniku udzielenia zamówienia publicznego w trybie przetargu nieograniczonego na podstawie art. 39 ustawy z dnia 29 stycznia 2004 r. Prawo zamówień publicznych (Dz. U. z 201 r., poz. 2164). 2. Wykonawca oświadcza, że spełnia warunki określone w art. 22 ust. 1 ustawy, o której mowa w ust. 1 oraz nie podlega wykluczeniu na podstawie art. 24 ust. 1 i 2 tej ustawy. 2. 1. Przedmiot umowy, zwany dalej zadaniem, obejmuje wykonanie badania ewaluacyjnego pt Ewaluacja projektów transportowych z perspektywy POIiŚ 2007 2013, w celu zapewnienia skutecznej realizacji projektów kolejowych w ramach V osi priorytetowej POIiŚ 2014-2020. 2. Wykonawca zobowiązuje się wykonać zadanie: 1) zgodnie ze Szczegółowym opisem przedmiotu zamówienia, stanowiącym załącznik nr 3 do umowy. 2) Wykonawca oświadcza, że wykonanie zadania powierzy osobom wskazanym w ofercie Wykonawcy oraz że osoby te posiadają kwalifikacje niezbędne do prawidłowego wykonania zadania. 3) Wykonawca zobowiązuje się wykonać zadanie w terminie 130 dni roboczych od dnia zawarcia umowy. 3. 1 Jeżeli przy zawarciu umowy działa osoba pełniąca funkcję organu (członka organu) lub prokurent spółki. 2 Jeżeli przy zawarciu umowy działa pełnomocnik spółki. 3 Jeżeli przy zawarciu umowy działa pełnomocnik tej osoby. 1
1. Strony uzgadniają, że za wykonanie zadania Wykonawca otrzyma wynagrodzenie w kwocie (słownie: 00/100) złotych netto, powiększone o wartość podatku od towarów i usług według stawki %, co daje kwotę w wysokości. zł brutto, zwane dalej wynagrodzeniem. 2. Zapłata wynagrodzenia o którym mowa w ust. 1 nastąpi przelewem na rachunek bankowy o numerze.., w terminie 14 dni od dnia doręczenia Zamawiającemu prawidłowo wystawionej faktury VAT. Podstawą wystawienia faktury VAT jest protokół sporządzony przez Zamawiającego zgodnie z 4. Fakturę VAT należy doręczyć Zamawiającemu pod adres: Ministerstwo Rozwoju, Departament Programów Infrastrukturalnych, Wydział Projektów Własnych, Pl. Trzech Krzyży 3/, 00-07 Warszawa, NIP: 26-28-9-199. Zamawiający wyraża zgodę na przesłanie faktury w formie elektronicznej. Faktura zostanie wysłana z adresu mailowego Wykonawcy:.na adres mailowy Zamawiającego: faktury@mr.gov.pl. 2. Dniem zapłaty wynagrodzenia jest dzień wydania dyspozycji przelewu z rachunku bankowego Zamawiającego. 3. Za każdy dzień opóźnienia w zapłacie wynagrodzenia Wykonawca może żądać od Zamawiającego odsetek ustawowych. 4. Zamawiający nie wyraża zgody na przelew (cesję) wierzytelności Wykonawcy z tytułu realizacji niniejszej umowy na osoby trzecie.. Zamawiający oświadcza, że wynagrodzenie jest finansowane z w 8 % ze środków Unii Europejskiej, w ramach Funduszu Spójności i w 1 % ze środków budżetu państwa. 6. Wynagrodzenie, o którym mowa w ust 1, zaspokaja wszelkie roszczenia Wykonawcy z tytułu wykonania umowy, w tym roszczenia z tytułu przeniesienia na Zamawiającego autorskich praw majątkowych do wszystkich utworów powstałych w związku z jej wykonywaniem, zwanych dalej utworami. 4. 1. W terminie 7 dni roboczych od dnia wykonania przez Wykonawcę zadania Zamawiający sporządzi protokół z wykonania zadania, zwany dalej protokołem. 2. Protokół powinien zawierać w szczególności: 1) datę i miejsce jego sporządzenia; 2) oświadczenie Zamawiającego o braku albo o istnieniu zastrzeżeń do wykonania zadania, w tym o braku albo o istnieniu wad zadania. 3. Zastrzeżenia, o których mowa w ust. 2 pkt 2, Zamawiający zgłosi w protokole, jeżeli stwierdzi, że zadanie wykonano w sposób niezgodny z umówionym przez Strony, wskazanym w szczególności w załączniku nr 3 do umowy. 4. W razie stwierdzenia w protokole wad, jeśli ich usunięcie będzie możliwe i celowe, Zamawiający pisemnie wyznaczy Wykonawcy stosowny termin, nie dłuższy jednak niż 3 dni robocze, w celu usunięcia stwierdzonych protokołem wad zadania. Wykonawca zobowiązuje się usunąć wady w wyznaczonym przez Zamawiającego terminie, bez osobnego wynagrodzenia z tego tytułu.. W terminie 7 dni roboczych od dnia przekazania poprawionej wersji zadania Zamawiający sporządzi kolejny protokół. Zapisy ust 2 stosuje się odpowiednio. 6. Wraz z bezskutecznym upływem terminu wyznaczonego na podstawie ust. 4, Zamawiający może, w terminie 7 dni roboczych od bezskutecznego upływu terminu, od umowy odstąpić i żądać od Wykonawcy zapłaty kary umownej określonej w 6 ust. 2. 7. Jeżeli Zamawiający stwierdzi, że przedłożona przez Wykonawcę poprawiona wersja zadania w dalszym ciągu zawiera wady, Zamawiający może, w terminie 7 dni roboczych od stwierdzenia istnienia wad, od umowy odstąpić i żądać od Wykonawcy zapłaty kary umownej w wysokości 2 % wynagrodzenia brutto, określonego w 3 ust. 1 lub przyjąć wykonane zadanie z wadą, potrącając karę umowną w wysokości 10 % wynagrodzenia brutto, określonego w 3 ust. 1. 8. Strony uzgadniają, że w razie zawinionego uchylania się przez Wykonawcę od podpisania protokołu w terminie 7 dni roboczych od dnia otrzymania protokołu, Zamawiający może, w terminie 7 dni roboczych liczonego od upływu tego terminu, od umowy odstąpić lub uznać treść sporządzonego przez siebie projektu protokołu za zaakceptowany przez Wykonawcę. 2
. Jeżeli w toku wykonywania umowy Wykonawca stwierdzi zaistnienie okoliczności, które dają podstawę do oceny, że jakakolwiek część zadania nie zostanie wykonana w umówionym zakresie lub terminie, niezwłocznie pisemnie powiadomi Zamawiającego o takim niebezpieczeństwie, wskazując jego przyczynę i prawdopodobny czas opóźnienia. 6. 1. W razie niewykonania zadania w terminie określonym w 2 ust. 2 pkt 3, Wykonawca zapłaci Zamawiającemu karę umowną w wysokości 2 % wynagrodzenia brutto, o którym mowa w 3 ust. 1. 2. W razie bezskutecznego upływu terminu wyznaczonego na podstawie 4 ust. 4, Wykonawca zapłaci Zamawiającemu karę umowną w wysokości 1 % wynagrodzenia brutto, o którym mowa w 3 ust. 1. 3. Za każdy dzień zwłoki w wykonaniu zadania Wykonawca zapłaci Zamawiającemu karę umowną w wysokości 0,% wynagrodzenia brutto, o którym mowa w 3 ust. 1 licząc od dnia upływu terminu określonego w 2 ust. 2 pkt 3. 4. Zamawiający może dochodzić na zasadach ogólnych odszkodowania przewyższającego zastrzeżone na jego rzecz kary umowne.. Strony uzgadniają, że w razie naliczenia przez Zamawiającego kar umownych, Zamawiający potrąci z wynagrodzenia całkowitego kwotę stanowiącą równowartość tych kar, i tak pomniejszone wynagrodzenie całkowite wypłaci Wykonawcy. 7. 1. W ramach wynagrodzenia Wykonawca: 1) przenosi na Zamawiającego autorskie prawa majątkowe do utworów; 2) zezwala Zamawiającemu na korzystanie z opracowań utworów oraz na rozporządzanie tymi opracowaniami tj. udziela Zamawiającemu prawa zależnego. 2. Nabycie przez Zamawiającego praw, o których mowa w ust. 1, następuje: 1) z chwilą zapłaty wynagrodzenia, oraz 2) bez ograniczeń co do terytorium, czasu, liczby egzemplarzy, w zakresie pól eksploatacji wskazanych w art. 0 ustawy, o której mowa w ust. 4, w tym w szczególności w zakresie: a) utrwalanie w szczególności drukiem, zapisem w pamięci komputera i na nośnikach elektronicznych, oraz zwielokrotnianie tak powstałych egzemplarzy dowolną techniką, b) użyczenie, najem i sprzedaż egzemplarzy, c) publiczne udostępnianie, w szczególności poprzez prezentację na spotkaniach z udziałem Zamawiającego i zamieszczanie w sieci Internet. 3. Równocześnie z nabyciem autorskich praw majątkowych do utworów Zamawiający nabywa własność wszystkich egzemplarzy, na których utwory zostały utrwalone. 4. Wykonawca zobowiązuje się, że wykonując umowę będzie przestrzegał przepisów ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (Dz. U. z 2006 r. Nr 90, poz. 631,,z późn. zm.) i nie naruszy praw majątkowych osób trzecich, a utwory przekaże Zamawiającemu w stanie wolnym od obciążeń prawami tych osób. 8 1. Zamawiający, jako administrator danych osobowych, zbieranych i przetwarzanych w ramach zbiorów pn. Program Operacyjny Infrastruktura i Środowisko 2007-2013, Program Operacyjny Infrastruktura i Środowisko 2014-2020 oraz Instrument Łącząc Europę (CEF) w sektorze transportu, powierza Wykonawcy, w trybie art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 201 r. poz. 213 z późn. zm.), zwanej dalej: Ustawą, przetwarzanie - w imieniu i na rzecz Zamawiającego - danych osobowych w celu realizacji badania ewaluacyjnego pt. Ewaluacja projektów transportowych z perspektywy POIiŚ 2007-2013, w celu zapewnienia skutecznej realizacji projektów kolejowych w ramach V osi priorytetowej POIiŚ 2014-2020. Powierzone do przetwarzania dane osobowe w ramach ww. zbiorów zostaną przekazane Wykonawcy na nośniku - płycie CD zabezpieczonej hasłem. Zamawiający 3
zobowiązuje się do przekazania haseł w sposób zapewniający ich poufność, a Wykonawca oświadcza, że dostęp do haseł odbędzie się na zasadach, o których mowa powyżej. 2. Wykonawca oświadcza, że znane są mu przepisy prawa w zakresie ochrony i przetwarzania danych osobowych, w tym przepisy Ustawy oraz aktów wykonawczych do Ustawy, w tym rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. 2004 nr 100 poz. 1024) - a ponadto zobowiązuje się do ich przestrzegania,co oznacza, że bierze na siebie obowiązek przetwarzania powierzonych mu do przetwarzania danych osobowych zgodnie z wyżej wymienionymi przepisami. 3. Wykonawca zobowiązuje się w szczególności do: 1) podjęcia oraz zapewnienia przewidzianych przepisami prawa środków ochrony (technicznych i organizacyjnych), umożliwiających należyte zabezpieczenie powierzonych do przetwarzania danych osobowych - jeszcze przed rozpoczęciem ich przetwarzania; 2) poinformowania Zamawiającego w nieprzekraczalnym terminie 1 dni roboczych od dnia podpisania niniejszej Umowy o podjętych środkach ochrony (technicznych i organizacyjnych) - w celu dokonania przez Powierzającego zgłoszenia aktualizacyjnego do Generalnego Inspektora Danych Osobowych (przekazanie informacji w przedmiotowym zakresie nastąpi zgodnie ze wzorem stanowiącym załącznik nr do niniejszej umowy); 3) prowadzenia dokumentacji opisującej sposób przetwarzania powierzonych do przetwarzania danych osobowych oraz środki techniczne i organizacyjne, służące zapewnieniu ich ochrony; 4) przetwarzania powierzonych do przetwarzania danych osobowych wyłącznie w celu i w zakresie wynikającym z niniejszej Umowy; ) ograniczenia dostępu do powierzonych do przetwarzania danych osobowych wyłącznie do osób posiadających stosowne upoważnienia do przetwarzania powierzonych do przetwarzania danych osobowych, wydane przez Zamawiającego po uprzednim ich wskazaniu przez Wykonawcę; 6) przestrzegania należytej staranności oraz zachowania w tajemnicy lub w poufności powierzonych do przetwarzania danych osobowych oraz sposobów ich przetwarzania, w tym również po upływie terminu obowiązywania niniejszej Umowy; 7) zapewniania przechowywania dokumentów w sposób zabezpieczający powierzone do przetwarzania dane osobowe przed: dostępem do nich osób nieupoważnionych do ich przetwarzania, przetwarzaniem z naruszeniem ustawy, nieautoryzowaną zmianą, utratą, uszkodzeniem lub zniszczeniem; 8) usunięcia powierzonych do przetwarzania danych osobowych w ramach zbiorów z elektronicznych nośników informacji wielokrotnego zapisu w sposób trwały i nieodwracalny oraz zniszczenia nośników papierowych i elektronicznych nośników informacji jednokrotnego zapisu, będących w posiadaniu Wykonawcy w terminie 7 dni roboczych po zakończeniu realizacji niniejszej Umowy; 9) niezwłocznego przekazania Zamawiającemu pisemnego oświadczenia, w którym Wykonawca potwierdzi, że nie jest w posiadaniu żadnych danych osobowych, których przetwarzanie zostało mu powierzone niniejszą Umową, po zrealizowaniu zobowiązań z niej wynikających; 10) niezwłocznego poinformowania Zamawiającego o wszelkich przypadkach naruszenia obowiązków dotyczących ochrony powierzonych do przetwarzania danych osobowych, naruszenia tajemnicy tych danych osobowych lub ich niewłaściwego wykorzystania, 11) niezwłocznego poinformowania Zamawiającego o wszelkich czynnościach z własnym udziałem w sprawach dotyczących ochrony powierzonych do przetwarzania danych osobowych, prowadzonych w szczególności przez Generalnego Inspektora Ochrony Danych Osobowych, urzędy państwowe, policję lub sąd; 12) umożliwienia Zamawiającemu lub podmiotowi przez niego upoważnionemu dokonania kontroli zgodności przetwarzania powierzonych do przetwarzania danych osobowych - w miejscach, w których są one przetwarzane - w zakresie sposobów wykonywania postanowień niniejszej Umowy (wówczas pisemne zawiadomienie o zamiarze 4
przeprowadzenia kontroli będzie przekazane Wykonawcy co najmniej dni roboczych przed dniem rozpoczęcia kontroli). 4. Niniejsza umowa nie upoważnia Wykonawcy do dalszego powierzenia - w imieniu i na rzecz Zamawiającego - przetwarzania danych osobowych innym podmiotom.. Wykonawca ponosi odpowiedzialność za powierzone do przetwarzania dane osobowe na zasadach ogólnych, wynikających z ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (Dz. U. z 2014 r. poz. 121 z późn. zm.). 6. Roszczenie o wynagrodzenie Wykonawcy z tytułu przetwarzania powierzonych do przetwarzania danych osobowych jest zaspokojone w ramach wynagrodzenia, o którym mowa w 3 ust. 1. 1. Do bieżącej współpracy w sprawach związanych z wykonywaniem umowy upoważnieni są: 1) ze strony Zamawiającego:. 2) ze strony Wykonawcy:. 9. 2. Zmiana osób wskazanych w ust. 1 następuje poprzez pisemne powiadomienie drugiej Strony i nie stanowi zmiany treści umowy w rozumieniu 10 ust. 2. 3. Zamawiający przewiduje możliwość wprowadzenia zmiany do zawartej umowy, na podstawie art. 144 ust. 1 ustawy o której mowa w 1 ust 1, polegającej na: 1) Zmianie/dodanie osoby, która będzie uczestniczyć w wykonywaniu zamówienia, w przypadku wystąpienia obiektywnych okoliczności uniemożliwiających wykonanie zamówienia przez tę osobę, a niezależnych od Wykonawcy. Zmiana taka wymaga spełnienia łącznie 2 warunków: a) wskazana nowa osoba musi spełniać warunek udziału w postępowaniu określony w pkt 4.1.3. SIWZ (w zależności od funkcji zmienianej/dodawanej osoby), b) Zamawiający udzieli Wykonawcy pisemnej zgody na zmianę tej osoby. 2) zmiana osoby, która będzie uczestniczyć w wykonywaniu zamówienia możliwa jest również na wniosek Zamawiającego, jeśli Zamawiający zgłosi zastrzeżenia do prac wykonywanych przez daną osobę. 10. 1. W sprawach nie uregulowanych umową mają zastosowanie odpowiednie przepisy Kodeksu cywilnego oraz ustaw, o których mowa w 1 ust. 1, 7 ust. 4. 8 ust. 1. 2. Zmiana treści umowy wymaga zachowania formy pisemnej pod rygorem nieważności. 3. Spory powstałe w związku z wykonywaniem umowy Strony zgodnie poddają rozstrzygnięciu sądu właściwego miejscowo ze względu na siedzibę Zamawiającego. 4. Umowę sporządzono w jednobrzmiących egzemplarzach: dla Wykonawcy, dla Zamawiającego.. Integralną częścią umowy są następujące załączniki: 1) załącznik nr 1:...; 2) załącznik nr 2 (i załącznik nr 2a) 4 :...; 3) załącznik nr 3:...; 4) załącznik nr 4:. ) załącznik nr :...... ZAMAWIAJĄCY WYKONAWCA 4 Vide przyp. 2 i 3.
Załącznik nr do umowy Wzór informacji o zapewnieniu przez Wykonawcę wymaganych przepisami prawa środków ochrony (technicznych i organizacyjnych), umożliwiających należyte zabezpieczenie danych osobowych został wyznaczony administrator bezpieczeństwa informacji, nadzorujący przestrzeganie zasad ochrony przetwarzanych danych osobowych, administrator danych osobowych sam wykonuje czynności administratora bezpieczeństwa informacji, do przetwarzania danych osobowych zostały dopuszczone wyłącznie osoby posiadające upoważnienie w przedmiotowym zakresie, prowadzona jest ewidencja osób upoważnionych do przetwarzania danych osobowych, została opracowana i wdrożona polityka bezpieczeństwa ochrony danych osobowych, została opracowana i wdrożona instrukcja zarządzania systemem informatycznym, służącym do przetwarzania danych osobowych. Środki ochrony fizycznej danych W tej grupie środków należy zaznaczyć te pozycje, które odnoszą się do fizycznego zabezpieczenia przetwarzanych danych osobowych. 1 2 3 4 6 7 8 9 Zbiór danych osobowych przechowywany jest w pomieszczeniu zabezpieczonym drzwiami zwykłymi (niewzmacnianymi, nie przeciwpożarowymi). Zbiór danych osobowych przechowywany jest w pomieszczeniu zabezpieczonym drzwiami o podwyższonej odporności ogniowej >= 30 min. Zbiór danych osobowych przechowywany jest w pomieszczeniu zabezpieczonym drzwiami o podwyższonej odporności na włamanie - drzwi klasy C. Zbiór danych osobowych przechowywany jest w pomieszczeniu, w którym okna zabezpieczone są za pomocą krat, rolet lub folii antywłamaniowej. Pomieszczenia, w których przetwarzany jest zbiór danych osobowych wyposażone są w system alarmowy przeciwwłamaniowy. Dostęp do pomieszczeń, w których przetwarzany jest zbiór danych osobowych, objęty jest systemem kontroli dostępu. Dostęp do pomieszczeń, w których przetwarzany jest zbiór danych osobowych, kontrolowany jest przez system monitoringu z zastosowaniem kamer przemysłowych. Dostęp do pomieszczeń, w których przetwarzany jest zbiór danych osobowych, w czasie nieobecności zatrudnionych tam pracowników jest nadzorowany przez służbę ochrony. Dostęp do pomieszczeń, w których przetwarzany jest zbiór danych osobowych, przez całą dobę jest nadzorowany przez służbę ochrony. 6
10 11 12 13 14 1 16 17 18 Zbiór danych osobowych w formie papierowej przechowywany jest w zamkniętej niemetalowej szafie. Zbiór danych osobowych w formie papierowej przechowywany jest w zamkniętej metalowej szafie. Zbiór danych osobowych w formie papierowej przechowywany jest w zamkniętym sejfie lub kasie pancernej. Kopie zapasowe/archiwalne zbioru danych osobowych przechowywane są w zamkniętej niemetalowej szafie. Kopie zapasowe / archiwalne zbioru danych osobowych przechowywane są w zamkniętej metalowej szafie. Kopie zapasowe / archiwalne zbioru danych osobowych przechowywane są w zamkniętym sejfie lub kasie pancernej. Zbiór danych osobowych przetwarzany jest w kancelarii tajnej, prowadzonej zgodnie z wymogami określonymi w odrębnych przepisach. Pomieszczenie, w którym przetwarzany jest zbiór danych osobowych, zabezpieczone jest przed skutkami pożaru za pomocą systemu przeciwpożarowego lub wolnostojącej gaśnicy. Dokumenty zawierające dane osobowe po ustaniu przydatności są niszczone w sposób mechaniczny za pomocą niszczarek dokumentów. Środki sprzętowe infrastruktury informatycznej i telekomunikacyjnej W tej grupie środków należy zaznaczyć te pozycje, które odnoszą się do: technicznych środków zabezpieczenia komputerów przed skutkami awarii zasilania, opisu infrastruktury sieci informatycznej, w której użytkowane są komputery wykorzystywane do przetwarzania danych osobowych, sprzętowych i programowych środków ochrony przed nieuprawnionym dostępem do danych osobowych, w tym środków zapewniających rozliczalność wykonywanych operacji, sprzętowych i programowych środków ochrony poufności danych przesyłanych drogą elektroniczną (środków ochrony transmisji), sprzętowych i programowych środków ochrony przed szkodliwym oprogramowaniem i nieuprawnionym dostępem do przetwarzanych danych. 1 Zbiór danych osobowych przetwarzany jest przy użyciu komputera przenośnego. 2 3 Komputer służący do przetwarzania danych osobowych nie jest połączony z lokalną siecią komputerową. Zastosowano urządzenia typu UPS, generator prądu lub wydzieloną sieć elektroenergetyczną, chroniące system informatyczny służący do przetwarzania danych osobowych przed skutkami awarii zasilania. 4 Dostęp do zbioru danych osobowych, który przetwarzany jest na wydzielonej stacji komputerowej / komputerze przenośnym, zabezpieczony został przed 7
nieautoryzowanym uruchomieniem za pomocą hasła BIOS. 6 7 8 Dostęp do systemu operacyjnego komputera, w którym przetwarzane są dane osobowe zabezpieczony jest za pomocą procesu uwierzytelnienia z wykorzystaniem identyfikatora użytkownika oraz hasła. Dostęp do systemu operacyjnego komputera, w którym przetwarzane są dane osobowe zabezpieczony jest za pomocą procesu uwierzytelnienia z wykorzystaniem karty procesorowej oraz kodu PIN lub tokena. Dostęp do systemu operacyjnego komputera, w którym przetwarzane są dane osobowe zabezpieczony jest za pomocą procesu uwierzytelnienia z wykorzystaniem technologii biometrycznej. Zastosowano środki uniemożliwiające wykonywanie nieautoryzowanych kopii danych osobowych przetwarzanych przy użyciu systemów informatycznych. 9 Zastosowano systemowe mechanizmy wymuszające okresową zmianę haseł. 10 Zastosowano system rejestracji dostępu do systemu/zbioru danych osobowych. 11 12 13 14 1 Zastosowano środki kryptograficznej ochrony danych dla danych osobowych przekazywanych drogą teletransmisji. Dostęp do środków teletransmisji zabezpieczono za pomocą mechanizmów uwierzytelnienia. Zastosowano procedurę oddzwonienia (callback) przy transmisji realizowanej za pośrednictwem modemu. Zastosowano macierz dyskową w celu ochrony danych osobowych przed skutkami awarii pamięci dyskowej. Zastosowano środki ochrony przed szkodliwym oprogramowaniem, takim jak np. robaki, wirusy, konie trojańskie, rootkity. 16 Użyto system Firewall do ochrony dostępu do sieci komputerowej. 17 Użyto system IDS/IPS do ochrony dostępu do sieci komputerowej. Środki ochrony w ramach narzędzi programowych i baz danych W tej grupie środków należy zaznaczyć te pozycje, które odnoszą się do technicznych i programowych środków bezpieczeństwa zastosowanych w procedurach, aplikacjach i programach oraz innych narzędziach programowych wykorzystywanych do przetwarzania danych osobowych. 1 2 Wykorzystano środki pozwalające na rejestrację zmian wykonywanych na poszczególnych elementach zbioru danych osobowych. Zastosowano środki umożliwiające określenie praw dostępu do wskazanego zakresu danych w ramach przetwarzanego zbioru danych osobowych. 3 Dostęp do zbioru danych osobowych wymaga uwierzytelnienia z wykorzystaniem 8
identyfikatora użytkownika oraz hasła. 4 6 7 Dostęp do zbioru danych osobowych wymaga uwierzytelnienia przy użyciu karty procesorowej oraz kodu PIN lub tokena. Dostęp do zbioru danych osobowych wymaga uwierzytelnienia z wykorzystaniem technologii biometrycznej. Zastosowano systemowe środki pozwalające na określenie odpowiednich praw dostępu do zasobów informatycznych, w tym zbiorów danych osobowych dla poszczególnych użytkowników systemu informatycznego. Zastosowano mechanizm wymuszający okresową zmianę haseł dostępu do zbioru danych osobowych. 8 Zastosowano kryptograficzne środki ochrony danych osobowych. 9 10 Zainstalowano wygaszacze ekranów na stanowiskach, na których przetwarzane są dane osobowe. Zastosowano mechanizm automatycznej blokady dostępu do systemu informatycznego służącego do przetwarzania danych osobowych w przypadku dłuższej nieaktywności pracy użytkownika. Środki organizacyjne W tej grupie środków należy zaznaczyć te pozycje, które odnoszą się do innych środków organizacyjnych zastosowanych przez administratora w celu ochrony danych, takich jak: instrukcje, szkolenia, zobowiązania. 1 2 3 4 Osoby zatrudnione przy przetwarzaniu danych osobowych zostały zaznajomione z przepisami dotyczącymi ochrony danych osobowych. Przeszkolono osoby zatrudnione przy przetwarzaniu danych osobowych w zakresie zabezpieczeń systemu informatycznego. Osoby zatrudnione przy przetwarzaniu danych osobowych obowiązane zostały do zachowania ich w tajemnicy. Monitory komputerów, na których przetwarzane są dane osobowe ustawione są w sposób uniemożliwiający wgląd osobom postronnym w przetwarzane dane. Kopie zapasowe zbioru danych osobowych przechowywane są w innym pomieszczeniu niż to, w którym znajduje się serwer, na którym dane osobowe przetwarzane są na bieżąco. 9
Jeżeli zastosowane zostały dodatkowo inne środki nie wymienione w udostępnionych listach, należy je wyszczególnić poniżej: Zastosowano środki bezpieczeństwa na poziomie: * - podstawowym, * - podwyższonym, * - wysokim. Zgodnie z rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. 2004 nr 100 poz. 1024). 10