Umowa powierzenia przetwarzania danych osobowych

Zważywszy, że:

1. Strony prowadzą ścisłą, stałą współpracę gospodarczą, w ramach której Administrator powierza Procesorowi do przetwarzania dane osobowe;

2. W celu prawidłowego i zgodnego z prawem realizowania przez Strony współpracy gospodarczej niezbędne jest powierzenie przez Administratora do przetwarzania Podmiotowi przetwarzającemu określonych rodzajów danych osobowych, w trybie art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1) („RODO”) ;

Strony postanowiły zawrzeć Umowę powierzenia o następującej treści:

§1. Powierzenie przetwarzania danych osobowych

1.1. Podmiot przetwarzający będzie przetwarzać powierzone dane osobowe na warunkach określonych w niniejszej Umowie wyłącznie na udokumentowane polecenie Administratora danych, chyba że obowiązek taki nakłada na Podmiot przetwarzający prawo Unii lub prawo państwa członkowskiego, któremu podlega Procesor. W takim przypadku przed rozpoczęciem przetwarzania Podmiot przetwarzający niezwłocznie poinformuje Administratora danych o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.

1.2. Administrator danych oświadcza, że jest administratorem danych osobowych, które powierza Procesorowi do przetwarzania.

1.3. Celem prawidłowego wykonywania przez Procesora zawieranych z Administratorem zobowiązań umownych, Administrator powierza Procesorowi do przetwarzania w trybie art. 28 ust. 3 RODO następujące rodzaje danych osobowych:

imię i nazwisko uczestnika szkolenia
adres e-mail uczestnika szkolenia
nazwa pracodawcy uczestnika (firma)
postępy w szkoleniu i wyniki egzaminu (data, wynik, odpowiedzi)
e-Certyfikat ukończenia szkolenia (numer, data ważności)

(„Dane osobowe”), w następującym celu:

Przeprowadzenie szkoleń e-learning z egzaminem dla wskazanych przez Administratora uczestników oraz wystawienie i przechowywanie e-Certyfikatów ukończenia szkolenia (usługa „Szkolenia z certyfikatem”).

, przekazywane za pomocą: Aplikacja GoAML.pl (platforma szkoleń), komunikacja e-mail.

1.4. Administrator danych jest zobowiązany do współdziałania z Podmiotem przetwarzającym w zakresie realizacji niniejszej Umowy. W szczególności Administrator zobowiązuje się przed przekazaniem Danych osobowych do przetwarzania, o ile jest to wymagane przez przepisy powszechnie obowiązującego prawa na terytorium Rzeczypospolitej Polskiej, uzyskać zgodę na przekazanie danych osobowych Procesorowi.

1.5. Cel i zakres powierzenia przetwarzania Danych osobowych wynika bezpośrednio z i ogranicza się wyłącznie do prowadzonej przez Procesora działalności zgodnie z treścią umów gospodarczych zawieranych przez Strony. Procesor uprawniony jest w szczególności do dokonywania następujących operacji przetwarzania Danych osobowych: zbieranie, modyfikowanie, przechowywanie, przeglądanie, aktualizowanie, analizowanie, archiwizowanie, profilowanie.

1.6. Powierzenie przetwarzania danych osobowych Procesorowi nie obejmuje przetwarzania danych osobowych dotyczących wyroków skazujących i naruszeń prawa ani danych osobowych należących do szczególnych kategorii danych osobowych w rozumieniu przepisów RODO.

1.7. Powierzone Dane osobowe przetwarzane będą przez Podmiot przetwarzający w formie papierowej lub w systemach informatycznych.

1.8. Podmiot przetwarzający zobowiązuje się przetwarzać powierzone mu Dane osobowe zgodnie z Umową powierzenia, RODO oraz z innymi przepisami prawa powszechnie obowiązującego, które chronią prawa osób, których dane dotyczą.

1.9. Podmiot przetwarzający oświadcza, iż stosuje odpowiednie środki techniczne i organizacyjne w rozumieniu RODO, które zapewniają bezpieczeństwo powierzonych do przetwarzania Danych osobowych.

1.10. Podmiot przetwarzający oświadcza, że powierzone mu do przetwarzania Dane osobowe przetwarzane będą wyłącznie na terytorium Unii lub Europejskiego Obszaru Gospodarczego.

§2. Obowiązki Procesora

2.1. Procesor może przetwarzać Dane osobowe wyłącznie w zakresie i w celach przewidzianych w Umowie powierzenia.

2.2. Podmiot przetwarzający oświadcza, że wdrożył odpowiednie środki techniczne i organizacyjne zapewniające adekwatny stopień bezpieczeństwa odpowiadający ryzyku związanym z przetwarzaniem powierzonych mu Danych osobowych, o których mowa w art. 32 RODO. Podmiot przetwarzający zobowiązuje się do regularnej weryfikacji i aktualizacji stosowanych przez niego środków technicznych i organizacyjnych, tak aby zapewnić powierzonym Danym osobowym adekwatny stopień ochrony. Podmiot przetwarzający, na każde żądanie Administratora danych, przekaże informacje o stosowanych przez niego środkach organizacyjnych i technicznych związanych z przetwarzaniem Danych osobowych.

2.3. Podmiot przetwarzający zobowiązuje się dołożyć należytej staranności przy przetwarzaniu powierzonych Danych osobowych.

2.4. Podmiot przetwarzający zobowiązuje się, że jego pracownicy lub współpracownicy (w szczególności pracownicy zatrudnieni na podstawie umowy o pracę, osoby świadczące czynności na podstawie umów cywilnoprawnych, inne osoby pracujące na rzecz Podmiotu przetwarzającego), którzy będą przetwarzać Dane osobowe w związku z Umową powierzenia, będą działać na podstawie wyraźnego, pisemnego upoważnienia do przetwarzania danych osobowych, w granicach określonych niniejszą Umową powierzenia oraz że zostaną dopuszczeni do przetwarzania Danych osobowych jedynie po odbyciu stosownych szkoleń z zakresu ochrony danych osobowych. Procesor, w ramach prowadzonej działalności, zobowiązuje się prowadzić i na bieżąco aktualizować pisemną lub elektroniczną ewidencję osób upoważnionych do przetwarzania danych osobowych w zakresie, o którym mowa w Umowie przetwarzania.

2.5. Podmiot przetwarzający zobowiązuje się zapewnić zachowanie w tajemnicy (o której mowa w art. 28 ust. 3 lit. b RODO) przetwarzanych Danych osobowych przez osoby, które upoważni do przetwarzania Danych osobowych w celu realizacji Umowy powierzenia, zarówno w trakcie ich zatrudnienia w Podmiocie przetwarzającym, jak i po jego ustaniu.

2.6. Podmiot przetwarzający zobowiązuje się wspierać Administratora danych, także przez stosowanie odpowiednich środków technicznych i organizacyjnych, przy spełnieniu żądań osób, których Dane osobowe – powierzone do przetwarzania Procesorowi – dotyczą, a które związane są z realizacją praw osób fizycznych określonych w RODO, w tym obowiązku udzielania odpowiedzi na żądania osoby, której dane dotyczą̨, w zakresie obejmującym m.in. informowanie i prowadzenie przejrzystej komunikacji, udzielanie dostępu do danych, wykonywanie obowiązku informacyjnego, realizację prawa do sprostowania danych, usunięcia danych, ograniczenia przetwarzania, przenoszenia danych oraz prawa do wyrażenia sprzeciwu wobec dalszego przetwarzania danych. Podmiot przetwarzający zobowiązuje się wspierać i współdziałać z Administratorem danych w taki sposób, aby żądanie osoby fizycznej zostało spełnione w terminie określonym w RODO.

2.7. Podmiot przetwarzający zobowiązuje się współpracować i udzielać wszelkiej pomocy Administratorowi w celu wywiązywania się z obowiązków określonych w art. 32-36 RODO. W szczególności Podmiot przetwarzający będzie udzielał Administratorowi wszelkich informacji dotyczących stosowanych środków bezpieczeństwa, certyfikacji w określonych obszarach, zidentyfikowanych po stronie Podmiotu przetwarzającego ryzyk związanych z przetwarzaniem Danych osobowych.

2.8. Podmiot przetwarzający zobowiązuje się nie później niż w terminie 30 dni od dnia odpadnięcia celu, dla którego Administrator powierzył Procesorowi przetwarzanie Danych osobowych, zwrócić Administratorowi danych wszelkie powierzone mu w tym celu Dane osobowe i usunąć wszelkie ich istniejące kopie lub dokonać ich zniszczenia – adekwatnie do woli Administratora, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych. Przez usunięcie Danych osobowych, rozumieć należy zniszczenie tych danych osobowych lub taką ich modyfikację, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą (anonimizacja danych). Administrator danych może w każdym przypadku zweryfikować u Procesora wypełnienie obowiązku usunięcia Danych osobowych.

§3. Prawo nadzoru i kontroli

3.1. Administrator danych lub upoważniony przez Administratora danych audytor jest uprawniony do kontrolowania Podmiotu przetwarzającego w zakresie przetwarzania Danych osobowych pod względem zgodności z postanowieniami Umowy powierzenia, RODO oraz z innymi przepisami prawa powszechnie obowiązującego.

3.2. Administrator danych realizować będzie prawo kontroli w godzinach pracy Podmiotu przetwarzającego, uprzedzając Procesora o zamiarze przeprowadzenia kontroli z co najmniej 14-dniowym uprzedzeniem.

3.3. Podmiot przetwarzający będzie w pełni współpracował z Administratorem danych podczas kontroli.

3.4. Podmiot przetwarzający zobowiązuje się, w terminie nie dłuższym niż 14 dni, do odniesienia się do rekomendacji przedstawionych przez Administratora, po kontroli.

3.5. Administrator, w ramach czynności nadzorczych, jest uprawniony do żądania od Podmiotu przetwarzającego udzielenia informacji związanych z przetwarzaniem Danych osobowych oraz wypełnienia przez Podmiot przetwarzający obowiązków wynikających z niniejszej Umowy powierzenia, RODO lub z innych przepisów prawa powszechnie obowiązującego. Podmiot przetwarzający zobowiązany jest udostępnić Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w Umowie powierzenia, RODO lub w innych przepisach prawa powszechnie obowiązującego.

3.6. W ramach czynności nadzorczych i kontrolnych Administrator danych jest uprawniony do wydawania Podmiotowi przetwarzającemu pisemnych rekomendacji odnośnie sposobu wykonania Umowy powierzenia.

3.7. Podmiot przetwarzający zobowiązany jest do niezwłocznego informowania Administratora danych osobowych, jeżeli w jego ocenie wydane mu przez Administratora danych polecenie stanowi naruszenie RODO lub innych przepisów prawa Unii lub państwa członkowskiego o ochronie danych osobowych.

§4. Dalsze powierzenie danych do przetwarzania

4.1. Administrator danych wyraża zgodę, aby w związku z przetwarzaniem Danych osobowych Podmiot przetwarzający korzystał z usług podmiotów trzecich, które związane są z przetwarzaniem Danych osobowych (tj. powierzył dalej do przetwarzania Dane osobowe).

4.2. Podmiot przetwarzający prezentuje aktualną listę podprocesorów na stronie https://app.gorodo.pl/api/rup_list/9571112889. O zamiarze dodania lub zastąpienia podprocesora Podmiot przetwarzający informuje Administratora danych w formie dokumentowej (wiadomość e-mail). Administrator danych może w terminie 14 dni od otrzymania informacji zgłosić sprzeciw co do dalszego powierzenia przetwarzania Danych osobowych.

4.3. Podmiot przetwarzający oświadcza, że powierzenie przetwarzania Danych osobowych uregulowane zostanie w stosownych umowach powierzenia, zakres powierzonych do przetwarzania Danych osobowych i dopuszczalnych czynności przetwarzania przez wymienione wyżej podmioty będzie adekwatny do określonego celu oraz nie będzie wykraczał poza Umowę powierzenia, a podmioty, którym zostaną powierzone do przetwarzania Dane osobowe, będą stosowały środki techniczne i organizacyjne zapewniające wystarczający poziom ochrony powierzonych Danych osobowych. Podmiot przetwarzający ponosi pełną odpowiedzialność wobec Administratora danych za działania lub zaniechania ww. podmiotów.

4.4. Przekazanie powierzonych Danych osobowych do państwa trzeciego może nastąpić jedynie na pisemne polecenie Administratora danych, chyba że obowiązek taki nakłada na Podmiot przetwarzający prawo Unii lub prawo państwa członkowskiego, któremu podlega Procesor. W takim przypadku przed rozpoczęciem przetwarzania Podmiot przetwarzający niezwłocznie poinformuje Administratora danych o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.

4.5. Podmiot przetwarzający gwarantuje, że podwykonawca, o którym mowa w artykule 4 Umowy powierzenia będzie oferował te same gwarancje i spełniał obowiązki, jakie zostały nałożone na Podmiot przetwarzający w niniejszej Umowie powierzenia, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie odpowiadało wymogom przepisów powszechnie obowiązującego prawa krajowego i europejskiego.

4.6. Podmiot przetwarzający odpowiada za działania podwykonawcy jak za własne.

§5. Odpowiedzialność Procesora

5.1. Odpowiedzialność Procesora wobec Administratora danych obejmuje wszelkie szkody poniesione przez Administratora danych na skutek działań lub zaniechań Procesora na zasadach ogólnych wynikających z przepisów RODO i przepisów Kodeksu cywilnego.

5.2. Podmiot przetwarzający zobowiązuje się do niezwłocznego informowania Administratora danych o jakimkolwiek postępowaniu, czynnościach sprawdzających, zapytaniach osób, których Dane osobowe dotyczą, w szczególności o postępowaniu administracyjnym lub sądowym dotyczącym przetwarzania przez Procesora Danych osobowych określonych w Umowie powierzenia, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania tych danych, skierowanych do Podmiotu przetwarzającego, a także o wszelkich planowanych, o ile są wiadome, lub realizowanych kontrolach i inspekcjach dotyczących przetwarzania w Podmiocie przetwarzającym tych danych osobowych. Niniejszy ustęp dotyczy wyłącznie danych osobowych powierzonych przez Administratora danych.

§7. Zasady zachowania poufności

7.1. Podmiot przetwarzający zobowiązuje się do zachowania w tajemnicy wszelkich informacji, danych, materiałów, dokumentów i Danych osobowych otrzymanych od Administratora danych i od współpracujących z nim osób oraz danych uzyskanych w jakikolwiek inny sposób, zamierzony czy przypadkowy, w dowolnej formie (Informacje poufne)

7.2. Podmiot przetwarzający oświadcza, że w związku ze zobowiązaniem do zachowania w tajemnicy Informacji poufnych nie będą one wykorzystywane, ujawniane ani udostępniane bez pisemnej zgody Administratora danych w innym celu niż wykonanie Umowy powierzenia, chyba że konieczność ujawnienia posiadanych informacji wynika z obowiązujących przepisów prawa lub Umowy powierzenia

7.3. Obowiązek zachowania poufności Informacji poufnych obowiązuje przez okres Umowy powierzenia oraz po jej rozwiązaniu lub wygaśnięciu (bez względu na podstawę prawną)

§8. Naruszenie ochrony Danych osobowych

8.1. W przypadku stwierdzenia jakiejkolwiek sytuacji stanowiącej naruszenie ochrony Danych osobowych, Podmiot przetwarzający niezwłocznie poinformuje Administratora o stwierdzeniu incydentów związanych z naruszeniem ochrony Danych osobowych, wraz ze wskazaniem zakresu i charakteru naruszenia, rodzaju danych, których naruszenie dotyczy, danych inspektora ochrony danych osobowych Procesora (o ile został wyznaczony), możliwych konsekwencji występującego naruszenia, jak również zastosowanych metod ochrony przetwarzanych danych i sposobów rozwiązania występującego naruszenia, w tym usunięcia jego skutków.

8.2. Podmiot przetwarzający zobowiązuje się również do niezwłocznego poinformowania organu sprawującego nadzór nad ochroną danych osobowych o stwierdzonym naruszeniu ochrony danych osobowych, zgodnie z postanowieniami przepisów powszechnie obowiązującego prawa na terytorium Rzeczypospolitej Polskiej.

§9. Postanowienia końcowe

9.1. W sprawach nieuregulowanych zastosowanie będą miały przepisy powszechnie obowiązującego prawa na terytorium Rzeczypospolitej Polskiej.

9.2. W wypadku, gdyby któreś z postanowień Umowy powierzenia ew. przyszłych postanowień dołączonych do niniejszej Umowy powierzenia okazało się w całości lub w części nieważne, nieskuteczne lub niemożliwe do zrealizowania, ważność i skuteczność pozostałych postanowień pozostaje nienaruszona. Powyższe dotyczy także ewentualnych luk w uregulowaniach Umowy powierzenia.

9.3. Wszelkie spory pomiędzy Stronami będą rozstrzygane polubownie. W przypadku braku osiągnięcia porozumienia, ostateczny spór pomiędzy Stronami zostanie rozstrzygnięty przez sąd powszechny właściwy dla siedziby [nazwa firmy klienta].

9.4. Umowa wchodzi w życie z dniem jej podpisania przez Strony.

9.5. Umowa powierzenia została sporządzona w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej ze Stron.