§ 2. Dane Osobowe

1. Dane Osobowe dotyczą następujących kategorii osób:

1) pracowników Administratora oraz Procesora, w tym byłych pracowników, aktualnych pracowników i osób zatrudnionych na podstawie umów cywilnoprawnych, związanych z realizacją umowy głównej;

2) kontrahentów Administratora oraz Procesora (w tym ich pełnomocników, przedstawicieli i osób wyznaczonych do kontaktu), z którymi współpraca prowadzona jest w związku z realizacją umowy głównej.

2. Administrator powierza Procesorowi przetwarzanie Danych Osobowych w następującym zakresie, w związku z realizacją umowy głównej określającej zasady współpracy biznesowej Stron:

2.1. Dane osobowe, przetwarzane w związku z realizacją umowy głównej określającej zasady współpracy biznesowej Stron, obejmują w szczególności: imię, nazwisko, dane kontaktowe (adres korespondencyjny, adres poczty elektronicznej, numery telefonów).

2.2. Dane osobowe Pracowników Administratora oraz Procesora, przetwarzane w związku z realizacją umowy głównej określającej zasady współpracy biznesowej Stron, obejmują w szczególności: imię, nazwisko, dane kontaktowe (adres korespondencyjny, adres poczty elektronicznej, numery telefonów).

3. Zakres powierzenia wskazany w ust. 2 może zostać w każdym momencie rozszerzony lub ograniczony przez Administratora. Zmiana zakresu wymaga aneksowania umowy.

4. Procesor jest upoważniony do przetwarzania Danych Osobowych wyłącznie poprzez ich zbieranie, przechowywanie i przeglądanie.

§ 3. Cel przetwarzania

Dane Osobowe będą przetwarzane przez Procesora wyłącznie w celu realizacji na rzecz Administratora współpracy biznesowej wynikającej z umowy głównej, w szczególności świadczenia usług umawiania spotkań (telefonicznie, elektronicznie, osobiście). Dane Osobowe nie mogą być wykorzystywane przez Procesora do żadnych innych celów niż wskazane powyżej.

§ 4. Zasady przetwarzania Danych Osobowych

1. Przy przetwarzaniu Danych Osobowych Procesor przestrzega wszelkich zasad wskazanych w Aktach Prawnych i niniejszej Umowie Powierzenia.

2. Procesor oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia przetwarzania Danych Osobowych powierzonych mu wyłącznie w związku z realizacją określonej współpracy biznesowej łączącej Strony, w szczególności umowy głównej, a także że przetwarzanie to ma charakter niezbędny do wykonania tej współpracy/umowy głównej w rozumieniu przepisów RODO, tj. Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych oraz w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych, dalej jako „RODO").

2.1. Zastosowanie znajduje również ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (tj. Dz. U. z 2018 r., poz. 1000), w zakresie następujących kategorii danych osobowych przetwarzanych w związku z realizacją umowy głównej o współpracy biznesowej: 1) dane identyfikacyjne (w szczególności imię, nazwisko, stanowisko, numer PESEL – jeżeli ma zastosowanie); 2) dane kontaktowe (w szczególności służbowy adres e-mail, służbowy numer telefonu); 3) dane dotyczące przebiegu współpracy i wykonania umowy głównej (w szczególności informacje o realizowanych zleceniach, historii kontaktów służbowych, uprawnieniach i pełnomocnictwach); 4) inne dane niezbędne do wykonania umowy głównej oraz wypełnienia obowiązków prawnych ciążących na Administratorze lub Procesorze, o ile ich przetwarzanie jest zgodne z RODO i ustawą o ochronie danych osobowych.

3. Procesor w szczególności, w ramach i na potrzeby realizacji współpracy biznesowej łączącej Strony, niezbędnie do jej wykonania w rozumieniu przepisów RODO:

3.1. przetwarza Dane Osobowe wyłącznie na udokumentowane polecenie Administratora – co dotyczy też przekazywania Danych Osobowych do państwa trzeciego lub organizacji międzynarodowej – chyba że obowiązek taki nakładają na niego Akty Prawne; w takim wypadku przed rozpoczęciem przetwarzania Procesor informuje Administratora o tym obowiązku prawnym, jeśli Akty Prawne nie zabraniają udzielania takiej informacji z uwagi na ważny interes publiczny;

3.2. zapewnia, by osoby upoważnione do przetwarzania Danych Osobowych zobowiązały się do zachowania tajemnicy w związku z wykonywaniem obowiązków wynikających z niniejszej Umowy Powierzenia oraz umowy głównej łączącej Strony, lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;

3.3. podejmuje wszelkie środki wymagane na mocy Aktów Prawnych, w szczególności stosuje środki techniczne i organizacyjne zapewniające ochronę powierzonych do przetwarzania Danych Osobowych, odpowiednią do zagrożeń oraz kategorii Danych Osobowych objętych ochroną, a w szczególności zabezpiecza Dane Osobowe przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem Aktów Prawnych oraz zmianą, utratą, uszkodzeniem lub zniszczeniem;

3.4. przestrzega warunków korzystania z usług innego podmiotu przetwarzającego, o których mowa w § 5 poniżej oraz w Aktach Prawnych;

3.5. biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Administratorowi, stosując odpowiednie środki techniczne i organizacyjne, wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych Aktami Prawnymi;

3.6. uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga Administratorowi wywiązać się z obowiązków określonych Aktami Prawnymi w zakresie, w jakim jest to wymagane prawem;

3.7. po zakończeniu przetwarzania Danych Osobowych na podstawie niniejszej Umowy Powierzenia, zależnie od decyzji Administratora usuwa lub zwraca mu wszelkie Dane Osobowe oraz usuwa wszelkie ich kopie, chyba że Akty Prawne nakazują przechowywanie Danych Osobowych;

3.8. udostępnia Administratorowi na każde jego żądanie wszelkie informacje niezbędne do wykazania spełnienia obowiązków Procesora jako podmiotu przetwarzającego Dane Osobowe, wynikających z Aktów Prawnych oraz umożliwia Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzenie audytów, w tym inspekcji i przyczynia się do nich. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie Aktów Prawnych.

4. Procesor każdorazowo poinformuje Administratora o wszelkich zdarzeniach stanowiących naruszenie Aktów Prawnych lub niniejszej Umowy Powierzenia, zwłaszcza mogących skutkować odpowiedzialnością Administratora lub Procesora, niezwłocznie, nie później jednak niż w ciągu 24 godzin od zaistnienia danego zdarzenia, w formie wiadomości e-mail pod rygorem nieważności, obejmując co najmniej opis zdarzenia, kategorie danych, skalę zdarzenia oraz podjęte środki zaradcze.

5. Procesor zobowiązany jest niezwłocznie, w zakresie niezbędnym do wykonania współpracy biznesowej łączącej Strony, zastosować się do zaleceń Administratora dotyczących przetwarzania Danych Osobowych, w szczególności w odniesieniu do zabezpieczenia tych danych, ich zakresu oraz kategorii osób, których dane dotyczą, obejmujących w szczególności: (i) klientów i potencjalnych klientów Administratora, (ii) pracowników i współpracowników Administratora, (iii) przedstawicieli i osoby kontaktowe kontrahentów biznesowych Administratora, chyba że zalecenia te są sprzeczne z Aktami Prawnymi.

6. Procesor ponosi odpowiedzialność za działania wszelkich innych osób, przy których pomocy przetwarza Dane Osobowe (w tym podwykonawców), jak za własne działanie i zaniechanie.

7. Procesor zobowiązuje się nie wykorzystywać Danych Osobowych w celach innych niż wyraźnie wskazane w niniejszej Umowie Powierzenia oraz w umowie głównej, ani na korzyść osób trzecich.

8. Procesor zobowiązuje się ponadto nie ujawniać osobom nieupoważnionym informacji o Danych Osobowych, zwłaszcza o środkach ochrony i zabezpieczeniach stosowanych w odniesieniu do Danych Osobowych przez niego lub Administratora.

§ 5. Powierzenie Danych Osobowych podmiotom trzecim

1. Wyłącznie w celu określonym w niniejszej Umowie Powierzenia, Procesor może w zakresie przetwarzania Danych Osobowych korzystać z usług innego podmiotu przetwarzającego, każdorazowo po wcześniejszym uzyskaniu zgody Administratora wyrażonej w formie pisemnej pod rygorem nieważności.

2. W razie powierzenia, o którym mowa w ust. 1 powyżej, Procesor zapewni, by na podmiot trzeci nałożone zostały te same obowiązki ochrony danych jak w niniejszej Umowie Powierzenia. Procesor zapewni, aby Administrator mógł wykonywać swoje uprawnienia (zwłaszcza przeprowadzania audytów i inspekcji) także bezpośrednio względem tego podmiotu.

3. Procesor ponosi pełną odpowiedzialność wobec Administratora za wywiązywanie się przez inny podmiot przetwarzający (Subprocesora) ze spoczywających na nim obowiązków ochrony Danych Osobowych.

§ 6. Bezpieczeństwo danych osobowych

1. Procesor zobowiązuje się przy przetwarzaniu Danych do ich zabezpieczenia poprzez stosowanie odpowiednich środków technicznych i organizacyjnych, o których mowa w art. 32 RODO, zapewniających adekwatny stopień bezpieczeństwa odpowiadający ryzyku związanym z przetwarzaniem Danych, w tym między innymi w stosownym przypadku:

1.1. pseudonimizację i szyfrowanie Danych;

1.2. zapewnienie poufności, integralności, dostępności i odporności systemów i usług przetwarzania;

1.3. zdolność do szybkiego przywrócenia dostępności Danych i dostępu do nich w razie incydentu fizycznego lub technicznego;

1.4. regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

§ 7. Audyt

1. Administrator jest w każdym momencie upoważniony do przeprowadzenia audytu zgodności przetwarzania danych osobowych przez Procesora z Umową oraz obowiązującymi przepisami prawa, w szczególności Administrator może przeprowadzić weryfikację zgodności i adekwatności środków technicznych i organizacyjnych zabezpieczających przetwarzanie danych osobowych wdrożonych przez Procesora.

2. Administrator poinformuje Procesora na co najmniej 7 dni roboczych przed planowaną datą audytu o zamiarze jego przeprowadzenia.

3. Audyty, o których mowa w ust. 2, mogą być wykonywane przez Administratora (osoby przez niego wyznaczone) lub podmioty zewnętrzne, którym Administrator zleci wykonanie audytu.

4. Procesor ma obowiązek współpracować z Administratorem i upoważnionymi przez niego audytorami, w szczególności zapewnić im dostęp do pomieszczeń i dokumentów obejmujących dane osobowe oraz informacje o sposobie przetwarzania danych osobowych, w szczególności: 1) dane identyfikacyjne, kontaktowe i rozliczeniowe osób fizycznych przetwarzane w związku z wykonywaniem umowy głównej; 2) dane dotyczące korzystania z produktów i usług świadczonych na podstawie umowy głównej, w tym dane związane z obsługą klienta, rozpatrywaniem reklamacji oraz realizacją zobowiązań Stron; 3) dane pracowników, współpracowników, przedstawicieli i pełnomocników Stron, przetwarzane w związku z zawarciem i wykonywaniem umowy głównej; 4) dane osób upoważnionych do kontaktu i realizacji bieżącej współpracy wynikającej z umowy głównej; 5) inne kategorie danych osobowych niezbędne do prawidłowego wykonania umowy głównej – a także dotyczących tych danych: a) infrastruktury teleinformatycznej oraz systemów IT, w których dane te są przetwarzane, b) osób mających wiedzę na temat procesów przetwarzania danych osobowych realizowanych przez Procesora.

5. Po przeprowadzeniu audytu przedstawiciel Administratora sporządza protokół pokontrolny, który następnie podpisują przedstawiciele obu Stron. Przy ewentualnym ujawnieniu nieprawidłowości Procesor zobowiązuje się bez zbędnej zwłoki, wyjątkowo w terminie uzgodnionym z Administratorem i zaakceptowanym przez niego, dostosować do zaleceń pokontrolnych zawartych w protokole, mających na celu usunięcie uchybień i uzyskanie zgodności przetwarzania z umową jak i prawem powszechnie obowiązującym.

6. Procesor zapewni w umowie z każdym Subprocesorem, na którego współpracę w realizacji umowy głównej uzyskał zgodę od Administratora, możliwość przeprowadzenia u niego analogicznego audytu przez Administratora, jak zostało to opisane w ust. 1–5 niniejszego paragrafu.

§ 8. Odpowiedzialność Procesora

1. Procesor zobowiązany będzie do pokrycia wszelkich szkód i uzasadnionych kosztów poniesionych przez Administratora oraz jego pracowników w związku z nienależytym wykonywaniem bądź niewykonywaniem Umowy przez Procesora lub Subprocesora, w tym wynikającym z naruszeń przepisów prawa oraz zaniedbań organizacyjnych lub technicznych, a także do lojalnego współdziałania z Administratorem przy obronie przed roszczeniami osób, których Dane dotyczą, w szczególności poprzez niezwłoczne przekazywanie wszelkich posiadanych informacji i dokumentów istotnych dla prowadzenia takiej obrony.

2. Procesor zobowiązany jest do pokrycia Administratorowi wszelkich kwot zasądzonych wyrokiem, ostateczną decyzją lub innym orzeczeniem tytułem odszkodowania, zadośćuczynienia, kwot administracyjnych kar pieniężnych nałożonych przez organ nadzorczy, jak również kwot pieniężnych, do zapłacenia których Administrator zobowiązał się na mocy ugody sądowej lub pozasądowej zaakceptowanej w formie pisemnej przez Procesora, kosztów postępowania oraz uzasadnionych kosztów obsługi prawnej, kosztów wykonania wyroku, decyzji administracyjnej, innego orzeczenia lub ugody, w tym złożenia odpowiednich oświadczeń i usunięcia skutków naruszenia, poniesionych przez Administratora, na skutek roszczenia lub postępowania administracyjnego skierowanego przeciwko Administratorowi, w związku z nienależytym wykonaniem przez Procesora lub Subprocesora niniejszej umowy, pod warunkiem uprzedniego poinformowania Procesora o wszczęciu postępowania mogącego skutkować wydaniem takiego wyroku, decyzji lub innego orzeczenia bądź zawarciem ugody.

3. Jeżeli Procesor, jako podmiot przetwarzający, naruszy powszechnie obowiązujące przepisy prawa przy określaniu celów i sposobów przetwarzania, to uznaje się go za administratora w odniesieniu do tego przetwarzania.

§ 9. Inne obowiązki Procesora

1. Procesor zobowiązany jest zapewnić Administratorowi pomoc i wsparcie w zakresie niezbędnym dla wywiązania się z obowiązku odpowiadania na żądania osób, których dane dotyczą, odnośnie wykonywania ich praw oraz wywiązywać się z obowiązków, w szczególności dotyczących:

1.1. bezpieczeństwa przetwarzania Danych;

1.2. zgłaszania naruszeń ochrony danych osobowych dotyczących Danych organowi nadzorczemu;

1.3. zawiadamiania osób, których dane dotyczą, o naruszeniu ochrony danych osobowych dotyczących Danych;

1.4. oceny skutków dla ochrony danych;

1.5. uprzednich konsultacji z organem nadzorczym w zakresie oceny skutków ochrony danych.

2. Procesor jest obowiązany powiadomić Administratora bez zbędnej zwłoki, nie później jednak niż w terminie 24 godzin od stwierdzenia naruszenia ochrony Danych, o każdym prawnie umocowanym żądaniu udostępnienia przez Procesora Danych właściwemu organowi państwa oraz o każdym naruszeniu ochrony Danych, przekazując co najmniej opis zdarzenia, kategorie danych, których dotyczy naruszenie, skalę zdarzenia oraz podjęte środki zaradcze, chyba że zakaz powiadomienia Administratora wynika z przepisów.

§ 10. Osoby kontaktowe i komunikacja

1. Do kontaktów w zakresie bieżącej współpracy związanej z wykonaniem Umowy, Strony wyznaczają następujących przedstawicieli („Przedstawiciele"):

a) Procesor — imię i nazwisko: ………; numer telefonu: …………..; adres e-mail: ………… .

b) Administrator — imię i nazwisko: …………; numer telefonu: …………..; adres e-mail: ………………….. .

2. Każda Strona może w dowolnym czasie zmienić swojego Przedstawiciela lub jego dane kontaktowe za powiadomieniem przesłanym drugiej Stronie na piśmie lub przy pomocy poczty elektronicznej na adresy wskazane w ust. 1 powyżej, bez konieczności sporządzania aneksu do Umowy. Zmiana Przedstawiciela lub jego danych kontaktowych jest skuteczna od daty doręczenia powiadomienia drugiej Stronie.

§ 11. Czas trwania Umowy Powierzenia

1. Umowa Powierzenia wchodzi w życie w dniu jej zawarcia i obowiązuje przez okres obowiązywania umowy głównej (umowy współpracy biznesowej), której integralną część stanowi, a po jej zakończeniu – przez okres niezbędny do wykonania obowiązków prawnych ciążących na Stronach, w szczególności wynikających z przepisów o rachunkowości, przedawnieniu roszczeń oraz przepisów o ochronie danych osobowych.

2. Po upływie okresu, o którym mowa powyżej, Procesor zobowiązany jest do niezwłocznego, udokumentowanego usunięcia lub zwrotu Administratorowi wszelkich powierzonych Danych Osobowych oraz ich kopii, z wyjątkiem zakresu, w jakim ich dalsze przechowywanie jest obowiązkowe na podstawie bezwzględnie obowiązujących przepisów prawa.

3. Każda ze Stron jest uprawniona do rozwiązania Umowy Powierzenia bez zachowania okresu wypowiedzenia w razie istotnego naruszenia przez drugą Stronę postanowień Umowy Powierzenia, jeżeli nie zaprzestanie ona naruszeń lub nie naprawi ich skutków w terminie wyznaczonym przez pierwszą Stronę lub jeśli w wyniku przeprowadzonej przez organ nadzorczy Prezesa Urzędu Ochrony Danych Osobowych kontroli zostanie stwierdzone, że Procesor przetwarza Dane Osobowe z naruszeniem Aktów Prawnych.

§ 12. Postanowienia końcowe

1. Wszelkie zmiany oraz uzupełnienia w treści Umowy Powierzenia wymagają formy pisemnej pod rygorem nieważności.

2. W sprawach nieuregulowanych Umową Powierzenia znajdują zastosowanie odpowiednie przepisy powszechnie obowiązującego prawa oraz postanowienia Umowy Głównej.

3. Jeżeli jedno lub więcej postanowień Umowy Powierzenia będzie lub stanie się nieważne lub bezskuteczne, nie wpływa to na ważność lub skuteczność pozostałych postanowień Umowy Powierzenia. Po podjęciu wiedzy w przedmiocie nieważności jakichkolwiek postanowień Umowy Powierzenia, Strony niezwłocznie sporządzą pisemny aneks do Umowy Powierzenia, którym uchylą wadliwe postanowienia i zastąpią je nowym brzmieniem.

4. Jako prawo właściwe dla wszystkich swoich stosunków zobowiązaniowych Strony wskazują prawo polskie.

5. Wszystkie spory, jakie mogą wyniknąć z niniejszej Umowy Powierzenia, Strony będą starały się rozwiązać polubownie. Gdy polubowne rozstrzygnięcie nie zostanie osiągnięte, wszelkie spory wynikające z Umowy Powierzenia lub w związku z nią będą rozstrzygane przez sąd powszechny właściwy dla siedziby Administratora.

6. Umowę Powierzenia sporządzono w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej ze Stron.

Załącznik nr 1 — Wykaz dalszych podmiotów przetwarzających

1) ………………………………………………………………

2) ………………………………………………………………

3) ………………………………………………………………

§ Personalizacja (art. 28 RODO)

Podpowierzenie: Procesor może korzystać z usług subprocesorów wyłącznie po uzyskaniu uprzedniej, szczegółowej lub ogólnej, pisemnej zgody Administratora (art. 28 ust. 2 RODO).

Przekazywanie danych poza EOG: Procesor nie będzie przekazywał danych osobowych poza Europejski Obszar Gospodarczy bez uprzedniej pisemnej zgody Administratora oraz wdrożenia odpowiednich zabezpieczeń (art. 46 RODO).

Zgłoszenie naruszenia: Procesor zgłosi Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 24 godzin od jego stwierdzenia, przekazując informacje wymagane art. 33 ust. 3 RODO.

Po zakończeniu Umowy: zależnie od decyzji Administratora podjętej najpóźniej w dniu zakończenia, Procesor zwróci albo usunie wszelkie dane osobowe oraz ich kopie, chyba że prawo Unii lub państwa członkowskiego nakazuje ich przechowywanie.