Umowa powierzenia przetwarzania danych osobowych

zawarta w dniu [data] pomiędzy:

[nazwa Zamawiającego] z siedzibą w [miejscowość], [adres], NIP [numer], reprezentowaną przez [imię i nazwisko, funkcja], zwaną dalej „Administratorem”,

a

Grażyną Jendrusiewicz, prowadzącą działalność gospodarczą pod firmą [firma z CEIDG], [adres], NIP [numer], zwaną dalej „Podmiotem przetwarzającym”,

zwanymi dalej łącznie „Stronami”.

Umowę zawiera się na podstawie art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. („RODO”) w związku z umową o świadczenie usług z dnia [data] lub ofertą nr [numer] („Umowa główna”).

§ 1. Przedmiot umowy

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu opisanym w § 2, a Podmiot przetwarzający zobowiązuje się przetwarzać je zgodnie z Umową, RODO i innymi przepisami o ochronie danych osobowych.
2. Podmiot przetwarzający przetwarza dane wyłącznie w celu realizacji Umowy głównej.

§ 2. Zakres przetwarzania

1. Charakter przetwarzania: przeglądanie, przechowywanie, analiza i zestawianie danych zawartych w dokumentach przekazanych przez Administratora, a po zakończeniu Umowy głównej usunięcie lub zwrot danych.
2. Cel przetwarzania: analiza kosztów gospodarki odpadowej i wodno-ściekowej Administratora oraz wsparcie wdrożenia rekomendacji, zgodnie z Umową główną.
3. Rodzaje danych: imię i nazwisko, stanowisko, służbowy adres e-mail i numer telefonu, podpis, numer rejestracyjny pojazdu podany w kartach przekazania odpadów, [inne].
4. Kategorie osób: pracownicy i współpracownicy Administratora oraz pracownicy i przedstawiciele jego kontrahentów, w szczególności odbiorców odpadów, przewoźników i dostawców mediów.
5. Powierzenie nie obejmuje szczególnych kategorii danych osobowych (art. 9 RODO) ani danych dotyczących wyroków skazujących i naruszeń prawa (art. 10 RODO).
6. Czas przetwarzania: okres obowiązywania Umowy głównej, a po jej zakończeniu do czasu usunięcia lub zwrotu danych zgodnie z § 8.

§ 3. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający:
   1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora, także w zakresie przekazywania danych do państwa trzeciego, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo polskie; w takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo nie zabrania tego z uwagi na ważny interes publiczny,
   2. niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych,
   3. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy albo podlegają ustawowemu obowiązkowi zachowania tajemnicy,
   4. stosuje środki techniczne i organizacyjne wymagane przez art. 32 RODO, opisane w Załączniku nr 2,
   5. przetwarza wyłącznie dane niezbędne do realizacji Umowy głównej, a w raportach i modelach kosztów nie umieszcza danych osobowych, chyba że jest to konieczne,
   6. pomaga Administratorowi, w miarę możliwości przez odpowiednie środki techniczne i organizacyjne, wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w szczególności niezwłocznie przekazuje mu żądania otrzymane bezpośrednio od tych osób,
   7. pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter przetwarzania oraz dostępne mu informacje,
   8. prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO, jeżeli obowiązek ten go dotyczy.
2. Umowa i Umowa główna stanowią udokumentowane polecenie przetwarzania. Dalsze polecenia Administrator przekazuje w formie dokumentowej.

§ 4. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia.
2. Zgłoszenie zawiera, w miarę możliwości, informacje wymienione w art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, możliwe konsekwencje oraz zastosowane lub proponowane środki zaradcze. Informacje, których nie można podać od razu, Podmiot przetwarzający przekazuje sukcesywnie.
3. Podmiot przetwarzający nie zgłasza naruszenia organowi nadzorczemu ani osobom, których dane dotyczą, chyba że Administrator wyda takie polecenie w formie dokumentowej.

§ 5. Dalsze powierzenie

1. Administrator wyraża ogólną zgodę na dalsze powierzenie przetwarzania podmiotom wymienionym w Załączniku nr 1, które świadczą usługi poczty elektronicznej, przechowywania plików i inne usługi IT.
2. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora w formie dokumentowej z co najmniej 14-dniowym wyprzedzeniem. W tym terminie Administrator może wyrazić sprzeciw. Jeżeli sprzeciw uniemożliwia realizację Umowy głównej, każda ze Stron może ją wypowiedzieć bez kar i odszkodowań, a Podmiotowi przetwarzającemu przysługuje wynagrodzenie za wykonaną część usługi.
3. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający te same obowiązki ochrony danych, które wynikają z Umowy, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Za wypełnianie tych obowiązków przez dalszy podmiot przetwarzający Podmiot przetwarzający odpowiada wobec Administratora jak za własne działania (art. 28 ust. 4 RODO).

§ 6. Przekazywanie danych poza EOG

1. Podmiot przetwarzający przekazuje dane do państwa trzeciego wyłącznie w zakresie wskazanym w Załączniku nr 1 i wyłącznie na podstawie mechanizmów przewidzianych w rozdziale V RODO, w szczególności decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych.

§ 7. Kontrola

1. Podmiot przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO.
2. Administrator lub upoważniony przez niego audytor może przeprowadzić audyt, w tym inspekcję, po zawiadomieniu Podmiotu przetwarzającego w formie dokumentowej z co najmniej 14-dniowym wyprzedzeniem. Audyt odbywa się w dni robocze, w godzinach pracy, nie częściej niż raz w roku, chyba że jest związany z naruszeniem ochrony danych lub żądaniem organu nadzorczego.
3. Strony mogą uzgodnić, że audyt zostanie przeprowadzony w formie odpowiedzi na pytania przekazane w formie dokumentowej.
4. Audytor jest zobowiązany do zachowania poufności. Koszty audytu ponosi Administrator.

§ 8. Czas trwania i zakończenie

1. Umowa obowiązuje przez czas obowiązywania Umowy głównej.
2. Administrator może wypowiedzieć Umowę ze skutkiem natychmiastowym, jeżeli Podmiot przetwarzający mimo wezwania do usunięcia naruszeń nadal przetwarza dane niezgodnie z Umową lub RODO.
3. Po zakończeniu świadczenia usług, w terminie 30 dni, Podmiot przetwarzający – zależnie od decyzji Administratora – usuwa albo zwraca wszystkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo polskie nakazuje ich przechowywanie. Usunięcie danych potwierdza w formie dokumentowej.

§ 9. Odpowiedzialność

1. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem na zasadach określonych w art. 82 RODO.
2. Odpowiedzialność Podmiotu przetwarzającego wobec Administratora z tytułu Umowy jest ograniczona do wysokości wynagrodzenia netto należnego z Umowy głównej, z wyjątkiem szkody wyrządzonej umyślnie. Ograniczenie to nie wpływa na prawa osób, których dane dotyczą.

§ 10. Postanowienia końcowe

1. Za wykonywanie Umowy Podmiotowi przetwarzającemu nie przysługuje odrębne wynagrodzenie.
2. W sprawach ochrony danych osobowych Umowa ma pierwszeństwo przed Umową główną.
3. Umowę zawiera się w formie pisemnej lub elektronicznej (art. 28 ust. 9 RODO). Zmiany Umowy wymagają takiej samej formy pod rygorem nieważności.
4. Do Umowy stosuje się prawo polskie. Spory rozstrzyga sąd powszechny właściwy dla miejsca wykonywania działalności Podmiotu przetwarzającego.
5. Załączniki stanowią integralną część Umowy.

Załącznik nr 1. Dalsze podmioty przetwarzające

Załącznik nr 2. Środki techniczne i organizacyjne

1. Szyfrowanie dysków urządzeń, na których przetwarzane są dane.
2. Dostęp do urządzeń i kont chroniony silnymi hasłami oraz uwierzytelnianiem dwuskładnikowym.
3. Bieżące aktualizacje systemu operacyjnego, przeglądarki i programów oraz ochrona antywirusowa.
4. Przekazywanie plików wyłącznie przez szyfrowane połączenia. Pliki z danymi wysyłane jako załączniki są zabezpieczone hasłem przekazanym odrębnym kanałem.
5. Szyfrowane kopie zapasowe.
6. Dokumenty papierowe przechowywane w zamykanej szafie i niszczone w niszczarce.
7. Przetwarzanie wyłącznie danych niezbędnych do realizacji Umowy głównej oraz usuwanie lub pseudonimizacja danych osobowych w zestawieniach i raportach.
8. Usuwanie danych po zakończeniu Umowy w sposób uniemożliwiający ich odtworzenie.