Umowa powierzenia przetwarzania danych osobowych – wzór

Wzór · wersja 1.0 · obowiązuje od [DATA WEJŚCIA W ŻYCIE]

zawarta w dniu [DATA] pomiędzy:

[NAZWA KLIENTA] z siedzibą w [MIEJSCOWOŚĆ], [ADRES], NIP [NIP], [KRS/REGON], reprezentowaną przez [IMIĘ I NAZWISKO, FUNKCJA] (dalej: „Administrator”),

a

TREJKA Sp. z o.o. z siedzibą w Białymstoku, ul. Moniuszki 31a, 15-192 Białystok, KRS 0000423570, NIP 9662085626, REGON 200704864, reprezentowaną przez [IMIĘ I NAZWISKO, FUNKCJA] (dalej: „Podmiot przetwarzający”),

łącznie zwanymi „Stronami”.

§ 1. Przedmiot umowy

1. W związku z umową o świadczenie usług z dnia [DATA] lub zaakceptowaną ofertą (dalej: „Umowa główna”) Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu określonym w niniejszej umowie (dalej: „Umowa powierzenia”), zgodnie z art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej: „RODO”).
2. Podmiot przetwarzający przetwarza dane wyłącznie w celu wykonania Umowy głównej.

§ 2. Charakter, zakres i czas przetwarzania

1. Charakter i cel przetwarzania: świadczenie usług opieki nad stroną WordPress, opieki IT, wykonywania i przechowywania kopii zapasowych, obsługi poczty firmowej, ochrony antywirusowej i usług jednorazowych określonych w Umowie głównej. Przetwarzanie polega w szczególności na przechowywaniu, kopiowaniu, przeglądaniu w zakresie niezbędnym do usunięcia awarii, przenoszeniu (migracji), odtwarzaniu i usuwaniu danych.
2. Kategorie osób, których dane dotyczą: [zaznacz właściwe] klienci i kontrahenci Administratora, użytkownicy strony i sklepu internetowego, pracownicy i współpracownicy Administratora, osoby kontaktujące się z Administratorem, [INNE].
3. Rodzaje danych: [zaznacz właściwe] dane identyfikacyjne i kontaktowe (imię, nazwisko, e-mail, telefon, adres), dane zamówień i transakcji, dane kont użytkowników, treść korespondencji e-mail, dane zawarte w plikach na stanowiskach i serwerach, dane techniczne (adresy IP, logi), [INNE].
4. Szczególne kategorie danych (art. 9 RODO) oraz dane dotyczące wyroków skazujących (art. 10 RODO): [NIE są powierzane / mogą znajdować się w danych objętych kopią zapasową lub obsługą systemów – wskaż jakie]. Podmiot przetwarzający nie przetwarza ich w żadnym innym celu niż techniczna obsługa systemów i kopii.
5. Przetwarzanie odbywa się przez czas obowiązywania Umowy głównej oraz przez okres niezbędny do zwrotu lub usunięcia danych zgodnie z § 9.

§ 3. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się:

1. przetwarzać dane wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie uznaje się Umowę główną, niniejszą umowę oraz polecenia przekazane w formie dokumentowej (e-mail, Panel). Jeżeli przetwarzania wymaga prawo Unii lub państwa członkowskiego, Podmiot przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, o ile prawo nie zabrania udzielenia takiej informacji;
2. niezwłocznie poinformować Administratora, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych;
3. zapewnić, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi zachowania tajemnicy;
4. stosować środki techniczne i organizacyjne wymagane na mocy art. 32 RODO, opisane w Załączniku nr 1;
5. przestrzegać warunków korzystania z usług dalszych podmiotów przetwarzających określonych w § 4;
6. pomagać Administratorowi, w miarę możliwości i z uwzględnieniem charakteru przetwarzania, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie ich praw określonych w rozdziale III RODO, w szczególności przekazując Administratorowi bez zbędnej zwłoki każde żądanie otrzymane bezpośrednio od takiej osoby;
7. pomagać Administratorowi w wywiązaniu się z obowiązków określonych w art. 32–36 RODO, w tym w ocenie skutków dla ochrony danych i uprzednich konsultacjach;
8. prowadzić rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO;
9. udostępniać Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwiać Administratorowi lub upoważnionemu audytorowi przeprowadzanie audytów, w tym inspekcji, na zasadach określonych w § 6.

§ 4. Dalsze powierzenie (podprocesorzy)

1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających. Aktualna lista podprocesorów jest publikowana na stronie trejka.com/dokumenty/lista-podprocesorow/.
2. Podmiot przetwarzający informuje Administratora e-mailem o zamierzonym dodaniu lub zastąpieniu podprocesora co najmniej 14 dni przed zmianą. Administrator może w tym terminie wyrazić uzasadniony sprzeciw. W razie sprzeciwu Strony uzgodnią rozwiązanie alternatywne, a jeżeli nie będzie to możliwe – Administrator może wypowiedzieć Umowę główną w zakresie usług, których zmiana dotyczy, ze skutkiem na dzień wprowadzenia zmiany.
3. Podmiot przetwarzający nakłada na podprocesora, w drodze umowy, te same obowiązki ochrony danych, jakie nałożono na niego w niniejszej umowie, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych.
4. Podmiot przetwarzający odpowiada wobec Administratora za wypełnienie obowiązków przez podprocesora.
5. Usługi dostawców, z którymi Administrator zawarł umowę bezpośrednio (np. hosting Administratora, Microsoft 365 lub Google Workspace na koncie Administratora), nie stanowią dalszego powierzenia przez Podmiot przetwarzający.

§ 5. Przekazywanie danych poza EOG

1. Kopie zapasowe danych Administratora są przechowywane w Europejskim Obszarze Gospodarczym.
2. Podmiot przetwarzający może przekazać dane do państwa trzeciego wyłącznie na udokumentowane polecenie Administratora albo za pośrednictwem podprocesora wskazanego na liście, i tylko przy zastosowaniu mechanizmów określonych w rozdziale V RODO (decyzja stwierdzająca odpowiedni stopień ochrony, standardowe klauzule umowne).

§ 6. Audyt

1. Administrator ma prawo do kontroli przestrzegania niniejszej umowy, w pierwszej kolejności w formie pisemnych pytań, na które Podmiot przetwarzający odpowiada w terminie 14 dni.
2. Inspekcja w siedzibie Podmiotu przetwarzającego jest możliwa po uprzedzeniu co najmniej 14 dni wcześniej, w godzinach roboczych, nie częściej niż raz w roku, chyba że doszło do naruszenia ochrony danych lub wymaga tego organ nadzorczy. Audytor zewnętrzny musi zobowiązać się do zachowania poufności.
3. Koszty audytu ponosi Administrator. Czas pracy Podmiotu przetwarzającego poświęcony na audyt przekraczający [4] h rocznie rozliczany jest według stawki godzinowej z Cennika.

§ 7. Naruszenia ochrony danych

1. Podmiot przetwarzający po stwierdzeniu naruszenia ochrony danych osobowych zgłasza je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu [24] godzin od jego stwierdzenia, e-mailem na adres [ADRES E-MAIL ADMINISTRATORA] oraz telefonicznie.
2. Zgłoszenie zawiera, w miarę możliwości: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i wpisów, możliwe konsekwencje, zastosowane lub proponowane środki zaradcze oraz dane osoby kontaktowej. Informacje, których nie można przekazać od razu, Podmiot przetwarzający przekazuje sukcesywnie.
3. Podmiot przetwarzający podejmuje niezwłocznie działania w celu ograniczenia skutków naruszenia i współpracuje z Administratorem przy zgłoszeniu naruszenia organowi nadzorczemu i zawiadomieniu osób, których dane dotyczą.
4. Zgłoszenie organowi nadzorczemu i osobom, których dane dotyczą, należy do Administratora.

§ 8. Odpowiedzialność

1. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem, jeżeli nie dopełnił obowiązków nałożonych przez RODO bezpośrednio na podmioty przetwarzające lub działał poza zgodnymi z prawem poleceniami Administratora albo wbrew tym poleceniom.
2. Do odpowiedzialności Stron stosuje się postanowienia Umowy głównej, w tym ograniczenia odpowiedzialności, w zakresie dopuszczalnym przez przepisy prawa.

§ 9. Czas trwania i zakończenie

1. Umowa powierzenia obowiązuje przez czas obowiązywania Umowy głównej.
2. Po zakończeniu świadczenia usług Podmiot przetwarzający, zależnie od decyzji Administratora przekazanej w terminie 14 dni, zwraca dane (w szczególności udostępnia ostatnią kopię zapasową) lub je usuwa. Brak decyzji w tym terminie oznacza polecenie usunięcia.
3. Podmiot przetwarzający usuwa dane, w tym wszelkie ich kopie, w terminie 30 dni od zakończenia świadczenia usług, z zastrzeżeniem kopii zapasowych, które zostają usunięte wraz z upływem cyklu retencji, nie dłużej niż [90] dni, i do tego czasu nie są wykorzystywane. Na żądanie Podmiot przetwarzający potwierdza usunięcie danych w formie dokumentowej.
4. Obowiązek usunięcia nie dotyczy danych, których dalsze przechowywanie nakazuje prawo Unii lub państwa członkowskiego.

§ 10. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy o ochronie danych osobowych i Kodeksu cywilnego.
2. W razie sprzeczności między niniejszą umową a Umową główną w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.
3. Zmiany umowy wymagają formy dokumentowej pod rygorem nieważności, z wyjątkiem zmian listy podprocesorów dokonywanych w trybie § 4.
4. Osoby kontaktowe w sprawach ochrony danych: po stronie Administratora – [IMIĘ I NAZWISKO, E-MAIL, TELEFON]; po stronie Podmiotu przetwarzającego – Bartosz Stępniewski, ba****@****ka.com, +48 695 423 811.
5. Umowę sporządzono w formie elektronicznej lub w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej ze Stron.

Załącznik nr 1 – Środki techniczne i organizacyjne

1. Kontrola dostępu: indywidualne konta, zasada minimalnych uprawnień, uwierzytelnianie dwuskładnikowe do systemów administracyjnych, menedżer haseł, niezwłoczne odbieranie uprawnień osobom kończącym współpracę.
2. Szyfrowanie: połączenia szyfrowane (SSL/TLS, SSH, VPN), szyfrowanie kopii zapasowych w spoczynku i podczas przesyłania, szyfrowanie dysków urządzeń służbowych.
3. Kopie zapasowe: zasada 3-2-1, przechowywanie w co najmniej dwóch lokalizacjach w EOG, okresowe testy odtworzenia, retencja zgodna z Umową główną.
4. Bezpieczeństwo systemów: aktualizacje po testach na kopii, monitoring dostępności i integralności plików, zapora aplikacyjna i blokady ataków, centralnie zarządzana ochrona antywirusowa, rejestrowanie działań administracyjnych.
5. Bezpieczeństwo fizyczne: infrastruktura kopii (Backup Center TREJKA w Białymstoku) w pomieszczeniach zamykanych, z ograniczonym dostępem i zasilaniem awaryjnym [UZUPEŁNIJ: monitoring, alarm].
6. Organizacja: upoważnienia i zobowiązania do zachowania tajemnicy, szkolenia z ochrony danych, procedura obsługi incydentów i naruszeń, umowy powierzenia z podprocesorami, okresowy przegląd skuteczności zabezpieczeń.
7. Minimalizacja: dostęp do treści danych Administratora wyłącznie w zakresie niezbędnym do wykonania zgłoszenia lub usunięcia awarii.