Umowa powierzenia przetwarzania danych

Dla potrzeb Umowy, Administrator i Przetwarzający ustalają następujące znaczenie niżej wymienionych pojęć:

1. Dane Osobowe - dane w rozumieniu art. 4 pkt 1) Rozporządzenia 2016/679, tj. wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej;
2. Przetwarzanie Danych Osobowych - wszelkie operacje lub zestaw operacji wykonywanych na Danych Osobowych lub zestawach Danych Osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie w rozumieniu art. 4 pkt 2) Rozporządzenia 2016/679;
3. Umowa - niniejsza umowa;
4. Umowa Główna - zawarte przez Administratora z Przetwarzającym umowy o świadczenie usług o treści określonej Regulaminem;
5. Rozporządzenie 2016/679 - rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1).

Strony oświadczają, co następuje:

1. Strony oświadczają, że Umowa została zawarta w celu wykonania obowiązków, o których mowa w art. 28 Rozporządzenia 2016/679, w związku z zawarciem Umowy Głównej,
2. Osoba dokonująca zawarcia Umowy Głównej oraz przekazująca dane osobowe Przetwarzającemu posiada stosowne uprawnienie do reprezentowania Administratora,
3. Administrator oświadcza, iż jest administratorem Danych Osobowych w rozumieniu art. 4 pkt 7) Rozporządzenia 2016/679, tj. podmiotem który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania Danych Osobowych,
4. Przetwarzający oświadcza, że jest podmiotem przetwarzającym w rozumieniu art. 4 pkt 8) Rozporządzenia 2016/679 w ramach Umowy, co oznacza że będzie przetwarzał Dane Osobowe w imieniu Administratora.

1. Administrator powierza Przetwarzającemu do przetwarzania Dane Osobowe, a Przetwarzający zobowiązuje się do ich przetwarzania zgodnego z prawem i Umową.
2. Umowa zostaje zawarta na czas obowiązywania Umowy Głównej oraz wykonania wszystkich zobowiązań wynikających z Umowy i Umowy Głównej.

1. Przetwarzający może przetwarzać Dane Osobowe wyłącznie w zakresie i celu przewidzianym w Umowie.
2. Celem powierzenia Przetwarzania Danych Osobowych jest wykonywanie Umowy Głównej, w tym w szczególności realizacja przez Przetwarzającego usługi udostępnienia narzędzia „Orderye” oraz realizacji usług za ich pośrednictwem.
3. Zakres przetwarzanych przez Przetwarzającego Danych Osobowych na podstawie Umowy obejmuje kategorie Danych Osobowych każdorazowo powierzone do przetwarzania przez Administratora za pośrednictwem narzędzia „Orderye”, tj. imię, nazwisko, email, numer telefonu, adres dostawy.
4. Zakres przetwarzanych przez Przetwarzającego Danych Osobowych na podstawie Umowy obejmuje dane klientów Administratora.
5. Przetwarzający przetwarza Dane Osobowe wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie uważa się polecenie przetwarzania danych zawarte w Umowie Głównej.
6. Przy przetwarzaniu Danych Osobowych, Przetwarzający powinien przestrzegać zasad wskazanych w Umowie.

1. Przed rozpoczęciem Przetwarzania Danych Osobowych Przetwarzający podejmuje środki zabezpieczające Dane osobowe, o których mowa w art. 32 RODO, a w szczególności:
   1. uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, obowiązany jest zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych Danych Osobowych, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku. Przetwarzający powinien odpowiednio udokumentować zastosowanie tych środków, a także uaktualniać te środki w porozumieniu z Administratorem,
   2. zapewnia by każda osoba fizyczna działająca z upoważnienia Przetwarzającego, która ma dostęp do danych osobowych, przetwarzała je zgodnie z poleceniem Administratora, w tym według jego wskazówek i instrukcji, w celach i zakresie przewidzianym w Umowie,
   3. prowadzi rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora, o którym mowa w art. 30 ust. 2 Rozporządzenia 2016/679 i udostępnia go Administratorowi na jego żądanie, chyba że Przetwarzający jest zwolniony z tego obowiązku na podstawie art. 30 ust. 5 Rozporządzenia 2016/679.
2. Przetwarzający zapewnia, aby osoby mające dostęp do Przetwarzania Danych Osobowych zachowały je oraz sposoby zabezpieczeń w tajemnicy, przy czym obowiązek zachowania tajemnicy istnieje również po realizacji Umowy oraz ustaniu zatrudnienia u Przetwarzającego. W tym celu Przetwarzający dopuści do przetwarzania danych tylko osoby, które podpisały zobowiązanie do zachowania w tajemnicy danych osobowych oraz sposobów ich zabezpieczenia.

1. Przetwarzający zobowiązuje się pomagać Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32-36 Rozporządzenia 2016/679; w szczególności, Przetwarzający zobowiązuje się przekazywać Administratorowi informacje oraz wykonywać jego polecenia dotyczące stosowanych środków zabezpieczania Danych Osobowych oraz Przetwarzający zobowiązuje się przekazywać Administratorowi informacje dotyczące przypadków naruszenia ochrony Danych Osobowych w ciągu 24 godzin od wykrycia zdarzenia stanowiącego naruszenie ochrony danych osobowych.
2. Przetwarzający zobowiązuje się pomagać Administratorowi poprzez odpowiednie środki techniczne i organizacyjne, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w art. 15-22 Rozporządzenia 2016/679, w szczególności Przetwarzający zobowiązuje się do poinformowania Administratora o złożonym żądaniu osoby, której dane dotyczą w ciągu 5 dni od dnia otrzymania takiego żądania.
3. Przetwarzający zobowiązuje się stosować się do ewentualnych wskazówek lub zaleceń, wydanych przez organ nadzoru lub unijny organ doradczy zajmujący się ochroną Danych Osobowych, dotyczących Przetwarzania Danych Osobowych, w szczególności w zakresie stosowania Rozporządzenia 2016/679.
4. Przetwarzający zobowiązuje się do niezwłocznego poinformowania Administratora (według sposobu kontaktu lub przesyłania zawiadomień oznaczonego w Umowie Głównej) o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym Przetwarzania powierzonych Danych Osobowych przez Przetwarzającego, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym Przetwarzania powierzonych Danych Osobowych, skierowanej do Przetwarzającego, a także o wszelkich kontrolach i inspekcjach dotyczących Przetwarzania powierzonych Danych Osobowych przez Przetwarzającego, w szczególności prowadzonych przez organ nadzorczy.

1. Przetwarzający może korzystać z usług innego podmiotu przetwarzającego (subprocesora).
2. Administrator wyraża zgodę na podpowierzenie przetwarzania powierzonych Danych Osobowych w szczególności firmom współpracującym z Przetwarzającym, podmiotom świadczącym na rzecz Przetwarzającego usługi kadrowe, księgowe i informatyczne.
3. W przypadku podpowierzenia przetwarzania Danych Osobowych, podpowierzenie przetwarzania będzie mieć za podstawę umowę, na podstawie której podwykonawca (subprocesor) zobowiąże się do wykonywania tych samych obowiązków, które na mocy Umowy nałożone są na Przetwarzającego.
4. Przetwarzający zapewni, aby podwykonawcy (subprocesorzy), którym podpowierzono przetwarzanie danych stosowali co najmniej równorzędny poziom ochrony Danych Osobowych co Przetwarzający.

1. Administrator jest uprawniony do weryfikacji przestrzegania zasad przetwarzania Danych Osobowych wynikających z Rozporządzenia 2016/679 oraz Umowy przez Przetwarzającego, poprzez prawo żądania udzielenia wszelkich informacji dotyczących powierzonych Danych Osobowych.
2. Administrator ma także prawo przeprowadzania audytów lub inspekcji Przetwarzającego w zakresie zgodności operacji przetwarzania z prawem i z Umową. Audyty lub inspekcje, o których mowa w zdaniu poprzedzającym, mogą być przeprowadzane przez podmioty trzecie upoważnione przez Administratora. Audyty i inspekcje przeprowadzane są po uprzednim ustaleniu terminu i sposobu jego przeprowadzenia pomiędzy Stronami.
3. Przetwarzający zobowiązuje się niezwłocznie informować Administratora, jeżeli zdaniem Przetwarzającego wydane mu polecenie stanowi naruszenie Rozporządzenia 2016/679 lub innych przepisów o ochronie danych.

1. Przetwarzający odpowiada za szkody, jakie powstaną u Administratora lub osób trzecich w wyniku niezgodnego z Umową Przetwarzania przez Przetwarzającego Danych Osobowych. Odpowiedzialność Przetwarzającego za działania i zaniechania podwykonawców (subprocesorów) jest wyłączona.
2. W przypadku niewykonania lub nienależytego wykonania przez Przetwarzającego Umowy oraz naruszenia przepisów dot. przetwarzania danych osobowych, Przetwarzający zobowiązuje się do zapłaty odszkodowania, jednak całkowita odpowiedzialność Przetwarzającego (wobec Administratora oraz wobec osób trzecich) ograniczona jest do kwoty 2000 złotych.

1. Po zakończeniu świadczenia usług związanych z przetwarzaniem, Przetwarzający, na żądanie Administratora, z zastrzeżeniem ust. 2, zobowiązany jest zaprzestać Przetwarzania Danych Osobowych i usunąć ze swoich zbiorów i systemów informatycznych wszelkie Dane Osobowe i ich istniejące kopie.
2. Pomimo zaprzestania świadczenia usług związanych z powierzeniem Przetwarzania Danych Osobowych, Przetwarzający jest uprawniony do przetwarzania danych dotyczących potwierdzenia wykonania usługi na rzecz Administratora.
3. Przez usunięcie danych osobowych, o którym mowa w ust. 1, rozumieć należy zniszczenie Danych Osobowych lub taką ich modyfikację, która nie pozwoli na zidentyfikowanie osoby, której dane dotyczą.
4. Usunięcie danych należy udokumentować pisemnym oświadczeniem podpisanym przez osoby uprawnione przez Przetwarzającego. Przetwarzający zobowiązuje się do przekazania Administratorowi oświadczenia o usunięciu Danych Osobowych w terminie 7 dni od zgłoszenia takiego żądania przez Administratora.
5. Rozwiązanie Umowy Głównej w każdym czasie i trybie przez którąkolwiek ze Stron skutkuje wygaśnięciem Umowy.
6. Administrator uprawniony jest do rozwiązania Umowy ze skutkiem natychmiastowym w przypadku, gdy:
   1. organ nadzorczy stwierdzi, że Przetwarzający nie przestrzega zasad przetwarzania danych osobowych w stosunku do danych powierzonych przez Administratora,
   2. Administrator, w wyniku przeprowadzenia audytu, o którym mowa w § 8 Umowy stwierdzi, że Przetwarzający nie przestrzega zasad Przetwarzania Danych Osobowych w stosunku do danych powierzonych przez Administratora i bezskutecznie upłynął 14-dniowy termin na usunięcie naruszeń,
   3. Przetwarzający wykorzystywał Dane Osobowe niezgodnie z Umową lub z przepisami prawa, niewłaściwie przetwarzał powierzone Dane Osobowe pomimo uprzedniego wezwania do zmiany sposobu ich przetwarzania, lub powierzył przetwarzanie Danych Osobowych innemu podmiotowi bez zgody Administratora.

1. Wszelkie zmiany Umowy wymagają formy dokumentowej pod rygorem nieważności.
2. Umowa zawarta jest w formie klikanej poprzez zaakceptowanie jej warunków w formie zaznaczenia odpowiedniego checkboxa w systemie udostępnionym przez Przetwarzającego.
3. W sprawach nieuregulowanych Umową mają zastosowanie przepisy ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (t.j. Dz. U. z 2017 r. poz. 459 ze zm.) oraz przepisy Rozporządzenia 2016/679.
4. Spory związane z wykonywaniem Umowy rozstrzygane będą przez sąd właściwy dla siedziby Przetwarzającego.