Umowa powierzenia przetwarzania danych osobowych

Kiedy ta umowa jest potrzebna

Zawieramy ją zawsze, gdy klient uruchamia Agenta rozmawiającego z jego własnymi klientami. Wtedy administratorem danych tych osób jest nasz klient, a my jesteśmy podmiotem przetwarzającym działającym na jego polecenie. Rozdział ról opisuje szerzej polityka prywatności.

§ 1. Definicje

Pojęcia „dane osobowe”, „przetwarzanie”, „administrator”, „podmiot przetwarzający”, „naruszenie ochrony danych osobowych” i „osoba, której dane dotyczą” mają znaczenie nadane im w rozporządzeniu 2016/679 (RODO). Administrator to klient korzystający z Serwisu. Podmiot przetwarzający to MH Daniel Możdżyński, ul. Sędziwoja 49 lok. 3, 61-063 Poznań.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w celu świadczenia usługi opisanej w Regulaminie.
2. Charakter przetwarzania: przechowywanie, wyszukiwanie, udostępnianie w rozmowie z osobą, której dane dotyczą, przekazywanie do dostawców wskazanych w Załączniku nr 3 oraz usuwanie.
3. Szczegółowy opis przetwarzania zawiera Załącznik nr 1.

§ 3. Czas trwania

Umowa obowiązuje przez czas obowiązywania umowy głównej. Wygasa z chwilą zakończenia przetwarzania i wykonania obowiązków z § 12.

§ 4. Rodzaj danych i kategorie osób

Rodzaje danych i kategorie osób, których dane dotyczą, określa Załącznik nr 1. Administrator odpowiada za to, żeby zakres danych trafiających do Bazy wiedzy i do rozmów nie wykraczał poza to, co niezbędne do celu przetwarzania.

§ 5. Polecenia Administratora

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za takie polecenie uważa się także korzystanie przez Administratora z funkcji Serwisu.
2. Jeżeli polecenie w ocenie Podmiotu przetwarzającego narusza RODO albo inne przepisy o ochronie danych, niezwłocznie o tym informuje.

§ 6. Poufność

Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności albo podlegają ustawowemu obowiązkowi zachowania tajemnicy. Upoważnienia są nadawane imiennie i w zakresie niezbędnym do wykonywania zadań.

§ 7. Bezpieczeństwo przetwarzania

Podmiot przetwarzający stosuje środki techniczne i organizacyjne odpowiadające ryzyku, wskazane w Załączniku nr 2, zgodnie z art. 32 RODO.

§ 8. Podprocesorzy

1. Administrator udziela ogólnej zgody na korzystanie z podprocesorów wymienionych w Załączniku nr 3.
2. Podmiot przetwarzający informuje Administratora o zamierzonej zmianie polegającej na dodaniu albo zastąpieniu podprocesora z wyprzedzeniem co najmniej 30 dni, wskazując nazwę podmiotu, zakres powierzanych mu operacji, kraj przetwarzania i podstawę ewentualnego przekazania poza Europejski Obszar Gospodarczy.
3. Administrator może wnieść uzasadniony sprzeciw w terminie z ust. 2. Jeżeli strony nie znajdą rozwiązania, Administratorowi przysługuje wypowiedzenie umowy w części, której sprzeciw dotyczy.
4. Podmiot przetwarzający nakłada na podprocesorów te same obowiązki ochrony danych, które wynikają z niniejszej umowy, i odpowiada za ich działania jak za własne.

§ 9. Wsparcie w realizacji praw osób

1. Podmiot przetwarzający udostępnia w Serwisie funkcję pozwalającą Administratorowi samodzielnie zrealizować żądanie usunięcia danych, wraz z podglądem zakresu usunięcia przed jego wykonaniem i zapisem sposobu weryfikacji tożsamości osoby żądającej.
2. Żądania dostępu, sprostowania i przeniesienia danych Podmiot przetwarzający realizuje na udokumentowane polecenie Administratora, w terminie umożliwiającym Administratorowi dotrzymanie terminu z art. 12 ust. 3 RODO. Zakres funkcji samoobsługowych może zostać rozszerzony, a rozszerzenie nie wymaga zmiany Umowy.
3. Żądanie skierowane bezpośrednio do Podmiotu przetwarzającego jest przekazywane Administratorowi bez zbędnej zwłoki, a osoba zgłaszająca jest o tym informowana.

§ 10. Wsparcie w obowiązkach z art. 32 do 36 RODO

Podmiot przetwarzający, uwzględniając charakter przetwarzania i dostępne mu informacje, pomaga Administratorowi wywiązać się z obowiązków dotyczących bezpieczeństwa przetwarzania, zgłaszania naruszeń, zawiadamiania osób oraz oceny skutków dla ochrony danych.

§ 11. Naruszenia ochrony danych

1. Po stwierdzeniu naruszenia ochrony danych osobowych Podmiot przetwarzający zgłasza je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od stwierdzenia.
2. Zgłoszenie zawiera opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, których dotyczy, opis możliwych konsekwencji i opis zastosowanych środków.
3. Jeżeli pełne informacje nie są dostępne od razu, przekazywane są sukcesywnie, bez czekania na komplet.

§ 12. Zakończenie przetwarzania

1. Po zakończeniu świadczenia usług Podmiot przetwarzający, zgodnie z decyzją Administratora, usuwa dane albo je zwraca oraz usuwa istniejące kopie.
2. Baza wiedzy jest wydawana w otwartym formacie na żądanie Administratora.
3. Obowiązek usunięcia nie dotyczy danych, których przechowywanie nakazuje prawo Unii albo prawo państwa członkowskiego.

§ 13. Wykazanie zgodności i audyt

1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.
2. Administrator może przeprowadzić audyt, w tym inspekcję, po uprzednim zawiadomieniu z co najmniej 30-dniowym wyprzedzeniem, nie częściej niż raz w roku kalendarzowym, chyba że audyt jest następstwem naruszenia ochrony danych.
3. Audyt nie może naruszać poufności danych innych klientów Podmiotu przetwarzającego ani bezpieczeństwa platformy.

§ 14. Przekazywanie poza Europejski Obszar Gospodarczy

Przekazanie danych do państwa trzeciego następuje wyłącznie w zakresie wskazanym w Załączniku nr 3 i wyłącznie przy zastosowaniu mechanizmu przewidzianego w rozdziale V RODO.

§ 15. Odpowiedzialność

Strony ponoszą odpowiedzialność na zasadach określonych w art. 82 RODO oraz w umowie głównej. Postanowienia umowy głównej ograniczające odpowiedzialność nie wyłączają odpowiedzialności wobec osób, których dane dotyczą.

§ 16. Postanowienia końcowe

1. Umowa wymaga formy dokumentowej pod rygorem nieważności.
2. W razie sprzeczności między umową główną a niniejszą umową w zakresie ochrony danych, pierwszeństwo ma niniejsza umowa.
3. W sprawach nieuregulowanych stosuje się RODO oraz prawo polskie.

Załącznik nr 1. Opis przetwarzania

Administrator decyduje, czy w rozmowach mogą pojawiać się dane szczególnych kategorii z art. 9 RODO. Jeżeli tak, strony uzgadniają to odrębnie przed uruchomieniem Agenta, bo zmienia to ocenę ryzyka po obu stronach.

Załącznik nr 2. Środki techniczne i organizacyjne

• Szyfrowanie połączeń między przeglądarką a platformą oraz między platformą a dostawcami.
• Szyfrowanie poświadczeń kanałów w bazie danych, z przewidzianą procedurą rotacji.
• Rozdzielenie danych między organizacjami egzekwowane na poziomie zapytania do bazy, a nie filtrem nakładanym na wynik.
• Kontrola dostępu oparta na rolach, sprawdzana przy każdym żądaniu.
• Dziennik audytu bez możliwości nadpisania, przyjmujący wyłącznie zdarzenia po redakcji danych wrażliwych.
• Zabezpieczenie importu treści przed sięganiem do adresów wewnętrznych sieci.
• Weryfikacja podpisów zdarzeń przychodzących i ochrona przed powtórzeniem tego samego zdarzenia.
• Wyłączniki awaryjne kanałów egzekwowane w warstwie transportu.
• Odmowa startu aplikacji przy wykryciu konfiguracji przeznaczonej do pracy lokalnej.
• Kopia zapasowa bazy danych w postaci zrzutu logicznego, przechowywana na serwerze przez ustalony okres, po którym starsze kopie są usuwane. Odtworzenie z kopii wymaga decyzji człowieka i nie jest zautomatyzowane.

Załącznik nr 3. Podprocesorzy i przekazywanie poza EOG

Aktualna lista, wraz z zakresem powierzenia, krajem przetwarzania i podstawą przekazania, stanowi treść dokumentu wykaz podprocesorów, który ma własny numer wersji i własną datę. Wersja obowiązująca w dniu zawarcia umowy jest do niej załączana.