Common use of OŚWIADCZENIA I OBOWIĄZKI PROCESORA Clause in Contracts

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. Wykonawca niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie Umowy, w zgodzie z obowiązującymi przepisami prawa. W szczególności Wykonawca oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych osobowych wynikające z RODO, a także ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781). Wykonawca jest zobowiązany: przetwarzać Dane osobowe zgodnie z RODO, polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową oraz instrukcjami Zamawiającego. Instrukcje (polecenia) są przekazywane przez Zamawiającego drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego w Załączniku A, z zastrzeżeniem postanowień pkt 4, Wykonawca powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji Zamawiającego. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy wynikających z Umowy oraz Umowy głównej; przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie Zamawiającego, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę wynika z przepisów prawa, informuje on Zamawiającego drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; przetwarzać Dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę lub Zamawiającego, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; udzielać dostępu do Danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia Wykonawcy, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie Zamawiającego, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; zapewnić, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie Zamawiającego, nie później niż w terminie 3 Dni Roboczych, Wykonawca zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną. wdrożyć, środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 Umowy; biorąc pod uwagę charakter przetwarzania w miarę możliwości wspierać Zamawiającego (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Współpraca Wykonawcy z Zamawiającym, w zakresie wskazanym w zdaniu poprzedzającym, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków Zamawiającego; w związku z realizacją tego obowiązku Wykonawca jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych danych osobowych (lub ich kopii) na żądanie Zamawiającego w terminie 5 Dni Roboczych w formie określonej przez Zamawiającego; Wykonawca powinien również niezwłocznie, jednak nie później niż w terminie 2 Dni Roboczych, poinformować Zamawiającego o wniosku dotyczącym realizacji praw osoby, której dane dotyczą, złożonym u Wykonawcy; Wykonawca nie będzie jednak odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia Zamawiającego;

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. Wykonawca 2.1. Podmiot przetwarzający niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie Umowy, w zgodzie z obowiązującymi przepisami prawa. W szczególności Wykonawca Podmiot przetwarzający oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych osobowych wynikające z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej jako: „RODO, ”) a także ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 2018 r. poz. 17811000). 2.2. Wykonawca Podmiot przetwarzający jest zobowiązany: : 2.2.1. przetwarzać Dane osobowe zgodnie z RODO, polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową oraz instrukcjami ZamawiającegoAdministratora. Instrukcje (polecenia) są przekazywane przez Zamawiającego Administratora drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego Podmiotu przetwarzającego wskazany w Załączniku A, z zastrzeżeniem postanowień pkt 4rozdziału 3, Wykonawca Podmiot przetwarzający powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy Podmiotu przetwarzającego termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego Administratora drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego Podmiotu przetwarzającego wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji ZamawiającegoAdministratora. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy Podmiotu przetwarzającego wynikających z Umowy oraz Umowy głównej; ; 2.2.2. przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie ZamawiającegoAdministratora, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę Podmiot przetwarzający wynika z przepisów prawa, informuje on Zamawiającego Administratora drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; ; 2.2.3. przetwarzać Dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę Podmiot przetwarzający i jego personel lub ZamawiającegoAdministratora, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; ; 2.2.4. udzielać dostępu do Danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy Podmiotu przetwarzającego upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia WykonawcyPodmiotu przetwarzającego, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie ZamawiającegoAdministratora, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; ; 2.2.5. zapewnić, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie ZamawiającegoAdministratora, nie później niż w terminie 3 Dni Roboczych, Wykonawca Podmiot przetwarzający zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę głównąprzekazania 2.2.6. wdrożyć, środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 rozdziale 3 Umowy; biorąc pod uwagę charakter przetwarzania , odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, których Dane osobowe będą przetwarzane na podstawie Umowy oraz zapewnić realizację zasad ochrony danych w miarę możliwości fazie projektowania oraz domyślnej ochrony danych (określonych w art. 25 RODO); 2.2.7. wspierać Zamawiającego Administratora (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Współpraca Wykonawcy Podmiotu przetwarzającego z ZamawiającymAdministratorem, w zakresie wskazanym w zdaniu poprzedzającym, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków ZamawiającegoAdministratora; w związku z realizacją tego obowiązku Wykonawca Podmiot przetwarzający jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych danych osobowych (lub ich kopii) na żądanie Zamawiającego Administratora w terminie 5 Dni Roboczych w formie określonej przez ZamawiającegoAdministratora; Wykonawca Podmiot przetwarzający powinien również niezwłocznie, jednak nie później niż w terminie 2 Dni Roboczych, poinformować Zamawiającego Administratora o wniosku dotyczącym realizacji praw osoby, której dane dotyczą, złożonym u WykonawcyPodmiotu przetwarzającego; Wykonawca Podmiot przetwarzający nie będzie jednak odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia ZamawiającegoAdministratora; 2.2.8. pomagać Administratorowi wywiązać się z obowiązków określonych w RODO (w tym w szczególności w art. 32–36 RODO), tj. w szczególności w zakresie: 2.2.9. xxxxxxxxx, w formie pisemnej (w tym elektronicznej), rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora, zawierający informacje o: 2.2.10. udostępniać Administratorowi, na każde jego żądanie, nie później niż w terminie 3 Dni Roboczych, wszelkie informacje niezbędne do wykazania spełnienia przez Administratora obowiązków wynikających z właściwych przepisów prawa, w szczególności z RODO, w tym przekazywać informacje o stosowanych zabezpieczeniach, zidentyfikowanych zagrożeniach i incydentach w obszarze ochrony danych osobowych; 2.2.11. umożliwiać Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów na zasadach określonych w rozdziale 6 Umowy; 2.2.12. niezwłocznie informować Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów krajowych lub unijnych o ochronie danych; informacja w tym przedmiocie przekazana powinna zostać Administratorowi w formie elektronicznej (na adres e-mail wskazany w Załączniku A) oraz powinna zawierać stosowne uzasadnienie i wskazanie przepisu prawa, który zdaniem Podmiotu przetwarzającego został naruszony; 2.2.13. niezwłocznie, jednak nie później niż w ciągu 2 Dni Roboczych, informować (o ile nie doprowadzi to do naruszenia przepisów obowiązującego prawa) Administratora o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania danych osobowych przez Podmiot przetwarzający, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania danych, skierowanej do Podmiotu przetwarzającego, o wszelkich kontrolach i inspekcjach dotyczących przetwarzania danych osobowych przez Podmiot przetwarzający, w szczególności prowadzonych przez organ nadzoru, a także o wszelkich skargach osób, których dane dotyczą związanych z przetwarzaniem ich danych osobowych; 2.2.14. przechowywać Dane osobowe tylko tak długo, jak to określił Administrator, a także, bez zbędnej zwłoki, aktualizować, poprawiać,

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. Wykonawca 2.1. Procesor niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie Umowy, w zgodzie z obowiązującymi przepisami prawa. W szczególności Wykonawca Procesor oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych osobowych wynikające z: 2.1.1. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej jako: „RODO, a także ”); 2.1.2. ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dzdalej jako: 2.2. U. z 2019 r. poz. 1781). Wykonawca Procesor jest zobowiązany: : 2.2.1. przetwarzać Dane osobowe zgodnie z RODO, polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową oraz instrukcjami ZamawiającegoAdministratora. Instrukcje (polecenia) są przekazywane przez Zamawiającego Administratora drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego Procesora wskazany w Załączniku A, ); z zastrzeżeniem postanowień pkt 4rozdziału 3, Wykonawca Procesor powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy Procesora termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji Zamawiającegozbyt 2.2.2. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy wynikających z Umowy oraz Umowy głównej; przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie ZamawiającegoAdministratora, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. W sytuacji, gdy obowiązek przetwarzania danych Danych osobowych przez Wykonawcę Procesora wynika z przepisów prawa, informuje on Zamawiającego Administratora drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; ; 2.2.3. przetwarzać Dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę Procesora i jego personel lub ZamawiającegoAdministratora, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; ; 2.2.4. udzielać dostępu do Danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy Procesora upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia WykonawcyProcesora, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie ZamawiającegoAdministratora, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; ; 2.2.5. zapewnić, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie Zamawiającego, nie później niż w terminie 3 Dni Roboczych, Wykonawca zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną; 2.2.6. wdrożyć, środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 rozdziale 3 Umowy; biorąc pod uwagę charakter przetwarzania , odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, których Dane osobowe będą przetwarzane na podstawie Umowy oraz zapewnić realizację zasad ochrony danych w miarę możliwości fazie projektowania oraz domyślnej ochrony danych (określonych w art. 25 RODO); 2.2.7. wspierać Zamawiającego Administratora (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Współpraca Wykonawcy Procesora z ZamawiającymAdministratorem, w zakresie wskazanym w zdaniu poprzedzającym, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków ZamawiającegoAdministratora; w związku z realizacją tego obowiązku Wykonawca Procesor jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych danych Danych osobowych (lub ich kopii) na żądanie Zamawiającego Administratora w terminie 5 Dni Roboczych w formie określonej przez ZamawiającegoAdministratora; Wykonawca Procesor powinien również niezwłocznie, jednak nie później niż w terminie 2 Dni Roboczych, poinformować Zamawiającego Administratora o wniosku dotyczącym realizacji praw osoby, której dane dotyczą, złożonym u WykonawcyProcesora; Wykonawca Procesor nie będzie jednak odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia ZamawiającegoAdministratora; 2.2.8. pomagać Administratorowi wywiązać się z obowiązków określonych w RODO (w tym w szczególności w art. 32–36 RODO), tj. w szczególności w zakresie: 2.2.9. xxxxxxxxx, w formie pisemnej (w tym elektronicznej), rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora, zawierający informacje o: 2.2.10. udostępniać Administratorowi, na każde jego żądanie, nie później niż w terminie 3 Dni Roboczych, wszelkie informacje niezbędne do wykazania spełnienia przez Administratora obowiązków wynikających z właściwych przepisów prawa, w szczególności z RODO, w tym przekazywać informacje o stosowanych zabezpieczeniach, zidentyfikowanych zagrożeniach i incydentach w obszarze ochrony Danych osobowych; 2.2.11. umożliwiać Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów na zasadach określonych w rozdziale 6 Umowy; 2.2.12. niezwłocznie informować Administratora, jeżeli jego zdaniem wydane mu i polecenie stanowi naruszenie RODO lub innych przepisów krajowych lub unijnych o ochronie danych; informacja w tym przedmiocie przekazana powinna zostać Administratorowi w formie elektronicznej (na adres e-mail wskazany w Załączniku A) oraz powinna zawierać stosowne uzasadnienie i wskazanie przepisu prawa, który zdaniem Xxxxxxxxx został naruszony; 2.2.13. niezwłocznie, jednak nie później niż w ciągu 2 Dni Roboczych, informować (o ile nie doprowadzi to do naruszenia przepisów obowiązującego prawa) Administratora o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania danych osobowych przez Procesora, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania danych, skierowanej do Procesora, o wszelkich kontrolach i inspekcjach dotyczących przetwarzania danych osobowych przez Procesora, w szczególności prowadzonych przez organ nadzoru, a także o wszelkich skargach osób, których dane dotyczą związanych z przetwarzaniem ich Danych osobowych; 2.2.14. przechowywać Dane osobowe tylko tak długo, jak to określił Administrator, a także, bez zbędnej zwłoki, aktualizować, poprawiać, zmieniać, anonimizować, ograniczać przetwarzanie lub usuwać wskazane Dane osobowe zgodnie z wytycznymi Administratora i Umową główną.

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. Wykonawca Podmiot przetwarzający niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie Umowy, w zgodzie z obowiązującymi przepisami prawa. W szczególności Wykonawca Podmiot przetwarzający oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych osobowych wynikające z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej jako: „RODO, ”) a także ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 2018 r. poz. 17811000). Wykonawca Podmiot przetwarzający jest zobowiązany: przetwarzać Dane osobowe zgodnie z RODO, polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową oraz instrukcjami ZamawiającegoAdministratora. Instrukcje (polecenia) są przekazywane przez Zamawiającego Administratora drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego Podmiotu przetwarzającego wskazany w Załączniku A, z zastrzeżeniem postanowień pkt 4rozdziału 3, Wykonawca Podmiot przetwarzający powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy Podmiotu przetwarzającego termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego Administratora drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego Podmiotu przetwarzającego wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji ZamawiającegoAdministratora. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy Podmiotu przetwarzającego wynikających z Umowy oraz Umowy głównej; przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie ZamawiającegoAdministratora, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę Podmiot przetwarzający wynika z przepisów prawa, informuje on Zamawiającego Administratora drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; przetwarzać Dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę Podmiot przetwarzający i jego personel lub ZamawiającegoAdministratora, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; udzielać dostępu do Danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy Podmiotu przetwarzającego upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia WykonawcyPodmiotu przetwarzającego, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie ZamawiającegoAdministratora, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; zapewnić, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie ZamawiającegoAdministratora, nie później niż w terminie 3 Dni Roboczych, Wykonawca Podmiot przetwarzający zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną. wdrożyć, środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 rozdziale 3 Umowy, odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, których Dane osobowe będą przetwarzane na podstawie Umowy oraz zapewnić realizację zasad ochrony danych w fazie projektowania oraz domyślnej ochrony danych (określonych w art. 25 RODO); biorąc pod uwagę charakter przetwarzania w miarę możliwości wspierać Zamawiającego Administratora (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Współpraca Wykonawcy Podmiotu przetwarzającego z ZamawiającymAdministratorem, w zakresie wskazanym w zdaniu poprzedzającym, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków ZamawiającegoAdministratora; w związku z realizacją tego obowiązku Wykonawca Podmiot przetwarzający jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych danych osobowych (lub ich kopii) na żądanie Zamawiającego Administratora w terminie 5 Dni Roboczych w formie określonej przez ZamawiającegoAdministratora; Wykonawca Podmiot przetwarzający powinien również niezwłocznie, jednak nie później niż w terminie 2 Dni Roboczych, poinformować Zamawiającego Administratora o wniosku dotyczącym realizacji praw osoby, której dane dotyczą, złożonym u WykonawcyPodmiotu przetwarzającego; Wykonawca Podmiot przetwarzający nie będzie jednak odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia Zamawiającego;Administratora; pomagać Administratorowi wywiązać się z obowiązków określonych w RODO (w tym w szczególności w art. 32–36 RODO), tj. w szczególności w zakresie: - zapewnienia bezpieczeństwa przetwarzania Danych osobowych poprzez wdrożenie stosownych środków technicznych oraz organizacyjnych; - dokonywania zgłaszania naruszeń ochrony danych osobowych organowi nadzorczemu oraz zawiadamiania osób, których dane dotyczą o takim naruszeniu (obowiązki Podmiotu przetwarzającego w odniesieniu do zgłaszania naruszeń zostały określone w rozdziale 8 Umowy); - dokonywania przez Administratora oceny skutków dla ochrony danych oraz przeprowadzania konsultacji Administratora z organem nadzorczym; prowadzić, w formie pisemnej (w tym elektronicznej), rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora, zawierający informacje o: - nazwie oraz danych kontaktowych Podmiotu przetwarzającego oraz innych podmiotów przetwarzających (w przypadku podpowierzenia danych osobowych, o którym mowa w rozdziale 4 Umowy) oraz Administratora, a także inspektora ochrony danych, gdy ma to zastosowanie; - kategoriach przetwarzań dokonywanych w imieniu Administratora; - gdy ma to zastosowanie – przekazywaniu danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwie tego państwa trzeciego lub organizacji międzynarodowej; - ogólnym opisie technicznych i organizacyjnych środków bezpieczeństwa, służących do zabezpieczenia powierzonych danych osobowych; udostępniać Administratorowi, na każde jego żądanie, nie później niż w terminie 3 Dni Roboczych, wszelkie informacje niezbędne do wykazania spełnienia przez Administratora obowiązków wynikających z właściwych przepisów prawa, w szczególności z RODO, w tym przekazywać informacje o stosowanych zabezpieczeniach, zidentyfikowanych zagrożeniach i incydentach w obszarze ochrony danych osobowych; umożliwiać Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów na zasadach określonych w rozdziale 6 Umowy; niezwłocznie informować Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów krajowych lub unijnych o ochronie danych; informacja w tym przedmiocie przekazana powinna zostać Administratorowi w formie elektronicznej (na adres e-mail wskazany w Załączniku A) oraz powinna zawierać stosowne uzasadnienie i wskazanie przepisu prawa, który zdaniem Podmiotu przetwarzającego został naruszony; niezwłocznie, jednak nie później niż w ciągu 2 Dni Roboczych, informować (o ile nie doprowadzi to do naruszenia przepisów obowiązującego prawa) Administratora o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania danych osobowych przez Podmiot przetwarzający, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania danych, skierowanej do Podmiotu przetwarzającego, o wszelkich kontrolach i inspekcjach dotyczących przetwarzania danych osobowych przez Podmiot przetwarzający, w szczególności prowadzonych przez organ nadzoru, a także o wszelkich skargach osób, których dane dotyczą związanych z przetwarzaniem ich danych osobowych; przechowywać Dane osobowe tylko tak długo, jak to określił Administrator, a także, bez zbędnej zwłoki, aktualizować, poprawiać, zmieniać, anonimizować, ograniczać przetwarzanie lub usuwać wskazane dane osobowe zgodnie z wytycznymi Administratora i Umową główną.

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. Wykonawca 2.1. Procesor niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie Umowy, w zgodzie z obowiązującymi przepisami prawa. W szczególności Wykonawca Procesor oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych osobowych wynikające z: 2.1.1. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej jako: „RODO, a także ”); 2.1.2. ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dzdalej jako: 2.2. U. z 2019 r. poz. 1781). Wykonawca Procesor jest zobowiązany: : 2.2.1. przetwarzać Dane osobowe zgodnie z RODO, polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową oraz instrukcjami ZamawiającegoAdministratora. Instrukcje (polecenia) są przekazywane przez Zamawiającego Administratora drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego Procesora wskazany w Załączniku A, ); z zastrzeżeniem postanowień pkt 4rozdziału 3, Wykonawca Procesor powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy Procesora termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego Administratora drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego Procesora wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji ZamawiającegoAdministratora. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy Procesora wynikających z Umowy oraz ani Umowy głównej; ; 2.2.2. przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie ZamawiającegoAdministratora, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę Procesora wynika z przepisów prawa, informuje on Zamawiającego Administratora drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; ; 2.2.3. przetwarzać Dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę Procesora i jego personel lub ZamawiającegoAdministratora, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; ; 2.2.4. udzielać dostępu do Danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy Procesora upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia WykonawcyProcesora, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie ZamawiającegoAdministratora, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; ; 2.2.5. zapewnić, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie Zamawiającego, nie później niż w terminie 3 Dni Roboczych, Wykonawca zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną; 2.2.6. wdrożyć, środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 rozdziale 3 Umowy; biorąc pod uwagę charakter przetwarzania , odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, których Dane osobowe będą przetwarzane na podstawie Umowy oraz zapewnić realizację zasad ochrony danych w miarę możliwości fazie projektowania oraz domyślnej ochrony danych (określonych w art. 25 RODO); 2.2.7. wspierać Zamawiającego Administratora (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Współpraca Wykonawcy Procesora z ZamawiającymAdministratorem, w zakresie wskazanym w zdaniu poprzedzającym, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków ZamawiającegoAdministratora; w związku z realizacją tego obowiązku Wykonawca Procesor jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych danych osobowych (lub ich kopii) na żądanie Zamawiającego Administratora w terminie 5 Dni Roboczych w formie określonej przez ZamawiającegoAdministratora; Wykonawca Procesor powinien również niezwłocznie, jednak nie później niż w terminie 2 Dni Roboczych, poinformować Zamawiającego Administratora o wniosku dotyczącym realizacji praw osoby, której dane dotyczą, złożonym u WykonawcyProcesora; Wykonawca Procesor nie będzie jednak odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia ZamawiającegoAdministratora; 2.2.8. pomagać Administratorowi wywiązać się z obowiązków określonych w RODO (w tym w szczególności w art. 32–36 RODO), tj. w szczególności w zakresie: 2.2.9. xxxxxxxxx, w formie pisemnej (w tym elektronicznej), rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora, zawierający informacje o: 2.2.10. udostępniać Administratorowi, na każde jego żądanie, nie później niż w terminie 3 Dni Roboczych, wszelkie informacje niezbędne do wykazania spełnienia przez Administratora obowiązków wynikających z właściwych przepisów prawa, w szczególności z RODO, w tym przekazywać informacje o stosowanych zabezpieczeniach, zidentyfikowanych zagrożeniach i incydentach w obszarze ochrony danych osobowych; 2.2.11. umożliwiać Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów na zasadach określonych w rozdziale 6 Umowy; 2.2.12. niezwłocznie informować Administratora, jeżeli jego zdaniem wydane mu i polecenie stanowi naruszenie RODO lub innych przepisów krajowych lub unijnych o ochronie danych; informacja w tym przedmiocie przekazana powinna zostać Administratorowi w formie elektronicznej (na adres e-mail wskazany w Załączniku A) oraz powinna zawierać stosowne uzasadnienie i wskazanie przepisu prawa, który zdaniem Xxxxxxxxx został naruszony; 2.2.13. niezwłocznie, jednak nie później niż w ciągu 2 Dni Roboczych, informować (o ile nie doprowadzi to do naruszenia przepisów obowiązującego prawa) Administratora o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania danych osobowych przez Procesora, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania danych, skierowanej do Procesora, o wszelkich kontrolach i inspekcjach dotyczących przetwarzania danych osobowych przez Procesora, w szczególności prowadzonych przez organ nadzoru, a także o wszelkich skargach osób, których dane dotyczą związanych z przetwarzaniem ich danych osobowych; 2.2.14. przechowywać Dane osobowe tylko tak długo, jak to określił Administrator, a także, bez zbędnej zwłoki, aktualizować, poprawiać, zmieniać, anonimizować, ograniczać przetwarzanie lub usuwać wskazane dane osobowe zgodnie z wytycznymi Administratora i Umową główną.

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. Wykonawca 2.1. Procesor niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie Umowy, w zgodzie z obowiązującymi przepisami prawa. W szczególności Wykonawca Procesor oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych osobowych wynikające z: 2.1.1. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej jako: „RODO, a także ”); 2.1.2. ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dzdalej jako: 2.2. U. z 2019 r. poz. 1781). Wykonawca Procesor jest zobowiązany: : 2.2.1. przetwarzać Dane osobowe zgodnie z RODO, polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową oraz instrukcjami ZamawiającegoAdministratora. Instrukcje (polecenia) są przekazywane przez Zamawiającego Administratora drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego Procesora wskazany w Załączniku A, ); z zastrzeżeniem postanowień pkt 4rozdziału 3, Wykonawca Procesor powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy Procesora termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego Administratora drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego Procesora wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji ZamawiającegoAdministratora. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy Procesora wynikających z Umowy oraz ani Umowy głównej; ; 2.2.2. przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie ZamawiającegoAdministratora, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę Procesora wynika z przepisów prawa, informuje on Zamawiającego Administratora drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; ; 2.2.3. przetwarzać Dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę Procesora i jego personel lub ZamawiającegoAdministratora, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; ; 2.2.4. udzielać dostępu do Danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy Procesora upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia WykonawcyProcesora, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie ZamawiającegoAdministratora, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; ; 2.2.5. zapewnić, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie Zamawiającego, nie później niż w terminie 3 Dni Roboczych, Wykonawca zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną; 2.2.6. wdrożyć, środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 rozdziale 3 Umowy; biorąc pod uwagę charakter przetwarzania , odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, których Dane osobowe będą przetwarzane na podstawie Umowy oraz zapewnić realizację zasad ochrony danych w miarę możliwości fazie projektowania oraz domyślnej ochrony danych (określonych w art. 25 RODO); 2.2.7. wspierać Zamawiającego Administratora (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Współpraca Wykonawcy Procesora z ZamawiającymAdministratorem, w zakresie wskazanym w zdaniu poprzedzającym, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków ZamawiającegoAdministratora; w związku z realizacją tego obowiązku Wykonawca Procesor jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych danych osobowych (lub ich kopii) na żądanie Zamawiającego Administratora w terminie 5 Dni Roboczych w formie określonej przez ZamawiającegoAdministratora; Wykonawca Procesor powinien również niezwłocznie, jednak nie później niż w terminie 2 Dni Roboczych, poinformować Zamawiającego Administratora o wniosku dotyczącym realizacji praw osoby, której dane dotyczą, złożonym u WykonawcyProcesora; Wykonawca Procesor nie będzie jednak odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia ZamawiającegoAdministratora; 2.2.8. pomagać Administratorowi wywiązać się z obowiązków określonych w RODO (w tym w szczególności w art. 32–36 RODO), tj. w szczególności w zakresie: 2.2.9. xxxxxxxxx, w formie pisemnej (w tym elektronicznej), rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora, zawierający informacje o: 2.2.10. udostępniać Administratorowi, na każde jego żądanie, nie później niż w terminie 3 Dni Roboczych, wszelkie informacje niezbędne do wykazania spełnienia przez Administratora obowiązków wynikających z właściwych przepisów prawa, w szczególności z RODO, w tym przekazywać informacje o stosowanych zabezpieczeniach, zidentyfikowanych zagrożeniach i incydentach w obszarze ochrony danych osobowych; 2.2.11. umożliwiać Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów na zasadach określonych w rozdziale 6 Umowy; 2.2.12. niezwłocznie informować Administratora, jeżeli jego zdaniem wydane mu i polecenie stanowi naruszenie RODO lub innych przepisów krajowych lub unijnych o ochronie danych; informacja w tym przedmiocie przekazana powinna zostać Administratorowi w formie elektronicznej (na adres e-mail wskazany w Załączniku A) oraz powinna zawierać stosowne uzasadnienie i wskazanie przepisu prawa, który zdaniem Xxxxxxxxx został naruszony; 2.2.13. niezwłocznie, jednak nie później niż w ciągu 2 Dni Roboczych, informować (o ile nie doprowadzi to do naruszenia przepisów obowiązującego prawa) Administratora o jakimkolwiek postępowaniu, w szczególności 2.2.14. przechowywać Dane osobowe tylko tak długo, jak to określił Administrator, a także, bez zbędnej zwłoki, aktualizować, poprawiać, zmieniać, anonimizować, ograniczać przetwarzanie lub usuwać wskazane dane osobowe zgodnie z wytycznymi Administratora i Umową główną.

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. Wykonawca 1. Procesor niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie niniejszej Umowy, w zgodzie z obowiązującymi przepisami prawa. W szczególności Wykonawca Procesor oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych danych osobowych wynikające z RODO, a także ustawy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 10 maja 2018 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych (Dzdanych, dalej jako: „RODO”); 2. U. z 2019 r. poz. 1781). Wykonawca Procesor jest zobowiązany: : a) przetwarzać Dane powierzone dane osobowe zgodnie z RODO, RODO i polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, niniejszą Umową oraz instrukcjami ZamawiającegoAdministratora zgodnie z powszechnie obowiązującymi przepisami prawa i niniejsza Umową. Instrukcje (polecenia) są przekazywane przez Zamawiającego Administratora drogą elektroniczną (przesyłane na adres e-e- mail Wykonawcy wskazanego Procesora wskazany w Załączniku A, nr 1); z zastrzeżeniem postanowień pkt 4, Wykonawca § 3 poniżej Procesor powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymaniaotrzymania (na potrzeby Umowy „Dni Robocze” należy rozumieć dni od poniedziałku do piątku, poza dniami ustawowymi wolnymi od pracy); jeżeli w ocenie Wykonawcy Procesora termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego Administratora drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego Procesora wskazany w Załączniku Anr 1) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji Zamawiającego. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy wynikających z Umowy oraz Umowy głównej; Administratora; b) przetwarzać Dane powierzone dane osobowe wyłącznie na udokumentowane polecenie ZamawiającegoAdministratora (tj. przekazane w formie instrukcji, o których mowa powyżej lub w innym pisemnym lub elektronicznym dokumencie dostarczonym Procesorowi przez Administratora), chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę Procesora wynika z przepisów prawa, informuje on Zamawiającego Administratora drogą elektroniczną – - przed rozpoczęciem przetwarzania – - o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; ; c) przetwarzać Dane powierzone mu dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę Procesora i jego personel lub ZamawiającegoAdministratora, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; ; d) udzielać dostępu do Danych powierzonych danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy Procesora upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy lub Umowy Głównej oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia WykonawcyProcesora, która ma dostęp do Danych danych osobowych, przetwarzała je wyłącznie na polecenie ZamawiającegoAdministratora, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; ; e) zapewnić, aby osoby upoważnione do przetwarzania Danych danych osobowych zobowiązały się do zachowania tajemnicy, chyba że są to osoby podlegające tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie Zamawiającego, nie później niż w terminie 3 Dni Roboczych, Wykonawca zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do ; obowiązek zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną. tajemnicy obowiązuje również po rozwiązaniu Umowy lub Umowy Głównej. f) wdrożyć, środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 Załączniku 3 Umowy; biorąc pod uwagę charakter przetwarzania , odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, których dane osobowe będą przetwarzane na podstawie Umowy oraz zapewnić realizację zasad ochrony danych w miarę możliwości fazie projektowania oraz domyślnej ochrony danych (określonych w art. 25 RODO); g) wspierać Zamawiającego Administratora (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Współpraca Wykonawcy Procesora z ZamawiającymAdministratorem, w zakresie wskazanym w zdaniu poprzedzającym, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków Zamawiającegoprzez Administratora; w związku z realizacją tego obowiązku Wykonawca Procesor jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia udostępniania powierzonych danych osobowych (lub ich kopii) na żądanie Zamawiającego Administratora w terminie 5 Dni Roboczych w formie określonej przez ZamawiającegoAdministratora; Wykonawca Procesor powinien również niezwłocznie, jednak nie później niż w terminie 2 Dni Roboczych, poinformować Zamawiającego Administratora o wniosku dotyczącym realizacji praw osoby, której dane dotyczą, złożonym u WykonawcyProcesora; Wykonawca Procesor nie będzie jednak odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia ZamawiającegoAdministratora; h) pomagać Administratorowi wywiązać się z obowiązków określonych w RODO (w tym w szczególności w art. 32–36 RODO), tj. w szczególności w zakresie: I. zapewnienia bezpieczeństwa przetwarzania danych osobowych poprzez wdrożenie stosownych środków technicznych oraz organizacyjnych (wykaz środków, które zobowiązany jest wdrożyć Procesor został określony w Załączniku nr 3); II. dokonywania zgłaszania naruszeń ochrony danych osobowych organowi nadzorczemu oraz zawiadamiania osób, których dane dotyczą o takim naruszeniu (obowiązki Procesora w odniesieniu do zgłaszania naruszeń zostały określone w §8 Umowy); III. dokonywania przez Administratora oceny skutków dla ochrony danych oraz przeprowadzania konsultacji Administratora z organem nadzorczym; i) prowadzić, w formie pisemnej (w tym elektronicznej), rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora, zawierający informacje o: I. nazwie oraz danych kontaktowych Procesora oraz innych podmiotów przetwarzających (w przypadku podpowierzenia danych osobowych, o którym mowa w §4 Umowy) oraz Administratora, a także inspektora ochrony danych, gdy ma to zastosowanie; II. kategoriach przetwarzań dokonywanych w imieniu Administratora; III. gdy ma to zastosowanie - przekazywaniu danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwie tego państwa trzeciego lub organizacji międzynarodowej; IV. ogólnym opisie technicznych i organizacyjnych środków bezpieczeństwa, służących do zabezpieczenia powierzonych danych osobowych. j) udostępniać Administratorowi, na każde jego żądanie, nie później niż w terminie 3 Dni Roboczych, wszelkie informacje niezbędne do wykazania spełnienia przez Administratora obowiązków wynikających z właściwych przepisów prawa, w szczególności z RODO, w tym przekazywać informacje o stosowanych zabezpieczeniach, zidentyfikowanych zagrożeniach i incydentach w obszarze ochrony danych osobowych; k) umożliwić Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów na zasadach określonych w §6 Umowy; l) niezwłocznie informować Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów krajowych lub unijnych o ochronie danych; informacja w tym przedmiocie przekazana powinna zostać Administratorowi w formie elektronicznej (na adres e-mail wskazany w Załączniku nr 1) oraz powinna zawierać stosowne uzasadnienie i wskazanie przepisu prawa, który zdaniem Xxxxxxxxx został naruszony; m) niezwłocznie, jednak nie później niż w ciągu 2 Dni Roboczych, informować (o ile nie doprowadzi to do naruszenia przepisów obowiązującego prawa) Administratora o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania danych osobowych przez Procesora, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania danych, skierowanej do Procesora, o wszelkich kontrolach i inspekcjach dotyczących przetwarzania danych osobowych przez Procesora, w szczególności prowadzonych przez organ nadzoru, a także o wszelkich skargach osób, których dane dotyczą związanych z przetwarzaniem ich danych osobowych; n) przechowywać dane osobowe tylko tak długo, jak to określił Administrator, a także, bez zbędnej zwłoki, aktualizować, poprawiać, zmieniać, anonimizować, ograniczać przetwarzanie lub usuwać wskazane dane osobowe zgodnie z wytycznymi Administratora (jeśli takie działanie mogłoby powodować brak możliwości dalszego realizowania czynności przetwarzania), Procesor poinformuje Administratora przed jego podjęciem, a następnie zastosuje się do polecenia Administratora.

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. Wykonawca 1. Procesor niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie niniejszej Umowy, w zgodzie z obowiązującymi przepisami prawa. W szczególności Wykonawca Procesor oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych danych osobowych wynikające z RODO, a także ustawy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 10 maja 2018 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych (Dzdanych, dalej jako: „RODO”); 2. U. z 2019 r. poz. 1781). Wykonawca Procesor jest zobowiązany: : 1) przetwarzać Dane powierzone dane osobowe wyłącznie na postawie Umowy, chyba że obowiązek przetwarzania w szerszym zakresie wynika z prawa krajowego lub unijnego; 2) przetwarzać powierzone dane osobowe zgodnie z RODO, (jednak w okresie przed 25 maja 2018 r. w zakresie, w jakim nie jest to sprzeczne z przepisami Rozporządzenia, których Procesor zobowiązany jest przestrzegać), polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową prawa oraz instrukcjami Zamawiającego. Instrukcje (polecenianiniejszą Umową; 3) są przekazywane przez Zamawiającego drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego w Załączniku A, z zastrzeżeniem postanowień pkt 4, Wykonawca powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji Zamawiającego. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy wynikających z Umowy oraz Umowy głównej; przetwarzać Dane powierzone mu dane osobowe wyłącznie na udokumentowane polecenie Zamawiającego, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę wynika z przepisów prawa, informuje on Zamawiającego drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; przetwarzać Dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę lub Zamawiającego, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; terytorium Europejskiego Obszaru Gospodarczego; 4) udzielać dostępu do Danych powierzonych danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy Procesora upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia Wykonawcy, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie Zamawiającego, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; Umowy; 5) zapewnić, aby osoby upoważnione do przetwarzania Danych danych osobowych zobowiązały się były zobowiązane do zachowania tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie Zamawiającego, nie później niż w terminie 3 Dni Roboczych, Wykonawca zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną. ; 6) wdrożyć, odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, których dane osobowe będą przetwarzane na podstawie Umowy; biorąc pod uwagę charakter przetwarzania w miarę możliwości ; 7) wspierać Zamawiającego (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) Administratora w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO, w szczególności niezwłocznie, na żądanie Administratora, nie później jednak niż w terminie 7 dni od daty zgłoszenia takiego żądania, Procesor udzieli informacji dotyczących przetwarzania powierzonych mu do przetwarzania danych osobowych w tym zastosowanych technicznych i organizacyjnych środków zabezpieczenia danych osobowych; 8) niezwłocznie, nie później jednak niż w terminie 24 godzin od momentu stwierdzenia naruszenia, informować Administratora o każdym naruszeniu ochrony danych osobowych, w szczególności jego skali, charakterze, podejmowanych działaniach naprawczych, tożsamości podmiotów danych dotkniętych naruszeniem oraz ryzyku, jakie naruszenie może powodować dla podmiotów danych; 9) prowadzić, w formie pisemnej (w tym elektronicznej), rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora; 10) umożliwić Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów przetwarzania powierzonych danych osobowych. Współpraca Wykonawcy z ZamawiającymW tym celu Procesor na żądanie Administratora lub upoważnionego podmiotu udzieli informacji dotyczących przetwarzania powierzonych danych osobowych, technicznych i organizacyjnych środkach ich ochrony, a także umożliwi dostęp do swoich pomieszczeń, pracowników i współpracowników oraz urządzeń, w zakresie wskazanym w zdaniu poprzedzającymuzasadnionym wykonywaniem czynności audytowych; 11) niezwłocznie informować Administratora, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków Zamawiającego; w związku z realizacją tego obowiązku Wykonawca jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych danych osobowych (jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub ich kopiiinnych przepisów krajowych lub unijnych o ochronie danych; 12) na żądanie Zamawiającego w terminie 5 Dni Roboczych w formie określonej przez Zamawiającego; Wykonawca powinien również niezwłocznie, jednak nie później niż w terminie ciągu 2 Dni Roboczych, poinformować Zamawiającego informować (o wniosku ile nie doprowadzi to do naruszenia przepisów obowiązującego prawa) Administratora o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym realizacji praw osobyprzetwarzania danych osobowych przez Procesora, której o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania danych, skierowanej do Procesora, o wszelkich kontrolach i inspekcjach dotyczących przetwarzania danych osobowych przez Procesora; 13) przechowywać dane dotycząosobowe tylko tak długo, złożonym u Wykonawcy; Wykonawca nie będzie jednak odpowiadał na taki wniosek jak to określił Administrator, a także, bez uprzedniej zgody zbędnej zwłoki, aktualizować, poprawiać, zmieniać, zanonimizować, ograniczać przetwarzanie lub wyraźnego usuwać wskazane dane osobowe zgodnie z wytycznymi Administratora (jeśli takie działanie mogłoby powodować brak możliwości dalszego realizowania czynności przetwarzania, Procesor poinformuje Administratora przed jego podjęciem, a następnie zastosuje się do polecenia Zamawiającego;Administratora).

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. Wykonawca 2.1. Podmiot przetwarzający niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie Umowy, w zgodzie z obowiązującymi przepisami prawa. W szczególności Wykonawca Podmiot przetwarzający oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych osobowych wynikające z RODO, a także ustawy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 10 maja 2018 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych (Dzdanych, dalej jako: „RODO”); 2.2. U. z 2019 r. poz. 1781). Wykonawca Podmiot przetwarzający jest zobowiązany: : 2.2.1. przetwarzać Dane osobowe zgodnie z RODO, polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową oraz instrukcjami ZamawiającegoAdministratora. Instrukcje (polecenia) są przekazywane przez Zamawiającego Administratora drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego w Załączniku A, z zastrzeżeniem postanowień pkt 4rozdziału 3, Wykonawca Podmiot przetwarzający powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy Podmiotu przetwarzającego termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego Administratora drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji ZamawiającegoAdministratora. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy Podmiotu przetwarzającego wynikających z Umowy oraz ani Umowy głównej; ; 2.2.2. przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie ZamawiającegoAdministratora, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę Podmiot przetwarzający wynika z przepisów prawa, informuje on Zamawiającego Administratora drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; ; 2.2.3. przetwarzać Dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę Podmiot przetwarzający i jego personel lub ZamawiającegoAdministratora, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; ; 2.2.4. udzielać dostępu do Danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy Podmiotu przetwarzającego upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia WykonawcyPodmiotu przetwarzającego, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie ZamawiającegoAdministratora, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; ; 2.2.5. zapewnić, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie Zamawiającego, nie później niż w terminie 3 Dni Roboczych, Wykonawca zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną; 2.2.6. wdrożyć, środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 rozdziale 3 Umowy; biorąc pod uwagę charakter przetwarzania w miarę możliwości , odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa 2.2.7. wspierać Zamawiającego Administratora (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Współpraca Wykonawcy Podmiotu przetwarzającego z ZamawiającymAdministratorem, w zakresie wskazanym w zdaniu poprzedzającym, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków ZamawiającegoAdministratora; w związku z realizacją tego obowiązku Wykonawca Podmiot przetwarzający jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych danych osobowych (lub ich kopii) na żądanie Zamawiającego Administratora w terminie 5 Dni Roboczych w formie określonej przez ZamawiającegoAdministratora; Wykonawca Podmiot przetwarzający powinien również niezwłocznie, jednak nie później niż w terminie 2 Dni Roboczych, poinformować Zamawiającego Administratora o wniosku dotyczącym realizacji praw osoby, której dane dotyczą, złożonym u WykonawcyPodmiotu przetwarzającego ; Wykonawca Podmiot przetwarzający nie będzie jednak odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia ZamawiającegoAdministratora; 2.2.8. pomagać Administratorowi wywiązać się z obowiązków określonych w RODO (w tym w szczególności w art. 32–36 RODO), tj. w szczególności w zakresie: 2.2.9. xxxxxxxxx, w formie pisemnej (w tym elektronicznej), rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora, zawierający informacje o: 2.2.10. udostępniać Administratorowi, na każde jego żądanie, nie później niż w terminie 3 Dni Roboczych, wszelkie informacje niezbędne do wykazania spełnienia przez Administratora obowiązków wynikających z właściwych przepisów prawa, w szczególności z RODO, w tym przekazywać informacje o stosowanych zabezpieczeniach, zidentyfikowanych zagrożeniach i incydentach w obszarze ochrony danych osobowych; 2.2.11. umożliwiać Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów na zasadach określonych w rozdziale 6 Umowy; 2.2.12. niezwłocznie informować Administratora, jeżeli jego zdaniem wydane mu 2.2.13. niezwłocznie, jednak nie później niż w ciągu 2 Dni Roboczych, informować (o ile nie doprowadzi to do naruszenia przepisów obowiązującego prawa) Administratora o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania danych osobowych przez Podmiot przetwarzający, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania danych, skierowanej do Podmiotu przetwarzającego, 2.2.14. przechowywać Dane osobowe tylko tak długo, jak to określił Administrator, a także, bez zbędnej zwłoki, aktualizować, poprawiać, zmieniać, anonimizować,

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. Wykonawca niniejszym 1. Procesor oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie UmowyUmowy Powierzenia, w zgodzie zgodnie z obowiązującymi przepisami prawa. W szczególności Wykonawca Procesor oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych danych osobowych wynikające z RODO. 2. Procesor jest zobowiązany: 1) przetwarzać powierzone dane osobowe wyłącznie na podstawie Umowy, a także ustawy zgodnie z Umową, obowiązującymi przepisami, w szczególności RODO, ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781). Wykonawca jest zobowiązany: ; 2) przetwarzać Dane osobowe zgodnie z RODO, polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową oraz instrukcjami Zamawiającego. Instrukcje (polecenia) są przekazywane przez Zamawiającego drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego w Załączniku A, z zastrzeżeniem postanowień pkt 4, Wykonawca powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji Zamawiającego. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy wynikających z Umowy oraz Umowy głównej; przetwarzać Dane powierzone mu dane osobowe wyłącznie na udokumentowane polecenie Zamawiającegoterytorium Unii Europejskiej lub Europejskiego Obszaru Gospodarczego; 3) pisemnie upoważnić osoby, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę wynika z przepisów prawa, informuje on Zamawiającego drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; przetwarzać Dane osobowe wyłączenie które w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę lub Zamawiającego, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; imieniu Xxxxxxxxx przetwarzają dane osobowe; 4) udzielać dostępu do Danych powierzonych danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy Procesora upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia Wykonawcy, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie Zamawiającego, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; Umowy; 5) zapewnić, aby osoby upoważnione do przetwarzania Danych danych osobowych zobowiązały się były zobowiązane do zachowania ich w tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie Zamawiającego, nie później niż w terminie 3 Dni Roboczych, Wykonawca zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną. wdrożyć, ; 6) wdrożyć odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, których dane osobowe będą przetwarzane na podstawie Umowy; biorąc pod uwagę charakter przetwarzania w miarę możliwości ; 7) wspierać Zamawiającego (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) Administratora w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO, w szczególności niezwłocznie, na żądanie Administratora, nie później jednak niż w terminie 7 dni od daty zgłoszenia takiego żądania, Procesor udzieli informacji dotyczących przetwarzania powierzonych mu do przetwarzania danych osobowych, w tym zastosowanych technicznych i organizacyjnych środkach zabezpieczenia danych osobowych; 8) niezwłocznie, nie później jednak niż w terminie 24 godzin od momentu stwierdzenia naruszenia, informować Administratora o każdym naruszeniu ochrony danych osobowych, w szczególności jego skali, charakterze, podejmowanych działaniach naprawczych, tożsamości podmiotów danych dotkniętych naruszeniem oraz ryzyku, jakie naruszenie może powodować dla podmiotów danych; do czasu uzyskania instrukcji od Administratora, Procesor, bez zbędnej zwłoki, podejmuje wszelkie rozsądne działania mające na celu ograniczenie i naprawienie negatywnych skutków naruszenia; 9) prowadzić, w postaci pisemnej (w tym elektronicznej), rejestr wszystkich kategorii czynności przetwarzania powierzonych danych; 10) umożliwić Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów przetwarzania powierzonych danych osobowych. Współpraca Wykonawcy z ZamawiającymW tym celu Procesor na żądanie Administratora lub upoważnionego podmiotu nie później niż w terminie 7-miu dni od dnia zgłoszenia żądania, udzieli informacji dotyczących przetwarzania powierzonych danych osobowych, technicznych i organizacyjnych środkach ich ochrony, a także umożliwi dostęp do swoich pomieszczeń, pracowników i współpracowników oraz urządzeń, w zakresie wskazanym w zdaniu poprzedzającymuzasadnionym wykonywaniem czynności audytowych; 11) niezwłocznie informować Administratora, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków Zamawiającego; w związku z realizacją tego obowiązku Wykonawca jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów krajowych lub unijnych o ochronie danych osobowych (lub ich kopiiosobowych; 12) na żądanie Zamawiającego w terminie 5 Dni Roboczych w formie określonej przez Zamawiającego; Wykonawca powinien również niezwłocznie, jednak nie później niż w terminie 2 Dni Roboczychciągu 24 godzin informować (o ile nie doprowadzi to do naruszenia przepisów obowiązującego prawa) Administratora o jakimkolwiek postępowaniu, poinformować Zamawiającego w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania danych osobowych przez Procesora, o wniosku jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym realizacji praw osobyprzetwarzania danych osobowych, której skierowanej do Procesora, o wszelkich kontrolach i inspekcjach dotyczących przetwarzania danych osobowych przez Procesora; 13) przechowywać dane dotycząosobowe tylko tak długo, złożonym u Wykonawcyjak to wynika z obowiązujących przepisów prawa, bez zbędnej zwłoki, aktualizować, poprawiać, zmieniać, anonimizować, ograniczać przetwarzanie lub usuwać wskazane dane osobowe zgodnie z wytycznymi Administratora (jeśli takie działanie mogłoby powodować brak możliwości dalszego realizowania czynności przetwarzania, Procesor poinformuje Administratora przed jego podjęciem, a następnie zastosuje się do polecenia Administratora); 14) w przypadku rozwiązania bądź wygaśnięcia Umowy, Procesor zobowiązany jest niezwłocznie zwrócić, w uzgodnionym między Stronami formacie, dane osobowe, które przetwarzał w związku z wykonywaniem Umowy, a następnie usunąć je ze wszystkich nośników informacji, o ile postanowienia innych umów związanych z Umową, nie stanowią inaczej. Na żądanie Administratora Procesor potwierdzi pisemnie lub elektronicznie usunięcie danych, które przetwarzał w związku z wykonywaniem Umowy; Wykonawca przez usunięcie danych, rozumieć należy takie zniszczenie, które nie będzie jednak odpowiadał pozwoli na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia Zamawiającego;ich ponowne odtworzenie.

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. Wykonawca Podmiot przetwarzający niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie Umowy, w zgodzie z obowiązującymi przepisami prawa. W szczególności Wykonawca Podmiot przetwarzający oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych osobowych wynikające z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej jako: „RODO, ”) a także ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 2018 r. poz. 17811000). Wykonawca Podmiot przetwarzający jest zobowiązany: przetwarzać Dane osobowe zgodnie z RODO, polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową oraz instrukcjami ZamawiającegoAdministratora. Instrukcje (polecenia) są przekazywane przez Zamawiającego Administratora drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego Podmiotu przetwarzającego wskazany w Załączniku A, z zastrzeżeniem postanowień pkt 4rozdziału 3, Wykonawca Podmiot przetwarzający powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy Podmiotu przetwarzającego termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego Administratora drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego Podmiotu przetwarzającego wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji ZamawiającegoAdministratora. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy Podmiotu przetwarzającego wynikających z Umowy oraz Umowy głównej; przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie ZamawiającegoAdministratora, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. Poprzez udokumentowane polecenie Administratora uważa się niniejsza Umowę. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę Podmiot przetwarzający wynika z przepisów prawa, informuje on Zamawiającego Administratora drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; przetwarzać Dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę Podmiot przetwarzający i jego personel lub ZamawiającegoAdministratora, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; udzielać dostępu do Danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia Wykonawcy, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie Zamawiającego, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; zapewnić, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie Zamawiającego, nie później niż w terminie 3 Dni Roboczych, Wykonawca zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną. wdrożyć, środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 Umowy; biorąc pod uwagę charakter przetwarzania w miarę możliwości wspierać Zamawiającego (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Współpraca Wykonawcy z Zamawiającym, w zakresie wskazanym w zdaniu poprzedzającym, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków Zamawiającego; w związku z realizacją tego obowiązku Wykonawca jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych danych osobowych (lub ich kopii) na żądanie Zamawiającego w terminie 5 Dni Roboczych w formie określonej przez Zamawiającego; Wykonawca powinien również niezwłocznie, jednak nie później niż w terminie 2 Dni Roboczych, poinformować Zamawiającego o wniosku dotyczącym realizacji praw osoby, której dane dotyczą, złożonym u Wykonawcy; Wykonawca nie będzie jednak odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia Zamawiającego;

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. Wykonawca 2.1. Podmiot przetwarzający niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie Umowy, w zgodzie z obowiązującymi przepisami prawa. 2.2. W szczególności Wykonawca oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych osobowych wynikające z RODO, a także ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781). Wykonawca Podmiot przetwarzający jest zobowiązany: : 2.2.1. przetwarzać Dane osobowe zgodnie z RODO, polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową oraz instrukcjami ZamawiającegoAdministratora. Instrukcje (polecenia) są przekazywane przez Zamawiającego Administratora drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego Podmiotu przetwarzającego wskazany w Załączniku A, z zastrzeżeniem postanowień pkt 4rozdziału 3, Wykonawca Podmiot przetwarzający powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy Podmiotu przetwarzającego termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego Administratora drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego Podmiotu przetwarzającego wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji ZamawiającegoAdministratora. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy Podmiotu przetwarzającego wynikających z Umowy oraz Umowy głównej; ; 2.2.2. przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie ZamawiającegoAdministratora, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. Poprzez udokumentowane polecenie Administratora uważa się niniejsza Umowę. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę Podmiot przetwarzający wynika z przepisów prawa, informuje on Zamawiającego Administratora drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; ; 2.2.3. przetwarzać Dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę Podmiot przetwarzający i jego personel lub ZamawiającegoAdministratora, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; ; 2.2.4. udzielać dostępu do Danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy Podmiotu przetwarzającego upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia WykonawcyPodmiotu przetwarzającego, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie ZamawiającegoAdministratora, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; ; 2.2.5. zapewnić, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie ZamawiającegoAdministratora, nie później niż w terminie 3 Dni Roboczych, Wykonawca Podmiot przetwarzający zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną. 2.2.6. wdrożyć, środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 rozdziale 3 Umowy; biorąc pod uwagę charakter przetwarzania , odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, których Dane osobowe będą przetwarzane na podstawie Umowy oraz zapewnić realizację zasad ochrony danych w miarę możliwości fazie projektowania oraz domyślnej ochrony danych (określonych w art. 25 RODO); 2.2.7. wspierać Zamawiającego Administratora (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw zakresie 2.2.8. pomagać Administratorowi wywiązać się z obowiązków określonych w RODO (w tym w szczególności w art. 32–36 RODO), tj. w szczególności w zakresie: 2.2.9. xxxxxxxxx, w formie pisemnej (w tym elektronicznej), rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora, zawierający informacje o: 2.2.10. udostępniać Administratorowi, na każde jego żądanie, nie później niż w terminie 3 Dni Roboczych, wszelkie informacje niezbędne do wykazania spełnienia przez Administratora obowiązków wynikających z właściwych przepisów prawa, w szczególności z RODO, w tym przekazywać informacje o stosowanych zabezpieczeniach, zidentyfikowanych zagrożeniach i incydentach w obszarze ochrony danych osobowych; 2.2.11. umożliwiać Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów na zasadach określonych w rozdziale III RODO6 Umowy; 2.2.12. Współpraca Wykonawcy z Zamawiającymniezwłocznie informować Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów krajowych lub unijnych o ochronie danych; informacja w zakresie wskazanym w zdaniu poprzedzającym, tym przedmiocie przekazana powinna odbywać się zostać Administratorowi w formie elektronicznej (na adres e-mail wskazany w Załączniku A) oraz powinna zawierać stosowne uzasadnienie i terminie umożliwiającym realizację tych obowiązków Zamawiającego; w związku z realizacją tego obowiązku Wykonawca jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych danych osobowych (lub ich kopii) na żądanie Zamawiającego w terminie 5 Dni Roboczych w formie określonej przez Zamawiającego; Wykonawca powinien również wskazanie przepisu prawa, który zdaniem Podmiotu przetwarzającego został naruszony; 2.2.13. niezwłocznie, jednak nie później niż w terminie ciągu 2 Dni Roboczych, poinformować Zamawiającego informować (o wniosku dotyczącym realizacji praw osobyile nie doprowadzi to do naruszenia przepisów obowiązującego prawa) Administratora 2.2.14. przechowywać Dane osobowe tylko tak długo, której jak to określił Administrator, a także, bez zbędnej zwłoki, aktualizować, poprawiać, zmieniać, anonimizować, ograniczać przetwarzanie lub usuwać wskazane dane dotyczą, złożonym u Wykonawcy; Wykonawca nie będzie jednak odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia Zamawiającego;osobowe zgodnie z wytycznymi Administratora i Umową główną.

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. 3.1. Wykonawca niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie Umowy, w zgodzie z obowiązującymi przepisami prawa. W szczególności Wykonawca oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych osobowych wynikające z RODO, a także ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781). 3.2. Wykonawca jest zobowiązany: : 3.2.1. przetwarzać Dane osobowe zgodnie z RODO, polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową oraz instrukcjami Zamawiającego. Instrukcje (polecenia) są przekazywane przez Zamawiającego drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego w Załączniku A, z zastrzeżeniem postanowień pkt 4, Wykonawca powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji Zamawiającego. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy wynikających z Umowy oraz Umowy głównej; ; 3.2.2. przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie Zamawiającego, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę wynika z przepisów prawa, informuje on Zamawiającego drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; ; 3.2.3. przetwarzać Dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę lub Zamawiającego, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; zachowaniem 3.2.4. udzielać dostępu do Danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia Wykonawcy, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie Zamawiającego, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; ; 3.2.5. zapewnić, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie Zamawiającego, nie później niż w terminie 3 Dni Roboczych, Wykonawca zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną. 3.2.6. wdrożyć, środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 Umowy; ; 3.2.7. biorąc pod uwagę charakter przetwarzania w miarę możliwości wspierać Zamawiającego (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Współpraca Wykonawcy z Zamawiającym, w zakresie wskazanym w zdaniu poprzedzającym, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków Zamawiającego; w związku z realizacją tego obowiązku Wykonawca jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych danych osobowych (lub ich kopii) na żądanie Zamawiającego w terminie 5 Dni Roboczych w formie określonej przez Zamawiającego; Wykonawca powinien również niezwłocznie, jednak nie później niż w terminie 2 Dni Roboczych, poinformować Zamawiającego o wniosku dotyczącym realizacji praw osoby, której dane dotyczą, złożonym u Wykonawcy; Wykonawca nie będzie jednak odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia Zamawiającego; 3.2.8. uwzględniając charakter przetwarzania oraz dostępne informacje pomagać Zamawiającemu wywiązać się z obowiązków określonych w RODO (w tym w szczególności w art. 32–36 RODO), tj. w szczególności w zakresie: 3.2.9. prowadzić, w formie pisemnej (w tym elektronicznej), rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Xxxxxxxxxxxxx, zawierający informacje o: 3.2.10. udostępniać Zamawiającemu z zastrzeżeniem tajemnicy przedsiębiorstwa, na każde jego żądanie, nie później niż w terminie 3 Dni Roboczych, wszelkie informacje niezbędne do wykazania spełnienia przez Zamawiającego obowiązków wynikających z właściwych przepisów prawa dot. ochrony danych osobowych, w szczególności z RODO, w tym przekazywać informacje o stosowanych zabezpieczeniach, zidentyfikowanych zagrożeniach i incydentach w obszarze ochrony danych osobowych; 3.2.11. umożliwiać Zamawiającemu lub audytorowi upoważnionemu przez Zamawiającego 3.2.12. niezwłocznie informować Xxxxxxxxxxxxx, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów krajowych lub unijnych o ochronie danych; informacja w tym przedmiocie przekazana powinna zostać Zamawiającemu w formie elektronicznej (na adres e-mail wskazany w Załączniku A) oraz powinna zawierać stosowne uzasadnienie i wskazanie przepisu prawa, który zdaniem Wykonawcy został naruszony; 3.2.13. niezwłocznie, jednak nie później niż w ciągu 5 Dni Roboczych, informować (o ile nie doprowadzi to do naruszenia przepisów obowiązującego prawa) Zamawiającego o jakimkolwiek postępowaniu dotyczącym realizacji umowy powierzenia oraz Umowy Głównej, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania danych osobowych przez Wykonawcę, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania danych, skierowanej do Wykonawcy, o wszelkich kontrolach i inspekcjach dotyczących przetwarzania danych osobowych przez Wykonawcę, w szczególności prowadzonych przez organ nadzoru, a także o wszelkich skargach osób, których dane dotyczą związanych z przetwarzaniem ich danych osobowych; 3.2.14. przechowywać Dane osobowe tylko tak długo, jak to określił Zamawiający, a także, bez zbędnej zwłoki, aktualizować, poprawiać, zmieniać, anonimizować, ograniczać przetwarzanie lub usuwać wskazane dane osobowe zgodnie z wytycznymi Zamawiającego i Umową główną.

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. Wykonawca Podmiot przetwarzający niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie Umowy, w zgodzie z obowiązującymi przepisami prawa. W szczególności Wykonawca Podmiot przetwarzający oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych osobowych wynikające z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej jako: „RODO, ”) a także ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 2018 r. poz. 17811000). Wykonawca jest zobowiązany: przetwarzać Dane osobowe zgodnie z RODO, polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową oraz instrukcjami ZamawiającegoAdministratora. Instrukcje (polecenia) są przekazywane przez Zamawiającego Administratora drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego Podmiotu przetwarzającego wskazany w Załączniku A, z zastrzeżeniem postanowień pkt 4rozdziału 3, Wykonawca Podmiot przetwarzający powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy Podmiotu przetwarzającego termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego Administratora drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego Podmiotu przetwarzającego wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji ZamawiającegoAdministratora. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy Podmiotu przetwarzającego wynikających z Umowy oraz Umowy głównej; przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie ZamawiającegoAdministratora, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. Poprzez udokumentowane polecenie Administratora uważa się niniejsza Umowę. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę Podmiot przetwarzający wynika z przepisów prawa, informuje on Zamawiającego Administratora drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; przetwarzać Dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę Podmiot przetwarzający i jego personel lub ZamawiającegoAdministratora, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; udzielać dostępu do Danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia Wykonawcy, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie Zamawiającego, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; zapewnić, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie Zamawiającego, nie później niż w terminie 3 Dni Roboczych, Wykonawca zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną. wdrożyć, środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 Umowy; biorąc pod uwagę charakter przetwarzania w miarę możliwości wspierać Zamawiającego (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Współpraca Wykonawcy z Zamawiającym, w zakresie wskazanym w zdaniu poprzedzającym, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków Zamawiającego; w związku z realizacją tego obowiązku Wykonawca jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych danych osobowych (lub ich kopii) na żądanie Zamawiającego w terminie 5 Dni Roboczych w formie określonej przez Zamawiającego; Wykonawca powinien również niezwłocznie, jednak nie później niż w terminie 2 Dni Roboczych, poinformować Zamawiającego o wniosku dotyczącym realizacji praw osoby, której dane dotyczą, złożonym u Wykonawcy; Wykonawca nie będzie jednak odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia Zamawiającego;

OŚWIADCZENIA I OBOWIĄZKI PROCESORA. 3.1. Wykonawca niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie Umowy, w zgodzie z obowiązującymi przepisami prawa. W szczególności Wykonawca oświadcza, że znane mu są zasady przetwarzania i zabezpieczenia Danych osobowych wynikające z RODO, a także ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781). 3.2. Wykonawca jest zobowiązany: : 3.2.1. przetwarzać Dane osobowe zgodnie z RODO, polskimi przepisami przyjętymi w celu umożliwienia stosowania RODO, innymi obowiązującymi przepisami prawa, Umową oraz instrukcjami Zamawiającego. Instrukcje (polecenia) są przekazywane przez Zamawiającego drogą elektroniczną (przesyłane na adres e-mail Wykonawcy wskazanego w Załączniku A, z zastrzeżeniem postanowień pkt 4, Wykonawca powinien wdrożyć instrukcje niezwłocznie, jednak nie później niż w terminie 7 Dni Roboczych od ich otrzymania; jeżeli w ocenie Wykonawcy termin 7-dniowy jest zbyt krótki na realizację instrukcji, powinien poinformować o tym fakcie Zamawiającego drogą elektroniczną (przesyłając informację na adres e-mail Zamawiającego wskazany w Załączniku A) wskazując uzasadnienie dla takiej oceny; w takim przypadku Strony wspólnie ustalą późniejszy termin wdrożenia instrukcji Zamawiającego. Instrukcje nie będą rozszerzać zakresu obowiązków Wykonawcy wynikających z Umowy oraz Umowy głównej; ; 3.2.2. przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie Zamawiającego, chyba że obowiązek taki nakłada na niego obowiązujące prawo krajowe lub unijne. W sytuacji, gdy obowiązek przetwarzania danych osobowych przez Wykonawcę wynika z przepisów prawa, informuje on Zamawiającego drogą elektroniczną – przed rozpoczęciem przetwarzania – o tym obowiązku prawnym, o ile prawo nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; ; 3.2.3. przetwarzać Dane osobowe wyłączenie w miejscu ustalonym w Umowie głównej oraz na urządzeniach zarządzanych przez Wykonawcę lub Zamawiającego, z zachowaniem najwyższych zasad bezpieczeństwa i ochrony danych osobowych wymaganych przez obowiązujące przepisy prawa; ; 3.2.4. udzielać dostępu do Danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Wykonawcy upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających z Umowy oraz podjąć działania mające na celu zapewnienie, by każda osoba fizyczna działająca z upoważnienia Wykonawcy, która ma dostęp do Danych osobowych, przetwarzała je wyłącznie na polecenie Zamawiającego, chyba że przetwarzanie jest wymagane przez właściwe przepisy krajowe lub unijne; ; 3.2.5. zapewnić, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania tajemnicy, chyba że są to osoby podlegające odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Na każde żądanie Zamawiającego, nie później niż w terminie 3 Dni Roboczych, Wykonawca zobowiązany jest do przekazania kopii upoważnień do przetwarzania Danych osobowych oraz oświadczeń o zobowiązaniu do zachowania tajemnicy, osób przez niego upoważnionych i realizujących Umowę główną. 3.2.6. wdrożyć, środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych zgodnie z wytycznymi wskazanymi w pkt 4 Umowy; danych 3.2.7. biorąc pod uwagę charakter przetwarzania w miarę możliwości wspierać Zamawiającego (w szczególności poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Współpraca Wykonawcy z Zamawiającym, w zakresie wskazanym w zdaniu poprzedzającym, powinna odbywać się w formie i terminie umożliwiającym realizację tych obowiązków Zamawiającego; w związku z realizacją tego obowiązku Wykonawca jest w szczególności zobowiązany do udzielania informacji oraz ujawnienia powierzonych danych osobowych (lub ich kopii) na żądanie Zamawiającego w terminie 5 Dni Roboczych w formie określonej przez Zamawiającego; Wykonawca powinien również niezwłocznie, jednak nie później niż w terminie 2 Dni Roboczych, poinformować Zamawiającego o wniosku dotyczącym realizacji praw osoby, której dane dotyczą, złożonym u Wykonawcy; Wykonawca nie będzie jednak odpowiadał na taki wniosek bez uprzedniej zgody lub wyraźnego polecenia Zamawiającego; 3.2.8. uwzględniając charakter przetwarzania oraz dostępne informacje pomagać Zamawiającemu wywiązać się z obowiązków określonych w RODO (w tym w szczególności w art. 32–36 RODO), tj. w szczególności w zakresie: 3.2.9. xxxxxxxxx, w formie pisemnej (w tym elektronicznej), rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Xxxxxxxxxxxxx, zawierający informacje o: 3.2.10. udostępniać Zamawiającemu z zastrzeżeniem tajemnicy przedsiębiorstwa, na każde jego żądanie, nie później niż w terminie 3 Dni Roboczych, wszelkie informacje niezbędne do wykazania spełnienia przez Zamawiającego obowiązków wynikających z właściwych przepisów prawa dot. ochrony danych osobowych, w szczególności z RODO, w tym przekazywać informacje o stosowanych zabezpieczeniach, zidentyfikowanych zagrożeniach i incydentach w obszarze ochrony danych osobowych; 3.2.11. umożliwiać Zamawiającemu lub audytorowi upoważnionemu przez Zamawiającego przeprowadzanie audytów na zasadach określonych w pkt 7 Umowy; 3.2.12. niezwłocznie informować Zamawiającego, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów krajowych lub unijnych o ochronie danych; informacja w tym przedmiocie przekazana powinna zostać Zamawiającemu w formie elektronicznej (na adres e-mail wskazany w Załączniku A) oraz powinna zawierać stosowne uzasadnienie i wskazanie przepisu prawa, który zdaniem Wykonawcy został naruszony; 3.2.13. niezwłocznie, jednak nie później niż w ciągu 5 Dni Roboczych, informować (o ile nie doprowadzi to do naruszenia przepisów obowiązującego prawa) Zamawiającego o jakimkolwiek postępowaniu dotyczącym realizacji umowy powierzenia oraz Umowy Głównej, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania danych osobowych przez Wykonawcę, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania danych, skierowanej do Wykonawcy, o wszelkich kontrolach i inspekcjach dotyczących przetwarzania danych osobowych przez Wykonawcę, w szczególności prowadzonych przez organ nadzoru, a także o wszelkich skargach osób, których dane dotyczą związanych z przetwarzaniem ich danych osobowych; 3.2.14. przechowywać Dane osobowe tylko tak długo, jak to określił Zamawiający, a także, bez zbędnej zwłoki, aktualizować, poprawiać, zmieniać, anonimizować, ograniczać przetwarzanie lub usuwać wskazane dane osobowe zgodnie z wytycznymi Zamawiającego i Umową główną.