Common use of Sposób wykonania Umowy powierzenia w zakresie przetwarzania i ochrony danych osobowych Clause in Contracts

Sposób wykonania Umowy powierzenia w zakresie przetwarzania i ochrony danych osobowych. Do przetwarzania danych osobowych mogą być dopuszczone wyłącznie osoby, które posiadają imienne upoważnienia do przetwarzania danych osobowych nadane przez Wykonawcę, wyłącznie w zakresie i celu określonym w Umowie powierzenia oraz podpisały przy nadaniu im upoważnienia oświadczenie o zachowaniu w tajemnicy danych osobowych oraz sposobów ich zabezpieczenia. Wykonawca zobowiązuje się do przetwarzania danych osobowych uczestników szkolenia zgodnie z przepisami o ochronie danych osobowych, w szczególności do wdrożenia technicznych i organizacyjnych środków bezpieczeństwa, zgodnie z art. 32 RODO. Wykonawca ograniczy dostęp do danych osobowych wyłącznie do osób posiadających upoważnienia do przetwarzania danych osobowych. Wykonawca zobowiąże osoby upoważnione do przetwarzania danych osobowych do przestrzegania następujących zasad postępowania z dokumentami: nietworzenia kopii dokumentów innych niż niezbędne do realizacji Umowy, zachowania w poufności danych osobowych oraz informacji o stosowanych sposobach ich zabezpieczania, także po ustaniu stosunku prawnego łączącego osobę upoważnioną do przetwarzania danych osobowych u Wykonawcy, zabezpieczenia dokumentów przed dostępem osób nieupoważnionych do przetwarzania powierzonych do przetwarzania danych osobowych, przetwarzaniem z naruszeniem RODO, nieautoryzowaną zmianą, utratą, uszkodzeniem, zniszczeniem. Wykonawca oświadcza, że w związku ze zobowiązaniem do zachowania w tajemnicy danych osobowych nie będą one wykorzystywane, ujawniane ani udostępniane bez pisemnej zgody Zamawiającego w innym celu niż wykonanie Umowy, chyba że konieczność ujawnienia posiadanych informacji wynika z obowiązujących przepisów prawa lub Umowy. Wykonawca zobowiązuje się do zachowania poufności wszystkich danych osobowych jemu powierzonych oraz dokumentów uzyskanych w związku z wykonywaniem czynności objętych Umową, a także zachowania poufności informacji o stosowanych sposobach zabezpieczeń danych osobowych, również po zakończeniu Umowy. W przypadku przetwarzania danych osobowych w systemach teleinformatycznych, dla których przyjęty został model przetwarzania w chmurze obliczeniowej lub z wykorzystaniem organizacyjnych środków bezpieczeństwa Wykonawca stosuje rozwiązania z uwzględnieniem wymagań wynikających ze standardów Cyberbezpieczeństwa Chmur Obliczeniowych oraz odpowiednio wymagań określonych w uchwale Nr 97 Rady Ministrów z dnia 11 września 2019 r. w sprawie inicjatywy „Wspólna Infrastruktura Informatyczna Państwa (M. P. poz. 862). Zamawiający dopuszcza możliwość powierzenia przetwarzania powierzonych danych osobowych podwykonawcom Wykonawcy w celu realizacji przedmiotu Umowy jedynie po uprzednim uzyskaniu pisemnej zgody Zamawiającego. Jeżeli Wykonawca zamierza powierzyć przetwarzanie danych osobowych swoim podwykonawcom, obowiązany jest we wniosku o wyrażenie zgody przez Zamawiającego poinformować o zamiarze powierzenia przetwarzania danych, tożsamości (nazwie) podmiotu, któremu ma zamiar powierzyć przetwarzanie danych, a także o zakresie danych, celu i czasie trwania powierzenia. W przypadku wyrażenia przez Zamawiającego zgody na powierzenie przetwarzania danych osobowych przez Wykonawcę podwykonawcy, Wykonawca obowiązany jest uwarunkować powierzenie od spełnienia przez podwykonawcę co najmniej takich samych obowiązków, co ujęte są w Umowie powierzenia dla Wykonawcy. Podwykonawca, o którym mowa w ust. 8, winien spełniać te same gwarancje i obowiązki, jakie nakłada na Wykonawcę Umowa powierzenia. Dotyczy to w szczególności obowiązku prowadzenia ewidencji osób upoważnionych przez danego podwykonawcę do przetwarzania powierzonych mu danych osobowych. W przypadku powierzenia przetwarzania danych osobowych przez Wykonawcę więcej niż jednemu podwykonawcy, Wykonawca przekazuje Zamawiającemu, na każde jego żądanie, wykaz podmiotów, którym zostało powierzone przetwarzanie danych osobowych. Zamawiającemu będą przysługiwały uprawnienia wynikające z umowy powierzenia przetwarzania danych osobowych bezpośrednio wobec podwykonawcy. W przypadku wypowiedzenia lub rozwiązania umowy powierzenia, Wykonawca poinformuje o tym fakcie Zamawiającego w terminie 3 dni od zaistnienia powyższych okoliczności. Wykonawca - w przypadku powierzenia przetwarzania danych podwykonawcom, określonym w ust. 8 Umowy - zobowiązuje się do zobligowania ich do usunięcia lub zwrotu Zamawiającemu powierzonych do przetwarzania danych osobowych. Wykonawca niezwłocznie, tj. nie później niż w terminie 24 godzin, informuje Zamawiającego o wszelkich wypadkach naruszenia tajemnicy danych osobowych lub o ich niewłaściwym użyciu oraz naruszeniu obowiązków dotyczących ochrony powierzonych do przetwarzania danych osobowych, w szczególności wynikających z RODO. Wykonawca zobowiązuje się do udzielenia Zamawiającemu, na każde jego żądanie, informacji na temat przetwarzania powierzonych danych osobowych, a w szczególności niezwłocznego przekazywania informacji o każdym przypadku naruszenia obowiązków dotyczących ochrony danych osobowych. Wykonawca ma obowiązek udostępnić Zamawiającemu wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 i 32-36 RODO oraz umożliwić przeprowadzenie audytu przez Zamawiającego. Zawiadomienie o zamiarze przeprowadzenia audytu powinno być przekazane Wykonawcy co najmniej 5 dni roboczych przed rozpoczęciem audytu. Przez „dni robocze” Strony rozumieją dni od poniedziałku do piątku, z wyłączeniem dni uznanych ustawowo za wolne od pracy. Wykonawca umożliwi Zamawiającemu dokonanie niezapowiedzianego audytu, w celu, o którym mowa w ust. 16, w przypadku powzięcia przez Zamawiającego wiadomości o rażącym naruszeniu przez Wykonawcę zobowiązań wynikających z RODO lub Umowy powierzenia. Wykonanie audytu nie może prowadzić do naruszenia zasad ochrony danych osobowych istniejących u Wykonawcy. Każda osoba przeprowadzająca czynności audytowe w imieniu Xxxxxxxxxxxxx podpisze stosowne oświadczenie o obowiązku zachowania w poufności informacji pozyskanych w trakcie wykonywania audytu. Osoby wykonujące czynności audytowe związane z dostępem do pomieszczeń, urządzeń, nośników oraz systemów informatycznych dokonują ich w obecności Wykonawcy lub osoby przez niego upoważnionej, w celu zapewnienia należytej ochrony danych osobowych przetwarzanych przez Wykonawcę. Wykonawca w miarę możliwości pomaga Zamawiającemu w niezbędnym zakresie wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, oraz z obowiązków określonych w art. 32-36 RODO. Wykonawca odpowiada za szkody, jakie powstaną wobec Zamawiającego lub osób trzecich w wyniku niezgodnego z prawem bądź Umową przetwarzania danych osobowych. Wykonawca - po zakończeniu świadczenia usług związanych z przetwarzaniem danych - obowiązany jest do usunięcia wszelkich powierzonych do przetwarzania danych osobowych oraz wszelkich istniejących ich kopii, w tym do usunięcia tych danych w sposób trwały i nieodwracalny z elektronicznych nośników informacji wielokrotnego zapisu oraz zniszczenia nośników papierowych i elektronicznych nośników informacji jednokrotnego zapisu, na których utrwalone zostały powierzone do przetwarzania dane osobowe, po zakończeniu okresu archiwizowania danych, uzasadnionego zobowiązującymi przepisami prawa. Wykonawca zobowiązuje się do niezwłocznego poinformowania Zamawiającego o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania przez Wykonawcę danych osobowych określonych w Umowie powierzenia, o jakichkolwiek decyzjach administracyjnych lub orzeczeniach dotyczących przetwarzania tych danych, skierowanych do Wykonawcy, a także o wszelkich planowanych, o ile są wiadome, i realizowanych kontrolach i inspekcjach dotyczących przetwarzania u Wykonawcy tych danych osobowych, w tym prowadzonych przez inspektorów upoważnionych przez Prezesa Urzędu Ochrony Danych Osobowych. Niniejszy ustęp dotyczy wyłącznie danych osobowych powierzonych przez Zamawiającego.

Sposób wykonania Umowy powierzenia w zakresie przetwarzania i ochrony danych osobowych. 1. Do przetwarzania danych osobowych mogą być dopuszczone wyłącznie osoby, które posiadają imienne upoważnienia do przetwarzania danych osobowych nadane przez Wykonawcę, wyłącznie w zakresie i celu określonym w Umowie powierzenia oraz podpisały przy nadaniu im upoważnienia oświadczenie o zachowaniu w tajemnicy danych osobowych oraz sposobów ich zabezpieczenia. 2. Wykonawca zobowiązuje się do przetwarzania danych osobowych uczestników szkolenia zgodnie z przepisami o ochronie danych osobowych, w szczególności do wdrożenia technicznych i organizacyjnych środków bezpieczeństwa, zgodnie z art. 32 RODO. 3. Wykonawca ograniczy dostęp do danych osobowych wyłącznie do osób posiadających upoważnienia do przetwarzania danych osobowych. 4. Wykonawca prowadzi ewidencję osób upoważnionych do przetwarzania danych osobowych. 5. Wykonawca zobowiąże osoby upoważnione do przetwarzania danych osobowych do przestrzegania następujących zasad postępowania z dokumentami: : a) nietworzenia kopii dokumentów innych niż niezbędne do realizacji Umowy, , b) zachowania w poufności danych osobowych oraz informacji o stosowanych sposobach ich zabezpieczania, także po ustaniu stosunku prawnego łączącego osobę upoważnioną do przetwarzania danych osobowych u Wykonawcy, , c) zabezpieczenia dokumentów przed dostępem osób nieupoważnionych do przetwarzania powierzonych do przetwarzania danych osobowych, przetwarzaniem z naruszeniem RODO, nieautoryzowaną zmianą, utratą, uszkodzeniem, zniszczeniem. 6. Wykonawca oświadcza, że w związku ze zobowiązaniem do zachowania w tajemnicy danych osobowych nie będą one wykorzystywane, ujawniane ani udostępniane bez pisemnej zgody Zamawiającego w innym celu niż wykonanie Umowy, chyba że konieczność ujawnienia posiadanych informacji wynika z obowiązujących przepisów prawa lub Umowy. 7. Wykonawca zobowiązuje się do zachowania poufności wszystkich danych osobowych jemu powierzonych oraz dokumentów uzyskanych w związku z wykonywaniem czynności objętych Umową, a także zachowania poufności informacji o stosowanych sposobach zabezpieczeń danych osobowych, również po zakończeniu Umowy. 8. W przypadku przetwarzania danych osobowych w systemach teleinformatycznych, dla których przyjęty został model przetwarzania w chmurze obliczeniowej lub z wykorzystaniem usług chmurowych, wykonawcę zobowiązuje się do wdrożenia technicznych i organizacyjnych środków bezpieczeństwa Wykonawca stosuje rozwiązania z uwzględnieniem wymagań wynikających ze standardów Standardów Cyberbezpieczeństwa Chmur Obliczeniowych oraz odpowiednio wymagań określonych w uchwale Nr 97 Rady Ministrów z dnia 11 września 2019 r. w sprawie inicjatywy „Wspólna Infrastruktura Informatyczna Państwa (M. P. poz. 862862 z późn. zm.). 9. Zamawiający dopuszcza możliwość powierzenia podpowierzenia przetwarzania powierzonych danych osobowych podwykonawcom Wykonawcy w celu realizacji przedmiotu Umowy jedynie po uprzednim uzyskaniu pisemnej zgody Zamawiającego. Jeżeli Wykonawca zamierza powierzyć podpowierzyć przetwarzanie danych osobowych swoim podwykonawcom, obowiązany jest we wniosku o wyrażenie zgody przez Zamawiającego poinformować o zamiarze powierzenia podpowierzenia przetwarzania danych, tożsamości (nazwie) podmiotu, któremu ma zamiar powierzyć przetwarzanie danych, a także o zakresie danych, celu i czasie trwania powierzeniapodpowierzenia. 10. W przypadku wyrażenia przez Zamawiającego zgody na powierzenie podpowierzenie przetwarzania danych osobowych przez Wykonawcę podwykonawcy, Wykonawca obowiązany jest uwarunkować powierzenie podpowierzenie od spełnienia przez podwykonawcę co najmniej takich samych obowiązków, co ujęte są w Umowie powierzenia dla Wykonawcy. 11. Podwykonawca, o którym mowa w ust. 89, winien spełniać te same gwarancje i obowiązki, jakie nakłada na Wykonawcę Umowa powierzenia. Dotyczy to w szczególności obowiązku prowadzenia ewidencji osób upoważnionych przez danego podwykonawcę do przetwarzania powierzonych mu danych osobowych. 12. W przypadku powierzenia podpowierzenia przetwarzania danych osobowych przez Wykonawcę więcej niż jednemu podwykonawcy, Wykonawca przekazuje Zamawiającemu, na każde jego żądanie, wykaz podmiotów, którym zostało powierzone podpowierzone przetwarzanie danych osobowych. 13. Zamawiającemu będą przysługiwały uprawnienia wynikające z umowy powierzenia Umowy podpowierzenia przetwarzania danych osobowych bezpośrednio wobec podwykonawcy. W przypadku wypowiedzenia lub rozwiązania umowy powierzeniaUmowy podpowierzenia, Wykonawca poinformuje o tym fakcie Zamawiającego w terminie 3 dni od zaistnienia powyższych okoliczności. 14. Wykonawca - – w przypadku powierzenia podpowierzenia przetwarzania danych podwykonawcom, określonym w ust. 8 9 Umowy - – zobowiązuje się do zobligowania ich do usunięcia lub zwrotu Zamawiającemu powierzonych do przetwarzania danych osobowych. 15. Wykonawca niezwłocznie, tj. nie później niż w terminie 24 godzin, informuje Zamawiającego o wszelkich wypadkach naruszenia tajemnicy zdarzeniach mogących być potencjalnym naruszeniem ochrony danych osobowych lub o ich niewłaściwym użyciu oraz naruszeniu obowiązków dotyczących ochrony powierzonych do przetwarzania danych osobowych, w szczególności wynikających z RODO. 16. Wykonawca zobowiązuje się do udzielenia Zamawiającemu, na każde jego żądanie, informacji na temat przetwarzania powierzonych danych osobowych, a w szczególności niezwłocznego przekazywania informacji o każdym przypadku naruszenia zdarzeniu mogącym być potencjalnym naruszeniem obowiązków dotyczących ochrony danych osobowych. 17. Wykonawca ma obowiązek udostępnić Zamawiającemu wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 i 32-36 RODO oraz umożliwić przeprowadzenie audytu przez Zamawiającego. Zawiadomienie o zamiarze przeprowadzenia audytu powinno być przekazane Wykonawcy co najmniej 5 dni roboczych przed rozpoczęciem audytu. Przez „dni robocze” Strony rozumieją dni od poniedziałku do piątku, z wyłączeniem dni uznanych ustawowo za wolne od pracy. 18. Wykonawca umożliwi Zamawiającemu dokonanie niezapowiedzianego audytu, w celu, o którym mowa w ust. 1617, w przypadku powzięcia przez Zamawiającego wiadomości o rażącym naruszeniu przez Wykonawcę zobowiązań wynikających z RODO lub Umowy powierzenia. Wykonanie audytu nie może prowadzić do naruszenia zasad ochrony danych osobowych istniejących u Wykonawcy. Każda osoba przeprowadzająca czynności audytowe w imieniu Xxxxxxxxxxxxx podpisze stosowne oświadczenie o obowiązku zachowania w poufności informacji pozyskanych w trakcie wykonywania audytu. Osoby wykonujące czynności audytowe związane z dostępem do pomieszczeń, urządzeń, nośników oraz systemów informatycznych dokonują ich w obecności Wykonawcy lub osoby przez niego upoważnionej, w celu zapewnienia należytej ochrony danych osobowych przetwarzanych przez Wykonawcę. 19. Wykonawca w miarę możliwości pomaga Zamawiającemu w niezbędnym zakresie wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, oraz z obowiązków określonych w art. 32-36 RODO. 20. Wykonawca odpowiada za szkody, jakie powstaną wobec Zamawiającego lub osób trzecich w wyniku niezgodnego z prawem bądź Umową przetwarzania danych osobowych. 21. Wykonawca - – po zakończeniu świadczenia usług związanych z przetwarzaniem danych - – obowiązany jest do usunięcia wszelkich powierzonych do przetwarzania danych osobowych oraz wszelkich istniejących ich kopii, w tym do usunięcia tych danych w sposób trwały i nieodwracalny z elektronicznych nośników informacji wielokrotnego zapisu oraz zniszczenia nośników papierowych i elektronicznych nośników informacji jednokrotnego zapisu, na których utrwalone zostały powierzone do przetwarzania dane osobowe, po zakończeniu okresu archiwizowania danych, uzasadnionego zobowiązującymi przepisami prawa. 22. Wykonawca zobowiązuje się do niezwłocznego poinformowania Zamawiającego o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania przez Wykonawcę danych osobowych określonych w Umowie powierzenia, o jakichkolwiek decyzjach administracyjnych lub orzeczeniach dotyczących przetwarzania tych danych, skierowanych do Wykonawcy, a także o wszelkich planowanych, o ile są wiadome, i realizowanych kontrolach i inspekcjach dotyczących przetwarzania u Wykonawcy tych danych osobowych, w tym prowadzonych przez inspektorów upoważnionych przez Prezesa Urzędu Ochrony Danych Osobowych. Niniejszy ustęp dotyczy wyłącznie danych osobowych powierzonych przez Zamawiającego.