Załącznik nr 1 – Umowa powierzenia danych osobowych
Załącznik nr 1 – Umowa powierzenia danych osobowych
Usługodawca nazywany jest dalej Podmiotem Przetwarzającym („Procesor”),
Usługobiorca nazywany jest dalej Administratorem danych osobowych („Administrator”),
Umowa Powierzenia Danych Osobowych („Umowa”) zostaje zawarta pomiędzy wymienionym powyżej stronami zwanymi dalej oddzielnie Procesorem i Administratorem oraz łącznie Stronami:
1. WPROWADZENIE
Niniejsza Umowa powierzenia przetwarzania danych osobowych określa główne zasady przetwarzania danych osobowych i stanowi integralną część Regulaminu świadczenia usług w ramach serwisu SMSAPI niezależnie od wybranej przez Usługobiorcę formy rozliczania ("Umowa główna").
Niniejsza Umowa powierzenia przetwarzania danych osobowych stanowi porozumienie o przetwarzaniu danych między stronami i jest dalej określany jako "Umowa".
2. GŁÓWNE ZASADY PRZETWARZANIA DANYCH OSOBOWYCH
2.1. Ochrona danych osobowych
Procesor traktuje kwestie ochrony i bezpieczeństwa Danych osobowych z należytą starannością i przetwarza takie informacje zgodnie z obowiązującymi przepisami dotyczącymi ochrony danych oraz Umową. W celu świadczenia
usług, Procesor może przetwarzać dane osobowe dotyczące Użytkowników i innych osób, które uzyskują dostęp do usług. Procesor może ujawnić dane osobowe stronom trzecim, zgodnie z Umową.
2.2. Informacje na temat ochrony prywatności
Więcej informacji na temat sposobu przetwarzania Danych osobowych w związku z usługami można znaleźć w Polityce Ochrony Danych Osobowych. Informacja o ochronie prywatności jest dostępna tutaj: xxxxx://xxx.xxxxxx.xx/xxxxxxxx-xxxxxxxxxxx.
3. CEL UMOWY POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH
Celem niniejszej Umowy jest uregulowanie praw i obowiązków zgodnie z obowiązującym ustawodawstwem dotyczącym ochrony danych w związku z przetwarzaniem danych osobowych przez Procesora w imieniu Administratora.
• • „Umowa” oznacza niniejszą umowę powierzenia i przetwarzania danych osobowych
• • "Prawodawstwo w zakresie ochrony danych" oznacza ogólne rozporządzenie UE o ochronie danych 2016/679 ("RODO") po wejściu w życie, a także krajowe przepisy dotyczące ochrony danych osobowych w kraju, w którym Administrator ma swoją siedzibę, z późniejszymi zmianami, w tym przepisy wdrażające lub uzupełniające RODO.
• • "Dane osobowe", które oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej ("Podmiot danych").
Umowa zapewnia przetwarzanie Danych osobowych zgodnie z Prawodawstwem w zakresie ochrony danych i ma na celu zapobieganie wykorzystywaniu Danych osobowych niezgodnie z prawem oraz przekazywaniu Danych osobowych jakiejkolwiek nieuprawnionej osobie trzeciej. Regulamin świadczenia usług xxx.xxxxxx.xx. 09.03.2020 Strona 12/18
4. ZAKRES PRZETWARZANIA
4.1. Założenia ogólne
1. Administrator określa cele i sposób przetwarzania Danych Osobowych.
2. Procesor, jego Subprocesorzy i inne osoby działające z upoważnienia Procesora, które mają dostęp do
powierzonych im Danych Osobowych, przetwarzają Dane Osobowe wyłącznie w imieniu Administratora, zgodnie z niniejszą Umową i udokumentowanymi instrukcjami Administratora, chyba że co innego wynika z przepisów prawa powszechnie obowiązującego.
4.2. Zakres przetwarzania
Umowa Przetwarzania dotyczy przetwarzania przez Procesora Danych Osobowych w imieniu Administratora w związku ze świadczeniem usług, na zasadach określonych w niniejszej Umowie.
4.3. Cel przetwarzania
Charakter i cel przetwarzania, w tym operacje i podstawowe czynności przetwarzania, są ukierunkowane na zapewnienie świadczenia usług w ramach Regulaminu świadczenia usług Serwisu SMSAPI.
4.4. Kategorie Danych Osobowych i Podmioty Danych
1. Przetwarzanie obejmuje przetwarzanie informacji związanych z użytkownikami końcowymi Administratora, klientami lub pracownikami (w tym wymienionymi na Koncie) Administratora w zależności od sposobu korzystania z usług przez Administratora.
2. Przetwarzanie dotyczy następujących – o ile takie dane zostały przekazane przez Administratora - kategorii Danych Osobowych, z zastrzeżeniem korzystania przez Podmioty danych z usług Administratora:
• Podstawowe dane osobowe, takie jak imię i nazwisko, dane kontaktowe takie jak adres e-mail, numer telefonu itp.
• Specjalne kategorie danych osobowych, takie jak dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność do związków zawodowych lub dane dotyczące zdrowia.
• Dane dotyczące lokalizacji, takie jak GPS, dane o lokalizacji Wi-Fi i dane o lokalizacji pochodzące z sieci Procesora (nie są to dane o ruchu określone poniżej).
• Dane o ruchu: dane osobowe przetwarzane w związku z przekazywaniem informacji w sieci łączności elektronicznej lub w związku ze sporządzaniem statystyk tego ruchu.
• Dane związane z treścią komunikacji, takie jak e-maile, wiadomości głosowe, SMS / MMS, dane odczytywania/odsłuchiwania wiadomości itp.
5. OBOWIĄZKI ADMINISTRATORA
1. Administrator gwarantuje, że Dane Osobowe są przetwarzane w celach zgodnych z prawem, oraz że Procesor nie przetwarza więcej danych osobowych niż jest to wymagane do spełnienia tych celów.
2. Administrator zobowiązuje się do zapewnienia, że w momencie przekazania Danych Osobowych Procesorowi, istnieć będzie ważna podstawa prawna do ich przetwarzania w tym, że każda zgoda jest udzielana wyraźnie, dobrowolnie, jednoznacznie i na podstawie uzyskanych w tym zakresie informacji. Na żądanie Procesora,
Administrator zobowiązuje się na piśmie do wskazania i / lub udokumentowania podstawy przetwarzania.
3. Ponadto Administrator gwarantuje, że Podmioty danych, których dotyczą dane osobowe, otrzymały wystarczające informacje na temat przetwarzania swoich danych osobowych.
4. Wszelkie instrukcje dotyczące przetwarzania Danych osobowych zgodnie z niniejszą Umową będą przekazywane Procesorowi. W przypadku, gdy Administrator udzieli instrukcji bezpośrednio Subprocesorowi, wyznaczonemu zgodnie z zapisami zawartymi w sekcji 10, Administrator niezwłocznie powiadomi o tym fakcie Procesora. Procesor w żaden sposób nie ponosi odpowiedzialności za jakiekolwiek przetwarzanie wykonane przez Subprocesora zgodnie z
takimi instrukcjami, jeżeli instrukcje te nie są zgodne z zasadami przetwarzania Danych osobowych przyjętymi w niniejszej Umowie.
6. POUFNOŚĆ
1. Procesor, jego Subprocesorzy i inne osoby działające z upoważnienia Procesora, które mają dostęp do Danych osobowych, podlegają obowiązkowi zachowania poufności i zachowują tajemnicę zawodową w zakresie
przetwarzania Danych osobowych i Polityki Ochrony Danych Osobowych zgodnie z obowiązującym Prawodawstwem w zakresie ochrony danych. Procesor zobowiązuje się zapewnić, aby każdy Subprocesor lub inne osoby działające pod jego zwierzchnictwem, przestrzegały w/w zobowiązania do zachowania poufności.
2. Administrator jest objęty obowiązkiem zachowania poufności w odniesieniu do wszelkiej dokumentacji i informacji otrzymanych od Procesora, związanych z wdrożonymi technicznymi i organizacyjnymi środkami bezpieczeństwa
Procesora i jego Podprocesorów, a także innych informacji, które procesor chce zachować w tajemnicy.
3. Obowiązek zachowania poufności ma również zastosowanie po rozwiązaniu Umowy Przetwarzania.
7. DOSTĘP DO DANYCH OSOBOWYCH I WYKONYWANIE PRAW PODMIOTÓW DANYCH
1. O ile nie uzgodniono inaczej lub co innego nie wynika z obowiązujących przepisów, Administrator jest uprawniony do żądania dostępu do wszystkich Danych Osobowych przetwarzanych przez Procesor w imieniu Administratora.
2. Jeżeli Procesor lub Subprocesor otrzyma wniosek od Podmiotu Danych związany z przetwarzaniem Danych osobowych, Procesor prześle taki wniosek do Administratora, w celu dalszego przetwarzania przez Administratora, chyba że co innego wynika z obowiązujących przepisów prawa lub instrukcji przekazanych przez Administratora.
3. Procesor wspiera Administratora przy realizacji jego obowiązku w zakresie udzielania odpowiedzi na wnioski o
skorzystanie z praw Podmiotu danych określonych w przepisach dotyczących ochrony danych, w tym prawa Podmiotu danych do: (i) dostępu do jego Danych osobowych, (ii) sprostowania jego Danych osobowych; (iii) usunięcia jego Danych osobowych; (iv) ograniczenie przetwarzania jego Danych osobowych lub całkowitego sprzeciwu wobec przetwarzania jego Danych osobowych; oraz (v) prawa do otrzymywania Danych osobowych w ustrukturyzowanym, powszechnie używanym i możliwym do odczytu komputerowego formacie (możliwość przenoszenia danych).
Procesor otrzymuje rekompensatę z tytułu takiej pomocy, której wysokość ustalana jest na podstawie bieżących stawek Procesora, chyba że uzgodniono inaczej.
8. POZOSTAŁE WSPARCIE DLA ADMINISTRATORA
1. Jeżeli Procesor lub Subprocesor otrzyma żądanie udzielenia dostępu lub informację od właściwego organu nadzorczego dotyczącą zarejestrowanych Danych osobowych lub przetwarzania danych objętych niniejszą Umową,
Procesor o tym fakcie powiadomi Administratora i przekaże mu otrzymane żądanie, chyba że Procesor jest uprawniony do samodzielnego rozpatrzenia takiego żądania.
2. Jeżeli Administrator jest zobowiązany do przeprowadzenia oceny skutków i / lub skonsultowania się z organem nadzorczym w związku z przetwarzaniem Danych osobowych przetwarzanych w ramach niniejszej Umowy, Procesor zapewni Administratorowi wsparcie w tym zakresie. Administrator ponosi wszelkie koszty naliczone przez Procesora związane z udzieleniem wsparcia.
9. POWIADOMIENIE O NARUSZENIU DANYCH OSOBOWYCH
1. Procesor powiadamia Administratora niezwłocznie (jednak nie później niż w czasie 24 godzin) po powzięciu wiadomości o naruszeniu związanego z przetwarzaniem Danych osobowych ("naruszenie danych osobowych").
Administrator jest odpowiedzialny za powiadomienie o naruszeniu Danych osobowych właściwy organu nadzoru.
2. W powiadomieniu Administratora należy przynajmniej opisać (i) charakter naruszenia Danych osobowych, w tym, w miarę możliwości, kategorie i przybliżoną liczbę zainteresowanych Podmiotów danych oraz kategorie i przybliżoną liczbę Danych osobowych, których dotyczy naruszenie; (ii) prawdopodobne negatywne skutki jakie może
spowodować naruszenie Danych osobowych; (iii) środki podjęte lub proponowane przez Procesora w celu wyeliminowania naruszenia Danych osobowych, w tym, w stosownych przypadkach, środki mające na celu złagodzenie ich ewentualnych negatywnych skutków.
3. W przypadku, gdy Administrator jest zobowiązany do poinformowania Podmiotów danych o naruszeniu ich Danych osobowych, Procesor współpracuje w tym zakresie z Administratorem, w tym udziela Administratorowi, jeśli jest w posiadaniu takich danych, niezbędnych informacji kontaktowych do zainteresowanych Podmiotów danych.
Administrator ponosi wszelkie koszty związane z komunikacją z Podmiotem danych, którego Danych osobowych dotyczy naruszenie. Jeżeli naruszenie danych osobowych jest spowodowane przez okoliczności, za które
odpowiedzialny jest Procesor, to on ponosi koszty komunikacji z Podmiotem danych, którego Danych osobowych dotyczy naruszenie.
10. SUBPROCESORZY
1. Administrator wyraża zgodę na wykorzystanie przez Procesora innego procesora ("Subprocesor") do dalszego przetwarzania danych w ramach świadczenia usług objętych Umową główną, przy założeniu że Procesor zapewni, że: a. obowiązki w zakresie ochrony Danych osobowych określone w niniejszej Umowie i Prawodawstwie z zakresu ochrony danych są nakładane na wszelkich Subprocesorów w drodze pisemnej umowy.
b. Każdy Subprocesor zapewnia w szczególności niezbędne gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych w celu zapewnienia zgodności z Prawodawstwem w zakresie ochrony danych oraz
zapewnienia Administratorowi i właściwym organom nadzoru dostępu i informacji niezbędnych do weryfikacji takiej zgodności. Procesor ponosi pełną odpowiedzialność wobec Administratora za działania Subprocesora
2. Procesor ponosi pełną odpowiedzialność wobec Administratora za działania Subprocesora.
3. Procesor będzie utrzymywał pełną i kompletną Listę Subprocesorów, która jest dostępna do wglądu w siedzibie Procesora oraz tutaj: xxxxx://xxx.xxxxxxxxxxxx.xxx/xxxx/.
4. Procesor będzie aktualizował listę Subprocesorów, tak aby odpowiadała aktualnej liście wykorzystywanych Subprocesorów. Procesor będzie zawiadamiał Administratora o zmianie listy Subprocesorów z miesięcznym
wyprzedzeniem. Administrator w przeciągu 2 tygodni od otrzymania informacji o zmianie listy lub dnia publikacji zaktualizowanej listy na stronie Procesora ma prawo wniesienia sprzeciwu odnośnie tych zmian. W przypadku
wyrażenia sprzeciwu co do zaktualizowanej listy przez Administratora Procesor będzie miał prawo wypowiedzieć umową za dwutygodniowym okresem wypowiedzenia.
11. TRANSFER DANYCH
1. Ujawnianie, przekazywanie Danych osobowych lub dostęp do Danych osobowych z krajów znajdujących się poza UE
/ EOG ("kraj trzeci") może nastąpić jedynie w przypadku uzyskania uprzedniej pisemnej zgody Administratora danych i podlega standardowym w UE klauzulom umownym między Administratorem a określonym przedsiębiorcą w miejscu i na podstawie przepisów prawnych właściwych dla takiego przekazania lub ujawnienia.
2. Procesor powinien zapewnić w rozsądnym zakresie wsparcie oraz dokumentację niezbędną w celu dokonania przez Administratora niezależnej analizy ryzyka w odniesieniu do wykorzystania Subprocesora w państwie trzecim.
12. AUDYT
1. Procesor dostarcza Administratorowi na jego żądanie dokumentację wdrożonych środków technicznych i
organizacyjnych w celu zapewnienia odpowiedniego poziomu bezpieczeństwa oraz inne informacje niezbędne do
wykazania, że Procesor przestrzega swoich zobowiązań wynikających z Umowy przetwarzania i Prawodawstwa w zakresie ochrony danych.
2. Administrator i organ nadzoru zgodnie z odpowiednim Prawodawstwem dotyczącym ochrony danych są
uprawnieni do przeprowadzania audytów, w tym kontroli wewnętrznych i oceny procesu przetwarzania Danych osobowych, systemów i sprzętu wykorzystywanych w tym celu, wdrożonych środków technicznych i organizacyjnych, w tym Polityki Bezpieczeństwa oraz działalności Subprocesorów. Administrator nie ma dostępu do informacji
dotyczących innych klientów Procesora i informacji objętych obowiązkiem poufności.
3. Administrator ma prawo przeprowadzać opisane powyżej audyty raz w roku. Jeżeli Administrator wyznacza zewnętrznego audytora do przeprowadzenia audytów, taki zewnętrzny audytor jest związany obowiązkiem
zachowania poufności. Administrator ponosi wszelkie koszty związane z audytami przeprowadzonymi na żądanie Administratora, w tym również koszty wynagrodzenia dla Procesora za rozsądny czas spędzony przez niego i jego pracowników, którzy uczestniczą w audycie wewnętrznym. Procesor ponosi jednak koszty audytu, jeżeli kontrola
wykaże niezgodność przetwarzania Danych osobowych z niniejszą Umową lub Prawodawstwem w zakresie ochrony danych.
13. OKRES OBOWIĄZYWANIA I WARUNKI WYPOWIEDZENIA
1. Niniejsza Umowa jest ważna tak długo, jak długo Procesor przetwarza Dane osobowe w imieniu Administratora, niezależnie od czasu trwania umowy głównej.
2. W przypadku naruszenia przez Przetwarzającego postanowień niniejszej Umowy lub Prawodawstwa w zakresie
ochrony danych, Administrator może (i) polecić Procesorowi zaprzestanie dalszego przetwarzania Danych Osobowych ze skutkiem natychmiastowym; i / lub (ii) wypowiedzieć Umowę Przetwarzania ze skutkiem natychmiastowym.
14. SKUTKI WYPOWIEDZENIA
1. Po rozwiązaniu Umowy Przetwarzania, Procesor – według uznania Administratora - usunie lub zwróci wszystkie dane osobowe Administratorowi, w tym kopie zapasowe, o ile odrębne przepisy prawa nie stanowią inaczej.
2. Procesor zobowiązuje się do złożenia Administratorowi na piśmie oświadczenia potwierdzającego usunięcie Danych zgodnie z Umową Przetwarzania oraz instrukcjami Administratora.
15. OGRANICZENIE ODPOWIEDZIALNOŚCI
1. Żadna ze stron nie będzie odpowiedzialna wobec drugiej strony za jakiekolwiek szkody przypadkowe, wynikowe lub pośrednie (w szczególności, za przerwanie działalności, utratę zysków itp.) niezależnie od formy działania, bez
względu na to, czy szkoda powstała w związku z naruszeniem zobowiązań umownych, deliktem (w tym w szczególności na skutek zaniedbania), odpowiedzialnością za produkt lub w jakikolwiek inny sposób, nawet jeśli powiadomiono o możliwości wystąpienia takich szkód (łącznie "szkody pośrednie").
2. Żadna ze stron nie ponosi odpowiedzialności wobec drugiej strony za: a. błędy lub opóźnienia, pozostające poza rozsądną kontrolą strony niewykonującej, w tym ogólne opóźnienia w dostępie do sieci, awarie zasilania lub usterki maszyn;
b. błędy spowodowane przez systemy lub działania drugiej strony, zaniechania lub zaniedbania, za które wyłączną odpowiedzialność ponosi ta strona.
3. Całkowite i maksymalne zobowiązanie którejkolwiek ze stron wobec drugiej strony w związku z wykonywaniem niniejszej Umowy lub jakąkolwiek transakcją przewidzianą w Umowie w każdym
dwunastomiesięcznym (12) okresie nie może w żadnym przypadku przekroczyć kwoty równej całkowitej kwocie
wynikającej z opłaconych faktur przez Usługobiorcę za usługi pomniejszonych o koszty operatorskie usług w ramach Umowy głównej za okres dwunastu (12) miesięcy poprzedzających zdarzenie, które pociąga za sobą
odpowiedzialność. Powyższe ograniczenia nie mają zastosowania do szkód spowodowanych oszustwem, rażącym niedbalstwem lub umyślnym niewłaściwym postępowaniem.
16. ZAWIADOMIENIA I ANEKSY
1. Wszelkie powiadomienia dokonywane w ramach realizacji niniejszej Umowy powierzenia należy składać na adres e- mail: xxx@xxxxxx.xx.
2. W przypadku gdy zmiany w Prawodawstwie w zakresie ochrony danych, wydanie orzeczenia sądu lub opinii pochodzącej z innego wiarygodnego źródła powodują zmianę w interpretacji Prawodawstwa w zakresie ochrony danych lub gdy zmiany w zakresie lub sposobie świadczenia usług wymagają wprowadzenia stosownych zmian w Umowie Przetwarzania, strony zobowiązują się do współpracy w dobrej wierze w celu dokonania stosownej aktualizacji zapisów niniejszej Umowy.
3. Wszelkie zmiany lub poprawki do niniejszej Umowy będą skuteczne tylko wtedy, gdy zostaną uzgodnione na piśmie i podpisane przez obie strony.
17. PRAWO WŁAŚCIWE I WŁAŚCIWOŚĆ SĄDU
Uzgodnione w Umowie głównej prawo właściwe, metoda rozstrzygania sporów oraz właściwość sądów stosuje się odpowiednio.
1.1. Procesor, który zgodnie z Umową przetwarza Dane osobowe w imieniu Administratora, wdraża odpowiednie środki techniczne i organizacyjne określone w Prawodawstwie w zakresie ochronie danych i / lub obowiązkach nałożonych przez odpowiedni organ nadzorczy zgodnie z Prawodawstwem w zakresie ochrony danych lub innym obowiązującym prawem ustawowym, w celu zapewnienia odpowiedniego poziomu bezpieczeństwa.
1.2 Procesor ocenia odpowiedni poziom bezpieczeństwa i bierze pod uwagę ryzyko związane z przetwarzaniem Danych w związku z usługami, w tym ryzyko przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do Danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
1.3 Wszelkie transfery Danych osobowych między Procesorem a Administratorem lub między Procesorem a
jakąkolwiek stroną trzecią odbywają się przy zapewnieniu wymaganego poziomu bezpieczeństwa lub w inny sposób uzgodniony między stronami.
1.4 Poniżej przedstawiono ogólny opis środków technicznych i organizacyjnych, które Procesor wdroży w celu zapewnienia odpowiedniego poziomu bezpieczeństwa.
1.5 W zakresie, w jakim Procesor ma dostęp do informacji dotyczących środków technicznych i organizacyjnych stosowanych przez Subprocesorów, Procesor przekazuje Administratorowi ogólne opisy środków technicznych i organizacyjnych Subprocesorów wdrażanych w celu zapewnienia odpowiedniego poziomu bezpieczeństwa.
• Proceduralne i / lub fizyczne systemy kontroli dostępu
• Blokowanie drzwi lub inne elektroniczne środki kontroli dostępu
• System alarmowy, monitor wideo / CCTV lub inne urządzenia monitorujące
• Rejestrowanie wejść / wyjść z obiektu
• ID, klucz lub inne wymagania dostępu
ZAŁĄCZNIK NR 2 – BEZPIECZEŃSTWO
1. WYMÓG ZAPEWNIENIA BEZPIECZEŃSTWA INFORMACJI
2. ŚRODKI TECHNICZNE I ORGANIZACYJNE
2.1. Kontrola dostępu
Procesor podejmie proporcjonalne środki w celu uniemożliwienia nieautoryzowanego fizycznego dostępu do pomieszczeń Procesora i urządzeń, w których przechowywane są Dane osobowe. Środki te mogą obejmować:
2.2. Kontrola dostępu do systemów
Procesor podejmie odpowiednie środki, aby zapobiec nieuprawnionemu dostępowi do systemów przechowujących Dane Osobowe. Środki te mogą obejmować:
• Procedury haseł (w tym np. Wymagania dotyczące długości haseł lub znaków specjalnych, wymuszona zmiana hasła w częstym trybie itd.)
• Dostęp do systemów podlegających zatwierdzeniu przez kierownictwo działu HR lub administratorów systemów informatycznych
• Brak dostępu do systemów dla użytkowników-gości lub anonimowych kont
• Centralne zarządzanie dostępem do systemu
• Procedury ręcznego blokowania, gdy stacje robocze pozostają bez nadzoru, oraz automatyczna blokada w ciągu maksymalnie 5 minut
• Ograniczenia w korzystaniu z nośników wymiennych, takich jak pendrive, dyski CD / DVD lub przenośne dyski twarde, a także wymagania szyfrowania
2.3. Kontrola dostępu do danych
Procesor podejmie proporcjonalne środki, aby uniemożliwić uprawnionym użytkownikom dostęp do danych poza ich uprawnieniami dostępu oraz zapobiec nieuprawnionemu dostępowi do danych, ich usuwaniu, modyfikowaniu lub ujawnianiu. Środki te mogą obejmować:
• Zróżnicowane prawa dostępu, zdefiniowane zgodnie z obowiązkami
• Zautomatyzowany dziennik dostępu użytkownika za pośrednictwem systemów IT
2.4. Kontrola wprowadzania danych
Procesor podejmie proporcjonalne środki w celu sprawdzenia i ustalenia, czy i przez kogo Dane osobowe zostały wprowadzone do systemów, zmodyfikowane lub usunięte. Środki te mogą obejmować :
• Zróżnicowane prawa dostępu oparte na zakresie obowiązków
• Zautomatyzowany dziennik dostępu użytkowników i częste przeglądanie dzienników zabezpieczeń w celu wykrycia i monitorowania ewentualnych incydentów
• Zapewnienie, że możliwe jest sprawdzenie i ustalenie, do których organów dane osobowe zostały lub mogą zostać przekazane lub udostępnione za pomocą sprzętu do przesyłania danych
• Zapewnienie, że możliwe jest zweryfikowanie i ustalenie, które dane osobowe zostały wprowadzone do systemów przetwarzania danych, zmienione lub usunięte oraz kiedy i przez kogo dane zostały wprowadzone, zmienione lub usunięte
2.5. Kontrola jawności
Procesor podejmie proporcjonalne środki, aby zapobiec nieuprawnionemu dostępowi, zmianie lub usunięciu danych osobowych podczas przesyłania danych. Środki te mogą obejmować:
• Wykorzystanie nowoczesnego szyfrowania na wszystkich elektronicznych przesyłach danych
• Szyfrowanie za pomocą sieci VPN lub HTTPS w celu zdalnego dostępu, transportu i przesyłania danych
• Ścieżki audytu wszystkich transferów danych
2.6. Kontrola dostępności
Procesor podejmie proporcjonalne środki w celu zapewnienia ochrony danych przed przypadkowym zniszczeniem lub utratą. Środki te mogą obejmować:
• Regularne tworzenie kopii zapasowych danych
• Zdalny magazyn
• Wykorzystanie ochrony antywirusowej / zapory systemowej
• Monitorowanie systemów w celu wykrycia wirusa itp.
• Zapewnienie, że zapisane dane nie mogą zostać uszkodzone w wyniku nieprawidłowego działania systemu
• Zapewnienie, że zainstalowane systemy mogą zostać przywrócone w przypadku przerwania
• Nieprzerwane zasilanie (UPS)
• Procedurę ciągłości działania
2.7. Kontrola rozdzielenia danych
Procesor podejmie proporcjonalne środki w celu zapewnienia, że dane zbierane do różnych celów są przetwarzane osobno. Środki te mogą obejmować:
• Ograniczenia dostępu do danych przechowywanych w różnych celach w oparciu o obowiązki
• Segregacja biznesowych systemów informatycznych
2.8. Kontrola pracy/podwykonawcy
Procesor wdraża środki w celu zapewnienia, że w przypadku przetwarzania danych osobowych na zlecenie dane są przetwarzane ściśle zgodnie z instrukcjami Administratora. Środki te mogą obejmować:
• Jednoznaczne sformułowanie instrukcji kontraktowych
• Monitorowanie realizacji zamówienia
2.9. Szkolenie pracowników
Procesor zapewnia, że wszyscy pracownicy zapoznali się z procedurami dotyczące bezpieczeństwa i poufności, w szczególności poprzez:
• Jednoznaczne zapisy w umowach o pracę dotyczące poufności, bezpieczeństwa i zgodności z procedurami wewnętrznymi
• Wewnętrzne procedury i kursy dotyczące wymagań przetwarzania danych osobowych w celu tworzenia świadomości.