Załącznik do umowy_______________________ UMOWA POWIERZENIA PRZETWARZANIA DANYCH
PK XF 230.138.2019
Załącznik do umowy_______________________
UMOWA POWIERZENIA PRZETWARZANIA DANYCH
zawarta w dniu _____________ w Warszawie pomiędzy:
__________________________________________________________________________________, zwanym dalej „Podmiotem przetwarzającym”, reprezentowanym przez:
a
Skarbem Państwa – Prokuraturą Krajową z siedzibą w Warszawie przy ul. Rakowieckiej 26/30,
(02-528) Xxxxxxxx, XXX 0000000000, zwanym dalej „Administratorem”, w imieniu którego działa:
__________________________________________________________________________________
zwane dalej łącznie „Stronami”, a każda z osobną „Stroną”.
PREAMBUŁA
Stosownie do przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.5.2016, s. 1, z późn. zm.), mając na celu wykonanie art. 28 tego rozporządzenia oraz art. 34 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2019 r. poz. 125), jak również prawidłową realizację umowy _________, której przedmiotem jest ______________, Strony zawierają Umowę o następującej treści:
§ 1.
DEFINICJE
Umowa główna – umowa nr_____zawarta w dniu__________ 2019 r. pomiędzy Stronami, której przedmiotem jest_________________________________________________________________
RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.5.2016, s. 1, z późn. zm.);
Ustawa DODO – ustawa z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2019 r. poz. 125);
Dane osobowe – w rozumieniu art. 4 pkt 1 RODO oraz art. 4 pkt 5 ustawy DODO – oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;
Przetwarzanie – w rozumieniu art. 4 pkt 2 RODO oraz art. 4 pkt 14 ustawy DODO – oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
Inny podmiot przetwarzający – podmiot, któremu Podmiot przetwarzający w związku z realizacją Umowy powierzył w całości lub częściowo przetwarzanie.
§ 2.
PRZEDMIOT UMOWY, ZAKRES I CEL PRZETWARZANIA DANYCH
Administrator powierza Podmiotowi przetwarzającemu, w imieniu i na rzecz Administratora przetwarzanie danych osobowych, na warunkach i w celach opisanych w niniejszej Umowie.
Podmiot przetwarzający przetwarza dane powierzone przez Administratora wyłącznie w celu realizacji Umowy głównej i w zakresie niezbędnym do tego celu.
Powierzenie Podmiotowi przetwarzającemu danych przez Administratora na podstawie Umowy stanowi polecenie ich przetwarzania.
Umowa zostaje zawarta w celu zapewnienia bezpieczeństwa danych osobowych powierzonych Podmiotowi przetwarzającemu przez Administratora.
Administrator i Podmiot przetwarzający zobowiązują się do przestrzegania postanowień i wymogów Umowy, RODO, ustawy DODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 z późn. zm.) oraz innych przepisów prawa powszechnie obowiązującego, które chronią prawa osób, których dane dotyczą.
§ 3
OŚWIADCZENIA ADMINISTRATORA
Administrator oświadcza, że przetwarza dane osobowe, które mają zostać powierzone do przetwarzania Podmiotowi przetwarzającemu na podstawie niniejszej Umowy, zgodnie z przepisami prawa, a w szczególności zgodnie z RODO i ustawą DODO.
Administrator zobowiązuje się, że podczas realizacji Umowy będzie ściśle współpracować z Podmiotem przetwarzającym.
Administrator umocowuje Podmiot przetwarzający do wydawania oraz odwoływania osobom dopuszczonym do przetwarzania danych osobowych, upoważnień do przetwarzania danych osobowych.
§ 4
OBOWIĄZKI PODMIOTU PRZETWARZAJĄCEGO
Podmiot przetwarzający zobowiązuje się stosować środki techniczne i organizacyjne zapewniające adekwatny stopień bezpieczeństwa odpowiadający ryzyku związanemu z przetwarzaniem danych osobowych, zgodnie z art. 32 RODO oraz art. 39 ustawy DODO.
Podmiot przetwarzający zobowiązuje się dołożyć należytej staranności przy przetwarzaniu powierzonych danych osobowych.
Podmiot przetwarzający zobowiązuje się nadać upoważnienia do przetwarzania danych osobowych wszystkim osobom, które będą przetwarzały powierzone dane w celu realizacji niniejszej Umowy oraz dopuszczać do przetwarzania danych osobowych jedynie osoby upoważnione.
Podmiot przetwarzający zobowiązuje się zapewnić zachowanie w tajemnicy, o której mowa w art. 28 ust. 3 lit. b RODO oraz art. 43 ustawy DODO, przetwarzanych danych przez upoważnione przez niego osoby, także po ustaniu stosunku prawnego łączącego osobę upoważnioną do przetwarzania danych osobowych z Podmiotem przetwarzającym.
Podmiot przetwarzający zobowiązany jest do prowadzenia rejestru wszystkich kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO oraz wykazu kategorii czynności przetwarzania dokonywanych w imieniu administratora, o którym mowa w art. 35 ust. 4 ustawy DODO.
Podmiot przetwarzający pomaga Administratorowi w niezbędnym zakresie wywiązywać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą oraz wywiązywania się z obowiązków określonych w art. 32 – 36 RODO.
Podmiot przetwarzający niezwłocznie informuje Administratora o:
wszelkich przypadkach naruszenia tajemnicy danych osobowych lub o ich niewłaściwym użyciu oraz naruszeniu obowiązków dotyczących ochrony powierzonych do przetwarzania danych osobowych, z zastrzeżeniem ust. 8,
wszelkich czynnościach z własnym udziałem w sprawach dotyczących ochrony danych osobowych prowadzonych w szczególności przed Prezesem Urzędu Ochrony Danych Osobowych, Europejskim Inspektorem ochrony Danych Osobowych, urzędami państwowymi, policją lub przed sądem.
Podmiot przetwarzający, bez zbędnej zwłoki, nie później jednak niż w ciągu 24 godzin po stwierdzeniu naruszenia, zgłosi Administratorowi każde naruszenie ochrony danych osobowych. Zgłoszenie powinno oprócz elementów określonych w art. 33 ust. 3 RODO oraz art. 44 ust. 4 ustawy DODO, zawierać informacje umożliwiające Administratorowi określenie, czy naruszenie skutkuje wysokim ryzykiem naruszenia praw lub wolności osób fizycznych.
Po rozwiązaniu lub wygaśnięciu Umowy, Podmiot przetwarzający zobowiązuje się niezwłocznie zwrócić Administratorowi powierzone dane osobowe i trwale usunąć je z wszystkich nośników, zarówno w postaci elektronicznej, jak i papierowej.
§ 5
PRAWO KONTROLI
Administrator ma prawo kontroli zgodności przetwarzania powierzonych danych osobowych z ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych, RODO, ustawą DODO, przepisami prawa powszechnie obowiązującego oraz Umową.
Prawo kontroli realizowane będzie w godzinach pracy Podmiotu przetwarzającego i z minimum 7 – dniowym pisemnym jego uprzedzeniem.
Podmiot przetwarzający zobowiązuje się do usunięcia uchybień stwierdzonych podczas kontroli w terminie wskazanym przez Administratora, nie dłuższym niż 7 dni.
Podmiot przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO.
§ 6
DALSZE POWIERZENIE PRZETWARZANIA DANYCH OSOBOWYCH
Podmiot przetwarzający nie przekazuje powierzonych do przetwarzania danych osobowych do państwa trzeciego lub organizacji międzynarodowych (poza Europejski Obszar Gospodarczy, dalej EOG). Jeżeli Podmiot przetwarzający ma zamiar lub obowiązek przekazania powierzonych do przetwarzania danych osobowych poza EOG poinformuje o tym Administratora w celu umożliwienia Administratorowi podjęcia decyzji lub działań niezbędnych do zapewnienia zgodności przetwarzania z prawem lub zakończenia powierzenia przetwarzania danych osobowych.
Podmiot przetwarzający nie może bez zgody Administratora powierzyć danych osobowych do dalszego przetwarzania Innemu podmiotowi przetwarzającemu w celu wykonania całości lub części Umowy.
W przypadku powierzenia wykonania całości lub części Umowy Innemu podmiotowi przetwarzającemu za zgodą Administratora, Inny podmiot przetwarzający winien spełniać te same gwarancje i obowiązki, jakie zostały nałożone na Podmiot przetwarzający w niniejszej Umowie.
W sytuacji opisanej w ust. 2 Podmiot przetwarzający ponosi pełną odpowiedzialność wobec Administratora za niewywiązanie się ze spoczywających na Innym podmiocie przetwarzającym obowiązków ochrony danych.
§ 7
ODPOWIEDZIALNOŚĆ PODMIOTU PRZETWARZAJĄCEGO
Podmiot przetwarzający ponosi odpowiedzialność, tak wobec osób trzecich, jak i wobec Administratora, za wszelkie szkody powstałe w związku z nieprzestrzeganiem ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 z późn. zm.), RODO, ustawy DODO, przepisów prawa powszechnie obowiązującego dotyczącego ochrony danych osobowych oraz za przetwarzanie powierzonych do przetwarzania danych osobowych niezgodnie z Umową.
Podmiot przetwarzający jest odpowiedzialny za udostępnienie lub wykorzystanie danych osobowych niezgodnie z treścią Umowy, a w szczególności za udostępnienie powierzonych do przetwarzania danych osobowych osobom nieupoważnionym.
§ 8
OBOWIĄZYWANIE UMOWY
Umowa zostaje zawarta na czas obowiązywania Umowy głównej.
Administrator może wypowiedzieć niniejszą Umowę ze skutkiem natychmiastowym, w przypadku naruszenia przez Podmiot przetwarzający postanowień Umowy.
Rozwiązanie niniejszej Umowy ze skutkiem natychmiastowym jest równoznaczne z rozwiązaniem Umowy głównej.
§ 9.
POSTANOWIENIA KOŃCOWE
Wszelkie zmiany i uzupełnienia Umowy powinny być dokonane w formie pisemnej pod rygorem nieważności, z zachowaniem warunków oraz dopuszczalności zmiany Umowy.
W sprawach nieuregulowanych Umową, zastosowanie znajdują przepisy o ochronie danych osobowych oraz Kodeksu cywilnego.
Sądem właściwym dla rozpatrzenia sporów wynikających z Umowy będzie sąd właściwy dla Administratora.
Umowę sporządzono w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej ze Stron.
Administrator Podmiot przetwarzający
(Data i podpis) (Data i podpis)