Umowa powierzenia przetwarzania danych osobowych - załącznik do RODO

Umowa

powierzenia przetwarzania danych osobowych

§1
Przedmiot

Przedmiotem Umowy jest opisanie zasad powierzania przetwarzania danych osobowych, stosowanie do art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE L z dnia 4 maja 2016 r., dalej: RODO), w związku z korzystaniem z pakietów subskrypcyjnych usług oferowanych przez Kancelarię Mentzen.
Administrator powierza Przetwarzającemu przetwarzanie (w rozumieniu RODO) dalej opisanych danych osobowych (dalej zwanych: „danymi”).
Niniejsza Umowa dotyczy każdej operacji przetwarzania danych, w szczególności określonych w art. 4 ust. 2 RODO, w ramach której Przetwarzający ma dostęp do danych, za przetwarzanie których odpowiedzialny jest Administrator.
Przed zawarciem Umowy Powierzenia Administrator Danych Osobowych (zwany również „Klientem”), jest zobowiązany zapoznać się z treścią niniejszej Umowy oraz Polityki Prywatności, a następnie zaakceptować jej treść. Zawarcie niniejszej Umowy Powierzenia następuje z chwilą akceptacji Polityki Prywatności przez Administratora Danych Osobowych.

§2
Definicje

Użyte w Umowie pojęcia oznaczają:

1) Administrator Danych Osobowych – osoba fizyczna lub osoba prawna, która korzysta z następujących pakietów subskrypcji Mentzen+: Mentzen Prime, Mentzen+ Nieruchomości, Mentzen+ IT, Mentzen+ B2B.

2) Dane osobowe — wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.

3) Naruszenie ochrony danych osobowych —naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

4) Podmiot danych —osoba fizyczna, której dane osobowe zostały powierzone Podmiotowi Przetwarzającemu do przetwarzania.

5) Podmiot Przetwarzający – Kancelaria Mentzen Spółka z ograniczoną odpowiedzialnością z siedzibą na ul. Grudziądzkiej 110-114/101 87-100 Toruń, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w Toruniu, VII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS: 0001071605, o kapitale zakładowym w wysokości 50 000 zł, wpłaconym w całości, REGON: 520201262, NIP: 9562371350.

6) Rozporządzenie 2016/679 — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L z dnia 4 maja 2016 r.).

§3
Cel przetwarzania danych

Celem przetwarzania danych jest świadczenie usług na rzecz Administratora w celu wykonania zakupionej usługi.
Powierzenie przetwarzania danych osobowych jest niezbędne do wykonywania obowiązków wynikających z wykupionej usługi subskrypcji.

§4
Powierzenie przetwarzania danych osobowych

Strony oświadczają, że ze względu na usługę subskrypcji Mentzen+, z której korzysta Administrator, powstaje konieczność powierzenia Podmiotowi Przetwarzającemu danych osobowych do przetwarzania w imieniu Administratora Danych Osobowych.
Na podstawie Umowy Powierzenia Administrator Danych Osobowych powierza Podmiotowi Przetwarzającemu dane osobowe do przetwarzania, a Podmiot Przetwarzający zobowiązuje się przetwarzać dane osobowe na zasadach określonych Umową Powierzenia.
Administrator Danych Osobowych oświadcza, że będzie samodzielnie wypełniać wszelkie obowiązki informacyjne względem podmiotów danych, których dane osobowe zostały powierzone Podmiotowi Przetwarzającemu do przetwarzania.
Podmiot Przetwarzający oświadcza, że dokonał wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie powierzonych danych spełniało wymogi rozporządzenia i chroniło prawa podmiotów danych. Podmiot Przetwarzający zobowiązuje się przetwarzać powierzone mu dane osobowe zgodnie z Umową Powierzenia, Rozporządzeniem 2016/679 oraz z innymi przepisami prawa powszechnie obowiązującego.

§5
Rodzaj danych

Korzystając z pakietów, które odnoszą się do pakietów Mentzen Prime (pakiet Szeroki i Potężny), Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych, wskazanych w tym ustępie.

1) Przetwarzanie obejmować będzie następujące kategorie osób:

a)informacje o Administratorze,
b) dostawcy, kontrahenci Administratora, w tym ich przedstawiciele,
c) klienci Administratora, w tym ich przedstawiciele.

2) Przetwarzanie obejmować będzie następujące rodzaje danych osobowych:

(1) imię i nazwisko,
(2) numer ewidencyjny PESEL,
(3) adres e-mail,
(4) numery telefonów,
(5) adres zamieszkania,
(6) data urodzenia,
(7) NIP,
(8) seria i numer dokumentu tożsamości,
(9) imiona rodziców,
(10) numer rachunku bankowego,
(11) data przyjęcia do pracy,
(12) data zakończenia pracy,
(13) szczegóły faktur,
(14) informacje podatkowe oraz dotyczące umów i innych zobowiązań.

Korzystając z pakietów, które odnoszą się do pakietów Mentzen+ (Mentzen+ Nieruchomości, Mentzen+ B2B, Mentzen+ IT, pakiety Mentzen Prime – Mentzen bez VAT, Mentzen Prime uproszczony), Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych, wskazanych w tym ustępie.

1) Przetwarzanie obejmować będzie następujące kategorie osób:

a) Informacje o Administratorze,
b)dostawcy, kontrahenci Administratora, w tym ich przedstawiciele,
c) klienci Administratora, w tym ich przedstawiciele.

2) Przetwarzanie obejmować będzie następujące rodzaje danych osobowych:

Korzystając z pakietów, które odnoszą się do pakietów Mentzen Prime – kadry Mentzena, Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych, wskazanych w tym ustępie.

1) Przetwarzanie obejmować będzie następujące kategorie osób:

a) pracownicy (byli i obecni) Administratora,
b) dane dzieci pracownika Administratora,
c) dane małżonka pracownika Administratora,
d) dostawcy, kontrahenci Administratora, w tym ich przedstawiciele,
e) klienci Administratora, w tym ich przedstawiciele,
f) pracownicy klienta Administratora.

2) Przetwarzanie obejmować będzie następujące rodzaje danych osobowych:

(1) imię i nazwisko,
(2) numer ewidencyjny PESEL,
(3) adres e-mail,
(4) numery telefonów,
(5) adres zamieszkania,
(6) miejsce i data urodzenia,
(7) NIP,
(8) seria i numer dokumentu tożsamości,
(9) imiona rodziców,
(10) numer rachunku bankowego,
(11) data przyjęcia do pracy,
(12) data zakończenia pracy,
(13) szczegóły faktur,
(14) informacje podatkowe oraz dotyczące umów i innych zobowiązań,
(15) informacje o wykształceniu,
(16) informacje z medycyny pracy – kody niepełnosprawności, rodzaje niepełnosprawności, informacje o rentach,
(17) kody NFZ,
(18) historia zatrudnienia,
(19) wynagrodzenie,
(20) informacje o właściwości Urzędów Skarbowych.

§6
Okres obowiązywania Umowy

Administrator Danych Osobowych powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych na czas korzystania z usługi Subskrypcji Mentzen+.
Umowa Powierzenia zostaje zawarta na okres korzystania z usługi Subskrypcji Mentzen+ i wygasa lub rozwiązuje się równocześnie z chwilą rezygnacji z tej usługi.
Z chwilą wygaśnięcia lub rozwiązania Umowy Podmiot Przetwarzający jest zobowiązany zaprzestać dalszego przetwarzania danych osobowych w imieniu Administratora Danych Osobowych.
Z chwilą wygaśnięcia lub rozwiązania Umowy Powierzenia Podmiot Przetwarzający jest zobowiązany do usunięcia wszelkich istniejących kopii danych osobowych — najpóźniej w terminie 14 (słownie: czternastu) dni od dnia otrzymania żądania Administratora Danych Osobowych.
Podmiot Przetwarzający nie jest zobowiązany do usunięcia lub zwrotu danych osobowych wówczas, gdy prawo polskie lub prawo europejskie nakazuje mu w dalszym ciągu przechowywać dane osobowe, niezależnie od wygaśnięcia lub rozwiązania Umowy Powierzenia.
Podmiot Przetwarzający nie jest zobowiązany do usunięcia lub zwrotu danych osobowych, gdy dalsze przetwarzanie powierzonych danych osobowych jest niezbędne do realizacji celów wynikających z prawnie uzasadnionych interesów Podmiotu Przetwarzającego.

§7
Obowiązki Administratora

W ramach Umowy Powierzenia Administrator jest zobowiązany do:

a) współdziałania z Przetwarzającym w wykonaniu Umowy,
b) udzielania Przetwarzającemu wyjaśnień w razie wątpliwości co do legalności poleceń Administratora,
c) zapewnienia, by wszystkie powierzane dane osobowe były przetwarzane przez niego zgodnie z prawem,
d) zawiadamiania Podmiotu Przetwarzającego o wszelkich kontrolach prowadzonych przez organy państwowe, w tym Prezesa Urzędu Ochrony Danych Osobowych, jeżeli kontrola ta będzie wiązać się z działaniami Podmiotu Przetwarzającego.

§8
Obowiązki Przetwarzającego

Podmiot Przetwarzający jest zobowiązany przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Administratora Danych Osobowych.
Za udokumentowane polecenie Administratora Danych Osobowych, o którym mowa w ust. 1, uważane będzie każdorazowo polecenie przetwarzania danych osobowych wynikające z:
a) przedmiotu Umowy Głównej lub Umowy Powierzenia
b) dokumentu sporządzonego w formie pisemnej, podpisanego przez osobę uprawnioną do reprezentacji Administratora Danych Osobowych,
c) wiadomości e-mail lub sms wysłanej przez osobę uprawnioną do reprezentacji Administratora Danych Osobowych.
Podmiot Przetwarzający jest zobowiązany zapewnić, aby wszystkie osoby upoważnione przez niego do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zapewnienia tajemnicy.
Podmiot Przetwarzający jest zobowiązany zapewnić, aby dostęp do danych osobowych posiadały wyłącznie osoby upoważnione, zaznajomione z zasadami ochrony danych osobowych oraz odpowiednio przeszkolone w tym zakresie.
Przetwarzający oświadcza, iż dysponuje środkami, doświadczeniem, wiedzą i wykwalifikowanym personelem, co umożliwia mu prawidłowe wykonanie usług objętych niniejszą Umową.
Przetwarzający oświadcza, że nie przekazuje danych do państwa trzeciego lub organizacji międzynarodowej spoza terytorium Europejskiego Obszaru Gospodarczego (dalej: EOG). Przetwarzający oświadcza również, że nie korzysta z podwykonawców, którzy przekazują dane poza EOG.
Przetwarzający rozumie, że Administrator musi dokonać dodatkowego zatwierdzenia oraz udokumentować, że w przypadku operacji przekazania danych do odbiorcy spoza EOG (art. 44-47 RODO) zostanie zapewniony odpowiedni stopień ochrony danych osobowych w państwie trzecim, do którego przekazywane są dane osobowe – poprzez umowy zapewniające wystarczające gwarancje (standardowe klauzule umowne), decyzje, certyfikaty lub inne zatwierdzone oficjalnie przez UE mechanizmy przekazywania danych, chyba że istnieje inna podstawa prawna w zakresie przekazywania danych.
Jeżeli Przetwarzający ma zamiar lub obowiązek przekazywać dane poza EOG, informuje o tym Administratora w celu umożliwienia Administratorowi podjęcia decyzji i działań niezbędnych do zapewnienia zgodności przetwarzania z prawem lub zakończenia powierzenia przetwarzania.
Przetwarzający zapewnia ochronę danych i podejmuje środki ochrony danych, o których mowa w art. 32 RODO, zgodnie z dalszymi postanowieniami Umowy.
Przetwarzający zobowiązuje się wobec Administratora do współdziałania w zakresie wykonywania praw określonych w rozdziale III RODO (tzw. „prawa jednostki”), w szczególności Przetwarzający oświadcza, że zapewnia obsługę praw jednostki w odniesieniu do powierzonych danych w ramach czego zobowiązuje się do niezwłocznego odpowiadania na żądanie osoby, której dane dotyczą.
Przetwarzający współpracuje z Administratorem przy wykonywaniu przez Administratora obowiązków z obszaru ochrony danych osobowych, o których mowa w art. 32-36 RODO (ochrona danych, zgłaszanie naruszeń organowi nadzorczemu, zawiadamianie osób dotkniętych naruszeniem ochrony danych, ocena skutków dla ochrony danych i uprzednie konsultacje z organem nadzorczym).
Jeżeli Przetwarzający poweźmie wątpliwości co do zgodności z prawem wydanych przez Administratora poleceń lub instrukcji, Przetwarzający natychmiast informuje Administratora o stwierdzonej wątpliwości (w sposób udokumentowany z uzasadnieniem), pod rygorem utraty możliwości dochodzenia roszczeń przeciwko Administratorowi z tego tytułu.
Planując dokonanie zmian w sposobie przetwarzania danych, Przetwarzający ma obowiązek zastosować się do wymogu projektowania prywatności, o którym mowa w art. 25 ust. 1 RODO i ma obowiązek z wyprzedzeniem informować Administratora o planowanych zmianach w taki sposób i w takich terminach aby zapewnić Administratorowi realną możliwość reagowania, jeżeli planowane przez Przetwarzającego zmiany w opinii Administratora grożą uzgodnionemu poziomowi bezpieczeństwa danych lub zwiększają ryzyko naruszenia praw lub wolności osób, wskutek przetwarzania danych przez Przetwarzającego.
Przetwarzający zobowiązuje się do ograniczenia dostępu do danych wyłącznie do osób, których dostęp do danych jest potrzebny do realizacji Umowy i posiadających odpowiednie upoważnienie.
Przetwarzający zobowiązuje się do prowadzenia dokumentacji opisującej sposób przetwarzania danych, w tym rejestru kategorii czynności przetwarzania danych osobowych (wymóg art. 30 RODO). Przetwarzający udostępnia na żądanie Administratora prowadzony rejestr czynności przetwarzania danych Przetwarzającego, z wyłączeniem informacji stanowiących tajemnicę handlową innych klientów Przetwarzającego.
Jeżeli Przetwarzający wykorzystuje w celu realizacji Umowy zautomatyzowane przetwarzanie, w tym profilowanie, o którym mowa w art. 22 ust. 1 i 4 RODO, Przetwarzający informuje o tym Administratora w celu i w zakresie niezbędnym do wykonania przez Administratora obowiązku informacyjnego.
Przetwarzający ma obowiązek zapewnić osobom upoważnionym do przetwarzania danych odpowiednie szkolenie z zakresu ochrony danych osobowych.

§9
Podpowierzenie

Przetwarzający może powierzyć konkretne operacje przetwarzania Danych (dalej: „podpowierzenie”) w drodze pisemnej umowy podpowierzenia (dalej zwana: „Umową podpowierzenia”) innym podmiotom przetwarzającym (dalej zwanym: „Podprzetwarzającymi”).
Dokonując podpowierzenia, Przetwarzający ma obowiązek zobowiązać Podprzetwarzającego do realizacji wszystkich obowiązków Przetwarzającego wynikających z niniejszej Umowy powierzenia, z wyjątkiem tych, które nie mają zastosowania ze względu na naturę konkretnego podpowierzenia.
Przetwarzający nie ma prawa przekazać Podprzetwarzającemu całości wykonania Umowy.

§10
Bezpieczeństwo danych

Przetwarzający zapewnia i zobowiązuje się, że:

– dokonał oceny przydatności pseudominizacji i szyfrowania stosuje te techniki w takim zakresie, w jakim są potrzebne do zapewnienia poziomu bezpieczeństwa danych odpowiedniego do ustalonego ryzyka naruszenia praw lub wolności osób, przy ich przetwarzaniu;

– posiada zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności swoich systemów usług przetwarzania;

– posiada zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;

– regularnie testuje, mierzy i ocenia skuteczność stosowanych środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

§11
Powiadomienie o naruszeniach danych osobowych

Przetwarzający powiadamia Administratora o każdym podejrzeniu naruszenia ochrony danych nie później niż w 24 godziny od pierwszego zgłoszenia, umożliwia Administratorowi uczestnictwo w czynnościach wyjaśniających i informuje Administratora o ustaleniach z chwilą ich dokonania, w szczególności o stwierdzeniu naruszenia lub jego braku.
Przetwarzający przesyła powiadomienie o stwierdzeniu naruszenia wraz z wszelką niezbędną dokumentacją dotyczącą naruszenia, aby umożliwić Administratorowi spełnienie obowiązku powiadomienia organu nadzoru.
Przetwarzający zobowiązuje się do niezwłocznego poinformowania Administratora o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania przez Przetwarzającego lub Podprzetwarzającego, powierzonych przez Administratora danych, w tym o jakiejkolwiek decyzji administracyjnej lub orzeczeniu sądowym dotyczącym przetwarzania tych danych, które zostały skierowane, wydane w stosunku do Przetwarzającego lub Podprzetwarzającego, a także o wszelkich planowanych, o ile są wiadome, lub realizowanych kontrolach i postępowaniach dotyczących przetwarzania danych przez Przetwarzającego lub Podprzetwarzającego, w szczególności prowadzonych przez Urząd Ochrony Danych Osobowych.

§12
Nadzór

Administrator kontroluje sposób przetwarzania powierzonych danych po uprzednim poinformowaniu Przetwarzającego o planowanej kontroli. Administrator lub wyznaczone przez niego osoby są uprawnione do wstępu do pomieszczeń, w których przetwarzane są dane oraz wglądu do dokumentacji związanej z przetwarzaniem danych. Administrator uprawniony jest do żądania od Przetwarzającego udzielania informacji dotyczących przebiegu przetwarzania danych oraz udostępnienia rejestrów przetwarzania (z zastrzeżeniem tajemnicy handlowej Przetwarzającego).
Przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania zgodności działania Administratora z przepisami RODO.
Przetwarzający umożliwia Administratorowi lub upoważnionemu audytorowi przeprowadzenie audytów lub inspekcji. Przetwarzający zobowiązuje się współpracować w zakresie realizacji audytów lub inspekcji.

§13
Oświadczenia stron

Administrator oświadcza, że jest Administratorem danych w rozumieniu art. 4 pkt 7 RODO oraz że jest uprawniony do ich przetwarzania w zakresie, w jakim powierzył je Przetwarzającemu.
Przetwarzający oświadcza, że jest podmiotem przetwarzającym w rozumieniu art. 4 pkt 8 RODO.
Przetwarzający zobowiązuje się przetwarzać powierzone mu dane osobowe zgodnie z niniejszą Umową powierzenia, RODO oraz z innymi przepisami powszechnie obowiązującego prawa.
Każda ze Stron zobowiązuje się do wykonania w imieniu drugiej Strony względem osób przez siebie zatrudnionych lub z którymi współpracuje (niezależnie od podstawy prawnej), których dane osobowe będą ujawniane drugiej Stronie w związku z zawarciem lub wykonywaniem Umowy Podstawowej lub niniejszej Umowy, obowiązku informacyjnego zgodnie z art. 14 RODO.

§14
Odpowiedzialność

Przetwarzający odpowiada za szkody spowodowane swoim działaniem w związku z niedopełnieniem obowiązków, które RODO nakłada bezpośrednio na Przetwarzającego, lub gdy działał poza zgodnymi z prawem instrukcjami Administratora lub wbrew tym instrukcjom. Przetwarzający odpowiada za szkody spowodowane zastosowaniem lub niezastosowaniem właściwych środków bezpieczeństwa.
Jeżeli Podprzetwarzający nie wywiąże się ze spoczywających na nim obowiązków ochrony danych, pełna odpowiedzialność wobec Administratora za wypełnienie obowiązków przez Podprzetwarzającego spoczywa na Przetwarzającym.
Przetwarzający odpowiada za szkody, jakie powstaną u Administratora lub osób i podmiotów trzecich w wyniku niezgodnego z Umową przetwarzania przez Przetwarzającego lub Podprzetwarzającego danych, w szczególności za przypadkowe lub niezgodne z prawem zniszczenie, utratę, modyfikację, nieuprawnione ujawnienie lub dopuszczenie do nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych w ramach realizacji Umowy Podstawowej.
Przez nienależyte wykonanie Umowy należy w szczególności rozumieć sytuację, gdy organy administracji publicznej odpowiedzialne za nadzór nad przestrzeganiem zasad przetwarzania danych osobowych stwierdzą, że Przetwarzający lub Podprzetwarzający nie respektuje tych zasad.

§14
Postanowienia końcowe

W sprawach nieuregulowanych Umowa podlega przepisom RODO oraz prawa polskiego.
Sądem właściwym do rozstrzygnięcia sporów związanych z Umową będzie sąd właściwy miejscowo dla siedziby Administratora.
Administrator Danych Osobowych zostanie powiadomiony o planowanej zmianie treści Regulaminu poprzez wiadomość e-mail wysłaną na adres e-mail wskazany przez Administratora Danych Osobowych.
Podmiot Przetwarzający zastrzega sobie prawo do wprowadzania zmian w niniejszej Umowie.
W przypadku jakichkolwiek sporów wynikłych pomiędzy Stronami odnośnie zawarcia Umowy Powierzenia, Strony w dobrej wierze podejmą negocjacje w celu polubownego rozstrzygnięcia sporu. W razie braku rozwiązania sporu na drodze polubownej Strony oddadzą spór pod rozstrzygnięcie sądowi powszechnemu właściwemu dla siedziby Podmiotu Przetwarzającego.
W kwestiach nieuregulowanych postanowieniami Umowy zastosowanie mają przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2019 poz. 1781, z późn. zm.), ustawy z dnia 23 kwietnia 1964 r. — Kodeks cywilny (t. j. Dz. U. 2022 poz. 360, z późn. zm.) oraz inne właściwe przepisy prawa.