Umowa
powierzenia przetwarzania danych osobowych
§1
Przedmiot
- Przedmiotem Umowy jest opisanie zasad powierzania przetwarzania danych osobowych, stosowanie do art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE L z dnia 4 maja 2016 r., dalej: RODO), w związku z korzystaniem z pakietów subskrypcyjnych usług oferowanych przez Kancelarię Mentzen.
- Administrator powierza Przetwarzającemu przetwarzanie (w rozumieniu RODO) dalej opisanych danych osobowych (dalej zwanych: „danymi”).
- Niniejsza Umowa dotyczy każdej operacji przetwarzania danych, w szczególności określonych w art. 4 ust. 2 RODO, w ramach której Przetwarzający ma dostęp do danych, za przetwarzanie których odpowiedzialny jest Administrator.
- Przed zawarciem Umowy Powierzenia Administrator Danych Osobowych (zwany również „Klientem”), jest zobowiązany zapoznać się z treścią niniejszej Umowy oraz Polityki Prywatności, a następnie zaakceptować jej treść. Zawarcie niniejszej Umowy Powierzenia następuje z chwilą akceptacji Polityki Prywatności przez Administratora Danych Osobowych.
§2
Definicje
- Użyte w Umowie pojęcia oznaczają:
1) Administrator Danych Osobowych – osoba fizyczna lub osoba prawna, która korzysta z następujących pakietów subskrypcji Mentzen+: Mentzen Prime, Mentzen+ Nieruchomości, Mentzen+ IT, Mentzen+ B2B.
2) Dane osobowe — wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
3) Naruszenie ochrony danych osobowych —naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
4) Podmiot danych —osoba fizyczna, której dane osobowe zostały powierzone Podmiotowi Przetwarzającemu do przetwarzania.
5) Podmiot Przetwarzający – Kancelaria Mentzen Spółka z ograniczoną odpowiedzialnością z siedzibą na ul. Grudziądzkiej 110-114/101 87-100 Toruń, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w Toruniu, VII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS: 0001071605, o kapitale zakładowym w wysokości 50 000 zł, wpłaconym w całości, REGON: 520201262, NIP: 9562371350.
6) Rozporządzenie 2016/679 — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L z dnia 4 maja 2016 r.).
§3
Cel przetwarzania danych
- Celem przetwarzania danych jest świadczenie usług na rzecz Administratora w celu wykonania zakupionej usługi.
- Powierzenie przetwarzania danych osobowych jest niezbędne do wykonywania obowiązków wynikających z wykupionej usługi subskrypcji.
§4
Powierzenie przetwarzania danych osobowych
- Strony oświadczają, że ze względu na usługę subskrypcji Mentzen+, z której korzysta Administrator, powstaje konieczność powierzenia Podmiotowi Przetwarzającemu danych osobowych do przetwarzania w imieniu Administratora Danych Osobowych.
- Na podstawie Umowy Powierzenia Administrator Danych Osobowych powierza Podmiotowi Przetwarzającemu dane osobowe do przetwarzania, a Podmiot Przetwarzający zobowiązuje się przetwarzać dane osobowe na zasadach określonych Umową Powierzenia.
- Administrator Danych Osobowych oświadcza, że będzie samodzielnie wypełniać wszelkie obowiązki informacyjne względem podmiotów danych, których dane osobowe zostały powierzone Podmiotowi Przetwarzającemu do przetwarzania.
- Podmiot Przetwarzający oświadcza, że dokonał wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie powierzonych danych spełniało wymogi rozporządzenia i chroniło prawa podmiotów danych. Podmiot Przetwarzający zobowiązuje się przetwarzać powierzone mu dane osobowe zgodnie z Umową Powierzenia, Rozporządzeniem 2016/679 oraz z innymi przepisami prawa powszechnie obowiązującego.
§5
Rodzaj danych
- Korzystając z pakietów, które odnoszą się do pakietów Mentzen Prime (pakiet Szeroki i Potężny), Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych, wskazanych w tym ustępie.
1) Przetwarzanie obejmować będzie następujące kategorie osób:
a)informacje o Administratorze,
b) dostawcy, kontrahenci Administratora, w tym ich przedstawiciele,
c) klienci Administratora, w tym ich przedstawiciele.
2) Przetwarzanie obejmować będzie następujące rodzaje danych osobowych:
(1) imię i nazwisko,
(2) numer ewidencyjny PESEL,
(3) adres e-mail,
(4) numery telefonów,
(5) adres zamieszkania,
(6) data urodzenia,
(7) NIP,
(8) seria i numer dokumentu tożsamości,
(9) imiona rodziców,
(10) numer rachunku bankowego,
(11) data przyjęcia do pracy,
(12) data zakończenia pracy,
(13) szczegóły faktur,
(14) informacje podatkowe oraz dotyczące umów i innych zobowiązań.
- Korzystając z pakietów, które odnoszą się do pakietów Mentzen+ (Mentzen+ Nieruchomości, Mentzen+ B2B, Mentzen+ IT, pakiety Mentzen Prime – Mentzen bez VAT, Mentzen Prime uproszczony), Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych, wskazanych w tym ustępie.
1) Przetwarzanie obejmować będzie następujące kategorie osób:
a) Informacje o Administratorze,
b)dostawcy, kontrahenci Administratora, w tym ich przedstawiciele,
c) klienci Administratora, w tym ich przedstawiciele.
2) Przetwarzanie obejmować będzie następujące rodzaje danych osobowych:
(1) imię i nazwisko,
(2) numer ewidencyjny PESEL,
(3) adres e-mail,
(4) numery telefonów,
(5) adres zamieszkania,
(6) data urodzenia,
(7) NIP,
(8) seria i numer dokumentu tożsamości,
(9) imiona rodziców,
(10) numer rachunku bankowego,
(11) data przyjęcia do pracy,
(12) data zakończenia pracy,
(13) szczegóły faktur,
(14) informacje podatkowe oraz dotyczące umów i innych zobowiązań.
- Korzystając z pakietów, które odnoszą się do pakietów Mentzen Prime – kadry Mentzena, Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych, wskazanych w tym ustępie.
1) Przetwarzanie obejmować będzie następujące kategorie osób:
a) pracownicy (byli i obecni) Administratora,
b) dane dzieci pracownika Administratora,
c) dane małżonka pracownika Administratora,
d) dostawcy, kontrahenci Administratora, w tym ich przedstawiciele,
e) klienci Administratora, w tym ich przedstawiciele,
f) pracownicy klienta Administratora.
2) Przetwarzanie obejmować będzie następujące rodzaje danych osobowych:
(1) imię i nazwisko,
(2) numer ewidencyjny PESEL,
(3) adres e-mail,
(4) numery telefonów,
(5) adres zamieszkania,
(6) miejsce i data urodzenia,
(7) NIP,
(8) seria i numer dokumentu tożsamości,
(9) imiona rodziców,
(10) numer rachunku bankowego,
(11) data przyjęcia do pracy,
(12) data zakończenia pracy,
(13) szczegóły faktur,
(14) informacje podatkowe oraz dotyczące umów i innych zobowiązań,
(15) informacje o wykształceniu,
(16) informacje z medycyny pracy – kody niepełnosprawności, rodzaje niepełnosprawności, informacje o rentach,
(17) kody NFZ,
(18) historia zatrudnienia,
(19) wynagrodzenie,
(20) informacje o właściwości Urzędów Skarbowych.
§6
Okres obowiązywania Umowy
- Administrator Danych Osobowych powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych na czas korzystania z usługi Subskrypcji Mentzen+.
- Umowa Powierzenia zostaje zawarta na okres korzystania z usługi Subskrypcji Mentzen+ i wygasa lub rozwiązuje się równocześnie z chwilą rezygnacji z tej usługi.
- Z chwilą wygaśnięcia lub rozwiązania Umowy Podmiot Przetwarzający jest zobowiązany zaprzestać dalszego przetwarzania danych osobowych w imieniu Administratora Danych Osobowych.
- Z chwilą wygaśnięcia lub rozwiązania Umowy Powierzenia Podmiot Przetwarzający jest zobowiązany do usunięcia wszelkich istniejących kopii danych osobowych — najpóźniej w terminie 14 (słownie: czternastu) dni od dnia otrzymania żądania Administratora Danych Osobowych.
- Podmiot Przetwarzający nie jest zobowiązany do usunięcia lub zwrotu danych osobowych wówczas, gdy prawo polskie lub prawo europejskie nakazuje mu w dalszym ciągu przechowywać dane osobowe, niezależnie od wygaśnięcia lub rozwiązania Umowy Powierzenia.
- Podmiot Przetwarzający nie jest zobowiązany do usunięcia lub zwrotu danych osobowych, gdy dalsze przetwarzanie powierzonych danych osobowych jest niezbędne do realizacji celów wynikających z prawnie uzasadnionych interesów Podmiotu Przetwarzającego.
§7
Obowiązki Administratora
W ramach Umowy Powierzenia Administrator jest zobowiązany do:
a) współdziałania z Przetwarzającym w wykonaniu Umowy,
b) udzielania Przetwarzającemu wyjaśnień w razie wątpliwości co do legalności poleceń Administratora,
c) zapewnienia, by wszystkie powierzane dane osobowe były przetwarzane przez niego zgodnie z prawem,
d) zawiadamiania Podmiotu Przetwarzającego o wszelkich kontrolach prowadzonych przez organy państwowe, w tym Prezesa Urzędu Ochrony Danych Osobowych, jeżeli kontrola ta będzie wiązać się z działaniami Podmiotu Przetwarzającego.
§8
Obowiązki Przetwarzającego
- Podmiot Przetwarzający jest zobowiązany przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Administratora Danych Osobowych.
- Za udokumentowane polecenie Administratora Danych Osobowych, o którym mowa w ust. 1, uważane będzie każdorazowo polecenie przetwarzania danych osobowych wynikające z:
a) przedmiotu Umowy Głównej lub Umowy Powierzenia
b) dokumentu sporządzonego w formie pisemnej, podpisanego przez osobę uprawnioną do reprezentacji Administratora Danych Osobowych,
c) wiadomości e-mail lub sms wysłanej przez osobę uprawnioną do reprezentacji Administratora Danych Osobowych. - Podmiot Przetwarzający jest zobowiązany zapewnić, aby wszystkie osoby upoważnione przez niego do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zapewnienia tajemnicy.
- Podmiot Przetwarzający jest zobowiązany zapewnić, aby dostęp do danych osobowych posiadały wyłącznie osoby upoważnione, zaznajomione z zasadami ochrony danych osobowych oraz odpowiednio przeszkolone w tym zakresie.
- Przetwarzający oświadcza, iż dysponuje środkami, doświadczeniem, wiedzą i wykwalifikowanym personelem, co umożliwia mu prawidłowe wykonanie usług objętych niniejszą Umową.
- Przetwarzający oświadcza, że nie przekazuje danych do państwa trzeciego lub organizacji międzynarodowej spoza terytorium Europejskiego Obszaru Gospodarczego (dalej: EOG). Przetwarzający oświadcza również, że nie korzysta z podwykonawców, którzy przekazują dane poza EOG.
- Przetwarzający rozumie, że Administrator musi dokonać dodatkowego zatwierdzenia oraz udokumentować, że w przypadku operacji przekazania danych do odbiorcy spoza EOG (art. 44-47 RODO) zostanie zapewniony odpowiedni stopień ochrony danych osobowych w państwie trzecim, do którego przekazywane są dane osobowe – poprzez umowy zapewniające wystarczające gwarancje (standardowe klauzule umowne), decyzje, certyfikaty lub inne zatwierdzone oficjalnie przez UE mechanizmy przekazywania danych, chyba że istnieje inna podstawa prawna w zakresie przekazywania danych.
- Jeżeli Przetwarzający ma zamiar lub obowiązek przekazywać dane poza EOG, informuje o tym Administratora w celu umożliwienia Administratorowi podjęcia decyzji i działań niezbędnych do zapewnienia zgodności przetwarzania z prawem lub zakończenia powierzenia przetwarzania.
- Przetwarzający zapewnia ochronę danych i podejmuje środki ochrony danych, o których mowa w art. 32 RODO, zgodnie z dalszymi postanowieniami Umowy.
- Przetwarzający zobowiązuje się wobec Administratora do współdziałania w zakresie wykonywania praw określonych w rozdziale III RODO (tzw. „prawa jednostki”), w szczególności Przetwarzający oświadcza, że zapewnia obsługę praw jednostki w odniesieniu do powierzonych danych w ramach czego zobowiązuje się do niezwłocznego odpowiadania na żądanie osoby, której dane dotyczą.
- Przetwarzający współpracuje z Administratorem przy wykonywaniu przez Administratora obowiązków z obszaru ochrony danych osobowych, o których mowa w art. 32-36 RODO (ochrona danych, zgłaszanie naruszeń organowi nadzorczemu, zawiadamianie osób dotkniętych naruszeniem ochrony danych, ocena skutków dla ochrony danych i uprzednie konsultacje z organem nadzorczym).
- Jeżeli Przetwarzający poweźmie wątpliwości co do zgodności z prawem wydanych przez Administratora poleceń lub instrukcji, Przetwarzający natychmiast informuje Administratora o stwierdzonej wątpliwości (w sposób udokumentowany z uzasadnieniem), pod rygorem utraty możliwości dochodzenia roszczeń przeciwko Administratorowi z tego tytułu.
- Planując dokonanie zmian w sposobie przetwarzania danych, Przetwarzający ma obowiązek zastosować się do wymogu projektowania prywatności, o którym mowa w art. 25 ust. 1 RODO i ma obowiązek z wyprzedzeniem informować Administratora o planowanych zmianach w taki sposób i w takich terminach aby zapewnić Administratorowi realną możliwość reagowania, jeżeli planowane przez Przetwarzającego zmiany w opinii Administratora grożą uzgodnionemu poziomowi bezpieczeństwa danych lub zwiększają ryzyko naruszenia praw lub wolności osób, wskutek przetwarzania danych przez Przetwarzającego.
- Przetwarzający zobowiązuje się do ograniczenia dostępu do danych wyłącznie do osób, których dostęp do danych jest potrzebny do realizacji Umowy i posiadających odpowiednie upoważnienie.
- Przetwarzający zobowiązuje się do prowadzenia dokumentacji opisującej sposób przetwarzania danych, w tym rejestru kategorii czynności przetwarzania danych osobowych (wymóg art. 30 RODO). Przetwarzający udostępnia na żądanie Administratora prowadzony rejestr czynności przetwarzania danych Przetwarzającego, z wyłączeniem informacji stanowiących tajemnicę handlową innych klientów Przetwarzającego.
- Jeżeli Przetwarzający wykorzystuje w celu realizacji Umowy zautomatyzowane przetwarzanie, w tym profilowanie, o którym mowa w art. 22 ust. 1 i 4 RODO, Przetwarzający informuje o tym Administratora w celu i w zakresie niezbędnym do wykonania przez Administratora obowiązku informacyjnego.
- Przetwarzający ma obowiązek zapewnić osobom upoważnionym do przetwarzania danych odpowiednie szkolenie z zakresu ochrony danych osobowych.
§9
Podpowierzenie
- Przetwarzający może powierzyć konkretne operacje przetwarzania Danych (dalej: „podpowierzenie”) w drodze pisemnej umowy podpowierzenia (dalej zwana: „Umową podpowierzenia”) innym podmiotom przetwarzającym (dalej zwanym: „Podprzetwarzającymi”).
- Dokonując podpowierzenia, Przetwarzający ma obowiązek zobowiązać Podprzetwarzającego do realizacji wszystkich obowiązków Przetwarzającego wynikających z niniejszej Umowy powierzenia, z wyjątkiem tych, które nie mają zastosowania ze względu na naturę konkretnego podpowierzenia.
- Przetwarzający nie ma prawa przekazać Podprzetwarzającemu całości wykonania Umowy.
§10
Bezpieczeństwo danych
- Przetwarzający zapewnia i zobowiązuje się, że:
– dokonał oceny przydatności pseudominizacji i szyfrowania stosuje te techniki w takim zakresie, w jakim są potrzebne do zapewnienia poziomu bezpieczeństwa danych odpowiedniego do ustalonego ryzyka naruszenia praw lub wolności osób, przy ich przetwarzaniu;
– posiada zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności swoich systemów usług przetwarzania;
– posiada zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;
– regularnie testuje, mierzy i ocenia skuteczność stosowanych środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.
§11
Powiadomienie o naruszeniach danych osobowych
- Przetwarzający powiadamia Administratora o każdym podejrzeniu naruszenia ochrony danych nie później niż w 24 godziny od pierwszego zgłoszenia, umożliwia Administratorowi uczestnictwo w czynnościach wyjaśniających i informuje Administratora o ustaleniach z chwilą ich dokonania, w szczególności o stwierdzeniu naruszenia lub jego braku.
- Przetwarzający przesyła powiadomienie o stwierdzeniu naruszenia wraz z wszelką niezbędną dokumentacją dotyczącą naruszenia, aby umożliwić Administratorowi spełnienie obowiązku powiadomienia organu nadzoru.
- Przetwarzający zobowiązuje się do niezwłocznego poinformowania Administratora o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania przez Przetwarzającego lub Podprzetwarzającego, powierzonych przez Administratora danych, w tym o jakiejkolwiek decyzji administracyjnej lub orzeczeniu sądowym dotyczącym przetwarzania tych danych, które zostały skierowane, wydane w stosunku do Przetwarzającego lub Podprzetwarzającego, a także o wszelkich planowanych, o ile są wiadome, lub realizowanych kontrolach i postępowaniach dotyczących przetwarzania danych przez Przetwarzającego lub Podprzetwarzającego, w szczególności prowadzonych przez Urząd Ochrony Danych Osobowych.
§12
Nadzór
- Administrator kontroluje sposób przetwarzania powierzonych danych po uprzednim poinformowaniu Przetwarzającego o planowanej kontroli. Administrator lub wyznaczone przez niego osoby są uprawnione do wstępu do pomieszczeń, w których przetwarzane są dane oraz wglądu do dokumentacji związanej z przetwarzaniem danych. Administrator uprawniony jest do żądania od Przetwarzającego udzielania informacji dotyczących przebiegu przetwarzania danych oraz udostępnienia rejestrów przetwarzania (z zastrzeżeniem tajemnicy handlowej Przetwarzającego).
- Przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania zgodności działania Administratora z przepisami RODO.
- Przetwarzający umożliwia Administratorowi lub upoważnionemu audytorowi przeprowadzenie audytów lub inspekcji. Przetwarzający zobowiązuje się współpracować w zakresie realizacji audytów lub inspekcji.
§13
Oświadczenia stron
- Administrator oświadcza, że jest Administratorem danych w rozumieniu art. 4 pkt 7 RODO oraz że jest uprawniony do ich przetwarzania w zakresie, w jakim powierzył je Przetwarzającemu.
- Przetwarzający oświadcza, że jest podmiotem przetwarzającym w rozumieniu art. 4 pkt 8 RODO.
- Przetwarzający zobowiązuje się przetwarzać powierzone mu dane osobowe zgodnie z niniejszą Umową powierzenia, RODO oraz z innymi przepisami powszechnie obowiązującego prawa.
- Każda ze Stron zobowiązuje się do wykonania w imieniu drugiej Strony względem osób przez siebie zatrudnionych lub z którymi współpracuje (niezależnie od podstawy prawnej), których dane osobowe będą ujawniane drugiej Stronie w związku z zawarciem lub wykonywaniem Umowy Podstawowej lub niniejszej Umowy, obowiązku informacyjnego zgodnie z art. 14 RODO.
§14
Odpowiedzialność
- Przetwarzający odpowiada za szkody spowodowane swoim działaniem w związku z niedopełnieniem obowiązków, które RODO nakłada bezpośrednio na Przetwarzającego, lub gdy działał poza zgodnymi z prawem instrukcjami Administratora lub wbrew tym instrukcjom. Przetwarzający odpowiada za szkody spowodowane zastosowaniem lub niezastosowaniem właściwych środków bezpieczeństwa.
- Jeżeli Podprzetwarzający nie wywiąże się ze spoczywających na nim obowiązków ochrony danych, pełna odpowiedzialność wobec Administratora za wypełnienie obowiązków przez Podprzetwarzającego spoczywa na Przetwarzającym.
- Przetwarzający odpowiada za szkody, jakie powstaną u Administratora lub osób i podmiotów trzecich w wyniku niezgodnego z Umową przetwarzania przez Przetwarzającego lub Podprzetwarzającego danych, w szczególności za przypadkowe lub niezgodne z prawem zniszczenie, utratę, modyfikację, nieuprawnione ujawnienie lub dopuszczenie do nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych w ramach realizacji Umowy Podstawowej.
- Przez nienależyte wykonanie Umowy należy w szczególności rozumieć sytuację, gdy organy administracji publicznej odpowiedzialne za nadzór nad przestrzeganiem zasad przetwarzania danych osobowych stwierdzą, że Przetwarzający lub Podprzetwarzający nie respektuje tych zasad.
§14
Postanowienia końcowe
- W sprawach nieuregulowanych Umowa podlega przepisom RODO oraz prawa polskiego.
- Sądem właściwym do rozstrzygnięcia sporów związanych z Umową będzie sąd właściwy miejscowo dla siedziby Administratora.
- Administrator Danych Osobowych zostanie powiadomiony o planowanej zmianie treści Regulaminu poprzez wiadomość e-mail wysłaną na adres e-mail wskazany przez Administratora Danych Osobowych.
- Podmiot Przetwarzający zastrzega sobie prawo do wprowadzania zmian w niniejszej Umowie.
- W przypadku jakichkolwiek sporów wynikłych pomiędzy Stronami odnośnie zawarcia Umowy Powierzenia, Strony w dobrej wierze podejmą negocjacje w celu polubownego rozstrzygnięcia sporu. W razie braku rozwiązania sporu na drodze polubownej Strony oddadzą spór pod rozstrzygnięcie sądowi powszechnemu właściwemu dla siedziby Podmiotu Przetwarzającego.
- W kwestiach nieuregulowanych postanowieniami Umowy zastosowanie mają przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2019 poz. 1781, z późn. zm.), ustawy z dnia 23 kwietnia 1964 r. — Kodeks cywilny (t. j. Dz. U. 2022 poz. 360, z późn. zm.) oraz inne właściwe przepisy prawa.