(Załącznik do Regulaminu świadczenia usług SoulConnect – zawierana w związku z korzystaniem przez Klienta z usługi, która wiąże się z powierzeniem Usługodawcy danych osobowych do przetwarzania w imieniu Klienta, zgodnie z art. 28 RODO)
Zawarta w dniu [data] pomiędzy:
Administratorem (Klientem) – [nazwa Klienta, adres, NIP/KRS], reprezentowanym przez [osoba, stanowisko], zwanym dalej „Administratorem” (lub „Klientem”),
a
Podmiotem przetwarzającym (Procesorem) – UNIVERSY sp. z o.o. z siedzibą w Dąbcze przy ul. Cisowa 1, 64-130 Dąbcze, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy Poznań – Nowe Miasto, IX Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS 0000940282, NIP 6972384698, REGON 520717942 o kapitale zakładowym w wysokości 6.000 zł , zwanym dalej „Procesorem” (lub „Usługodawcą”) reprezentowanym przez Krzysztofa Kurzawskiego – Członka Zarządu uprawnionego do samodzielnej reprezentacji Usługodawcy.
Łącznie zwani „Stronami”. Strony stwierdzają, że łączy je Umowa Główna (Regulamin świadczenia usług SoulConnect zaakceptowany przez Klienta w dniu [data] / umowa o świadczenie usług z dnia [data]), na mocy której Procesor świadczy na rzecz Administratora usługę dostępu do systemu SoulConnect. W związku z wykonaniem Umowy Głównej, Administrator powierza Procesorowi do przetwarzania dane osobowe, w zakresie i celu określonym poniżej, a Procesor zobowiązuje się je przetwarzać z zachowaniem wymogów RODO. Zawarcie niniejszej Umowy spełnia wymóg pisemnego upoważnienia do przetwarzania danych na mocy art. 28 RODO.
§1. Przedmiot i czas trwania powierzenia
Przedmiot przetwarzania: Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie niezbędnym do realizacji usługi SoulConnect, zgodnie z Umową Główną. Powierzenie obejmuje wszelkie operacje na danych osobowych wykonywane w ramach świadczenia usługi (hosting danych w systemie, przechowywanie, umożliwienie operacji na danych przez system, tworzenie kopii zapasowych, ich usuwanie itp.).
Charakter i cel przetwarzania: Procesor będzie przetwarzał powierzone dane wyłącznie w celu wykonania usług określonych w Umowie Głównej, tj. udostępnienia i utrzymania systemu SoulConnect dla Administratora oraz zapewnienia jego prawidłowego działania, bezpieczeństwa i wsparcia technicznego. Charakter przetwarzania ma głównie formę przechowywania danych w systemie informatycznym oraz udostępniania ich na żądanie Administratora (poprzez funkcje systemu). Procesor nie będzie wykorzystywał tych danych do żadnych własnych celów, w szczególności nie będzie ich profilował ani udostępniał innym podmiotom, chyba że na polecenie Administratora lub gdy obowiązek taki wynika z przepisów prawa.
Czas trwania: Niniejsza Umowa powierzenia zostaje zawarta na czas obowiązywania Umowy Głównej. Obowiązuje od dnia zawarcia i trwa przez cały okres korzystania przez Administratora z Usług SoulConnect, nie dłużej jednak niż do całkowitego usunięcia powierzonych danych przez Procesora. W przypadku rozwiązania lub wygaśnięcia Umowy Głównej, niniejsza Umowa powierzenia ulega automatycznemu rozwiązaniu z chwilą wykonania czynności, o których mowa w §5 ust. 2 (usunięcie lub zwrot danych). Strony dopuszczają możliwość wcześniejszego wypowiedzenia Umowy powierzenia przez każdą ze Stron z ważnych powodów, z zachowaniem [30] dniowego okresu wypowiedzenia, przy czym wypowiedzenie tej Umowy przez Administratora jest równoznaczne z wypowiedzeniem Umowy Głównej (dalsze świadczenie usług bez powierzenia danych nie jest możliwe).
§2. Rodzaj powierzanych danych i kategorie osób
Zakres danych: Administrator powierza Procesorowi do przetwarzania dane osobowe, które będą wprowadzane do systemu SoulConnect przez Administratora lub jego użytkowników w toku korzystania z usługi. Zakres tych danych zależy od sposobu używania systemu przez Administratora i może obejmować m.in.:
Dane klientów końcowych Administratora (kontrahentów, klientów jego usług) – np. imię, nazwisko, adres e-mail, nr telefonu, stanowisko, miejsce pracy, inne dane kontaktowe lub identyfikacyjne; informacje dotyczące relacji z tymi osobami (np. historia kontaktów, zamówienia, notatki).
Dane użytkowników upoważnionych przez Administratora do korzystania z systemu – imię, nazwisko, służbowe dane kontaktowe (e-mail, telefon), ewentualnie stanowisko, identyfikator użytkownika w systemie itp.
Inne dane wprowadzone do systemu w ramach jego funkcjonalności, mogące zawierać informacje o osobach fizycznych (np. załączone dokumenty, notatki, kalendarz spotkań zawierający dane osobowe).
Uwaga: System SoulConnect nie jest przewidziany do przetwarzania szczególnych kategorii danych osobowych (tzw. danych wrażliwych w rozumieniu art. 9 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46WE (Ogólne rozporządzenie o ochronie danych osobowych – „RODO”), jak np. dane o zdrowiu, poglądach politycznych, danych biometrycznych itp.) ani danych osobowych dotyczących wyroków i naruszeń prawa (art. 10 RODO). Administrator zobowiązuje się nie wprowadzać do systemu takich danych bez uprzedniej konsultacji z Procesorem (który musiałby zapewnić dodatkowe środki zabezpieczenia).
Kategorie osób, których dane dotyczą: Powierzone dane dotyczą następujących kategorii osób fizycznych: klienci lub kontrahenci Administratora (osoby, z którymi Administrator utrzymuje relacje biznesowe, obsługiwane z pomocą systemu) oraz personel Administratora (pracownicy, współpracownicy korzystający z SoulConnect) lub ewentualnie inne osoby, których dane Administrator zdecyduje się przetwarzać w systemie (np. potencjalni klienci, leady marketingowe). Administrator oświadcza, że jest administratorem tych danych i ma podstawę prawną do ich przetwarzania oraz powierzenia Procesorowi.
§3. Obowiązki i uprawnienia Procesora
Procesor zobowiązuje się do przetwarzania powierzonych danych wyłącznie na udokumentowane polecenie Administratora oraz z zachowaniem wymogów RODO. W szczególności Procesor zobowiązuje się do:
Działanie na polecenie: Przetwarzania danych wyłącznie w zakresie i celu opisanym w §1 ust. 1–2 powyżej oraz zgodnie z dokumentowanymi poleceniami Administratora. Polecenia podstawowe wynikają z Umowy Głównej oraz niniejszej Umowy powierzenia (np. uruchomienie usługi i ciągłe utrzymanie danych). Dodatkowe instrukcje Administratora (np. prośba o eksport danych, poprawienie lub usunięcie określonych danych) powinny być przekazywane w formie pisemnej lub elektronicznej; Procesor zobowiązuje się je realizować, o ile są zgodne z prawem. Procesor nie będzie wykorzystywał ani ujawniał danych w innym zakresie niż wynika to z poleceń Administratora lub z przepisów prawa.
Zapewnienie poufności personelu: Dopilnowania, by osoby upoważnione do przetwarzania danych w imieniu Procesora (pracownicy, współpracownicy) zachowały je w poufności i przestrzegały tajemnicy – zarówno na mocy przepisów prawa, jak i odpowiednich umów o poufności. Procesor zapewnia, że do danych mają dostęp wyłącznie osoby, dla których jest to niezbędne do wykonania obowiązków, i które zostały przeszkolone z zasad ochrony danych.
Środki bezpieczeństwa: Stosowania odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Procesor oświadcza, że wdrożył środki bezpieczeństwa odpowiadające ryzyku naruszenia praw lub wolności osób fizycznych w związku z przetwarzaniem powierzonych danych, w szczególności środki wymienione w §10 Regulaminu (np. szyfrowanie transmisji, zabezpieczenia fizyczne i logiczne serwerów, systemy backupów, kontrola dostępu). Na żądanie Administratora, Procesor udostępni ogólny opis stosowanych środków bezpieczeństwa.
Pomoc Administratorowi: W miarę możliwości i adekwatnie do charakteru przetwarzania, wspierania Administratora w wywiązywaniu się z jego obowiązków przewidzianych w art. 32–36 RODO. Dotyczy to zwłaszcza:
Realizacji praw osób – jeżeli osoba, której dane dotyczą, zgłosi do Procesora żądanie dotyczące swoich praw (dostępu, sprostowania, usunięcia, ograniczenia, przeniesienia, sprzeciwu itp.), Procesor niezwłocznie przekazuje żądanie Administratorowi. Procesor, w zakresie, w jakim to do niego należy (np. techniczne ułatwienie dostępu do danych), pomoże Administratorowi w realizacji takich żądań.
Zabezpieczenia danych – Procesor informuje Administratora o stwierdzeniu naruszenia ochrony danych osobowych (incydentu bezpieczeństwa) bez zbędnej zwłoki od jego wykrycia. Informacja powinna opisywać charakter naruszenia, znane lub potencjalne konsekwencje oraz środki podjęte w celu zaradzenia naruszeniu. Administrator decyduje o ewentualnym zawiadomieniu organu nadzorczego (PUODO) i osób, których dane dotyczą, chyba że prawo nakłada ten obowiązek bezpośrednio na Procesora. Procesor współpracuje z Administratorem przy ustalaniu okoliczności naruszenia i wdrażaniu środków zaradczych.
Oceny i konsultacje – jeżeli Administrator będzie zobowiązany przeprowadzić ocenę skutków dla ochrony danych (DPIA) lub konsultacje z organem nadzorczym (PUODO) w związku z korzystaniem z usługi SoulConnect, Procesor w uzasadnionym zakresie dostarczy mu potrzebnych informacji o rozwiązaniach technicznych i organizacyjnych, aby umożliwić spełnienie tych obowiązków.
Podpowierzenie (subprocesorzy): Procesor ma prawo korzystać z usług podmiotów trzecich przy przetwarzaniu danych (subprocesorów) wyłącznie za zgodą Administratora. Niniejsza Umowa stanowi ogólną zgodę Administratora na podpowierzanie danych przez Procesora w celu realizacji usługi – np. firmie hostingowej, podwykonawcy utrzymującemu infrastrukturę IT, serwisom wysyłki maili transakcyjnych – pod warunkiem, że każdy taki subprocesor spełnia wymogi art. 28 ust. 2-4 RODO. Procesor odpowiada przed Administratorem za działania każdego podprocesora jak za własne. Aktualna lista zatwierdzonych subprocesorów (np. nazwa dostawcy centrum danych) może być wyszczególniona w załączniku do niniejszej Umowy lub dostępna na stronie Usługodawcy. Procesor zobowiązuje się informować Administratora o wszelkich planowanych zmianach dotyczących dodania lub zmiany podprocesorów – dając tym samym Administratorowi możliwość wyrażenia sprzeciwu. W przypadku sprzeciwu co do nowego podprocesora, Strony podejmą negocjacje w celu znalezienia rozwiązania (np. świadczenie usługi bez udziału tego podmiotu); jeżeli nie będzie to możliwe, Administrator ma prawo rozwiązać umowę.
Dostęp do informacji i audyt: Procesor udostępni Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwi (i przyczyni się do) przeprowadzania audytów, w tym inspekcji, przez Administratora lub upoważnionego audytora. Audyty/inspekcje muszą być uzgadniane z co najmniej [14]-dniowym wyprzedzeniem, przeprowadzane w dni robocze w godzinach pracy Procesora i nie mogą nadmiernie zakłócać działalności Procesora. Zakres audytu może obejmować tylko aspekty dotyczące powierzonego przetwarzania. Osoby przeprowadzające audyt muszą zobowiązać się do zachowania poufności. Procesor jest uprawniony do odmowy ujawnienia informacji stanowiących tajemnicę przedsiębiorstwa lub objętych obowiązkiem prawnym zachowania poufności, jednak w zamian dostarczy niezależne potwierdzenie (np. certyfikaty, raporty z audytów zewnętrznych) zapewniające Administratora o spełnianiu wymogów. Koszty audytu ponosi Administrator, chyba że co innego uzgodniono w Umowie Głównej.
§4. Obowiązki Administratora
Legalność danych: Administrator oświadcza, że dysponuje odpowiednią podstawą prawną do przetwarzania danych osobowych powierzanych Procesorowi i spełnił wobec osób, których dane dotyczą, obowiązek informacyjny, o którym mowa w art. 13 lub 14 RODO (m.in. poinformował o możliwości powierzenia ich danych Procesorowi). Administrator ponosi odpowiedzialność za treść i zakres danych, które wprowadza do systemu – że są one adekwatne, niezbędne do celów przetwarzania oraz pozyskane w sposób zgodny z prawem.
Instrukcje i współpraca: Administrator zobowiązany jest instruować Procesora co do szczegółowego zakresu przetwarzania, jeżeli wykracza on poza czynności oczywiste w ramach usługi. Administrator współdziała z Procesorem w zakresie koniecznym do prawidłowego wykonania niniejszej Umowy – w szczególności przekazuje niezbędne informacje o danych i okolicznościach ich przetwarzania, niezwłocznie informuje o dostrzeżonych naruszeniach lub zagrożeniach, a także realizuje we własnym zakresie obowiązki administratora danych określone w RODO (np. odpowiada na żądania osób, dokonuje ewentualnych zgłoszeń naruszeń organowi).
Nadzór nad przetwarzaniem: Administrator ma prawo kontrolować zgodność działań Procesora z niniejszą Umową w zakresie określonym w §3 (prawo audytu). W razie stwierdzenia uchybień lub naruszeń, Administrator może wydawać zalecenia co do poprawy, a Procesor zobowiązuje się je uwzględnić lub uzasadnić odmowę.
Zakaz dalszego powierzenia bez upoważnienia: Administrator nie będzie wydawał Procesorowi poleceń, które skutkowałyby naruszeniem RODO lub innych przepisów o ochronie danych. W razie uznania, że instrukcja Administratora narusza przepisy, Procesor poinformuje o tym Administratora i ma prawo wstrzymać wykonanie takiej instrukcji do czasu jej potwierdzenia bądź zmiany.
§5. Zakończenie przetwarzania danych
Okres przetwarzania: Procesor jest uprawniony do przetwarzania powierzonych danych przez okres obowiązywania Umowy Głównej. Po zakończeniu świadczenia usług (rozwiązaniu, wygaśnięciu umowy między Stronami) dalsze przechowywanie danych przez Procesora jest dopuszczalne wyłącznie w zakresie, w jakim jest to wymagane przez prawo lub niniejszą Umowę.
Usunięcie lub zwrot danych: Po zakończeniu świadczenia usług związanych z przetwarzaniem, Procesor – wedle wyboru Administratora wyrażonego najpóźniej w dniu zakończenia umowy – zwróci Administratorowi wszelkie powierzone dane osobowe (w ustrukturyzowanej formie, np. eksport bazy) oraz usunie wszelkie ich kopie ze swoich systemów.. Jeżeli Administrator nie zgłosi żądania zwrotu danych, domniemywa się, że poleca on trwałe usunięcie danych przez Procesora. Usunięcie danych (w tym kopii zapasowych) nastąpi nie później niż w ciągu [30] dni od zakończenia umowy, chyba że przepisy prawa UE lub prawa polskiego nakazują dłuższe przechowywanie tych danych.. Procesor na żądanie przedstawi Administratorowi protokół potwierdzający usunięcie danych.
Zachowanie kopii księgowych: Niezależnie od postanowień ust. 2 powyżej, Procesor może zachować dokumenty i informacje niezbędne do celów podatkowych, rachunkowych lub rozliczeniowych (np. faktury, dowody księgowe zawierające dane osobowe) przez okres wymagany odpowiednimi przepisami prawa – po czym podlegają one archiwizacji lub usunięciu zgodnie z wewnętrznymi procedurami. Takie działanie nie jest uznawane za dalsze przetwarzanie powierzonych danych w celach niniejszej Umowy, lecz wynika z odrębnych obowiązków prawnych Procesora jako administratora danych w tym zakresie.
§6. Odpowiedzialność Stron
Strony ustalają, że w zakresie powierzonych danych osobowych Administrator jest administratorem w rozumieniu art. 4 pkt 7 RODO, a Procesor – podmiotem przetwarzającym w rozumieniu art. 4 pkt 8 RODO. Każda ze Stron ponosi odpowiedzialność za swoją część obowiązków.
Procesor odpowiada za szkody spowodowane przetwarzaniem powierzonych danych wyłącznie w przypadku, gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmiot przetwarzający, lub gdy działał poza zgodnymi z prawem instrukcjami Administratora albo wbrew tym instrukcjom (zgodnie z art. 82 ust. 2 RODO). W pozostałych zakresach pełną odpowiedzialność wobec osób trzecich za zgodność przetwarzania z prawem ponosi Administrator.
W razie wystąpienia osoby, której dane dotyczą, z roszczeniem wobec którejkolwiek ze Stron dotyczącym przetwarzania danych objętych niniejszą Umową, Strony zobowiązują się współdziałać przy rozpatrywaniu takiego roszczenia, wymianie informacji i udzielaniu wyjaśnień. Jeżeli jedna ze Stron będzie zobowiązana do wypłaty odszkodowania lub poniesienia kosztów administracyjnej kary pieniężnej wskutek naruszenia zawinionego przez drugą Stronę, Strona obciążona może dochodzić od drugiej Strony roszczeń regresowych w odpowiednim zakresie.
§7. Postanowienia końcowe
Zakres umowy: Niniejsza Umowa stanowi integralną część umowy głównej o świadczenie usług (Regulaminu). W razie sprzeczności postanowień, postanowienia niniejszej Umowy powierzenia mają pierwszeństwo w zakresie ochrony danych osobowych, zaś w sprawach nią nieuregulowanych obowiązują postanowienia Umowy Głównej oraz przepisy powszechnie obowiązującego prawa.
Zmiany umowy: Zmiana niniejszej Umowy wymaga formy pisemnej (lub elektronicznej) pod rygorem nieważności.
Prawo właściwe i spory: Do niniejszej Umowy stosuje się prawo polskie oraz właściwość jurysdykcyjną sądów zgodnie z postanowieniami Regulaminu (prawo właściwe: Polska; sąd właściwy dla siedziby Usługodawcy, o ile dopuszczalne).
Podpisanie umowy: Niniejsza Umowa może zostać zawarta w formie elektronicznej.