Załącznik nr 12 – Umowa powierzenia przetwarzania danych osobowych
do Umowy na Serwis i Utrzymanie Urządzeń Umowa nr: […..]
WSTĘP
1.1. Na mocy niniejszego Załącznika, stanowiącego odrębną umowę (zwaną dalej „Umową”), Zamawiający powierza Wykonawcy przetwarzanie danych osobowych, na zasadach i warunkach w niej opisanych, w celu realizacji Umowy na serwis i utrzymanie Urządzeń.
UMOWA
POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH
Nr Umowy: […..]
Data zawarcia przy podpisach
zawarta pomiędzy:
[●] z siedzibą w [●] przy [adres], [kod pocztowy][miejscowość], wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS [●], której dokumentacja rejestrowa jest przechowywana przez Sąd Rejonowy dla [●], Wydział [●] Gospodarczy Krajowego Rejestru Sądowego, NIP: [●], REGON: [●], z kapitałem zakładowym w wysokości [●] PLN], zwaną dalej „RWE” lub „Zamawiającym”,
reprezentowaną przez:
1. ___________________________-____________________
2. ___________________________-____________________
oraz
[●] z siedzibą w [●] przy [adres], [kod pocztowy][miejscowość], wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS [●], której dokumentacja rejestrowa jest przechowywana przez Sąd Rejonowy dla [●], Wydział [●] Gospodarczy Krajowego Rejestru Sądowego, NIP: [●], REGON: [●], z kapitałem zakładowym w wysokości [●] PLN], zwaną dalej Wykonawcą,
reprezentowaną przez:
1. ___________________________-____________________
2. ___________________________-____________________
każda z wyżej wymienionych dalej powoływana z osobna jako „Strona” i łącznie jako „Strony”.
1. OŚWIADCZENIA WSTĘPNE
1.1. Strony niniejszym oświadczają, iż:
1.1.1. zawarły w dniu [……..] Umowę na serwis i utrzymanie Urządzeń, na podstawie której Wykonawca świadczył będzie na rzecz Zamawiającego usługi serwisu i utrzymania Urządzeń (dalej „Umowa na serwis i utrzymanie Urządzeń”);
1.1.2. niniejsza Umowa stanowi Załącznik do Umowy na serwis i utrzymanie Urządzeń i jest integralną częścią Umowy na serwis i utrzymanie Urządzeń;
1.1.3. niniejsza Umowa stanowi umowę powierzenia przetwarzania danych osobowych, o której mowa w art. 31 ustawy z dnia 29 sierpnia 2007 r. o ochronie danych osobowych, zwanej dalej „Ustawą”.
1.2. Zamawiający oświadcza i zapewnia, iż:
1.2.1. przetwarza następujące zbiory danych:
[W TRAKCIE KONSTRUOWANIA UMOWY PROSZĘ POZOSTAWIĆ TYLKO TE ZBIORY DANYCH KTÓRE WCHODZĄ W ZAKRES UMOWY, POZOSTAŁE ZBIORY DANYCH PROSZĘ USUNĄĆ]
1.2.1.1. „Klienci, odbiorcy energii” obejmującym następujące dane osobowe: Nazwiska i Imiona, Adres Zamieszkania, Adres korespondencyjny, Numer ewidencji PESEL, Numer Identyfikacji Podatkowej, seria i numer dowodu osobistego, numer telefonu, adres e-mail, Adres punktu poboru energii, dane techniczne o liczniku, odczyty zużycia energii, historia wpłat klienta, Informacja o koncie bankowym klienta, informacja o zakładzie pracy;
1.2.1.2. „Dane Kontaktowe do celów biznesowych” obejmującym następujące dane osobowe:
[Imię, Nazwisko, Adres, Adres E-mail, numer telefonu, numer fax, miejsce pracy, stanowisko, dane bankowe do rozliczeń];
1.2.1.3. „Pracownicy” obejmującym następujące dane osobowe: Przypisanie organizacyjne; Dane osobowe; Niepełnosprawność; Adresy; Planowany czas pracy; Wynagrodzenie podstawowe; Dane banku; Przelewy zewnętrzne; Okresowe płatności/potrącenia;
Dodatkowe płatności; Elementy umowy; Przywileje zw. z podróżami; Dane rodzinne;
Wykształcenie; Inni/poprzedni pracodawcy; Kwalifikacje; Badania lekarskie;
Pełnomocnictwa; Wewnętrzne dane zakładowe; Uprawnienia; Specyfikacja daty;
Pożyczki; Pożyczki – płatności; Służba wojskowa; Szkolenia; Komunikacja; Odznaczenia, nagrody, kary; Dokumenty tożsamości; Płatności dod.-dod. lista płac; Dane podatkowe PL; Ekwiwalenty za limity czasowe; Ubezpieczenie społ. PL; Inne dane ubezp. społ. PL;
Umowy zlecenia i o dzieło PL; Wynagrodzenie roczne PL; Baza danych dla PCP;
Nieobecności; Zastępstwa; Limity nieobecności; Limity obecności; Inform. o wynagr.
Pracownika; Zdarzenia czasowe; Specyfikacje transferu czasu; Korekty limitu; Dane do IKT; Składniki wynagrodz. – składki; Składniki wynagrodz. – podatki; Przełożony pracownika; Oceny 360'; Premia podstawowa; Planowane płatności/potrącenia; Karta EDENRED.
1.2.2. przetwarza dane osobowe objęte zbiorami danych opisanymi w pkt. 1.2.1. ppkt […] powyżej, jako administrator danych w rozumieniu Ustawy,
1.2.3. przetwarza dane osobowe objęte zbiorem danych opisany w 1.2.1. ppkt […] powyżej, odnośnie części zgromadzonych w nim danych osobowych jako administrator danych, a odnośnie części danych osobowych jako „przetwarzający”, na podstawie umowy o powierzenie danych osobowych zawartymi z […],
1.2.4. w przypadku danych osobowych objętych zbiorem […], odnośnie których nie jest administratorem danych, jest uprawniony do dalszego powierzenia przetwarzania przedmiotowych danych osobowych Zamawiającego na zasadach określonych w niniejszej Umowie,
1.2.5. przetwarzanie przez Wykonawcę danych osobowych, objętych powyżej opisanymi zbiorami danych jest przydatne do realizacji przez Wykonawcę Umowy na serwis i utrzymanie Urządzeń,
1.2.6. przetwarza dane osobowe objęte powyżej opisanymi zbiorami danych w sposób zgodny z prawem,
1.2.7. jest uprawniony do powierzenia Wykonawcy do przetwarzania danych osobowych na podstawie niniejszej Umowy, a przetwarzanie przez Wykonawcę danych osobowych powierzonych mu do przetwarzania na podstawie niniejszej Umowy, w sposób zgodny z Umową nie będzie prowadzić do naruszenia praw osób trzecich, w szczególności praw osób, których dane dotyczą.
2. POWIERZENIE PRZETWARZANIA DANYCH OSOBOWYCH
2.1. Na warunkach określonych w niniejszej Umowie, Zamawiający powierza Wykonawcy przetwarzanie danych osobowych, w zakresie opisanym w pkt. 2.2 poniżej oraz w celach opisanych pkt. 2.3 poniżej.
2.2. Wykonawca będzie przetwarzał dane osobowe wskazane w pkt. 1 ppkt 1.2.1. Wykonawca będzie uprawniony do wykonywania wyłącznie następujących operacji na powierzonych danych osobowych:
zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie.
2.3. Wykonawca będzie przetwarzał powierzone mu dane osobowe wyłącznie w celu wykonania Umowy na serwis i utrzymanie Urządzeń. Przetwarzanie przez Wykonawcę powierzonych danych osobowych w innych celach niż wskazane powyżej, nie jest dopuszczalne na gruncie niniejszej Umowy.
2.4. Wykonawca może przetwarzać dane osobowe powierzone mu do przetwarzania przez Zamawiającego wyłącznie w celu i zakresie określonym w niniejszej Umowie.
2.5. Wykonawca zobowiązany jest do przetwarzania powierzonych mu do przetwarzania danych osobowych w sposób zgodny z przepisami prawa. Wykonawca oświadcza, że jest świadom, że w zakresie zapewnienia środków zabezpieczających przetwarzane dane, ponosi taką samą odpowiedzialność, jaką ustawa nakłada na Administratora Danych.
2.6. Wykonawca może przetwarzać dane osobowe zarówno w postaci elektronicznej, jak również w innej postaci, w szczególności druku.
2.7. Wykonawca zobowiązany jest do wykonywania niniejszej Umowy z zachowaniem należytej staranności.
2.8. Wykonawca może powierzyć dalsze przetwarzanie danych osobowych podmiotom trzecim („podwykonawcom”), wyłącznie za uprzednią zgodą Zamawiającego wyrażoną w formie pisemnej.
2.9. Wykonawca, chcąc powierzyć dalsze przetwarzanie danych, zobowiązany jest do przekazania Zamawiającemu [mailowo/telefonicznie], informacji o pełnej nazwie i siedzibie podwykonawcy oraz celu i zakresie dalszego powierzenia oraz okresie na jaki zamierza powierzyć dalsze przetwarzanie danych podwykonawcy.
2.10. W przypadku dalszego powierzenia przetwarzania danych osobowych (tj. skorzystania z podwykonawcy), Wykonawca zobowiązany jest do zapewniania, iż:
umowie zawartej przez podwykonawcę z Wykonawcą, przy czym cel i zakres przetwarzania nie będzie szerszy niż wynikający z niniejszej Umowy,
2.10.2. podwykonawca będzie zobowiązany do zachowania wszelkich wymagań oraz warunków przetwarzania danych osobowych wynikających z niniejszej Umowy, w tym pkt 3 Umowy oraz przepisów prawa, w tym Ustawy,
2.10.3. podwykonawca umożliwi Wykonawcy i bezpośrednio Zamawiającemu dokonanie pełnej kontroli warunków przetwarzania danych osobowych przez podwykonawcę, w szczególności przeprowadzenia audytu przetwarzania danych osobowych na zasadach analogicznych do opisanych w pkt 5 Umowy,
2.10.4. na każde żądanie Zamawiającego, skierowane do Wykonawcy lub bezpośrednio do podwykonawcy, podwykonawca zaprzestanie przetwarzania danych osobowych i według wyboru Zamawiającego zwróci je Wykonawcy lub trwale usunie,
2.10.5. podwykonawca zachowa w poufności treść powierzonych mu do przetwarzania danych osobowych.
3. ZASADY PRZETWARZANIA DANYCH OSOBOWYCH
3.1. Przy przetwarzaniu danych osobowych Wykonawca zobowiązany jest do przestrzegania przepisów prawa, w tym Ustawy oraz Rozporządzenia MSWiA z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych oraz postanowień Umowy. W szczególności Wykonawca zobowiązany jest:
3.1.1. zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem Ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem;
3.1.2. prowadzić dokumentację opisującą sposób przetwarzania danych osobowych oraz środki, o których mowa w pkt 3.1.1 powyżej;
3.1.3. dopuścić do przetwarzania danych wyłącznie osoby posiadające upoważnienie do przetwarzania danych osobowych.
3.2. Wykonawca zobowiązuje się w szczególności stosować przy przetwarzaniu danych osobowych środki przewidziane w art. 36-39 Ustawy o ochronie danych osobowych.
3.3. Wykonawca oświadcza, że dysponuje środkami umożliwiającymi prawidłowe przetwarzanie i zabezpieczenie danych osobowych, a jego system informatyczny odpowiada wymaganiom określonym Ustawie lub/i w Rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004r.
w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.
3.4. Wykonawca zobowiązany jest do pisemnego upoważniania swoich pracowników i współpracowników, którzy mają uczestniczyć w przetwarzaniu powierzonych danych osobowych, do przetwarzania tych danych, w zakresie adekwatnym do ich roli oraz do prowadzenia ewidencji tych osób.
3.5. Strony postanawiają, iż na każde żądanie Zamawiającego, Wykonawca zobowiązany jest do udostępnienia Zamawiającemu aktualnej listy (ewidencji) osób upoważnionych przez Wykonawcę do przetwarzania danych osobowych powierzonych mu do przetwarzania na podstawie Umowy.
3.6. Dla systemów przetwarzających dane osobowe, Wykonawca na każde żądanie Zamawiającego jest zobowiązany udostępniać Zamawiającemu listę użytkowników systemu informatycznego, zawierającą następujące informacje:
Imię i Nazwisko
Login/identyfikator
Zakres nadanych uprawnień
Datę nadania uprawnień
Datę odebrania uprawnień
Pełną nazwę firmy, w której użytkownik jest zatrudniony.
3.7. Wykonawca zobowiązany jest do wdrożenia adekwatnych środków organizacyjnych i technicznych w celu zapewnienia, aby osoby upoważnione do przetwarzania danych osobowych zachowały w tajemnicy treść przetwarzanych danych osobowych oraz sposoby ich zabezpieczenia.
3.8. Wykonawca zobowiązany jest do zapewnienia zgodności sposobu przetwarzania powierzonych danych osobowych z regulacjami ochrony danych osobowych obowiązującymi w Polsce, w tym w szczególności z Ustawą i aktami wykonawczymi do Ustawy. Wykonawca zobowiązany jest monitorować i na bieżąco uwzględniać zmiany legislacyjne, mające wpływ na wymagania prawne w zakresie przetwarzania danych osobowych, w szczególności w zakresie zabezpieczenia przetwarzanych danych osobowych. W przypadku wprowadzenia zmian w sposobie przetwarzania danych osobowych, wynikających ze zmian prawa, Wykonawca zobowiązany jest poinformować Zamawiającego o zakresie i podstawie prawnej wprowadzenia zmian w terminie 5 dni roboczych od daty dokonania zmiany.
3.9. W przypadku dalszego powierzenia przetwarzania danych osobowych przez Wykonawcę innemu podmiotowi (tj. podwykonawcy), postanowienia powyższe znajdują odpowiednie zastosowanie również odnośnie takiego podwykonawcy. W zawartej przez Wykonawcę z podwykonawcą umowie o powierzenie przetwarzania danych osobowych, Wykonawca zobowiązany będzie do zapewnienia realizacji przez danego podwykonawcę obowiązków wynikających z postanowień niniejszej Umowy. W szczególności w przypadku dopuszczenie personelu podwykonawcy do przetwarzania danych osobowych Wykonawca zobowiązany będzie do żądanie Zamawiającego do przekazania listy osób upoważnionych do przetwarzania danych osobowych (lista upoważnionych osób z personelu podwykonawcy).
4. WSPARCIE KONTROLI GIODO
4.1. Wykonawca zobowiązuje się do wspierania Zamawiającego podczas kontroli GIODO u Zamawiającego.
Wykonawca w szczególności dostarcza pisemnych wyjaśnień, dokumentów, zapisów dotyczących przetwarzania powierzonych danych osobowych w terminie 3 dni od skierowania przez Zamawiającego zapytania (urzędowy czas na odpowiedź Zamawiającego do GIODO wynosi 7 dni).
4.2. Wykonawca zapewnia właściwą współpracę podczas kontroli Administratora Danych poprzez:
4.2.1. udostępnianie dokumentów i zapisów;
4.2.2. umożliwianie wglądu w informacje przechowywane w systemach informatycznych;
4.2.3. umożliwianie dokonywania przeglądów stanu systemów służących przetwarzaniu oraz ich zabezpieczeń;
4.2.4. umożliwianie przeprowadzania testów zabezpieczeń.
4.3. W przypadku naruszenia zasad ochrony danych osobowych przez pracownika lub współpracownika Wykonawcy, Wykonawca sporządza i przekazuje Zamawiającemu, w ciągu 10 dni roboczych od daty zaistnienia zdarzenia, raport o przyczynach, przebiegu i wnioskach dla Zarządu Zamawiającego.
4.4. Wykonawca zobowiązany jest do umożliwienia przeprowadzenia przez właściwy organ administracji (GIODO) kontroli zgodności przetwarzania danych osobowych z przepisami prawa na zasadach opisanych w Ustawie.
4.5. W przypadku rozpoczęcia kontroli GIODO u Wykonawcy, lub w przypadku uzyskania przez Wykonawcę informacji o planowanej kontroli GIODO u Wykonawcy, Wykonawca niezwłocznie poinformuje Zamawiającego o tym fakcie [mailowo / telefonicznie] oraz umożliwi przedstawicielowi Zamawiającego udział w czynnościach kontrolnych w zakresie, w jakim te czynności dotyczą powierzonych danych osobowych.
4.6. W przypadku kontroli GIODO u Wykonawcy, Wykonawca jest zobowiązany do złożenia do protokołu kontroli oświadczenia o objęciu postępowania, w szczególności w zakresie danych Zamawiającego będących przedmiotem powierzenia, tajemnicą przedsiębiorstwa.
5. PRZEKAZYWANIE INFORMACJI, AUDYT
5.1. Wykonawca zobowiązany jest na żądanie Zamawiającego poddać się kontroli (audytowi) realizacji przez Wykonawcę wynikających z przepisów prawa lub Ustawy obowiązków i zasad dotyczących przetwarzania danych osobowych, powierzonych mu do przetwarzania na podstawie niniejszej Umowy.
5.2. Wykonawca zobowiązany jest do współpracy w dobrej wierze z Zamawiającym w celu umożliwienia przeprowadzenia kontroli (audytu) Wykonawcy, a w szczególności Wykonawca zobowiązany jest do udostępniania wszelkiej dokumentacji opisującej sposób przetwarzania danych osobowych - powierzonych mu do przetwarzania na podstawie niniejszej Umowy - oraz środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych.
5.3. Zamawiający może przeprowadzić kontrolę (audyt) przetwarzania danych osobowych przez Wykonawcę wyłącznie po uprzednim poinformowaniu Wykonawcy o zamiarze przeprowadzenia takiej kontroli, zgłoszonym przynajmniej na 3 Dni Robocze przed planowanym terminem kontroli (audytu). Zgłoszenie zamiaru przeprowadzenia kontroli dokonane powinno zostać w formie pisemnej, a obejmować powinno wskazanie z imienia oraz nazwiska osób wykonujących kontrolę w imieniu Zamawiającego.
Zamawiający zobowiązany jest do dołączenia do powiadomienia, o którym mowa powyżej, oświadczeń osób, które mają przeprowadzić kontrolę, o zachowaniu poufności informacji dotyczących przedsiębiorstwa Wykonawcy (w tym w szczególności informacji dotyczących sposobów zabezpieczenia danych osobowych, zabezpieczeń systemów informatycznych, aplikacji), uzyskanych w związku z przeprowadzaną kontrolą.
5.4. W celu uniknięcia wątpliwości Strony przyjmują, iż prowadzona przez Zamawiającego kontrola (audyt) opisana w niniejszym punkcie Umowy, dotyczyć może wyłącznie danych osobowych powierzonych Wykonawcy przez Zamawiającego do przetwarzania na podstawie niniejszej Umowy.
6. WYNAGRODZENIE
6.1. Mając na uwadze, iż Umowa zawarta została w związku z realizacją przez Strony Umowy na serwis i utrzymanie Urządzeń, Strony potwierdzają, iż kalkulacja Wynagrodzenia należnego Wykonawcy z tytułu realizacji Umowy na serwis i utrzymanie Urządzeń została dokonana przy uwzględnieniu zobowiązań Wykonawcy wynikających z niniejszej Umowy.
7. ODPOWIEDZIALNOŚĆ
7.1. W celu uniknięcia wątpliwości Strony postanawiają, iż mając na uwadze, iż niniejsza Umowa stanowi Załącznik do Umowy na serwis i utrzymanie Urządzeń (tj. integralną cześć Umowy na serwis i utrzymanie Urządzeń), przewidziane w Umowie na serwis i utrzymanie Urządzeń ograniczenie odpowiedzialności Wykonawcy dotyczy również niniejszej Umowy, w tym szkód wyrządzonych poprzez niewykonanie lub nienależyte wykonanie niniejszej Umowy.
8. OKRES OBOWIĄZYWANIA UMOWY I WYPOWIEDZENIE
8.1. Niniejsza Umowa, stanowiąca Załącznik do Umowy na serwis i utrzymanie Urządzeń, obowiązuje na zasadach określonych w Umowie na serwis i utrzymanie Urządzeń (tj. przez okres obowiązywania Umowy na serwis i utrzymanie Urządzeń), a z chwilą wygaśnięcia Umowy na serwis i utrzymanie Urządzeń wygasa również niniejsza Umowa.
8.2. Po rozwiązaniu Umowy Wykonawca zobowiązany jest (i) przez okres co najmniej 1 roku zachować dowody (dokumentację i zapisy) stosowania środków zabezpieczających zbiory danych, oraz (ii) przez okres co najmniej 5 lat zachować w poufności wszelkie informacje o przetwarzanych danych osobowych.
9. ZWROT/USUNIECIE DANYCH OSOBOWYCH
9.1. Wykonawca zobowiązany jest na każde żądanie Zamawiającego do natychmiastowego zwrotu (jeżeli techniczne będzie to możliwe) lub trwałego usunięcia określonych powierzonych mu do przetwarzania danych osobowych (w tym określonych materiałów, kartotek, akt, plików komputerowych itp.).
9.2. Każdorazowo zwrot lub/i usunięcie danych osobowych potwierdzone zostanie protokołem podpisanym przez umocowanych przedstawicieli Stron Umowy.
10. POSTANOWIENIA KOŃCOWE
10.1. W przypadku zmiany przepisów prawa dotyczących zasad przetwarzania danych osobowych, w szczególności w przypadku zmiany lub uchylenia Ustawy lub rozporządzenia opisanego w pkt 3 ppkt 3.1 niniejszej Umowy, Wykonawca zobowiązuje się do dostosowania do zasad wynikających ze zmienionych przepisów i poinformowania Zamawiającego [mailowo / telefonicznie] o zakresie wprowadzonych zmian technicznych i organizacyjnych. W tym celu Wykonawca będzie na bieżąco monitorował zmiany właściwych przepisów.
10.2. Wszelkie zmiany oraz rozwiązanie Umowy wymagają formy pisemnej pod rygorem nieważności.
10.3. Wszelka korespondencja związana z Umową kierowana będzie na adresy do korespondencji wskazane w Umowie na serwis i utrzymanie Urządzeń.
10.4. Strony postanawiają, iż wszelkie spory wynikłe w związku z zawarciem lub wykonaniem Umowy rozstrzygane będą przez sąd określony jako sąd właściwy do rozstrzygania sporów dotyczących Umowy na serwis i utrzymanie Urządzeń.
10.5. Umowa została zawarta w dwóch jednobrzmiących egzemplarzach po jednym dla każdej ze Stron Umowy.
10.6. W sprawach nieuregulowanych w Umowie stosuje się przepisy prawa polskiego, w szczególności przepisy kodeksu cywilnego oraz przepisy regulujące ochronę danych osobowych.
Data: ______________________________________
Miejscowość: _______________________________
ZA ZAMAWIAJĄCEGO: ZA WYKONAWCĘ:
__________________________________________ ____________________________________________
