Strona 1 z 5
UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH zawarta pomiędzy:
Pracownią Testów Psychologicznych Polskiego Towarzystwa Psychologicznego Sp. z o.o. z siedzibą w Warszawie przy ul. Belwederskiej 6A, wpisaną do Rejestru Przedsiębiorców prowadzonego przez Sąd Rejonowy dla m.st. Warszawy, XII Gospodarczy Krajowego Rejestru Sądowego, KRS 0000259763, REGON 140607222, NIP 5252368015, zwaną dalej Spółką
a
……….…...
(firma/imię/nazwisko)
………...
(adres)
...
(KRS, NIP, REGON /PESEL) zwanym dalej Administratorem
o następującej treści:
§ 1
1. Przedmiotem Umowy jest określenie zasad i warunków powierzenia Spółce przez Administratora przetwarzania danych osobowych.
2. Jeżeli w Umowie użyto terminów zdefiniowanych w rozporządzeniu (UE) 2016/679, terminy te mają takie samo znaczenie jak w tym rozporządzeniu.
3. Postanowienia Umowy odczytuje się i interpretuje w świetle odpowiednio przepisów rozporządzenia (UE) 2016/679. Postanowień Umowy nie interpretuje się w sposób sprzeczny z prawami i obowiązkami przewidzianymi w rozporządzeniu (UE) 2016/679 ani w sposób naruszający podstawowe prawa lub wolności osób, których dane dotyczą.
4. W razie sprzeczności pomiędzy Umową a postanowieniami powiązanych umów między Stronami istniejących w chwili uzgadniania Umowy lub zawartych po ich uzgodnieniu, pierwszeństwo mają postanowienia Umowy.
§ 2
Powierzenie przetwarzania danych osobowych Spółce następuje w związku z korzystaniem przez Administratora, na podstawie zaakceptowanego przez Administratora regulaminu, z Platformy EPSILON prowadzonej pod adresem www.epsilon.practest.com.pl („Platforma”), w celu zapewnienia Administratorowi możliwości prawidłowego i zgodnego z prawem korzystania z Platformy.
§ 3
1. Administrator powierza Spółce przetwarzanie danych osobowych w sposób polegający na ich przechowywaniu, usuwaniu i modyfikowaniu. Dane osobowe będą przechowywane na serwerze wynajętym przez Spółkę od Lumikom s.c. Marta Wojtkowska, Łukasz Wojtkowski (REGON 140625763, NIP 1132624086). Serwer, o którym mowa, zlokalizowany jest na terenie Unii Europejskiej.
2. Zakres przetwarzanych danych osobowych dotyczy osób, których badanie jest wykonywane za pośrednictwem Platformy i może obejmować zbiory danych osobowych w postaci:
a) imienia i nazwiska;
b) płci;
c) wieku;
d) numeru PESEL;
e) wyróżników nadanych przez Administratora;
f) wyników uzyskanych przez osoby badane w testach;
g) adresów e-mail;
Strona 2 z 5
przy czym do przeprowadzenia badania za pośrednictwem Platformy konieczne jest wprowadzenie do systemu jedynie informacji o płci i wieku osoby badanej. Wprowadzenie pozostałych danych wymienionych w punktach a-g nie jest obowiązkowe do przeprowadzenia badania za pośrednictwem Platformy.
§ 4
1. Spółka przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek taki nakłada na Spółkę prawo Unii lub prawo państwa członkowskiego, któremu podlega Spółka. W takim przypadku przed rozpoczęciem przetwarzania Spółka informuje Administratora o tym obowiązku prawnym, o ile prawo nie zabrania udzielenia takiej informacji z uwagi na ważny interes publiczny. Administrator może wydawać kolejne polecenia przez cały okres przetwarzania danych osobowych. Polecenia te są zawsze dokumentowane.
2. Spółka bezzwłocznie powiadamia Administratora, jeżeli w opinii Spółki polecenie wydane przez Administratora narusza rozporządzenie (UE) 2016/679 lub obowiązujące przepisy Unii lub państwa członkowskiego o ochronie danych.
3. Spółka przetwarza dane osobowe wyłącznie w celu określonym w Umowie, chyba że otrzyma dalsze polecenia od Administratora.
4. Przetwarzanie przez Spółkę odbywa się wyłącznie przez okres obowiązywania Umowy.
§ 5
1. Spółka oświadcza, iż posiada niezbędne, wymagane przepisami prawa środki ochrony technicznej i organizacyjnej, mające na celu zapewnienie zgodności przetwarzania danych z powszechnie obowiązującymi przepisami prawa. Zapewnienie bezpieczeństwa danych obejmuje ochronę danych przed naruszeniem bezpieczeństwa prowadzącym do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych (naruszenie ochrony danych osobowych). Oceniając odpowiedni poziom bezpieczeństwa, Strony należycie uwzględniają stan wiedzy technicznej, koszty wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz związane z tym ryzyko dla osób, których dane dotyczą.
2. Spółka udziela swoim pracownikom dostępu do danych osobowych podlegających przetwarzaniu jedynie w zakresie bezwzględnie niezbędnym do wykonania Umowy, zarządzania nią i jej monitorowania. Spółka zapewnia, by osoby upoważnione do przetwarzania otrzymanych danych osobowych zobowiązały się do zachowania poufności lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania poufności.
3. Jeżeli przetwarzanie obejmuje dane wrażliwe Spółka stosuje szczególne ograniczenia lub dodatkowe zabezpieczenia.
§ 6
1. Strony są w stanie wykazać zgodność przetwarzania danych z Umową.
2. Spółka niezwłocznie i odpowiednio rozpatruje zapytania Administratora dotyczące przetwarzania danych zgodnie z Umową.
3. Spółka udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków, które są określone w Umowie i wynikają bezpośrednio z rozporządzenia (UE) 2016/679.
Na wniosek Administratora Spółka zezwala również na audyty czynności przetwarzania objętych Umową i uczestniczy w tych audytach. Audyty te przeprowadza się w rozsądnych odstępach czasu lub jeżeli istnieją przesłanki wskazujące na niezgodność. Podejmując decyzję w sprawie przeglądu lub audytu, Administrator może wziąć pod uwagę odpowiednie certyfikaty, jakie ma Spółka.
4. Administrator może przeprowadzić audyt samodzielnie lub upoważnić do jego przeprowadzenia niezależnego audytora. Audyty mogą również obejmować inspekcje w pomieszczeniach lub obiektach fizycznych Spółki. Audyty te przeprowadza się, informując o nich, w stosownych przypadkach, z odpowiednim wyprzedzeniem.
5. Audyt nie może naruszać praw osób trzecich, w szczególności dotyczących dostępu oraz zasad przetwarzania danych osobowych.
6. Audyt powinien być prowadzony w godzinach pracy (9.00-17.00), w sposób który w możliwie jak najmniejszym zakresie będzie zakłócał pracę Spółki oraz Lumikom s.c. Marta Wojtkowska, Łukasz Wojtkowski.
7. Na wniosek właściwego organu nadzorczego Strony udostępniają informacje, o których mowa w Umowie, w tym wyniki wszelkich audytów.
Strona 3 z 5
§ 7
1. Administrator wyraża zgodę na zawarcie przez Spółkę dalszej umowy dotyczącej przetwarzania danych osobowych w zakresie objętym Umową z Lumikom s.c. Marta Wojtkowska, Łukasz Wojtkowski (REGON 140625763, NIP 1132624086). Umowa z Lumikom s.c. Marta Wojtkowska, Łukasz Wojtkowski nakłada na podmiot podprzetwarzający zasadniczo takie same obowiązki w zakresie ochrony danych jak obowiązki nałożone na Spółkę zgodnie z Umową. Spółka zapewnia, aby podmiot podprzetwarzający wypełniał obowiązki, którym podlega Spółka na mocy Umowy oraz rozporządzenia (UE) 2016/679.
2. Na wniosek Administratora Spółka przekazuje Administratorowi kopię umowy, jaką zawarła z podmiotem podprzetwarzającym, a w razie wprowadzenia zmian przekazuje Administratorowi jej zaktualizowaną wersję. W zakresie niezbędnym do ochrony tajemnicy handlowej lub innych informacji poufnych, w tym danych osobowych, Spółka może utajnić tekst umowy przed jej udostępnieniem.
3. Spółka pozostaje w pełni odpowiedzialna przed Administratorem za wykonanie obowiązków podmiotu podprzetwarzającego zgodnie z jego umową ze Spółką. Spółka powiadamia Administratora o każdym przypadku niewywiązania się przez podmiot podprzetwarzający z jego zobowiązań umownych.
4. Spółka uzgadnia z podmiotem podprzetwarzającym klauzulę dotyczącą beneficjenta będącego osobą trzecią, zgodnie z którą to klauzulą – jeżeli Spółka przestanie istnieć faktycznie lub formalnie lub stanie się niewypłacalna – Administrator ma prawo rozwiązać umowę z podmiotem podprzetwarzającym i nakazać usunięcie lub zwrot danych osobowych.
§ 8
Wszelkie przekazywanie danych do państwa trzeciego lub organizacji międzynarodowej przez Spółkę odbywa się wyłącznie na udokumentowane polecenie Administratora lub w celu spełnienia szczególnego wymogu na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega Spółka, i odbywa się zgodnie z rozdziałem V rozporządzenia (UE) 2016/679.
§ 9
1. Spółka niezwłocznie zawiadamia Administratora o każdym wniosku otrzymanym od osoby, której dane dotyczą. Spółka nie odpowiada na taki wniosek samodzielnie, chyba że Administrator wyraził na to zgodę.
2. Spółka pomaga Administratorowi w wypełnianiu jego obowiązków dotyczących udzielania odpowiedzi na wnioski osób, których dane dotyczą, o skorzystanie z przysługujących im praw, z uwzględnieniem charakteru przetwarzania. Wypełniając swoje obowiązki Spółka stosuje się do poleceń Administratora.
3. Oprócz spoczywającego na Spółce obowiązku pomagania Administratorowi zgodnie z ust. 2 Spółka pomaga ponadto w zapewnieniu wypełniania następujących obowiązków, z uwzględnieniem charakteru przetwarzania danych oraz informacji, którymi dysponuje Spółka:
a) obowiązek przeprowadzenia oceny wpływu planowanych operacji przetwarzania na ochronę danych osobowych („ocena skutków dla ochrony danych”), jeżeli dany rodzaj przetwarzania może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych;
b) obowiązek skonsultowania się z właściwym organem nadzorczym przed rozpoczęciem przetwarzania, jeżeli ocena skutków dla ochrony danych wskaże, że przetwarzanie powodowałoby wysokie ryzyko, gdyby Administrator nie zastosował środków w celu jego ograniczenia;
c) obowiązek zapewnienia prawidłowości i aktualności danych osobowych poprzez niezwłoczne poinformowanie Administratora, jeżeli Spółka stwierdzi, że przetwarzane przez niego dane osobowe są nieprawidłowe lub nieaktualne;
d) obowiązki określone w art. 32 rozporządzenia (UE) 2016/679.
§ 10
1. W przypadku naruszenia ochrony danych osobowych Spółka współpracuje z Administratorem i pomaga w wypełnianiu jego obowiązków wynikających z art. 33 i 34 rozporządzenia (UE) 2016/679, z uwzględnieniem charakteru przetwarzania i informacji, którymi dysponuje Spółka.
2. W przypadku naruszenia ochrony danych osobowych dotyczącego danych przetwarzanych przez Administratora Spółka wspomaga Administratora:
a) przy zgłaszaniu naruszenia ochrony danych osobowych właściwemu organowi nadzorczemu niezwłocznie po tym, jak Administrator dowiedział się o naruszeniu, w stosownych
Strona 4 z 5
przypadkach (chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych);
b) przy uzyskiwaniu następujących informacji, które zgodnie z art. 33 ust. 3 rozporządzenia (UE) 2016/679 powinny być zawarte w zgłoszeniu administratora i obejmować co najmniej:
1) charakter danych osobowych, w tym w miarę możliwości kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
2) możliwe konsekwencje naruszenia ochrony danych osobowych;
3) środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków;
Jeżeli przekazanie wszystkich tych informacji równocześnie nie jest możliwe, pierwotne zgłoszenie zawiera informacje dostępne w danej chwili, a po uzyskaniu dostępu do dalszych informacji przekazuje się je bez zbędnej zwłoki;
c) przy wypełnianiu - zgodnie z art. 34 rozporządzenia (UE) 2016/679 - obowiązku zawiadomienia bez zbędnej zwłoki osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, jeżeli naruszenie to może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych.
3. W przypadku naruszenia ochrony danych osobowych dotyczącego danych przetwarzanych przez Spółkę, Spółka zgłasza naruszenie Administratorowi niezwłocznie po tym, jak dowiedziała się o naruszeniu. Zgłoszenie to powinno zawierać co najmniej:
a) opis charakteru naruszenia (w tym, w miarę możliwości, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz wpisów danych, których dotyczy naruszenie);
b) dane punktu kontaktowego, w którym można uzyskać więcej informacji na temat naruszenia ochrony danych osobowych;
c) wskazanie prawdopodobnych konsekwencji naruszenia oraz środków, które zostały lub mają zostać wprowadzone w celu zaradzenia naruszeniu, w tym w celu zminimalizowania jego ewentualnych negatywnych skutków.
Jeżeli przekazanie wszystkich tych informacji równocześnie nie jest możliwe, pierwotne zgłoszenie zawiera informacje dostępne w danej chwili, a po uzyskaniu dostępu do dalszych informacji przekazuje się je bez zbędnej zwłoki.
§ 11 1. Umowa jest zawarta na czas nieoznaczony.
2. Bez uszczerbku dla przepisów rozporządzenia (UE) 2016/679, w przypadku gdy Spółka narusza swoje obowiązki wynikające z Umowy, Administrator może polecić Spółce, by zawiesiła przetwarzanie danych osobowych do czasu, gdy Spółka zapewni zgodność z Umową, lub Umowa ulega rozwiązaniu.
Spółka niezwłocznie zawiadamia Administratora, jeżeli z jakiegokolwiek powodu nie jest w stanie zastosować się do Umowy.
3. Administrator jest uprawniony do rozwiązania Umowy w zakresie, w jakim dotyczy ona przetwarzania danych osobowych zgodnie z Umową, jeżeli:
a) Administrator zawiesił przetwarzanie danych osobowych przez Spółkę zgodnie z ust. 2 powyżej i jeżeli zgodność z Umową nie zostanie przywrócona w rozsądnym terminie, a w każdym razie w terminie jednego miesiąca od zawieszenia;
b) Spółka poważnie lub stale narusza Umowę lub swoje obowiązki wynikające z rozporządzenia (UE) 2016/679;
c) Spółka nie stosuje się do wiążącej decyzji właściwego sądu lub właściwego organu nadzorczego dotyczącej obowiązków wynikających z Umowy lub z rozporządzenia (UE) 2016/679.
4. Spółka ma prawo rozwiązać Umowę w zakresie, w jakim dotyczy ona przetwarzania danych osobowych zgodnie z Umową, jeżeli po zawiadomieniu Administratora o tym, że jego polecenie narusza obowiązujące wymogi prawne, Administrator nalega na wypełnienie polecenia.
5. Po rozwiązaniu Umowy Spółka, zależnie od decyzji Administratora, usuwa wszystkie dane osobowe przetwarzane w imieniu Administratora i poświadcza Administratorowi, że tego dokonała, lub zwraca
Strona 5 z 5
Administratorowi wszystkie dane osobowe i usuwa istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych. Spółka zapewnia przestrzeganie Umowy do czasu usunięcia lub zwrotu danych.
§ 12
1. Strony wskazują następujące adresy e-mail Inspektora Ochrony Danych:
a) Spółka: iod@practest.com.pl b) Administrator:
2. Umowę sporządzono w 2 egzemplarzach, po jednym dla każdej ze Stron.
Administrator Spółka
____________________________________ ___________________________________
Czytelnie imię i nazwisko osób podpisujących Umowę
Czytelnie imię i nazwisko osób podpisujących Umowę
_____________________________ _____________________________
Podpis Podpis
______________________________ _____________________________
Data i miejsce podpisania Umowy Data i miejsce podpisania Umowy
