Porozumienie w sprawie praw i obowiązków Dostawcy i Klienta w zakresie przetwarzania danych osobowych osób trzecich na podstawie Umowy

I. Przetwarzanie danych osobowych

1. Integralną częścią wykonania Umowy jest przetwarzanie danych osobowych w rozumieniu ustawy nr 101/2000 Dz. U., o ochronie danych osobowych, oraz ogólnego rozporządzenia o ochronie danych (dalej jako „RODO”).

2. W celu ochrony danych osobowych podczas ich przetwarzania przez Dostawcę działającego w charakterze Podmiotu przetwarzającego, Strony umowy zawierają niniejsze Porozumienie w sprawie przetwarzania na podstawie art. 28 RODO.

3. Administratorem danych osobowych jest osoba, która określa cele i sposoby przetwarzania danych osobowych. Korzystając z Aplikacji, Klient przechowuje dane, w tym dane osobowe, w magazynach danych w ramach usług chmurowych świadczonych przez Dostawcę, co skutkuje podwójnym przetwarzaniem danych osobowych.

    

4. Dostawca przetwarza dane osobowe osób trzecich uzyskane w toku działalności gospodarczej Klienta, przechowywane podczas wykonywania przez Dostawcę Umowy w magazynach danych w ramach usług chmurowych w trakcie korzystania z Aplikacji przez Klienta. Klient jest zatem Administratorem tych danych osobowych, a Dostawca ich Podmiotem przetwarzającym. Przetwarzanie to podlega poniższym postanowieniom niniejszego Porozumienia.

    

5. Kategorie przetwarzanych danych osobowych, jak również inne dane dotyczące takiego przetwarzania, zakres przetwarzania, kategorie osób, których dane dotyczą, oraz cele tego przetwarzania określa Klient. Klient, działający w charakterze Administratora, ponosi obowiązek informacyjny wobec osób, których dane dotyczą, zgodnie z zasadami ochrony danych osobowych.

    

6. Klient, działający w charakterze Administratora, upoważnia Dostawcę, działającego w charakterze Podmiotu przetwarzającego, do przeprowadzania w jego imieniu i zgodnie z jego instrukcjami przetwarzania danych osobowych w związku z wykonywaniem Umowy, na warunkach w niej określonych. Klient i/lub jego Użytkownicy wprowadzają do Aplikacji głównie takie dane osobowe, których nie można określić dokładniej, biorąc pod uwagę szeroki zakres zastosowań Aplikacji, niż poprzez przetwarzanie przez Dostawcę danych osobowych osób, których dane dotyczą, na rzecz Klienta na podstawie Umowy przez czas jej trwania, w zakresie następujących danych osobowych:

    

• Dane identyfikacyjne (imię, nazwisko, data urodzenia i tytuł);
• Dane kontaktowe (adres zamieszkania, adres e-mail i numer telefonu);
• Dane dotyczące życia zawodowego i osobistego (wykształcenie, zatrudnienie, rachunek bankowy);
• Dane dotyczące relacji biznesowych i klientów;
• Oraz inne podobne kategorie danych osobowych, które nie zostały wyraźnie wymienione.

7. Dane osób trzecich, czy to klientów Klienta, czy innych osób, które Klient przekazuje Dostawcy w związku z korzystaniem z Aplikacji, są zabezpieczane przez Dostawcę zgodnie z aktualnymi możliwościami technologicznymi, a wybrane dane, które można zaszyfrować w ramach możliwości Aplikacji i przechowywane przez Klienta, są szyfrowane, a Dostawca nie ma dostępu do wybranej treści. Niemniej jednak Dostawca przetwarza dane osobowe osób, których dane dotyczą, w rozumieniu RODO, działając w ich zakresie jako podmiot przetwarzający, a Klient jako Administrator ich danych osobowych.

    

8. Dostawca zobowiązuje się przetwarzać dane osobowe wyłącznie w celu ich przechowywania oraz zapewnienia transferu danych do magazynu danych.

    

9. Dostawca jest zobowiązany do nawiązania relacji podpowierzenia i zlecenia przetwarzania firmie Amazon Web Services, Inc. i/lub innym podmiotom podprzetwarzającym, o ile jest to niezbędne do zapewnienia funkcjonowania aplikacji. Niemniej jednak Dostawca jest zobowiązany zapewnić, aby inni podmioty przetwarzające wypełniali obowiązki wynikające z Porozumienia co najmniej w takim samym zakresie jak obowiązki Dostawcy wynikające z niniejszego dokumentu.

    

10. Wszystkie osoby zaangażowane przez Dostawcę w przetwarzanie danych osobowych są zobowiązane do przestrzegania wymogów RODO. Wszyscy pracownicy Dostawcy są zobowiązani, przetwarzając dane osobowe, zachować poufność danych osobowych, które przetwarzają podczas wykonywania swojej pracy.

     

11. Klient przyjmuje do wiadomości, potwierdza i zgadza się, że ponosi pełną odpowiedzialność za dane, które wprowadza do Aplikacji.

     

12. W przypadku rozwiązania Umowy Dostawca jest zobowiązany przekazać Klientowi wszystkie dane osobowe osób, których dane dotyczą, lub usunąć je na żądanie Klienta.

     

13. Po rozwiązaniu Umowy, tj. zamknięciu Konta Klienta, wszystkie wprowadzone dane zostaną usunięte w ciągu 60 dni. Klient ma zawsze prawo zażądać swoich danych i umieścić je we własnym magazynie danych, aby zapobiec nieodwracalnej utracie wprowadzonych danych. Ani Dostawca, ani upoważnieni podmioty przetwarzające nie ponoszą odpowiedzialności za jakiekolwiek szkody wynikające z utraty danych wprowadzonych do Aplikacji po upływie 60 dni od zamknięcia Konta Klienta.

     

II. PRAWA I OBOWIĄZKI STRON UMOWY

1. Dostawca zobowiązuje się przestrzegać wszelkich obowiązków wynikających z obowiązujących przepisów RODO nałożonych na Dostawcę w zakresie przetwarzania danych osobowych.

2. Dostawca zobowiązuje się przyjąć, udokumentować (i udostępnić na żądanie) odpowiednie środki techniczne i organizacyjne w celu zapewnienia ochrony danych osobowych zgodnie z art. 32 RODO oraz zapewnić, że osoby upoważnione do przetwarzania danych osobowych są zobowiązane do zachowania poufności na podstawie umowy lub przepisów prawa.

3. Dostawca jest uprawniony do angażowania innych podwykonawców jako podwykonawców pomocniczych. Dostawca może angażować wyłącznie takich podwykonawców, którzy zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, tak aby przetwarzanie spełniało wymogi RODO i obejmowało co najmniej takie same obowiązki w zakresie ochrony danych, jak określone w niniejszym Porozumieniu.

    

4. Dostawca zobowiązuje się zapewnić Klientowi, bez zbędnej zwłoki, niezbędną współpracę w zakresie wypełniania obowiązków Klienta związanych z żądaniami dotyczącymi realizacji praw osób, których dane dotyczą, oraz pomagać mu w wypełnianiu obowiązków wynikających z art. 32–36 RODO.

    

5. Dostawca zobowiązuje się powiadomić Klienta, bez zbędnej zwłoki, o każdym naruszeniu bezpieczeństwa danych osobowych (przypadkowym lub niezgodnym z prawem zniszczeniu, utracie, zmianie, nieuprawnionym ujawnieniu lub innym przetwarzaniu) oraz zapewnić Klientowi wszelką niezbędną współpracę w celu wypełnienia obowiązków Klienta dotyczących zgłoszenia naruszenia bezpieczeństwa danych osobowych organowi nadzorczemu i/lub osobom, których dane dotyczą.

6. Informacja o naruszeniu bezpieczeństwa powinna obejmować, w miarę możliwości, następujące elementy:

• Opis zdarzenia, jego okoliczności i przewidywane przyczyny (najlepiej liczbę dokumentów/nośników/urządzeń dotkniętych incydentem oraz liczbę osób dotkniętych incydentem, jeśli dotyczy);
• Czas wystąpienia zdarzenia;
• Źródło informacji o zdarzeniu;
• Nazwiska innych osób, które mogą posiadać informacje o zdarzeniu;
• Opis prawdopodobnych konsekwencji naruszenia bezpieczeństwa danych osobowych;
• Opis środków, które Dostawca podjął lub proponuje podjąć w celu rozwiązania danego naruszenia bezpieczeństwa danych osobowych, w tym, w stosownych przypadkach, środków mających na celu ograniczenie możliwych negatywnych skutków.
  
  
7. Jeżeli Dostawca nie jest w stanie przekazać informacji od razu, jest uprawniony do przekazywania ich stopniowo, bez zbędnej zwłoki.

8. Cała komunikacja w ramach Usługi jest szyfrowana za pomocą SSL. Klient niniejszym potwierdza, że ta metoda szyfrowania jest uznawana za wystarczająco bezpieczną.
9. Dostawca zapewni Klientowi niezbędną współpracę w komunikacji z organem nadzorczym oraz, zgodnie z instrukcjami Klienta, będzie współpracować przy przygotowywaniu odpowiedzi dla organu nadzorczego dotyczących operacji przetwarzania przeprowadzanych przez Dostawcę.
10. Dostawca jest ponadto zobowiązany, bez zbędnej zwłoki, powiadomić Klienta o:
    • Wszczęciu jakiejkolwiek kontroli lub postępowania administracyjnego w związku z przetwarzaniem danych osobowych;
    • Wszelkich żądaniach lub skargach otrzymanych bezpośrednio od osób, których dane dotyczą, w odniesieniu do danych osobowych (np. wykonanie prawa dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania danych lub zautomatyzowanego podejmowania decyzji);
    • Jeżeli Dostawca jest zobowiązany przepisami prawa do przetwarzania danych osobowych poza zakresem instrukcji Klienta.

11. Dostawca na żądanie Klienta udostępni mu wszystkie informacje i dokumenty niezbędne do wykazania, że wypełnił obowiązki określone w niniejszym porozumieniu dotyczącym przetwarzania, oraz umożliwi Klientowi lub osobie przez niego upoważnionej wykonywanie jej obowiązków.

12. Dostawca zobowiązuje się, że po rozwiązaniu Umowy z jakiejkolwiek przyczyny, na żądanie Klienta usunie dane osobowe lub umożliwi Klientowi ich przejęcie, zgodnie z instrukcjami Klienta, chyba że obowiązujące przepisy prawa wymagają przechowywania tych danych.

13. Strony umowy zgadzają się, że Klient, jako Administrator danych, jest zobowiązany zapewnić osobom, których dane dotyczą, wszystkie prawa, jakie przysługują im wobec niego w rozumieniu RODO. Jeśli osoba, której dane dotyczą, zwróci się do Dostawcy ze swoim żądaniem, Dostawca jest zobowiązany, bez zbędnej zwłoki, przekazać żądanie tej osoby Klientowi oraz powiadomić tę osobę o przekazaniu żądania Klientowi jako Administratorowi.
    
    

    III. POSTANOWIENIA KOŃCOWE

1. Klient oświadcza, że zapoznał się z niniejszym Porozumieniem w sposób właściwy, zrozumiał jego treść, a znaczenie wszystkich postanowień i klauzul zostało mu wystarczająco wyjaśnione, oraz że akceptuje je w całości i bez zastrzeżeń. Klient ponadto oświadcza, że niniejsze Porozumienie nie zawiera żadnej klauzuli ani postanowienia, które byłyby dla niego niezrozumiałe lub szczególnie niekorzystne, ani których nie mógłby rozsądnie przewidzieć.

2. Niniejsze Porozumienie stanowi integralną część Umowy i wchodzi w życie z dniem zawarcia Umowy przez upoważnionych przedstawicieli obu stron.

AD-IN-ONE Europe a.s., 01/2019