Umowa powierzenia przetwarzania danych osobowych
zawarta w trybie art. 384 kodeksu cywilnego pomiędzy:
Podmiotem powierzającym dane osobowe, zwanym dalej zwaną/zwanym dalej “Administratorem”
a WP Desk Sp. z o.o. z siedzibą w Warszawie, Złota 75a lok. 7, 00-819 Warszawa,
NIP: 7011000958, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m. st. Warszawy, XII Wydział Gospodarczy
Krajowego Rejestru Sądowego pod numerem KRS 0000863565, zwaną dalej “Podmiotem przetwarzającym”.
zwane dalej łącznie „Stronami”, a każda osobno „Stroną”
§ 1
Okoliczności powierzenia przetwarzania danych osobowych
Niniejsza umowa powierzenia ma charakter uzupełniający względem Umowy głównej i reguluje wzajemny stosunek stron i obowiązki w zakresie przetwarzania danych osobowych wynikających z realizacji usług świadczonych przez Podmiot przetwarzający w ramach ww. Umowy, szczególnie w ramach działań BOK (Biura Obsługi Klienta).
[PRZEDMIOT UMOWY] Administrator danych powierza Podmiotowi przetwarzającemu, z zachowaniem wymogów określonych w art. 28 ogólnego rozporządzenia o ochronie danych z dnia 27 kwietnia 2016 r. (zwanego dalej “RODO”), dane osobowe do przetwarzania, na zasadach i w celu określonym w niniejszej Umowie.
§ 2
Opis przetwarzania danych
[CEL PRZETWARZANIA] Cel i zakres powierzenia przetwarzania danych osobowych wynika bezpośrednio i ogranicza się wyłącznie do czynności wynikających z realizacji usług świadczonych przez Podmiot przetwarzający w ramach zawartej Umowy głównej, w szczególności przez BOK (Biuro Obsługi Klienta).
[RODZAJ DANYCH] Administrator powierza Podmiotowi przetwarzającemu do przetwarzania następujące dane osobowe, nie stanowiące szczególnej kategorii, zgromadzone przez Administratora w zbiorze danych umieszczonym przez niego w aplikacji WordPress, obejmującym: imię, nazwisko, adres email, NIP, adres, inne dane kontaktowe.
[KATEGORIE OSÓB] Przetwarzanie powierzonych danych osobowych dotyczyć będzie poniższych kategorii osób:
– klienci Administratora
– subskrybenci newslettera Administratora
[CZAS PRZETWARZANIA] Umowa powierzenia obowiązuje od dnia jej zawarcia przez czas określony tj. do usunięcia przez Administratora konta dostępowego do WordPress przyznanego pracownikowi Podmiotu przetwarzającego na czas realizacji usługi wsparcia dotyczącego zakupionego przez Administratora produktu elektronicznego (wtyczki do WordPress).
§ 3
Obowiązki Podmiotu przetwarzającego
[UDOKUMENTOWANIE POLECENIA] Podmiot przetwarzający przetwarza powierzone dane wyłącznie na podstawie i zgodnie z udokumentowanymi poleceniami (instrukcjami) Administratora. Polecenia i instrukcje będą przekazywane drogą elektroniczną. Jeśli Podmiot przetwarzający będzie miał wątpliwość co do legalności wydanych przez Administratora poleceń lub instrukcji, natychmiast poinformuje o tym Administratora w sposób możliwy do udokumentowania. Nie zachowanie tego obowiązku spowoduje utratę możliwości dochodzenia roszczeń przeciwko Administratorowi z tego tytułu.
[BEZPIECZEŃSTWO] Podmiot przetwarzający zobowiązuje się przetwarzać powierzone mu dane osobowe zgodnie z Umową powierzenia, RODO oraz z innymi przepisami prawa powszechnie obowiązującego, które chronią prawa osób, których dane dotyczą, a w szczególności zobowiązuje się do zabezpieczenia danych osobowych poprzez stosowanie odpowiednich środków technicznych i organizacyjnych zapewniających adekwatny stopień bezpieczeństwa odpowiadający ryzyku związanym z przetwarzaniem danych osobowych, o których mowa w art. 32 RODO.
Podmiot przetwarzający zobowiązuje się dołożyć należytej staranności przy przetwarzaniu powierzonych danych osobowych.
[ZASADA MINIMALIZACJI] Podmiot przetwarzający zobowiązuje się do nadania upoważnień do przetwarzania danych osobowych wyłącznie tym osobom, które będą przetwarzały powierzone dane w celu realizacji Umowy.
[TAJEMNICA] Podmiot przetwarzający zobowiązuje się zadbać o to, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy, o której mowa w art. 28 ust 3 pkt b RODO, zarówno w trakcie zatrudnienia ich przez WP Desk, jak i po jego ustaniu.
[WSPÓŁPRACA PRZY REALIZACJI PRAW JEDNOSTKI] Podmiot przetwarzający w miarę możliwości pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w RODO. Wsparcie Podmiotu przetwarzającego obejmuje dostarczenie niezbędnych informacji lub wykonanie odpowiednich działań w terminie umożliwiającym Administratorowi udzielenie odpowiedzi w terminie 30 dni od otrzymania żądania, chyba że Administrator postanowi inaczej. W miarę możliwości Podmiot przetwarzający pomaga Administratorowi w niezbędnym zakresie wywiązywać się z obowiązków określonych w art. 32–36 Rozporządzenia, a odnoszących się do bezpieczeństwa przetwarzania, zgłaszania naruszeń ochrony danych organowi nadzorczemu, zawiadamiania osoby, której dane dotyczą, o naruszeniu danych osobowych, oceny skutków dla ochrony danych oraz uprzednich konsultacji.
[PROFILOWANIE] Podmiot przetwarzający nie będzie stosować zautomatyzowanego podejmowania decyzji, w tym profilowania w celu realizacji Umowy.
[NARUSZENIA DANYCH OSOBOWYCH] Podmiot przetwarzający zobowiązuje się niezwłocznie, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia, poinformować Administratora o każdym naruszeniu ochrony danych osobowych.
Po zakończeniu świadczenia usług wynikających z umowy powierzenia, Podmiot przetwarzający zobowiązuje się do usunięcia wszelkich danych osobowych związanych z realizacją Umowy w ciągu 7 dni, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych, a Administrator zobowiązuje się do usunięcia konta dostępowego przyznanego pracownikowi Podmiotu przetwarzającego po zakończeniu realizacji usługi wsparcia.
§ 4
Obowiązki i prawa Administratora
Administrator jest zobowiązany współpracować z Podmiotem przetwarzającym w celu realizacji Umowy, a w szczególności udzielać Podmiotowi przetwarzającemu wyjaśnień dotyczących zgodności z prawem poleceń Administratora.
Administrator danych ma prawo kontroli, czy środki zastosowane przez Podmiot przetwarzający przy realizacji Umowy powierzenia spełniają jej postanowienia. Kontrola może zostać przeprowadzona wyłącznie w formie zdalnej, po uprzednim zgłoszeniu z co najmniej 14-dniowym wyprzedzeniem. Strony ustalą dogodny termin i zakres kontroli w drodze elektronicznej korespondencji.
§ 5
Powierzenie do dalszego przetwarzania
[PODPOWIERZENIE]
Podmiot przetwarzający nie jest uprawniony do powierzenia danych osobowych objętych Umową powierzenia do dalszego przetwarzania innym podmiotom przetwarzającym.
§ 6
Odpowiedzialność Podmiotu przetwarzającego
Podmiot przetwarzający jest odpowiedzialny za szkody poniesione przez Administratora danych z tytułu działań Podmiotu przetwarzającego niezgodnych z zapisami Umowy powierzenia oraz RODO.
Podmiot przetwarzający nie jest odpowiedzialny za szkody poniesione przez Administratora danych nie wynikające z tytułu działań Podmiotu przetwarzającego niezgodnych z zapisami Umowy powierzenia oraz RODO.
§ 7
Zasady zachowania poufności
Podmiot przetwarzający zobowiązuje się do zachowania w tajemnicy wszelkich informacji dotyczących danych osobowych, jak i samych powierzonych danych osobowych uzyskanych od Administratora oraz osób z nim współpracujących, a także wszelkich danych uzyskanych w sposób zamierzony lub przypadkowy, niezależnie od ich formy.
Zachowanie w tajemnicy danych poufnych obejmuje również wszelkie informacje dotyczące sposobów zabezpieczenia powierzonych do przetwarzania danych osobowych.
Podmiot przetwarzający oświadcza, że dane poufne nie będą wykorzystywane, ujawniane ani udostępniane bez pisemnej zgody Administratora danych w innym celu niż wykonanie Umowy, chyba że konieczność ujawnienia posiadanych informacji wynika z obowiązujących przepisów prawa lub Umowy.
Strony zobowiązują się do dołożenia wszelkich starań w celu zapewnienia, aby środki łączności wykorzystywane do odbioru, przekazywania oraz przechowywania danych poufnych gwarantowały zabezpieczenie tych danych, a w szczególności danych osobowych powierzonych do przetwarzania, przed dostępem osób trzecich nieupoważnionych do zapoznania się z ich treścią.
§ 8
Postanowienia końcowe
Dane kontaktowe Stron określa Umowa główna.
W sprawach nieuregulowanych Umową zastosowanie będą miały przepisy RODO oraz prawa polskiego.