Powierzenie
danych osobowych.

§ 1. Strony umowy

Umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa”) zostaje zawarta pomiędzy:

zwanymi dalej łącznie „Stronami”, a każda z osobna „Stroną”. Zamawiający działa jako administrator danych osobowych (art. 4 pkt 7 RODO), a Wykonawca — prowadzący działalność pod marką ODSŁONA (https://odslona.pl) — jako podmiot przetwarzający (art. 4 pkt 8 RODO).

§ 2. Definicje

Użyte w Umowie określenia oznaczają:

1. RODO — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych);
2. dane osobowe, przetwarzanie, naruszenie ochrony danych osobowych — pojęcia w rozumieniu art. 4 RODO;
3. Umowa główna — umowa lub umowy zawarte między Stronami, w związku z którymi Wykonawca przetwarza dane osobowe w imieniu Zamawiającego: ……………………………………………………
   (data, numer lub oznaczenie, np. umowa o realizację strony / sklepu / systemu, umowa o hosting, umowa o opiekę techniczną);
4. dalszy podmiot przetwarzający — podmiot, któremu Wykonawca powierza przetwarzanie danych osobowych w imieniu Zamawiającego (art. 28 ust. 2 i 4 RODO);
5. EOG — Europejski Obszar Gospodarczy.

§ 3. Przedmiot umowy

1. Zamawiający powierza Wykonawcy przetwarzanie danych osobowych w swoim imieniu, w zakresie i w celu określonych w Umowie, a Wykonawca zobowiązuje się przetwarzać te dane zgodnie z Umową, RODO i innymi przepisami o ochronie danych osobowych.
2. Umowa uzupełnia Umowę główną w zakresie ochrony danych osobowych. Za wykonywanie obowiązków wynikających z Umowy Wykonawcy nie przysługuje odrębne wynagrodzenie, z zastrzeżeniem § 11 ust. 4.
3. Zamawiający oświadcza, że jest administratorem powierzanych danych, przetwarza je zgodnie z prawem — w tym na podstawie odpowiedniej przesłanki z art. 6, a w razie potrzeby art. 9 RODO — oraz wykonał obowiązki informacyjne wobec osób, których dane dotyczą.

§ 4. Charakter i cel przetwarzania

1. Celem przetwarzania jest wykonanie Umowy głównej w zakresie (zaznaczyć właściwe):
   ☐ budowa lub przebudowa strony internetowej, w tym przeniesienie treści i danych z dotychczasowej strony;
   ☐ budowa lub przebudowa sklepu internetowego, w tym przeniesienie danych (np. produktów, klientów, zamówień);
   ☐ budowa systemu — z udziałem partnera technicznego StackERP (stackerp.pl);
   ☐ obsługa formularzy — konfiguracja formularzy, odbiór zgłoszeń, konfiguracja powiadomień e-mail;
   ☐ panel CMS — wdrożenie, konfiguracja, zakładanie kont użytkowników, szkolenie z obsługi;
   ☐ hosting — utrzymanie serwera, na którym działa strona, sklep lub system;
   ☐ opieka techniczna — aktualizacje, naprawy, zmiany, kopie zapasowe;
   ☐ analityka — konfiguracja narzędzi analitycznych;
   ☐ inne: ……………………
2. Przetwarzanie odbywa się w systemach informatycznych (strona, sklep, system, panel CMS, serwer, poczta elektroniczna) i obejmuje — wyłącznie w zakresie niezbędnym do celu określonego w ust. 1 — następujące operacje (zaznaczyć właściwe):
   ☐ przechowywanie   ☐ przeglądanie   ☐ porządkowanie   ☐ kopiowanie, w tym tworzenie kopii zapasowych   ☐ przenoszenie (migracja)   ☐ modyfikowanie   ☐ usuwanie   ☐ inne: ……………………
3. Wykonawca nie przetwarza powierzonych danych w innym celu niż określony w ust. 1, w szczególności nie wykorzystuje ich do własnych celów.

§ 5. Rodzaj danych i kategorie osób

1. Rodzaj powierzanych danych osobowych (zaznaczyć właściwe):
   ☐ imię i nazwisko   ☐ adres e-mail   ☐ numer telefonu   ☐ adres korespondencyjny lub adres dostawy   ☐ dane firmy (nazwa, NIP)   ☐ dane zamówień i historia zakupów   ☐ dane kont użytkowników (np. login)   ☐ treść wiadomości przesyłanych przez formularze   ☐ adresy IP i inne dane techniczne (np. w dziennikach serwera)   ☐ inne: ……………………
2. Szczególne kategorie danych (art. 9 RODO) oraz dane dotyczące wyroków skazujących i czynów zabronionych (art. 10 RODO):
   ☐ nie są powierzane;
   ☐ są powierzane w zakresie: …………………… — Strony uzgadniają dodatkowe środki bezpieczeństwa w Załączniku nr 2.
3. Kategorie osób, których dane dotyczą (zaznaczyć właściwe):
   ☐ klienci Zamawiającego   ☐ osoby kontaktujące się z Zamawiającym przez formularze   ☐ użytkownicy kont w sklepie lub systemie   ☐ pracownicy i współpracownicy Zamawiającego (np. użytkownicy panelu CMS)   ☐ kontrahenci Zamawiającego i ich przedstawiciele   ☐ inne: ……………………

§ 6. Czas przetwarzania

1. Wykonawca przetwarza powierzone dane przez czas obowiązywania Umowy głównej, a jeżeli obejmuje ona kilka umów — do zakończenia ostatniej z nich (dalej: „okres świadczenia usług”).
2. Inny okres przetwarzania (jeśli dotyczy): ……………………
3. Po upływie okresu świadczenia usług Wykonawca postępuje z danymi zgodnie z § 16.

§ 7. Obowiązki i prawa Zamawiającego

1. Zamawiający powierza Wykonawcy wyłącznie dane niezbędne do celu określonego w § 4.
2. Zamawiający, w miarę możliwości, udziela Wykonawcy dostępów z ograniczonymi uprawnieniami, odpowiednich do zakresu prac, zamiast głównych haseł do swoich kont.
3. Zamawiający wydaje polecenia dotyczące przetwarzania w formie co najmniej dokumentowej i informuje Wykonawcę o okolicznościach mających wpływ na przetwarzanie, które wymagają działania Wykonawcy (np. o żądaniu usunięcia danych zgłoszonym przez osobę, której dane dotyczą).
4. Zamawiający ma prawo kontrolować sposób przetwarzania powierzonych danych na zasadach określonych w § 15.

§ 8. Przetwarzanie na udokumentowane polecenie

1. Wykonawca przetwarza powierzone dane wyłącznie na udokumentowane polecenie Zamawiającego — co dotyczy także przekazywania danych do państwa trzeciego lub organizacji międzynarodowej — chyba że obowiązek przetwarzania nakłada na niego prawo Unii Europejskiej lub prawo państwa członkowskiego, któremu podlega. W takim przypadku przed rozpoczęciem przetwarzania Wykonawca informuje Zamawiającego o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.
2. Udokumentowanym poleceniem są Umowa, Umowa główna oraz polecenia przekazane przez Zamawiającego w formie co najmniej dokumentowej z adresu e-mail wskazanego w § 1 lub przez osobę upoważnioną przez Zamawiającego: ……………………
3. Wykonawca niezwłocznie informuje Zamawiającego, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych. Do czasu wyjaśnienia Wykonawca może wstrzymać wykonanie takiego polecenia.

§ 9. Poufność

1. Wykonawca wykonuje usługi osobiście. Do przetwarzania powierzonych danych ma dostęp wyłącznie Wykonawca oraz osoby działające w imieniu dalszych podmiotów przetwarzających, którym przetwarzanie powierzono zgodnie z § 13 — w zakresie niezbędnym.
2. Wykonawca zapewnia, że osoby upoważnione do przetwarzania powierzonych danych zobowiązały się do zachowania tajemnicy lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.
3. Obowiązek zachowania w poufności powierzonych danych oraz sposobów ich zabezpieczenia trwa również po zakończeniu Umowy.

§ 10. Bezpieczeństwo przetwarzania

1. Uwzględniając stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko naruszenia praw lub wolności osób fizycznych, Wykonawca stosuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający temu ryzyku (art. 32 RODO), w tym odpowiednio:
   1. szyfrowanie transmisji danych (HTTPS), a w razie potrzeby pseudonimizację lub szyfrowanie danych;
   2. zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
   3. zdolność do szybkiego przywrócenia dostępności danych i dostępu do nich w razie incydentu fizycznego lub technicznego (kopie zapasowe);
   4. regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych;
   5. ograniczenie dostępu do danych do niezbędnego minimum.
2. Wykaz środków stosowanych przez Wykonawcę zawiera Załącznik nr 2.
3. Wykonawca, uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga Zamawiającemu wywiązać się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo przetwarzania, zgłaszanie naruszeń, ocena skutków dla ochrony danych, uprzednie konsultacje).
4. Wykonawca prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO, jeżeli obowiązek ten go dotyczy.

§ 11. Pomoc w realizacji praw osób

1. Uwzględniając charakter przetwarzania, Wykonawca w miarę możliwości pomaga Zamawiającemu — poprzez odpowiednie środki techniczne i organizacyjne — wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO, w szczególności prawa dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu.
2. Jeżeli żądanie osoby, której dane dotyczą, zostanie skierowane bezpośrednio do Wykonawcy, Wykonawca niezwłocznie przekazuje je Zamawiającemu i nie odpowiada na nie samodzielnie, chyba że Zamawiający poleci inaczej.
3. Pomoc obejmuje w szczególności wskazanie, gdzie w stronie, sklepie lub systemie znajdują się dane danej osoby, ich eksport, sprostowanie lub usunięcie albo wyjaśnienie Zamawiającemu, jak wykonać te czynności samodzielnie w panelu CMS.
4. Pomoc wykraczająca poza zwykłe czynności objęte Umową główną może zostać wyceniona — Wykonawca przedstawia wycenę przed rozpoczęciem pracy.

§ 12. Naruszenia ochrony danych osobowych

1. Wykonawca zgłasza Zamawiającemu każde naruszenie ochrony powierzonych danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia.
2. Zgłoszenie przesyła się na adres e-mail Zamawiającego: …………………… (a jeżeli go nie wskazano — na adres podany w § 1). Zgłoszenie zawiera, w miarę dostępnych informacji:
   1. opis charakteru naruszenia, w tym — w miarę możliwości — kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych, których dotyczy naruszenie;
   2. dane kontaktowe Wykonawcy;
   3. opis możliwych konsekwencji naruszenia;
   4. opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu, w tym w celu zminimalizowania jego ewentualnych negatywnych skutków.
3. Jeżeli nie jest możliwe przekazanie wszystkich informacji jednocześnie, Wykonawca przekazuje je sukcesywnie, bez zbędnej zwłoki.
4. Wykonawca współpracuje z Zamawiającym przy wyjaśnianiu naruszenia i usuwaniu jego skutków oraz dokumentuje okoliczności naruszenia.
5. Decyzję o zgłoszeniu naruszenia Prezesowi Urzędu Ochrony Danych Osobowych oraz o zawiadomieniu osób, których dane dotyczą, podejmuje Zamawiający. Wykonawca nie dokonuje takich zgłoszeń samodzielnie, chyba że Zamawiający mu to poleci lub wymagają tego przepisy prawa.

§ 13. Dalsze powierzenie przetwarzania

1. Zamawiający udziela Wykonawcy ogólnej zgody na dalsze powierzenie przetwarzania danych dalszym podmiotom przetwarzającym wymienionym w Załączniku nr 1 (art. 28 ust. 2 RODO), w zakresie zaznaczonym w tym załączniku.
2. Wykonawca informuje Zamawiającego w formie co najmniej dokumentowej o zamierzonych zmianach dotyczących dodania lub zastąpienia dalszych podmiotów przetwarzających, z wyprzedzeniem co najmniej ……… dni.
3. Zamawiający może wyrazić sprzeciw wobec takich zmian w terminie ……… dni od otrzymania informacji, wskazując jego powody. W razie sprzeciwu Wykonawca nie powierza danych temu podmiotowi. Jeżeli bez tego podmiotu realizacja Umowy głównej nie jest możliwa albo wymaga zmiany jej warunków, Strony uzgadniają dalsze postępowanie, a w braku porozumienia każda ze Stron może wypowiedzieć Umowę główną w części, której zmiana dotyczy.
4. Wykonawca nakłada na dalszy podmiot przetwarzający — w drodze umowy lub innego instrumentu prawnego — te same obowiązki ochrony danych, jakie wynikają z Umowy, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 28 ust. 4 RODO). W przypadku dostawców usług standardowych (np. serwera, DNS, poczty elektronicznej) obowiązki te wynikają z warunków przetwarzania danych stosowanych przez tych dostawców.
5. Jeżeli dalszy podmiot przetwarzający nie wywiąże się ze spoczywających na nim obowiązków ochrony danych, pełna odpowiedzialność wobec Zamawiającego za wypełnienie tych obowiązków spoczywa na Wykonawcy.
6. Podmioty, z którymi Zamawiający zawarł umowy bezpośrednio (np. dostawca obecnego hostingu lub rejestrator domeny Zamawiającego), nie są dalszymi podmiotami przetwarzającymi Wykonawcy.

§ 14. Przekazywanie danych poza EOG

1. Wykonawca nie przekazuje powierzonych danych do państwa trzeciego (poza EOG) ani do organizacji międzynarodowej bez udokumentowanego polecenia Zamawiającego, z zastrzeżeniem ust. 2.
2. Jeżeli dalszy podmiot przetwarzający wskazany w Załączniku nr 1 przetwarza dane poza EOG, Zamawiający — udzielając zgody, o której mowa w § 13 ust. 1 — wydaje polecenie takiego przekazania, pod warunkiem że odbywa się ono na podstawie mechanizmu przewidzianego w rozdziale V RODO, w szczególności decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO) albo standardowych klauzul ochrony danych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).
3. Na żądanie Zamawiającego Wykonawca wskazuje mechanizm, na podstawie którego następuje przekazanie.

§ 15. Informacje i audyty

1. Wykonawca udostępnia Zamawiającemu wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO.
2. Zamawiający lub upoważniony przez niego audytor, zobowiązany do zachowania poufności, może przeprowadzać audyty, w tym inspekcje, w zakresie przetwarzania powierzonych danych. Zamawiający zawiadamia Wykonawcę o planowanym audycie z rozsądnym wyprzedzeniem, nie krótszym niż ……… dni roboczych, wskazując jego zakres.
3. Audyt przeprowadza się w dni robocze, w sposób nieutrudniający prowadzenia działalności Wykonawcy i nienaruszający poufności informacji dotyczących innych klientów Wykonawcy. W pierwszej kolejności audyt może przybrać formę pytań przesłanych w formie dokumentowej i przeglądu dokumentów.
4. W odniesieniu do dalszych podmiotów przetwarzających będących dostawcami usług standardowych Wykonawca udostępnia informacje i dokumenty publikowane lub udostępniane przez tych dostawców.
5. Koszty audytu ponosi Zamawiający, chyba że audyt wykaże naruszenie Umowy przez Wykonawcę.
6. Wykonawca niezwłocznie usuwa uchybienia stwierdzone w toku audytu.

§ 16. Usunięcie lub zwrot danych

1. Po zakończeniu okresu świadczenia usług Wykonawca — zależnie od decyzji Zamawiającego (zaznaczyć właściwe):
   ☐ usuwa wszelkie powierzone dane;
   ☐ zwraca Zamawiającemu wszelkie powierzone dane, a następnie usuwa ich kopie
   — w terminie ……… dni, chyba że prawo Unii Europejskiej lub prawo państwa członkowskiego nakazuje przechowywanie danych.
2. Dane zapisane w automatycznych kopiach zapasowych, których niezwłoczne usunięcie nie jest technicznie możliwe, są usuwane w zwykłym cyklu nadpisywania kopii. Do tego czasu Wykonawca zabezpiecza je i nie przetwarza ich w innym celu.
3. Obowiązek, o którym mowa w ust. 1, nie dotyczy danych znajdujących się w stronie, sklepie lub systemie albo na kontach należących do Zamawiającego (np. na jego hostingu). W tym zakresie Wykonawca usuwa wyłącznie swoje kopie danych oraz swoje dostępy.
4. Na żądanie Zamawiającego Wykonawca potwierdza usunięcie lub zwrot danych w formie co najmniej dokumentowej.

§ 17. Odpowiedzialność

1. Wykonawca odpowiada wobec Zamawiającego za niewykonanie lub nienależyte wykonanie Umowy na zasadach ogólnych, a wobec osób, których dane dotyczą — na zasadach określonych w art. 82 RODO, w szczególności gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem poleceniami Zamawiającego albo wbrew tym poleceniom.
2. Wykonawca odpowiada za działania i zaniechania dalszych podmiotów przetwarzających jak za własne.
3. Zamawiający odpowiada za zgodność z prawem powierzenia danych, w szczególności za istnienie podstawy prawnej przetwarzania oraz za treść wydawanych poleceń.
4. W pozostałym zakresie odpowiedzialność Stron regulują przepisy Kodeksu cywilnego.

§ 18. Czas obowiązywania i rozwiązanie umowy

1. Umowa wchodzi w życie z dniem podpisania i obowiązuje przez okres świadczenia usług.
2. Zamawiający może rozwiązać Umowę oraz Umowę główną w części dotyczącej przetwarzania danych ze skutkiem natychmiastowym, jeżeli Wykonawca rażąco narusza Umowę lub RODO — w szczególności przetwarza dane niezgodnie z celem lub poleceniami Zamawiającego — i mimo wezwania nie usuwa naruszenia w wyznaczonym, odpowiednim terminie.
3. Rozwiązanie lub wygaśnięcie Umowy nie zwalnia Wykonawcy z obowiązków określonych w § 9 ust. 3 i § 16.

§ 19. Postanowienia końcowe

1. W sprawach dotyczących przetwarzania danych osobowych postanowienia Umowy mają pierwszeństwo przed postanowieniami Umowy głównej. Postanowienia umowy o zachowaniu poufności, jeżeli Strony ją zawarły, stosuje się uzupełniająco.
2. W sprawach nieuregulowanych Umową stosuje się przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeksu cywilnego.
3. Strony będą dążyć do polubownego rozwiązania sporów wynikających z Umowy. W razie braku porozumienia spór rozstrzyga sąd powszechny właściwy według przepisów ogólnych.
4. Kontakt w sprawach ochrony danych osobowych: Wykonawca — [email protected]; Zamawiający — ……………………
5. Jeżeli którekolwiek postanowienie Umowy okaże się nieważne lub bezskuteczne, pozostałe postanowienia pozostają w mocy.
6. Zmiany Umowy, w tym jej załączników, wymagają formy, w jakiej Umowę zawarto, pod rygorem nieważności. Nie dotyczy to zmian listy dalszych podmiotów przetwarzających dokonywanych w trybie § 13 ust. 2 i 3.
7. Zgodnie z art. 28 ust. 9 RODO Umowę zawarto w formie (zaznaczyć właściwe):
   ☐ pisemnej — w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej ze Stron;
   ☐ elektronicznej — przez opatrzenie Umowy kwalifikowanymi podpisami elektronicznymi Stron;
   ☐ innej formie elektronicznej, utrwalającej treść Umowy i pozwalającej ustalić tożsamość Stron (np. podpisy elektroniczne inne niż kwalifikowane).
8. Integralną częścią Umowy są: Załącznik nr 1 — Lista dalszych podmiotów przetwarzających oraz Załącznik nr 2 — Środki techniczne i organizacyjne.

Załącznik nr 1. Lista dalszych podmiotów przetwarzających

W kolumnie „Dotyczy” Wykonawca zaznacza podmioty, którym dalej powierza dane w ramach Umowy. Kolumnę „Miejsce przetwarzania / mechanizm przekazania poza EOG” Wykonawca uzupełnia zgodnie z aktualnymi warunkami przetwarzania danych danego dostawcy.

Dostawcy, z którymi Zamawiający zawarł umowy bezpośrednio (np. dostawca obecnego hostingu lub rejestrator domeny Zamawiającego), nie są ujmowani na liście (§ 13 ust. 6).

Załącznik nr 2. Środki techniczne i organizacyjne

Wykonawca zaznacza środki stosowane w ramach Umowy. Wykonawca może zastąpić wskazany środek innym, zapewniającym co najmniej równoważny poziom bezpieczeństwa, informując o tym Zamawiającego w formie co najmniej dokumentowej.