Umowa powierzenia
przetwarzania danych.

§ 1. Definicje i podstawa

1. Umowa stanowi umowę powierzenia, o której mowa w art. 28 ust. 3 RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.).
2. Pojęcia: „dane osobowe", „przetwarzanie", „administrator", „podmiot przetwarzający", „naruszenie ochrony danych" - mają znaczenie nadane im w art. 4 RODO.
3. Umowa jest powiązana z umową główną na wykonanie / utrzymanie / hosting systemu z dnia … („Umowa Główna") i obowiązuje przez czas jej trwania.

§ 2. Przedmiot i cel powierzenia

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych wyłącznie w zakresie i celu niezbędnym do wykonania Umowy Głównej, tj. budowy / utrzymania / hostingu / wsparcia technicznego systemu.
2. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora - za takie polecenie uznaje się również treść Umowy Głównej i niniejszej Umowy oraz zgłoszenia serwisowe.
3. Podmiot przetwarzający nie określa celów ani sposobów przetwarzania we własnym imieniu.

§ 3. Charakter, czas, rodzaj danych i kategorie osób

1. Charakter przetwarzania: przechowywanie, hosting, utrzymanie, kopie zapasowe, wsparcie techniczne, modyfikacje systemu.
2. Czas przetwarzania: przez okres obowiązywania Umowy Głównej.
3. Rodzaj danych i kategorie osób, których dane dotyczą, określa Załącznik A do Umowy.
4. Podmiot przetwarzający nie przetwarza szczególnych kategorii danych (art. 9 RODO), chyba że Załącznik A wprost tak stanowi.

§ 4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się, zgodnie z art. 28 ust. 3 RODO, do:

1. przetwarzania danych wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych do państwa trzeciego - chyba że obowiązek taki nakłada prawo UE lub państwa członkowskiego (wówczas informuje Administratora przed przetwarzaniem, o ile prawo tego nie zakazuje);
2. zapewnienia, by osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi tajemnicy;
3. zastosowania środków technicznych i organizacyjnych zapewniających bezpieczeństwo adekwatne do ryzyka (art. 32 RODO) - opisanych w Załączniku B;
4. przestrzegania warunków podpowierzenia (§ 5);
5. pomocy Administratorowi - w miarę możliwości i przy użyciu odpowiednich środków - w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdz. III RODO), oraz w wypełnianiu obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje);
6. po zakończeniu świadczenia - usunięcia lub zwrotu wszelkich danych osobowych (wg wyboru Administratora) oraz usunięcia istniejących kopii, chyba że prawo UE/państwa członkowskiego nakazuje ich przechowywanie;
7. udostępnienia Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków oraz umożliwienia audytów i inspekcji (§ 6);
8. niezwłocznego informowania Administratora, jeśli jego zdaniem wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.

§ 5. Podpowierzenie (dalsi przetwarzający)

1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających (subprocesorów) wskazanych w Załączniku B.
2. O zamierzonej zmianie (dodaniu/zastąpieniu subprocesora) Podmiot przetwarzający informuje Administratora z wyprzedzeniem, dając możliwość wniesienia sprzeciwu.
3. Na dalszy podmiot przetwarzający nakłada się te same obowiązki ochrony danych co w niniejszej Umowie. Za działania subprocesora Podmiot przetwarzający odpowiada jak za własne.

§ 6. Prawo kontroli i audytu

1. Administrator ma prawo kontroli zgodności przetwarzania z Umową i RODO - osobiście lub przez upoważniony podmiot.
2. Audyt zapowiada się z co najmniej 7-dniowym wyprzedzeniem, w godzinach pracy, w sposób niezakłócający działalności Podmiotu przetwarzającego i z poszanowaniem tajemnic oraz danych innych klientów.
3. Podmiot przetwarzający udziela wyjaśnień i udostępnia dokumentację w rozsądnym terminie.

§ 7. Bezpieczeństwo i lokalizacja danych

1. Dane są przetwarzane i przechowywane na terenie Europejskiego Obszaru Gospodarczego (EOG). Przekazanie poza EOG wymaga uprzedniej zgody Administratora i zastosowania zabezpieczeń z rozdz. V RODO.
2. Funkcje oparte na sztucznej inteligencji. Jeżeli przedmiotem zlecenia jest wdrożenie w systemie Administratora funkcji korzystającej z zewnętrznego modelu językowego (AI), której działanie wymaga przekazywania danych do dostawcy takiego modelu - w tym dostawcy z siedzibą poza EOG - wymaga to odrębnego aneksu do niniejszej Umowy. Aneks wskazuje dostawcę, zakres przekazywanych danych, podstawę transferu (standardowe klauzule umowne lub decyzja o odpowiednim stopniu ochrony) oraz aktualizuje listę subprocesorów w Załączniku B. Bez takiego aneksu Podmiot przetwarzający nie przekazuje danych Administratora do dostawców AI.
3. Podmiot przetwarzający stosuje m.in.: szyfrowanie transmisji (TLS/HTTPS), kontrolę dostępu i uwierzytelnianie, kopie zapasowe, aktualizacje zabezpieczeń, zasadę najmniejszych uprawnień - szczegóły w Załączniku B.

§ 8. Naruszenia ochrony danych

1. O stwierdzonym naruszeniu ochrony danych osobowych Podmiot przetwarzający informuje Administratora bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego wykrycia.
2. Zgłoszenie zawiera dostępne informacje umożliwiające Administratorowi wypełnienie obowiązku z art. 33–34 RODO (charakter naruszenia, kategorie i przybliżona liczba osób/rekordów, możliwe konsekwencje, podjęte/proponowane środki).

§ 9. Odpowiedzialność

1. Każda ze Stron odpowiada za szkody wyrządzone przetwarzaniem zgodnie z art. 82 RODO.
2. Podmiot przetwarzający odpowiada za szkody wynikłe z przetwarzania niezgodnego z Umową lub z pominięciem zgodnych z prawem poleceń Administratora.

§ 10. Czas trwania i rozwiązanie

1. Umowa obowiązuje przez czas trwania Umowy Głównej i wygasa z chwilą jej zakończenia.
2. Po wygaśnięciu Podmiot przetwarzający postępuje z danymi zgodnie z § 4 pkt 6.

§ 11. Postanowienia końcowe

1. Zmiany Umowy wymagają formy dokumentowej/pisemnej pod rygorem nieważności.
2. W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych oraz Kodeks cywilny.
3. Prawem właściwym jest prawo polskie; spory rozstrzyga sąd właściwy dla siedziby Administratora / Podmiotu przetwarzającego.
4. Umowę sporządzono w dwóch jednobrzmiących egzemplarzach / w formie elektronicznej z podpisami.

Załącznik A - Zakres powierzonych danych (wypełnia Administrator)

• Kategorie osób: np. klienci / pacjenci / kontrahenci / użytkownicy serwisu / pracownicy …
• Rodzaje danych: np. imię i nazwisko, e-mail, telefon, adres, dane do faktury, treść zgłoszeń …
• Szczególne kategorie (art. 9): ☐ nie dotyczy ☐ tak - jakie
• Cel: hosting / utrzymanie / wsparcie systemu …

Załącznik B - Środki bezpieczeństwa (art. 32) i lista subprocesorów

Środki techniczne i organizacyjne: szyfrowanie TLS/HTTPS, kontrola dostępu i indywidualne konta, zasada najmniejszych uprawnień, regularne kopie zapasowe, aktualizacje i łatki bezpieczeństwa, monitoring dostępności, dane w EOG.

Subprocesorzy (dalsi przetwarzający):

§ 12a. Zgoda na sub-procesorów (art. 28 ust. 2 RODO):

• Podmiot przetwarzający uzyskał ogólną, uprzednią pisemną zgodę Administratora na korzystanie z sub-procesorów wymienionych w tabeli powyżej. Zgoda ta jest udzielana z chwilą zawarcia niniejszej Umowy.
• O każdej zmianie (dodaniu / zastąpieniu) sub-procesora Podmiot przetwarzający poinformuje Administratora z wyprzedzeniem co najmniej 14 dni (e-mail na adres kontaktowy). Administrator może w tym terminie zgłosić uzasadniony sprzeciw; w takim wypadku Strony podejmą rozmowy w dobrej wierze o dalszym trwaniu umowy głównej.
• Podmiot przetwarzający odpowiada wobec Administratora za działania każdego sub-procesora jak za działania własne (art. 28 ust. 4 RODO).
• Umowa z sub-procesorem zawiera te same obowiązki ochrony danych, co niniejsza Umowa, w szczególności w zakresie środków bezpieczeństwa (art. 32 RODO) oraz odpowiedzi na żądania osób, których dane dotyczą.

§ 12b. Zwrot lub usunięcie danych po zakończeniu przetwarzania (art. 28 ust. 3 lit. g RODO):

• Po zakończeniu świadczenia usług objętych Umową Główną (rozwiązanie, wygaśnięcie, wypowiedzenie), Podmiot przetwarzający - według wyboru Administratora zgłoszonego pisemnie w terminie 30 dni od zakończenia - dokona:
  • zwrotu wszystkich danych osobowych Administratorowi w ustrukturyzowanym formacie (np. SQL dump, CSV, JSON), lub
  • usunięcia wszystkich danych osobowych z systemów produkcyjnych oraz kopii zapasowych z potwierdzeniem na trwałym nośniku (protokół usunięcia).
• W braku wyboru Administratora w powyższym terminie, Podmiot przetwarzający usuwa dane (domyślna decyzja pro-privacy).
• Retencja kopii zapasowych po zakończeniu Umowy: nie dłużej niż 30 dni, po tym terminie kopie są nieodwracalnie kasowane.
• Wyjątek: obowiązek przechowywania na podstawie prawa (np. faktury - 5 lat art. 74 ust. 2 UoR, ewentualne żądania organów). W takim wypadku Podmiot przetwarzający ogranicza dostęp do minimum i informuje Administratora.