Umowa powierzenia przetwarzania danych osobowych

Administratorem danych osobowych (dalej: „Administrator") jest klient zlecający usługi hostingu, administracji serwerem/systemem lub wsparcia technicznego strony internetowej albo infrastruktury IT, którego dane rejestrowe (nazwa, adres siedziby, NIP, osoba reprezentująca) wskazane są w umowie głównej, zamówieniu lub formularzu akceptacji usługi.

Podmiotem przetwarzającym (dalej: „Procesor") jest Piek-Dev Jarosław Piekarski, ul. Zaborowskiej 8/16, 76-200 Słupsk, NIP: 8392919072 (dalej łącznie: „Strony").

Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa") określa zasady przetwarzania przez Procesora danych osobowych powierzonych przez Administratora w związku ze świadczeniem usług hostingu, administracji serwerem lub systemem, wdrożenia i utrzymania strony internetowej, wykonywania kopii zapasowych lub wsparcia technicznego (dalej: „Usługi Główne"), szczegółowo opisanych w odrębnej umowie, zamówieniu lub ofercie zaakceptowanej przez Administratora.

Umowa stanowi realizację obowiązku, o którym mowa w art. 28 ust. 3 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO).

Procesor przetwarza dane osobowe wyłącznie w zakresie niezbędnym do wykonania Usług Głównych, w szczególności w celu: utrzymania działania serwera lub hostingu, wykonywania kopii zapasowych, monitorowania dostępności i bezpieczeństwa, instalacji aktualizacji, usuwania awarii oraz udzielania wsparcia technicznego.

Szczegółowy zakres przetwarzanych danych, kategorie osób, których dane dotyczą, oraz charakter przetwarzania określa Załącznik nr 1 do Umowy.

Procesor nie przetwarza powierzonych danych w celach innych niż określone w Umowie, chyba że obowiązek taki nakłada prawo Unii lub prawo polskie — w takim przypadku przed rozpoczęciem przetwarzania informuje o tym wymogu prawnym Administratora, o ile prawo to nie zabrania udzielenia takiej informacji.

Umowa obowiązuje przez okres trwania Usług Głównych i wygasa z chwilą ich zakończenia, rozwiązania lub wygaśnięcia, z zastrzeżeniem postanowień §10 dotyczących zakończenia przetwarzania.

Procesor zobowiązuje się, że:

1. przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo polskie;
2. zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi jej zachowania;
3. podejmuje wszelkie środki wymagane na mocy art. 32 RODO, opisane w §7 Umowy;
4. przestrzega warunków korzystania z usług innego podmiotu przetwarzającego (podprocesora), o których mowa w §6;
5. uwzględniając charakter przetwarzania, w miarę możliwości pomaga Administratorowi — poprzez odpowiednie środki techniczne i organizacyjne — wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III RODO;
6. uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo przetwarzania, zgłaszanie naruszeń, oceny skutków dla ochrony danych, konsultacje z organem nadzorczym);
7. po zakończeniu świadczenia Usług Głównych, zgodnie z decyzją Administratora, usuwa lub zwraca mu wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo polskie nakazują przechowywanie danych osobowych;
8. udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.

Administrator wyraża ogólną zgodę na korzystanie przez Procesora z usług innych podmiotów przetwarzających (podprocesorów) w zakresie niezbędnym do realizacji Usług Głównych, w szczególności dostawców infrastruktury serwerowej / centrum danych, rejestratorów domen oraz dostawców usług pocztowych — zgodnie z aktualną listą stanowiącą Załącznik nr 2.

Procesor informuje Administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających, dając Administratorowi możliwość wyrażenia sprzeciwu wobec takich zmian w terminie 14 dni od otrzymania informacji.

Procesor nakłada na podprocesora — w drodze umowy — te same obowiązki ochrony danych, jakie wynikają z niniejszej Umowy, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych, oraz odpowiada wobec Administratora za wypełnienie tych obowiązków przez każdego podprocesora.

Procesor wdraża i utrzymuje środki techniczne i organizacyjne adekwatne do ryzyka, obejmujące w szczególności:

• kontrolę dostępu do serwerów wyłącznie poprzez uwierzytelnianie kluczem SSH oraz ograniczenie dostępu do zasobów według zasady minimalnych uprawnień;
• zaporę sieciową (firewall) oraz systemy ograniczające próby nieautoryzowanego dostępu (m.in. Fail2ban);
• szyfrowane połączenia (TLS/SSL) do transmisji danych;
• regularne aktualizacje bezpieczeństwa systemu operacyjnego i oprogramowania serwerowego;
• automatyczne kopie zapasowe wykonywane cyklicznie, przechowywane poza serwerem produkcyjnym, z okresowym testem odtwarzania;
• monitoring dostępności i bezpieczeństwa infrastruktury (system klasy Zabbix) oraz rejestrowanie zdarzeń (logi);
• procedury reagowania na incydenty bezpieczeństwa oraz zgłaszania naruszeń ochrony danych.

Szczegółowy opis wdrożonych środków może zostać udostępniony Administratorowi na jego żądanie.

Procesor zgłasza Administratorowi każde stwierdzone naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia.

Zgłoszenie zawiera co najmniej: opis charakteru naruszenia, przybliżoną liczbę osób i wpisów danych, których dotyczy naruszenie, opis możliwych konsekwencji oraz opis zastosowanych lub proponowanych środków zaradczych.

Procesor podejmuje działania niezbędne do ograniczenia skutków naruszenia oraz współpracuje z Administratorem przy zgłoszeniu naruszenia organowi nadzorczemu oraz osobom, których dane dotyczą, jeżeli taki obowiązek powstanie po stronie Administratora.

Administrator ma prawo, po uprzednim uzgodnieniu terminu z co najmniej 7-dniowym wyprzedzeniem, zweryfikować zgodność przetwarzania danych przez Procesora z Umową, w szczególności poprzez przegląd dokumentacji dotyczącej wdrożonych środków bezpieczeństwa.

Kontrola odbywa się w sposób nienaruszający bezpieczeństwa innych klientów Procesora oraz tajemnicy przedsiębiorstwa, w godzinach pracy Procesora i nie częściej niż raz w roku kalendarzowym, chyba że wystąpiło naruszenie ochrony danych.

Po zakończeniu świadczenia Usług Głównych Procesor, zgodnie z dyspozycją Administratora, usuwa dane osobowe i wszelkie ich kopie w terminie 30 dni albo przekazuje je Administratorowi w ustalonym formacie, chyba że obowiązujące przepisy prawa nakazują ich dalsze przechowywanie.

Potwierdzenie usunięcia danych Procesor przekazuje Administratorowi na jego żądanie.

Procesor odpowiada za szkody spowodowane przetwarzaniem danych wyłącznie wtedy, gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem instrukcjami Administratora albo wbrew tym instrukcjom.

Odpowiedzialność Procesora z tytułu niniejszej Umowy ograniczona jest do rzeczywistej szkody i do wysokości wynagrodzenia netto otrzymanego od Administratora za Usługi Główne w okresie 12 miesięcy poprzedzających zdarzenie, chyba że szkoda powstała z winy umyślnej Procesora.

Procesor zobowiązuje się do zachowania w tajemnicy wszelkich danych osobowych oraz informacji powziętych w związku z realizacją Umowy, także po jej zakończeniu.

1. W sprawach nieuregulowanych Umową zastosowanie mają przepisy RODO oraz Kodeksu cywilnego.
2. Zmiana Umowy wymaga formy pisemnej lub dokumentowej (w tym elektronicznej, np. e-mail) pod rygorem nieważności.
3. Umowa zostaje zawarta w formie papierowej w dwóch jednobrzmiących egzemplarzach albo w formie elektronicznej zaakceptowanej przez obie Strony.

Kategorie osób, których dane dotyczą: użytkownicy i klienci strony internetowej lub systemu Administratora, osoby kontaktujące się poprzez formularze i pocztę e-mail, pracownicy i współpracownicy Administratora posiadający dostęp do systemu lub skrzynek pocztowych.

Kategorie danych osobowych: dane identyfikacyjne i kontaktowe (imię, nazwisko, e-mail, telefon, adres), dane zawarte w treści wiadomości, formularzy i zamówień, dane logowania (loginy, adresy IP), dane przechowywane w bazie danych aplikacji lub strony internetowej Administratora.

Czynności przetwarzania: przechowywanie na serwerze, wykonywanie kopii zapasowych, monitorowanie i zabezpieczanie infrastruktury, instalacja aktualizacji, usuwanie awarii, wsparcie techniczne.

Aktualna lista dalszych podmiotów przetwarzających (m.in. dostawca infrastruktury serwerowej / centrum danych, rejestrator domen, dostawca usług pocztowych — o ile dotyczy danej usługi) jest udostępniana Administratorowi przed zawarciem Umowy oraz aktualizowana w razie zmian zgodnie z §6.