Wzór umowy powierzenia

Umowa powierzenia przetwarzania danych osobowych

Zawarta w dniu [data zawarcia] w [miejsce zawarcia] pomiędzy:

[nazwa administratora]
[adres administratora], NIP: [NIP]

reprezentowanym przez: [osoba uprawniona do reprezentacji],

zwanym dalej „administratorem”, a

Adamem Milczarkiem, prowadzącym działalność gospodarczą pod firmą AdvancedNet Adam Milczarek, ul. Spokojna 10, 87-100 Toruń, REGON: 340704249, NIP: 8792349945, zwanym dalej „podmiotem przetwarzającym”.

§ 1. Powierzenie

1. Administrator powierza podmiotowi przetwarzającemu dane osobowe w trybie art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, zwanego dalej rozporządzeniem.
2. Podmiot przetwarzający oświadcza, że zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie spełniało wymogi rozporządzenia i chroniło prawa osób, których dane dotyczą.
3. Podmiot przetwarzający przetwarza powierzone dane wyłącznie na udokumentowane polecenie administratora, którym jest ta umowa oraz konfiguracja usługi w panelu, chyba że obowiązek wynika z prawa Unii lub prawa państwa członkowskiego. O takim obowiązku informuje administratora przed przetwarzaniem, o ile prawo tego nie zabrania.
4. Jeżeli polecenie narusza rozporządzenie lub inne przepisy o ochronie danych, podmiot przetwarzający niezwłocznie informuje o tym administratora.

§ 2. Przedmiot i czas

1. Przedmiotem powierzenia jest przetwarzanie danych, które administrator umieszcza w ramach usług AdvancedNet: hostingu, konta biznesowego, konta resellerskiego, serwera VPS oraz poczty utrzymywanej na tych usługach.
2. Przetwarzanie trwa przez okres korzystania z tych usług, a po jego zakończeniu przez czas potrzebny do zwrotu albo usunięcia danych według § 9.

§ 3. Charakter i cel

1. Charakter przetwarzania obejmuje przechowywanie, odtwarzanie z kopii, transmisję i techniczne utrzymanie danych na infrastrukturze podmiotu przetwarzającego, w zakresie wynikającym z wybranej usługi.
2. Celem jest wykonanie umowy o tę usługę: utrzymanie strony, aplikacji, baz i poczty administratora.

§ 4. Rodzaj danych i kategorie osób

1. Powierzone dane to dane, które administrator sam wprowadza do usługi, w szczególności treść strony i formularzy, treść i nagłówki poczty, dane w bazach oraz identyfikatory techniczne, takie jak adres IP i identyfikator sesji.
2. Dane te mogą dotyczyć osób, których informacje administrator umieścił w usłudze, w tym pracowników, współpracowników i osób korzystających z jego strony albo poczty. Zakres ustala administrator przez to, co sam zapisuje na usłudze.

§ 5. Obowiązki administratora

1. Administrator odpowiada za podstawę prawną przetwarzania powierzonych danych i za treść poleceń wydawanych podmiotowi przetwarzającemu.
2. Administrator odpowiada na żądania osób, których dane dotyczą, wynikające z rozdziału III rozporządzenia. Może prosić podmiot przetwarzający o pomoc w zakresie art. 28 ust. 3 lit. e rozporządzenia.
3. Administrator wykonuje obowiązki z art. 32–36 rozporządzenia i może prosić podmiot przetwarzający o pomoc w zakresie art. 28 ust. 3 lit. f rozporządzenia.
4. Administrator może przeprowadzić audyt albo inspekcję osobiście lub przez upoważnioną osobę, po wcześniejszym ustaleniu terminu i zakresu, nie częściej niż raz w roku, chyba że audyt wynika z naruszenia ochrony danych.

§ 6. Obowiązki podmiotu przetwarzającego

1. Podmiot przetwarzający zapewnia, aby osoby upoważnione do przetwarzania powierzonych danych zobowiązały się do poufności albo podlegały odpowiedniemu ustawowemu obowiązkowi poufności.
2. Podmiot przetwarzający stosuje środki wymagane przez art. 32 rozporządzenia, odpowiednie do ryzyka, w tym kontrolę dostępu do systemów, kopie hostingu opisane w regulaminie oraz ograniczenie dostępu do danych administratora do osób, które obsługują usługę.
3. Podmiot przetwarzający pomaga administratorowi, w miarę możliwości, w realizacji praw osób, których dane dotyczą, oraz w obowiązkach z art. 32–36 rozporządzenia.
4. Podmiot przetwarzający udostępnia administratorowi informacje potrzebne do wykazania spełnienia obowiązków z art. 28 rozporządzenia i umożliwia audyt, o którym mowa w § 5.
5. O naruszeniu ochrony powierzonych danych podmiot przetwarzający zawiadamia administratora bez zbędnej zwłoki od jego stwierdzenia, wraz z opisem, który pozwala administratorowi wykonać obowiązek z art. 33 rozporządzenia.
6. Podmiot przetwarzający nie wykorzystuje powierzonych danych do własnych celów, w tym do marketingu.

§ 7. Odpowiedzialność

1. Administrator odpowiada za zgodne z prawem przetwarzanie danych, których jest administratorem.
2. Nie wyłącza to odpowiedzialności podmiotu przetwarzającego za przetwarzanie niezgodne z umową, za niedopełnienie obowiązków nałożonych wprost rozporządzeniem oraz za działanie poza zgodnymi z prawem poleceniami administratora albo wbrew tym poleceniom.

§ 8. Dalsze powierzenie

1. Administrator wyraża ogólną zgodę na dalsze powierzenie danych operatorowi profesjonalnej serwerowni w Toruniu, w której pracuje sprzęt usługi. Maszynami administruje podmiot przetwarzający.
2. O zamiarze powierzenia danych innemu podmiotowi albo o zmianie dotychczasowego podmiotu podmiot przetwarzający informuje administratora na adres e-mail z konta, co najmniej 14 dni wcześniej. Administrator może w tym terminie wnieść sprzeciw. Sprzeciw uprawnia każdą ze stron do rozwiązania umowy o usługę, której dalsze świadczenie bez tego podmiotu nie jest możliwe.
3. Na dalszy podmiot nałożone są te same obowiązki ochrony danych, które wynikają z tej umowy. Za ich wykonanie wobec administratora odpowiada podmiot przetwarzający.

§ 9. Zakończenie przetwarzania

1. Po zakończeniu świadczenia usługi podmiot przetwarzający, według wyboru administratora zgłoszonego przed końcem usługi, usuwa powierzone dane albo zwraca je administratorowi i usuwa istniejące kopie.
2. Jeżeli administrator nie wskaże zwrotu, dane są usuwane na zasadach regulaminu usług: po 30 dniach od zakończenia świadczenia nieopłaconej albo zakończonej usługi, a kopie nie są przechowywane dłużej niż 6 miesięcy.
3. Obowiązek usunięcia nie dotyczy danych, które podmiot przetwarzający musi przechowywać na podstawie prawa, w szczególności dokumentów księgowych dotyczących samej umowy z administratorem.

§ 10. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się kodeks cywilny i rozporządzenie.
2. Spory z tej umowy rozstrzyga sąd według właściwości ogólnej. Skarga na przetwarzanie danych może zostać wniesiona do Prezesa Urzędu Ochrony Danych Osobowych.
3. Umowę zawiera się w formie dokumentowej. Wygenerowanie jej w panelu klienta i zachowanie pliku przez każdą ze stron wystarcza. Zmiana umowy wymaga takiej samej formy.
4. Umowa jest załącznikiem regulaminu świadczenia usług AdvancedNet. W razie sprzeczności co do powierzonych danych osobowych pierwszeństwo ma ta umowa.