Darmowy szablon umowy powierzenia przetwarzania danych osobowych

1. Na podstawie art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (RODO), Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych w zakresie określonym niniejszą Umową.

2. Podmiot Przetwarzający przetwarza powierzone dane osobowe wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek taki nakłada na niego prawo Unii Europejskiej lub prawo państwa członkowskiego (art. 28 ust. 3 lit. a RODO).

3. Niniejsza Umowa stanowi integralną część umowy głównej łączącej Strony.

1. Kategorie osób, których dane dotyczą: Pacjenci kliniki, pracownicy, kontrahenci.

2. Cel przetwarzania: Hosting i utrzymanie systemu medycznego HIS, tworzenie kopii zapasowych, wsparcie techniczne IT.

3. Zakres operacji przetwarzania: Przechowywanie, kopiowanie, archiwizacja, usuwanie danych na polecenie Administratora.

4. Podmiot Przetwarzający przetwarza dane osobowe przez czas trwania umowy głównej lub do czasu cofnięcia przez Administratora upoważnienia do przetwarzania danej kategorii danych, zależnie od tego, co nastąpi wcześniej.

Podmiot Przetwarzający zobowiązuje się w szczególności do:

1. przetwarzania powierzonych danych osobowych wyłącznie zgodnie z niniejszą Umową i udokumentowanymi poleceniami Administratora (art. 28 ust. 3 lit. a RODO);

2. zapewnienia, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy (art. 28 ust. 3 lit. b RODO);

3. wdrożenia i stosowania odpowiednich technicznych i organizacyjnych środków bezpieczeństwa zgodnych z art. 32 RODO, uwzględniających ryzyko naruszenia praw i wolności osób fizycznych;

4. przestrzegania warunków korzystania z usług innego podmiotu przetwarzającego (podpowierzenia) określonych w § 5 niniejszej Umowy (art. 28 ust. 2 i 4 RODO);

5. uwzględniając charakter przetwarzania, wspomagania Administratora poprzez odpowiednie środki techniczne i organizacyjne w wywiązywaniu się z obowiązku odpowiadania na żądania podmiotów danych w zakresie wykonywania ich praw (art. 28 ust. 3 lit. e RODO);

6. po zakończeniu świadczenia usług, według wyboru Administratora, usunięcia lub zwrotu wszelkich danych osobowych oraz usunięcia wszelkich istniejących kopii (art. 28 ust. 3 lit. g RODO);

7. udostępniania Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków wynikających z art. 28 RODO, w tym umożliwienia przeprowadzania audytów (art. 28 ust. 3 lit. h RODO).

1. Podmiot Przetwarzający niezwłocznie, nie później niż w terminie 5 dni roboczych od otrzymania żądania, informuje Administratora o każdym żądaniu osoby, której dane dotyczą, skierowanym bezpośrednio do Podmiotu Przetwarzającego w zakresie praw wynikających z art. 15–22 RODO (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw, nieuleganie zautomatyzowanemu przetwarzaniu).

2. Podmiot Przetwarzający nie udziela odpowiedzi na żądania podmiotów danych bez uprzedniej zgody Administratora, chyba że obowiązek taki wynika z bezwzględnie obowiązujących przepisów prawa.

1. Podmiot Przetwarzający może korzystać z usług innych podmiotów przetwarzających (podprocesorzy) wyłącznie po uzyskaniu uprzedniej, szczegółowej lub ogólnej pisemnej zgody Administratora (art. 28 ust. 2 RODO).

2. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot Przetwarzający z następujących podprocesorów zatwierdzonych na dzień zawarcia Umowy:

• Amazon Web Services EMEA SARL (Frankfurt, Niemcy)
• Mailgun Technologies LLC (Dublin, Irlandia)

3. Podmiot Przetwarzający informuje Administratora o planowanych zmianach dotyczących dodania lub zastąpienia podprocesorów z wyprzedzeniem minimum 14 dni, umożliwiając Administratorowi zgłoszenie sprzeciwu.

4. Na każdy podprocesor Podmiot Przetwarzający nakłada, w drodze umowy powierzenia, te same obowiązki ochrony danych, jakie spoczywają na Podmiocie Przetwarzającym na mocy niniejszej Umowy (art. 28 ust. 4 RODO). Podmiot Przetwarzający ponosi pełną odpowiedzialność wobec Administratora za działania lub zaniechania podprocesorów.

1. Podmiot Przetwarzający bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od stwierdzenia naruszenia ochrony danych osobowych, zgłosi Administratorowi za pośrednictwem poczty elektronicznej wszelkie naruszenia ochrony danych osobowych, o których mowa w art. 33 RODO.

2. Zgłoszenie zawiera co najmniej: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i rekordów danych, których dotyczy naruszenie, nazwę i dane kontaktowe IOD lub innego punktu kontaktowego, opis możliwych konsekwencji naruszenia, opis środków podjętych lub proponowanych w celu usunięcia naruszenia (art. 33 ust. 3 RODO).

3. Podmiot Przetwarzający niezwłocznie podejmuje wszelkie działania naprawcze w celu ograniczenia skutków naruszenia i zapobieżenia podobnym zdarzeniom w przyszłości.

1. Łączna odpowiedzialność Podmiotu Przetwarzającego wobec Administratora z tytułu niniejszej Umowy jest ograniczona do kwoty 500 000,00 PLN, z wyjątkiem przypadków umyślnego naruszenia przepisów RODO lub umyślnego działania na szkodę osób, których dane dotyczą.

2. Strony potwierdzają, że zgodnie z art. 82 ust. 2 RODO, Podmiot Przetwarzający jest zwolniony od odpowiedzialności, jeżeli udowodni, że w żaden sposób nie ponosi winy za zdarzenie, które doprowadziło do powstania szkody.

3. W razie naruszenia przez Podmiot Przetwarzający istotnych postanowień niniejszej Umowy, Administrator może naliczyć karę umowną w kwocie 50 000,00 PLN za każde udowodnione naruszenie. Kara umowna nie wyłącza prawa dochodzenia odszkodowania uzupełniającego (art. 484 § 1 zd. 2 KC).

4. Niniejsza Umowa podlega prawu polskiemu. Wszelkie spory wynikające z Umowy lub z nią związane Strony poddają pod jurysdykcję Sąd Rejonowy dla m.st. Warszawy.

1. Niniejsza Umowa wchodzi w życie z dniem podpisania przez obie Strony.

2. Wszelkie zmiany Umowy wymagają formy pisemnej pod rygorem nieważności.

3. Umowa zostaje zawarta na czas obowiązywania umowy głównej. Wygasa automatycznie z chwilą rozwiązania lub wygaśnięcia umowy głównej, z zachowaniem obowiązków związanych z usunięciem lub zwrotem danych (§ 3 pkt 6).

4. W sprawach nieuregulowanych niniejszą Umową stosuje się przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeksu cywilnego.

5. Umowę sporządzono w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej ze Stron.