Projekt umowy powierzenia danych

Strony i przedmiot powierzenia

Administrator: [pełna nazwa, adres, dane rejestrowe, osoba reprezentująca i kontakt]. Podmiot przetwarzający: operator Przeglądów Online wskazany przy dokumencie, po uzupełnieniu pełnych danych. Umowa główna: [oznaczenie i data]. Jeżeli organizacja działa jako procesor, należy uzgodnić odrębne warunki dalszego powierzenia oraz uzyskać wymagane upoważnienie administratora.

Administrator powierza przetwarzanie wyłącznie w celu wykonania umowy głównej: gromadzenia, porządkowania, przechowywania, aktualizacji, udostępniania uprawnionym odbiorcom, eksportu i usuwania dokumentacji przeglądów. Czas przetwarzania obejmuje wykonanie umowy głównej i uzgodnione zakończenie obsługi danych.

Kategorie osób: autorzy i inspektorzy, przedstawiciele biura i zarządcy, osoby kontaktowe oraz osoby, których dane zgodnie z prawem znajdą się w dokumentacji. Rodzaje danych: identyfikacyjne, kontaktowe, zawodowe, podpisy, pieczątki i wizerunek przypadkowo lub celowo utrwalony w dokumentacji. Ostateczny zakres strony wpisują do załącznika; szczególne kategorie danych i dane z art. 10 RODO nie są objęte standardowym zakresem.

Polecenia, poufność i bezpieczeństwo

Podmiot przetwarzający wykonuje wyłącznie udokumentowane polecenia administratora, również dotyczące transferu poza EOG. Jeżeli obowiązek przetwarzania wynika z prawa, informuje o nim administratora przed przetwarzaniem, chyba że prawo zabrania takiej informacji. Informuje również niezwłocznie o poleceniu, które jego zdaniem narusza przepisy ochrony danych.

Dostęp mają wyłącznie osoby upoważnione, zobowiązane do poufności. Podmiot przetwarzający wdraża środki odpowiednie do ryzyka zgodnie z art. 32 RODO. Załącznik bezpieczeństwa powinien wskazywać faktycznie wdrożone uwierzytelnienie, uprawnienia, zabezpieczenie transportu i urządzeń, kopie zapasowe, odtwarzanie, aktualizacje, przeglądy dostępu i postępowanie z incydentami. Sam wzór nie potwierdza wdrożenia wszystkich tych środków.

Dalsze powierzenie i lokalizacja danych

Dalsze powierzenie wymaga uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. Przy ogólnej zgodzie podmiot przetwarzający informuje o dodaniu lub zastąpieniu dostawcy z wyprzedzeniem określonym przez strony, tak aby administrator mógł wnieść sprzeciw przed zmianą.

Na dalszy podmiot nakłada się te same obowiązki ochrony danych w wymaganym zakresie; operator odpowiada za ich wykonanie wobec administratora zgodnie z art. 28 ust. 4 RODO. Załącznik zawiera nazwę każdego dostawcy, usługę, państwa przetwarzania i dostępu oraz podstawę i zabezpieczenia ewentualnego transferu poza EOG. Wykaz wymaga uzupełnienia przed zawarciem umowy. Podłączenie S3 nie stanowi automatycznej zgody na nowego dostawcę.

Wnioski osób, incydenty i współpraca

Z uwzględnieniem charakteru przetwarzania operator pomaga administratorowi obsługiwać prawa osób oraz wykonywać obowiązki wynikające z art. 32–36 RODO, w tym ocenę ryzyka, ocenę skutków i konsultacje. Wniosek osoby dotyczący powierzonych danych przekazuje administratorowi bez samodzielnego rozstrzygania go, chyba że otrzyma odpowiednie polecenie.

O naruszeniu ochrony powierzonych danych operator informuje administratora bez zbędnej zwłoki po jego stwierdzeniu. Przekazuje dostępne informacje o charakterze, zakresie, możliwych skutkach i środkach zaradczych, a następnie uzupełnia je wraz z ustaleniami. Strony wpisują kanał alarmowy i osoby kontaktowe do załącznika. Obowiązek operatora nie zastępuje oceny obowiązku zgłoszenia przez administratora organowi nadzorczemu.

Informacje, audyty i obowiązki administratora

Operator udostępnia informacje konieczne do wykazania wykonania obowiązków i umożliwia audyty, w tym inspekcje, przez administratora lub upoważnionego audytora, przy uzgodnieniu zasad chroniących dane innych organizacji. Uzgodnienia organizacyjne nie mogą wyłączać uprawnień wymaganych przez art. 28 RODO.

Administrator zapewnia zgodność poleceń z prawem, właściwą podstawę przetwarzania, informacje dla osób, minimalizację danych, prawidłowe upoważnienia użytkowników i nadzór nad urządzeniami oraz kopią pobranej dokumentacji.

Zwrot, usunięcie i załączniki

Po zakończeniu świadczenia usług operator, według decyzji administratora, zwraca lub usuwa powierzone dane i usuwa ich kopie, chyba że prawo wymaga dalszego przechowywania. Strony przed zawarciem umowy uzgadniają format eksportu, termin wykonania, wygaszenie kopii zapasowych i potwierdzenie zakończenia. Do tego czasu wzór nie określa gotowej procedury automatycznej kasacji.

Załączniki do uzupełnienia: zakres danych i osób; wykaz dalszych podmiotów oraz transferów; środki bezpieczeństwa i cykl kopii; osoby i kanały kontaktowe; zasady eksportu, zwrotu, usuwania i obsługi incydentów. Umowa musi zostać zawarta przez uprawnionych przedstawicieli. Samo logowanie inspektora, odczytanie lub skopiowanie tego projektu nie zawiera umowy.