Projekt umowy powierzenia danych Wersja: 2026-10-13-draft.1 • 13.10.2026 Projekt dokumentów do uzupełnienia przed uruchomieniem usługi produkcyjnej. Nie jest jeszcze obowiązującym regulaminem ani zawartą umową powierzenia. Operator: Biuro Obsługi Inwestycji Adres: Do uzupełnienia NIP: Do uzupełnienia Kontakt i sprawy prywatności: biuro@boi.waw.pl Do uzupełnienia przed publikacją: - Pełna nazwa prawna operatora, adres i NIP; dane rejestrowe, jeśli mają zastosowanie. - Dostawcy hostingu, poczty i zdjęć, ich lokalizacje oraz ewentualne transfery poza EOG. - Okresy przechowywania logów, kont po zakończeniu usługi i kopii zapasowych; procedura usuwania i eksportu. - Potwierdzenie roli administratora danych przeglądów dla każdej organizacji i podpisanie umowy powierzenia. - Ocena potrzeby wyznaczenia inspektora ochrony danych i jego kontakt, jeśli zostanie wyznaczony. Strony i przedmiot powierzenia Administrator: [pełna nazwa, adres, dane rejestrowe, osoba reprezentująca i kontakt]. Podmiot przetwarzający: operator Przeglądów Online wskazany przy dokumencie, po uzupełnieniu pełnych danych. Umowa główna: [oznaczenie i data]. Jeżeli organizacja działa jako procesor, należy uzgodnić odrębne warunki dalszego powierzenia oraz uzyskać wymagane upoważnienie administratora. Administrator powierza przetwarzanie wyłącznie w celu wykonania umowy głównej: gromadzenia, porządkowania, przechowywania, aktualizacji, udostępniania uprawnionym odbiorcom, eksportu i usuwania dokumentacji przeglądów. Czas przetwarzania obejmuje wykonanie umowy głównej i uzgodnione zakończenie obsługi danych. Kategorie osób: autorzy i inspektorzy, przedstawiciele biura i zarządcy, osoby kontaktowe oraz osoby, których dane zgodnie z prawem znajdą się w dokumentacji. Rodzaje danych: identyfikacyjne, kontaktowe, zawodowe, podpisy, pieczątki i wizerunek przypadkowo lub celowo utrwalony w dokumentacji. Ostateczny zakres strony wpisują do załącznika; szczególne kategorie danych i dane z art. 10 RODO nie są objęte standardowym zakresem. Polecenia, poufność i bezpieczeństwo Podmiot przetwarzający wykonuje wyłącznie udokumentowane polecenia administratora, również dotyczące transferu poza EOG. Jeżeli obowiązek przetwarzania wynika z prawa, informuje o nim administratora przed przetwarzaniem, chyba że prawo zabrania takiej informacji. Informuje również niezwłocznie o poleceniu, które jego zdaniem narusza przepisy ochrony danych. Dostęp mają wyłącznie osoby upoważnione, zobowiązane do poufności. Podmiot przetwarzający wdraża środki odpowiednie do ryzyka zgodnie z art. 32 RODO. Załącznik bezpieczeństwa powinien wskazywać faktycznie wdrożone uwierzytelnienie, uprawnienia, zabezpieczenie transportu i urządzeń, kopie zapasowe, odtwarzanie, aktualizacje, przeglądy dostępu i postępowanie z incydentami. Sam wzór nie potwierdza wdrożenia wszystkich tych środków. Dalsze powierzenie i lokalizacja danych Dalsze powierzenie wymaga uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. Przy ogólnej zgodzie podmiot przetwarzający informuje o dodaniu lub zastąpieniu dostawcy z wyprzedzeniem określonym przez strony, tak aby administrator mógł wnieść sprzeciw przed zmianą. Na dalszy podmiot nakłada się te same obowiązki ochrony danych w wymaganym zakresie; operator odpowiada za ich wykonanie wobec administratora zgodnie z art. 28 ust. 4 RODO. Załącznik zawiera nazwę każdego dostawcy, usługę, państwa przetwarzania i dostępu oraz podstawę i zabezpieczenia ewentualnego transferu poza EOG. Wykaz wymaga uzupełnienia przed zawarciem umowy. Podłączenie S3 nie stanowi automatycznej zgody na nowego dostawcę. Wnioski osób, incydenty i współpraca Z uwzględnieniem charakteru przetwarzania operator pomaga administratorowi obsługiwać prawa osób oraz wykonywać obowiązki wynikające z art. 32–36 RODO, w tym ocenę ryzyka, ocenę skutków i konsultacje. Wniosek osoby dotyczący powierzonych danych przekazuje administratorowi bez samodzielnego rozstrzygania go, chyba że otrzyma odpowiednie polecenie. O naruszeniu ochrony powierzonych danych operator informuje administratora bez zbędnej zwłoki po jego stwierdzeniu. Przekazuje dostępne informacje o charakterze, zakresie, możliwych skutkach i środkach zaradczych, a następnie uzupełnia je wraz z ustaleniami. Strony wpisują kanał alarmowy i osoby kontaktowe do załącznika. Obowiązek operatora nie zastępuje oceny obowiązku zgłoszenia przez administratora organowi nadzorczemu. Informacje, audyty i obowiązki administratora Operator udostępnia informacje konieczne do wykazania wykonania obowiązków i umożliwia audyty, w tym inspekcje, przez administratora lub upoważnionego audytora, przy uzgodnieniu zasad chroniących dane innych organizacji. Uzgodnienia organizacyjne nie mogą wyłączać uprawnień wymaganych przez art. 28 RODO. Administrator zapewnia zgodność poleceń z prawem, właściwą podstawę przetwarzania, informacje dla osób, minimalizację danych, prawidłowe upoważnienia użytkowników i nadzór nad urządzeniami oraz kopią pobranej dokumentacji. Zwrot, usunięcie i załączniki Po zakończeniu świadczenia usług operator, według decyzji administratora, zwraca lub usuwa powierzone dane i usuwa ich kopie, chyba że prawo wymaga dalszego przechowywania. Strony przed zawarciem umowy uzgadniają format eksportu, termin wykonania, wygaszenie kopii zapasowych i potwierdzenie zakończenia. Do tego czasu wzór nie określa gotowej procedury automatycznej kasacji. Załączniki do uzupełnienia: zakres danych i osób; wykaz dalszych podmiotów oraz transferów; środki bezpieczeństwa i cykl kopii; osoby i kanały kontaktowe; zasady eksportu, zwrotu, usuwania i obsługi incydentów. Umowa musi zostać zawarta przez uprawnionych przedstawicieli. Samo logowanie inspektora, odczytanie lub skopiowanie tego projektu nie zawiera umowy.