Umowa powierzenia przetwarzania danych osobowych

(zwana dalej „Umową”)

Spółką BHP CENTER SZKOLENIA Sp. z o.o. z siedzibą w Krakowie pod adresem: Rydlówka 5, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod nr KRS 0000491827, posługująca się nr NIP 679–309–75–74, zwaną dalej Zleceniobiorcą, reprezentowaną przez Pana Ryszarda Zająca, uprawnionego do samodzielnej reprezentacji

oraz

„Administratorem danych”,

zawierają umowę powierzenia o następującej treści:

§ 1 Powierzenie przetwarzania osobowych

1. Przedmiot Umowy. Administrator danych powierza Podmiotowi przetwarzającemu, w trybie art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych (zwanego w dalszej części „Rozporządzeniem”) dane osobowe do przetwarzania, na zasadach i w celu określonym w niniejszej Umowie, a Podmiot przetwarzający powierzenie to przyjmuje.

2. Podmiot przetwarzający zobowiązuje się przetwarzać powierzone mu dane osobowe zgodnie z niniejszą Umową, Rozporządzeniem oraz z innymi przepisami prawa powszechnie obowiązującego, które chronią prawa osób, których dane dotyczą.

3. Podmiot przetwarzający oświadcza, iż stosuje środki bezpieczeństwa spełniające wymogi Rozporządzenia.

4. Czas przetwarzania. Powierzenie przetwarzania danych ma miejsce na czas obowiązywania Umowy w zakresie wykonywania szkoleń bezpieczeństwa i higieny pracy, pierwszej pomocy, szkoleń ppoż. oraz maksymalnie 90 dni po jej ustaniu co opisuje poniższa procedura: Po zakończeniu umowy Podmiot przetwarzający niezwłocznie przekaże dokumenty dotyczące szkolenia w formie papierowej i elektronicznej (m. in. Dzienniki zajęć, zaświadczenia BHP, listy obecności itp.) osobie upoważnionej z ramienia Administratora do kontaktu w sprawie szkoleń BHP. Osoba upoważniona w terminie 90 dni od otrzymania dokumentacji ma obowiązek zwrócenia ewentualnych uwag do dokumentacji. Po tym terminie dane osobowe uczestników szkolenia zostaną bezpowrotnie zanonimizowane.

§ 2 Zakres i cel przetwarzania danych

1. Rodzaj danych osobowych podlegających powierzeniu oraz kategorie osób, których dane te dotyczą. Podmiot przetwarzający będzie przetwarzał, powierzone na podstawie niniejszej Umowy następujące dane zwykłe pracowników Administratora oraz/lub osób zatrudnionych przez Administratora na podstawie umowy zlecenie: imię, nazwisko, datę urodzenia, stanowisko pracy, termin szkolenia BHP.

2. Charakter i cel przetwarzania. Powierzone przez Administratora dane osobowe będą przetwarzane przez Podmiot przetwarzający wyłącznie w celu i w zakresie niezbędnym do wykonania Umowy o przeprowadzanie szkolenia BHP, Ppoż, Pierwszej Pomocy oraz udokumentowania powyższego, w szczególności do wystawiania zaświadczeń po odbytym szkoleniu, a także poprzez zbieranie, pobieranie, utrwalanie, przechowywanie, przeglądanie, wykorzystywanie, organizowanie, porządkowanie, przesyłanie, usuwanie lub niszczenie.

3. Zakres powierzonych danych: Podmiot przetwarzający będzie przetwarzał dane osobowe osób zgłoszonych przez administratora na szkolenie i będzie obejmował: imię i nazwisko, adres mail, nr telefonu kontaktowego oraz nazwę pracodawcy.

przetwarza dane osobowe w imieniu i na rzecz Administratora.

4. Przetwarzanie powierzonych danych ma miejsce w formie papierowej oraz elektronicznej, w sposób stały. Przetwarzanie powierzonych danych przez Podmiot przetwarzający odbywa się również w sposób i w zakresie niezbędnym do wypełnienia przez Podmiot przetwarzający obowiązków ciążących na nim na podstawie bezwzględnie obowiązujących przepisów prawa.

§ 3 Obowiązki administratora danych osobowych

1. Administrator oświadcza, iż jako administrator danych osobowych, jest uprawniony do przetwarzania danych objętych niniejszą Umową oraz powierzenia ich przetwarzania Podmiotowi przetwarzającemu.

2. Administrator odpowiada za prawidłowość, kompletność oraz aktualność powierzonych danych osobowych.

3. Administratorowi służy prawo do przeprowadzania audytów i/lub inspekcji przestrzegania postanowień niniejszej Umowy przez Podmiot przetwarzający na zasadach wynikających z niniejszej Umowy.

4. Administrator zobowiązany jest współpracować z Podmiotem przetwarzającym w zakresie niezbędnym do zapewnienia prawidłowego wykonania niniejszej Umowy.

5. Administrator ponosi odpowiedzialność za zgodność z prawem poleceń wydawanych Podmiotowi przetwarzającemu.

§ 4 Obowiązki podmiotu przetwarzającego

1. Podmiot przetwarzający przetwarza powierzone mu dane osobowe wyłącznie na udokumentowane polecenie Administratora. Wymogu otrzymania udokumentowanego polecenia nie stosuje się w sytuacjach gdy obowiązek przetwarzania nakłada na Podmiot przetwarzający obowiązujące prawo. W przypadku zaistnienia wspomnianego obowiązku prawnego Podmiot przetwarzający, przed rozpoczęciem przetwarzania danych osobowych, informuje Administratora o tym obowiązku, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.

2. Strony przyjmują, iż udokumentowanym poleceniem Administratora odnośnie przetwarzania danych osobowych jest niniejsza Umowa – w zakresie w niej wskazanym.

3. Podmiot przetwarzający zobowiązuje się, przy przetwarzaniu powierzonych danych osobowych, do ich zabezpieczenia poprzez stosowanie odpowiednich środków technicznych i organizacyjnych zapewniających adekwatny stopień bezpieczeństwa odpowiadający ryzyku związanym z przetwarzaniem danych osobowych, o których mowa w art. 32 Rozporządzenia.

4. Podmiot przetwarzający zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.

5. Podmiot przetwarzający zapewnia, by osoby upoważnione do przetwarzania danych osobowych posiadały wydane upoważnienia do przetwarzania danych.

6. Podmiot przetwarzający po zakończeniu świadczenia usług związanych z przetwarzaniem powierzonych danych, usunie lub zanonimizuje wszelkie dane osobowe oraz usunie wszelkie ich istniejące kopie do których ma dostęp, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych. Niniejszy obowiązek realizowany jest z uwzględnieniem zapisów określonych w § 1 ust. 4 powyżej.

7. W miarę możliwości Podmiot przetwarzający zobowiązuje się pomagać Administratorowi w niezbędnym zakresie wywiązywać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą w zakresie wykonywania jej praw określonych w rozdziale III Rozporządzenia oraz wywiązywania się z obowiązków określonych w art. 32- 36 Rozporządzenia.

8. Podmiot przetwarzający niezwłocznie poinformuje Administratora, jeżeli jego zdaniem polecenia wydane mu przez Administratora naruszają obowiązujące przepisy prawa w zakresie ochrony danych osobowych.

9. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszej Umowie oraz umożliwia Administratorowi lub osobie przez niego upoważnionej przeprowadzenie audytów, w tym inspekcji, i przyczynia się do nich.

10. Podmiot przetwarzający przestrzega warunków korzystania z usług innego podmiotu przetwarzającego, przewidzianych w niniejszej Umowie oraz przepisach prawa.

§ 5 Prawo kontroli

1. Administrator danych zgodnie z art. 28 ust. 3 pkt h) Rozporządzenia ma prawo kontroli, czy środki zastosowane przez Podmiot przetwarzający przy przetwarzaniu i zabezpieczeniu powierzonych danych osobowych spełniają postanowienia niniejszej Umowy, z zachowaniem bezpieczeństwa danych, w tym danych osobowych i danych biznesowych pozostałych firm obsługiwanych przez Podmiot przetwarzający.

2. Administrator danych realizować będzie prawo kontroli w godzinach pracy Podmiotu przetwarzającego i z minimum 14 dniowym jego uprzedzeniem.

3. Podmiot przetwarzający zobowiązuje się do usunięcia uchybień stwierdzonych podczas kontroli w terminie wskazanym przez Administratora danych nie dłuższym niż 7 dni.

4. W przypadku, w którym usunięcie uchybień ze względów organizacyjnych nie będzie możliwe w terminie określonym w powyższym punkcie strony ustalą dodatkowy termin.

5. Podmiot przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 Rozporządzenia.

6. Administrator zapewnia, by przeprowadzane przez niego kontrole nie zakłócały pracy Podmiotu przetwarzającego pod kątem czasu, sposobu oraz częstotliwości ich wykonywania.

7. Administrator danych zobowiązany jest zachować informacje uzyskane w ramach wykonywania uprawnień kontrolnych w poufności i wykorzystywać je jedynie w realizacji prawnie uzasadnionych interesów administratora danych osobowych.

§ 6 Dalsze powierzenie danych do przetwarzania

1. Podmiot przetwarzający może powierzyć dane osobowe objęte niniejszą Umową do dalszego przetwarzania podwykonawcom jedynie w celu wykonania Umowy o przeprowadzenie szkolenia.

2. Przekazanie powierzonych danych do państwa trzeciego może nastąpić jedynie na pisemne polecenie Administratora danych chyba, że obowiązek taki nakłada na Podmiot przetwarzający prawo Unii lub prawo państwa członkowskiego, któremu podlega Podmiot przetwarzający. W takim przypadku przed rozpoczęciem przetwarzania Podmiot przetwarzający informuje Administratora danych o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.

3. Podwykonawca, któremu powierzono dane osobowe do dalszego przetwarzania winien spełniać te same gwarancje i obowiązki jakie zostały nałożone na Podmiot przetwarzający w niniejszej Umowie.

4. Podmiot przetwarzający zobowiązuje się poinformować Administratora o wszelkich zmianach dotyczących zastąpienia podmiotu, któremu podpowierzył przetwarzanie danych, lub dodania innych podmiotów, którym podpowierzy przetwarzanie danych, umożliwiając Administratorowi wyrażenie sprzeciwu wobec tych zmian.

§ 7 Odpowiedzialność Podmiotu przetwarzającego

1. Podmiot przetwarzający jest odpowiedzialny za udowodnione udostępnienie lub wykorzystanie danych osobowych niezgodnie z treścią niniejszej Umowy, a w szczególności za udostępnienie powierzonych do przetwarzania danych osobowych osobom nieupoważnionym.

2. Odpowiedzialność Podmiotu przetwarzającego za należyte wykonanie poszczególnych zadań jest ograniczona wyłącznie do wysokości rzeczywistej szkody (z wyłączeniem utraconych korzyści) i nie może przekroczyć 1000 zł.

3. Podmiot przetwarzający zobowiązuje się do niezwłocznego poinformowania Administratora danych o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania przez Podmiot przetwarzający danych osobowych określonych w Umowie, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania tych danych, skierowanych do Podmiotu przetwarzającego, a także o wszelkich planowanych, o ile są wiadome, lub realizowanych kontrolach i inspekcjach dotyczących przetwarzania w Podmiocie przetwarzającym tych danych osobowych, w szczególności prowadzonych przez inspektorów upoważnionych przez Prezesa Urzędu Ochrony Danych Osobowych, o ile powyższe nie pozostaje w sprzeczności z obowiązującymi przepisami prawa. Niniejszy ustęp dotyczy wyłącznie danych osobowych powierzonych przez Administratora danych.

§ 8 Czas obowiązywania Umowy

Niniejsza umowa obowiązuje przez okres obowiązywania Umowy o przeprowadzenie szkolenia BHP oraz 3 miesiące po jej zakończeniu.

§ 9 Rozwiązanie Umowy

Administrator danych może rozwiązać niniejszą umowę ze skutkiem natychmiastowym gdy Podmiot przetwarzający:

1. pomimo zobowiązania go do usunięcia uchybień stwierdzonych podczas kontroli nie usunie ich w wyznaczonym terminie;

2. przetwarza dane osobowe w sposób niezgodny z Umową;

3. powierzył przetwarzanie danych osobowych innemu podmiotowi pomimo sprzeciwu Administratora.

§ 10 Zasady zachowania poufności

1. Podmiot przetwarzający zobowiązuje się do zachowania w tajemnicy wszelkich informacji, danych, materiałów i dokumentów stanowiących tajemnicę przedsiębiorstwa Administratora oraz danych osobowych otrzymanych od Administratora i od współpracujących z nim osób w formie ustnej, pisemnej lub elektronicznej („dane poufne Administratora”).

2. Podmiot przetwarzający oświadcza, że w związku ze zobowiązaniem do zachowania w tajemnicy danych poufnych Administratora nie będą one wykorzystywane, ujawniane ani udostępniane bez pisemnej zgody Administratora danych w innym celu niż wykonanie Umowy o przeprowadzenie szkolenia BHP, chyba że konieczność ujawnienia posiadanych informacji wynika z obowiązujących przepisów prawa lub niniejszej Umowy.

3. Administrator zobowiązuje się do zachowania w tajemnicy wszelkich informacji, danych, materiałów i dokumentów stanowiących tajemnicę przedsiębiorstwa Podmiotu przetwarzającego otrzymanych od niego oraz od współpracujących z nim osób w formie ustnej, pisemnej lub elektronicznej.

§ 11 Postanowienia końcowe

1. Umowa została sporządzona w dwóch jednobrzmiących egzemplarzach po jednym dla każdej ze stron.

2. W sprawach nieuregulowanych zastosowanie będą miały przepisy Kodeksu cywilnego oraz Rozporządzenia.

3. Sądem właściwym dla rozpatrzenia sporów wynikających z niniejszej Umowy będzie sąd właściwy Podmiotu przetwarzającego.

4. Wszelkie zmiany lub uzupełnienia Umowy wymagają formy pisemnej pod rygorem nieważności.