Umowa powierzenia przetwarzania danych osobowych (DPA)

§ 1. Oświadczenia Stron i zakres przetwarzania

[NAZWA ORGANIZACJI B2B] (dalej: „Administrator”) powierza [NAZWA FIRMY] (dalej: „Podmiot Przetwarzający”) przetwarzanie danych osobowych w trybie art. 28 RODO.

Szczegółowy przedmiot, czas trwania, charakter i cel przetwarzania, rodzaje danych osobowych oraz kategorie osób, których dane dotyczą, określa sekcja „Załącznik nr 3 – Szczegóły Powierzenia”. Podmiot Przetwarzający działa wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek przetwarzania wynika z prawa.

§ 2. Obowiązki Podmiotu Przetwarzającego

• zapewnienie, aby osoby upoważnione do przetwarzania danych były zobowiązane do zachowania poufności;
• stosowanie adekwatnych środków technicznych i organizacyjnych zgodnie z art. 32 RODO;
• wspieranie Administratora, w miarę możliwości technicznych i organizacyjnych, w realizacji żądań osób, których dane dotyczą;
• wspieranie Administratora w realizacji obowiązków z art. 32–36 RODO, w tym przy naruszeniach i ocenach skutków dla ochrony danych;
• udostępnianie informacji niezbędnych do wykazania zgodności z art. 28 RODO;
• usunięcie albo zwrot danych po zakończeniu świadczenia usług, zgodnie z decyzją Administratora, Polityką Retencji i obowiązkami wynikającymi z prawa;
• niezwłoczne poinformowanie Administratora, jeżeli w opinii Podmiotu Przetwarzającego polecenie narusza RODO lub inne przepisy o ochronie danych.

§ 3. Prawo do audytu

Administrator ma prawo do audytu zgodnie z art. 28 ust. 3 lit. h RODO. Audyt realizowany jest w pierwszej kolejności poprzez dokumentację, certyfikaty lub ankietę bezpieczeństwa.

Audyt fizyczny lub informatyczny na miejscu wymaga co najmniej 14-dniowego zawiadomienia, odbywa się w dni robocze, na koszt Administratora, bez dostępu do danych innych klientów i z poszanowaniem bezpieczeństwa architektury multi-tenant. Testy penetracyjne wymagają odrębnej pisemnej zgody Podmiotu Przetwarzającego.

§ 4. Dalsze powierzenie (podprocesorzy)

Administrator udziela Podmiotowi Przetwarzającemu ogólnej zgody na korzystanie z podprocesorów wskazanych w Wykazie Podprocesorów MigraDesk.

Podmiot Przetwarzający poinformuje o planowanym dodaniu lub zmianie podprocesora co najmniej 14 dni przed zmianą. Jeżeli Administrator złoży uzasadniony sprzeciw, a strony nie znajdą rozwiązania pozwalającego kontynuować usługę, Administrator może wypowiedzieć umowę ze skutkiem natychmiastowym w zakresie, w jakim sprzeciw uniemożliwia dalsze świadczenie usług.

Podmiot Przetwarzający zapewnia, aby podprocesor był związany obowiązkami ochrony danych nie mniej rygorystycznymi niż obowiązki mające zastosowanie do odpowiednich operacji przetwarzania wynikających z niniejszej DPA.

§ 5. Zgłaszanie naruszeń

Podmiot Przetwarzający poinformuje Administratora bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych, nie później jednak niż w ciągu 48 godzin od momentu stwierdzenia naruszenia. Informacja będzie uzupełniana w miarę ustalania dalszych okoliczności incydentu.

§ 6. Transfery poza EOG

Jeżeli w związku ze świadczeniem usług dochodzi do transferu danych poza Europejski Obszar Gospodarczy, Podmiot Przetwarzający zapewnia właściwą podstawę transferu, w szczególności decyzję o adekwatności, EU-U.S. Data Privacy Framework w odniesieniu do uprawnionego odbiorcy albo Standardowe Klauzule Umowne (SCC), zależnie od konkretnego transferu.

§ 7. Ograniczenie odpowiedzialności

Odpowiedzialność odszkodowawcza Podmiotu Przetwarzającego wynikająca z niniejszej DPA jest ograniczona do sumy opłat abonamentowych uiszczonych przez Administratora w ciągu 3 miesięcy poprzedzających zdarzenie wywołujące szkodę, z zastrzeżeniem odpowiedzialności, której zgodnie z bezwzględnie obowiązującymi przepisami prawa, w tym art. 82 RODO, nie można skutecznie ograniczyć.

Załącznik nr 3 – Szczegóły Powierzenia

• Przedmiot: świadczenie usług w ramach platformy SaaS MigraDesk.
• Czas trwania: okres obowiązywania umowy o świadczenie usług, powiększony o niezbędny okres retencji, w tym okres zawieszenia i soft delete.
• Charakter i cel: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, odczytywanie, przeglądanie, modyfikowanie, pobieranie, przesyłanie, udostępnianie, eksportowanie oraz usuwanie danych w celu prowadzenia CRM, spraw legalizacyjnych, formularzy, komunikacji, Dysku i innych aktywowanych funkcji Platformy.
• Kategorie osób: klienci i potencjalni klienci Administratora, w tym cudzoziemcy, członkowie ich rodzin, pracownicy, współpracownicy, pełnomocnicy i osoby kontaktowe.
• Rodzaje danych: dane identyfikacyjne, kontaktowe, dotyczące dokumentów, statusu pobytowego, zatrudnienia, edukacji, rodziny, rozliczeń, komunikacji, metadane oraz inne informacje wprowadzone przez Administratora.
• Dane szczególnych kategorii: mogą wystąpić, jeżeli Administrator wprowadzi je do Platformy, np. dane dotyczące zdrowia wynikające z akt sprawy. Administrator odpowiada za posiadanie właściwej podstawy prawnej ich przetwarzania.