Umowa powierzenia przetwarzania danych osobowych

Umowa powierzenia przetwarzania danych osobowych zawarta pomiędzy spółką eTAX spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie, Rondo Ignacego Daszyńskiego 2B 00-843 Warszawa, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod nr KRS 0001092629, NIP 5273102831, REGON 528008837 zwaną dalej Zleceniobiorcą a Użytkownikiem zwanym dalej Zleceniodawcą Zważywszy, że Zleceniobiorcę i Zleceniodawcę łączy Umowa o świadczenie usług zawarta na podstawie Regulaminu świadczenia usług, Strony, na podstawie przepisów dotyczących ochrony danych osobowych, zawierają niniejszą umowę.

§1. Przedmiot umowy

1.Zleceniodawca oświadcza, że jest administratorem danych osobowych w rozumieniu Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych zwane dalej Rozporządzeniem), które przetwarza zgodnie z obowiązującymi przepisami prawa. Zleceniodawca oświadcza ponadto, że zawiera niniejszą umowę w celu bezpośrednio związanym z jego działalnością gospodarczą lub zawodową.
2. Zleceniodawca powierza dane osobowe Zleceniobiorcy, a Zleceniobiorca zobowiązuje się do przetwarzania powierzonych mu danych osobowych w celu i zakresie określonym niniejszą umową.

§2. Zakres powierzonych danych osobowych i cel przetwarzania

1. Zakres powierzonych danych obejmuje dane wprowadzane przez Zleceniodawcę do ETAX, w tym dane klientów/kontrahentów, pracowników i współpracowników, dane wynikające z dokumentów TAX FREE oraz dane udostępnione w serwisie PUESC niezbędne do wykonania Umowy. Kategorie osób: klienci, kontrahenci, pracownicy, współpracownicy i użytkownicy Zleceniodawcy.
2. Cel przetwarzania przez Zleceniobiorcę jest wyłącznie związany ze świadczeniem usług ETAX na rzecz Zleceniodawcy, w szczególności:
- a. udostępnianie i utrzymanie funkcjonalności aplikacji ETAX;
- b. przechowywanie danych zgodnie z Regulaminem świadczenia usług;
- c. dostosowanie aplikacji do zmian prawa i zapewnienie wsparcia technicznego;
- d. wykonywanie kopii zapasowych i zabezpieczenie danych przed utratą.
3. Zleceniobiorca zobowiązuje się nie wykorzystywać powierzonych danych osobowych w innych celach.

§3. Prawa i obowiązki stron oraz zasady przetwarzania

1. Zleceniodawca i Zleceniobiorca zobowiązują się do przestrzegania przepisów, o których mowa w §1 pkt. 1 umowy oraz krajowych przepisów Ustawy o ochronie danych osobowych zwanej dalej Ustawą i wydanych na jej podstawie przepisów wykonawczych.
2. Zleceniobiorca stosuje środki techniczne i organizacyjne zapewniające ochronę danych (m.in. szyfrowanie danych uwierzytelniających PUESC, kontrola dostępu, rejestrowanie operacji, kopie zapasowe, segregacja środowisk).
3. Zleceniobiorca oświadcza, iż zastosowane środki są zgodne z Rozporządzeniem oraz Ustawą.
4. Zleceniobiorca:
- a. przetwarza dane osobowe wyłącznie na udokumentowane polecenie Zleceniodawcy, chyba, że obowiązek taki nakłada na niego prawo Unii Europejskiej lub prawo polskie; w takim przypadku przed rozpoczęciem przetwarzania Zleceniobiorca informuje Zleceniodawcę o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny; Strony przyjmują, iż kontynuacja przez Strony zawartych między nimi stosunków prawnych oraz niniejszej umowy stanowi udokumentowane polecenie Zleceniodawcy do dalszego przetwarzania przez Zleceniobiorcę danych osobowych;
- b. zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;
- c. podejmuje środki adekwatne do charakteru przetwarzania wymagane w art. 32 RODO (bezpieczeństwo przetwarzania);
- d. przestrzega warunków korzystania z usług innego podmiotu przetwarzającego, o których mowa w art. 28 ust. 2 i 4 Rozporządzenia;
- e. pomaga Zleceniodawcy realizować prawa osób, których dane dotyczą, oraz wspiera przy ocenie skutków dla ochrony danych i ewentualnych konsultacjach z organem nadzorczym;
- f. uwzględniając charakter przetwarzania i dostępne informacje, wspiera Zleceniodawcę w wypełnianiu obowiązków z art. 32–36 RODO;
- g. niezwłocznie (nie później niż 48 godzin od stwierdzenia) informuje o naruszeniu ochrony danych i przekazuje znane informacje niezbędne do wypełnienia obowiązków notyfikacyjnych;
- h. udostępnia informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia audyty w uzgodnionym terminie i zakresie, z poszanowaniem tajemnicy przedsiębiorstwa;
- i. po zakończeniu świadczenia usług usuwa lub zwraca dane na polecenie Zleceniodawcy, chyba że prawo wymaga ich dalszego przechowywania.
5. W zakresie nie objętym ust. 4, prawa i obowiązki administratora wynikające z Rozporządzenia wykonuje Zleceniodawca.
6. Zleceniobiorca może korzystać z podwykonawców w celu świadczenia usług (w szczególności dostawców hostingu/backupów, usług e-mail i monitoringu). Lista aktualnych podwykonawców jest dostępna u Zleceniobiorcy na żądanie; zmiany są komunikowane w systemie ETAX.
7. Zleceniodawca może wnieść sprzeciw wobec nowego podwykonawcy w terminie 5 dni od powiadomienia. Brak akceptacji może skutkować rozwiązaniem Umowy, jeżeli świadczenie usług nie jest możliwe bez tego podwykonawcy.
8. Podpowierzenie następuje wyłącznie na rzecz podmiotów gwarantujących spełnienie wymogów RODO oraz odpowiedni poziom bezpieczeństwa. Dane nie będą przekazywane poza EOG bez zapewnienia podstawy prawnej z art. 46 RODO (np. standardowe klauzule umowne) i poinformowania Zleceniodawcy.

§4. Okres obowiązywania umowy i jej rozwiązanie

1. Umowa wchodzi w życie z dniem jej zawarcia i obowiązuje przez okres świadczenia usług ETAX. Przedłużenie abonamentu przedłuża niniejszą umowę.
2. Po zakończeniu świadczenia usług, na polecenie Zleceniodawcy złożone w ciągu 14 dni od zakończenia umowy, Zleceniobiorca zwraca dane w uzgodnionym formacie lub je usuwa. Dane są usuwane nie później niż w 30 dni od zakończenia świadczenia usług; kopie zapasowe wygasają maksymalnie w 60 dni. Jeżeli prawo wymaga dłuższego przechowywania, dane są przechowywane wyłącznie w tym celu.

§5. Odpowiedzialność Stron

1. Zleceniobiorca nie jest odpowiedzialny za udostępnienie powierzonych danych osobowych osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem tych danych osobowych w przypadku, gdy przyczyną powyższego jest działanie bądź zaniechanie Zleceniodawcy polegające w szczególności na udostępnieniu informacji autoryzujących dostęp do usługi osobom trzecim, a także każdym innym zachowaniu dotyczącym usługi w obszarze zarządzanym przez Zleceniodawcę.
2. Odpowiedzialność Zleceniobiorcy względem Zleceniodawcy jest ograniczona do równowartości opłat należnych za ostatnie 12 miesięcy świadczenia usług, z zastrzeżeniem odpowiedzialności wynikającej bezpośrednio z przepisów RODO.

§6. Postanowienia końcowe

1. W sprawach nieuregulowanych w niniejszej umowie mają zastosowanie przepisy ustawy, o której mowa w § 1 pkt. 1 Umowy, Regulaminu świadczenia usług przez Zleceniobiorcę udostępnionego na stronie etax.pl oraz odpowiednie przepisy Kodeksu cywilnego.
2. Sądem właściwym dla rozstrzygnięcia sporów w związku z wykonaniem niniejszej umowy jest sąd powszechny właściwy ze względu na siedzibę Zleceniobiorcy.