Umowa powierzenia przetwarzania danych (wzór)

Niniejsza umowa powierzenia przetwarzania danych („umowa") reguluje przetwarzanie danych osobowych przez LingoStudio Dabrowski (enkeltpersonforetak) w imieniu klienta („administrator danych"), w związku z tłumaczeniami, kursami norweskiego i powiązanymi usługami zamawianymi przez mylingostudio.com/pl/dla-firm. Umowa obowiązuje automatycznie, gdy klient przesyła nam materiały zawierające dane osobowe, i może też zostać wypełniona i podpisana jako odrębny dokument, zgodnie z poniższym wzorem.

01 Cel i zakres

Umowa reguluje przetwarzanie danych osobowych przez podmiot przetwarzający (LingoStudio) w imieniu administratora danych (klienta), zgodnie z art. 28 RODO. Przetwarzanie odbywa się wyłącznie w celu realizacji usług zamówionych przez administratora danych (tłumaczenie, kontrola jakości, kurs norweskiego/BHP po norwesku, tłumaczenie pism informacyjnych), zgodnie z opisem w warunkach sprzedaży dla firm.

02 Jakie dane i kogo dotyczą

Przetwarzanie może obejmować dane osobowe zawarte w dokumentach przeznaczonych do tłumaczenia lub kontroli jakości (np. imię i nazwisko, dane kontaktowe, a w niektórych przypadkach dane wrażliwe, np. dane zdrowotne w dokumentach BHP), a także imię, nazwisko i dane kontaktowe pracowników uczestniczących w kursach. Osobami, których dane dotyczą, są zwykle pracownicy, uczniowie, mieszkańcy lub rodzice/opiekunowie administratora danych – w zależności od zlecenia.

Klient zobowiązany jest poinformować z wyprzedzeniem, jeśli materiał zawiera szczególne kategorie danych osobowych, np. dane zdrowotne, i odpowiada za istnienie podstawy prawnej przetwarzania.

03 Instrukcje

Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora danych, zgodnie z zamówieniem i niniejszą umową. Podmiot przetwarzający informuje administratora danych, jeśli uzna, że polecenie jest sprzeczne z RODO lub innymi przepisami o ochronie danych.

04 Obowiązek zachowania poufności

Podmiot przetwarzający zapewnia, że wszystkie osoby mające dostęp do danych osobowych (w tym sam podmiot przetwarzający oraz ewentualni dalsi podwykonawcy) są zobowiązane do zachowania poufności.

05 Bezpieczeństwo

Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa adekwatny do ryzyka, w tym: uwierzytelnianie dwuskładnikowe w usługach wykorzystywanych do przechowywania danych i poczty elektronicznej, ograniczony dostęp do dokumentów (wyłącznie dla osoby realizującej zlecenie) oraz usuwanie danych zgodnie z punktem 09.

06 Dalsi podwykonawcy

Podmiot przetwarzający może korzystać z następujących dalszych podwykonawców przy przechowywaniu i obsłudze dokumentów oraz komunikacji:

• Dropbox – bezpieczne przechowywanie dokumentów
• Dostawca poczty e-mail (WordPress.com/Titan) – poczta i komunikacja
• Google (Google Meet) – kursy online
• ________________________________ (uzupełnić w razie potrzeby)

Podmiot przetwarzający informuje administratora danych o zmianach na liście dalszych podwykonawców, a administrator danych może sprzeciwić się nowemu podwykonawcy z uzasadnionych powodów.

07 Wsparcie

Podmiot przetwarzający wspiera administratora danych, w rozsądnym zakresie, w wypełnianiu jego obowiązków wynikających z RODO, w tym przy wnioskach osób, których dane dotyczą, o dostęp, sprostowanie lub usunięcie danych, oraz przy ocenie skutków dla ochrony danych (DPIA), jeśli ma to znaczenie dla danego zlecenia.

08 Naruszenia

Jeśli podmiot przetwarzający dowie się o naruszeniu ochrony danych osobowych przetwarzanych na podstawie niniejszej umowy, zawiadamia o tym administratora danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od powzięcia o tym wiedzy, przekazując informacje dostępne w danym momencie.

09 Usuwanie i zwrot danych

Dokumenty zawierające dane osobowe są usuwane najpóźniej 12 miesięcy po dostarczeniu usługi, chyba że administrator danych zażąda pisemnie wcześniejszego usunięcia lub zwrotu dokumentów. Po zakończeniu umowy wszystkie dane osobowe otrzymane przez podmiot przetwarzający w ramach umowy są usuwane lub zwracane, chyba że przepisy prawa wymagają ich przechowywania (np. dokumentacja księgowa, podlegająca odrębnym ustawowym terminom).

10 Kontrola

Administrator danych może zażądać dokumentacji potwierdzającej, że podmiot przetwarzający wypełnia obowiązki wynikające z niniejszej umowy, oraz może – po uprzednim powiadomieniu i na własny koszt – przeprowadzić lub zlecić przeprowadzenie audytu odpowiednich procedur podmiotu przetwarzającego.

11 Czas trwania i prawo właściwe

Umowa obowiązuje tak długo, jak podmiot przetwarzający przetwarza dane osobowe w imieniu administratora danych w związku ze świadczonymi usługami, i podlega prawu norweskiemu. Spory strony będą starały się rozwiązać polubownie; jeśli się to nie uda, zastosowanie ma postanowienie o prawie właściwym i rozstrzyganiu sporów z warunków sprzedaży dla firm.

12 Podpisy