Umowa powierzenia przetwarzania danych osobowych

Zawarta między: Klientem (administratorem danych, w rozumieniu RODO) a KIT Jarosław Kopciński, NIP 9521669584, ul. Wspólna 2G/6, 05-075 Warszawa (Dostawcą, podmiotem przetwarzającym).

§ 1 Przedmiot i czas trwania powierzenia

  1. Klient powierza Dostawcy przetwarzanie danych osobowych w zakresie i na zasadach określonych w niniejszej Umowie, w związku ze świadczeniem usług Platformy KIT Communities na podstawie Regulaminu platformy.
  2. Umowa jest zawarta na czas trwania umowy o korzystanie z Platformy i wygasa z chwilą jej zakończenia, z zastrzeżeniem § 8 (obowiązki po zakończeniu powierzenia).

§ 2 Charakter i cel przetwarzania

Przetwarzanie obejmuje czynności techniczne niezbędne do świadczenia usług Platformy: przechowywanie, wyświetlanie, edycję, eksport, tworzenie kopii zapasowych oraz przesyłanie powiadomień dotyczących danych wprowadzonych przez Klienta lub Użytkowników do Platformy, wyłącznie w celu wykonania umowy o korzystanie z Platformy.

§ 3 Rodzaj danych i kategorie osób

  1. Rodzaj danych: imię, nazwisko, adres korespondencyjny, numer telefonu, adres e-mail, numer PESEL (przechowywany wyłącznie w formie zaszyfrowanej), numer rachunku bankowego i historia wpłat, dane dotyczące własności/najmu lokalu, odczyty liczników mediów, treść zgłoszeń usterek i komunikatów, dane dotyczące udziału w głosowaniach (bez treści głosu w zakresie, w jakim przepisy wymagają jego jawności wyłącznie wobec uprawnionych).
  2. Kategorie osób, których dane dotyczą: właściciele lokali, najemcy, członkowie zarządu/organów Klienta, osoby upoważnione przez Klienta do korzystania z Platformy, wykonawcy i dostawcy usług wskazani przez Klienta (w zakresie danych kontaktowych).

§ 4 Obowiązki i prawa Klienta (administratora)

  1. Klient zapewnia, że posiada podstawę prawną do przetwarzania danych wprowadzanych do Platformy oraz że wypełnił wobec osób, których dane dotyczą, obowiązki informacyjne wynikające z art. 13/14 RODO w zakresie przetwarzania realizowanego za pomocą Platformy.
  2. Klient ma prawo do kontroli sposobu przetwarzania powierzonych danych zgodnie z § 7.
  3. Klient wydaje Dostawcy udokumentowane instrukcje co do przetwarzania danych — za udokumentowaną instrukcję uznaje się treść Regulaminu, niniejszej Umowy oraz czynności wykonywane przez Użytkowników Klienta w ramach funkcjonalności Platformy udostępnionych przez Dostawcę.

§ 5 Obowiązki Dostawcy (podmiotu przetwarzającego)

Dostawca zobowiązuje się:

  1. przetwarzać powierzone dane wyłącznie na udokumentowane polecenie Klienta, w tym w zakresie przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek taki nakłada na Dostawcę prawo Unii lub prawo państwa członkowskiego;
  2. zapewnić, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy albo podlegały odpowiedniemu ustawowemu obowiązkowi tajemnicy;
  3. podjąć środki techniczne i organizacyjne wymagane na podstawie art. 32 RODO, odpowiednie do ryzyka związanego z przetwarzaniem, w tym: szyfrowanie danych szczególnie chronionych (PESEL, sekrety dostępowe), kontrolę dostępu oparta na rolach, rejestrowanie zmian w danych (dziennik zmian), izolację danych między poszczególnymi Klientami platformy (model wielodostępności — każda tabela danych Klienta jest filtrowana po identyfikatorze Klienta), szyfrowane kopie zapasowe;
  4. zgodnie z § 6 — korzystać z dalszych podmiotów przetwarzających (podwykonawców) wyłącznie na warunkach tam opisanych;
  5. biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomagać Klientowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO — w szczególności poprzez funkcje Platformy umożliwiające Klientowi samodzielny dostęp do danych, ich poprawę, eksport i anonimizację;
  6. uwzględniając charakter przetwarzania oraz dostępne informacje, pomagać Klientowi wywiązać się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo przetwarzania, zgłaszanie naruszeń, oceny skutków dla ochrony danych);
  7. zgłosić Klientowi stwierdzone naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od jego wykrycia, wraz z informacjami niezbędnymi Klientowi do wykonania jego własnych obowiązków wynikających z art. 33–34 RODO;
  8. po zakończeniu świadczenia usług związanych z przetwarzaniem — zgodnie z decyzją Klienta — usunąć lub zwrócić Klientowi wszelkie dane osobowe oraz usunąć wszelkie ich istniejące kopie, zgodnie z § 8, o ile prawo Unii lub prawo państwa członkowskiego nie nakazują przechowywania danych osobowych;
  9. udostępnić Klientowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwić Klientowi lub audytorowi upoważnionemu przez Klienta przeprowadzenie audytów, w tym inspekcji, zgodnie z § 7.

§ 6 Dalsze powierzenie (podwykonawcy)

  1. Klient udziela Dostawcy ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających niezbędnych do świadczenia usługi (np. dostawca hostingu/infrastruktury, dostawca usługi poczty elektronicznej SMTP wskazany przez Klienta lub domyślny dostawca Platformy, usługi „push" dostawców przeglądarek wykorzystywane do powiadomień).
  2. Dostawca informuje Klienta o każdej planowanej zmianie podwykonawców (dodaniu lub zastąpieniu) z co najmniej 14-dniowym wyprzedzeniem, umożliwiając Klientowi wyrażenie uzasadnionego sprzeciwu w tym terminie. Brak sprzeciwu w terminie uznaje się za akceptację zmiany.
  3. Dostawca zapewnia, że każdy podwykonawca jest związany obowiązkami ochrony danych co najmniej równoważnymi obowiązkom określonym w niniejszej Umowie, oraz odpowiada za działania podwykonawcy jak za działania własne.

§ 7 Audyty i kontrole

  1. Klient może, nie częściej niż raz w roku kalendarzowym, zwrócić się do Dostawcy o udostępnienie informacji potwierdzających zgodność przetwarzania z niniejszą Umową, w tym — jeśli informacje udostępnione przez Dostawcę nie są wystarczające — o przeprowadzenie audytu (w tym inspekcji) w ustalonym wspólnie terminie, z co najmniej 30-dniowym wyprzedzeniem, w godzinach pracy Dostawcy, bez zakłócania bieżącej działalności Dostawcy i innych jego klientów.
  2. Dostawca może zamiast udostępnienia audytu na miejscu przedstawić aktualny raport niezależnego audytu bezpieczeństwa albo inny równoważny dokument, jeśli potwierdza on zakres objęty żądaniem Klienta.
  3. Koszty audytu przeprowadzanego na żądanie Klienta ponosi Klient, w tym koszt czasu pracy Dostawcy poświęconego na obsługę audytu, chyba że audyt wykazał istotne naruszenie niniejszej Umowy przez Dostawcę — w takim przypadku koszty ponosi Dostawca.

§ 8 Zakończenie powierzenia

  1. Z chwilą zakończenia umowy o korzystanie z Platformy, Dostawca — na żądanie Klienta zgłoszone w terminie 14 dni od zakończenia umowy — udostępnia Klientowi eksport powierzonych danych w formacie ustrukturyzowanym, zgodnie z § 9 ust. 4 Regulaminu.
  2. Po upływie terminu wskazanego w ust. 1 (albo braku żądania eksportu) Dostawca usuwa powierzone dane, z zachowaniem danych, których przechowywanie nakazują przepisy prawa (np. księga rozliczeń, dokumentacja głosowań, dziennik zmian w zakresie niezbędnym do obrony przed roszczeniami) oraz z zachowaniem kopii zapasowych do czasu ich naturalnej rotacji zgodnie z wewnętrzną procedurą Dostawcy.

§ 9 Odpowiedzialność

Odpowiedzialność Dostawcy za szkody wynikłe z naruszenia niniejszej Umowy podlega ograniczeniom określonym w § 8 Regulaminu, z zastrzeżeniem, że ograniczeń nie stosuje się do odpowiedzialności administracyjnej wynikającej z RODO wobec organu nadzorczego, która obciąża każdą ze stron samodzielnie, zgodnie z zakresem jej odpowiedzialności wynikającym z RODO.