Umowa powierzenia przetwarzania danych osobowych

§1. Strony i sposób zawarcia Umowy

1. Niniejsza Umowa powierzenia przetwarzania danych osobowych („Umowa”, „DPA”) zostaje zawarta pomiędzy:
   1. Organizatorem — podmiotem, który utworzył Konto w Platformie KOORDO, występującym jako Administrator danych osobowych,
   2. Operatorem — występującym jako Podmiot przetwarzający:

   Firma

   DESTO Robert Łokieć

   Forma prawna

   przedsiębiorca prowadzący działalność gospodarczą pod firmą DESTO Robert Łokieć

   Adres

   ul. Okrężna 37D/3, 58-100 Świdnica

   NIP

   8842420988

   REGON

   020540436

   E-mail

   koordo.info@gmail.com

   Telefon

   +48 530 801 350

2. Umowa zostaje zawarta z chwilą jej akceptacji w formularzu rejestracji Konta. Operator utrwala datę akceptacji oraz wersję zaakceptowanego dokumentu; wersja zapisana odpowiada wersji przedstawionej Organizatorowi przed akceptacją.
3. Na żądanie Organizatora Umowa może zostać zawarta dodatkowo w formie dokumentowej lub pisemnej, o identycznej treści.
4. Umowa stanowi uzupełnienie Regulaminu świadczenia usług drogą elektroniczną. W zakresie ochrony danych osobowych powierzonych przez Organizatora Umowa ma pierwszeństwo przed Regulaminem i Polityką prywatności.
5. W zakresie, w jakim Organizator będący osobą fizyczną przetwarza dane w ramach czynności o czysto osobistym lub domowym charakterze (art. 2 ust. 2 lit. c RODO), RODO nie znajduje zastosowania, a Umowa wiąże wyłącznie w takim zakresie, w jakim przepisy RODO mają zastosowanie. Akceptacja Umowy przy rejestracji nie przesądza, że Organizator jest administratorem w rozumieniu RODO.

§2. Definicje

1. RODO — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
2. Platforma — oprogramowanie KOORDO udostępniane w modelu SaaS.
3. Dane powierzone — dane osobowe wprowadzone do Platformy przez Organizatora lub zebrane w Platformie na jego polecenie, w szczególności dane uczestników wydarzeń („Gości”).
4. Podprocesor — dalszy podmiot przetwarzający, z którego usług Operator korzysta przy przetwarzaniu Danych powierzonych.
5. Rozliczenie wydarzenia — zakończenie obsługi wydarzenia rozpoczynające bieg okresu retencji danych osobowych tego wydarzenia (§10). Następuje z czynności Organizatora w Panelu Organizatora albo automatycznie, po upływie terminu wskazanego w §10.
6. Pozostałe pojęcia mają znaczenie nadane im w Regulaminie oraz w RODO.

§3. Przedmiot, charakter i cel powierzenia

1. Organizator powierza Operatorowi przetwarzanie Danych powierzonych, a Operator zobowiązuje się przetwarzać je wyłącznie w celu i w zakresie niezbędnym do świadczenia usług określonych w Regulaminie.
2. Charakter przetwarzania: przetwarzanie w systemach teleinformatycznych, obejmujące zbieranie, utrwalanie, przechowywanie, porządkowanie, przeglądanie, udostępnianie w ramach Platformy, ograniczanie, anonimizowanie i usuwanie.
3. Cel przetwarzania: umożliwienie Organizatorowi organizacji wydarzenia z wykorzystaniem funkcji Platformy oraz zapewnienie prawidłowego i bezpiecznego działania Platformy.
4. Kategorie osób, których dane dotyczą, oraz rodzaje danych określa Załącznik nr 1.
5. Operator nie przetwarza Danych powierzonych do własnych celów, w tym marketingowych, analitycznych wykraczających poza utrzymanie Platformy ani nie udostępnia ich innym Organizatorom. Statystyki działania Platformy są prowadzone wyłącznie na danych zagregowanych, niepozwalających na identyfikację osób.
6. Umowa nie obejmuje danych Organizatora jako właściciela Konta — w tym zakresie administratorem jest Operator, a zasady przetwarzania określa Polityka prywatności oraz Klauzula informacyjna dla Organizatorów.

§4. Polecenia Administratora

1. Operator przetwarza Dane powierzone wyłącznie na udokumentowane polecenie Organizatora, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo polskie; w takim przypadku Operator informuje Organizatora o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.
2. Za udokumentowane polecenie uznaje się korzystanie przez Organizatora z funkcji Platformy zgodnie z jej przeznaczeniem, w tym wprowadzenie danych, konfigurację wydarzenia, wystawienie kodów dostępu, wysyłkę komunikatów, usunięcie lub anonimizację danych oraz rozliczenie wydarzenia.
3. Polecenia wykraczające poza zakres funkcji Platformy wymagają formy dokumentowej (wiadomość e-mail na adres wskazany w §1) i mogą wiązać się z odrębnym rozliczeniem, jeżeli ich wykonanie wymaga prac niewchodzących w zakres usługi.
4. Jeżeli w ocenie Operatora polecenie narusza RODO lub inne przepisy o ochronie danych, Operator niezwłocznie informuje o tym Organizatora i może wstrzymać wykonanie polecenia do czasu wyjaśnienia (art. 28 ust. 3 zd. 2 RODO).

§5. Obowiązki Operatora

Operator zobowiązuje się:

1. przetwarzać Dane powierzone wyłącznie w zakresie i w celu określonym w Umowie;
2. zapewnić, aby osoby upoważnione do przetwarzania Danych powierzonych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;
3. ograniczyć dostęp do Danych powierzonych do osób, którym jest on niezbędny do utrzymania Platformy, usuwania awarii, zapewnienia bezpieczeństwa, wykonywania kopii zapasowych oraz świadczenia pomocy technicznej;
4. stosować środki techniczne i organizacyjne wymagane przez art. 32 RODO, określone w Załączniku nr 3;
5. przestrzegać warunków korzystania z usług Podprocesorów określonych w §6;
6. pomagać Organizatorowi w realizacji obowiązków wobec osób, których dane dotyczą (§7);
7. pomagać Organizatorowi w wywiązaniu się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter przetwarzania oraz informacje dostępne Operatorowi;
8. po zakończeniu świadczenia usług usunąć lub zanonimizować Dane powierzone zgodnie z §10;
9. udostępniać Organizatorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwiać audyty na zasadach określonych w §11;
10. prowadzić rejestr kategorii czynności przetwarzania dokonywanych w imieniu Organizatora, zgodnie z art. 30 ust. 2 RODO, jeżeli obowiązek taki go dotyczy.

§6. Podpowierzenie

1. Organizator udziela Operatorowi ogólnej zgody na korzystanie z Podprocesorów niezbędnych do świadczenia usług, w szczególności dostawców infrastruktury informatycznej, hostingu, magazynu plików, poczty wychodzącej oraz bramki SMS.
2. Aktualną listę Podprocesorów zawiera Załącznik nr 2. Lista jest utrzymywana w aktualnym stanie i udostępniana Organizatorowi.
3. O zamiarze dodania nowego Podprocesora lub zastąpienia dotychczasowego Operator informuje Organizatora co najmniej 30 dni przed powierzeniem mu danych — za pośrednictwem poczty elektronicznej lub komunikatu w Panelu Organizatora.
4. Organizator może wnieść uzasadniony sprzeciw w terminie 14 dni od otrzymania informacji. W razie sprzeciwu strony podejmą próbę uzgodnienia rozwiązania alternatywnego; jeżeli nie będzie ono możliwe, Organizator może wypowiedzieć umowę o świadczenie usług ze skutkiem na dzień planowanej zmiany, bez ponoszenia kosztów wypowiedzenia.
5. Operator nakłada na każdego Podprocesora, w drodze umowy, obowiązki ochrony danych nie mniejsze niż wynikające z niniejszej Umowy, i ponosi wobec Organizatora pełną odpowiedzialność za wywiązanie się przez Podprocesora z tych obowiązków (art. 28 ust. 4 RODO).

§7. Prawa osób, których dane dotyczą

1. Obowiązek realizacji praw osób, których dane dotyczą, spoczywa na Organizatorze jako administratorze.
2. Operator udostępnia Organizatorowi funkcje Platformy pozwalające samodzielnie zrealizować żądanie: podgląd i edycję danych Gościa, usunięcie danych, anonimizację danych pojedynczej osoby oraz unieważnienie kodu dostępu.
3. Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do Operatora, Operator nie odpowiada na żądanie merytorycznie i niezwłocznie przekazuje je Organizatorowi, chyba że obowiązek samodzielnego działania wynika z przepisów prawa.
4. W zakresie, w jakim żądania nie da się zrealizować funkcjami Platformy, Operator udziela Organizatorowi rozsądnej pomocy technicznej.

§8. Naruszenia ochrony danych osobowych

1. Operator zgłasza Organizatorowi każde naruszenie ochrony Danych powierzonych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia.
2. Zgłoszenie zawiera co najmniej: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, których dotyczy, opis możliwych konsekwencji, opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu oraz dane kontaktowe do dalszych ustaleń.
3. Jeżeli pełnych informacji nie da się przekazać jednocześnie, Operator przekazuje je sukcesywnie, bez zbędnej zwłoki.
4. Zgłoszenie naruszenia organowi nadzorczemu (art. 33 RODO) oraz zawiadomienie osób, których dane dotyczą (art. 34 RODO), należy do Organizatora jako administratora; Operator przekazuje mu informacje niezbędne do wykonania tych obowiązków.

§9. Przekazywanie danych poza EOG

1. Dane powierzone są przetwarzane i przechowywane na terenie Europejskiego Obszaru Gospodarczego, w regionie Unii Europejskiej.
2. Jeżeli Podprocesor ma siedzibę poza EOG, przekazanie danych następuje wyłącznie z zachowaniem wymogów rozdziału V RODO, w szczególności na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych (SCC).
3. Podstawę przekazania dla poszczególnych Podprocesorów wskazuje Załącznik nr 2.

§10. Okres przetwarzania, usunięcie i zwrot danych

1. Operator przetwarza Dane powierzone przez okres obowiązywania umowy o świadczenie usług, z uwzględnieniem zasad retencji określonych poniżej.
2. Retencja danych wydarzenia rozpoczyna się z chwilą jego rozliczenia. Po upływie 30 dni od rozliczenia Operator automatycznie zaciera dane osobowe związane z wydarzeniem: nadpisuje dane identyfikujące Gości, unieważnia kody dostępu i usuwa pliki wydarzenia. Rekordy pozostają w systemie w postaci pozbawionej danych osobowych, aby zachować statystykę wydarzenia.
3. Wydarzenie rozlicza się automatycznie po 30 dniach od daty zakończenia wskazanej przez Organizatora przy jego publikacji. Organizator może rozliczyć wydarzenie wcześniej; brak jakiejkolwiek czynności z jego strony nie wydłuża okresu przechowywania danych uczestników, który wynosi wówczas 60 dni od zakończenia wydarzenia. Zasada ta realizuje art. 5 ust. 1 lit. e RODO po stronie Operatora i nie zwalnia Organizatora jako administratora z obowiązku usunięcia danych, jeżeli cel ich przetwarzania ustał wcześniej.
4. Data zakończenia wydarzenia jest niezmienna od chwili jego publikacji, ponieważ wyznacza bieg terminów z ustępów poprzedzających. Jej korektę Operator wykonuje na wniosek Organizatora złożony w formie dokumentowej.
5. Organizator może w każdej chwili usunąć wydarzenie, grupę lub pojedynczą osobę, a także zanonimizować dane pojedynczego Gościa, korzystając z funkcji Panelu Organizatora.
6. Po zakończeniu umowy o świadczenie usług Organizator ma 30 dni na pobranie danych. Po upływie tego terminu Operator usuwa lub anonimizuje Dane powierzone, z wyjątkiem danych, których dalsze przechowywanie jest wymagane przepisami prawa.
7. Kopie zapasowe. Dane usunięte lub zanonimizowane mogą pozostawać w kopiach zapasowych do czasu wygaśnięcia okna odtwarzania kopii; przez ten czas nie są wykorzystywane do żadnego innego celu niż odtworzenie systemu po awarii i podlegają tym samym zabezpieczeniom co dane produkcyjne.

§11. Audyt i wykazanie zgodności

1. Operator udostępnia Organizatorowi na żądanie informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO, w tym odpowiedzi na kwestionariusz bezpieczeństwa — w terminie 30 dni od otrzymania żądania.
2. Organizator może przeprowadzić audyt lub inspekcję u Operatora nie częściej niż raz w roku kalendarzowym, po uprzednim zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, w dni robocze i w godzinach pracy Operatora. Częstsze audyty są dopuszczalne wyłącznie po stwierdzeniu naruszenia ochrony Danych powierzonych albo na żądanie organu nadzorczego.
3. Audyt nie może naruszać tajemnicy przedsiębiorstwa Operatora ani obejmować dostępu do danych innych Organizatorów; osoby przeprowadzające audyt zobowiązują się do zachowania poufności.
4. Koszty audytu ponosi Organizator, chyba że audyt wykaże istotne naruszenie obowiązków Operatora.

§12. Obowiązki Organizatora

Organizator oświadcza i zobowiązuje się, że:

1. posiada podstawę prawną przetwarzania danych osób, których dane wprowadza do Platformy, oraz samodzielnie ustala cele i sposoby ich przetwarzania;
2. wykonał wobec tych osób obowiązek informacyjny wynikający z art. 13 i 14 RODO — Operator udostępnia w tym celu wzór klauzuli informacyjnej, którego treść Organizator obowiązany jest zweryfikować i dostosować do własnego wydarzenia;
3. wprowadza do Platformy wyłącznie dane niezbędne do organizacji wydarzenia (zasada minimalizacji, art. 5 ust. 1 lit. c RODO);
4. zapewnia odrębną podstawę z art. 9 ust. 2 RODO, jeżeli w związku z wydarzeniem przetwarzane są dane szczególnych kategorii — w szczególności informacje o diecie lub stanie zdrowia przekazane przez uczestnika w polu komentarza albo w odpowiedzi RSVP;
5. odpowiada za treść komunikatów kierowanych do uczestników oraz za zgodność wysyłki z przepisami o komunikacji elektronicznej;
6. chroni dane dostępowe do Konta i nie udostępnia ich osobom nieuprawnionym;
7. odpowiada za zakres dostępu, jaki nadaje osobom działającym w jego imieniu.

§13. Odpowiedzialność

1. Każda ze stron odpowiada za szkody wyrządzone przetwarzaniem danych osobowych na zasadach określonych w art. 82 RODO.
2. W stosunkach między stronami odpowiedzialność Operatora wobec Organizatora będącego przedsiębiorcą jest ograniczona zgodnie z Regulaminem; ograniczenie to nie dotyczy odpowiedzialności wobec osób, których dane dotyczą, ani administracyjnych kar pieniężnych nałożonych na Operatora za jego własne naruszenia.
3. Ograniczenia odpowiedzialności nie mają zastosowania w zakresie, w jakim odpowiedzialności nie można wyłączyć lub ograniczyć na podstawie bezwzględnie obowiązujących przepisów prawa, w szczególności w razie winy umyślnej.

§14. Czas obowiązywania Umowy

1. Umowa obowiązuje przez czas obowiązywania umowy o świadczenie usług drogą elektroniczną i wygasa z chwilą wykonania obowiązków określonych w §10.
2. Postanowienia dotyczące poufności, odpowiedzialności oraz obowiązku usunięcia danych pozostają w mocy również po wygaśnięciu Umowy.

§15. Zmiany Umowy

1. Operator może zmienić Umowę wyłącznie z ważnych przyczyn, w szczególności zmiany przepisów prawa, wytycznych organu nadzorczego, zakresu usług lub środków bezpieczeństwa.
2. O zmianie Organizator zostanie poinformowany co najmniej 14 dni przed jej wejściem w życie; nowa wersja wymaga ponownej akceptacji, a Operator utrwala jej numer wraz z datą.
3. Aktualizacja Załącznika nr 2 (lista Podprocesorów) następuje w trybie określonym w §6 i nie wymaga ponownej akceptacji całej Umowy.
4. Brak akceptacji nowej wersji uprawnia Organizatora do wypowiedzenia umowy o świadczenie usług ze skutkiem na dzień wejścia zmian w życie.

§16. Postanowienia końcowe

1. W sprawach nieuregulowanych Umową stosuje się RODO, ustawę o ochronie danych osobowych, Kodeks cywilny oraz Regulamin.
2. Prawem właściwym jest prawo polskie.
3. Jeżeli którekolwiek postanowienie Umowy okaże się nieważne, pozostałe pozostają w mocy, a w miejsce postanowienia nieważnego wchodzi rozwiązanie najbliższe jego celowi.