w imieniu

między klientem, określanym indywidualnie jako "strona"

oraz Partner Tech Europe GmbH, określanym indywidualnie jako "Kontrahent" lub "Strona"

i wspólnie określanym jako "Strony".

1. Postanowienia ogólne

1. W zakresie świadczenia usług na podstawie zawartej między stronami umowy głównej nie można wykluczyć, że w trakcie konserwacji i serwisowania dostarczonego sprzętu i oprogramowania kontrahent może wejść w kontakt z danymi osobowymi (zwanymi dalej danymi klienta), za które klient jest organem odpowiedzialnym w rozumieniu przepisów o ochronie danych. Niniejsza umowa o przetwarzaniu danych określa prawa i obowiązki stron w związku z obsługą danych osobowych klienta.
2. Wykonawca przetwarza dane osobowe w imieniu klienta w rozumieniu art. 4 pkt 8 i art. 28 rozporządzenia (UE) 2016/679 – Ogólnego rozporządzenia o ochronie danych (RODO). Niniejsza umowa reguluje prawa i obowiązki stron w związku z przetwarzaniem danych osobowych w imieniu klienta. Poszczególne usługi świadczone przez wykonawcę zostały opisane bardziej szczegółowo w głównej umowie zawartej między stronami. Dalsze informacje na temat zbierania, przetwarzania i wykorzystywania danych można znaleźć w ofertach wykonawcy stanowiących podstawę relacji biznesowej i, jeśli dotyczy, w dalszych indywidualnych zamówieniach.
3. Jeśli w niniejszej umowie są użyte terminy zdefiniowane prawnie w RODO, odpowiednia definicja z RODO będzie przyjęta i wykorzystana jako podstawa niniejszej umowy. Dotyczy to w szczególności terminu "przetwarzanie" (danych) w art. 4 pkt 2 RODO.

2. Przedmiot umowy

Przedmiot przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych i kategorie osób, których dane dotyczą, określone są w umowie głównej.

3. Prawa i obowiązki klienta

1. Klient jest administratorem w rozumieniu Art. 4 ust. 7 RODO do celów przetwarzania danych w imieniu kontrahenta.
2. Klient jest odpowiedzialny za ochronę praw osób, których dane dotyczą. Wykonawca niezwłocznie poinformuje klienta, jeśli osoby, których dane dotyczą, będą podejmować kroki wobec wykonawcy.
3. Klient ma prawo do wydawania wykonawcy dodatkowych instrukcji dotyczących rodzaju, zakresu i procedury przetwarzania danych w dowolnym czasie. Instrukcje muszą być wydane w formie pisemnej (np. email). Instrukcje ustne muszą być niezwłocznie potwierdzone w formie pisemnej.
4. Postanowienia dotyczące wszelkich odszkodowań za dodatkowe wydatki poniesione przez wykonawcę w wyniku dodatkowych instrukcji od klienta pozostają niezmienione.
5. Klient niezwłocznie poinformuje wykonawcę, jeśli odkryje błędy lub nieprawidłowości związane z przetwarzaniem danych osobowych przez wykonawcę.
6. W przypadku obowiązku udzielania informacji stronom trzecim zgodnie z art. 33 i 34 RODO lub jakichkolwiek innych obowiązków sprawozdawczych mających zastosowanie do klienta, klient jest odpowiedzialny za zgodność z takimi obowiązkami.

4. Ogólne obowiązki wykonawcy

1. Wykonawca będzie przetwarzać dane osobowe wyłącznie w zakresie dokonanych uzgodnień i/lub zgodnie z wszelkimi dodatkowymi instrukcjami wydanymi przez klienta. Nie dotyczy to przepisów prawnych, które mogą zobowiązywać wykonawcę do przetwarzania danych w inny sposób. W takim przypadku wykonawca niezwłocznie poinformuje klienta o tych wymogach prawnych, chyba że przepisy prawne zabraniają takiego powiadomienia ze względu na ważny interes publiczny. W przeciwnym razie cel, rodzaj i zakres przetwarzania danych będą regulowane wyłącznie niniejszą umową i/lub instrukcjami klienta. Wykonawca nie ma prawa przetwarzać danych w inny sposób, chyba że klient wyraził na to pisemną zgodę.
2. Przetwarzanie danych klienta przez wykonawcę w imieniu klienta będzie generalnie odbywać się w państwach członkowskich Unii Europejskiej (UE) lub Europejskiego Obszaru Gospodarczego (EOG). Jednak wykonawca może również przetwarzać dane klienta poza EOG, jeśli będzie to zgodne z postanowieniami niniejszej umowy i spełni wymogi art. 44 i nast. RODO.
3. Wykonawca niezwłocznie poinformuje klienta, jeśli w jego opinii instrukcja wydana przez klienta narusza przepisy prawa. Wykonawca ma prawo zawiesić wykonanie omawianej instrukcji do czasu jej potwierdzenia lub zmiany przez klienta. Jeśli wykonawca może wykazać, że przetwarzanie zgodnie z instrukcjami klienta mogłoby prowadzić do odpowiedzialności wykonawcy na podstawie art. 82 RODO, wykonawca ma prawo zawiesić dalsze przetwarzanie w tym zakresie do czasu wyjaśnienia odpowiedzialności między stronami.
4. Przetwarzanie danych w imieniu klienta poza siedzibą kontrahenta lub przez podwykonawców jest dozwolone wyłącznie za pisemną zgodą klienta. Przetwarzanie danych dla klienta w domach prywatnych jest generalnie dozwolone. Klient ma prawo do sprzeciwienia się takiemu przetwarzaniu w rezydencjach prywatnych w uzasadnionych przypadkach; kontrahent może, według swojego uznania, kontynuować przetwarzanie w swojej siedzibie lub usunąć przyczyny sprzeciwu klienta.
5. Kontrahent zapewni szczególnie przestrzeganie środków technicznych i organizacyjnych. Klient jest świadomy, że może to skutkować ograniczeniami opcji kontroli.
6. Kontrahent będzie przetwarzać dane, które przetwarza w imieniu klienta, oddzielnie od innych danych. Separacja fizyczna nie jest obowiązkowa.
7. 
   

5. Inspektor ochrony danych kontrahenta

1. Kontrahent potwierdza, że wyznaczył inspektora ochrony danych zgodnie z Art. 37 RODO. Kontrahent zapewni, że inspektor ochrony danych posiada niezbędne kwalifikacje i wiedzę fachową. Kontrahent będzie dostarczać klientowi imię i dane kontaktowe swojego inspektora ochrony danych na piśmie na żądanie.
2. Obowiązek powołania inspektora ochrony danych zgodnie z punktem 1 nie ma zastosowania, jeśli wykonawca może wykazać, że nie jest prawnie zobowiązany do powołania inspektora ochrony danych i wykonawca może wykazać, że istnieją przepisy operacyjne zapewniające, że dane osobowe są przetwarzane zgodnie z przepisami ustawowymi, postanowieniami niniejszej umowy i wszelkimi dalszymi instrukcjami od klienta.

6. Obowiązki sprawozdawcze wykonawcy

1. Wykonawca jest zobowiązany do niezwłocznego powiadomienia klienta o każdym naruszeniu przepisów o ochronie danych lub dokonanych uzgodnień umownych i/lub wydanych instrukcji przez klienta, które miało miejsce w trakcie przetwarzania danych przez niego lub inne osoby zaangażowane w przetwarzanie. To samo dotyczy każdego naruszenia ochrony danych osobowych, które wykonawca przetwarza w imieniu klienta.
2. Ponadto wykonawca niezwłocznie poinformuje klienta, jeśli organ nadzorczy podejmie działania wobec wykonawcy zgodnie z art. 58 RODO i może to również wpłynąć na przetwarzanie przeprowadzane przez wykonawcę w imieniu klienta.
3. Wykonawca będzie wspierać klienta w wypełnianiu obowiązków sprawozdawczych zgodnie z art. 33 RODO i obowiązku powiadomienia zgodnie z art. 34 RODO. Raport wykonawcy do klienta musi zawierać w szczególności następujące informacje:

• opis natury naruszenia ochrony danych osobowych, w tym, jeśli to możliwe, kategorie i przybliżona liczba osób, których dane dotyczą, kategorie zainteresowanych danych osobowych i przybliżona liczba naruszonych rekordów danych osobowych;
• opis środków podjętych lub proponowanych przez wykonawcę w celu naprawienia naruszenia ochrony danych osobowych i, jeśli jest to konieczne, środki łagodzące możliwe negatywne skutki.

7. Obowiązki współpracy wykonawcy

1. Wykonawca będzie wspierać klienta w obowiązku odpowiadania na wnioski o wykonanie praw osób, których dane dotyczą, zgodnie z art. 12-22 RODO. Mają zastosowanie postanowienia sekcji 11 niniejszej umowy.
2. Wykonawca będzie wspierać klienta w kompilowaniu ewidencji czynności przetwarzania. Będzie dostarczać klientowi w tym zakresie niezbędne informacje w odpowiedni sposób.
3. Wykonawca będzie wspierać klienta w wypełnianiu obowiązków określonych w art. 32-36 RODO, biorąc pod uwagę charakter przetwarzania i dostępne mu informacje.

8. Uprawnienia kontrolne

1. Klient będzie miał prawo do monitorowania zgodności wykonawcy z postanowieniami ustawowymi o ochronie danych i/lub postanowieniami umownymi uzgodnionymi między stronami i/lub instrukcjami klienta w dowolnym czasie w niezbędnym zakresie.
2. Wykonawca jest zobowiązany do dostarczenia klientowi informacji w niezbędnym zakresie do przeprowadzenia monitorowania w rozumieniu punktu 1.
3. Klient może żądać dostępu do danych przetwarzanych przez wykonawcę dla klienta, a także do systemów przetwarzania danych i programów wykorzystywanych.
4. Klient może, po uprzedzeniu z rozsądnym wyprzedzeniem, przeprowadzić kontrolę w rozumieniu punktu 1 w siedzibie wykonawcy w zwykłych godzinach pracy. Klient będzie zapewniać, że kontrole są przeprowadzane wyłącznie w niezbędnym zakresie, aby nie zakłócać nieproporcjonalnie działalności biznesowej wykonawcy.
5. Kontrolę, o której mowa w poprzednim punkcie (4), może również przeprowadzić ekspert wyznaczony przez klienta. Kontrahent musi być powiadomiony o tym wyznaczeniu z odpowiednim wyprzedzeniem i w wystarczającym czasie, aby mógł wnieść sprzeciw w uzasadnionych przypadkach, np. jeśli ekspert jest potencjalnym konkurentem kontrahenta. W przypadku takiego sprzeciwu klient może, według swojego uznania, przeprowadzić kontrolę sam lub usunąć przyczyny sprzeciwu kontrahenta (np. wyznaczając innego eksperta).
6. W przypadku podjęcia działań przez organ nadzorczy wobec klienta w rozumieniu art. 58 RODO, w szczególności w odniesieniu do obowiązków informacyjnych i kontrolnych, wykonawca jest zobowiązany do dostarczenia klientowi niezbędnych informacji i umożliwienia odpowiedniemu organowi nadzorczemu przeprowadzenia kontroli na miejscu. Klient musi być powiadomiony przez wykonawcę o wszelkich takich planowanych działaniach.

9. Podwykonawstwo

1. Klient zgadza się, aby wykonawca mógł angażować podwykonawców. Wykonawca poinformuje klienta przed zaangażowaniem dodatkowych podwykonawców lub zastąpieniem istniejących podwykonawców. Klient może sprzeciwić się zmianie z uzasadnionych przyczyn w ciągu dwóch tygodni od otrzymania informacji od wykonawcy, powiadamiając biuro wyznaczone przez wykonawcę. Jeśli żaden sprzeciw nie zostanie zgłoszony w tym okresie, zgoda na zmianę będzie uważana za udzieloną. Podwykonawcy zatrudnieni przez wykonawcę w momencie zawarcia umowy są wymienieni na następnej stronie XXX i są akceptowani przez klienta.
2. Wykonawca zawrze umowę o przetwarzaniu danych z podwykonawcą, która będzie zgodna z wymogami art. 28 RODO. Ponadto wykonawca nałoży na podwykonawcę te same obowiązki ochrony danych osobowych, co uzgodnione między klientem a wykonawcą. Kopia umowy o przetwarzaniu danych będzie dostarczona klientowi na jego żądanie.
3. Wykonawca jest w szczególności zobowiązany zapewnić przez postanowienia umowne, że uprawnienia kontrolne (sekcja 8 niniejszej umowy) klienta i organów nadzorczych mają również zastosowanie do podwykonawcy i że uzgodniane są odpowiednie prawa kontrolne klientów i organów nadzorczych. Musi również być określone umownie, że podwykonawca musi tolerować te środki kontroli i wszelkie kontrole na miejscu.
4. Usługi, które wykonawca otrzymuje od stron trzecich wyłącznie jako usługi pomocnicze w celu prowadzenia swojej działalności biznesowej, nie powinny być uważane za relacje podwykonawstwa w rozumieniu klauzuli 9. Obejmują one na przykład usługi czyszczenia, czyste usługi telekomunikacyjne bez konkretnego powiązania z usługami świadczonymi przez wykonawcę dla klienta, usługi pocztowe i kurierskie, usługi transportowe i usługi bezpieczeństwa. Wykonawca jest jednak zobowiązany zapewnić, że podjęto odpowiednie środki ostrożności oraz środki techniczne i organizacyjne w celu zagwarantowania ochrony danych osobowych, nawet w przypadku usług pomocniczych świadczonych przez strony trzecie. Konserwacja i serwisowanie systemów IT lub aplikacji stanowi relację podwykonawstwa wymagającą zgody i przetwarzania zlecenia w rozumieniu art. 28 RODO, jeśli konserwacja i testowanie dotyczą systemów IT, które są również używane w związku z świadczeniem usług dla klienta i jeśli dane osobowe przetwarzane w imieniu klienta mogą być dostępne podczas konserwacji.

10. Poufność i obowiązek tajemnicy

1. Obie strony zobowiązują się traktować wszystkie informacje, które otrzymują w związku z wykonywaniem niniejszej umowy, jako poufne przez nieograniczony okres czasu i używać je wyłącznie do wykonywania umowy.
2. Żadna ze stron nie ma prawa do wykorzystywania tych informacji, w całości lub w części, w innych celach niż właśnie wymienione lub do udostępniania tych informacji stronom trzecim. Powyższe postanowienie nie ma zastosowania do audytów w zakresie przetwarzania zleceń.
3. Powyższe obowiązki zgodnie z punktami (1) i (2) nie mają zastosowania do informacji, które jedna ze stron udowodniono otrzymała od stron trzecich bez obowiązku zachowania poufności, lub które są powszechnie znane.
4. Wykonawca jest zobowiązany do zachowania poufności podczas przetwarzania danych i informacji, które otrzymuje lub dowiaduje się w związku z zleceniem. Wykonawca zobowiązuje się do przestrzegania tych samych reguł poufności, co te obowiązujące klienta. Klient jest zobowiązany do poinformowania wykonawcy o wszelkich szczególnych regułach poufności.
5. Kontrahent oświadcza, że zna mające zastosowanie przepisy dotyczące ochrony danych i jest zaznajomiony z ich stosowaniem. Kontrahent dodatkowo oświadcza, że zapozna swoich pracowników z odpowiednimi przepisami dotyczącymi ochrony danych.
6. Wykonawca dodatkowo gwarantuje, że dodatkowo zobowiązał pracowników zaangażowanych w wykonywanie pracy do zachowania poufności i poinformował ich o instrukcjach klienta. Klient będzie dostarczać dowód tego obowiązku ze strony pracowników na żądanie.

11. Ochrona praw osób, których dane dotyczą

1. Kontrahent jest zobowiązany wspierać klienta w obowiązku przetwarzania wniosków od osób, których dane dotyczą, zgodnie z Art. 12-22 RODO. W tym celu kontrahent zapewni szczególnie, aby niezbędne informacje zostały dostarczone klientowi bez zbędnej zwłoki, aby klient mógł wykonać swoje obowiązki zgodnie z Art. 12 (3) RODO. Kontrahent w szczególności podejmie niezbędne działania zgodnie z instrukcjami klienta.
2. W przypadku, gdy osoba, której dane dotyczą, skontaktuje się z wykonawcą w celu wykonania swoich praw w odniesieniu do przetwarzania swoich danych, wykonawca przekaże odpowiednie informacje klientowi.

12. Techniczne i organizacyjne środki bezpieczeństwa danych

1. Wykonawca zobowiązuje się wobec klienta do przestrzegania technicznych i organizacyjnych środków niezbędnych do zgodności z mającymi zastosowanie przepisami o ochronie danych. Obejmuje to w szczególności wymogi art. 32 RODO.
2. Stan środków technicznych i organizacyjnych istniejących w chwili zawarcia umowy jest udokumentowany na stronie Środki Techniczne i Organizacyjne (STO). Strony zgadzają się, że zmiany w środkach technicznych i organizacyjnych mogą być konieczne w celu dostosowania się do zmian technicznych i prawnych. Środki, które nie wpływają niekorzystnie na integralność, poufność i dostępność danych osobowych, mogą być wdrażane przez kontrahenta bez konsultacji z klientem. Klient może przeglądać bieżącą wersję środków technicznych i organizacyjnych wdrażanych przez kontrahenta w dowolnym momencie za pośrednictwem powyższego łącza.
3. Wykonawca będzie regularnie i również na zasadzie ad hoc sprawdzać skuteczność technicznych i organizacyjnych środków, które podjął, i generalnie dostarczać informacje o niezbędnych zmianach na odpowiedniej stronie.

13. Okres obowiązywania umowy; rozwiązanie

1. Okres obowiązywania niniejszej umowy odpowiada okresowi obowiązywania umowy głównej. Mają zastosowanie postanowienia regulujące zwykłe rozwiązanie umowy głównej.
2. Klient ma prawo do nadzwyczajnego rozwiązania niniejszej umowy w dowolnym momencie z ważnych przyczyn. Ważną przyczyną będzie uważana w szczególności dla klienta, jeśli

• wykonawca narusza istotny obowiązek wynikający z niniejszej umowy,
• wykonawca wykorzystuje dane klienta do celów innych niż dozwolone w niniejszej umowie,
• wykonawca nie wykonuje instrukcji klienta,
• wykonawca odmawia wykonywania praw kontrolnych klienta lub znacznie utrudnia takie wykonywanie, lub
• wykonawca angażuje innego przetwarzającego wbrew postanowieniom klauzuli 9.

1. W przypadku rozwiązania niniejszej umowy umowa główna może być kontynuowana wyłącznie jeśli zostanie wykluczony fakt, że wykonawca przetwarza dane klienta. W razie wątpliwości rozwiązanie umowy głównej będzie uważane również za rozwiązanie niniejszej umowy, a rozwiązanie niniejszej umowy będzie uważane za rozwiązanie umowy głównej.

14. Odpowiedzialność

Kontrahent będzie odpowiedzialny zgodnie z ustawowymi przepisami o odpowiedzialności za wszelkie szkody poniesione przez klienta w wyniku umyślnych naruszeń niniejszej umowy przez kontrahenta lub ustawowych obowiązków dotyczących ochrony danych bezpośrednio mających zastosowanie do kontrahenta. Wszelkie inne ograniczenia odpowiedzialności uzgodnione między stronami (np. w umowie głównej) nie będą mieć zastosowania w tym zakresie.

15. Rozwiązanie

1. Po rozwiązaniu umowy kontrahent usunie wszystkie dokumenty, dane i wyniki przetwarzania lub użycia utworzone w związku ze stosunkiem umownym, które znalazły się w jego posiadaniu. Usunięcie zostanie udokumentowane w odpowiedni sposób.
2. Wszelkie ustawowe obowiązki przechowywania lub inne obowiązki przechowywania danych pozostają niezmienione. W przypadku nośników danych, muszą one być zniszczone, jeśli klient żąda usunięcia, przy czym musi być zachowany co najmniej poziom bezpieczeństwa 3 normy ISO 21964-1 do 3; dowód zniszczenia musi być dostarczony klientowi.
3. Klient ma prawo do sprawdzenia, czy dane zostały w pełni zwrócone i usunięte przez wykonawcę i zgodnie z umową. Można to również zrobić poprzez inspekcję sprzętu przetwarzającego dane w siedzibie wykonawcy. Klient poinformuje o wszelkich kontrolach na miejscu z rozsądnym wyprzedzeniem.

16. Prawo do zatrzymania

Strony zgadzają się, że prawo wykonawcy do zatrzymania w rozumieniu art. 273 Kodeksu cywilnego (BGB) jest wyłączone w odniesieniu do przetwarzanych danych i powiązanych nośników danych.

17. Postanowienia końcowe

1. Jeśli majątek klienta w siedzibie wykonawcy jest zagrożony przez działania podejmowane przez strony trzecie (np. poprzez zajęcie lub konfiskatę), postępowanie upadłościowe lub inne zdarzenia, wykonawca niezwłocznie poinformuje klienta. Wykonawca niezwłocznie poinformuje wierzycieli, że omawiane dane są przetwarzane w imieniu klienta.
2. Umowy uboczne muszą być zawierane na piśmie.
3. Jeśli poszczególne części niniejszej umowy będą nieważne, nie będzie to wpływać na ważność pozostałych postanowień umowy. Strony zobowiązują się zastąpić nieważne postanowienie postanowieniem dozwolonym prawnie, które najbardziej zbliża się do celu nieważnego postanowienia i najlepiej spełnia wymogi art. 28 RODO.
4. W przypadku sprzeczności między niniejszą umową a innymi umowami między stronami, w szczególności umową główną i Ogólnymi Warunkami, postanowienia niniejszej umowy mają pierwszeństwo.
5. Niniejsza umowa jest załączona do Ogólnych Warunków i stanowi integralną część umów zawartych między stronami. Oddzielna oświadczenie woli stron dotyczące zawarcia niniejszej umowy o przetwarzaniu danych (np. poprzez podpis) nie jest wymagane.