w imieniu

między klientem, indywidualnie określanym również jako "strona" 

i Partner Tech Europe GmbH, indywidualnie określanym również jako "Wykonawca" lub "Strona" 

i wspólnie określanym jako "Strony".

1. Postanowienia ogólne

1. W ramach świadczenia usług na podstawie umowy głównej zawartej między stronami nie można wykluczyć, że w trakcie konserwacji i serwisowania dostarczonego sprzętu i oprogramowania wykonawca może wejść w kontakt z danymi osobowymi (zwanymi dalej danymi klienta), za które klient jest organem odpowiedzialnym w rozumieniu przepisów o ochronie danych. Niniejsza umowa o przetwarzaniu danych określa prawa i obowiązki stron w związku z obsługą danych osobowych klienta. 
2. Wykonawca przetwarza dane osobowe w imieniu klienta w rozumieniu art. 4 pkt 8 i art. 28 rozporządzenia (UE) 2016/679 – Ogólnego rozporządzenia o ochronie danych (RODO). Niniejsza umowa reguluje prawa i obowiązki stron w związku z przetwarzaniem danych osobowych w imieniu klienta. Poszczególne usługi świadczone przez wykonawcę zostały opisane bardziej szczegółowo w głównej umowie zawartej między stronami. Dalsze informacje na temat zbierania, przetwarzania i wykorzystywania danych można znaleźć w ofertach wykonawcy stanowiących podstawę relacji biznesowej i, jeśli dotyczy, w dalszych indywidualnych zamówieniach.
3. Jeśli w niniejszej umowie są użyte terminy zdefiniowane prawnie w RODO, odpowiednia definicja z RODO będzie przyjęta i wykorzystana jako podstawa niniejszej umowy. Dotyczy to w szczególności terminu "przetwarzanie" (danych) w art. 4 pkt 2 RODO.

2. Przedmiot umowy

Przedmiot przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych i kategorie osób, których dane dotyczą, określone są w umowie głównej.

3. Prawa i obowiązki klienta

1. Klient jest administratorem w rozumieniu art. 4 pkt 7 RODO przetwarzania danych w imieniu wykonawcy. 
2. Klient jest odpowiedzialny za ochronę praw osób, których dane dotyczą. Wykonawca niezwłocznie poinformuje klienta, jeśli osoby, których dane dotyczą, będą podejmować kroki wobec wykonawcy.
3. Klient ma prawo do wydawania wykonawcy dodatkowych instrukcji dotyczących rodzaju, zakresu i procedury przetwarzania danych w dowolnym czasie. Instrukcje muszą być wydane w formie pisemnej (np. email). Instrukcje ustne muszą być niezwłocznie potwierdzone w formie pisemnej.
4. Postanowienia dotyczące wszelkich odszkodowań za dodatkowe wydatki poniesione przez wykonawcę w wyniku dodatkowych instrukcji od klienta pozostają niezmienione.
5. Klient niezwłocznie poinformuje wykonawcę, jeśli odkryje błędy lub nieprawidłowości związane z przetwarzaniem danych osobowych przez wykonawcę.
6. W przypadku obowiązku udzielania informacji stronom trzecim zgodnie z art. 33 i 34 RODO lub jakichkolwiek innych obowiązków sprawozdawczych mających zastosowanie do klienta, klient jest odpowiedzialny za zgodność z takimi obowiązkami.

4. Ogólne obowiązki wykonawcy

1. Wykonawca będzie przetwarzać dane osobowe wyłącznie w zakresie dokonanych uzgodnień i/lub zgodnie z wszelkimi dodatkowymi instrukcjami wydanymi przez klienta. Nie dotyczy to przepisów prawnych, które mogą zobowiązywać wykonawcę do przetwarzania danych w inny sposób. W takim przypadku wykonawca niezwłocznie poinformuje klienta o tych wymogach prawnych, chyba że przepisy prawne zabraniają takiego powiadomienia ze względu na ważny interes publiczny. W przeciwnym razie cel, rodzaj i zakres przetwarzania danych będą regulowane wyłącznie niniejszą umową i/lub instrukcjami klienta. Wykonawca nie ma prawa przetwarzać danych w inny sposób, chyba że klient wyraził na to pisemną zgodę.
2. Przetwarzanie danych klienta przez wykonawcę w imieniu klienta będzie generalnie odbywać się w państwach członkowskich Unii Europejskiej (UE) lub Europejskiego Obszaru Gospodarczego (EOG). Jednak wykonawca może również przetwarzać dane klienta poza EOG, jeśli będzie to zgodne z postanowieniami niniejszej umowy i spełni wymogi art. 44 i nast. RODO.
3. Wykonawca niezwłocznie poinformuje klienta, jeśli w jego opinii instrukcja wydana przez klienta narusza przepisy prawa. Wykonawca ma prawo zawiesić wykonanie omawianej instrukcji do czasu jej potwierdzenia lub zmiany przez klienta. Jeśli wykonawca może wykazać, że przetwarzanie zgodnie z instrukcjami klienta mogłoby prowadzić do odpowiedzialności wykonawcy na podstawie art. 82 RODO, wykonawca ma prawo zawiesić dalsze przetwarzanie w tym zakresie do czasu wyjaśnienia odpowiedzialności między stronami.
4. Przetwarzanie danych w imieniu klienta poza lokalem biznesu wykonawcy lub podwykonawcami jest dozwolone wyłącznie za zgodą klienta, która musi być udzielona co najmniej na piśmie. Przetwarzanie danych dla klienta w domach prywatnych jest ogólnie dozwolone. Klient ma prawo sprzeciwić się takiemu przetwarzaniu w domach prywatnych w uzasadnionych przypadkach; wykonawca może, według swojego uznania, kontynuować przetwarzanie w swojej siedzibie biznesu lub usunąć przyczyny sprzeciwu klienta.
   Wykonawca zapewni, że przestrzegane są w szczególności środki techniczne i organizacyjne. Klient zdaje sobie sprawę, że może to skutkować ograniczeniami możliwości kontroli.
5. Wykonawca będzie przetwarzać dane, które przetwarza w imieniu klienta, oddzielnie od innych danych. Fizyczne rozdzielenie nie jest obowiązkowe. 
   
   

1. Wykonawca potwierdza, że powołał inspektora ochrony danych zgodnie z art. 37 RODO. Wykonawca zapewni, że inspektor ochrony danych posiada niezbędne kwalifikacje i doświadczenie. Wykonawca dostarczy klientowi pisemnie na żądanie imię i dane kontaktowe swojego inspektora ochrony danych. 
2. Obowiązek powołania inspektora ochrony danych zgodnie z punktem 1 nie ma zastosowania, jeśli wykonawca może wykazać, że nie jest prawnie zobowiązany do powołania inspektora ochrony danych i wykonawca może wykazać, że istnieją przepisy operacyjne zapewniające, że dane osobowe są przetwarzane zgodnie z przepisami ustawowymi, postanowieniami niniejszej umowy i wszelkimi dalszymi instrukcjami od klienta.

6. Obowiązki sprawozdawcze wykonawcy

1. Wykonawca jest zobowiązany do niezwłocznego powiadomienia klienta o każdym naruszeniu przepisów o ochronie danych lub dokonanych uzgodnień umownych i/lub wydanych instrukcji przez klienta, które miało miejsce w trakcie przetwarzania danych przez niego lub inne osoby zaangażowane w przetwarzanie. To samo dotyczy każdego naruszenia ochrony danych osobowych, które wykonawca przetwarza w imieniu klienta.
2. Ponadto wykonawca niezwłocznie poinformuje klienta, jeśli organ nadzorczy podejmie działania wobec wykonawcy zgodnie z art. 58 RODO i może to również wpłynąć na przetwarzanie przeprowadzane przez wykonawcę w imieniu klienta.
3. Wykonawca będzie wspierać klienta w wypełnianiu obowiązków sprawozdawczych zgodnie z art. 33 RODO i obowiązku powiadomienia zgodnie z art. 34 RODO. Raport wykonawcy do klienta musi zawierać w szczególności następujące informacje:

• opis natury naruszenia ochrony danych osobowych, w tym, jeśli to możliwe, kategorie i przybliżona liczba osób, których dane dotyczą, kategorie zainteresowanych danych osobowych i przybliżona liczba naruszonych rekordów danych osobowych;
• opis środków podjętych lub proponowanych przez wykonawcę w celu naprawienia naruszenia ochrony danych osobowych i, jeśli jest to konieczne, środki łagodzące możliwe negatywne skutki.

7. Obowiązki współpracy wykonawcy

1. Wykonawca będzie wspierać klienta w obowiązku odpowiadania na wnioski o wykonanie praw osób, których dane dotyczą, zgodnie z art. 12-22 RODO. Mają zastosowanie postanowienia sekcji 11 niniejszej umowy.
2. Wykonawca będzie wspierać klienta w kompilowaniu ewidencji czynności przetwarzania. Będzie dostarczać klientowi w tym zakresie niezbędne informacje w odpowiedni sposób.
3. Wykonawca będzie wspierać klienta w wypełnianiu obowiązków określonych w art. 32-36 RODO, biorąc pod uwagę charakter przetwarzania i dostępne mu informacje.

8. Uprawnienia kontrolne

1. Klient będzie miał prawo do monitorowania zgodności wykonawcy z postanowieniami ustawowymi o ochronie danych i/lub postanowieniami umownymi uzgodnionymi między stronami i/lub instrukcjami klienta w dowolnym czasie w niezbędnym zakresie.
2. Wykonawca jest zobowiązany do dostarczenia klientowi informacji w niezbędnym zakresie do przeprowadzenia monitorowania w rozumieniu punktu 1.
3. Klient może żądać dostępu do danych przetwarzanych przez wykonawcę dla klienta, a także do systemów przetwarzania danych i programów wykorzystywanych.
4. Klient może, po uprzedzeniu z rozsądnym wyprzedzeniem, przeprowadzić kontrolę w rozumieniu punktu 1 w siedzibie wykonawcy w zwykłych godzinach pracy. Klient będzie zapewniać, że kontrole są przeprowadzane wyłącznie w niezbędnym zakresie, aby nie zakłócać nieproporcjonalnie działalności biznesowej wykonawcy.
5. Kontrola zgodnie z poprzednim punktem (4) może również być przeprowadzona przez eksperta powołanego przez klienta. Wykonawca musi być powiadomiony o tym powołaniu z wyprzedzeniem i wystarczającą ilością czasu, aby mógł się sprzeciwić powołaniu w uzasadnionych przypadkach, na przykład jeśli ekspert jest potencjalnym konkurentem wykonawcy. W przypadku takiego sprzeciwu klient może, według swojego uznania, przeprowadzić samodzielnie odpowiednią kontrolę lub usunąć przyczyny sprzeciwu wykonawcy (np. powołując innego eksperta). 
6. W przypadku podjęcia działań przez organ nadzorczy wobec klienta w rozumieniu art. 58 RODO, w szczególności w odniesieniu do obowiązków informacyjnych i kontrolnych, wykonawca jest zobowiązany do dostarczenia klientowi niezbędnych informacji i umożliwienia odpowiedniemu organowi nadzorczemu przeprowadzenia kontroli na miejscu. Klient musi być powiadomiony przez wykonawcę o wszelkich takich planowanych działaniach.

9. Podwykonawstwo

1. Klient zgadza się, aby wykonawca mógł angażować podwykonawców. Wykonawca poinformuje klienta przed zaangażowaniem dodatkowych podwykonawców lub zastąpieniem istniejących podwykonawców. Klient może sprzeciwić się zmianie z uzasadnionych przyczyn w ciągu dwóch tygodni od otrzymania informacji od wykonawcy, powiadamiając biuro wyznaczone przez wykonawcę. Jeśli żaden sprzeciw nie zostanie zgłoszony w tym okresie, zgoda na zmianę będzie uważana za udzieloną. Podwykonawcy zatrudnieni przez wykonawcę w momencie zawarcia umowy są wymienieni na następnej stronie XXX i są akceptowani przez klienta.
2. Wykonawca zawrze umowę o przetwarzaniu danych z podwykonawcą, która będzie zgodna z wymogami art. 28 RODO. Ponadto wykonawca nałoży na podwykonawcę te same obowiązki ochrony danych osobowych, co uzgodnione między klientem a wykonawcą. Kopia umowy o przetwarzaniu danych będzie dostarczona klientowi na jego żądanie.
3. Wykonawca jest w szczególności zobowiązany zapewnić przez postanowienia umowne, że uprawnienia kontrolne (sekcja 8 niniejszej umowy) klienta i organów nadzorczych mają również zastosowanie do podwykonawcy i że uzgodniane są odpowiednie prawa kontrolne klientów i organów nadzorczych. Musi również być określone umownie, że podwykonawca musi tolerować te środki kontroli i wszelkie kontrole na miejscu.
4. Usługi, które wykonawca otrzymuje od stron trzecich wyłącznie jako usługi pomocnicze w celu prowadzenia swojej działalności biznesowej, nie powinny być uważane za relacje podwykonawstwa w rozumieniu klauzuli 9. Obejmują one na przykład usługi czyszczenia, czyste usługi telekomunikacyjne bez konkretnego powiązania z usługami świadczonymi przez wykonawcę dla klienta, usługi pocztowe i kurierskie, usługi transportowe i usługi bezpieczeństwa. Wykonawca jest jednak zobowiązany zapewnić, że podjęto odpowiednie środki ostrożności oraz środki techniczne i organizacyjne w celu zagwarantowania ochrony danych osobowych, nawet w przypadku usług pomocniczych świadczonych przez strony trzecie. Konserwacja i serwisowanie systemów IT lub aplikacji stanowi relację podwykonawstwa wymagającą zgody i przetwarzania zlecenia w rozumieniu art. 28 RODO, jeśli konserwacja i testowanie dotyczą systemów IT, które są również używane w związku z świadczeniem usług dla klienta i jeśli dane osobowe przetwarzane w imieniu klienta mogą być dostępne podczas konserwacji.

10. Poufność i obowiązek tajemnicy

1. Obie strony zobowiązują się do traktowania wszystkich informacji, które otrzymują w związku z wykonywaniem niniejszej umowy, jako poufne na nieograniczoną ilość czasu i do wykorzystywania ich wyłącznie do wykonania umowy. 
2. Żadna ze stron nie ma prawa do wykorzystywania tych informacji, w całości lub w części, w innych celach niż właśnie wymienione lub do udostępniania tych informacji stronom trzecim. Powyższe postanowienie nie ma zastosowania do audytów w zakresie przetwarzania zleceń.
3. Powyższe obowiązki zgodnie z punktami (1) i (2) nie mają zastosowania do informacji, które jedna ze stron udowodniono otrzymała od stron trzecich bez obowiązku zachowania poufności, lub które są powszechnie znane.
4. Wykonawca jest zobowiązany do zachowania poufności podczas przetwarzania danych i informacji, które otrzymuje lub dowiaduje się w związku z zleceniem. Wykonawca zobowiązuje się do przestrzegania tych samych reguł poufności, co te obowiązujące klienta. Klient jest zobowiązany do poinformowania wykonawcy o wszelkich szczególnych regułach poufności.
5. Wykonawca gwarantuje, że jest zaznajomiony z mającymi zastosowanie przepisami o ochronie danych i jest zaznajomiony z ich stosowaniem. Wykonawca dodatkowo gwarantuje, że zaznajomi swoich pracowników z odpowiednimi postanowieniami dotyczącymi ochrony danych. 
6. Wykonawca dodatkowo gwarantuje, że dodatkowo zobowiązał pracowników zaangażowanych w wykonywanie pracy do zachowania poufności i poinformował ich o instrukcjach klienta. Klient będzie dostarczać dowód tego obowiązku ze strony pracowników na żądanie.

11. Ochrona praw osób, których dane dotyczą

1. Wykonawca jest zobowiązany do wspierania klienta w obowiązku przetwarzania wniosków od osób, których dane dotyczą, zgodnie z art. 12-22 RODO. W tym celu wykonawca musi w szczególności zapewnić, że niezbędne informacje będą dostarczone klientowi bez opóźnienia, aby klient mógł wypełnić swoje obowiązki zgodnie z art. 12 (3) RODO. W szczególności wykonawca będzie podejmować niezbędne środki zgodnie z instrukcjami klienta. 
2. W przypadku, gdy osoba, której dane dotyczą, skontaktuje się z wykonawcą w celu wykonania swoich praw w odniesieniu do przetwarzania swoich danych, wykonawca przekaże odpowiednie informacje klientowi.

12. Techniczne i organizacyjne środki bezpieczeństwa danych

1. Wykonawca zobowiązuje się wobec klienta do przestrzegania technicznych i organizacyjnych środków niezbędnych do zgodności z mającymi zastosowanie przepisami o ochronie danych. Obejmuje to w szczególności wymogi art. 32 RODO.
2. Stan technicznych i organizacyjnych środków istniejących w momencie zawarcia umowy jest udokumentowany pod adresem [LINK]. Strony zgadzają się, że zmiany technicznych i organizacyjnych środków mogą być konieczne w celu dostosowania się do okoliczności technicznych i prawnych. Środki, które niekorzystnie nie wpływają na integralność, poufność i dostępność danych osobowych, mogą być wdrożone przez wykonawcę bez konsultacji z klientem. Klient może przeglądać aktualną wersję technicznych i organizacyjnych środków podjętych przez wykonawcę w dowolnym momencie za pośrednictwem powyższego łącza. 
3. Wykonawca będzie regularnie i również na zasadzie ad hoc sprawdzać skuteczność technicznych i organizacyjnych środków, które podjął, i generalnie dostarczać informacje o niezbędnych zmianach na odpowiedniej stronie.

13. Okres obowiązywania umowy; rozwiązanie

1. Okres obowiązywania niniejszej umowy odpowiada okresowi obowiązywania umowy głównej. Mają zastosowanie postanowienia regulujące zwykłe rozwiązanie umowy głównej.
2. Klient ma prawo do nadzwyczajnego rozwiązania niniejszej umowy w dowolnym momencie z ważnych przyczyn. Ważną przyczyną będzie uważana w szczególności dla klienta, jeśli
• wykonawca narusza istotny obowiązek wynikający z niniejszej umowy,
• wykonawca wykorzystuje dane klienta do celów innych niż dozwolone w niniejszej umowie,
• wykonawca nie wykonuje instrukcji klienta,
• wykonawca odmawia wykonywania praw kontrolnych klienta lub znacznie utrudnia takie wykonywanie, lub
• wykonawca angażuje innego przetwarzającego wbrew postanowieniom klauzuli 9.
3. W przypadku rozwiązania niniejszej umowy umowa główna może być kontynuowana wyłącznie jeśli zostanie wykluczony fakt, że wykonawca przetwarza dane klienta. W razie wątpliwości rozwiązanie umowy głównej będzie uważane również za rozwiązanie niniejszej umowy, a rozwiązanie niniejszej umowy będzie uważane za rozwiązanie umowy głównej.

14. Odpowiedzialność

Wykonawca będzie odpowiedzialny zgodnie z ustawowymi postanowieniami odpowiedzialności za wszelkie szkody poniesione przez klienta w wyniku zawinionego naruszenia niniejszej umowy przez wykonawcę lub ustawowych obowiązków ochrony danych bezpośrednio mających zastosowanie do wykonawcy. Wszelkie inne ograniczenia odpowiedzialności uzgodnione między stronami (np. w umowie głównej) nie mają zastosowania w tym zakresie. 

15. Rozwiązanie

1. Po rozwiązaniu umowy wykonawca usunie wszystkie dokumenty, dane i wyniki przetwarzania lub wykorzystania utworzone w związku z relacją umowną, które wpadły w jego posiadanie. Usunięcie będzie udokumentowane w odpowiedni sposób. 
2. Wszelkie ustawowe obowiązki przechowywania lub inne obowiązki przechowywania danych pozostają niezmienione. W przypadku nośników danych, muszą one być zniszczone, jeśli klient żąda usunięcia, przy czym musi być zachowany co najmniej poziom bezpieczeństwa 3 normy ISO 21964-1 do 3; dowód zniszczenia musi być dostarczony klientowi.
3. Klient ma prawo do sprawdzenia, czy dane zostały w pełni zwrócone i usunięte przez wykonawcę i zgodnie z umową. Można to również zrobić poprzez inspekcję sprzętu przetwarzającego dane w siedzibie wykonawcy. Klient poinformuje o wszelkich kontrolach na miejscu z rozsądnym wyprzedzeniem.

16. Prawo do zatrzymania

Strony zgadzają się, że prawo wykonawcy do zatrzymania w rozumieniu art. 273 Kodeksu cywilnego (BGB) jest wyłączone w odniesieniu do przetwarzanych danych i powiązanych nośników danych.

17. Postanowienia końcowe

1. Jeśli majątek klienta w siedzibie wykonawcy jest zagrożony przez działania podejmowane przez strony trzecie (np. poprzez zajęcie lub konfiskatę), postępowanie upadłościowe lub inne zdarzenia, wykonawca niezwłocznie poinformuje klienta. Wykonawca niezwłocznie poinformuje wierzycieli, że omawiane dane są przetwarzane w imieniu klienta.
2. Umowy uboczne muszą być zawierane na piśmie.
3. Jeśli poszczególne części niniejszej umowy będą nieważne, nie będzie to wpływać na ważność pozostałych postanowień umowy. Strony zobowiązują się zastąpić nieważne postanowienie postanowieniem dozwolonym prawnie, które najbardziej zbliża się do celu nieważnego postanowienia i najlepiej spełnia wymogi art. 28 RODO.
4. W przypadku sprzeczności między niniejszą umową a innymi umowami między stronami, w szczególności umową główną i Ogólnymi Warunkami, postanowienia niniejszej umowy mają pierwszeństwo.
5. Niniejsza umowa jest załączona do Ogólnych Warunków i stanowi integralną część umów zawartych między stronami. Oddzielna oświadczenie woli stron dotyczące zawarcia niniejszej umowy o przetwarzaniu danych (np. poprzez podpis) nie jest wymagane.