Wzór umowy powierzenia przetwarzania danych osobowych (DPA)

Umowa powierzenia przetwarzania danych osobowych („Umowa") zostaje zawarta pomiędzy:

Administratorem danych — [Klient: nazwa / imię i nazwisko, adres, NIP/numer identyfikacyjny], („Administrator"), a

Podmiotem przetwarzającym:

• Piotr Kalinowski,
• osoba fizyczna nieprowadząca działalności gospodarczej,
• prowadząca sprzedaż w ramach działalności nierejestrowanej w rozumieniu art. 5 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców,
• korzystająca ze zwolnienia podmiotowego z VAT na podstawie art. 113 ust. 1 ustawy o VAT — na żądanie przedsiębiorcy wystawiana jest faktura (bez VAT), a na życzenie konsumenta rachunek,
• adres do korespondencji: Kabacki Dukt 16/32, 02-798 Warszawa,
• adres e-mail: [email protected],
• profil zawodowy: linkedin.com/in/piotr-stanislaw-kalinowski

Pojęcia „dane osobowe", „przetwarzanie", „administrator", „podmiot przetwarzający", „naruszenie ochrony danych" oraz „organ nadzorczy" rozumiane są zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

Administrator powierza Podmiotowi przetwarzającemu, w trybie art. 28 RODO, przetwarzanie danych osobowych wyłącznie w zakresie i w celu niezbędnym do realizacji usługi [nazwa usługi, np. wdrożenie systemu compliance / ocena ryzyka / usługa doradcza].

Charakter przetwarzania obejmuje czynności niezbędne do wykonania usługi, w szczególności: zbieranie, utrwalanie, przechowywanie, przeglądanie, porządkowanie, analizowanie oraz usuwanie powierzonych danych.

Czas trwania przetwarzania odpowiada okresowi obowiązywania umowy o świadczenie usługi, z zastrzeżeniem postanowień §8 dotyczących zwrotu lub usunięcia danych po jej zakończeniu.

Powierzenie obejmuje następujące kategorie danych osobowych: [np. dane identyfikacyjne i kontaktowe, dane zawodowe/służbowe, dane zawarte w dokumentach przekazanych przez Administratora].

Kategorie osób, których dane dotyczą: [np. pracownicy, współpracownicy, członkowie organów, kontrahenci i reprezentanci Administratora].

Administrator oświadcza, że nie powierza danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO), chyba że strony postanowią inaczej na piśmie i uzgodnią dodatkowe środki ochrony.

Podmiot przetwarzający zobowiązuje się w szczególności do:

• przetwarzania danych wyłącznie na udokumentowane polecenie Administratora (za polecenie uznaje się również zlecenie realizacji usługi), chyba że obowiązek przetwarzania wynika z prawa UE lub prawa państwa członkowskiego,
• zapewnienia, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności,
• wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych (art. 32 RODO), opisanych w §5,
• przestrzegania warunków korzystania z usług innego podmiotu przetwarzającego (podprzetwarzającego), o których mowa w §6,
• pomocy Administratorowi — w miarę możliwości — w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą (realizacja praw z rozdz. III RODO),
• pomocy Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków),
• po zakończeniu świadczenia usługi — usunięcia lub zwrotu danych zgodnie z §8,
• udostępnienia Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków oraz umożliwienia audytów, o których mowa w §7.

Podmiot przetwarzający stosuje środki techniczne i organizacyjne adekwatne do ryzyka, w szczególności:

• szyfrowanie transmisji danych (HTTPS/TLS) oraz szyfrowanie danych przechowywanych,
• kontrolę dostępu — dostęp do powierzonych danych mają wyłącznie osoby upoważnione, na zasadzie niezbędności,
• pseudonimizację/anonimizację danych przed ich ewentualnym przetwarzaniem z wykorzystaniem narzędzi automatycznych (zob. §6),
• regularne kopie zapasowe oraz rozdzielenie środowisk,
• rejestrowanie istotnych zdarzeń oraz bieżącą aktualizację stosowanych zabezpieczeń.

Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z usług dostawców infrastruktury informatycznej (podprzetwarzających) niezbędnych do świadczenia usługi. Aktualnie są to:

• Abacus.AI, Inc. (Stany Zjednoczone) — dostawca platformy aplikacyjnej i narzędzi przetwarzania automatycznego (w tym AI),
• Amazon Web Services, Inc. (Stany Zjednoczone) — dostawca magazynu plików (przechowywanie dokumentów przekazanych w ramach usługi).

Przekazanie danych do państwa trzeciego (USA) odbywa się na podstawie mechanizmów przewidzianych w RODO: decyzji Komisji Europejskiej w sprawie adekwatności (Data Privacy Framework) lub standardowych klauzul umownych (SCC), uzupełnionych o dodatkowe środki ochrony — szyfrowanie oraz anonimizację danych przed ich przetwarzaniem z wykorzystaniem narzędzi AI.

Podmiot przetwarzający zapewnia, że dokumenty zawierające dane osobowe powierzone przez Administratora nie są przekazywane do narzędzi sztucznej inteligencji; do analizy automatycznej trafiają wyłącznie dane uprzednio zanonimizowane/pseudonimizowane.

O zamiarze dodania lub zmiany podprzetwarzającego Podmiot przetwarzający informuje Administratora, umożliwiając zgłoszenie uzasadnionego sprzeciwu.

Administrator ma prawo do kontroli przestrzegania przez Podmiot przetwarzający warunków niniejszej Umowy, w tym do żądania wyjaśnień oraz — po wcześniejszym uzgodnieniu terminu — przeprowadzenia audytu. Podmiot przetwarzający udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO.

Podmiot przetwarzający zgłasza Administratorowi każde naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, przekazując informacje niezbędne do realizacji obowiązków Administratora wobec organu nadzorczego.

Po zakończeniu świadczenia usługi Podmiot przetwarzający — zgodnie z decyzją Administratora — usuwa lub zwraca wszelkie powierzone dane oraz usuwa istniejące kopie, chyba że prawo UE lub prawo krajowe nakazują ich przechowywanie.

W sprawach nieuregulowanych Umową stosuje się RODO oraz przepisy prawa polskiego. Umowa powierzenia obowiązuje przez czas trwania umowy o świadczenie usługi. Zmiany wymagają formy dokumentowej lub pisemnej.

Uczciwe zastrzeżenie: niniejszy dokument jest wzorem o charakterze informacyjnym, przygotowanym w oparciu o aktualne przepisy prawa polskiego (m.in. Kodeks cywilny oraz RODO). Nie stanowi porady prawnej. W przypadku umów o istotnej wartości lub o nietypowym zakresie zalecane jest zweryfikowanie treści przez radcę prawnego lub adwokata. Wzory są przeglądane i aktualizowane cyklicznie (nie rzadziej niż raz w miesiącu).