Umowa powierzenia przetwarzania danych (DPA)

Preambuła

Niniejsza Umowa powierzenia przetwarzania danych osobowych (“DPA”) została zawarta w związku ze świadczeniem przez NORMFORT SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ usług w ramach platformy SZBIhub.

SZBIhub działa w modelu partnerskim, w którym Partner wykorzystuje Platformę jako narzędzie wspierające świadczenie usług związanych z bezpieczeństwem informacji na rzecz swoich klientów lub na potrzeby własnej organizacji.

W przypadku świadczenia usług na rzecz Organizacji klienta Partner może działać jako podmiot przetwarzający dane osobowe tej Organizacji, natomiast NORMFORT SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ działa jako dalszy podmiot przetwarzający, zapewniając dostęp do Platformy i związanych z nią usług. W przypadku korzystania z Platformy na potrzeby własnej organizacji Partner może występować jako administrator danych, a NORMFORT SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ jako podmiot przetwarzający.

Niniejsza Umowa określa zasady przetwarzania danych osobowych przez NORMFORT SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ w związku ze świadczeniem Usługi, w szczególności zakres i charakter przetwarzania, obowiązki stron, zasady korzystania z dalszych podmiotów przetwarzających oraz środki ochrony danych stosowane przez NORMFORT SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ.

§ 1. Definicje i przedmiot

1. Terminy pisane wielką literą mają znaczenie nadane w Regulaminie lub Polityce prywatności i cookies platformy SZBIhub.
2. Strony:
   1. Powierzający - Partner (działający jako administrator lub jako podmiot przetwarzający Organizacji)
   2. Przetwarzający - NORMFORT SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, spółka wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0001256018 (Sąd Rejonowy dla m.st. Warszawy, XII Wydział Gospodarczy KRS), NIP 5223379795, REGON 545337418, kapitał zakładowy 5000 zł, z siedzibą: ul. Dywizjonu 303 139/55, 01-470 Warszawa (Usługodawca).
3. Przedmiot: Powierzający powierza Przetwarzającemu przetwarzanie danych osobowych opisanych w Załączniku A, wyłącznie w celu i zakresie niezbędnym do świadczenia Usługi zgodnie z Umową (art. 28 ust. 3 RODO).
4. Niniejsza DPA jest zawierana na czas obowiązywania Umowy i wygasa wraz z zakończeniem usuwania lub zwrotu danych zgodnie z § 8.

§ 2. Role stron i status Powierzającego

1. Charakter, cel i czas przetwarzania, rodzaje danych i kategorie osób określa Załącznik A.

2. W przypadku danych dotyczących Organizacji Własnej Partnera Partner działa jako administrator danych osobowych, a Usługodawca działa jako podmiot przetwarzający.

3. W przypadku danych Organizacji klienckich Partner oświadcza, że

   a. posiada podstawę do przetwarzania danych osobowych Organizacji w zakresie niezbędnym do świadczenia usług na jej rzecz,

   b. jest uprawniony do powierzenia dalszego przetwarzania danych Usługodawcy w zakresie wynikającym z niniejszej Umowy,

   c. poinformował Organizację o korzystaniu z dalszych podmiotów przetwarzających, w tym Usługodawcy i podprocesorów, w zakresie wymaganym przez art. 28 RODO.

4. Partner odpowiada za zgodność z prawem poleceń wydawanych Usługodawcy oraz za istnienie ważnej podstawy przetwarzania po stronie Administratora.

§ 3. Obowiązki Przetwarzającego (art. 28 ust. 3 RODO)

Przetwarzający zobowiązuje się:

1. przetwarzać dane wyłącznie na udokumentowane polecenie Powierzającego - za udokumentowane polecenia strony uznają: Umowę, niniejszą DPA oraz dyspozycje wydawane przez uprawnionych Użytkowników za pomocą funkcji Platformy (utworzenie, edycja, eksport, usunięcie danych); dotyczy to również przekazywania danych do państwa trzeciego, chyba że obowiązek taki nakłada na Przetwarzającego prawo Unii lub prawo państwa członkowskiego - wówczas poinformuje Powierzającego przed przetwarzaniem, o ile prawo tego nie zabrania;
2. zapewnić, by osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy albo podlegały ustawowemu obowiązkowi zachowania tajemnicy;
3. wdrożyć środki techniczne i organizacyjne wymagane na mocy art. 32 RODO, co najmniej w zakresie opisanym w Załączniku C;
4. przestrzegać warunków korzystania z usług innego podmiotu przetwarzającego (podpowierzenie - § 4);
5. w miarę możliwości i biorąc pod uwagę charakter przetwarzania, pomagać Powierzającemu - poprzez odpowiednie środki techniczne i organizacyjne (w tym funkcje eksportu, wyszukiwania, korekty i usuwania danych na Platformie) - w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO); żądania skierowane bezpośrednio do Przetwarzającego będą przekazywane Powierzającemu bez zbędnej zwłoki;
6. pomagać Powierzającemu wywiązać się z obowiązków z art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków), uwzględniając charakter przetwarzania i dostępne Przetwarzającemu informacje;
7. po zakończeniu świadczenia usług - zależnie od decyzji Powierzającego - umożliwić eksport danych oraz usunąć dane osobowe i istniejące kopie zgodnie z § 8, chyba że prawo Unii lub państwa członkowskiego nakazuje ich przechowywanie;
8. udostępniać Powierzającemu wszelkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwiać audyty i przyczyniać się do nich;
9. niezwłocznie informować Powierzającego, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych.

§ 4. Podpowierzenie (podprocesorzy)

1. Powierzający wyraża ogólną zgodę (art. 28 ust. 2 RODO) na korzystanie przez Przetwarzającego z podprocesorów wymienionych w Załączniku B.
2. O zamierzonych zmianach listy (dodanie lub zastąpienie podprocesora) Przetwarzający informuje Powierzającego co najmniej 30 dni przed zmianą, poprzez wiadomość na adres e-mail przypisany do Konta oraz aktualizację listy podprocesorów.
3. Powierzający może w terminie 30 dni od otrzymania informacji zgłosić uzasadniony sprzeciw wobec planowanej zmiany, jeżeli wynika on z uzasadnionych względów ochrony danych osobowych. Strony podejmą w takim przypadku współpracę w celu znalezienia odpowiedniego rozwiązania. Jeżeli nie będzie to możliwe, Powierzający może zakończyć korzystanie z Usługi na zasadach określonych w Umowie.
4. Przetwarzający zapewnia, że nakłada na każdego podprocesora - w drodze umowy - te same obowiązki ochrony danych, jakie przyjął w niniejszej DPA (w szczególności art. 32 RODO), i pozostaje w pełni odpowiedzialny wobec Powierzającego za wykonanie obowiązków przez podprocesorów (art. 28 ust. 4 RODO).

§ 5. Zgłaszanie naruszeń ochrony danych

1. Przetwarzający zawiadamia Powierzającego o stwierdzonym naruszeniu ochrony danych osobowych dotyczącym danych powierzonych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia (kanał: e-mail na adres Konta oraz - dla zdarzeń krytycznych - komunikat na Platformie, a po uruchomieniu publicznej strony statusu także na tej stronie)
2. Zawiadomienie zawiera co najmniej informacje odpowiadające art. 33 ust. 3 RODO w zakresie znanym Przetwarzającemu: charakter naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów danych, możliwe konsekwencje, środki zastosowane lub proponowane, punkt kontaktowy. Informacje mogą być przekazywane sukcesywnie.
3. Ocena obowiązku zgłoszenia naruszenia organowi (art. 33 RODO) i zawiadomienia osób (art. 34 RODO) należy do administratora. Przetwarzający nie zgłasza naruszeń organowi w imieniu Powierzającego, chyba że strony odrębnie tak uzgodnią na piśmie.
4. Przetwarzający dokumentuje naruszenia dotyczące danych powierzonych i współpracuje przy ich wyjaśnianiu.

§ 6. Audyt i kontrola

1. Powierzający może realizować prawo audytu (art. 28 ust. 3 lit. h RODO) w następującej kolejności środków: (a) pisemne pytania i kwestionariusze (odpowiedź do 14 Dni Roboczych), (b) udostępnienie dokumentacji środków, (c) audyt bezpośredni - zapowiedziany co najmniej 14 dni wcześniej, w Dni Robocze, nie częściej niż raz na 12 miesięcy (chyba że audyt jest następstwem naruszenia), prowadzony w sposób nienaruszający danych innych klientów Przetwarzającego i tajemnic jego przedsiębiorstwa. Audytor musi być zobowiązany do poufności.
2. Koszty audytu bezpośredniego ponosi Powierzający. Jeżeli audyt wymaga zaangażowania Przetwarzającego wykraczającego poza uzasadniony zakres współpracy wynikającej z niniejszej Umowy, strony mogą uzgodnić zasady pokrycia dodatkowych, uzasadnionych kosztów.
3. Audyt dotyczący podprocesorów jest realizowany z uwzględnieniem charakteru usług świadczonych przez tych podprocesorów oraz zasad dostępu przewidzianych w odpowiednich umowach.

§ 7. Transfery poza EOG

1. Dane powierzone są co do zasady przetwarzane na terytorium Europejskiego Obszaru Gospodarczego, zgodnie z informacjami wskazanymi w Załączniku B - lokalizacje.
2. Przetwarzający posiada siedzibę w Polsce.
3. Jeżeli w związku ze świadczeniem Usługi dojdzie do przekazania danych osobowych poza Europejski Obszar Gospodarczy, Przetwarzający zapewni zastosowanie odpowiedniego mechanizmu transferowego wymaganego przez przepisy rozdziału V RODO, w szczególności decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych wraz z wymaganymi środkami uzupełniającymi.
4. O zmianach dotyczących podprocesorów lub sposobu przetwarzania danych mogących mieć wpływ na przekazywanie danych poza EOG Przetwarzający poinformuje Powierzającego zgodnie z zasadami określonymi w § 4.

§ 8. Zakończenie przetwarzania

1. Po zakończeniu świadczenia Usługi, zgodnie z decyzją Powierzającego, Przetwarzający umożliwia eksport danych powierzonych oraz usuwa dane osobowe ze swoich systemów, z uwzględnieniem zasad wynikających z Regulaminu oraz obowiązujących przepisów prawa. Dane mogą być przechowywane w kopiach zapasowych przez okres wynikający z przyjętych zasad retencji, przy czym do czasu ich usunięcia pozostają objęte odpowiednimi środkami ochrony.
2. Na pisemne żądanie Powierzającego zgłoszone przed zakończeniem procesu usunięcia danych, Przetwarzający podejmie działania w celu wcześniejszego usunięcia danych, o ile nie stoi temu na przeszkodzie obowiązek prawny lub względy techniczne związane z bezpieczeństwem systemów.
3. Przetwarzający może zachować dane, których przechowywania wymaga prawo Unii lub państwa członkowskiego - wyłącznie w wymaganym zakresie i czasie oraz z zachowaniem poufności.
4. Na żądanie Powierzający otrzyma pisemne potwierdzenie usunięcia.

§ 9. Odpowiedzialność i wynagrodzenie

1. Odpowiedzialność stron w związku z wykonywaniem niniejszej Umowy podlega zasadom określonym w Regulaminie.
2. Wynagrodzenie za przetwarzanie danych osobowych jest zawarte w opłacie za Usługę. Dodatkowe czynności wykraczające poza standardowy zakres Usługi lub obowiązki wynikające z niniejszej Umowy mogą zostać wykonane na podstawie odrębnych ustaleń stron za dodatkowym wynagrodzeniem.

§ 10. Postanowienia końcowe

1. W razie sprzeczności DPA z Regulaminem, w zakresie ochrony danych pierwszeństwo ma DPA.
2. Zmiany DPA następują na zasadach określonych w Regulaminie, z zastrzeżeniem trybu zmiany listy podprocesorów przewidzianego w § 4.
3. Do niniejszej Umowy stosuje się prawo właściwe określone w Regulaminie.

Załącznik A - opis przetwarzania (art. 28 ust. 3 RODO)

Załącznik B - lista podprocesorów

Lista podprocesorów obejmuje podmioty wykorzystywane przez Przetwarzającego w związku ze świadczeniem Usługi.

Załącznik C - środki techniczne i organizacyjne (art. 32 RODO)

Przetwarzający stosuje odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa odpowiedni do ryzyka związanego z przetwarzaniem danych osobowych, w tym w szczególności:

1. Izolacja klientów: logiczna separacja oraz mechanizmy ograniczające dostęp i operacje do właściwego kontekstu uprawnień.
2. Bezpieczeństwo: odpowiednie mechanizmy ochrony danych podczas transmisji oraz stosownie do charakteru danych i infrastruktury.
3. Kontrola dostępu: uwierzytelnianie i autoryzacja oparte na zasadzie minimalnych uprawnień.
4. Rozliczalność: rejestrowanie istotnych zdarzeń systemowych i administracyjnych oraz zabezpieczenie rejestrów przed nieuprawnionym dostępem lub modyfikacją.
5. Ciągłość działania: stosowanie środków wspierających przywrócenie dostępności danych.
6. Bezpieczeństwo wytwarzania: odpowiednia separacja środowisk, ograniczenie dostępu do środowiska produkcyjnego oraz działania służące identyfikacji i ograniczaniu podatności.
7. Organizacja: dostęp do danych wyłącznie dla osób odpowiednio upoważnionych i zobowiązanych do poufności oraz utrzymywanie procedur bezpieczeństwa i reagowania na incydenty.
8. Minimalizacja: minimalizacja zakresu przetwarzanych danych; ograniczenie przetwarzania do danych niezbędnych do realizacji celów oraz przechowywanie danych przez okres wynikający z celu przetwarzania, poleceń Administratora i obowiązujących przepisów.