UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH (wersja aktualna)

Niniejszy dokument jest tłumaczeniem. W razie rozbieżności wiążąca jest wersja angielska: wersja angielska.

Niniejsza Umowa powierzenia przetwarzania danych osobowych (dalej „Umowa") weszła w życie i obowiązuje od dnia 30 kwietnia 2024 r. Umowa ta została zawarta między administratorem Platformy Zebrasign, Tegwa Technologies, AB (dalej „Podmiot przetwarzający"), a Klientem (Użytkownikiem lub Konsumentem) (dalej „Administrator danych").

PRZEDMIOT UMOWY
1. Niniejsza Umowa stanowi integralną część Ogólnego Regulaminu Świadczenia Usług Platformy Zebrasign (dalej „Regulamin") i określa warunki mające zastosowanie w przypadkach, gdy Podmiot przetwarzający przetwarza Dane osobowe Administratora danych w jego imieniu, zgodnie z procedurą określoną w Regulaminie.
2. Podmiot przetwarzający zobowiązuje się przetwarzać Dane osobowe zgodnie z wymogami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej „RODO") oraz instrukcjami Administratora danych.
3. Terminy pisane wielką literą użyte w Umowie należy rozumieć zgodnie z definicjami zawartymi w RODO i innych obowiązujących przepisach o ochronie danych osobowych, Polityce prywatności oraz Regulaminie. Dane osobowe w kontekście niniejszej Umowy należy rozumieć jako dane przesłane przez Administratora danych na Konto, zgodnie z opisem w Klauzuli 2.3 Umowy.
CELE, ZAKRES I CZAS TRWANIA PRZETWARZANIA DANYCH
1. Podmiot przetwarzający świadczy usługi na rzecz Administratora danych zgodnie z Regulaminem. Administrator danych poleca Podmiotowi przetwarzającemu przetwarzanie Danych osobowych Administratora danych w zakresie niezbędnym do wdrożenia i wykonania Regulaminu.
2. Celem przetwarzania danych jest wdrożenie i wykonanie Regulaminu, w zakresie dotyczącym danych przesłanych przez Administratora danych na Konto.
3. Kategoriami osób, których dane dotyczą, są pracownicy Administratora danych korzystający z Konta Administratora danych (osoby prawnej) i/lub Administratorzy danych (osoby fizyczne) posiadający Konto, a także inne osoby trzecie, których Dane osobowe Administrator danych przesyła na swoje Konto. Dane osobowe przetwarzane przez Podmiot przetwarzający, do których Podmiot przetwarzający ma lub może mieć dostęp, to dane przesłane na Konto Administratora danych, zgodnie z definicją zawartą w Polityce prywatności. Dane te mogą obejmować między innymi imię, nazwisko, stanowisko, datę urodzenia, numer identyfikacyjny osoby, numer telefonu itp., i mogą się różnić w zależności od charakteru i treści danych przesłanych przez Administratora danych na Konto. Strony zgadzają się, że w zakresie niniejszej Umowy przetwarzanie Danych osobowych przez Podmiot przetwarzający dotyczy wyłącznie danych przesłanych przez Administratora danych na Konto. W pozostałym zakresie, zgodnie z Polityką prywatności, Podmiot przetwarzający działa jako Administrator danych, ponieważ sam określa cele i sposoby przetwarzania.
4. W przypadku gdy Podmiot przetwarzający nie otrzymał żadnych udokumentowanych instrukcji dotyczących przetwarzania Danych osobowych niezbędnych do wykonania jego zobowiązań wynikających z Umowy, Podmiot przetwarzający niezwłocznie powiadamia o tym Administratora danych i działa w najlepiej pojętym interesie Administratora danych do czasu otrzymania takich instrukcji.
5. Dane osobowe będą przetwarzane tak długo, jak długo Administrator danych korzysta z Konta. Jeżeli Administrator danych usunie Konto, Konto i zawarte w nim Dane osobowe zostaną usunięte bez możliwości ich odtworzenia po upływie 14 dni kalendarzowych od daty usunięcia Konta. Nieaktywne bezpłatne Konta oraz zawarte w nich Dane osobowe Administratora danych zostaną usunięte bez możliwości ich odtworzenia, jeżeli Administrator danych nie korzystał z Konta i/lub Usług świadczonych na Platformie przez okres dwóch lat, licząc od daty ostatniej wizyty Administratora danych na Koncie. Jeżeli Administrator danych wymaga przechowywania Danych osobowych przez określony czas po zakończeniu świadczenia Usług, Strony muszą wcześniej uzgodnić warunki takiego przetwarzania.
OBOWIĄZKI STRON
1. Przetwarzając Dane osobowe w imieniu Administratora danych, Podmiot przetwarzający zobowiązuje się do:
  1. przetwarzania Danych osobowych wyłącznie zgodnie z udokumentowanymi pisemnymi instrukcjami dostarczonymi przez Administratora danych, w tym instrukcjami określonymi w niniejszej Umowie, chyba że obowiązujące przepisy stanowią inaczej. W takim przypadku, przed rozpoczęciem przetwarzania Danych osobowych, Podmiot przetwarzający musi, w zakresie dozwolonym przez przepisy prawa, poinformować Administratora danych o takim wymogu prawnym, o ile jest on znany Podmiotowi przetwarzającemu;
  2. przetwarzania Danych osobowych zgodnie z wymogami RODO i innych obowiązujących przepisów o ochronie danych osobowych;
  3. wdrożenia, z uwzględnieniem stanu wiedzy technicznej, kosztów wdrożenia oraz charakteru, zakresu, kontekstu i celów przetwarzania, odpowiednich środków technicznych i organizacyjnych zapewniających poziom bezpieczeństwa Danych osobowych odpowiadający ryzyku. W tym celu Podmiot przetwarzający wdrożył również normę ISO/IEC 27001 dotyczącą systemów zarządzania bezpieczeństwem informacji. Na pisemny wniosek Administratora danych Podmiot przetwarzający zobowiązuje się przekazać informacje o zastosowanych technicznych i organizacyjnych środkach bezpieczeństwa zapewniających bezpieczeństwo Danych osobowych;
  4. zapewnienia, że osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania poufności; Podmiot przetwarzający musi pisemnie zobowiązać swoich pracowników, którzy będą przetwarzać Dane osobowe, do traktowania wszystkich Danych osobowych jako informacji poufnych i niewykorzystywania ich do żadnego innego celu niż ich przetwarzanie w imieniu Administratora danych, w zakresie niezbędnym do świadczenia Usług;
  5. wspierania, z uwzględnieniem charakteru przetwarzania Danych osobowych, poprzez zastosowanie odpowiednich środków technicznych i organizacyjnych, Administratora danych w wypełnianiu jego obowiązku odpowiadania na żądania dotyczące wykonywania wszystkich praw osoby, której dane dotyczą. Po otrzymaniu żądania osoby, której dane dotyczą, dotyczącego wykonania jej praw, Podmiot przetwarzający musi niezwłocznie przekazać takie żądanie Administratorowi danych. Podmiot przetwarzający dostarczy Administratorowi danych wszelkie niezbędne informacje lub podejmie inne działania związane z żądaniem osoby, której dane dotyczą, gdy działania te są niezbędne do prawidłowego wykonania żądania w zakresie praw osoby, której dane dotyczą;
  6. wspierania Administratora danych w zapewnieniu zgodności z obowiązkami dotyczącymi bezpieczeństwa danych, oceny skutków dla ochrony danych oraz uprzednich konsultacji (art. 32–36 RODO), z uwzględnieniem charakteru przetwarzania Danych osobowych oraz informacji dostępnych Podmiotowi przetwarzającemu.
2. Administrator danych zobowiązuje się do:
  1. przekazywania Podmiotowi przetwarzającemu instrukcji dotyczących przetwarzania Danych osobowych, co do zasady na piśmie, chyba że okoliczności danej sytuacji wymagają innej formy. Instrukcje przekazane w formie innej niż pisemna zostaną zatwierdzone na piśmie przez Administratora danych, jeżeli zażąda tego Podmiot przetwarzający;
  2. przekazywania Podmiotowi przetwarzającemu wyłącznie zgodnych z prawem instrukcji, spełniających wymogi RODO, oraz posiadania podstawy prawnej do przetwarzania Danych osobowych;
  3. zapewnienia dokładności, integralności i legalności Danych osobowych ujawnianych Podmiotowi przetwarzającemu.
3. Administrator danych rozumie, że wszelkie ograniczenie przetwarzania Danych osobowych niespowodowane winą Podmiotu przetwarzającego może wpłynąć na zdolność Podmiotu przetwarzającego do wypełniania jego zobowiązań wynikających z Regulaminu. Dlatego w przypadku gdy Administrator danych zdecyduje się nałożyć ograniczenia na przetwarzanie Danych osobowych, należy podjąć następujące kroki:
  1. Administrator danych powiadomi Podmiot przetwarzający na piśmie o planowanych konkretnych ograniczeniach z rozsądnym wyprzedzeniem, tak aby umożliwić Podmiotowi przetwarzającemu podjęcie niezbędnych działań określonych poniżej;
  2. w ciągu 5 dni roboczych od powiadomienia Podmiotu przetwarzającego przez Administratora danych o konkretnych ograniczeniach, Podmiot przetwarzający przeanalizuje planowane ograniczenia i przedstawi Administratorowi danych uzasadnione pisemne wyjaśnienie możliwych konsekwencji dla zdolności Podmiotu przetwarzającego do wykonania jego zobowiązań wynikających z Regulaminu;
  3. jeżeli Administrator danych, otrzymawszy od Podmiotu przetwarzającego uzasadnione wyjaśnienie możliwych konsekwencji, mimo to zdecyduje się utrzymać ograniczenia, Administrator danych przyjmuje na siebie wszelkie związane z tym ryzyko i negatywne konsekwencje takiej decyzji.
PRAWO PODMIOTU PRZETWARZAJĄCEGO DO KORZYSTANIA Z DALSZYCH PODMIOTÓW PRZETWARZAJĄCYCH
1. Podmiot przetwarzający ma prawo angażować podmioty trzecie do przetwarzania Danych osobowych (dalej „Dalsze podmioty przetwarzające").
2. Administrator danych udziela ogólnej zgody na angażowanie nowych Dalszych podmiotów przetwarzających w przyszłości. Podmiot przetwarzający powiadomi Administratora danych o wszelkich planowanych zmianach dotyczących zaangażowania lub zmiany Dalszych podmiotów przetwarzających, wobec których Administrator danych może wnieść sprzeciw. Administrator danych zostanie powiadomiony, gdy Podmiot przetwarzający zaktualizuje listę Dalszych podmiotów przetwarzających na swojej stronie internetowej. Jeżeli Administrator danych nie wniesie takiego sprzeciwu w ciągu trzydziestu (30) dni od daty aktualizacji na stronie internetowej, uznaje się, że nie wniósł sprzeciwu. W przypadku sprzeciwu Administratora danych Podmiot przetwarzający ma prawo pominąć ten sprzeciw, przedstawiając uzasadnione pisemne wyjaśnienie.
3. Podmiot przetwarzający zapewni, że Dalsze podmioty przetwarzające przyjmą na siebie odpowiedzialność zgodną z obowiązkami określonymi w niniejszej Umowie oraz w art. 28 RODO.
ZAWIADAMIANIE ADMINISTRATORA DANYCH O NARUSZENIU OCHRONY DANYCH OSOBOWYCH
1. W przypadku możliwego naruszenia ochrony Danych osobowych Podmiot przetwarzający jest zobowiązany podjąć działania określone w Klauzulach 5.2–5.4 Umowy.
2. Podmiot przetwarzający powiadomi Administratora danych bez zbędnej zwłoki, nie później jednak niż w ciągu 48 godzin od momentu wykrycia możliwego naruszenia, poprzez pisemne zawiadomienie zgodnie z Podklauzulą 5.2.1. Zawiadomienie musi zawierać informacje określone w art. 33 ust. 3 RODO.
3. Jeżeli informacje nie mogą zostać przekazane Administratorowi danych w terminach określonych w Klauzuli 5.2 Umowy, mogą zostać przekazane etapami, bez zbędnej zwłoki. W przypadkach, gdy Podmiot przetwarzający nie jest w stanie przekazać Administratorowi danych określonych informacji, Podmiot przetwarzający poinformuje o tym Administratora danych.
PRZEKAZYWANIE DANYCH OSOBOWYCH
1. Podmiot przetwarzający nie przekaże Danych osobowych żadnemu podmiotowi (w tym poza Europejski Obszar Gospodarczy) bez uprzedniej pisemnej zgody Administratora danych. Jeżeli taki transfer nastąpi, Podmiot przetwarzający zobowiązuje się przestrzegać wymogów określonych w Rozdziale V RODO.
ODPOWIEDZIALNOŚĆ
1. Administrator danych odpowiada za zapewnienie zgodności z prawem podstawy, na której Podmiot przetwarzający przetwarza Dane osobowe w ramach świadczenia Usług.
2. Podmiot przetwarzający nie ponosi odpowiedzialności za działania Administratora danych naruszające przepisy o ochronie danych osobowych.
3. W żadnym przypadku odpowiedzialność odszkodowawcza Podmiotu przetwarzającego nie może przekroczyć wynagrodzenia otrzymanego przez Podmiot przetwarzający w ciągu ostatnich 12 (dwunastu) miesięcy za usługi świadczone na rzecz Administratora danych zgodnie z Regulaminem, chyba że takie ograniczenie jest zabronione przez przepisy prawa.
4. Podmiot przetwarzający nie będzie sprawdzać, kontrolować ani monitorować danych przesłanych przez Administratora danych na Konto. Może to nastąpić wyłącznie w wyjątkowych przypadkach przewidzianych w Polityce prywatności.
PRZEPROWADZANIE AUDYTU
1. Pod warunkiem że Podmiot przetwarzający nie będzie zobowiązany do udostępnienia lub umożliwienia dostępu do informacji dotyczących (i) innych klientów Podmiotu przetwarzającego, (ii) innych zewnętrznych lub wewnętrznych niepublicznych raportów Podmiotu przetwarzającego, Administrator danych i/lub niezależny audytor wyznaczony przez Administratora danych będzie miał prawo do przeprowadzania audytów i kontroli Podmiotu przetwarzającego w okresie obowiązywania niniejszej Umowy, zgodnie z warunkami określonymi w Umowie. Strony uzgodnią na piśmie warunki, zakres i inne szczegóły takiego audytu z co najmniej 14-dniowym wyprzedzeniem (dni robocze). Audyty przeprowadzane na podstawie niniejszej Umowy będą ograniczone do oceny wykonywania zobowiązań Podmiotu przetwarzającego wynikających z niniejszej Umowy. Takie audyty mogą być przeprowadzane nie częściej niż raz na 12 miesięcy.
2. Audyt zostanie przeprowadzony w sposób niezakłócający działalności i wykonywania zobowiązań Podmiotu przetwarzającego.
3. Przedstawiciel Administratora danych i/lub audytor zewnętrzny muszą podpisać z Podmiotem przetwarzającym odpowiednie umowy o zachowaniu poufności.
4. Administrator danych zobowiązuje się zwrócić Podmiotowi przetwarzającemu wszelkie wydatki poniesione oraz czas poświęcony przez Podmiot przetwarzający na udzielenie pomocy zgodnie z Sekcją 8 niniejszej Umowy (za czas poświęcony na zasoby wewnętrzne oraz środki podjęte w celu wsparcia Administratora danych w przeprowadzeniu audytu), w tym wydatki i czas Dalszych podmiotów przetwarzających poniesione w związku z udzieleniem pomocy opisanej powyżej, na podstawie odrębnego wynagrodzenia uzgodnionego przez Strony na piśmie.
SIŁA WYŻSZA
1. Strona zostaje zwolniona z odpowiedzialności za niewykonanie zobowiązań wynikających z Umowy, jeżeli niewykonanie to wynika z okoliczności siły wyższej, których Strona nie mogła kontrolować ani racjonalnie przewidzieć w chwili zawarcia Umowy, a których wystąpieniu lub skutkom nie można było zapobiec. Braku zasobów finansowych danej Strony ani naruszenia zobowiązań przez jej kontrahentów nie uznaje się za siłę wyższą.
2. Jeżeli okoliczności uniemożliwiające wykonanie Umowy mają charakter tymczasowy, Strona może zostać zwolniona z odpowiedzialności na okres uzasadniony, z uwzględnieniem wpływu tych okoliczności na wykonanie Umowy.
WAŻNOŚĆ I ROZWIĄZANIE UMOWY
1. Niniejsza Umowa wchodzi w życie z chwilą wejścia w życie Regulaminu i obowiązuje tak długo, jak długo obowiązuje Regulamin.
2. Jeżeli jakiekolwiek postanowienie Umowy stanie się lub zostanie uznane za nieważne w całości lub w części, nie wpłynie to na ważność pozostałych postanowień Umowy. W takim przypadku Strony zobowiązują się zastąpić nieważne postanowienie postanowieniem ważnym, jak najbardziej zbliżonym pod względem prawnym i ekonomicznym do postanowienia nieważnego.
3. Strony wyraźnie przyjmują do wiadomości, że ważność niniejszej Umowy jest niezbędna do prawidłowego wykonania Regulaminu, w związku z czym rozwiązanie lub inne wygaśnięcie niniejszej Umowy powoduje automatyczne wygaśnięcie Regulaminu.
POSTANOWIENIA KOŃCOWE
1. Wszelkie nieporozumienia lub spory powstałe między Stronami w związku z Umową będą rozstrzygane w drodze negocjacji, a jeżeli sporów nie da się w ten sposób rozwiązać, będą one rozstrzygane przez właściwy sąd Republiki Litewskiej w Wilnie, zgodnie z ustawami lub innymi przepisami Republiki Litewskiej.
2. Umowa oraz inne wzajemne relacje nieuregulowane niniejszą Umową podlegają prawu Republiki Litewskiej.

Skontaktuj się z nami! Znajdziemy dla Ciebie najlepsze rozwiązanie w zakresie cyfryzacji. Zarezerwuj demo