Umowa powierzenia przetwarzania danych osobowych (wzór)

zawarta w dniu …………………………… w …………………………… pomiędzy:

Gminą …………………………… z siedzibą w ……………………………, adres: ……………………………, NIP ……………………………, REGON ……………………………, reprezentowaną przez: …………………………… — …………………………… (funkcja), przy kontrasygnacie …………………………… (jeżeli jest wymagana), zwaną dalej „Administratorem”,

a

WM-SOUTHERA spółką z ograniczoną odpowiedzialnością z siedzibą w Bielsku-Białej, ul. Mikołaja Reja 18/34, 43-300 Bielsko-Biała, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w Bielsku-Białej, VIII Wydział Gospodarczy KRS, pod numerem KRS 0001217647, NIP 5472257625, REGON 543743730, kapitał zakładowy 5 000,00 zł, reprezentowaną przez: …………………………… — …………………………… (funkcja), zwaną dalej „Podmiotem przetwarzającym”,

zwanymi dalej łącznie „Stronami”, a każda z osobna „Stroną”.

§ 1. Definicje

• RODO — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.
• Umowa główna — umowa o korzystanie z TakeTrash zawarta między Stronami, której częścią są Warunki korzystania z TakeTrash przez gminy.
• TakeTrash — system Podmiotu przetwarzającego obejmujący aplikację mobilną dla mieszkańców, panel administracyjny (dalej: „Panel”) i stronę internetową.
• Dane — dane osobowe powierzone na podstawie niniejszej umowy, opisane w § 3.
• Podprocesor — podmiot, któremu Podmiot przetwarzający powierza dalsze przetwarzanie Danych.
• Naruszenie — naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO dotyczące Danych.

Pozostałe pojęcia mają znaczenie nadane im w RODO.

§ 2. Przedmiot umowy

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych w trybie art. 28 RODO, a Podmiot przetwarzający zobowiązuje się przetwarzać je zgodnie z niniejszą umową, RODO i innymi przepisami o ochronie danych osobowych.
2. Umowa nie obejmuje danych, których Podmiot przetwarzający jest odrębnym administratorem, w szczególności danych kont mieszkańców w aplikacji TakeTrash (dane konta, adresy, ustawienia i tokeny powiadomień, historia własnych zgłoszeń mieszkańca w aplikacji), przetwarzanych na zasadach opisanych w Polityce prywatności.

§ 3. Charakter, cel i zakres przetwarzania

1. Cel: wykonanie Umowy głównej, tj. udostępnienie Administratorowi Panelu i obsługa funkcji, z których Administrator korzysta: prowadzenie kont pracowników Administratora, przechowywanie i udostępnianie Administratorowi zgłoszeń mieszkańców dotyczących terenu gminy wraz z umożliwieniem ich obsługi (statusy, komentarze, eksport), rozpatrywanie propozycji zmian danych PSZOK, publikacja harmonogramów i danych PSZOK oraz wysyłka komunikatów Administratora do mieszkańców.
2. Charakter: przetwarzanie w sposób zautomatyzowany w systemie informatycznym TakeTrash, obejmujące zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, przeglądanie, wykorzystywanie, udostępnianie upoważnionym pracownikom Administratora, przesyłanie, tworzenie kopii zapasowych, ograniczanie i usuwanie.
3. Rodzaje danych:
   • pracownicy i współpracownicy Administratora korzystający z Panelu: imię, nazwisko, służbowy adres e-mail, opcjonalnie numer telefonu, identyfikator konta, rola i uprawnienia, dane logowania przetwarzane przez usługę uwierzytelniania, ślad audytowy działań (czas, rodzaj działania, adres IP, identyfikator przeglądarki);
   • osoby kierujące zgłoszenia do Administratora: imię i nazwisko, adres e-mail, numer zgłoszenia, kategoria, temat i treść zgłoszenia, adres lub współrzędne miejsca, którego dotyczy, załączniki (np. zdjęcia), jeżeli zostały dołączone, komentarze i status;
   • osoby widoczne na zdjęciach dołączonych do zgłoszeń (jeżeli dołączono zdjęcia): wizerunek lub inne dane utrwalone na zdjęciu (np. numer rejestracyjny pojazdu), jeżeli zgłaszający je utrwalił;
   • osoby proponujące zmiany danych PSZOK: identyfikator konta, treść propozycji; osoby kontaktowe wskazane przez Administratora w danych PSZOK: imię, nazwisko, telefon, adres e-mail;
   • mieszkańcy będący adresatami komunikatów Administratora: przypisanie adresu do obszaru gminy i token urządzenia do powiadomień — wyłącznie w zakresie doręczenia komunikatu, bez ujawniania tych danych Administratorowi;
   • inne dane osobowe, które Administrator wprowadzi do Panelu w treści komentarzy lub komunikatów.
4. Kategorie osób: pracownicy i współpracownicy Administratora; mieszkańcy i inne osoby kierujące zgłoszenia lub propozycje zmian danych PSZOK; osoby utrwalone na zdjęciach w zgłoszeniach; osoby kontaktowe PSZOK; mieszkańcy będący adresatami komunikatów Administratora.
5. Umowa nie obejmuje danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO). Administrator nie wprowadza takich danych do Panelu. Jeżeli dane takie znajdą się w zgłoszeniu z inicjatywy zgłaszającego, Podmiot przetwarzający przetwarza je wyłącznie w zakresie przechowywania i udostępnienia Administratorowi, a na polecenie Administratora je usuwa.

§ 4. Czas przetwarzania

Umowa zostaje zawarta na czas obowiązywania Umowy głównej. Po jej zakończeniu Podmiot przetwarzający przetwarza Dane wyłącznie w zakresie i przez czas niezbędny do wykonania obowiązków określonych w § 9.

§ 5. Obowiązki Podmiotu przetwarzającego (art. 28 ust. 3 RODO)

Podmiot przetwarzający:

1. przetwarza Dane wyłącznie na udokumentowane polecenie Administratora, także w odniesieniu do przekazywania Danych do państwa trzeciego, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo polskie — w takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo nie zabrania udzielenia takiej informacji. Udokumentowanym poleceniem są niniejsza umowa, Umowa główna oraz czynności wykonywane przez Administratora za pomocą funkcji Panelu;
2. zapewnia, aby osoby upoważnione do przetwarzania Danych zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi zachowania tajemnicy, także po ustaniu zatrudnienia lub współpracy;
3. podejmuje środki wymagane na mocy art. 32 RODO, opisane w załączniku nr 1, i aktualizuje je stosownie do ryzyka i stanu wiedzy technicznej, nie obniżając poziomu ochrony;
4. przestrzega warunków korzystania z usług innego podmiotu przetwarzającego, o których mowa w § 6;
5. biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO; żądanie skierowane bezpośrednio do Podmiotu przetwarzającego, a dotyczące Danych, przekazuje Administratorowi w terminie 3 dni roboczych i nie odpowiada na nie samodzielnie, chyba że Administrator go do tego upoważni;
6. uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO, w szczególności przy zgłaszaniu Naruszeń, ocenie skutków dla ochrony danych i uprzednich konsultacjach z organem nadzorczym;
7. po zakończeniu świadczenia usług związanych z przetwarzaniem, zależnie od decyzji Administratora, usuwa lub zwraca mu wszelkie Dane oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo polskie nakazują przechowywanie danych — na zasadach określonych w § 9;
8. udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Administratorowi lub upoważnionemu audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich — na zasadach określonych w § 8.

Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych. Podmiot przetwarzający prowadzi rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO).

§ 6. Dalsze powierzenie przetwarzania

1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług Podprocesorów. Podprocesorzy, z których usług Podmiot przetwarzający korzysta w dniu zawarcia umowy, są wymienieni w załączniku nr 2 i Administrator ich akceptuje.
2. O zamiarze dodania lub zastąpienia Podprocesora Podmiot przetwarzający informuje Administratora drogą elektroniczną co najmniej 14 dni przed zmianą. Administrator może w tym terminie zgłosić uzasadniony sprzeciw. Jeżeli Strony nie uzgodnią rozwiązania, Administrator może rozwiązać niniejszą umowę i Umowę główną ze skutkiem na dzień planowanej zmiany.
3. Podmiot przetwarzający nakłada na Podprocesora, w drodze umowy, obowiązki ochrony danych odpowiadające obowiązkom wynikającym z niniejszej umowy, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Podmiot przetwarzający odpowiada wobec Administratora za wypełnienie obowiązków przez Podprocesora.
4. Przekazanie Danych do państwa spoza Europejskiego Obszaru Gospodarczego może nastąpić wyłącznie przy zastosowaniu zabezpieczeń przewidzianych w rozdziale V RODO, w szczególności na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym w ramach EU-US Data Privacy Framework w odniesieniu do certyfikowanych odbiorców) lub standardowych klauzul umownych przyjętych decyzją wykonawczą Komisji (UE) 2021/914.

§ 7. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi stwierdzone Naruszenie bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, na adres e-mail Administratora: …………………………… oraz telefonicznie pod numerem: …………………………….
2. Zgłoszenie zawiera co najmniej informacje wymienione w art. 33 ust. 3 RODO: opis charakteru Naruszenia (w miarę możliwości kategorie i przybliżoną liczbę osób i wpisów), dane kontaktowe osoby, od której można uzyskać więcej informacji, opis możliwych konsekwencji oraz opis zastosowanych lub proponowanych środków zaradczych. Informacje, których nie można przekazać w chwili zgłoszenia, Podmiot przetwarzający przekazuje niezwłocznie, w miarę ich uzyskiwania.
3. Podmiot przetwarzający niezwłocznie podejmuje działania w celu ograniczenia skutków Naruszenia, dokumentuje okoliczności Naruszenia i podjęte działania oraz współpracuje z Administratorem przy jego wyjaśnianiu.
4. Zgłoszenia Naruszenia organowi nadzorczemu i zawiadomienia osób, których dane dotyczą, dokonuje Administrator. Podmiot przetwarzający nie informuje o Naruszeniu osób trzecich bez zgody Administratora, chyba że obowiązek taki wynika z przepisów prawa.

§ 8. Audyty i kontrola

1. Administrator ma prawo kontrolować zgodność przetwarzania Danych z niniejszą umową i RODO, w tym poprzez żądanie informacji i dokumentów oraz audyt przeprowadzany przez Administratora lub upoważnionego przez niego audytora zobowiązanego do zachowania poufności.
2. Audyt przeprowadza się nie częściej niż raz w roku, a dodatkowo po stwierdzeniu Naruszenia lub na żądanie organu nadzorczego. O audycie Administrator zawiadamia z co najmniej 14-dniowym wyprzedzeniem, wskazując jego zakres. Audyt odbywa się w dni robocze w godzinach pracy Podmiotu przetwarzającego, w pierwszej kolejności w formie analizy dokumentów i odpowiedzi na pytania przekazane drogą elektroniczną.
3. Audyt nie może obejmować danych innych gmin ani innych klientów Podmiotu przetwarzającego, informacji stanowiących tajemnicę przedsiębiorstwa w zakresie niezwiązanym z przetwarzaniem Danych ani ingerencji w środowisko produkcyjne, która zagrażałaby jego bezpieczeństwu.
4. Podmiot przetwarzający usuwa stwierdzone uchybienia w terminie uzgodnionym z Administratorem. Każda Strona ponosi własne koszty audytu.

§ 9. Zakończenie przetwarzania

1. W terminie 30 dni od zakończenia Umowy głównej Podmiot przetwarzający, zgodnie z decyzją Administratora przekazaną w formie dokumentowej, zwraca Administratorowi Dane w powszechnie używanym formacie elektronicznym (CSV lub XLSX) i usuwa je albo usuwa je bez zwracania. W braku decyzji Administratora w tym terminie Podmiot przetwarzający usuwa Dane.
2. Kopie Danych w kopiach zapasowych są usuwane w ramach cyklu rotacji kopii, nie później niż po 12 miesiącach. Do tego czasu kopie są chronione zgodnie z załącznikiem nr 1 i nie są wykorzystywane w innym celu niż odtworzenie systemu po awarii.
3. Podmiot przetwarzający potwierdza usunięcie Danych w formie dokumentowej.
4. Obowiązek usunięcia nie obejmuje danych, których przechowywanie nakazują przepisy prawa, ani danych, których Podmiot przetwarzający jest odrębnym administratorem (§ 2 ust. 2).

§ 10. Odpowiedzialność

1. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem, jeżeli nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem poleceniami Administratora albo wbrew nim (art. 82 ust. 2 RODO).
2. Jeżeli Administrator zapłaci odszkodowanie lub administracyjną karę pieniężną z przyczyn, za które odpowiada Podmiot przetwarzający, może dochodzić od niego zwrotu odpowiedniej części zapłaconej kwoty (art. 82 ust. 5 RODO).
3. Podmiot przetwarzający niezwłocznie informuje Administratora o postępowaniach, kontrolach organu nadzorczego i roszczeniach dotyczących Danych.

§ 11. Postanowienia końcowe

1. Z tytułu wykonania niniejszej umowy Podmiotowi przetwarzającemu nie przysługuje odrębne wynagrodzenie.
2. W sprawach dotyczących przetwarzania Danych postanowienia niniejszej umowy mają pierwszeństwo przed Umową główną.
3. Zmiany umowy wymagają formy pisemnej lub elektronicznej pod rygorem nieważności, z wyjątkiem aktualizacji załącznika nr 2 w trybie § 6 ust. 2 oraz aktualizacji załącznika nr 1, które nie obniżają poziomu ochrony — te wymagają formy dokumentowej.
4. W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy o ochronie danych osobowych i Kodeksu cywilnego.
5. Spory rozstrzyga sąd powszechny właściwy dla siedziby Administratora.
6. Kontakt w sprawach umowy: po stronie Podmiotu przetwarzającego — e-mail [email protected] (temat „RODO”); po stronie Administratora — …………………………… (inspektor ochrony danych lub osoba kontaktowa, e-mail).
7. Umowę sporządzono w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej Strony, albo w postaci elektronicznej opatrzonej kwalifikowanymi podpisami elektronicznymi Stron.

Załącznik nr 1. Środki techniczne i organizacyjne

1. Szyfrowanie transmisji. Połączenia aplikacji mobilnej i Panelu z serwerem TakeTrash odbywają się wyłącznie protokołem HTTPS (TLS).
2. Uwierzytelnianie. Logowanie do Panelu i aplikacji obsługuje Firebase Authentication. Podmiot przetwarzający nie przechowuje haseł użytkowników. Serwer weryfikuje token tożsamości przy każdym żądaniu; tokeny mają ograniczony czas ważności. Konta mogą zostać zablokowane, co uniemożliwia dostęp.
3. Kontrola dostępu oparta na rolach. Dostęp do funkcji Panelu wynika z katalogu uprawnień przypisanych do roli i ewentualnych wyjątków dla konta. Nikt nie może nadać uprawnień szerszych niż sam posiada; rolę administratora systemu nadaje wyłącznie administrator. Uprawnienia są sprawdzane po stronie serwera przy każdym żądaniu.
4. Separacja danych gmin. Dane wszystkich gmin są przechowywane we wspólnej bazie i rozdzielone logicznie: konto pracownika gminy ma dostęp wyłącznie do danych przypisanej mu gminy (harmonogramy, PSZOK, limity, zgłoszenia, komunikaty). Konto bez przypisanej gminy nie otrzymuje żadnych danych gminnych. Dostęp do danych wszystkich gmin mają wyłącznie upoważnieni pracownicy Podmiotu przetwarzającego.
5. Ślad audytowy. Działania w Panelu (w tym zmiany uprawnień, ustawień, danych PSZOK i eksport danych) są rejestrowane z datą, identyfikatorem konta, adresem IP i identyfikatorem przeglądarki oraz przechowywane co najmniej 365 dni.
6. Ochrona przed nadużyciami. Serwer ogranicza liczbę żądań, waliduje dane wejściowe i przesyłane pliki (format, rozmiar, ponowne zapisanie obrazów z usunięciem metadanych).
7. Kopie zapasowe. Baza danych jest kopiowana codziennie. Archiwum kopii jest sprawdzane pod kątem poprawności i opatrywane sumą kontrolną, a kopie są przechowywane w prywatnym magazynie odrębnym od magazynu plików publicznych. Odtwarzanie z kopii jest okresowo testowane na tymczasowej bazie, usuwanej po teście.
8. Minimalizacja i retencja. Gmina nie otrzymuje list adresatów komunikatów. Skrzynka powiadomień w aplikacji jest czyszczona po 180 dniach, zdarzenia dotyczące banerów po 400 dniach. Usunięcie konta mieszkańca powoduje usunięcie lub anonimizację jego danych.
9. Bezpieczeństwo infrastruktury. Serwery i baza danych działają w centrum danych w Unii Europejskiej. Klucze i hasła dostępowe są przechowywane w zmiennych środowiskowych platformy hostingowej, poza repozytorium kodu. Zależności oprogramowania są regularnie aktualizowane, w szczególności w razie publikacji poprawek bezpieczeństwa.
10. Środki organizacyjne. Dostęp do Danych mają wyłącznie osoby upoważnione przez Podmiot przetwarzający, zobowiązane do zachowania poufności i zapoznane z zasadami ochrony danych, z zachowaniem zasady najmniejszych uprawnień. Podmiot przetwarzający stosuje procedurę obsługi incydentów i Naruszeń oraz prowadzi rejestr kategorii czynności przetwarzania.

Załącznik nr 2. Podprocesorzy

1. Railway Corporation (USA) — hosting serwera aplikacji i bazy danych TakeTrash. Lokalizacja przetwarzania: Unia Europejska (Amsterdam, Holandia). Ewentualny dostęp z USA (np. w ramach wsparcia technicznego) odbywa się na podstawie standardowych klauzul umownych lub EU-US Data Privacy Framework.
2. Google (Google Ireland Limited, Irlandia, oraz Google LLC, USA) — Firebase Authentication (uwierzytelnianie kont Panelu i aplikacji) oraz Firebase Cloud Messaging (doręczanie powiadomień push). Przetwarzanie w UE i USA; przekazanie do USA na podstawie EU-US Data Privacy Framework oraz standardowych klauzul umownych.
3. Resend (Resend, Inc., USA) — wysyłka wiadomości e-mail (np. wiadomości dotyczących konta i resetu hasła). Przekazanie do USA na podstawie standardowych klauzul umownych lub EU-US Data Privacy Framework.