umowa powierzenia przetwarzania danych osobowych

UMOWA
POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH
Zawarta w dniu …………….. w ………………..……… pomiędzy:
Krakowskim Szpitalem Specjalistycznym im. Jana Pawła II z siedzibą przy ul.
Prądnickiej 80, 31-202 Kraków - wpisanym do rejestru stowarzyszeń, innych organizacji
społecznych i zawodowych, fundacji, samodzielnych publicznych zakładów opieki
zdrowotnej
pod
numerem
KRS
0000046052,
reprezentowanym
przez:
lek. med. Krzysztofa Bederskiego Zastępcę Dyrektora ds. Lecznictwa – pełnomocnika
a firmą
niniejszej treści:
§1
1) Zleceniodawca i Zleceniobiorca oświadczają, że zawarli umowę Nr …………../2016
w dniu …...2016 na świadczenie usługi opieki serwisowej i technicznej:
a) aparatury (urządzeń rejestrujących)
b) systemów: holterowskiego, wysiłkowego i spiroergometrycznego,
zwanych dalej „Umową Główną”.
2) Zleceniodawca oświadcza, że jest administratorem danych osobowych w rozumieniu
ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2015. poz. 2135 z
późn. zm.), zwana dalej Ustawą, w stosunku do danych powierzonych Zleceniobiorcy.
§2
1) Zleceniodawca w trybie art. 31 Ustawy powierza przetwarzanie danych osobowych
Zleceniobiorcy wyłącznie w celu zapewnienia realizowania niniejszej Umowy oraz
Umowy Głównej.
2) W celu wykonania obowiązków wynikających z niniejszej Umowy Zleceniobiorca może
przetwarzać dane znajdujące się w dostarczonych z tytułu Umowy Głównej dokumentach,
urządzeniach, oraz w systemach informatycznych w trybie zdalnej obsługi serwisowej,
oraz działań serwisowych w lokalizacji Zleceniodawcy w zakresie ograniczonym do
wypełnienia obowiązków Umowy Głównej.
3) Zleceniobiorca może powierzyć przetwarzanie danych osobowych podmiotowi trzeciemu
(podwykonawcy), wyłącznie po uzyskaniu zgody Zleceniodawcy na powierzenie
podwykonawcy dalszego przetwarzania danych osobowych w określonym celu
i zakresie, wyrażonej w formie pisemnej pod rygorem nieważności.
4) Zleceniobiorca zobowiązany jest do zapewniania, iż podwykonawca przetwarzał będzie
dane osobowe wyłącznie w celu i w zakresie opisanym w Umowie i Umowie Głównej,
gwarantując spełnianie wymagań Ustawy i Umowy.
1. Zleceniobiorca zapewni, by obsługa serwisowa uszkodzonych urządzeń dostarczonych
z tytułu niniejszej umowy odbywała się w sposób bezpieczny, szczególnie:
a) Żaden nośnik informatyczny bez zapewnienia zatarcia zawartych na nim danych nie
opuści jednostki Zleceniobiorcy – uszkodzone nośniki pozostaną u Zleceniodawcy.
b) Dostęp zdalny będzie się odbywał w warunkach bezpiecznych, tj.:
 transmisja danych będzie zabezpieczona kryptograficznie, przy czym za
organizację tego zabezpieczenia odpowiada Zleceniodawca,
 dostęp będzie realizowany przy użyciu metod uwierzytelniania
 zapewnione zostaną mechanizmy nadzoru realizowanych działań (logowanie
czynności i zdarzeń, w tym np. daty i czasu oraz loginu użytkownika
serwisującego system wraz z zakresem przeprowadzonych czynności/zmian
danych).
1)
2)
3)
4)
5)
6)
7)
8)
§3
Zleceniobiorca jest zobowiązany do przestrzegania przepisów Ustawy (Ustawa z dnia 29
sierpnia 1997 r. o ochronie danych osobowych - Dz. U. 2015. poz. 2135 z późn. zm.) oraz
przepisów wykonawczych.
Zleceniobiorca oświadcza, że przed rozpoczęciem przetwarzania danych podejmie środki
techniczne i organizacyjne mające na celu zabezpieczenie powierzonych danych
osobowych stosownie do przepisów, o których mowa w art. 36-39 oraz spełni wymagania
określone w przepisach, o których mowa w art. 39a Ustawy.
Zleceniobiorca dostarczy Zleceniodawcy najpóźniej z dniem podpisania niniejszej umowy
opis struktur danych oraz przepływów danych w systemie będącym przedmiotem Umowy
Głównej.
Zleceniodawca zastrzega sobie prawo kontroli Zleceniobiorcy w zakresie poprawności
procesu przetwarzania danych osobowych w obszarze zdefiniowanym niniejszą Umową.
W przypadku stwierdzenia przez Zleceniodawcę niezgodności w procesie przetwarzania
danych osobowych i zgłoszenia tego faktu drogą pisemną Zleceniobiorcy, Zleceniobiorca
jest zobowiązany usunąć powyższe bez zbędnej zwłoki.
W wypadku stwierdzenia, iż Zleceniobiorca naruszył zasady określone w niniejszej
Umowie, Zleceniodawcy przysługuje możliwość dochodzenia odszkodowania na
zasadach ogólnych.
Zleceniobiorca zobowiązuje się do uczestniczenia w czynnościach, których podlega
Zleceniodawca z tytułu przepisów prawa, szczególnie: kontroli prowadzonej przez
Generalnego Inspektora Ochrony Danych Osobowych.
a) Uczestnictwo polega na udostępnieniu dokumentacji przetwarzania danych
osobowych oraz udzielaniu wyjaśnień podmiotom uprawnionym.
Zleceniobiorca zobowiązuje się do niezwłocznego poinformowania Zleceniodawcy
o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym,
dotyczącym przetwarzania przez Zleceniobiorcę danych osobowych w zakresie
określonym w Umowie przetwarzania danych osobowych, o jakiejkolwiek decyzji
administracyjnej lub orzeczeniu dotyczącym przetwarzania danych, skierowanej do
Zleceniobiorcy, a także o wszelkich kontrolach i inspekcjach dotyczących przetwarzania
danych osobowych przez Zleceniobiorcę, w szczególności prowadzonych przez
Inspektorów upoważnionych przez Generalnego Inspektora Ochrony Danych Osobowych.
§4
1) Do wykonywania zobowiązań wynikających z postanowień niniejszej Umowy mogą być
dopuszczone wyłącznie osoby posiadające upoważnienie, o których mowa w art. 37
Ustawy.
2) Zleceniodawca wyraża zgodę na upoważnianie przez Zleceniobiorcę osób, które będą
przetwarzać dane osobowe Zleceniodawcy z tytułu realizowania zapisów Umowy
Głównej.
3) Zgodnie z Art. 39 ust. 2 Zleceniobiorca oświadcza, że każda osoba (np. pracownik
etatowy, osoba świadcząca czynności na podstawie umów cywilnoprawnych, inne osoby
pracujące na rzecz Zleceniobiorcy), która została upoważniona do przetwarzania danych
osobowych zostanie zobowiązana do zachowania tych danych w tajemnicy. Tajemnica ta
obejmuje również wszelkie informacje dotyczące sposobów zabezpieczenia powierzonych
do przetwarzania danych osobowych.
§5
1) Zleceniobiorca odpowiada za szkody jakie powstały wobec Zleceniodawcy lub osób
trzecich w wyniku niezgodnego z Umową przetwarzania danych osobowych.
Odpowiedzialność, o której mowa w niniejszym ustępie wynika z przepisów Ustawy oraz
przepisów ogólnych wskazanych w kodeksie cywilnym, również z tytułu
odpowiedzialności regresowej.
a) Odpowiedzialność finansowa Zleceniobiorcy z tytułu naruszenia przepisów prawa
cywilnego ograniczona jest do kwoty wartości świadczonej usługi.
2) Zleceniobiorca po zakończeniu przetwarzania danych osobowych zobowiązany jest do
niezwłocznego zwrotu powierzonych mu danych (dokumentów) lub ich zniszczenia –
adekwatnie do woli Zleceniodawcy.
§6
Niniejsza umowa wygasa z chwilą wygaśnięcia Umowy Głównej.
§7
W sprawach nieuregulowanych niniejszą umową stosuje się przepisy Kodeksu cywilnego,
Ustawy z dnia 27 lipca 2001r. o ochronie baz danych oraz Ustawy z dnia 29 sierpnia 1997 r.
o ochronie danych osobowych oraz rozporządzeń wydanych na podstawie powyższych ustaw.
§8
Sądem właściwym dla rozstrzygania sporów powstałych w związku z realizacją niniejszej
umowy będzie sąd właściwy miejscowo dla siedziby Zleceniodawcy.
§9
Wszelkie zmiany i uzupełnienia niniejszej umowy wymagają formy pisemnej pod rygorem
nieważności.
§ 10
Umowa została sporządzona w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej
ze Stron.
……………………………………….
Zleceniodawca
……………………………………….
Zleceniobiorca