Umowa powierzenia przetwarzania (wzór)

Ten wzór dotyczy badań zlecanych: firma (agencja, instytut, zleceniodawca) zleca pomiar panelu uczestników przez NeuroScreen. Wtedy administratorem jest zleceniodawca, a NeuroScreen — podmiotem przetwarzającym. Przy własnych testach platformy jest odwrotnie: tam administratorem jesteśmy my i obowiązuje Polityka prywatności.

Umowę trzeba zawrzeć przed pierwszym pomiarem. Bez niej żadne badanie zlecone nie może ruszyć. Pola do uzupełnienia oznaczono […].

Umowa powierzenia przetwarzania danych osobowych (art. 28 RODO)

zawarta pomiędzy

a

§ 1 Przedmiot, czas trwania i role

1. Przedmiotem jest przetwarzanie danych osobowych przez Podmiot przetwarzający w imieniu Administratora w ramach usługi „pomiar panelu uczestników przez platformę NeuroScreen” zgodnie z umową główną / ofertą z dnia [data].
2. O celach i sposobach przetwarzania decyduje wyłącznie Administrator. Podmiot przetwarzający zbiera i przetwarza dane wyłącznie na polecenie.
3. Umowa wchodzi w życie z chwilą podpisania i kończy się wraz z umową główną. Administrator może ją wypowiedzieć w każdej chwili bez zachowania terminu; skutkiem jest zakończenie przetwarzania i tryb z § 10.
4. Charakter, zakres, cel, rodzaje danych i kategorie osób, których dane dotyczą, określa Załącznik 1.

§ 2 Polecenia

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora, również w zakresie przekazywania do państw trzecich — chyba że obowiązek przetwarzania wynika z prawa Unii lub państwa członkowskiego. W takim przypadku informuje o tym przed przetwarzaniem, o ile prawo tego nie zabrania ze względu na ważny interes publiczny.
2. Polecenia wydaje się w formie dokumentowej. Polecenia ustne wymagają niezwłocznego potwierdzenia w formie dokumentowej. Osoby uprawnione do wydawania poleceń wskazuje Załącznik 1.
3. Jeżeli Podmiot przetwarzający uzna polecenie za niezgodne z prawem, niezwłocznie o tym informuje i może wstrzymać wykonanie do czasu potwierdzenia lub zmiany.
4. Przetwarzanie danych wbrew poleceniu, we własnych celach, czyni Podmiot przetwarzający administratorem w tym zakresie (art. 28 ust. 10 RODO).

§ 3 Szczególne kategorie danych osobowych

1. Przetwarzanie obejmuje zapisy EEG — dane dotyczące zdrowia w rozumieniu art. 9 RODO. Obie strony traktują je z odpowiednio podwyższoną starannością.
2. Administrator zapewnia, że przed rozpoczęciem pomiaru dla każdej uczestniczącej osoby istnieje skuteczna wyraźna zgoda z art. 9 ust. 2 lit. a RODO oraz że osoby te zostały poinformowane o celu, odbiorcach i sposobie odwołania zgody. Podmiot przetwarzający udostępnia w tym celu ekran zgody przy linku zaproszeniowym; odpowiedzialność za zgodność zgody z prawem pozostaje po stronie Administratora.
3. Podmiot przetwarzający zwraca uwagę, a Administrator przyjmuje do wiadomości, że NeuroScreen nie jest wyrobem medycznym i nie stawia diagnoz. Wyników nie wolno przedstawiać uczestnikom jako wypowiedzi medycznej.
4. Oddzielenie od bazy normatywnej: dane z badań zleconych nie zasilają bazy porównawczej (normatywnej) NeuroScreen i nie są analizowane we własnych celach Podmiotu przetwarzającego. Wykorzystanie wykraczające poza zlecenie wymaga odrębnej umowy pisemnej i odrębnej zgody osób, których dane dotyczą.

§ 4 Poufność

1. Podmiot przetwarzający dopuszcza do przetwarzania wyłącznie osoby zobowiązane do zachowania poufności albo objęte odpowiednim ustawowym obowiązkiem tajemnicy. Zobowiązanie trwa po zakończeniu działalności tych osób.
2. Dostęp odbywa się według zasady najmniejszych uprawnień i jest ograniczony do osób, którym jest potrzebny do prowadzenia serwisu lub analizy.

§ 5 Środki techniczne i organizacyjne

1. Podmiot przetwarzający wdraża środki opisane w Załączniku 2 zgodnie z art. 32 RODO i utrzymuje je przez czas trwania umowy.
2. Środki mogą być rozwijane, o ile poziom ochrony nie ulega obniżeniu. Istotne zmiany są dokumentowane i przekazywane na żądanie.

§ 6 Dalsze podmioty przetwarzające

1. Administrator udziela ogólnej zgody na korzystanie z podmiotów wskazanych w Załączniku 3.
2. O każdej zamierzonej zmianie — dodaniu lub zastąpieniu — Podmiot przetwarzający informuje w formie dokumentowej z wyprzedzeniem co najmniej czterech tygodni. Administrator może w ciągu dwóch tygodni wnieść sprzeciw z ważnych przyczyn dotyczących ochrony danych. Jeżeli sprzeciwu nie da się usunąć, Administrator może wypowiedzieć umowę główną ze skutkiem natychmiastowym.
3. Podmiot przetwarzający nakłada na dalsze podmioty obowiązki odpowiadające obowiązkom z niniejszej umowy i odpowiada za ich działania jak za własne.
4. Usługi poboczne (telekomunikacja, poczta, sprzątanie, serwis producenta) nie stanowią dalszego powierzenia; również tam stosuje się odpowiednie zabezpieczenia.

§ 7 Wsparcie przy realizacji praw osób

1. Podmiot przetwarzający wspiera Administratora odpowiednimi środkami technicznymi i organizacyjnymi przy realizacji żądań z art. 15–22 RODO.
2. Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do Podmiotu przetwarzającego, przekazuje on żądanie niezwłocznie i nie odpowiada na nie sam.
3. Żądania dostępu, sprostowania, usunięcia i ograniczenia realizuje wyłącznie na polecenie. Identyfikatorem uczestnika jest adres e-mail użyty w zaproszeniu.

§ 8 Naruszenia ochrony danych osobowych

1. Podmiot przetwarzający zgłasza Administratorowi każde naruszenie ochrony danych osobowych niezwłocznie, najpóźniej w ciągu 24 godzin od powzięcia wiedzy, w formie dokumentowej, na adres wskazany w Załączniku 1.
2. Zgłoszenie zawiera, w miarę posiadanej wiedzy: charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, prawdopodobne konsekwencje oraz zastosowane lub proponowane środki zaradcze.
3. Podmiot przetwarzający wspiera Administratora w wykonaniu obowiązków z art. 33 i 34 RODO. Zgłoszenia do organu nadzorczego i zawiadomienia osób dokonuje Administrator.

§ 9 Wsparcie przy ocenie skutków i uprzednich konsultacjach

Podmiot przetwarzający wspiera Administratora przy ocenie skutków dla ochrony danych (art. 35 RODO) i uprzednich konsultacjach (art. 36 RODO) w zakresie wynikającym z charakteru przetwarzania i posiadanych informacji. Z uwagi na przetwarzanie danych o zdrowiu na dużą skalę ocena skutków jest z reguły wymagana.

§ 10 Usunięcie i zwrot danych

1. Po zakończeniu badania, najpóźniej po rozwiązaniu umowy, Podmiot przetwarzający usuwa wszystkie dane przetwarzane na zlecenie albo je wydaje — według wyboru Administratora — w ciągu 30 dni od odpowiedniego polecenia.
2. Wydanie następuje w powszechnie używanym formacie nadającym się do odczytu maszynowego.
3. Zaszyfrowane kopie zapasowe wygasają w ramach właściwego cyklu kopii, najdłużej po 90 dniach; do tego czasu pozostają zablokowane i nie są przetwarzane.
4. Dokumentację służącą wykazaniu prawidłowości przetwarzania Podmiot przetwarzający może przechowywać po zakończeniu umowy przez właściwe okresy archiwizacji. Usunięcie potwierdza na żądanie w formie dokumentowej.

§ 11 Dowody i kontrole

1. Podmiot przetwarzający wykazuje spełnienie obowiązków z art. 28 RODO — przede wszystkim aktualnym oświadczeniem własnym, opisem środków z Załącznika 2 albo certyfikatami i raportami z audytu swoich podwykonawców.
2. Jeżeli te dowody nie wystarczają, Podmiot przetwarzający umożliwia audyty, w tym inspekcje, prowadzone przez Administratora lub upoważnionego przez niego audytora niebędącego konkurentem. Kontrole zapowiada się z rozsądnym wyprzedzeniem (co do zasady dwa tygodnie), przeprowadza w dni robocze w godzinach pracy i nie mogą one nadmiernie zakłócać działalności.
3. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli uzna, że polecenie narusza przepisy o ochronie danych.

§ 12 Odpowiedzialność

Stosuje się art. 82 RODO. W stosunkach wewnętrznych strony odpowiadają wobec siebie na zasadach ogólnych; ograniczenia odpowiedzialności z umowy głównej pozostają nienaruszone, o ile nie ograniczają roszczeń osób, których dane dotyczą.

§ 13 Postanowienia końcowe

1. Zmiany i uzupełnienia wymagają formy dokumentowej; dotyczy to także uchylenia tego wymogu.
2. W razie sprzeczności niniejsza umowa ma pierwszeństwo przed umową główną w zakresie ochrony danych.
3. Stosuje się prawo niemieckie. Sądem właściwym jest, w dopuszczalnym zakresie, sąd siedziby Podmiotu przetwarzającego.
4. Nieważność jednego postanowienia nie narusza ważności pozostałych.

Załącznik 1 — Opis przetwarzania

Załącznik 2 — Środki techniczne i organizacyjne (art. 32 RODO)

Załącznik 3 — Zatwierdzone dalsze podmioty przetwarzające

O kolejnych podmiotach przetwarzających informujemy w trybie § 6 ust. 2.