Umowa powierzenia przetwarzania danych osobowych

Umowa jest zawierana między Klientem jako administratorem danych („Administrator”) a Operatorem jako podmiotem przetwarzającym („Procesor”) z chwilą zawarcia Umowy o świadczenie Usług. Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie.

§ 1. Przedmiot i podstawa

1. 1.
   Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i celu określonym w § 2, na podstawie art. 28 RODO, a w przypadku Administratora będącego kościelną osobą prawną Kościoła katolickiego także na podstawie art. 19 Dekretu KEP. Zgodnie z art. 19 ust. 4 Dekretu KEP Procesor, choć nie należy do porządku kanonicznego, zobowiązuje się przestrzegać przepisów Dekretu KEP w zakresie powierzonych danych.
2. 2.
   Jeżeli przepisy RODO i Dekretu KEP różnią się, Procesor stosuje wymogi surowsze. Organem nadzorczym właściwym dla Administratora jest Prezes UODO albo Kościelny Inspektor Ochrony Danych, zależnie od statusu Administratora.
3. 3.
   Jeżeli Administrator nie jest kościelną osobą prawną Kościoła katolickiego w Polsce, postanowień dotyczących Dekretu KEP i Kościelnego Inspektora Ochrony Danych nie stosuje się. Podstawą powierzenia jest wtedy art. 28 RODO, a organem nadzorczym organ państwa siedziby Administratora.

§ 2. Zakres powierzenia

1. 1.
   Charakter i cel: przechowywanie, porządkowanie, udostępnianie, przeglądanie, eksport i usuwanie danych w Aplikacji wyłącznie w celu świadczenia Usługi, w tym ustalenia Kategorii wielkości Klienta według liczby Członków konwentu (Cennik pkt 2). Do tego celu Procesor zapisuje wyłącznie liczbę Członków konwentu w danym miesiącu, bez danych osób.
2. 2.
   Kategorie osób: członkowie wspólnoty (zakonnicy, nowicjusze, postulanci), pracownicy i współpracownicy Administratora, goście wpisani w Module Rezerwacje, osoby zgłaszające się na wydarzenia organizowane przez Administratora, osoby zamawiające intencje przez formularz online, osoby wypełniające formularze charytatywne, osoby wskazane w danych finansowych (Moduł Finanse).
3. 3.
   Rodzaje danych: imię i nazwisko, imię zakonne, funkcje i obowiązki we wspólnocie, przydział oficjów i dyżurów, dane kontaktowe (e‑mail, telefon), dane logowania, imiona i nazwiska gości w rezerwacjach, dane z formularzy zgłoszeń na wydarzenia (imię, nazwisko, e‑mail), dane z formularzy intencji (imię, nazwisko, e‑mail lub telefon, treść intencji), dane z formularzy zgłoszeń, intencji i formularzy charytatywnych dotyczące płatności online (kwota, identyfikator i status płatności), dane z formularzy charytatywnych (imię, nazwisko, e‑mail, kwota), dane rozliczeniowe między domami i prowincją oraz inne dane wprowadzone przez Administratora.
4. 4.
   Dane szczególnych kategorii: strony przyjmują, że dane członków wspólnoty ujawniają przekonania religijne (art. 9 ust. 1 RODO). Administrator przetwarza je na podstawie art. 9 ust. 2 lit. d RODO lub właściwych przepisów Dekretu KEP. To samo dotyczy osób zamawiających intencje i zgłaszających się na wydarzenia. Treść intencji może ponadto zawierać informacje o zdrowiu lub inne dane szczególnych kategorii (np. „o zdrowie dla…”). Administrator nie wprowadza do Aplikacji takich danych w zakresie wykraczającym poza potrzeby korzystania z Usługi.
5. 5.
   Formularze publiczne: w zakresie formularzy zgłoszeń na wydarzenia, formularzy charytatywnych i intencji online Administrator odpowiada za przekazanie osobom wypełniającym formularz informacji z art. 13 RODO (lub odpowiedniego przepisu Dekretu KEP). Formularze są udostępniane dopiero po ich skonfigurowaniu przez Administratora, który sam dodaje do nich własną politykę prywatności lub klauzulę informacyjną i sam decyduje o wysyłaniu osobom wypełniającym formularz potwierdzeń e‑mailem.
6. 6.
   Płatności online: Administrator zawiera umowę z wybranym operatorem płatności we własnym imieniu. Procesor na polecenie Administratora przekazuje temu operatorowi dane potrzebne do płatności (imię, nazwisko, e‑mail, kwota) i przekierowuje do niego osobę płacącą. Operator płatności nie jest dalszym podmiotem przetwarzającym Procesora; jego relację z Administratorem określa umowa między nimi.
7. 7.
   Czas: przez czas trwania Umowy i 30 dni po jej rozwiązaniu (okres eksportu), a w kopiach zapasowych do 6 miesięcy. Dane intencji, także szczegółowe dane sprzed 1 stycznia poprzedniego roku udostępniane w postaci plików archiwalnych (§ 3 ust. 7 Regulaminu), pozostają w bazie Aplikacji do zakończenia Umowy albo do polecenia Administratora, by je usunąć.
8. 8.
   Integracje: jeżeli Administrator włączy w Aplikacji Integrację z usługą podmiotu trzeciego (np. Kalendarz Google), Procesor na jego polecenie przekazuje do konta Administratora w tej usłudze dane wskazane przy włączeniu; w przypadku Kalendarza Google są to imię i nazwisko osoby oraz rodzaj i godzina przydziału do oficjum lub Mszy wraz z rodzajem intencji, bez treści intencji. Administrator korzysta z tej usługi na podstawie własnej umowy z jej dostawcą, który nie jest dalszym podmiotem przetwarzającym Procesora, i ocenia, czy przekazanie jest zgodne z przepisami, którym podlega, w tym z Dekretem KEP. Włączenie Integracji wymaga zaznaczenia zgody przez Administratora Konta; Procesor zapisuje, kto, kiedy i przy jakiej wersji Umowy ją wyraził. Administrator może w każdej chwili wyłączyć Integrację. Procesor wykorzystuje dane otrzymane z usługi podmiotu trzeciego wyłącznie do działania Integracji.

§ 3. Obowiązki Procesora

1. 1.
   Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za polecenie uważa się Regulamin, konfigurację Konta Klienta i działania Administratora w Aplikacji oraz polecenia przesłane e‑mailem. Procesor niezwłocznie informuje Administratora, jeśli jego zdaniem polecenie narusza prawo. Polecenia dotyczące danych osobowych (w szczególności usunięcie, sprostowanie lub wydanie danych, wyłączenie formularza) Procesor wykonuje w ciągu 3 dni roboczych od ich otrzymania. Procesor przetwarza dane wyłącznie w zakresie i celu określonym w § 2 i nie udostępnia ich innym podmiotom, w tym za pośrednictwem narzędzi lub kodu zewnętrznego osadzonego w Aplikacji albo w formularzach i grafikach publicznych, bez uprzedniej zgody Administratora wyrażonej e‑mailem lub w Aplikacji.
2. 2.
   Procesor dopuszcza do danych wyłącznie osoby upoważnione, zobowiązane do zachowania tajemnicy także po zakończeniu współpracy.
3. 3.
   Procesor stosuje środki z art. 32 RODO, w szczególności: szyfrowanie transmisji (TLS), kontrolę dostępu i uwierzytelnianie, kopie zapasowe wykonywane co godzinę (jedna kopia dziennie przechowywana przez 6 miesięcy), hosting w centrach danych na terenie EOG, dzienniki zdarzeń przechowywane przez 90 dni, aktualizacje bezpieczeństwa.
4. 4.
   Procesor pomaga Administratorowi, w miarę możliwości, w realizacji praw osób, których dane dotyczą, oraz obowiązków z art. 32–36 RODO.
5. 5.
   Procesor zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, wraz z informacjami z art. 33 ust. 3 RODO, którymi dysponuje.
6. 6.
   Procesor prowadzi rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO).
7. 7.
   Procesor informuje Administratora o postępowaniach i kontrolach organów nadzorczych dotyczących powierzonych danych.
8. 8.
   Procesor nie przekazuje danych do państw spoza EOG poza przypadkami wskazanymi w § 4 ust. 2 i przekazaniem na polecenie Administratora w ramach Integracji (§ 2 ust. 8), a każde przekazanie dokonywane przez Procesora spełnia warunki rozdziału V RODO.
9. 9.
   Procesor uwzględnia ochronę danych w fazie projektowania i domyślną ochronę danych (art. 25 RODO, art. 17 ust. 3 Dekretu KEP) przy projektowaniu Aplikacji, wprowadzaniu w niej zmian i jej utrzymaniu. W szczególności sprawdza każdą zmianę pod kątem ochrony danych, nie osadza na stronach publicznych narzędzi przesyłających dane do podmiotów zewnętrznych bez zgody Administratora (§ 4 ust. 3) i tak konfiguruje Aplikację, aby domyślnie przetwarzane były wyłącznie dane niezbędne do danego celu.

§ 4. Dalsze powierzenie (podprocesorzy)

1. 1.
   Akceptując Umowę, Administrator wyraża uprzednią zgodę na korzystanie przez Procesora z podmiotów wymienionych w ust. 2. Aktualną listę Procesor publikuje na stronie inconvento.pl/podwykonawcy i udostępnia na żądanie.
2. 2.
   Lista w dniu zawarcia Umowy:

1. 3.
   O planowanym dodaniu lub zmianie podprocesora Procesor informuje Administratora e‑mailem, na adres Przełożonego (§ 5a Regulaminu), co najmniej 14 dni wcześniej. Administrator może w tym terminie zgłosić uzasadniony sprzeciw. Jeżeli strony nie dojdą do porozumienia, każda ze stron może wypowiedzieć Umowę ze skutkiem natychmiastowym, bez opłat. W przypadku Administratora podlegającego Dekretowi KEP nowy podprocesor może przetwarzać jego dane dopiero po wyrażeniu przez Administratora zgody e‑mailem lub w Aplikacji, co strony uznają za formę wystarczającą (art. 19 ust. 3 Dekretu KEP); brak zgody w terminie wskazanym w zawiadomieniu uprawnia każdą ze stron do wypowiedzenia Umowy na tych samych zasadach. Podprocesorem w rozumieniu tego paragrafu jest także dostawca narzędzia lub kodu osadzonego w Aplikacji albo w formularzach i grafikach publicznych, do którego trafiają powierzone dane. Takie narzędzie lub kod Procesor może wdrożyć wyłącznie po uprzedniej zgodzie Administratora wyrażonej e‑mailem lub w Aplikacji; samo zawiadomienie Administratora nie wystarcza.
2. 4.
   Procesor nakłada na podprocesorów te same obowiązki ochrony danych, co wynikające z niniejszej umowy, i odpowiada za ich działania jak za własne.

§ 5. Audyt

1. 1.
   Administrator ma prawo sprawdzić, czy Procesor przestrzega niniejszej umowy, w szczególności przez żądanie informacji i dokumentów, a w uzasadnionych przypadkach przez audyt, zapowiedziany co najmniej 14 dni wcześniej, nie częściej niż raz w roku, chyba że nastąpiło naruszenie ochrony danych lub zachodzi uzasadnione podejrzenie niezgodności przetwarzania z Umową lub przepisami.
2. 2.
   Audyt odbywa się zdalnie: przez odpowiedzi na pytania, przekazanie dokumentów dotyczących przetwarzania danych Administratora (wyciąg z rejestru czynności, wpisy z rejestru naruszeń, lista podprocesorów, opis środków bezpieczeństwa) oraz pokaz ustawień i działania Aplikacji w zakresie danych Administratora. Jeżeli po audycie zdalnym pozostają uzasadnione wątpliwości, strony uzgadniają audyt na miejscu. Audyt nie obejmuje dostępu do kodu źródłowego Aplikacji ani do danych innych klientów.
3. 3.
   Każda ze stron ponosi własne koszty audytu. Jeżeli audyt wykaże, że Procesor naruszył Umowę lub przepisy o ochronie danych osobowych, Procesor zwraca Administratorowi udokumentowane, rzeczywiście poniesione koszty audytu.
4. 4.
   Audytu dokonuje Administrator lub upoważniony przez niego audytor (art. 28 ust. 3 lit. h RODO). Audytor zewnętrzny nie może być podmiotem konkurencyjnym wobec Procesora i przed audytem zobowiązuje się na piśmie lub e‑mailem do zachowania poufności.

§ 6. Zakończenie

1. 1.
   Po zakończeniu Umowy Procesor umożliwia Administratorowi eksport danych w terminie 30 dni, w zakresie dostępnym w Aplikacji, a pozostałe dane przekazuje na żądanie w formatach CSV, XLSX lub SQL (§ 10 ust. 5 Regulaminu) (a przy zmianie dostawcy w okresie przejściowym na zasadach § 10 Regulaminu, łącznie z jego ewentualnym przedłużeniem), a następnie usuwa dane i ich kopie, z zastrzeżeniem kopii zapasowych usuwanych w ciągu kolejnych 6 miesięcy, które do tego czasu służą wyłącznie odtworzeniu danych po awarii. Na żądanie Procesor potwierdza usunięcie e‑mailem.
2. 2.
   Procesor zachowuje w tajemnicy wszelkie informacje, dane, materiały i dokumenty otrzymane od Administratora i współpracujących z nim osób lub uzyskane w inny sposób przy wykonywaniu Umowy, w szczególności dane osobowe. Procesor nie wykorzystuje ich, nie ujawnia ani nie udostępnia w innym celu niż wykonanie Umowy bez zgody Administratora, chyba że obowiązek ujawnienia wynika z przepisów prawa. Obowiązek zachowania poufności trwa także po zakończeniu Umowy.

§ 7. Odpowiedzialność

Procesor odpowiada za szkody spowodowane przetwarzaniem danych na zasadach art. 82 RODO. Ograniczenia odpowiedzialności z § 11 Regulaminu stosuje się w zakresie dopuszczalnym przez przepisy.