Potwierdzenie przetwarzania danych osobowych

POWIERZENIE PRZETWARZANIA DANYCH OSOBOWYCH

Niniejsze warunki powierzenia danych określają zasady na jakich dane osobowe pracowników Przedsiębiorców, którzy zawarli umowy z KFE Holding Sp. z o. o. (składając zamówienie, które przyjęliśmy do realizacji) będą przetwarzane przez naszą Spółkę.

Ilekroć w niniejszych warunkach mowa o:

• Przedsiębiorcy – rozumie się przez to przedsiębiorców, którzy zawarli umowę z naszą Spółką.
• Spółce – rozumie się przez to KFE Holding Sp. z o.o. z siedzibą w Warszawie ul. Czerniakowska 71, numer KRS 0000255059.
• Stronach – rozumie się przez to łącznie Przedsiębiorcę oraz Spółkę.

• 1 PRZEDMIOT UMOWY

1. Przedsiębiorca i Spółka zawierają umowę powierzenia przetwarzania danych osobowych, zwaną dalej “Warunkami”, na mocy których Przedsiębiorca powierza Spółce przetwarzanie danych osobowych, w zakresie wynikającym ze złożonego zlecenia, które zostało przyjęte przez Spółkę.
2. Powierzenie danych osobowych Spółce następuje w celu wykonania usługi określonej w złożonym zamówieniu.
3. Spółka może przetwarzać powierzone jej dane osobowe wyłącznie w zakresie i celu określonym w zleceniu oraz w celu i zakresie niezbędnym do świadczenia usług określonych w złożonym zleceniu.
4. Zakres powierzonych danych oraz kategorie danych każdorazowo są zależne od specyfiki świadczonej usługi.

• 2 OŚWIADCZENIA I OBOWIĄZKI SPÓŁKI

1. Spółka niniejszym oświadcza, że posiada zasoby infrastrukturalne, doświadczenie, wiedzę oraz wykwalifikowany personel, w zakresie umożliwiającym należyte wykonanie usługi, w zgodzie z obowiązującymi przepisami prawa. W szczególności Spółka oświadcza, że znane jej są zasady przetwarzania i zabezpieczenia danych osobowych wynikające z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej jako: „RODO”);
2. Spółka jest zobowiązana:
   1. przetwarzać powierzone dane osobowe wyłącznie na postawie zlecenia i niniejszych Warunków, które łącznie stanowią udokumentowane polecenie Przedsiębiorcy.
   2. udzielać dostępu do powierzonych danych osobowych wyłącznie osobom, które ze względu na zakres wykonywanych zadań otrzymały od Spółki upoważnienie do ich przetwarzania oraz wyłącznie w celu wykonywania obowiązków wynikających ze złożonego zlecenia;
   3. zapewnić, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy;
   4. wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, których dane osobowe będą przetwarzane przez Spółkę;
   5. w miarę możliwości wspierać Przedsiębiorcę (poprzez stosowanie odpowiednich środków technicznych i organizacyjnych) w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO;
   6. pomagać Przedsiębiorcy, w zakresie:
      1. dokonywania zgłaszania naruszeń ochrony danych osobowych organowi nadzorczemu oraz zawiadamiania osób, których dane dotyczą o takim naruszeniu;
      2. dokonywania przez Przedsiębiorcę oceny skutków dla ochrony danych oraz przeprowadzania konsultacji z organem nadzorczym;
3. prowadzić, w formie pisemnej (w tym elektronicznej), rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Przedsiębiorcy;
4. udostępniać Przedsiębiorcy, na każde żądanie, nie później niż w terminie 3 Dni Roboczych, wszelkie informacje niezbędne do wykazania spełnienia przez Przedsiębiorcę obowiązków wynikających z właściwych przepisów prawa, w szczególności z RODO;
5. umożliwić Przedsiębiorcy lub audytorowi upoważnionemu przez Przedsiębiorcę przeprowadzanie;
6. niezwłocznie informować Przedsiębiorcę, jeżeli zdaniem Spółki wydane jej polecenie stanowi naruszenie RODO lub innych przepisów krajowych lub unijnych o ochronie danych;
7. przechowywać dane osobowe tylko tak długo, jak to określił Przedsiębiorca lub jak wynika to z powszechnie obowiązujących przepisów prawa.

• 3 PODPOWIERZENIE

1. Przedsiębiorca wyraża zgodę na dalsze powierzenie przez Spółkę przetwarzania danych osobowych innym podmiotom przetwarzającym, w zakresie jak jest niezbędne do realizacji zlecenia. Spółka jest zobowiązana do informowania o wszelkich planowanych zmianach dotyczących dodania lub zastąpienia dalszych podmiotów przetwarzających.
2. Spółka zapewnia, że będzie korzystała wyłącznie z usług takich dalszych podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO oraz przepisów obowiązującego prawa z zakresu ochrony danych osobowych, wskazanych w § 2 ust. 1 pkt 2, które Spółka zobowiązany jest przestrzegać przed dniem 25 maja 2018 r., a także chroniło prawa osób, których dane dotyczą.
3. Spółka zapewni w umowie z dalszym podmiotem przetwarzającym, że na podmiot ten zostaną nałożone obowiązki odpowiadające obowiązkom Spółki.

• 4 AUDYT

1. Przedsiębiorca jest upoważniony do przeprowadzenia audytu zgodności przetwarzania danych osobowych przez Spółkę z obowiązującymi przepisami prawa.
2. Przedsiębiorca poinformuje Spółkę co najmniej 4 Dni Robocze przed planowaną datą audytu o zamiarze jego przeprowadzenia. Jeżeli z ważnych powodów, w ocenie Spółki, audyt nie może zostać przeprowadzony we wskazanym terminie Spółka powinna poinformować o tym fakcie Przedsiębiorcę wskazując uzasadnienie dla takiej oceny. W takim przypadku Strony wspólnie ustalą późniejszy termin audytu.
3. Po przeprowadzonym audycie przedstawiciel Przedsiębiorca sporządza protokół pokontrolny, który podpisują przedstawiciele obu podmiotów. Spółka zobowiązuje się w terminie uzgodnionym z Przedsiębiorcą, dostosować do zaleceń pokontrolnych zawartych w protokole, mających na celu usunięcie uchybień i poprawę bezpieczeństwa przetwarzania danych osobowych (jeżeli zalecenia zostaną zaakceptowane przez Spółkę).

• 5 ZGŁASZANIE NARUSZEŃ

1. Spółka jest zobowiązana do wdrożenia i stosowania procedur służących wykrywaniu naruszeń ochrony danych osobowych oraz wdrażaniu właściwych środków naprawczych.
2. Po stwierdzeniu naruszenia ochrony powierzonych mu przez Przedsiębiorcę danych osobowych Spółka, bez zbędnej zwłoki, jednak w miarę możliwości nie później niż w ciągu 36 godzin od wykrycia naruszenia, zgłasza je Przedsiębiorcy. Przedmiotem zgłoszenia są informacje o okolicznościach oraz przyczynie naruszenia.
3. Do czasu uzyskania instrukcji postępowania z naruszeniem od Przedsiębiorcy, Spółka bez zbędnej zwłoki podejmuje wszelkie rozsądne działania mające na celu ograniczenie i naprawienie negatywnych skutków naruszenia.
4. Spółka jest zobowiązana do dokumentowania wszelkich naruszeń ochrony powierzonych mu danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutków oraz podjętych działań zaradczych. Spółka jest zobowiązana na każde żądanie Przedsiębiorcy niezwłocznie udostępnić mu dokumentację, o której mowa w zdaniu poprzedzającym.
5. Spółka nie będzie bez wyraźnej instrukcji Przedsiębiorcy powiadamiała o naruszeniu:
   1. osób, których dane dotyczą ani
   2. organu nadzorczego.

• 6 CZAS TRWANIA UMOWY ORAZ ZASADY ODPOWIEDZIALNOŚCI

1. Umowa zostaje zawarta na czas określony i przestaje obowiązywać wraz z zakończeniem realizacji usługi.
2. Przedsiębiorca może rozwiązać Umowę z zachowaniem 1-miesięcznego okresu wypowiedzenia.
3. Po zakończeniu obowiązywania Umowy Spółka powinien zgodnie z dyspozycją Przedsiębiorca zwrócić lub zniszczyć, w sposób i w terminie odrębnie ustalonym z Przedsiębiorca , wszelkie dane osobowe i ich kopie, chyba że właściwe przepisy prawa krajowego lub unijnego nakazują przechowywanie tych danych osobowych. Koszty zwrotu lub zniszczenia danych osobowych oraz ich kopii ponosi Przedsiębiorca.

• 9 POSTANOWIENIA KOŃCOWE

1. W sprawach, które nie zostały uregulowane Warunkami, znajdują zastosowanie odpowiednie przepisy Kodeksu cywilnego, RODO oraz innych obowiązujących przepisów z zakresu ochrony danych osobowych.
2. Wszelkie spory w związku z Umową zostaną poddane pod rozstrzygnięcie sądu powszechnego miejscowo właściwego ze względu na siedzibę Spółki.