Umowa powierzenia danych

Strony zgodnie oświadczają, że w celu realizacji zlecenia transportowego konieczne jest przetwarzanie danych osobowych i każda ze Stron będzie powierzać drugiej Stronie przetwarzanie określonych danych osobowych. W związku z tym Strony postanawiają zawrzeć niniejszą umowę, która określa ich prawa i obowiązki związane z przetwarzaniem danych osobowych.

§ 1

1. Zleceniodawca oświadcza, że jest administratorem danych osobowych w rozumieniu art. 4 pkt 7 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO) w odniesieniu do danych osobowych określonych w § 2 ust. 1 niniejszej umowy. W trybie art. 28 RODO Zleceniodawca powierza Zleceniobiorcy przetwarzanie tych danych osobowych wyłącznie w celu realizacji zlecenia transportowego, na zasadach określonych w niniejszej umowie, w związku z czym Zleceniobiorca względem tych danych osobowych będzie podmiotem przetwarzającym  w rozumieniu art. 4 pkt 8 RODO, który przyjmuje te dane do przetwarzania.
2. Zleceniobiorca oświadcza, że jest administratorem danych osobowych w rozumieniu art. 4 pkt 7 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO) w odniesieniu do danych osobowych określonych w § 2 ust. 2 niniejszej umowy. W trybie art. 28 RODO Zleceniobiorca powierza Zleceniodawcy przetwarzanie tych danych osobowych wyłącznie w celu realizacji zlecenia transportowego, na zasadach określonych w niniejszej umowie, w związku z czym Zleceniodawca względem tych danych osobowych będzie podmiotem przetwarzającym  w rozumieniu art. 4 pkt 8 RODO, który przyjmuje te dane do przetwarzania.
3. Każda ze stron oświadcza, że jest podmiotem przetwarzającym w rozumieniu art. 4 pkt 8 RODO w odniesieniu do danych osobowych podmiotów, których uczestnictwo w wykonaniu zlecenia transportowego jest konieczne (klientów, kontrahentów, podwykonawców) oraz ich pracowników oraz jest uprawniona do ich dalszego powierzania. W trybie art. 28 każda ze Stron powierza drugiej Stronie przetwarzanie tych danych wyłącznie do realizacji zlecenia transportowego a druga strona przyjmuje te dane do przetwarzania.
4. Ponieważ każda ze Stron jest podmiotem powierzającym dane osobowe do przetwarzania oraz jest jednocześnie podmiotem przetwarzającym dane osobowe otrzymane od drugiej Strony, Strony postanawiają, że będą im przysługiwać takie same prawa i obowiązki dotyczące ochrony danych osobowych. W związku z tym jeżeli w niniejszej umowie będzie mowa o „ Administratorze” to rozumie się przez to Zleceniodawcę względem danych określonych w § 2 ust. 1 a Zleceniobiorcę względem danych określonych w § 2 ust. 2, a jeżeli będzie mowa o „podmiocie przetwarzającym” to rozumie się przez to Zleceniodawcę względem danych osobowych wskazanych w § 2 ust. 2 oraz Zleceniobiorcę względem danych osobowych wskazanych w § 2 ust. 1.

§ 2

1. Zleceniodawca powierza Zleceniobiorcy następujące dane do przetwarzania:
   1. dane osobowe pracowników Zleceniodawcy oraz innych osób, których uczestnictwo jest niezbędne w celu nawiązania lub realizacji zlecenia transportowego,
   2. dane osobowe klientów Zleceniodawcy, na rzecz których realizowane jest zlecenie transportowe oraz ich pracowników lub osób, których  których uczestnictwo jest niezbędne w celu nawiązania lub realizacji zlecenia transportowego
2. Zleceniobiorca powierza Zleceniodawcy następujące dane do przetwarzania:

1. 1. dane osobowe pracowników Zleceniobiorcy oraz innych osób, których uczestnictwo jest niezbędne w celu nawiązania lub realizacji zlecenia transportowego,
   2. dane osobowe klientów Zleceniobiorcy, na rzecz których realizowane są usługi lub dostawy oraz ich pracowników lub osób, których których uczestnictwo jest niezbędne w celu nawiązania lub realizacji zlecenia transportowego
2. Powierzenie określone w ust. 1 i 2 w zależności od tego kogo dane dotyczą może obejmować następujące kategorie danych: imię i nazwisko, imiona rodziców, numer identyfikacyjny PESEL, datę i miejsce urodzenia, adres i miejsce zamieszkania, nazwę i numer dokumentu tożsamości, adres e-mail, numer NIP, numer telefonu.

§ 3 Obowiązki podmiotu przetwarzającego

1. Podmiot przetwarzający zobowiązuje się do przestrzegania wszelkich wymogów prawem określonych w zakresie przetwarzania powierzonych danych, w tym wymogów określonych RODO, Ustawą lub przepisami wykonawczymi do Ustawy, a w szczególności zobowiązuje się:

1. 1. przetwarzać powierzone mu dane osobowe w sposób zapewniający odpowiednie bezpieczeństwo tych danych, w tym za pomocą odpowiednich środków technicznych i organizacyjnych oraz zapewnić ich ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem , przypadkową utratą, zniszczeniem lub uszkodzeniem,
   2. uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania, wdrażać odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiedni względem ryzyka,
   3. oceniając, czy poziom bezpieczeństwa jest odpowiedni – przeprowadzić odpowiednią analizę ryzyka naruszenia praw i wolności osób, których dane dotyczą. W analizie tej Podmiot przetwarzający jest zobowiązany uwzględnić ryzyko wiążące się z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych,
   4. do przetwarzania powierzonych danych dopuścić wyłącznie osoby posiadające upoważnienie do przetwarzania danych osobowych nadane przez Podmiot przetwarzający oraz zapewnić zachowanie w tajemnicy (o której mowa w art. 28 ust 3 lit. b) RODO) przetwarzanych danych przez te osoby, zarówno w trakcie zatrudnienia ich w Podmiocie przetwarzającym, jak i po jego ustaniu,
   5. prowadzić wykaz osób upoważnionych przez niego do przetwarzania danych osobowych oraz przekazywać ten wykaz Administratorowi na jego żądanie w terminie przez niego wskazanym.
   6. pomagać Administratorowi w niezbędnym zakresie w wywiązywaniu się przez Administratora z obowiązków określonych w art. 32-36 RODO, a w szczególności odpowiadania na żądania osoby, której dane dotyczą,
   7. po stwierdzeniu naruszenia ochrony danych osobowych, niezwłocznie zgłaszać ten fakt Administratorowi jednak nie później niż w ciągu 24 h od momentu stwierdzenia zaistnienia naruszenia. Zgłoszenie, o którym mowa powyżej, powinno zawierać m.in.:

• • • • • datę i godzinę zdarzenia,
        • opis charakteru i okoliczności naruszenia danych osobowych,
        • charakter i treść danych osobowych, których dotyczyło naruszenie,
        • liczbę osób, których dotyczyło naruszenie,
        • opis potencjalnych konsekwencji i niekorzystnych skutków naruszenia danych osobowych dla osób, których dane dotyczą,
        • opis środków technicznych i organizacyjnych, które zostały lub mają być zastosowane w celu złagodzenia potencjalnych niekorzystnych skutków naruszenia danych osobowych,

1. 8. po rozwiązaniu lub wygaśnięciu niniejszej Umowy – zwrócić Zleceniodawcy powierzone zbiory danych i trwale usunąć je z wszystkich nośników, zarówno w wersji elektronicznej jak i papierowej, chyba że przepisy prawa nakazują ich przechowywanie. Zobowiązanie o którym mowa obejmuje również te podmioty, które przetwarzają dane na zlecenie Podmiotu przetwarzającego. Po rozwiązaniu Umowy lub jej wygaśnięciu Podmiot przetwarzający będzie przetwarzać dane osobowe do dnia ich zwrotu wyłącznie w celu przygotowania danych do ich przekazania na rzecz Administratora.
   9. poddawać się kontroli o której mowa w §4.

§4 Prawo Administratora do kontroli

1. Administrator danych, zgodnie z art. 28 ust. 3 lit. h) RODO ma prawo kontroli, czy środki zastosowane przez Podmiot przetwarzający przy przetwarzaniu i zabezpieczeniu powierzonych danych osobowych spełniają postanowienia obowiązujących RODO, Ustawy lub przepisów wykonawczych do Ustawy, jak również Umowy.
2. Kontrola, o której mowa w ust. 1 może się odbywać w godzinach pracy Podmiotu przetwarzającego, po uprzednim zgłoszeniu zamiaru takiej kontroli z 14 dniowym wyprzedzeniem. Kontroli dokonać może wyłącznie osoba upoważniona przez Administratora.
3. Po kontroli Zleceniodawca może przekazać Podmiotowi przetwarzającemu pisemne zlecenia pokontrolne wraz z terminem ich realizacji. W razie stwierdzenia naruszeń Podmiot przetwarzający zobowiązany jest do ich usunięcia w terminie i w sposób  ustalony z Administratorem.
4. Podmiot przetwarzający zobowiązany jest, na każdy pisemny wniosek Zleceniodawcy, do udzielenia pisemnej informacji dotyczących przetwarzania powierzonych mu danych osobowych w terminie do 7 dni od dnia otrzymania takiego wniosku.

§5 Podpowierzenie

1. Podmiot przetwarzający może, w drodze umowy w formie pisemnej w tym elektronicznej, powierzyć dane osobowe objęte niniejszą umową innemu podmiotowi bez uprzedniej pisemnej zgody Zleceniodawcy jednak tylko w odniesieniu do danych osobowych osób, których uczestnictwo w wykonaniu zlecenia transportowego jest niezbędne oraz jedyne w zakresie w jakim uczestnictwo tego podmiotu jest niezbędne do realizacji zlecenia transportowego.
2. W przypadku, o którym mowa w ust. 1 Podmiot przetwarzający zobowiązuje się do zapewnienia, że podmioty, którym podpowierzono przetwarzanie danych osobowych, spełniają przynajmniej takie same wymagania i obowiązki ochrony danych osobowych, jak Podmiot przetwarzający, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków organizacyjnych i technicznych, aby przetwarzanie odpowiadało wymogom aktualnie obowiązujących przepisów prawa w zakresie ochrony danych osobowych w tym  RODO, Ustawy lub przepisów wykonawczych do Ustawy. 
3. Podmiot przetwarzający ponosi odpowiedzialność wobec Administratora za naruszenie postanowień niniejszej Umowy przez podmioty wskazane w ust. 1.

§6 Odpowiedzialność Podmiotu przetwarzającego

1. Podmiot przetwarzający jest odpowiedzialny za udostępnienie lub wykorzystanie danych osobowych niezgodne z treścią Umowy, a w szczególności za udostępnienie powierzonych mu do przetwarzania danych osobowych osobom nieupoważnionym.
2. Podmiot przetwarzający zobowiązuje się do niezwłocznego poinformowania Administratora danych o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania przez Podmiot przetwarzający danych osobowych określonych
   w Umowie, o jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania tych danych, skierowanych do Podmiotu przetwarzającego, a także o wszelkich planowanych, o ile są wiadome, lub realizowanych kontrolach i inspekcjach dotyczących przetwarzania tych danych osobowych, w szczególności prowadzonych przez organ nadzorujący przestrzeganie zasad ochrony danych osobowych.
3. W przypadku wystąpienia przez osobę trzecią z roszczeniem przeciwko Podmiotowi przetwarzającemu oraz/lub Administratorowi w związku naruszeniem zasad przetwarzania danych, Podmiot przetwarzający jest zobowiązany do natychmiastowego poinformowania Administratora o takim roszczeniu oraz do współpracy z Administratorem w celu podjęcia odpowiednich środków prawnych w szczególności w celu oddalenia lub odrzucenia roszczenia osoby trzeciej przez sąd właściwy, złożenia odwołania i zawarcia ugody lub innego środka prawnego.

§8 Obowiązywanie umowy

1. Umowa powierzenia zostaje zawarta na czas niezbędny do realizacji zlecenia transportowego oraz do zabezpieczenia interesów stron przez okres przedawnienia roszczeń z tej umowy wynikającej.
2. Administrator może wypowiedzieć Umowę powierzenia ze skutkiem natychmiastowym, przypadku:

1. 1. gdy pomimo zobowiązania do usunięcia uchybień stwierdzonych podczas kontroli Podmiot Przetwarzający nie usunie ich w wyznaczonym terminie,
   2. Podmiot przetwarzający przetwarza dane osobowe w sposób niezgodny z Umową lub przepisami powszechnie obowiązującego prawa znajdującymi zastosowanie do wykonania Umowy, w tym RODO, Ustawy lub przepisami wykonawczymi do Ustawy
   3. Podmiot przetwarzający powierzył przetwarzanie danych osobowych innemu podmiotowi bez zgody Administratora danych.
   4. wyrządzenia przez Podmiot przetwarzający, przy wykonaniu Umowy szkody Zleceniodawcy lub osobie, której dane Podmiot przetwarzający przetwarza na mocy Umowy powierzenia,
   5. wszczęcia przez Organ lub inny organ nadzorczy postępowania przeciw Podmiotowi przetwarzającemu w związku z naruszeniem ochrony danych osobowych albo takiego wszczęcia przeciwko Administratorowi w związku z naruszeniem przez Podmiot przetwarzający.

§ 9 Zasady zachowania poufności

1. Podmiot przetwarzający zobowiązuje się do zachowania w tajemnicy wszelkich informacji, materiałów, dokumentów i danych osobowych otrzymanych od Administratora oraz  uzyskanych w jakikolwiek inny sposób, zamierzony czy przypadkowy, w formie ustnej, pisemnej lub elektronicznej („dane poufne”) w okresie trwania niniejszej Umowy i przez czas nieoznaczony po zakończeniu jej obowiązywania.
2. Podmiot przetwarzający oświadcza, że w związku ze zobowiązaniem do zachowania w tajemnicy danych poufnych nie będą one wykorzystywane, ujawniane ani udostępniane bez pisemnej zgody Administratora w innym celu niż wykonanie Umowy, chyba że konieczność ich ujawnienia wynika z obowiązujących przepisów prawa.
3. Strony zobowiązują się do dołożenia wszelkich starań w celu zapewnienia, aby środki łączności wykorzystywane do odbioru, przekazywania oraz przechowywania danych poufnych gwarantowały ich zabezpieczenie przed dostępem osób trzecich nieupoważnionych do zapoznania się z ich treścią.

§ 10 Postanowienia końcowe

1. Wszelkie zmiany Umowy powierzenia powinny być dokonane w formie pisemnej pod rygorem nieważności lub w formie elektronicznej.
2. Sądem właściwym dla rozpatrzenia sporów wynikających z niniejszej umowy będzie sąd właściwy dla spółki MJ Spedition sp. z o.o.