Umowa powierzenia przetwarzania danych osobowych

Poniżej publikujemy wzór umowy powierzenia zawieranej pomiędzy MedEQ a Usługobiorcą. Sposób jej zawarcia opisuje §9 Regulaminu. Do czasu podpisania obowiązują warunki powierzenia wynikające z samego Regulaminu.

Umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa powierzenia”) zawarta pomiędzy:

Bartosz Krzyżaniak, Indywidualna Działalność Gospodarcza, z siedzibą pod adresem: ul. Sportowa 20, 88-420 Rogowo, NIP 5542905852, REGON 382177395, wpisanym do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), zwanym dalej „Przyjmującym”,

a Usługobiorcą w rozumieniu Regulaminu Serwisu MedEQ, zwanym dalej „Powierzającym”.

§1. Powierzenie przetwarzania danych osobowych

1. Powierzający powierza Przyjmującemu, w trybie art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: „RODO”), dane osobowe do przetwarzania na zasadach i w celach określonych w niniejszej Umowie powierzenia.
2. Powierzający oświadcza i zapewnia, że dysponuje odpowiednimi podstawami prawnymi przetwarzania powierzanych danych, a ich przekazanie Przyjmującemu nie narusza praw i wolności osób, których dane dotyczą, ani przepisów prawa, w szczególności RODO.
3. Przyjmujący zobowiązuje się przetwarzać powierzone dane osobowe wyłącznie na udokumentowane polecenie Powierzającego, zgodnie z niniejszą Umową powierzenia, RODO oraz innymi powszechnie obowiązującymi przepisami prawa dotyczącymi ochrony danych osobowych.
4. Przyjmujący oświadcza, że wdrożył odpowiednie środki techniczne i organizacyjne służące ochronie danych osobowych przed zniszczeniem, utratą, zmodyfikowaniem, nieuprawnionym ujawnieniem lub nieuprawnionym dostępem. Informacja o stosowanych zabezpieczeniach zostanie udostępniona Powierzającemu na jego wniosek skierowany na adres e-mail: [email protected].

§2. Zakres i cel przetwarzania danych

1. Celem przetwarzania danych osobowych jest udostępnienie Powierzającemu Usługi gwarantowanej przez Serwis MedEQ, wspierającej procesy zarządzania placówką medyczną, w związku z Umową zawartą pomiędzy Stronami na podstawie Regulaminu Serwisu MedEQ.
2. Przyjmujący będzie przetwarzał powierzone dane zwykłe oraz, w przypadku gdy Powierzający wprowadzi do Serwisu szczególne kategorie danych w rozumieniu art. 9 RODO, Przyjmujący będzie przetwarzał również te dane na zasadach niniejszej Umowy powierzenia.
3. Zakres powierzonych danych obejmuje w szczególności: imię i nazwisko, adres e-mail, numer telefonu, adres, numer PESEL, dane pracowników Powierzającego niezbędne do prowadzenia kadr i rozliczeń, a w odniesieniu do pacjentów Powierzającego również dane dotyczące zdrowia w rozumieniu art. 9 RODO, w tym dane z dokumentacji zabiegowej, wywiadów, kwestionariuszy i zgód.
4. Przyjmujący może przetwarzać powierzone dane osobowe wyłącznie w celu świadczenia Usługi, z której korzysta Powierzający, oraz wykonania pozostałych operacji przetwarzania wskazanych w niniejszej Umowie powierzenia, w tym wsparcia w korzystaniu z Serwisu zgodnie z Regulaminem i obowiązującymi między Stronami ustaleniami.
5. Jeżeli w związku z korzystaniem z Serwisu Powierzający wprowadzi dane osobowe inne niż wymienione w ust. 3, dane te również podlegają powierzeniu na zasadach niniejszej Umowy powierzenia.
6. W ramach realizacji celu przetwarzania Przyjmujący jest uprawniony do wykonywania następujących operacji na powierzonych danych osobowych: utrwalanie, organizowanie, porządkowanie, przechowywanie, przeglądanie, udostępnianie w ramach Konta, generowanie raportów, ograniczanie oraz usuwanie.

§3. Obowiązki Przyjmującego

1. Przyjmujący zobowiązuje się przy przetwarzaniu powierzonych danych osobowych do ich zabezpieczenia poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych, o których mowa w art. 32 RODO, zapewniających stopień bezpieczeństwa odpowiadający ryzyku związanemu z przetwarzaniem.
2. Przyjmujący zobowiązuje się dołożyć należytej staranności przy przetwarzaniu powierzonych danych osobowych.
3. Przyjmujący zobowiązuje się do udzielenia pisemnych upoważnień do przetwarzania danych osobowych wszystkim osobom, które będą przetwarzały powierzone dane w ramach realizacji niniejszej Umowy powierzenia.
4. Przyjmujący zobowiązuje się zapewnić, aby osoby upoważnione do przetwarzania danych osobowych zachowały je w tajemnicy tak w trakcie obowiązywania niniejszej Umowy powierzenia, jak i po jej wygaśnięciu lub rozwiązaniu.
5. Przyjmujący zobowiązuje się udostępniać powierzone dane osobowe wyłącznie osobom posiadającym stosowne upoważnienie oraz niezbędną wiedzę z zakresu ochrony danych osobowych, adekwatną do powierzonych im obowiązków.
6. Przyjmujący po stwierdzeniu naruszenia ochrony danych osobowych zgłasza je Powierzającemu bez zbędnej zwłoki. Zgłoszenie naruszenia zawiera:
   • opis naruszenia, w tym w miarę możliwości wskazanie kategorii i przybliżonej liczby osób, których dane dotyczą, oraz kategorii i przybliżonej liczby wpisów danych osobowych objętych naruszeniem;
   • opis szacowanych konsekwencji naruszenia ochrony danych osobowych;
   • opis środków zastosowanych lub proponowanych do zastosowania przez Przyjmującego w celu zaradzenia naruszeniu, w tym w stosownych przypadkach środków służących zminimalizowaniu jego ewentualnych negatywnych skutków;
   • dane kontaktowe osoby odpowiedzialnej po stronie Przyjmującego za udzielanie informacji dotyczących naruszenia.
7. Przyjmujący, uwzględniając charakter przetwarzania i dostępne mu informacje, pomaga Powierzającemu w niezbędnym zakresie wywiązywać się z obowiązków dotyczących: odpowiadania na żądania osób, których dane dotyczą (art. 15-22 RODO), zapewnienia bezpieczeństwa przetwarzania (art. 32 RODO), zgłaszania naruszeń ochrony danych (art. 33-34 RODO) oraz przeprowadzania oceny skutków dla ochrony danych (art. 35-36 RODO).
8. Jeżeli osoba, której dane dotyczą, skieruje żądanie dotyczące jej praw bezpośrednio do Przyjmującego, Przyjmujący niezwłocznie przekazuje to żądanie Powierzającemu. Sporządzenie odpowiedzi na żądanie pozostaje wyłączną odpowiedzialnością Powierzającego.
9. Po rozwiązaniu Umowy lub zakończeniu świadczenia Usługi Przyjmujący umożliwi Powierzającemu pobranie danych z Serwisu, po czym niezwłocznie usunie Konto Powierzającego oraz wszelkie istniejące dane i ich kopie, chyba że przepisy prawa Unii Europejskiej lub prawa polskiego nakazują dalsze przechowywanie danych osobowych.

§4. Prawo kontroli

1. Powierzającemu przysługuje prawo przeprowadzania audytów, w tym inspekcji, czy środki stosowane przez Przyjmującego przy przetwarzaniu i zabezpieczaniu powierzonych danych osobowych spełniają postanowienia niniejszej Umowy powierzenia (dalej: „Kontrola”).
2. Kontrola może być realizowana na odległość, za pośrednictwem poczty elektronicznej kierowanej na adres: [email protected], poprzez skierowanie listy pytań kontrolnych lub wniosków, na które Przyjmujący zobowiązuje się udzielić odpowiedzi w wiadomości zwrotnej w rozsądnym terminie.
3. Kontrola na miejscu może być przeprowadzona w godzinach pracy Przyjmującego, z uprzedzeniem wynoszącym co najmniej 30 dni kalendarzowych, wraz ze wskazaniem listy osób zaangażowanych w przeprowadzenie Kontroli po stronie Powierzającego.
4. Powierzający każdorazowo przed przeprowadzeniem Kontroli na miejscu przedstawi Przyjmującemu do akceptacji ramowy plan czynności kontrolnych.
5. Kontrole przeprowadzane są na koszt Powierzającego.
6. W przypadku Kontroli nieuzasadnionych, nadmiernie częstych lub wykraczających poza uzgodniony harmonogram, Przyjmujący może obciążyć Powierzającego kosztami administracyjnymi związanymi z przeprowadzeniem audytu.
7. Przyjmujący zobowiązuje się do usunięcia uchybień stwierdzonych w toku Kontroli w terminie uzgodnionym z Powierzającym, nie dłuższym niż 30 dni od dnia przekazania wyników kontroli.
8. Przyjmujący niezwłocznie informuje Powierzającego, jeżeli w jego ocenie wydane mu polecenie stanowi naruszenie RODO lub innych przepisów dotyczących ochrony danych osobowych.
9. Przyjmujący udostępnia Powierzającemu wszelkie informacje niezbędne do wykazania spełniania obowiązków wynikających z art. 28 RODO.

§5. Dalsze powierzenie przetwarzania

1. Przyjmujący może powierzyć dane osobowe objęte niniejszą Umową powierzenia do dalszego przetwarzania podwykonawcom (dalszym podmiotom przetwarzającym) wyłącznie w celu świadczenia Usługi zgodnie z Regulaminem Serwisu MedEQ.
2. Dalsze powierzenie następuje wyłącznie w celu i zakresie niezbędnym do wykonania niniejszej Umowy powierzenia, na co Powierzający niniejszym wyraża zgodę. Podstawowym miejscem przetwarzania jest Europejski Obszar Gospodarczy.
3. Opcjonalne funkcje Serwisu - moduł AI Scribe, rozpoznawanie tekstu z wgranych dokumentów oraz wideokonsultacje - realizowane są przez dostawców mających siedzibę poza Europejskim Obszarem Gospodarczym. Dopóki Powierzający z danej funkcji nie skorzysta, objęte nią dane nie opuszczają Europejskiego Obszaru Gospodarczego. Jeżeli Powierzający z funkcji korzysta, przekazanie następuje wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO) albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO). Powierzający może w każdej chwili wyłączyć te funkcje w ustawieniach Konta.
4. Aktualna lista dalszych podmiotów przetwarzających, wraz ze wskazaniem miejsca przetwarzania i podstawy przekazania poza Europejski Obszar Gospodarczy, publikowana jest w Polityce prywatności. Jest ona również udostępniana Powierzającemu na jego wniosek kierowany na adres e-mail: [email protected].
5. Przyjmujący informuje Powierzającego drogą elektroniczną o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia dalszego podmiotu przetwarzającego z co najmniej 14-dniowym wyprzedzeniem. Powierzający ma prawo zgłoszenia uzasadnionego sprzeciwu wobec planowanej zmiany w terminie 14 dni od otrzymania informacji.
6. Przyjmujący zapewnia, że każdy dalszy podmiot przetwarzający jest związany zobowiązaniami w zakresie ochrony danych osobowych co najmniej równoważnymi z zobowiązaniami wynikającymi z niniejszej Umowy powierzenia.

§6. Odpowiedzialność

1. Przyjmujący ponosi odpowiedzialność za szkody spowodowane przetwarzaniem danych osobowych wyłącznie w zakresie, w jakim nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem poleceniami Powierzającego bądź wbrew tym poleceniom.
2. Przyjmujący zostanie zwolniony z odpowiedzialności, o której mowa w ust. 1, jeżeli udowodni, że w żaden sposób nie ponosi winy za zdarzenie, które doprowadziło do powstania szkody.
3. Każda ze Stron ponosi odpowiedzialność za szkody spowodowane przetwarzaniem naruszającym RODO na zasadach określonych w art. 82 RODO.

§7. Poufność

1. Przyjmujący zobowiązuje się do zachowania w tajemnicy wszelkich informacji, danych, materiałów, dokumentów i danych osobowych otrzymanych od Powierzającego lub od osób z nim współpracujących, a także danych uzyskanych w jakikolwiek inny sposób, zamierzony czy przypadkowy, w formie ustnej, pisemnej lub elektronicznej (dalej: „Informacje Poufne”).
2. Informacje Poufne nie będą wykorzystywane, ujawniane ani udostępniane osobom trzecim bez uprzedniej pisemnej zgody Powierzającego w innym celu niż wykonanie niniejszej Umowy powierzenia, chyba że obowiązek ujawnienia wynika z powszechnie obowiązujących przepisów prawa.
3. Strony zobowiązują się dołożyć wszelkich starań w celu zapewnienia, aby środki łączności wykorzystywane do odbioru, przekazywania oraz przechowywania informacji poufnych, w tym w szczególności powierzonych danych osobowych, gwarantowały ich ochronę przed dostępem osób nieupoważnionych.

§8. Czas obowiązywania i rozwiązanie

1. Niniejsza Umowa powierzenia wchodzi w życie z chwilą jej zawarcia w jeden ze sposobów wskazanych w §9 ust. 5 Regulaminu, w tym przez akceptację jej treści w Serwisie przez właściciela Konta, i zastępuje warunki powierzenia przetwarzania danych osobowych wynikające z Regulaminu (§9 ust. 2 i 3 Regulaminu).
2. Umowa powierzenia obowiązuje przez cały okres obowiązywania Umowy oraz przez okres niezbędny do wykonania obowiązków związanych z usunięciem lub zwrotem powierzonych danych osobowych.
3. Umowa powierzenia ulega rozwiązaniu z chwilą trwałego usunięcia powierzonych danych osobowych zgodnie z ust. 4.
4. Po wypowiedzeniu lub rozwiązaniu Umowy Przyjmujący umożliwia Powierzającemu pobranie danych z Serwisu przez okres 15 dni. Po upływie tego terminu Przyjmujący niezwłocznie usuwa Konto Powierzającego oraz wszelkie istniejące kopie danych, chyba że przepisy prawa powszechnie obowiązującego nakazują dalsze przechowywanie danych osobowych.
5. Zobowiązania Przyjmującego w zakresie poufności powierzonych danych osobowych pozostają w mocy bezterminowo, również po wygaśnięciu lub rozwiązaniu niniejszej Umowy powierzenia.

§9. Postanowienia końcowe

1. Niniejsza Umowa powierzenia zastępuje wszelkie wcześniejsze umowy, ustalenia i porozumienia Stron dotyczące powierzenia przetwarzania danych osobowych w związku z Usługą gwarantowaną przez Serwis MedEQ.
2. W przypadku sprzeczności postanowień niniejszej Umowy powierzenia z Regulaminem lub innymi umowami zawartymi między Stronami, w zakresie dotyczącym ochrony danych osobowych pierwszeństwo mają postanowienia niniejszej Umowy powierzenia.
3. Wszelkie zmiany niniejszej Umowy powierzenia będą publikowane na Stronie Internetowej. Powierzający zostanie powiadomiony o zmianach z co najmniej 21-dniowym wyprzedzeniem, za pośrednictwem poczty elektronicznej lub komunikatu w Serwisie.
4. W sprawach nieuregulowanych niniejszą Umową powierzenia stosuje się przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeksu cywilnego.
5. Prawem właściwym jest prawo polskie. Sądem właściwym jest sąd właściwy dla siedziby Przyjmującego.
6. Niniejsza Umowa powierzenia zostaje podpisana zgodnie z wymogami określonymi w §9 ust. 4 Regulaminu, tj. przez osobę uprawnioną do reprezentacji Powierzającego zgodnie z wpisem w KRS, CEIDG lub na podstawie stosownego pełnomocnictwa.