Umowa powierzenia przetwarzania danych

1. Strony i cel umowy

Niniejsza umowa powierzenia przetwarzania danych osobowych („Umowa powierzenia”, „DPA”) stanowi część umowy o świadczenie usługi Vindrose („Umowa główna”) zawartej pomiędzy:

• Klientem: [nazwa firmy], [adres siedziby], [numer KRS / NIP] („Administrator”); a
• Vindrose: Vindrose sp. z o.o. z siedzibą we Wrocławiu (ul. Piękna 58c, 50-506 Wrocław), wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0001261581, NIP 8993066384 („Podmiot przetwarzający”).

Umowa powierzenia określa warunki, na jakich Podmiot przetwarzający przetwarza dane osobowe w imieniu Administratora zgodnie z art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”). W razie sprzeczności między niniejszą Umową powierzenia a Umową główną w zakresie ochrony danych pierwszeństwo ma niniejsza Umowa powierzenia.

2. Przedmiot i czas trwania

Podmiot przetwarzający nagrywa, transkrybuje, przechowuje i udostępnia do wyszukiwania korespondencję radiową Administratora oraz zapewnia alarmy i raporty ze zdarzeń, zgodnie z opisem w Umowie głównej. Przetwarzanie trwa przez okres obowiązywania Umowy głównej oraz do czasu usunięcia lub zwrotu danych zgodnie z punktem 11.

3. Charakter i cel przetwarzania

Nagrywanie transmisji radiowych na bramce Vindrose w lokalizacji Administratora; zamiana mowy na tekst (transkrypcja) na bramce; przesyłanie nagrań audio, transkrypcji i metadanych do chmury Podmiotu przetwarzającego w UE; przechowywanie, wyszukiwanie, odtwarzanie, eksport, alarmy na słowa kluczowe i raporty ze zdarzeń dla upoważnionych użytkowników Administratora; wsparcie techniczne i utrzymanie. Celem jest zapewnienie Administratorowi przeszukiwalnego zapisu korespondencji radiowej na potrzeby bezpieczeństwa, ochrony, działalności operacyjnej i wyjaśniania zdarzeń.

4. Kategorie danych i osób

5. Obowiązki administratora

• Administrator decyduje, które kanały są nagrywane, i zapewnia istnienie podstawy prawnej do ich nagrywania.
• Administrator informuje osoby korzystające z jego radiotelefonów o nagrywaniu, zgodnie z art. 13 RODO i właściwymi przepisami prawa pracy (na przykład art. 22³ Kodeksu pracy), oraz rozpatruje ich żądania.
• Administrator nagrywa wyłącznie sieci radiowe, których jest właścicielem lub z których jest uprawniony korzystać.

6. Obowiązki podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się:

1. przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Administratora, w tym polecenia zawarte w Umowie głównej i w ustawieniach Usługi dokonanych przez Administratora, oraz informować Administratora, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych;
2. zapewnić, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy;
3. stosować środki techniczne i organizacyjne określone w Załączniku 1 (punkt 13);
4. przestrzegać warunków korzystania z usług dalszych podmiotów przetwarzających określonych w punkcie 8;
5. w miarę możliwości pomagać Administratorowi w odpowiadaniu na żądania osób, których dane dotyczą, oraz w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO;
6. nie wykorzystywać danych do własnych celów oraz nie analizować emocji ani nie oceniać poszczególnych pracowników;
7. udostępniać informacje niezbędne do wykazania spełnienia obowiązków oraz umożliwiać przeprowadzanie audytów zgodnie z punktem 10.

7. Miejsce przetwarzania

Nagrania są przetwarzane na bramce w lokalizacji Administratora oraz w centrach danych w Unii Europejskiej. Podmiot przetwarzający nie przekazuje nagrań ani transkrypcji Administratora poza Europejski Obszar Gospodarczy bez uprzedniej pisemnej zgody Administratora i bez odpowiednich zabezpieczeń zgodnych z rozdziałem V RODO.

8. Dalsze podmioty przetwarzające

Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług wymienionych poniżej dalszych podmiotów przetwarzających. Podmiot przetwarzający informuje Administratora o każdym zamierzonym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego z co najmniej 30-dniowym wyprzedzeniem; Administrator może wnieść sprzeciw z uzasadnionych przyczyn związanych z ochroną danych, a w przypadku braku porozumienia – wypowiedzieć Usługę w zakresie, którego zmiana dotyczy. Podmiot przetwarzający nakłada na każdy dalszy podmiot przetwarzający te same obowiązki w zakresie ochrony danych i ponosi za niego odpowiedzialność.

9. Naruszenia ochrony danych osobowych

Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych dotyczące danych Administratora bez zbędnej zwłoki, a w każdym przypadku w ciągu 48 godzin od jego stwierdzenia. Zgłoszenie zawiera, w zakresie, w jakim są one znane, opis charakteru naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz wpisów danych, prawdopodobne konsekwencje oraz zastosowane lub proponowane środki.

10. Audyty

Podmiot przetwarzający udostępnia dokumentację stosowanych środków i odpowiada na uzasadnione pisemne pytania Administratora. Administrator może, na własny koszt i z co najmniej 30-dniowym wyprzedzeniem, przeprowadzić audyt lub zlecić jego przeprowadzenie niezależnemu audytorowi zobowiązanemu do zachowania poufności, nie częściej niż raz w roku, chyba że naruszenie lub organ nadzorczy wymaga inaczej.

11. Zwrot i usunięcie danych

Po zakończeniu Umowy głównej Administrator może wyeksportować swoje nagrania i transkrypcje w ciągu 30 dni. Po upływie tego terminu Podmiot przetwarzający usuwa dane osobowe Administratora z chmury, w tym z kopii zapasowych w ramach ich standardowej rotacji, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje ich przechowywanie. Dane przechowywane lokalnie na bramkach stanowiących własność Administratora pozostają pod kontrolą Administratora; na żądanie Podmiot przetwarzający przekazuje instrukcję ich trwałego usunięcia.

12. Odpowiedzialność i prawo właściwe

Odpowiedzialność z tytułu niniejszej Umowy powierzenia regulują postanowienia Umowy głównej, bez ograniczania odpowiedzialności, której nie można ograniczyć na gruncie RODO. Niniejsza Umowa powierzenia podlega prawu polskiemu; sądem właściwym jest sąd we Wrocławiu.

13. Załącznik 1: środki techniczne i organizacyjne

• Szyfrowanie danych przesyłanych między bramką, chmurą i użytkownikami (TLS).
• Szyfrowanie danych przechowywanych w chmurze [potwierdzić] i w pamięci bramki [potwierdzić].
• Dostęp oparty na rolach, z podziałem na kanały i lokalizacje; rejestrowanie każdego odtworzenia i eksportu.
• Logiczne oddzielenie danych każdego klienta.
• Konfigurowalny okres przechowywania z automatycznym trwałym usuwaniem danych.
• Zdalne, uwierzytelnione aktualizacje oprogramowania bramek.
• Kopie zapasowe w UE i przetestowana procedura odtwarzania [potwierdzić].
• Dostęp personelu na zasadzie niezbędnej wiedzy (need-to-know), z obowiązkiem zachowania poufności.

14. Podpisy