Umowa powierzenia przetwarzania danych osobowych

załącznik do umowy o świadczenie usług BHP

zawarta [DATA] w [MIEJSCOWOŚĆ] pomiędzy:

Umowa zawierana jest na podstawie art. 28 ust. 3 RODO w związku z umową o świadczenie usług BHP z dnia [DATA UMOWY GŁÓWNEJ] („Umowa Główna") oraz art. 237¹¹ § 2 Kodeksu pracy.

§1. Przedmiot, charakter, cel i czas

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych swoich pracowników i współpracowników w zakresie niezbędnym do wykonywania Umowy Głównej.
2. Cel: wykonywanie zadań służby bezpieczeństwa i higieny pracy na rzecz Administratora, w tym prowadzenie ewidencji terminów szkoleń okresowych BHP i informowanie Administratora o terminach zbliżających się i przekroczonych.
3. Charakter: przetwarzanie zautomatyzowane i tradycyjne, obejmujące zbieranie, przechowywanie, aktualizowanie i usuwanie danych.
4. Czas: na czas obowiązywania Umowy Głównej.

§2. Rodzaj danych i kategorie osób

1. Rodzaj danych: imię, nazwisko, nazwa stanowiska pracy, grupa stanowisk w rozumieniu § 14 ust. 2 rozporządzenia Ministra Gospodarki i Pracy z dnia 27 lipca 2004 r. w sprawie szkolenia w dziedzinie bezpieczeństwa i higieny pracy (Dz.U. z 2024 r. poz. 1327 ze zm.), data przeprowadzenia szkolenia okresowego, termin ważności szkolenia, opcjonalnie data zatrudnienia oraz notatka organizacyjna.
   Dane dodatkowe: [uzupełnić albo skreślić]
2. Powierzenie nie obejmuje danych szczególnych kategorii (art. 9 RODO), w szczególności danych o stanie zdrowia, terminów i wyników badań profilaktycznych oraz informacji o niezdolności do pracy. Jeżeli wykonanie Umowy Głównej wymaga przetwarzania takich danych, Strony uregulują to odrębnym aneksem.
3. Kategorie osób: pracownicy i współpracownicy Administratora[oraz: uzupełnić albo skreślić]

§3. Obowiązki Podmiotu przetwarzającego

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym jest niniejsza Umowa i Umowa Główna;
2. zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności;
3. stosuje środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), w tym kontrolę dostępu i szyfrowanie transmisji;
4. korzysta z dalszych podmiotów przetwarzających wyłącznie na zasadach z §4;
5. w miarę możliwości pomaga Administratorowi w realizacji żądań osób, których dane dotyczą (rozdział III RODO);
6. pomaga Administratorowi w wykonaniu obowiązków z art. 32–36 RODO;
7. zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia;
8. po zakończeniu Umowy Głównej usuwa dane albo zwraca je Administratorowi — według wyboru Administratora wskazanego na piśmie w terminie 30 dni od zakończenia Umowy Głównej; w braku wskazania dane zostają usunięte;
9. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyt, po uzgodnieniu terminu z wyprzedzeniem co najmniej 14 dni, nie częściej niż raz w roku kalendarzowym — z wyłączeniem przypadku naruszenia ochrony danych lub żądania organu nadzorczego.

§4. Dalsze powierzenie (art. 28 ust. 2 i 4 RODO)

1. Administrator udziela Podmiotowi przetwarzającemu ogólnej pisemnej zgody na korzystanie z dalszych podmiotów przetwarzających.
2. Na dzień zawarcia Umowy dalszym podmiotem przetwarzającym jest:

   BHPAlfa Wiktor Frątczak, ul. Bułgarska 126 A/9, 60-382 Poznań, NIP 7792608228 — dostawca serwisu internetowego BHPAlfa, w którym prowadzona jest ewidencja terminów szkoleń. Dane przechowywane są na serwerach w Unii Europejskiej (Frankfurt nad Menem, Niemcy). Przypomnienia o terminach wysyłane są pocztą elektroniczną i zawierają wyłącznie nazwę firmy, liczbę terminów i rodzaje szkoleń — bez imion, nazwisk i stanowisk. Aktualny wykaz dalszych podmiotów oraz umowa powierzenia: bhpalfa.pl/dpa.html

   Inne podmioty: [uzupełnić albo skreślić]
3. O zamierzonej zmianie dalszych podmiotów przetwarzających Podmiot przetwarzający informuje Administratora z wyprzedzeniem co najmniej 14 dni. Administrator może w tym terminie wnieść sprzeciw; sprzeciw uprawnia każdą ze Stron do wypowiedzenia Umowy Głównej.
4. Podmiot przetwarzający nakłada na dalsze podmioty obowiązki ochrony danych nie mniejsze niż wynikające z niniejszej Umowy i odpowiada wobec Administratora za ich działania i zaniechania jak za własne (art. 28 ust. 4 zdanie drugie RODO).

§5. Postanowienia końcowe

1. Umowa wchodzi w życie z dniem zawarcia i obowiązuje przez czas obowiązywania Umowy Głównej.
2. Zmiany wymagają formy pisemnej lub elektronicznej pod rygorem nieważności (art. 28 ust. 9 RODO).
3. W sprawach nieuregulowanych stosuje się RODO, ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeks cywilny.
4. Umowę sporządzono w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej ze Stron.