Umowa o przetwarzaniu danych dla MSP

Niniejsza Umowa o przetwarzaniu danych („Umowa”) stanowi część Umowy z dostawcą usług zarządzanych („Umowa główna”) zawartej pomiędzy Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Szwajcaria, numer identyfikacyjny spółki CHE-354.686.492 (zwaną dalej „Podmiotem przetwarzającym”) a dostawcą MSP wskazanym w Umowie głównej (zwanym dalej „Firmą”, pod którym to pojęciem rozumie się dostawcę usług zarządzanych korzystającego z Usług w celu wdrażania, rozliczania i wspierania własnych Zarządzanych klientów, niezależnie od jego formy prawnej).

Niniejsza Umowa reguluje szczegółowe wymogi Przepisów o ochronie danych w zakresie, w jakim korzystanie z Usług przez Firmę, w tym udostępnianie Usług Zarządzanym klientom przez Firmę, wiąże się z Przetwarzaniem Danych osobowych podlegających Przepisom o ochronie danych.

Okres obowiązywania niniejszej Umowy rozpoczyna się wraz z okresem obowiązywania Umowy głównej. Terminy niezdefiniowane w niniejszym dokumencie mają znaczenie określone w Umowie głównej.

W ZWIĄZKU Z FAKTEM, ŻE

A) Firma działa jako Administrator danych lub w przypadku, gdy Zarządzany klient sam zleca Przetwarzanie swoich Danych osobowych, jako Podmiot przetwarzający dane w imieniu tego Zarządzanego klienta (w każdym z tych przypadków: „Administrator”).

B) Firma chce zlecić podwykonawstwo określonych Usług, które wiążą się z Przetwarzaniem Danych osobowych, spółce Proton AG działającej jako Podmiot przetwarzający dane („Podmiot przetwarzający”).

C) Strony dążą do wdrożenia umowy o przetwarzaniu danych, która spełnia wymogi obowiązujących ram prawnych w zakresie przetwarzania danych, w tym Rozporządzenia (UE) 2016/679 („RODO”) oraz szwajcarskiej federalnej ustawy o ochronie danych („FADP”), a także innych obowiązujących Przepisów o ochronie danych.

D) Strony pragną określić swoje odpowiednie prawa i obowiązki.

UZGODNIONO, CO NASTĘPUJE:

1. Definicje, role i zakres

1.1 Definicje. O ile w niniejszym dokumencie nie określono inaczej, terminy pisane wielką literą mają znaczenie nadane im w Umowie głównej lub, jeśli nie zostały tam zdefiniowane, następujące znaczenie:

• „Dane osobowe Firmy” oznaczają wszelkie Dane osobowe dotyczące Firmy, Zarządzanych klientów Firmy lub ich odpowiednich klientów bądź pracowników, Przetwarzane w związku z Umową główną.
• „Podwykonawca podmiotu przetwarzającego” oznacza Inny podmiot przetwarzający.
• „Przepisy o ochronie danych” oznaczają RODO, FADP oraz, w odpowiednim zakresie, przepisy o ochronie danych lub prywatności dowolnego innego kraju.
• „Przekazanie danych” oznacza (i) przekazanie Danych osobowych Firmy przez Firmę do Podmiotu przetwarzającego lub Podwykonawcy podmiotu przetwarzającego, lub (ii) dalsze przekazanie Danych osobowych Firmy przez Podmiot przetwarzający do Innego podmiotu przetwarzającego, lub pomiędzy dwiema jednostkami organizacyjnymi Innego podmiotu przetwarzającego.
• „Zarządzany klient” ma znaczenie nadane w Umowie głównej: podmiot będący użytkownikiem końcowym, któremu Firma udostępnia i dostarcza Usługi w ramach własnej oferty usług zarządzanych.
• „Inny podmiot przetwarzający” oznacza każdą osobę wyznaczoną przez Podmiot przetwarzający lub w jego imieniu do Przetwarzania Danych osobowych w związku z Umową.
• Terminy „Komisja”, „Administrator”, „Osoba, której dane dotyczą”, „Państwo członkowskie”, „Dane osobowe”, „Naruszenie ochrony danych osobowych”, „Przetwarzanie” oraz „Organ nadzorczy” mają takie samo znaczenie jak w RODO lub innych obowiązujących Przepisach o ochronie danych.

1.2 Role Stron. W relacji między Proton a Firmą, Firma jest Administratorem (lub w stosownych przypadkach Podmiotem przetwarzającym działającym na polecenie Zarządzanego klienta), a Proton jest Podmiotem przetwarzającym w odniesieniu do wszystkich Danych osobowych Firmy Przetwarzanych na podstawie Umowy głównej, w tym Danych osobowych należących do Zarządzanych klientów lub ich odpowiednich użytkowników końcowych bądź ich dotyczących. Niniejsza Umowa stanowi całość i wyłączne porozumienie w zakresie przetwarzania danych pomiędzy Proton a jakąkolwiek stroną w łańcuchu Zarządzanych klientów. Proton nie ma bezpośrednich relacji umownych, relacji Administrator–Podmiot przetwarzający ani Podmiot przetwarzający–Inny podmiot przetwarzający z żadnym Zarządzanym klientem, a żaden Zarządzany klient nie jest stroną ani beneficjentem będącym osobą trzecią niniejszej Umowy. Firma ponosi wyłączną odpowiedzialność za swoje umowy z Zarządzanymi klientami i zobowiązania wobec nich, w tym za wszelkie warunki ochrony danych, do których przestrzegania Firma jest zobowiązana na mocy obowiązującego prawa lub umowy.

1.3 Dalsza odpowiedzialność Firmy. Firma zawrze pisemną umowę z każdym Zarządzanym klientem, która nakłada na Firmę zobowiązania w zakresie ochrony danych zapewniające ochronę Danych osobowych tego Zarządzanego klienta w stopniu nie mniejszym niż zobowiązania Proton wobec Firmy wynikające z niniejszej Umowy, w zakresie odpowiadającym charakterowi Usług świadczonych przez Firmę na rzecz tego Zarządzanego klienta. Zobowiązania Proton wynikające z niniejszej Umowy przysługują wyłącznie Firmie; Firma pozostaje wyłącznie odpowiedzialna wobec swoich Zarządzanych klientów za Przetwarzanie ich Danych osobowych, w tym za wszelkie działania lub zaniechania Proton, w relacjach między Firmą a jej Zarządzanymi klientami.

2. Przetwarzanie Danych osobowych Firmy

Podmiot przetwarzający:

• przestrzegać wszystkich obowiązujących Przepisów o ochronie danych podczas Przetwarzania Danych osobowych Firmy; oraz
• nie Przetwarzać Danych osobowych Firmy w sposób inny niż na podstawie udokumentowanych poleceń Firmy, jak określono poniżej.

Firma poleca Podmiotowi przetwarzającemu Przetwarzanie Danych osobowych Firmy w celu:

• świadczenia Usług i powiązanego wsparcia technicznego na rzecz Firmy oraz, za pośrednictwem Firmy, na rzecz Zarządzanych klientów;
• wypełniania zobowiązań prawnych lub rozstrzygania sporów;
• realizacji wszelkich zadań wewnętrznych mających na celu optymalizację bezpieczeństwa, prywatności, poufności i funkcjonalności Usług; oraz
• prowadzenia sprawozdawczości wewnętrznej, sprawozdawczości finansowej i wykonywania innych podobnych zadań wewnętrznych.

3. Personel Podmiotu przetwarzającego

Podmiot przetwarzający podejmie uzasadnione kroki w celu zapewnienia rzetelności każdego pracownika, przedstawiciela lub kontrahenta dowolnego Podwykonawcy podmiotu przetwarzającego, który może mieć dostęp do Danych osobowych Firmy, zapewniając w każdym przypadku, że dostęp jest ściśle ograniczony do osób, które muszą znać odpowiednie Dane osobowe Firmy lub mieć do nich dostęp, o ile jest to ściśle niezbędne do celów Umowy głównej i/lub w celu przestrzegania Przepisów o ochronie danych, a także zapewniając, że wszystkie takie osoby są zobowiązane do zachowania poufności na mocy zobowiązań umownych, zawodowych lub ustawowych.

4. Bezpieczeństwo

Zgodnie z art. 32 ust. 1 RODO Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku, z uwzględnieniem stanu wiedzy technicznej, kosztów wdrażania oraz charakteru, zakresu, kontekstu i celów Przetwarzania. Środki te mają na celu ochronę praw i wolności osób fizycznych, z uwzględnieniem ryzyka o różnym prawdopodobieństwie wystąpienia i różnej wadze, w tym ryzyka Naruszenia ochrony danych osobowych. Firma wdraża odpowiednie środki techniczne i organizacyjne na potrzeby własnego Przetwarzania Danych osobowych Firmy, w tym administrowania kontami Zarządzanych klientów za pośrednictwem Licencji administratora MSP, oraz zapewnia, że dostęp do takich kont jest ograniczony do personelu Firmy, który go potrzebuje, chroniony przez odpowiednie mechanizmy uwierzytelniania i niezwłocznie odbierany, gdy nie jest już wymagany.

5. Podwykonawstwo przetwarzania danych

Z zastrzeżeniem niniejszej Umowy Firma udziela Podmiotowi przetwarzającemu ogólnego upoważnienia do angażowania Innych podmiotów przetwarzających oraz ujawniania lub przekazywania im Danych osobowych Firmy. Firma przyjmuje do wiadomości i zatwierdza listę Innych podmiotów przetwarzających określoną w Polityce prywatności Podmiotu przetwarzającego, rozumiejąc, że lista ta może być od czasu do czasu aktualizowana przez Podmiot przetwarzający, w którym to przypadku Firma zostanie poinformowana zgodnie z procedurą powiadamiania opisaną w Polityce prywatności. Firma ponadto upoważnia Podmiot przetwarzający do ujawniania i przekazywania Danych osobowych dowolnej spółce w ramach jego grupy kapitałowej. Podmiot przetwarzający zapewnia, że Inne podmioty przetwarzające są związane umową z Podmiotem przetwarzającym nie mniej restrykcyjną i zapewniającą nie mniejszą ochronę Danych osobowych Firmy niż niniejsza Umowa, w zakresie odpowiadającym charakterowi usług świadczonych przez danego Innego podmiotu przetwarzającego. W celu uniknięcia wątpliwości Firma nie jest Innym podmiotem przetwarzającym spółki Proton, a niniejszy Punkt nie ma zastosowania do angażowania przez Firmę jakiegokolwiek Zarządzanego klienta ani strony trzeciej.

6. Prawa osób, których dane dotyczą

Biorąc pod uwagę charakter Przetwarzania, Podmiot przetwarzający w uzasadnionym zakresie pomoże Firmie w wywiązywaniu się z obowiązków Firmy w zakresie odpowiadania na żądania dotyczące wykonywania praw Osoby, której dane dotyczą, wynikających z Przepisów o ochronie danych, w tym żądania, które Firma otrzymuje od Zarządzanego klienta lub w jego imieniu bądź od użytkowników końcowych tego Zarządzanego klienta.

Podmiot przetwarzający:

• niezwłocznie powiadomi Firmę, jeśli otrzyma żądanie od Osoby, której dane dotyczą, złożonego na mocy Przepisów o ochronie danych w odniesieniu do Danych osobowych Firmy; oraz

• zapewni, że nie odpowie na to żądanie, z wyjątkiem sytuacji, gdy następuje to na podstawie udokumentowanych poleceń Firmy lub zgodnie z wymogami obowiązującego prawa; w takim przypadku Podmiot przetwarzający, w zakresie dozwolonym przez prawo, poinformuje Firmę o takim wymogu prawnym przed udzieleniem odpowiedzi.

Firma ponosi wyłączną odpowiedzialność za odpowiadanie na wszelkie żądania Osoby, której dane dotyczą, odnoszące się do Danych osobowych Zarządzanego klienta, oraz za koordynację działań z tym Zarządzanym klientem w tym zakresie; Podmiot przetwarzający nie ma obowiązku bezpośredniego identyfikowania Zarządzanego klienta ani kontaktowania się z nim.

7. Naruszenie ochrony danych osobowych

Podmiot przetwarzający zarządza każdym Naruszeniem ochrony danych osobowych zgodnie z obowiązującymi Przepisami o ochronie danych oraz swoimi wewnętrznymi procedurami dotyczącymi Naruszeń ochrony danych osobowych. W przypadku wystąpienia Naruszenia ochrony danych osobowych mającego wpływ na Dane osobowe Firmy Podmiot przetwarzający powiadomi Firmę bez zbędnej zwłoki, przekazując wystarczające informacje, aby umożliwić Firmie wywiązanie się z jej własnych obowiązków wynikających z Przepisów o ochronie danych, w tym, w stosownych przypadkach, poinformowanie dotkniętych Zarządzanych klientów oraz Osób, których dane dotyczą. Podmiot przetwarzający będzie współpracować z Firmą i podejmie uzasadnione komercyjnie kroki zgodnie ze wskazówkami Firmy, aby pomóc w dochodzeniu, łagodzeniu skutków i usuwaniu każdego takiego Naruszenia ochrony danych osobowych. Każda ze Stron ponosi koszty dochodzenia, naprawienia szkód, łagodzenia skutków i inne powiązane koszty w zakresie, w jakim Naruszenie ochrony danych osobowych zostało spowodowane przez tę Stronę. Każda ze Stron ponosi koszty wszelkich grzywien, kar, odszkodowań lub innych powiązanych kwot nałożonych przez właściwy organ regulacyjny w zakresie wynikającym z naruszenia przez tę Stronę jej własnych zobowiązań wynikających z niniejszej Umowy. Firma ponosi wyłączną odpowiedzialność za zgłaszanie naruszeń swoim Zarządzanym klientom i ich Osobom, których dane dotyczą, a także za termin i treść tych powiadomień.

8. Ocena skutków dla ochrony danych i uprzednie konsultacje

Podmiot przetwarzający zapewni Firmie uzasadnioną pomoc przy ocenach skutków dla ochrony danych oraz uprzednich konsultacjach z organami nadzorczymi, które Firma zasadnie uzna za wymagane na mocy art. 35 lub 36 RODO lub równoważnych przepisów jakichkolwiek innych Przepisów o ochronie danych, w każdym przypadku wyłącznie w odniesieniu do Przetwarzania Danych osobowych Firmy przez Podwykonawców podmiotu przetwarzającego, z uwzględnieniem charakteru Przetwarzania i informacji dostępnych dla tych podmiotów.

9. Usunięcie lub zwrot Danych osobowych Firmy

Po zaprzestaniu świadczenia jakiejkolwiek Usługi obejmującej Przetwarzanie Danych osobowych Firmy Podmiot przetwarzający usunie wszystkie Dane osobowe Firmy w zakresie dozwolonym przez obowiązujące prawo oraz zgodnie z Regulaminem i Polityką prywatności Podmiotu przetwarzającego. Jeśli Firma wymaga kopii Danych osobowych Firmy, musi wystąpić z takim wnioskiem przed ich usunięciem; wnioski złożone po usunięciu danych nie będą mogły zostać uwzględnione. Po rozwiązaniu Umowy głównej Firma pozostaje wyłącznie odpowiedzialna za zarządzanie usunięciem, zwrotem lub przekazaniem Danych osobowych dowolnego Zarządzanego klienta w relacjach między Firmą a tym Zarządzanym klientem, zgodnie z Punktem 5.4 Umowy głównej (Pomoc w okresie przejściowym).

10. Prawa do audytu

Z zastrzeżeniem niniejszego Punktu 10 Podmiot przetwarzający udostępni Firmie na jej wniosek wszelkie informacje niezbędne do wykazania zgodności z niniejszą Umową oraz umożliwi przeprowadzanie audytów, w tym inspekcji, przez Firmę lub audytora upoważnionego przez Firmę i przyczyni się do nich w odniesieniu do Przetwarzania Danych osobowych Firmy przez Podwykonawców podmiotu przetwarzającego. Firma nie będzie wykonywać swoich praw do audytu wynikających z niniejszego Punktu częściej niż raz w roku kalendarzowym, z wyjątkiem sytuacji po wystąpieniu Naruszenia ochrony danych osobowych lub na polecenie organu regulacyjnego. Firma przekaże Podmiotowi przetwarzającemu pisemne zawiadomienie o zamiarze przeprowadzenia audytu z co najmniej sześćdziesięciodniowym (60-dniowym) wyprzedzeniem. Audyt zostanie przeprowadzony w godzinach pracy Podmiotu przetwarzającego, nie zakłóci działalności Podmiotu przetwarzającego i zapewni ochronę Danych osobowych Firmy, Podmiotu przetwarzającego oraz innych Osób, których dane dotyczą. Strony uzgodnią wcześniej ze sobą datę, zakres, czas trwania oraz środki kontroli bezpieczeństwa i poufności mające zastosowanie do audytu; Podmiot przetwarzający może wymagać podpisania umowy o zachowaniu poufności przed przystąpieniem do audytu. Prawa do informacji i audytu na mocy niniejszego Punktu przysługują wyłącznie w zakresie, w jakim niniejsza Umowa nie przyznaje w inny sposób Firmie praw do informacji i audytu spełniających odpowiednie wymogi Przepisów o ochronie danych. W przypadku gdy Zarządzany klient zażąda informacji o Przetwarzaniu przez Proton w ramach własnych obowiązków Firmy w zakresie należytej staranności wobec tego Zarządzanego klienta, Firma może powołać się na niniejszy Punkt, aby uzyskać niezbędne informacje od Podmiotu przetwarzającego i przekazać je dalej, jednak sam Zarządzany klient nie ma niezależnego prawa do audytu wobec Podmiotu przetwarzającego.

11. Przekazywanie danych

W miarę możliwości Podmiot przetwarzający będzie przekazywać lub zezwalać na przekazywanie Danych osobowych Firmy wyłącznie do Szwajcarii, państw UE i/lub państw objętych decyzją stwierdzającą odpowiedni stopień ochrony, zgodnie z art. 45 RODO i art. 16 szwajcarskiej ustawy FADP. Jeżeli Dane osobowe Firmy Przetwarzane na podstawie niniejszej Umowy są przekazywane ze Szwajcarii, UE lub kraju objętego decyzją stwierdzającą odpowiedni stopień ochrony do kraju spoza tego zakresu, Strony zapewnią odpowiednią ochronę Danych osobowych, opierając się – o ile nie uzgodniono inaczej – na zatwierdzonych przez Szwajcarię, UE i/lub Wielką Brytanię i aktualnych w danym momencie standardowych klauzulach umownych lub innych mechanizmach przekazywania przewidzianych w Przepisach o ochronie danych. Podmiot przetwarzający jest upoważniony do dokonywania takich przekazań do Innych podmiotów przetwarzających pod warunkiem wdrożenia odpowiednich zabezpieczeń z uwzględnieniem charakteru przekazania.

12. Warunki ogólne

12.1 Zgodność z obowiązującymi przepisami prawa. Podmiot przetwarzający będzie Przetwarzać Dane osobowe Firmy zgodnie z niniejszą Umową oraz Przepisami o ochronie danych mającymi zastosowanie do jego roli na mocy niniejszej Umowy. Podmiot przetwarzający nie odpowiada za przestrzeganie Przepisów o ochronie danych mających zastosowanie wyłącznie do Firmy lub jakiegokolwiek Zarządzanego klienta ze względu na ich rodzaj działalności bądź branżę.

12.2 Poufność. Każda ze Stron zachowa w poufności wszelkie informacje otrzymane na temat drugiej Strony w związku z niniejszą Umową i nie będzie ich wykorzystywać ani ujawniać bez uprzedniej pisemnej zgody drugiej Strony, z wyjątkiem sytuacji, gdy (a) ujawnienie jest wymagane przez prawo lub (b) informacje znajdują się już w domenie publicznej bez winy Stron.

12.3 Zawiadomienia. Zawiadomienia na mocy niniejszej Umowy będą przekazywane zgodnie z postanowieniami dotyczącymi zawiadomień zawartymi w Umowie głównej. Zawiadomienia do Podmiotu przetwarzającego dotyczące kwestii ochrony danych należy dodatkowo przesyłać w kopii na adres legal@proton.ch

12.4 Odpowiedzialność. Odpowiedzialność każdej ze Stron wynikająca z niniejszej Umowy lub z nią związana podlega postanowieniom dotyczącym ograniczenia odpowiedzialności zawartym w Umowie głównej i jest ograniczona zgodnie z nimi, w tym wszelkim określonym w nich limitom dotyczącym naruszeń zobowiązań w zakresie poufności i ochrony danych. Żadne z postanowień niniejszej Umowy nie ogranicza odpowiedzialności którejkolwiek ze Stron za grzywny lub kary nałożone bezpośrednio na nią przez właściwy organ nadzorczy, wynikające z naruszenia przez tę Stronę obowiązujących Przepisów o ochronie danych. Firma przyjmuje do wiadomości, że jako jedyna strona występująca w roli Administratora wobec swoich Zarządzanych klientów ponosi wyłączną odpowiedzialność za wszelkie zobowiązania zaciągnięte wobec Zarządzanego klienta, które przekraczają kwotę, jaką Firma jest w stanie odzyskać od Podmiotu przetwarzającego w ramach limitu odpowiedzialności określonego w Umowie głównej.

12.5 Prawo właściwe i jurysdykcja. Niniejsza Umowa podlega prawu szwajcarskiemu, bez względu na przepisy dotyczące wyboru prawa lub normy kolizyjne jakiejkolwiek innej jurysdykcji, a spory wynikające z niniejszej Umowy lub w związku z nią podlegają wyłącznej jurysdykcji sądów w Genewie w Szwajcarii.

12.6 Pierwszeństwo stosowania. W przypadku rozbieżności pomiędzy niniejszą Umową a Umową główną w zakresie Przetwarzania Danych osobowych pierwszeństwo ma niniejsza Umowa, zgodnie z Punktem 10.1 Umowy głównej. W przypadku rozbieżności między angielską wersją niniejszej Umowy a jakąkolwiek wersją przetłumaczoną, wersja angielska jest wiążąca.