UMOWA O POWIERZENIE PRZETWARZANIA DANYCH

1.    Odpowiedzialność i instrukcje

1.1 Rodzaj danych oraz kategorie podmiotów, których dane dotyczą, przetwarzanych na podstawie niniejszej Umowy przetwarzania danych, w związku ze świadczeniem usług Whistlelink oraz cel, charakter, czas trwania i przedmiot przetwarzania zostały opisane w punkcie 5. Klient zapewnia, że Przetwarzający nie przetwarza dodatkowych kategorii danych, innych niż określone w punkcie 5.

1.2 Klient jest świadomy, że Whistlelink jest platformą dystrybuowaną do dużej liczby klientów i dlatego niekoniecznie będziemy w stanie postępować zgodnie z takimi instrukcjami, które nie są bezpośrednią konsekwencją konieczności przestrzegania przez Klienta Zasad Ochrony Danych. Jeśli Klient przekaże nam takie instrukcje, których nie mamy możliwości wykonać, Klient zobowiązuje się do zaprzestania wprowadzania i eksportowania wszystkich takich Danych Klienta, których dotyczą aktualne instrukcje. Powyższe nie stanowi naruszenia umowy ani dostępności Whistlelink.

1.3 Klient jest administratorem wszystkich danych osobowych przetwarzanych przez Podmiot Przetwarzający w imieniu Klienta na podstawie Umowy z Podmiotem Przetwarzającym. Klient jest zatem odpowiedzialny za przestrzeganie obowiązujących Przepisów o Ochronie Danych i zobowiązuje się do przestrzegania wytycznych dotyczących korzystania z Whistlelink, które mają każdorazowo zastosowanie, oraz ustawodawstwa mającego zastosowanie do postępowania z sygnalistami („whistle-blowers”).

1.4 Zawierając niniejszą Umowę, Klient wyraża zgodę na środki bezpieczeństwa określone w aktualnych środkach organizacyjnych i technicznych Whistlelink [link] jako adekwatne do zamierzonego korzystania przez Klienta z Whistlelink.

2.    Zobowiązanie Przetwarzającego

2.1 Przetwarzający zobowiązuje się do:

1. posiadania odpowiednich zabezpieczeń technicznych i organizacyjnych oraz stosowania środków bezpieczeństwa określonych w aktualnych środkach organizacyjnych i technicznych Whistlelink Whistlelink’s current organisational and technical measures oraz w art. 32 GDPR do ochrony danych przetwarzanych w ramach niniejszej Umowy, łącznie z odpowiednim obowiązkiem zachowania poufności, który obejmuje osoby z uprawnieniami do przetwarzania tych danych ze strony Przetwarzającego;
2. pomocy Klientowi w spełnieniu wymogów bezpieczeństwa określonych w art. 32-36 GDPR (m.in. środki techniczne i organizacyjne, powiadomienie i poinformowanie Klienta bez zbędnej zwłoki w przypadku naruszenia tajemnicy danych osobowych, ocena skutków i uprzednia konsultacja), oraz spełnieniu obowiązków Klienta dotyczących praw indywidualnych zawartych w rozdziale III GDPR (takich jak prawo do informacji, dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec zautomatyzowanego podejmowania decyzji);
3. nadania Klientowi prawa do otrzymywania informacji od Przetwarzającego w celu sprawdzenia i weryfikacji środków podjętych przez Przetwarzającego zgodnie z niniejszą umową. Podmiot przetwarzający ułatwia i wspomaga dochodzenia (w tym inspekcje) prowadzone przez Klienta lub audytora, który przeprowadza takie dochodzenia w imieniu Klienta. Przetwarzający będzie ponadto kierował do Klienta, którego dane osobowe są przetwarzane, organy nadzorcze lub inne strony trzecie, która zażądają od Przetwarzającego informacji dotyczących przetwarzania danych osobowych. Przetwarzający niezwłocznie poinformuje Klienta o wszelkich kontaktach ze strony organów nadzorczych, które dotyczą lub mogą mieć znaczenie dla przetwarzania danych osobowych,
4. w zależności od wyboru Klienta: usunięcia, zanonimizowania lub zwrócenia Klientowi wszelkich danych osobowych po rozwiązaniu Umowy, niezależnie od przyczyny, w tym usunięcia wszelkich kopii, których zgodnie z ustawą o ochronie danych nie wolno zapisywać,
5. zapewnienia Klientowi w inny sposób dostępu do takich informacji, jakie są niezbędne, aby Klient mógł wypełniać swoje obowiązki administratora wobec organu nadzorczego i/lub osób fizycznych,
6. nieprzekazywania danych do państw trzecich lub organizacji międzynarodowych, chyba że wymaga tego Ustawa o ochronie danych, przy czym Przetwarzający niezwłocznie informuje o tym Klienta, chyba że przekazanie takich informacji jest zabronione.

2.2 Przetwarzający zobowiązuje się ponadto, by zawsze przetwarzać dane zgodnie z Zasadami Ochrony Danych. Obejmuje to między innymi – ale nie ogranicza się do – prowadzenie rejestru wszystkich kategorii wykonywanych procesów, dostarczanie wyciągu z rejestru zakończonego przetwarzania na żądanie Klienta oraz niezwłoczne informowanie Klienta, jeśli Podmiot przetwarzający podejrzewa, że istnieje ryzyko, że wolność osoby fizycznej i jej prawa są łamane.

3.    Podwykonawcy przetwarzania i przekazywanie do innych państw

3.1 Pod warunkiem, że Przetwarzający (i) poinformuje Administratora o swoich planach z rozsądnym wyprzedzeniem, z prawem do sprzeciwu Administratora, Przetwarzający ma prawo do ogólnego upoważnienia do zatrudniania podprzetwarzających do przetwarzania danych w imieniu Klienta, za które Przetwarzający ponosi pełną odpowiedzialność wobec Klienta.

3.2 Pod warunkiem, że Przetwarzający (i) poinformuje Administratora o swoich planach z co najmniej 30-dniowym wyprzedzeniem, z prawem do sprzeciwu Administratora oraz (ii) zastosuje odpowiednie i zgodne z zatwierdzonymi Zasadami Ochrony Danych mechanizmy bezpieczeństwa, Przetwarzający ma prawo do przenoszenia Danych Osobowych poza UE/EOG.

3.3 Zawierając niniejszą Umowę, Klient zatwierdza podprzetwarzających i przenosi poza UE/EOG, jak określono w punkcie 5 . W momencie zawarcia niniejszej Umowy Przetwarzający nie przekazuje Danych Osobowych do żadnego państwa trzeciego.

4.    Inne

4.1 Postanowienia Umowy mają również zastosowanie do niniejszej Umowy z Podmiotem Przetwarzającym. W przypadku konfliktu między Umową, a niniejszą Umową z Podmiotem Przetwarzającym, pierwszeństwo ma Umowa z Podmiotem Przetwarzającym.

5.    Instrukcja

5.1 Niniejszy punkt 5 stanowi wstępne instrukcje Klienta dla Podmiotu Przetwarzającego i może, z zastrzeżeniem punktu 1.2, zostać uzupełniony w późniejszym terminie.

5.2 Kategorie osób, których dane dotyczą. Każdy, kto ma dostęp do Whistlelink i ci, którzy są wymienieni w zgłoszeniu w Whistlelink.

5.3. Cel, natura i przedmiot przetwarzania oraz Kategorie danych osobowych. Biorąc pod uwagę główną funkcję Podmiotu Przetwarzającego i cel dostarczania usługi Whistlelink, a tym samym ustanawiając Przetwarzającego odpowiedzialnym za przechowywanie Danych Klienta mogących zawierać dane osobowe, kategorie danych osobowych obejmują wszystkie kategorie danych, które mogą wystąpić w kontekście sygnalizowania nieprawidłowości, w tym dane poufne i domniemane naruszenia prawa.

5.4 Przechowywanie danych. Podmiot przetwarzający przechowuje dane dotyczące wszystkich raportów ze zgłoszeniami nieprawidłowości przez okres ustawiony przez administratora klienta w systemie.

5.5 Podwykonawcy przetwarzania. Po zawarciu niniejszej Umowy Podmiot Przetwarzający ma następujących podwykonawców przetwarzania, co jednak może zostać zmienione zgodnie z punktem 3: 

• Podmioty przetwarzające dane: Swerolab AB (Szwecja), Interactive Security (Szwecja), SMSAPI (Polska), Brevo (Francja), OPSWAT (Niemcy), Glesys (Szwecja), T-Systems International (Niemcy), Friendly Captcha (Niemcy), DeepL (Niemcy), Mistral AI (Francja).

5.6 Transfery do krajów trzecich. Od momentu zawarcia niniejszej Umowy, Przetwarzający nie ma transferów poza UE/EOG, które mogą jednak zostać zmienione zgodnie z sekcją 3: 

• Transfery poza UE/EOG: brak.