UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH
Logotecmed Prosta Spółka Akcyjna
zwaną w treści Umowy „Usługodawcą”.
a
Klientem
zwanymi w dalszej części umowy łącznie Stronami, została zawarta Umowa powierzenia przetwarzania danych osobowych, zwana dalej „Umową PPDO”.
Pojęciom pisanym w niniejszej Umowie PPDO wielką literą, które nie zostały w niej zdefiniowane, Strony nadają znaczenie przyjęte w Regulaminie.
§ 1
- Klient oświadcza, że jest administratorem danych lub uprawnionym do podpowierzenia podmiotem przetwarzającym w rozumieniu Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, (dalej „RODO”) w odniesieniu do danych Użytkowników, pacjentów, a także innych danych wprowadzanych przez Klienta do MONI, dalej zwane jako „Dane Osobowe”.
- Dla celów związanych z realizacją Umowy Klient powierza Usługodawcy do przetwarzania Dane Osobowe na warunkach określonych w niniejszej Umowie PPDO, w zakresie określonym w ust. 5 niniejszego paragrafu.
- Usługodawca zobowiązuje się do przetwarzania Danych Osobowych, zgodnie z obowiązującymi aktami prawnymi tj. RODO oraz Ustawą o ochronie danych osobowych z dnia 10 maja 2018 r., zwane dalej „Akty Prawne”.
- Powierzone przez Klienta Dane Osobowe mogą być przetwarzane przez Usługodawcę wyłącznie w celu realizacji zawartej pomiędzy Stronami Umowy, w okresie obowiązywania Umowy oraz niniejszej Umowy PPDO, w zakresie niezbędnym do świadczenia Usług oraz zwrotu Danych.
- Na mocy niniejszej Umowy PPDO Klient powierza Usługodawcy Dane Osobowe w następującym zakresie:
- Kategoria Danych Osobowych: Użytkownicy obsługujący MONI posiadający Konto Klienta lub Konto Użytkownika. Zakres Danych Osobowych: imię i nazwisko, adres e-mail, nr telefonu, nr PESEL, inne dane związane z usługami dodatkowymi wybranymi przez Klienta lub Użytkownika niezbędne do świadczenia tych usług oraz po uzupełnieniu danych nr PWZ (jeśli dotyczy), nr NIP oraz, w przypadku gdy Użytkownik poda te dane – adres korespondencyjny.
- Kategoria Danych Osobowych: Dane pacjentów leczonych lub obsługiwanych przez Klienta oraz Użytkowników. Zakres Danych Osobowych: imię i nazwisko, nr PESEL, nr telefonu, adres zamieszkania, adres zameldowania, typ dokumentu tożsamości, seria i numer dokumentu tożsamości, płeć, data urodzenia, adres e-mail, dane opiekuna prawnego, dane medyczne w tym: informacje przekazane przez pacjenta (uwagi, opisy dolegliwości), stan zdrowia pacjenta (badania, testy, uwagi, zalecenia, rysunki), inne dokumenty medyczne przekazywane przez pacjenta (skany zdjęć, skierowania etc.), opis przebiegu leczenia (terminy i opisy wizyt, konsultacji, porad), dane osób upoważnionych przez pacjenta do wglądu do dokumentacji medycznej, otrzymywania informacji o stanie zdrowia, odbioru recept i zleceń.
- Klient oświadcza, że:
- w rozumieniu Aktów Prawnych w odniesieniu do Danych Osobowych jest administratorem lub uprawnionym do dalszego powierzenia podmiotem przetwarzającym;
- Dane Osobowe zostały zebrane przez niego zgodnie z prawem – w tym: uzyskał od podmiotów danych wszelkie niezbędne zgody na przetwarzanie ich danych w sytuacjach, w których było to wymagane dla zapewnienia legalności ich przetwarzania;
§ 2
- Usługodawca zobowiązuje się przetwarzać dane osobowe zgodnie z udokumentowanymi poleceniami Klienta. Poprzez zawarcie niniejszej Umowy PPDO Klient poleca przetwarzanie danych osobowych Usługodawcy, a także każdej osobie działającej z upoważnienia Usługodawcy mającej dostęp do tych danych. Niniejsze postanowienie Strony zgodnie uznają za udokumentowane polecenie administratora danych, w rozumieniu art. 28 ust. 3 lit. a, w związku z art. 29 RODO.
- Przetwarzanie Danych Osobowych, będzie wykonywane przy użyciu komputerów osobistych, w miejscu instalacji systemu informatycznego Klienta lub w trybie zdalnego dostępu (poprzez sieć Internet) z siedziby Usługodawcy lub innego miejsca wybranego przez Usługodawcę.
- Do przetwarzania powierzonych Danych Osobowych mogą być dopuszczone jedynie osoby świadczące pracę na rzecz Usługodawcy na podstawie stosunku pracy lub stosunku cywilnoprawnego, posiadające imienne upoważnienie do przetwarzania powierzonych Danych Osobowych. Klient upoważnia Usługodawcę do wydawania tym osobom imiennych upoważnień do przetwarzania danych osobowych. Usługodawca prowadzi rejestr osób upoważnionych do przetwarzania powierzonych danych osobowych.
- Usługodawca zobowiązany jest do niezwłocznego przekazania Klientowi, na podstawie jego pisemnego żądania, listy upoważnionych osób, o których mowa ust. 3 powyżej.
- Usługodawca jest zobowiązany do zachowania poufności wszystkich Danych Osobowych powierzonych mu w trakcie obowiązywania niniejszej Umowy PPDO oraz do podjęcia wszelkich kroków służących zachowaniu w tajemnicy Danych Osobowych przez osoby świadczące pracę na rzecz Usługodawcy na podstawie stosunku pracy lub stosunku cywilnoprawnego mające do nich dostęp, zarówno w trakcie trwania stosunku pracy lub stosunku cywilnoprawnego, jak i po jego ustaniu.
- Usługodawca jest zobowiązany do niezwłocznego poinformowania Klienta o wszelkich przypadkach naruszenia bezpieczeństwa powierzonych do przetwarzania Danych Osobowych lub o ich niewłaściwym użyciu.
- Usługodawca niezwłocznie poinformuje Klienta o wszelkich czynnościach z własnym udziałem w sprawach dotyczących ochrony powierzonych do przetwarzania danych osobowych, prowadzonych przez organy administracji państwowej, których uprawnienia i zakres czynności wynikają z Aktów Prawnych.
- Usługodawca zobowiązuje się udostępniać Klientowi informacje niezbędne do wykazania spełnienia obowiązków przez Usługodawcę jako podmiotu przetwarzającego dane osobowe, wynikających z Aktów Prawnych oraz umożliwić Klienta lub audytorowi upoważnionemu przez Klienta do przeprowadzenia audytów. Usługodawca niezwłocznie poinformuje Klienta, jeżeli jego zdaniem wydane mu polecenie przez upoważnionych audytorów stanowi naruszenie Aktów Prawnych.
§ 3
- Uwzględniając charakter wykonywanych czynności przetwarzania danych osobowych oraz dostępne informacje w związku ze świadczeniem Umowy, Usługodawca zapewni Klientowi pomoc w wywiązaniu się z następujących obowiązków:
- zapewnienia odpowiednich środków technicznych i organizacyjnych przetwarzania danych osobowych poprzez zastosowanie środków technicznych i organizacyjnych określonych w § 5 Umowy PPDO;
- udzielanie Klientowi niezbędnych informacji odnośnie przetwarzania danych osobowych potrzebnych do przeprowadzenia przez Klienta oceny skutków dla ochrony danych;
- poprzez odpowiednie środki techniczne i organizacyjne, w wywiązywaniu się z obowiązku odpowiadania na żądanie osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w art. 15-22 RODO. W przypadku zgłoszenia przez osobę, której dane osobowe dotyczą, żądania bezpośrednio do Usługodawcy, Usługodawca poinformuje Klienta niezwłocznie o zgłoszonym żądaniu i ustali z nim sposób postępowania w stosunku do zgłoszonego żądania;
- zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu oraz z obowiązku zawiadomienia osób, których dane osobowe dotyczą, o naruszeniu ochrony danych osobowych zgodnie z art. 33-34 RODO;
- stosowania się do ewentualnych wskazówek lub zaleceń, wydanych przez organ nadzoru lub unijny organ doradczy zajmujący się ochroną danych osobowych, po uprzednim poinformowaniu Klienta, dotyczących przetwarzania danych osobowych, w szczególności w zakresie stosowania RODO.
- Usługodawca nie jest zobowiązany do wykonania polecenia Klienta dotyczącego stosowanych środków zabezpieczenia danych osobowych, w sytuacji, gdyby ich zastosowanie mogło spowodować zagrożenie bezpieczeństwa danych osobowych.
- Usługodawca będzie niezwłocznie informować Klienta, jeżeli zdaniem Usługodawcy wydane mu polecenie w zakresie przetwarzania danych osobowych stanowi naruszenie RODO lub innych obowiązujący przepisów o ochronie danych.
§ 4.
- Klient zawierając Umowę oraz Umowę PPDO przyjmuje do wiadomości i akceptuje, że Usługodawca, w celu świadczenia Usług korzysta z usług:
- platformy chmurowej w modelu Platform as a Service;
- informatycznych w zakresie utrzymania i serwisu Oprogramowania;
- bramki SMS (SMSApi).
- Poprzez zawarcie niniejszej Umowy Klient udziela Usługodawcy pisemnej zgody na podpowierzenie przetwarzania danych osobowych w zakresie usług wskazanych w ust. 1 powyżej.
- Podmioty którym Usługodawca podpowierzy przetwarzanie Danych Osobowych przetwarzać będą Dane Osobowe wyłącznie w celu i w zakresie niezbędnym do realizacji Usług, tj.
- platformy chmurowej w modelu Platform as a Service – w celu ich utrwalania, przechowywania oraz udostępniania poprzez Oprogramowanie;
- informatycznych w zakresie utrzymania i serwisu Oprogramowania – w celu utrzymania sprawnego działania Oprogramowania i Usługi;
- bramki SMS (SMSApi) – w celu realizacji funkcjonalności powiadomień.
- Na dzień zawarcia niniejszej Umowy PPDO, Usługodawca korzysta z usług:
- platformy chmurowej w modelu Platform as a Service, usługi świadczone przez firmę: Microsoft AZURE, Europa Zachodnia (Holandia);
- informatycznych w zakresie utrzymania i serwisu Oprogramowania, usługi świadczone przez firmę: LOGOTEC Jerzy Dryndos, NIP: 2220011308, REGON 008062259, 41-400 Mysłowice, ul. Świętojańska 2a;
- bramki SMS (SMSApi) – bramka dedykowana dla Usługodawcy
- księgowych oraz płacowych świadczonych przez firmę: B-Biuro Rachunkowe sp. z o.o., NIP: 6462928515, REGON 243036892, 43-100 Tychy, ul. Uczniowska 7.
- Klient upoważnia Usługodawcę do zmiany podmiotów świadczących usługi wskazane w ust. 4 bez potrzeby zmiany niniejszej Umowy PPDO. Usługodawca oświadcza, że w przypadku zmiany podmiotu świadczącego usługi, w miarę możliwości powiadomi Klienta o tym fakcie z wyprzedzeniem co najmniej 7 dniowym. Klient ma prawo wyrazić sprzeciw co do zmiany podprocesora, jednakże musi liczyć się z tym, że może to spowodować rozwiązanie Umowy w trybie natychmiastowym na skutek niemożności świadczenia Usług.
- W sytuacji, gdyby, w związku ze świadczeniem Umowy, zaszła konieczność podpowierzenia danych osobowych na rzecz innych podmiotów, Usługodawca poinformuje Klienta o zamiarze podpowierzenia przetwarzania Danych Osobowych, ze wskazaniem celu i zakresu podpowierzenia przetwarzania Danych Osobowych oraz z oznaczeniem podprocesora, dając tym samym Klientowi możliwość wyrażenia sprzeciwu. Niezgłoszenie sprzeciwu przez Klienta w terminie 7 dni od daty otrzymania powiadomienia, o którym mowa powyżej, traktuje się jako udzielenie zgody.
- Usługodawca informuje, iż na dzień zwarcia niniejszej Umowy PPDO w ramach korzystania przez niego z usług wskazanych wyżej podprocesorów, Dane Osobowe nie będą przekazywane do państwa trzeciego (podmioty spoza UE i EOG).
§ 5.
- Uwzględniając stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania Danych Osobowych oraz ryzyko naruszenia praw osób, których dane dotyczą, Usługodawca zapewni środki techniczne i organizacyjne adekwatne do rodzaju Danych Osobowych oraz ryzyka naruszenia praw osób, których Dane Osobowe dotyczą.
- Usługodawca dokonywać będzie okresowych przeglądów stosowanych środków zabezpieczeń technicznych i organizacyjnych, w celu utrzymania odpowiedniego poziomu bezpieczeństwa Danych Osobowych.
- Na żądanie Klienta, Usługodawca w terminie najpóźniej 30 dni od dnia odebrania żądania, przekaże Klientowi opis aktualnie stosowanych środków bezpieczeństwa. Żądanie takie Klient może skierować do Usługodawcy maksymalnie jeden raz w każdym kolejnym roku kalendarzowym. W przypadku kolejnych żądań w danym roku kalendarzowym, Usługodawca może uzależnić przekazanie aktualizacji opisów aktualnie stosowanych środków bezpieczeństwa od zapłaty przez Klienta opłaty administracyjnej, w wysokości ustalonej przez Usługodawcę.
§ 6
Usługodawca jest wyłączony z odpowiedzialności za prawidłowe zabezpieczenie danych osobowych na zasadach opisanych w Umowie PPDO w tej części użytkowania systemu informatycznego, za którą ponosi odpowiedzialność Klient, w tym szczególnie:
- zabezpieczenie infrastruktury sieciowej;
- polityki haseł;
- zasad przetwarzania danych osobowych;
- ujawnienie danych dostępowych do aplikacji;
- dopuszczenie do przetwarzania osób bez upoważnienia;
- niezaktualizowania oprogramowania, zarówno systemu operacyjnego jak i MONI do najnowszej dostępnej wersji oraz niespełniania wymagań technicznych dla prawidłowej pracy MONI.
§ 7
- Mając na względzie treść art. 28 ust. 3 pkt g) RODO, po zakończeniu świadczenia usług związanych z przetwarzaniem tj. po rozwiązaniu lub wygaśnięciu Umowy, Usługodawca w zależności od decyzji Klienta usunie lub zwróci mu wszelkie Dane Osobowe oraz pozostałe zgromadzone w Oprogramowaniu dane (dane nieosobowe), dalej zwane łącznie jako „Dane”. Zwrot Danych będzie możliwy zgodnie z następującą procedurą:
- zwrot Danych nastąpi na wniosek Klienta złożony Usługodawcy w ciągu 90 dni od dnia rozwiązania lub wygaśnięcia Umowy – bezskuteczny upływ tego terminu zostanie uznany za decyzję Klienta o trwałym usunięciu Danych przez Usługodawcę;
- w przypadku, gdy Klient złoży wniosek, o którym mowa w pkt a. powyżej, Usługodawca przygotuje Dane w formacie ustrukturyzowanych plików, zgodnych z logiką Oprogramowania. Usługodawca poinformuje Klienta o przygotowaniu danych do zwrotu – Dane zostaną przygotowane do zwrotu w zakresie i na warunkach złożonej przez Klienta dyspozycji oraz po zapłacie przez Klienta kosztów wydania danych, które wskazane są Cenniku;
- Dane wskazane w pkt b. powyżej będą udostępnione na nośniku udostępnionym przez Klienta lub poprzez możliwość pobrania przez Klienta za pośrednictwem łączy informatycznych z przestrzeni dyskowej Usługodawcy, po wcześniejsze dodatkowej autoryzacji, przez okres 14 dni od daty zawiadomienia o ich przygotowaniu. Po upływie tego czasu Dane zostaną trwale usunięte przez Usługodawcę.
- Zwrot Danych w innym formacie, innej strukturze lub w ramach innej procedury niż opisana w ust. 1 powyżej, stanowić będzie prace dodatkowe, których realizacja może być uzależniona od dodatkowego wynagrodzenia należnego Usługodawcy.
§ 8
- Niniejsza Umowa PPDO wchodzi w życie z dniem podpisania Umowy.
- Niniejsza Umowa PPDO została zawarta na czas realizacji przez Usługodawcę Umowy, przedłużony o okres przechowywania Danych w celu umożliwienia ich zwrotu, na zasadach opisanych w § 7 Umowy PPDO.
- W kwestiach nie uregulowanych niniejszą Umową PPDO mają zastosowanie postanowienia Umowy.
……………………………………………………… …………………………………………………………
Usługodawca Klient