Dokumenty dla szkoły i inspektora ochrony danych

Umowa powierzenia przetwarzania danych osobowych

Wzór zgodny z art. 28 RODO. Wersja: [data]. Do wydruku: Ctrl+P. Przed podpisaniem uzupełnij pola na żółto i skonsultuj z prawnikiem lub IOD szkoły.

zawarta w dniu [data] w [miejscowość] pomiędzy:

[nazwa szkoły / organu prowadzącego, adres, NIP, REGON], reprezentowaną przez [imię, nazwisko, funkcja], zwaną dalej „Administratorem”,

a

[nazwa firmy AssetWave, adres, NIP], reprezentowaną przez [imię, nazwisko, funkcja], zwaną dalej „Podmiotem przetwarzającym”,

w związku z umową o świadczenie usługi AssetWave z dnia [data] (dalej: „Umowa główna”).

§ 1. Przedmiot i czas trwania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usługi AssetWave opisanej w Umowie głównej.
2. Umowa obowiązuje przez czas obowiązywania Umowy głównej.

§ 2. Charakter, cel, rodzaj danych i kategorie osób

1. Charakter i cel przetwarzania: przechowywanie i udostępnianie danych w aplikacji do ewidencji majątku, zgłaszania usterek, rezerwacji, planowania zajęć, przeglądów i komunikacji wewnętrznej szkoły; wykonywanie kopii zapasowych; pomoc techniczna na zlecenie Administratora.
2. Kategorie osób: pracownicy i współpracownicy Administratora; uczniowie i ich opiekunowie — wyłącznie w zakresie, w jakim Administrator wprowadzi ich dane (np. wypożyczenia sprzętu).
3. Rodzaje danych: imię i nazwisko, stanowisko, służbowy adres e-mail i telefon, login, dane o przydzielonym sprzęcie i lokalizacji, treść zgłoszeń i komentarzy, dane w kalendarzu i planie zajęć, dziennik działań w aplikacji, adres IP. [uzupełnij, jeśli szkoła wprowadza inne dane]
4. Powierzenie nie obejmuje szczególnych kategorii danych (art. 9 RODO). Administrator zobowiązuje się ich nie wprowadzać do aplikacji.

§ 3. Obowiązki Podmiotu przetwarzającego

1. Przetwarza dane wyłącznie na udokumentowane polecenie Administratora — za takie polecenie uznaje się Umowę główną, niniejszą umowę oraz działania Administratora w aplikacji.
2. Zapewnia, by osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy.
3. Stosuje środki bezpieczeństwa opisane w dokumencie „Bezpieczeństwo i ochrona danych w AssetWave”, stanowiącym załącznik nr 1, i nie obniża ich poziomu w czasie trwania umowy.
4. Pomaga Administratorowi w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie), w szczególności przez udostępnienie funkcji edycji i eksportu danych w aplikacji.
5. Pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO.
6. Zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu [24] godzin od jego stwierdzenia.
7. Prowadzi rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO).

§ 4. Dalsze powierzenie

1. Administrator wyraża ogólną zgodę na korzystanie z podmiotów wymienionych w załączniku nr 1 (hosting, poczta, opcjonalnie Microsoft).
2. O zamiarze dodania lub zmiany podmiotu Podmiot przetwarzający informuje Administratora z wyprzedzeniem co najmniej [14] dni; Administrator może zgłosić sprzeciw.
3. Na dalszy podmiot nakłada się te same obowiązki ochrony danych co w niniejszej umowie.
4. Dane nie są przekazywane poza Europejski Obszar Gospodarczy, chyba że Administrator na to zezwoli i zostaną zastosowane zabezpieczenia z rozdziału V RODO.

§ 5. Kontrola

1. Administrator ma prawo kontroli zgodności przetwarzania z umową, w tym w formie pisemnych pytań lub audytu, po uprzedzeniu z co najmniej [7]-dniowym wyprzedzeniem.
2. Podmiot przetwarzający udostępnia informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.

§ 6. Zakończenie

1. Po zakończeniu Umowy głównej Podmiot przetwarzający, według wyboru Administratora, zwraca dane (eksport) i usuwa je w ciągu [30] dni; kopie zapasowe wygasają w terminie retencji opisanym w załączniku nr 1.
2. Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie danych na piśmie.

§ 7. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych i Kodeks cywilny.
2. Zmiany umowy wymagają formy pisemnej lub dokumentowej.
3. Umowę sporządzono w dwóch jednobrzmiących egzemplarzach / w formie elektronicznej [wybierz].

Załącznik nr 1: Bezpieczeństwo i ochrona danych w AssetWave (środki techniczne i organizacyjne, podmioty przetwarzające).