UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

Zawarta w dniu ..................... roku pomiędzy:
TBS Lokum sp. z o.o. z siedzibą w Świnoujściu (dawniej ZGM sp. z o.o.) przy ul. Wyspiańskiego 35C, wpisaną do Rejestru Przedsiębiorców, prowadzonego przez Sąd Rejonowy Szczecin-Centrum w Szczecinie, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0000851315, NIP: 855-160-06-39, REGON: 386684858, reprezentowaną przez: 
•	Jolantę Kraszewską-Jurkowską – Prezes Zarządu,
zwaną dalej „Zamawiającym”
a: 
………………………..………………………………………………………………………………….
(NIP:
..............................,REGON: …………………….) z siedzibą 
w ………..………............................................................………………………… wpisaną/ym do Rejestru Przedsiębiorców prowadzonym przez Sąd Rejonowy w ............................., .....… Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS .................. lub CEIDG, reprezentowanym przez:
1.	………………………......…….………………………..…..
2.	………………………………………………………………
Zwanym/ą dalej „Wykonawcą”.

Zważywszy, że w dniu …………….. Strony zawarły umowę:
•	o wykonanie ……………………… nr………….., zwaną dalej „Umową główną”,
Strony postanawiają zawrzeć niniejszą umowę powierzenia przetwarzania danych, zwaną dalej Umową, o następującej treści.
§ 1
1.	Zamawiający oświadcza, że jest administratorem danych osobowych w rozumieniu przepisów powszechnie obowiązującego prawa z zakresu ochrony danych osobowych, tzn.: Rozporządzenia Parlamentu Europejskiego i Rady UE z dnia 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.) (dalej: RODO).
2.	Wykonawca oświadcza, że będzie przetwarzać dane osobowe wyłącznie na potrzeby realizacji Umowy głównej, co dotyczy również przekazywania danych do państwa trzeciego lub organizacji międzynarodowej. Wykonawca może przetwarzać dane osobowe wyłącznie w celu wykonania Umowy głównej oraz wykonania pozostałych operacji przetwarzania danych osobowych wskazanych w niniejszej umowie, nieobjętych wprost przedmiotem usług. 
3.	Ust. 2 nie stosuje się, jeżeli obowiązek przetwarzania danych osobowych nakładają na Wykonawcę przepisy prawa. W takiej sytuacji informuje on Zamawiającego przed rozpoczęciem przetwarzania o tym obowiązku, chyba że przepisy te zabraniają udzielania takiej informacji z uwagi na ważny interes publiczny. 

§ 2
4.	Wykonawca może przetwarzać dane osobowe następujących kategorii osób: pracownicy, współpracownicy, klienci, które Zamawiający przetwarza jako administrator lub jako podmiot przetwarzający w przypadku posiadania uprawnienia do dalszego powierzenia przetwarzania danych osobowych.
5.	Wykonawca może przetwarzać następujące dane osobowe: imię i nazwisko, obywatelstwo, płeć, seria i numer dokumentu tożsamości, numer PESEL, dane teleadresowe (adres do korespondencji, adres e-mail, numer telefonu).
6.	Na danych tych będą wykonywane następujące operacje: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
7.	Zamawiający oświadcza, że charakter danych osobowych powierzanych niniejszą umową obejmuje dane dotyczące wyroków skazujących i naruszeń prawa w rozumieniu art. 10 RODO oraz nie obejmuje szczególnych kategorii danych osobowych w rozumieniu art. 9 ust. 1 RODO.
§ 3
1.	Zamawiający ma prawo do kontroli sposobu wykonywania obowiązków wynikających z niniejszej umowy przez Wykonawcę odnośnie zobowiązań, o których mowa w niniejszej umowie. Warunkiem przeprowadzenia kontroli jest zawiadomienie Wykonawcy w terminie nie krótszym niż 10 dni przed planowanym terminem jej przeprowadzenia.
2.	Wykonawca udostępnia Zamawiającego wszelkie informacje niezbędne do wykazania spełnienia nałożonych na niego niniejszą umową zobowiązań.
3.	Uprawnienia określone w powyższych ustępach 1-2 przysługują Zamawiającemu odpowiednio w stosunku do podmiotów podpowierzenia, o których mowa § 6 ust. 1 niniejszej umowy, w przypadku powierzenia przez Wykonawcę przetwarzania danych podmiotom podpowierzenia, zgodnie z § 6 ust. 1 umowy
4.	W związku z obowiązkiem określonym w ust. 2 powyżej, Wykonawca niezwłocznie informuje Zamawiającego, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów dotyczących ochrony danych osobowych.
§ 4
Wykonawca zobowiązuje się do wdrożenia i przestrzegania odpowiednich środków technicznych i organizacyjnych zmierzających do zapewnienia bezpieczeństwa przetwarzania, określonych w art. 32 RODO.
§ 5
Wykonawca zobowiązuje się do prowadzenia rejestru wszystkich kategorii czynności przetwarzania danych osobowych (dalej „Rejestr”) dokonywanych w imieniu Zamawiającego, w przypadku obowiązku prowadzenia takiego rejestru wynikającego z art. 30 ust. 5 RODO. 
§ 6
1.	Zamawiający wyraża zgodę, aby Wykonawca powierzył dalej przetwarzanie danych osobowych (dalej: Podpowierzenie) i wykonywanie zadań wynikających z umowy podmiotowi trzeciemu (dalej: Podmiot podpowierzenia). Wykonawca o każdym zamiarze dalszego powierzenia danych osobowych poinformuje Zamawiającego w formie pisemnej. Wykonawca w umowie Podpowierzenia zobowiązuje Podmiot podpowierzenia przed rozpoczęciem przetwarzania danych osobowych do podjęcia środków technicznych i organizacyjnych mających na celu zabezpieczenie powierzonych danych osobowych stosownie do przepisów, o których mowa w art. 32 RODO.
2.	Dostęp do powierzonych danych osobowych mogą posiadać tylko osoby, którym Wykonawca nadał upoważnienia, o których mowa w art. 29 RODO.
3.	Wykonawca po zakończeniu realizacji usług będzie przetwarzał dane osobowe przez okres co najmniej 5 lat od dnia zamknięcia akt badania lub do czasu przedawnienia okresu karalności przewinienia dyscyplinarnego, na podstawie  ustawy z dnia 11 maja 2017 r. o biegłych rewidentach, firmach audytorskich oraz nadzorze publicznym (Dz. U. poz. 1089 z późn. zm.). 
4.	Wykonawca oświadcza, że w razie stwierdzenia naruszenia ochrony danych osobowych niezwłocznie poinformuje o tym Zamawiającego zgodnie z art. 33 RODO.
§ 7
1.	Wykonawca odpowiada za szkody majątkowe lub niemajątkowe jakie powstały wobec Zamawiającego lub osób trzecich w wyniku przetwarzania danych osobowych niezgodnego z umową lub obowiązkami nałożonymi przez ustawy lub RODO bezpośrednio na Wykonawcę oraz w wyniku działania poza zgodnymi z prawem instrukcjami Zamawiającego lub wbrew tym instrukcjom. Zamawiający odpowiada za szkody majątkowe lub niemajątkowe, jakie powstały wobec osób trzecich w wyniku przetwarzania danych naruszającego RODO lub inne przepisy dotyczące ochrony danych osobowych. 
2.	Strony są zwolnione z odpowiedzialności wynikającej z ust. 1, jeżeli udowodnią, że zdarzenie, które doprowadziło do powstania szkody, jest przez nie niezawinione. Jeżeli w tym samym przetwarzaniu biorą udział obie Strony i są odpowiedzialne za szkodę spowodowaną przetwarzaniem zgodnie z ust. 1, ponoszą one odpowiedzialność solidarną. Strona, która zapłaciła odszkodowanie za całą wyrządzoną szkodę, ma prawo żądania od drugiej Strony, która uczestniczyła w tym samym przetwarzaniu, zwrotu części odszkodowania odpowiadającej części szkody, za którą ponosi odpowiedzialność, zgodnie z warunkami określonymi w ust. 1.
3.	Wykonawca ponosi odpowiedzialność za działania lub zaniechania Podmiotu podpowierzenia, dotyczące przetwarzania powierzonych danych osobowych, jak za działania lub zaniechania własne, przez co postanowienia dotyczące odpowiedzialności Wykonawcy na warunkach opisanych powyżej obejmują także odpowiedzialność Wykonawcy za działania lub zaniechania Podmiotów podpowierzenia.
§ 8
Zapisy niniejszej umowy obowiązują przez czas trwania Umowy głównej oraz przez okresy wskazane w § 6 ust. 3 Umowy.
§ 9
1.	Zmiana niniejszej umowy może nastąpić tylko w formie pisemnego aneksu.
2.	W sprawach nieuregulowanych niniejszą umową mają zastosowania przepisy kodeksu cywilnego, RODO, a także przepisy innych ustaw regulujących ochronę danych osobowych.
3.	Umowę sporządzono w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej ze Stron.
4.	Umowa wchodzi w życie z dniem podpisania.
5.	Zgodną wolą Stron jest uregulowanie aktualnych warunków powierzenia przetwarzania danych osobowych. W momencie wejścia w życie niniejszej umowy jej postanowienia zastępują wszelkie dotychczasowe ustalenia Stron, zawarte w umowie lub umowach powierzenia.

____________________	____________________
WYKONAWCA	ZAMAWIAJĄCY