Umowa powierzenia przetwarzania danych osobowych

Umowa powierzenia przetwarzania danych osobowych w związku z korzystaniem z aplikacji MedAgenda.

§ 1. Strony i zawarcie umowy

1. Stronami umowy są: Klient korzystający z aplikacji MedAgenda, określony w danych Placówki podanych przy rejestracji (Administrator), oraz Podmiot przetwarzający: SOA INVEST spółka z ograniczoną odpowiedzialnością z siedzibą w Paczkowie, ul. Polna 23C/1, 62-021 Paczkowo, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego przez Sąd Rejonowy Poznań – Nowe Miasto i Wilda w Poznaniu, VIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS 0001190262, NIP 7773452587, REGON 542532125, kapitał zakładowy 25 000,00 zł. E-mail: kontakt@medagenda.pl, adres do doręczeń elektronicznych: AE:PL-46275-33143-DIJCU-22.
2. Umowa zostaje zawarta z chwilą jej akceptacji przy rejestracji Placówki przez osobę uprawnioną do działania w imieniu Administratora. Jest częścią umowy o świadczenie usług zawartej na podstawie Regulaminu MedAgenda (Umowa główna) i obowiązuje przez czas jej trwania oraz do usunięcia danych zgodnie z § 10.
3. Pojęcia zdefiniowane w Regulaminie (m.in. Aplikacja, Placówka, Użytkownik, Właściciel) mają w tej umowie to samo znaczenie. Pojęcia dotyczące ochrony danych mają znaczenie nadane im w rozporządzeniu (UE) 2016/679 (RODO).
4. Umowa jest umową, o której mowa w art. 28 ust. 3 RODO. W sprawach ochrony danych osobowych jej postanowienia mają pierwszeństwo przed Regulaminem.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych wprowadzanych do Aplikacji w ramach Placówki, w zakresie i celu określonym w tym paragrafie.
2. Celem przetwarzania jest wyłącznie świadczenie usług Umowy głównej: planowanie i ewidencja wizyt, grafik pracowników i sal, ewidencja obecności i płatności, publiczne strony zapisów na wydarzenia Placówki, raporty, eksport i usuwanie danych, kopie zapasowe oraz pomoc techniczna.
3. Przetwarzanie ma charakter ciągły i odbywa się w systemie informatycznym, w szczególności przez przechowywanie, organizowanie, porządkowanie, przeglądanie, udostępnianie Użytkownikom Placówki, eksportowanie, anonimizowanie i usuwanie danych.
4. Przetwarzanie obejmuje następujące kategorie osób:
   1. klienci Placówki (podopieczni, w tym dzieci);
   2. opiekunowie prawni i osoby kontaktowe klientów Placówki;
   3. pracownicy i współpracownicy Placówki ujęci w grafiku, także nieposiadający konta w Aplikacji;
   4. Użytkownicy w zakresie ich działań w Placówce zapisanych w dzienniku zmian;
   5. osoby zapisujące się na wydarzenia organizowane przez Placówkę przez publiczną stronę zapisów w Aplikacji (oraz ich dzieci, jeśli Placówka zbiera imię dziecka).
5. Przetwarzanie obejmuje następujące kategorie danych: imię i nazwisko, imię i nazwisko opiekuna, numer telefonu, dane w polach dodatkowych zdefiniowanych przez Administratora, terminy wizyt wraz z usługą, pracownikami i salami, obecności, odwołania i ich przyczyny, ceny, płatności i salda, godziny pracy, urlopy i nieobecności pracowników, wpisy dziennika zmian, a przy zapisach na wydarzenia: imię i nazwisko, adres e-mail, numer telefonu i imię dziecka, w zakresie wybranym przez Administratora, oraz informacja, który regulamin wydarzenia zaakceptowano. Na publicznych stronach wydarzeń przetwarzane są też pliki dodane przez Administratora (zdjęcia i regulamin wydarzenia); zdjęcia mogą przedstawiać wizerunek osób, w tym dzieci. Administrator dodaje tylko takie zdjęcia, na których publikację ma podstawę prawną, w szczególności zgodę osoby przedstawionej lub jej opiekuna.
6. Aplikacja nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator zobowiązuje się nie wprowadzać takich danych, w szczególności diagnoz, opisu stanu zdrowia ani notatek z terapii. Niezależnie od tego Podmiot przetwarzający stosuje środki bezpieczeństwa odpowiednie do tego, że informacja o korzystaniu z terapii może dotyczyć zdrowia.
7. Umowa nie obejmuje danych Użytkowników przetwarzanych w celu prowadzenia ich kont, logowania i rozliczeń (imię i nazwisko, e-mail, dane logowania, dane do faktur). Ich administratorem jest Podmiot przetwarzający, a zasady opisuje Polityka prywatności.

§ 3. Polecenia Administratora

1. Podmiot przetwarzający przetwarza powierzone dane wyłącznie na udokumentowane polecenie Administratora, także w odniesieniu do przekazywania danych do państwa trzeciego, chyba że obowiązek przetwarzania wynika z przepisów prawa. W takim przypadku informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.
2. Udokumentowanymi poleceniami są: ta umowa, Umowa główna oraz czynności Użytkowników Placówki w Aplikacji (np. dodanie, zmiana, eksport, anonimizacja lub usunięcie danych, włączenie dostępu dla wsparcia albo subskrypcji kalendarza w zewnętrznej aplikacji). Inne polecenia Administrator przekazuje e-mailem na adres kontakt@medagenda.pl.
3. Jeśli zdaniem Podmiotu przetwarzającego polecenie narusza RODO lub inne przepisy o ochronie danych, niezwłocznie informuje o tym Administratora i może wstrzymać jego wykonanie do czasu wyjaśnienia.
4. Gdy Użytkownik włączy subskrypcję kalendarza (iCal) w zewnętrznej aplikacji, dane wizyt widoczne w subskrypcji (m.in. skrócone imię i nazwisko klienta, usługa, sala) są udostępniane dostawcy tej aplikacji na polecenie Administratora. Taki dostawca nie jest dalszym podmiotem przetwarzającym Podmiotu przetwarzającego.

§ 4. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający dopuszcza do przetwarzania danych wyłącznie osoby upoważnione, które zobowiązały się do zachowania ich w tajemnicy albo podlegają ustawowemu obowiązkowi tajemnicy, także po ustaniu współpracy.
2. Podmiot przetwarzający stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO, opisane w Załączniku nr 1, i aktualizuje je z uwzględnieniem stanu wiedzy, tak aby nie obniżać poziomu ochrony.
3. Dostęp pracowników Podmiotu przetwarzającego do danych Placówki w Aplikacji jest możliwy wyłącznie za zgodą Właściciela udzieloną w Aplikacji, na sesję trwającą najwyżej 30 minut, która jest odnotowywana w dzienniku zmian i podsumowywana Właścicielowi e-mailem. Nie dotyczy to czynności technicznych na infrastrukturze (np. kopie zapasowe, usuwanie awarii) ani czynności wymaganych przez prawo.
4. Podmiot przetwarzający pomaga Administratorowi, w miarę możliwości i przy uwzględnieniu charakteru przetwarzania, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO). W tym celu Aplikacja umożliwia wyszukanie, poprawienie, eksport i anonimizację danych klienta. Żądanie skierowane bezpośrednio do Podmiotu przetwarzającego przekazuje on Administratorowi bez zbędnej zwłoki i nie odpowiada na nie samodzielnie.
5. Podmiot przetwarzający pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), udostępniając posiadane informacje.
6. Podmiot przetwarzający prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO.

§ 5. Dalsze podmioty przetwarzające

1. Administrator udziela ogólnej zgody na powierzenie przetwarzania danych dalszym podmiotom przetwarzającym. Aktualna lista stanowi Załącznik nr 2.
2. O zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Właściciela e-mailem co najmniej 14 dni wcześniej. Administrator może w tym terminie zgłosić sprzeciw. Jeśli strony nie uzgodnią rozwiązania, Administrator może rozwiązać Umowę główną ze skutkiem przed wprowadzeniem zmiany i otrzymać zwrot proporcjonalnej części opłaty za niewykorzystany okres.
3. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający, w drodze umowy, obowiązki ochrony danych nie mniejsze niż w tej umowie i odpowiada wobec Administratora za wypełnianie przez niego tych obowiązków.

§ 6. Miejsce przetwarzania

Powierzone dane, łącznie z kopiami zapasowymi, są przetwarzane wyłącznie w Europejskim Obszarze Gospodarczym. Przekazanie ich do państwa trzeciego wymaga uprzedniej zgody Administratora wyrażonej w postaci elektronicznej oraz zapewnienia zabezpieczeń z rozdziału V RODO. Podmiot przetwarzający nie umieszcza danych klientów Placówki w wiadomościach e-mail wysyłanych przez Aplikację.

§ 7. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia (dążąc do 24 godzin), na adres e-mail Właściciela, aby Administrator mógł dochować 72-godzinnego terminu z art. 33 RODO.
2. Zgłoszenie zawiera, w miarę dostępności: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i wpisów, możliwe konsekwencje, zastosowane lub proponowane środki oraz dane osoby do kontaktu. Informacje, których nie da się podać od razu, Podmiot przetwarzający przekazuje sukcesywnie.
3. Podmiot przetwarzający niezwłocznie podejmuje działania ograniczające skutki naruszenia i dokumentuje naruszenia.

§ 8. Kontrola i audyt

1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w pierwszej kolejności w formie pisemnych odpowiedzi na pytania, w terminie 14 dni.
2. Jeśli informacje te nie wystarczą, Administrator lub upoważniony przez niego audytor związany obowiązkiem poufności może przeprowadzić audyt, z co najmniej 14-dniowym uprzedzeniem, w dni robocze, nie częściej niż raz na 12 miesięcy, chyba że audyt jest związany z naruszeniem ochrony danych lub żądaniem organu nadzorczego. Audyt nie może naruszać tajemnicy przedsiębiorstwa ani danych innych klientów Podmiotu przetwarzającego. Koszty audytu ponosi Administrator.

§ 9. Odpowiedzialność

Strony odpowiadają za szkody wyrządzone przetwarzaniem zgodnie z art. 82 RODO. W pozostałym zakresie do odpowiedzialności stron stosuje się postanowienia Regulaminu, w granicach dopuszczalnych przez przepisy. Administrator odpowiada za to, że ma podstawę prawną do przetwarzania danych wprowadzanych do Aplikacji i że nie wprowadza danych, o których mowa w § 2 ust. 6.

§ 10. Zakończenie przetwarzania

1. Po zakończeniu Umowy głównej Administrator może przez 30 dni wyeksportować dane Placówki w trybie tylko do odczytu. Eksport (CSV i JSON) jest dostępny w Aplikacji przez cały czas trwania umowy.
2. Listy osób zapisanych na wydarzenia są usuwane automatycznie 30 dni po zakończeniu wydarzenia. Pozostałe powierzone dane Podmiot przetwarzający usuwa po 90 dniach od zakończenia Umowy głównej, uprzedzając o tym Właściciela e-mailem 14 i 3 dni wcześniej, a Placówkę usuniętą przez Właściciela: po 14 dniach od jej usunięcia. Dane w kopiach zapasowych są usuwane w cyklu ich nadpisywania, nie później niż po 35 dniach.
3. Obowiązek usunięcia nie dotyczy danych, których dalsze przechowywanie nakazuje prawo. Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie danych e-mailem.

§ 11. Postanowienia końcowe

1. Zmiany umowy, w tym listy dalszych podmiotów przetwarzających, wprowadza się w trybie przewidzianym w § 5 ust. 2 i w Regulaminie dla zmian Regulaminu.
2. Do umowy stosuje się prawo polskie.

Załącznik nr 1. Środki techniczne i organizacyjne

• Serwery aplikacji i bazy danych w Polsce, dostęp administracyjny wyłącznie kluczem SSH, bez konta root.
• Zapora sieciowa, ochrona przed próbami siłowego logowania, automatyczne aktualizacje bezpieczeństwa.
• Oddzielenie danych każdej Placówki wymuszane przez bazę danych (Row Level Security), a nie tylko przez aplikację; aplikacja łączy się z bazą jako konto bez uprawnień do omijania tej izolacji.
• Szyfrowane połączenia (HTTPS z HSTS), nagłówki bezpieczeństwa, w tym Content Security Policy.
• Hasła przechowywane wyłącznie w postaci skrótu, sprawdzanie haseł z wycieków (bez przesyłania hasła), blokada konta po wielu nieudanych logowaniach, logowanie dwuetapowe (obowiązkowe dla administratorów platformy), wylogowanie wszystkich sesji przy wyłączeniu konta.
• Uprawnienia oparte na rolach (właściciel, administrator, recepcja, terapeuta); terapeuta domyślnie widzi tylko swoje wizyty i swoich klientów.
• Dziennik zmian: kto, co i kiedy zmienił w danych Placówki.
• Dostęp wsparcia technicznego do Placówki tylko za zgodą Właściciela, czasowy, odnotowywany i podsumowywany e-mailem; panel administracyjny platformy dostępny wyłącznie z zaufanych adresów IP.
• Minimalizacja danych: brak pól na dane o zdrowiu, brak kont dla klientów Placówki, brak danych klientów w wiadomościach e-mail.
• Codzienne kopie zapasowe z cotygodniowym automatycznym testem odtworzenia.
• Narzędzia do eksportu, poprawiania i anonimizacji danych klienta oraz eksportu całej Placówki.
• Upoważnienia i zobowiązania do zachowania poufności osób z dostępem do danych, procedura obsługi naruszeń.

Załącznik nr 2. Dalsze podmioty przetwarzające