Załącznik nr 1
Umowa powierzenia przetwarzania danych osobowych (DPA)
Zawarta na podstawie art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
§1. Strony i definicje
- Administrator danych – Usługobiorca, który korzysta z Platformy SaaS na podstawie Regulaminu.
- Podmiot przetwarzający – Patryk Koralewski Kancelaria Radcy Prawnego, jako Usługodawca Platformy.
- Pozostałe pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie SaaS.
- Załącznik nr 2 stanowi informację.
§2. Przedmiot i czas trwania powierzenia
- Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych Użytkowników wyłącznie w celu realizacji umowy o świadczenie usług Platformy szkoleniowej SaaS.
- Powierzenie obowiązuje przez cały okres obowiązywania umowy głównej, a po jej zakończeniu – do momentu usunięcia lub zwrotu danych zgodnie z §9.
§3. Charakter i cel przetwarzania
- Charakter przetwarzania obejmuje w szczególności: zbieranie, utrwalanie, przechowywanie, porządkowanie, przeglądanie, udostępnianie w ramach Platformy oraz usuwanie danych.
- Celem przetwarzania jest umożliwienie Administratorowi realizacji szkoleń online dla Użytkowników.
§4. Rodzaj danych i kategorie osób
- Kategorie osób, których dane dotyczą: pracownicy oraz współpracownicy Administratora.
- Kategorie danych osobowych:
- imię i nazwisko,
- służbowy adres e-mail.
§5. Obowiązki Podmiotu przetwarzającego (art. 28 ust. 3 RODO)
Podmiot przetwarzający zobowiązuje się do:
- przetwarzania danych osobowych wyłącznie na udokumentowane polecenie Administratora,
- zapewnienia, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi poufności,
- wdrożenia odpowiednich środków technicznych i organizacyjnych, o których mowa w art. 32 RODO, opisanych szczegółowo w §6,
- przestrzegania warunków korzystania z dalszych podmiotów przetwarzających zgodnie z §7,
- wspierania Administratora – w miarę możliwości – w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą,
- wspierania Administratora w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, w szczególności w zakresie naruszeń ochrony danych oraz DPIA,
- po zakończeniu świadczenia usług – usunięcia lub zwrotu danych osobowych Administratorowi oraz usunięcia ich kopii, o ile prawo UE lub prawo państwa członkowskiego nie nakazuje ich dalszego przechowywania,
- udostępnienia Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków wynikających z art. 28 RODO oraz umożliwienia przeprowadzania audytów.
§6. Środki techniczne i organizacyjne (art. 32 RODO)
Podmiot przetwarzający stosuje w szczególności następujące środki:
- Organizacyjne:
- imienne upoważnienia do przetwarzania danych,
- zobowiązania do zachowania poufności,
- zasada minimalizacji dostępu (need-to-know),
- procedury reagowania na incydenty i naruszenia ochrony danych,
- regularne szkolenia osób przetwarzających dane.
- Techniczne:
- szyfrowanie transmisji danych (TLS/HTTPS),
- zabezpieczenia logiczne systemów (hasła, role, MFA dla administracji),
- regularne aktualizacje systemów i oprogramowania,
- kopie zapasowe oraz testy odtwarzania danych,
- separacja danych poszczególnych Administratorów,
- logowanie operacji na danych.
Środki te zapewniają poziom bezpieczeństwa adekwatny do zidentyfikowanego ryzyka.
§7. Dalsze powierzenie (podprocesorzy)
- Podmiot przetwarzający nie korzysta z dalszych podmiotów przetwarzających bez uprzedniej ogólnej lub szczegółowej zgody Administratora.
- W przypadku dalszego powierzenia Podmiot przetwarzający zapewnia nałożenie na podprocesora obowiązków co najmniej równoważnych z niniejszą umową.
§8. Naruszenia ochrony danych
- Podmiot przetwarzający zgłasza Administratorowi każde stwierdzone naruszenie ochrony danych osobowych bez zbędnej zwłoki.
- Zgłoszenie zawiera co najmniej informacje wymagane przez art. 33 ust. 3 RODO, w zakresie dostępnym Podmiotowi przetwarzającemu.
§9. Zakończenie przetwarzania
Po zakończeniu świadczenia usług Podmiot przetwarzający – według decyzji Administratora – usuwa albo zwraca wszystkie dane osobowe oraz usuwa ich kopie.
§10. Audyty i kontrola
- Administrator ma prawo weryfikacji zgodności przetwarzania danych z niniejszą umową.
- Audyt nie może naruszać tajemnicy zawodowej Podmiotu przetwarzającego ani bezpieczeństwa innych klientów Platformy.
Załącznik nr 3
Analiza ryzyka i wpis do rejestru czynności przetwarzania
§1. Analiza ryzyka przetwarzania danych osobowych
1. Cel powierzenia
Usługobiorca powierza Usługodawcy przetwarzanie danych osobowych Użytkowników w celu:
- wysyłania zaproszeń e-mail do Użytkowników,
- udostępniania Materiałów szkoleniowych poprzez Platformę SaaS,
- zarządzania dostępem Użytkowników do Platformy.
2. Kategorie danych osobowych
- Użytkownicy: imię i nazwisko, adres e-mail.
- Usługobiorca: nazwa, NIP, REGON, adres siedziby.
3. Identyfikacja i ocena ryzyka dla praw i wolności osób
| Potencjalne zagrożenie |
Skutki |
Prawdopodobieństwo |
Ocena ryzyka |
Środki ograniczające ryzyko |
| Nieuprawniony dostęp do danych Użytkowników |
Utrata poufności, możliwość phishingu |
Niskie |
Niskie |
Szyfrowanie transmisji (TLS), logi dostępu, imienne upoważnienia, procedury nadawania i odbierania uprawnień |
| Nieautoryzowana modyfikacja danych |
Błędne dane w systemie, utrata integralności |
Niskie |
Niskie |
System autoryzacji z logami, ograniczenia edycji do uprawnionych osób |
| Utrata danych w wyniku awarii technicznej |
Niedostępność Platformy |
Niskie |
Niskie |
Kopie zapasowe, redundancja serwerów, procedura przywracania danych |
| Przypadkowe ujawnienie danych |
Ujawnienie adresów e-mail |
Niskie |
Niskie |
Procedury wewnętrzne, szyfrowanie danych, poufność personelu |
Wniosek: ryzyko naruszenia praw i wolności osób fizycznych jest niskie. Środki techniczne i organizacyjne stosowane przez Usługodawcę skutecznie minimalizują ryzyko.
§2. DPIA – ocena konieczności
Zgodnie z art. 35 RODO, obowiązek przeprowadzenia pełnej oceny skutków dla ochrony danych (DPIA) powstaje w przypadku, gdy przetwarzanie „może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych".
W analizowanym przypadku:
- zakres danych jest ograniczony do imienia, nazwiska i e-mail,
- przetwarzanie nie dotyczy danych wrażliwych,
- dane są przetwarzane wyłącznie w ramach Platformy szkoleniowej,
- stosowane są środki bezpieczeństwa zgodne z art. 32 RODO.
Wniosek: nie ma wysokiego ryzyka, czynność nie kwalifikuje się pod warunki wskazane w art. 35 RODO, ani w Komunikacie Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, więc nie jest wymagana pełna DPIA. Dokumentacja powinna zawierać niniejszą analizę ryzyka oraz rejestr czynności przetwarzania.
§3. Wpis do Rejestru czynności przetwarzania (art. 30 RODO)
| Element rejestru |
Opis |
| Administrator danych |
Usługobiorca (pracodawca) |
| Podmiot przetwarzający |
Patryk Koralewski Kancelaria Radcy Prawnego (Usługodawca SaaS) |
| Cele przetwarzania |
Udostępnianie materiałów szkoleniowych, wysyłka e-mail z linkiem do szkoleń, zarządzanie dostępem Użytkowników |
| Kategorie osób, których dane dotyczą |
Pracownicy i współpracownicy Usługobiorcy (Użytkownicy) |
| Kategorie danych osobowych |
imię i nazwisko, adres e-mail |
| Kategorie odbiorców danych |
Brak dalszych procesorów bez zgody Usługobiorcy |
| Przekazywanie danych do państw trzecich |
Nie dotyczy |
| Przewidywany czas przechowywania |
Do momentu zakończenia świadczenia usługi + okres przedawnienia roszczeń (zgodnie z umową powierzenia) |
| Środki bezpieczeństwa |
Szyfrowanie transmisji TLS, kontrola dostępu z imiennymi upoważnieniami, zobowiązania do poufności, logi systemowe, procedury kopii zapasowych, mechanizmy przywracania danych, procedura reagowania na incydenty |