Umowa powierzenia przetwarzania danych osobowych

1. Strony i zawarcie umowy

Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa") zawierana jest pomiędzy stowarzyszeniem korzystającym z platformy associations (dalej: „Administrator") a operatorem Platformy — MS Solutions Maciej Szpura, Słowackiego 20, 21-560 Międzyrzec Podlaski, NIP: 537-257-74-31, e-mail: [email protected] (dalej: „Podmiot przetwarzający").

Umowa stanowi umowę powierzenia w rozumieniu art. 28 ust. 3 RODO i uzupełnia regulamin Platformy. Zostaje zawarta z chwilą jej zaakceptowania przez osobę zakładającą stowarzyszenie na Platformie, działającą w imieniu Administratora. Data akceptacji, osoba akceptująca oraz wersja zaakceptowanego dokumentu są odnotowywane przez Platformę.

2. Przedmiot i czas trwania powierzenia

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu określonym w Umowie. Powierzenie trwa przez okres korzystania przez Administratora z Platformy — do momentu usunięcia konta stowarzyszenia lub zgłoszenia żądania usunięcia danych zgodnie z regulaminem.

3. Charakter i cel przetwarzania

Przetwarzanie polega na przechowywaniu i obsłudze danych w ramach funkcji Platformy: prowadzenia rejestru członków, obsługi deklaracji członkowskich, rozliczania składek, organizacji spotkań i obecności, podejmowania uchwał i głosowań, prowadzenia zadań oraz wysyłki powiadomień związanych z tymi funkcjami. Podmiot przetwarzający nie przetwarza powierzonych danych w żadnym własnym celu.

4. Rodzaj danych i kategorie osób

Powierzenie obejmuje dane osobowe:

• członków stowarzyszenia oraz kandydatów na członków (osób składających deklaracje członkowskie), w tym osób małoletnich wraz z danymi opiekunów prawnych wyrażających zgodę,
• w zakresie: danych identyfikacyjnych (imię i nazwisko, data urodzenia), danych kontaktowych i adresowych (e-mail, telefon, adres — zależnie od konfiguracji formularza), danych o członkostwie (role, obecności, głosy, podpisy pod dokumentami, historia składek) oraz odpowiedzi na dodatkowe pola formularza deklaracji zdefiniowane przez Administratora.

Administrator zobowiązuje się nie wprowadzać do Platformy danych szczególnych kategorii (art. 9 RODO), o ile funkcja Platformy tego wprost nie przewiduje.

5. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się:

• przetwarzać dane wyłącznie na udokumentowane polecenie Administratora — za które uznaje się korzystanie z funkcji Platformy przez uprawnione osoby działające w imieniu Administratora,
• zapewnić, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy,
• stosować środki techniczne i organizacyjne wymagane na mocy art. 32 RODO, w tym szyfrowanie transmisji, kontrolę dostępu opartą na rolach oraz rozdzielenie danych poszczególnych stowarzyszeń,
• w miarę możliwości pomagać Administratorowi w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO) — m.in. poprzez funkcje edycji, eksportu i anonimizacji danych członków,
• pomagać Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO,
• bez zbędnej zwłoki informować Administratora o stwierdzonym naruszeniu ochrony powierzonych danych,
• udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwiać audyty i inspekcje — po uprzednim uzgodnieniu terminu i zakresu, w sposób nienaruszający bezpieczeństwa danych innych stowarzyszeń.

6. Podpowierzenie

Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających, w zakresie niezbędnym do działania Platformy:

• dostawca hostingu i bazy danych,
• Stripe — obsługa płatności składek,
• Google — logowanie oraz, za odrębną zgodą użytkownika, integracja z Kalendarzem Google,
• dostawca usługi e-mail — wysyłka linków logowania i powiadomień.

Aktualny opis odbiorców danych zawiera polityka prywatności. Podmiot przetwarzający nakłada na podwykonawców obowiązki ochrony danych odpowiadające obowiązkom z niniejszej Umowy. O zamierzonych zmianach dotyczących dodania lub zastąpienia podwykonawców Administrator zostanie poinformowany; w razie sprzeciwu może zakończyć korzystanie z Platformy przed wejściem zmiany w życie.

7. Zakończenie powierzenia

Po zakończeniu świadczenia usług Podmiot przetwarzający — zależnie od decyzji Administratora — usuwa lub zwraca powierzone dane osobowe oraz usuwa ich istniejące kopie, chyba że prawo Unii lub prawo polskie nakazują ich dalsze przechowywanie. Skreślenie członka w trakcie korzystania z Platformy powoduje anonimizację jego danych w rejestrze, zgodnie z zasadami opisanymi w polityce prywatności.

8. Postanowienia końcowe

Umowa podlega prawu polskiemu. O istotnych zmianach Umowy Administrator zostanie poinformowany w aplikacji lub e-mailem, a zmieniona wersja będzie wymagała ponownej akceptacji, jeśli charakter zmiany tego wymaga. Wersję dokumentu zaakceptowaną przez Administratora Platforma przechowuje wraz z datą akceptacji.