Umowa powierzenia przetwarzania danych osobowych

(art. 28 RODO) — stanowi integralną część Regulaminu i jest zawierana z chwilą rejestracji konta pracowni.

Wersja robocza do weryfikacji przez prawnika. Uzupełnij dane Podmiotu przetwarzającego przed publikacją.

§1. Strony

Administrator danych — Pracownia (Klient) w rozumieniu Regulaminu, identyfikowana danymi podanymi przy rejestracji konta.
Podmiot przetwarzający — [pełna nazwa firmy], [adres], NIP [NIP], operator usługi Labovo.

§2. Przedmiot i cel powierzenia

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych wyłącznie w celu i zakresie niezbędnym do świadczenia usługi Labovo, tj. hostingu, przechowywania, wyświetlania, przesyłania powiadomień oraz wykonywania kopii zapasowych danych wprowadzonych do aplikacji przez Administratora i jego użytkowników.

§3. Rodzaj danych i kategorie osób

Lekarze i personel gabinetów: imię i nazwisko, e-mail, telefon, nazwa i adres gabinetu, NIP, adres IP i data akceptacji dokumentów.
Technicy i pracownicy Pracowni: imię i nazwisko, e-mail, telefon, specjalizacja.
Pacjenci: wyłącznie identyfikator (kod) pacjenta nadany przez gabinet, pozycje zębowe, rodzaj pracy oraz pliki skanów. Administrator zobowiązuje się nie wprowadzać danych umożliwiających bezpośrednią identyfikację pacjenta (imię, nazwisko, PESEL) — jeżeli je wprowadza, czyni to na własną odpowiedzialność i zapewnia podstawę prawną.

§4. Obowiązki Podmiotu przetwarzającego

Przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym jest korzystanie z usługi zgodnie z Regulaminem.
Zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy.
Wdraża środki techniczne i organizacyjne, w szczególności: szyfrowanie transmisji TLS, przechowywanie haseł w postaci skrótu, logiczną separację danych pracowni, kontrolę dostępu opartą na rolach, rejestrowanie operacji, codzienne kopie zapasowe, serwery zlokalizowane w UE.
Pomaga Administratorowi w realizacji praw osób, których dane dotyczą, oraz w wypełnianiu obowiązków z art. 32–36 RODO, w zakresie odpowiadającym charakterowi usługi.
Zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia.
Po zakończeniu świadczenia usługi usuwa dane lub umożliwia ich eksport, zgodnie z §8 Regulaminu, chyba że prawo nakazuje ich przechowywanie.
Udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyt, po uprzednim uzgodnieniu terminu, nie częściej niż raz w roku, na koszt Administratora.

§5. Dalsze powierzenie (podprocesorzy)

Administrator wyraża ogólną zgodę na korzystanie z następujących podprocesorów: Hetzner Online GmbH (infrastruktura, UE), Stripe Payments Europe Ltd. (płatności), [dostawca SMTP] (wysyłka e-mail). O zamiarze zmiany podprocesora Podmiot przetwarzający informuje z 14-dniowym wyprzedzeniem; Administrator może w tym terminie wyrazić sprzeciw, co jest równoznaczne z wypowiedzeniem umowy o świadczenie usługi.

§6. Odpowiedzialność

Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem wyłącznie, gdy nie dopełnił obowiązków nałożonych bezpośrednio na podmioty przetwarzające przez RODO lub działał poza zgodnymi z prawem poleceniami Administratora. Ograniczenie odpowiedzialności z §7 Regulaminu stosuje się odpowiednio.

§7. Czas trwania

Umowa obowiązuje przez czas korzystania przez Administratora z usługi Labovo i wygasa z chwilą usunięcia danych po zakończeniu umowy o świadczenie usługi.