Na tej stronie znajduje się umowa powierzenia przetwarzania danych (AVV) Wartungshelden. Obowiązuje, gdy w ramach usług konserwacji przetwarzamy dane osobowe w imieniu klientów.
Uwaga:
Umowa obowiązuje, gdy Wartungshelden w ramach zleconych usług przetwarza dane osobowe w imieniu klienta.
Umowa powierzenia przetwarzania danych (AVV)
między
klientem / zleceniodawcą
– dalej „Administratorem” –
a
Wartungshelden
Reiner Schmeinck
Waltraudstraße 19
45888 Gelsenkirchen
Niemcy
E-mail: info@wartungshelden.de
Telefon: 0209 98898746
– dalej „Podmiotem przetwarzającym” –
zwanymi łącznie także „Stronami”.
1. Przedmiot i czas przetwarzania
Umowa reguluje prawa i obowiązki Stron w związku z przetwarzaniem danych osobowych przez Podmiot przetwarzający w imieniu Administratora.
Przedmiotem przetwarzania jest świadczenie usług konserwacji, utrzymania, bezpieczeństwa, kopii zapasowych, monitorowania, wsparcia i innych usług technicznych dla stron WordPress Administratora.
Czas obowiązywania umowy odpowiada czasowi głównej umowy o konserwację między Stronami. Z zakończeniem umowy głównej kończy się także AVV, z zastrzeżeniem ustawowych obowiązków przechowywania.
2. Charakter i cel przetwarzania
Podmiot przetwarzający przetwarza dane osobowe wyłącznie w celu wykonania zleconych usług konserwacji.
Przetwarzanie może obejmować w szczególności:
- Dostęp do systemu WordPress Administratora
- Utrzymanie i konserwację techniczną
- Zarządzanie aktualizacjami
- Kontrole bezpieczeństwa
- Skanowanie złośliwego oprogramowania
- Tworzenie kopii zapasowych
- Odtwarzanie zbiorów danych
- Analizę i usuwanie błędów
- Monitorowanie i rejestrowanie techniczne
- Usługi wsparcia i administracji
Konkretne przetwarzanie odbywa się wyłącznie w zakresie niezbędnym do wykonania usług uzgodnionych w umowie.
3. Rodzaje danych osobowych i kategorie osób, których dane dotyczą
W ramach powierzonego przetwarzania mogą być przetwarzane w szczególności następujące kategorie danych osobowych:
- Dane podstawowe
- Dane kontaktowe
- Dane komunikacyjne
- Dane użytkowania
- Adresy IP
- Dane treści
- Dane klientów
- Dane umowne
- Techniczne dane dzienników
- Dane z baz danych, formularzy lub funkcji strony
Przetwarzanie może dotyczyć w szczególności:
- Klientów Administratora
- Potencjalnych klientów Administratora
- Odwiedzających stronę
- Pracowników Administratora
- Osób kontaktowych
- Innych użytkowników strony prowadzonej przez Administratora
4. Związanie poleceniami
Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, chyba że jest zobowiązany do przetwarzania przepisami prawa.
Ustne polecenia należy niezwłocznie potwierdzić w formie tekstowej.
Jeżeli Podmiot przetwarzający uważa, że polecenie narusza prawo ochrony danych, niezwłocznie poinformuje o tym Administratora.
5. Poufność
Podmiot przetwarzający zapewnia, że wszystkie osoby zajmujące się przetwarzaniem danych osobowych są zobowiązane do poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.
Obowiązek poufności trwa także po zakończeniu umowy.
6. Środki techniczne i organizacyjne
Podmiot przetwarzający podejmuje odpowiednie środki techniczne i organizacyjne, aby zapewnić poziom ochrony odpowiedni do ryzyka.
Środki mogą obejmować w szczególności:
- Ochronę dostępu do systemów i kont użytkowników
- Koncepcje uprawnień
- Uwierzytelnianie dwuskładnikowe, jeśli dostępne
- Szyfrowanie, jeśli technicznie celowe
- Zabezpieczenie dostępów administracyjnych
- Rejestrowanie dostępów technicznych
- Kopie zapasowe
- Ochronę przed nieuprawnionym dostępem
- Środki zapewniające możliwość odtworzenia i dostępność
- Regularne sprawdzanie i aktualizowanie zabezpieczeń
Podmiot przetwarzający ma prawo dostosowywać środki techniczne i organizacyjne do postępu technicznego, o ile nie obniża poziomu ochrony.
7. Obowiązki wsparcia
Podmiot przetwarzający wspiera Administratora w wypełnianiu obowiązków ustawowych, uwzględniając charakter przetwarzania i dostępne mu informacje.
Dotyczy to w szczególności:
- Pomocy przy żądaniach osób, których dane dotyczą
- Pomocy w zapewnieniu bezpieczeństwa przetwarzania
- Pomocy przy zgłaszaniu naruszeń ochrony danych
- Pomocy przy ocenach skutków dla ochrony danych, jeśli wymagane
8. Zgłaszanie naruszeń ochrony danych
Podmiot przetwarzający niezwłocznie informuje Administratora, gdy dowie się o naruszeniu ochrony danych osobowych związanym z powierzonym przetwarzaniem.
Zgłoszenie powinno, w miarę możliwości, zawierać wszystkie informacje potrzebne Administratorowi do wykonania ustawowych obowiązków zgłaszania i zawiadamiania.
9. Dalsze podmioty przetwarzające
Administrator udziela Podmiotowi przetwarzającemu ogólnego zezwolenia na korzystanie z dalszych podmiotów przetwarzających, o ile jest to konieczne do wykonania umowy.
Podmiot przetwarzający informuje Administratora o planowanych zmianach dotyczących angażowania lub zastępowania dalszych podmiotów przetwarzających, aby Administrator mógł zgłosić sprzeciw.
Podmiot przetwarzający zapewnia umowne zobowiązanie dalszych podmiotów do obowiązków ochrony danych zasadniczo odpowiadających obowiązkom określonym w tej umowie.
Typowo wykorzystywane dalsze podmioty przetwarzające mogą obejmować:
- Dostawców hostingu
- Dostawców kopii zapasowych
- Dostawców usług bezpieczeństwa i monitorowania
- Dostawców usług chmurowych
- Usługi e-mail i komunikacyjne
- Narzędzia wsparcia i zdalnej konserwacji
10. Przekazywanie do państw trzecich
Przetwarzanie danych osobowych w państwie trzecim lub przez usługodawcę w państwie trzecim odbywa się wyłącznie po spełnieniu ustawowych warunków.
Jeżeli dalsze podmioty przetwarzające lub inni usługodawcy techniczni działają poza UE lub EOG, Podmiot przetwarzający zapewnia odpowiednie zabezpieczenia.
11. Prawa kontroli i dowody
Administrator ma prawo w odpowiednim zakresie kontrolować przestrzeganie obowiązków określonych w umowie lub zlecić kontrolę osobom trzecim.
Na żądanie Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania przestrzegania obowiązków ochrony danych.
Kontrole zasadniczo odbywają się po odpowiednim uprzednim zawiadomieniu, w zwykłych godzinach pracy i bez nadmiernego zakłócania działalności.
Pierwszeństwo mają odpowiednie dokumentacje, raporty kontroli, certyfikaty lub inne dokumenty, o ile mogą stanowić dowód.
12. Zwrot i usunięcie
Po zakończeniu usług przetwarzania Podmiot przetwarzający, według wyboru Administratora, usuwa lub zwraca wszystkie dane osobowe, o ile nie istnieje ustawowy obowiązek przechowywania.
Ustawowe obowiązki przechowywania pozostają nienaruszone.
Kopie w ramach zwykłych procesów tworzenia kopii zapasowych i archiwizacji mogą pozostać przez technicznie konieczne cykle przechowywania, po czym należy je usunąć lub nadpisać zgodnie z ochroną danych.
13. Obowiązki Administratora
Administrator pozostaje odpowiedzialny za zgodność przetwarzania z prawem oraz ochronę praw osób, których dane dotyczą.
Administrator niezwłocznie i wyczerpująco informuje Podmiot przetwarzający o stwierdzonych błędach lub nieprawidłowościach w zakresie wymagań ochrony danych.
Administrator odpowiada za zgodne z prawem przetwarzanie danych osobowych na swojej stronie oraz kompletne i prawidłowe udostępnianie informacji o ochronie danych osobom, których dane dotyczą.
14. Odpowiedzialność
Odpowiedzialność Stron regulują przepisy ustawowe, a uzupełniająco postanowienia zawartej między Stronami umowy głównej, o ile zostały skutecznie uzgodnione.
Bezwzględnie obowiązujące przepisy odpowiedzialności za ochronę danych pozostają nienaruszone.
15. Postanowienia końcowe
Zmiany i uzupełnienia umowy wymagają co najmniej formy tekstowej.
Jeśli poszczególne postanowienia umowy są lub staną się w całości lub części nieskuteczne, skuteczność pozostałych postanowień pozostaje nienaruszona.
W zakresie dopuszczalnym prawem obowiązuje prawo niemieckie.
AVV obowiązuje, gdy Wartungshelden w ramach zleconych usług przetwarza dane osobowe w imieniu klienta. Jeśli nie ma dostępu do danych osobowych lub nie dochodzi do powierzonego przetwarzania, AVV nie ma zastosowania.
Załącznik 1: Środki techniczne i organizacyjne (TOM)
Kontrola dostępu fizycznego
- Ochrona stanowisk pracy, urządzeń i nośników przed nieuprawnionym dostępem fizycznym
Kontrola dostępu do systemów
- Ochrona hasłem
- Indywidualne konta użytkowników
- Uwierzytelnianie dwuskładnikowe, jeśli dostępne
Kontrola dostępu do danych
- Uprawnienia oparte na rolach
- Ograniczenie uprawnień administratora do niezbędnych osób
Kontrola przekazywania
- Szyfrowana transmisja, jeśli technicznie dostępna
- Korzystanie z bezpiecznych kanałów komunikacji
Kontrola wprowadzania danych
- Rejestrowanie dostępów technicznych lub administracyjnych, jeśli technicznie możliwe
Kontrola zleceń
- Jasne procesy wewnętrzne obsługi zleceń konserwacyjnych
- Wybór odpowiednich usługodawców technicznych
Kontrola dostępności
- Strategie kopii zapasowych
- Ochrona przed utratą danych
- Środki odtwarzania
Wymóg rozdzielenia
- Oddzielne przetwarzanie według projektów, stron lub klientów, o ile technicznie i organizacyjnie wykonalne