Umowa powierzenia przetwarzania danych osobowych (DPA)

Komparycja

Niniejsza Umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa powierzenia" lub „DPA") stanowi Załącznik nr 1 do Regulaminu świadczenia usługi TAMAIA (dalej: „Regulamin") i zostaje zawarta pomiędzy:

ADMINISTRATOREM:

Kliniką (Klientem) korzystającą z usługi TAMAIA na podstawie Regulaminu:

• Nazwa: ………………………………………………………………
• Adres siedziby: ………………………………………………………………
• NIP: ……………………………
• Reprezentowaną przez: ………………………………………………………………

(dalej: „Administrator" lub „Klinika")

a

PODMIOTEM PRZETWARZAJĄCYM:

Excellent Patient Service sp. z o.o. z siedzibą przy ul. Lubomirskiego 39E, 36-040 Boguchwała, NIP 5170359961, REGON 180874009, KRS 0000429303, e-mail: biuro@doskonalaobslugapacjenta.pl, działającą pod marką „TAMAIA" i świadczącą usługę za pośrednictwem aplikacji dostępnej w domenie app.tamaia.pl

(dalej: „Podmiot przetwarzający" lub „TAMAIA")

— dalej łącznie zwanymi „Stronami", a każda z osobna „Stroną".

Umowa powierzenia zostaje zawarta z chwilą zaakceptowania Regulaminu przez Administratora i rozpoczęcia korzystania z usługi TAMAIA albo z chwilą jej podpisania przez obie Strony, w zależności od tego, które zdarzenie nastąpi wcześniej.

§ 1. Definicje

1. Ilekroć w Umowie powierzenia jest mowa o: - RODO — rozumie się przez to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych); - Usłudze lub TAMAIA — rozumie się przez to usługę analizy jakości i skuteczności rozmów recepcji świadczoną przez Podmiot przetwarzający na zasadach określonych w Regulaminie, w tym przetwarzanie nagrań rozmów, ich transkrypcję oraz analizę z wykorzystaniem asystenta opartego na sztucznej inteligencji o nazwie „MAIA"; - Danych osobowych — rozumie się przez to dane osobowe w rozumieniu art. 4 pkt 1 RODO, powierzone przez Administratora do przetwarzania na podstawie niniejszej Umowy powierzenia; - Danych szczególnych kategorii — rozumie się przez to dane osobowe, o których mowa w art. 9 ust. 1 RODO, w tym dane dotyczące zdrowia; - Przetwarzaniu — rozumie się przez to przetwarzanie w rozumieniu art. 4 pkt 2 RODO; - Pod-procesorze (dalszym podmiocie przetwarzającym) — rozumie się przez to podmiot, któremu Podmiot przetwarzający powierza dalej przetwarzanie Danych osobowych w celu świadczenia Usługi; - Naruszeniu ochrony danych — rozumie się przez to naruszenie w rozumieniu art. 4 pkt 12 RODO; - EOG — rozumie się przez to Europejski Obszar Gospodarczy; - Regulaminie — rozumie się przez to Regulamin świadczenia usługi TAMAIA, którego niniejsza Umowa powierzenia stanowi Załącznik nr 1.
2. Pojęcia niezdefiniowane w Umowie powierzenia mają znaczenie nadane im w Regulaminie oraz w RODO.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych osobowych w zakresie i na zasadach określonych w niniejszej Umowie powierzenia, a Podmiot przetwarzający zobowiązuje się przetwarzać te dane wyłącznie w celu i w sposób w niej opisany.
2. Przedmiotem przetwarzania są dane pacjentów oraz osób kontaktujących się z recepcją Kliniki, a także powiązane z tymi kontaktami nagrania rozmów recepcji, ich transkrypcje oraz wyniki analizy wykonanej z wykorzystaniem sztucznej inteligencji (asystent „MAIA").
3. Charakter przetwarzania obejmuje czynności zautomatyzowane i częściowo zautomatyzowane: pozyskiwanie i przechowywanie nagrań rozmów, ich transkrypcję (zamianę mowy na tekst), analizę treści rozmów przez modele sztucznej inteligencji, generowanie i udostępnianie raportów oraz ocen jakości i skuteczności rozmów uprawnionym użytkownikom po stronie Administratora, a także usuwanie danych zgodnie z § 9.
4. Celem przetwarzania jest świadczenie Usługi polegającej na analizie jakości i skuteczności rozmów recepcji Kliniki.
5. Podmiot przetwarzający przetwarza Dane osobowe wyłącznie na udokumentowane polecenie Administratora, co obejmuje również przekazywanie Danych osobowych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek taki nakłada na Podmiot przetwarzający prawo Unii Europejskiej lub prawo polskie; w takim przypadku przed rozpoczęciem przetwarzania Podmiot przetwarzający informuje Administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.
6. Za udokumentowane polecenie Administratora uznaje się postanowienia Regulaminu i niniejszej Umowy powierzenia, ustawienia i czynności dokonywane przez upoważnionych użytkowników Administratora w aplikacji app.tamaia.pl oraz odrębne polecenia przekazane Podmiotowi przetwarzającemu na piśmie lub w formie dokumentowej (w tym pocztą elektroniczną).
7. Jeżeli w ocenie Podmiotu przetwarzającego polecenie Administratora stanowi naruszenie RODO lub innych przepisów o ochronie danych, Podmiot przetwarzający niezwłocznie informuje o tym Administratora.

§ 3. Czas trwania przetwarzania

1. Przetwarzanie Danych osobowych na podstawie niniejszej Umowy powierzenia trwa przez okres obowiązywania Regulaminu (Umowy) zawartej między Stronami.
2. Niniejsza Umowa powierzenia wiąże Strony przez cały okres świadczenia Usługi. Po jego zakończeniu zastosowanie znajdują postanowienia § 9 dotyczące usunięcia lub zwrotu Danych osobowych, a postanowienia dotyczące poufności oraz odpowiedzialności pozostają w mocy także po zakończeniu Umowy powierzenia.

§ 4. Rodzaj danych osobowych i kategorie osób, których dane dotyczą

1. Kategorie osób, których dane dotyczą: - pacjenci oraz osoby kontaktujące się (dzwoniące) z recepcją Kliniki; - personel recepcji Kliniki, którego głos i wypowiedzi utrwalone są w nagraniach rozmów.
2. Rodzaj (kategorie) Danych osobowych: - imię i nazwisko; - numer telefonu; - adres e-mail; - treść rozmowy (nagranie głosowe oraz jego transkrypcja); - wyniki analizy wykonanej przez sztuczną inteligencję (oceny, wskaźniki, podsumowania rozmów); - informacje o udzielonych zgodach.
3. W zakresie wskazanym w § 5 wśród powierzonych Danych osobowych mogą znaleźć się Dane szczególnych kategorii.

§ 5. Dane szczególnych kategorii (art. 9 RODO) — dane dotyczące zdrowia

1. Strony zgodnie przyjmują, że w treści rozmów pacjentów z recepcją Kliniki mogą pojawić się Dane szczególnych kategorii w rozumieniu art. 9 ust. 1 RODO, w szczególności dane dotyczące zdrowia (np. informacje o dolegliwościach, planowanych zabiegach, stanie zdrowia jamy ustnej), które zostają utrwalone w nagraniu rozmowy oraz w jej transkrypcji, a następnie mogą podlegać analizie.
2. Podstawa prawna przetwarzania Danych szczególnych kategorii. Administrator (Klinika) oświadcza, że zapewnia odpowiednią podstawę dopuszczalności przetwarzania Danych szczególnych kategorii zgodnie z art. 9 ust. 2 RODO, w szczególności: - art. 9 ust. 2 lit. h RODO — przetwarzanie niezbędne do celów profilaktyki zdrowotnej, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, zarządzania systemami i usługami opieki zdrowotnej, na podstawie przepisów prawa lub zgodnie z umową z pracownikiem służby zdrowia, z zachowaniem warunków i gwarancji z art. 9 ust. 3 RODO (obowiązek zachowania tajemnicy zawodowej); - ewentualnie art. 9 ust. 2 lit. a RODO — wyraźna zgoda osoby, której dane dotyczą, jeżeli Administrator opiera przetwarzanie na zgodzie. Wybór i prawidłowe udokumentowanie podstawy z art. 9 ust. 2 RODO oraz pozyskanie ewentualnych zgód należą do Administratora.
3. Wzmocnione środki ochrony. Z uwagi na możliwość przetwarzania Danych szczególnych kategorii Podmiot przetwarzający stosuje wzmocnione środki techniczne i organizacyjne, w szczególności: - szyfrowanie nagrań i transkrypcji w spoczynku (at-rest) — status: w trakcie wdrożenia; do czasu pełnego wdrożenia stosowane są pozostałe środki wymienione w § 6, a Podmiot przetwarzający dokłada starań w celu możliwie najszybszego wdrożenia szyfrowania at-rest; - ograniczenie dostępu do nagrań, transkrypcji i wyników analizy wyłącznie do osób upoważnionych, zgodnie z kontrolą dostępu opartą na rolach; - minimalizację danych przekazywanych do modeli sztucznej inteligencji (w treści zapytań/promptów AI) do zakresu niezbędnego dla celu analizy.
4. Ocena skutków dla ochrony danych (DPIA). Strony przyjmują, że przeprowadzenie oceny skutków dla ochrony danych zgodnie z art. 35 RODO jest zalecane, a w odniesieniu do analizy nagrań zawierających Dane szczególnych kategorii (dane dotyczące zdrowia) może być wymagane. Obowiązek przeprowadzenia DPIA spoczywa na Administratorze; Podmiot przetwarzający, uwzględniając charakter przetwarzania oraz dostępne mu informacje, wspiera Administratora w jej przeprowadzeniu na zasadach określonych w § 7 ust. 6.

§ 6. Środki techniczne i organizacyjne (art. 32 RODO)

1. Podmiot przetwarzający, uwzględniając stan wiedzy technicznej, koszt wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych, wdraża odpowiednie środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający temu ryzyku, zgodnie z art. 32 RODO.
2. Stosowane środki obejmują w szczególności: - szyfrowanie transmisji danych za pomocą protokołu TLS; - haszowanie haseł użytkowników (z wykorzystaniem algorytmu bcrypt); - kontrolę dostępu opartą na rolach (ograniczenie dostępu do danych zgodnie z uprawnieniami użytkownika); - izolację danych poszczególnych Klientów (najemców) realizowaną na poziomie identyfikatora kliniki (clinic_id), tak aby dane jednego Klienta nie były dostępne dla innego; - prowadzenie rejestru zdarzeń i dostępu (audit log) na potrzeby rozliczalności; - minimalizację danych przekazywanych do modeli sztucznej inteligencji w treści zapytań (promptów AI); - pseudonimizację danych wykorzystywanych w zestawieniach porównawczych (benchmarkach), które prezentowane są wyłącznie zbiorczo i obejmują nie mniej niż 3 praktyki (gabinety/kliniki), tak aby uniemożliwić identyfikację pojedynczego Klienta lub osoby; - szyfrowanie nagrań i transkrypcji w spoczynku (at-rest) — status: w trakcie wdrożenia (por. § 5 ust. 3).
3. Podmiot przetwarzający zapewnia zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania oraz dokonuje okresowego przeglądu i, w miarę potrzeby, aktualizacji stosowanych środków, w zakresie odpowiednim do zmieniającego się ryzyka.
4. Szczegółowy, aktualny wykaz środków technicznych i organizacyjnych może być prowadzony przez Podmiot przetwarzający w odrębnym dokumencie i udostępniany Administratorowi na zasadach określonych w § 8.

§ 7. Obowiązki Podmiotu przetwarzającego (art. 28 ust. 3 lit. a–h RODO)

Podmiot przetwarzający zobowiązuje się do:

1. (lit. a) przetwarzania Danych osobowych wyłącznie na udokumentowane polecenie Administratora, na zasadach określonych w § 2, w tym w odniesieniu do przekazywania danych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek taki nakłada prawo Unii Europejskiej lub prawo polskie;
2. (lit. b) zapewnienia, by osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania poufności lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania poufności, oraz dopuszczania do przetwarzania wyłącznie osób posiadających stosowne upoważnienie;
3. (lit. c) podjęcia wszelkich środków wymaganych na mocy art. 32 RODO, opisanych w § 6 niniejszej Umowy powierzenia;
4. (lit. d) przestrzegania warunków korzystania z usług innego podmiotu przetwarzającego (Pod-procesora) określonych w § 10, w tym w zakresie ogólnej zgody Administratora, notyfikacji zmian oraz nakładania na Pod-procesorów obowiązków ochrony danych odpowiadających obowiązkom z niniejszej Umowy powierzenia;
5. (lit. e) pomocy Administratorowi — biorąc pod uwagę charakter przetwarzania oraz, w miarę możliwości, za pomocą odpowiednich środków technicznych i organizacyjnych — w wywiązaniu się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III RODO (art. 12–23), w tym prawa dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz prawa do sprzeciwu;
6. (lit. f) pomocy Administratorowi w wywiązaniu się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter przetwarzania oraz dostępne Podmiotowi przetwarzającemu informacje, w tym w zakresie bezpieczeństwa przetwarzania, zgłaszania naruszeń ochrony danych organowi nadzorczemu i zawiadamiania osób, których dane dotyczą, oceny skutków dla ochrony danych (DPIA) oraz uprzednich konsultacji z organem nadzorczym;
7. (lit. g) — po zakończeniu świadczenia Usługi związanej z przetwarzaniem — usunięcia lub zwrotu Administratorowi wszelkich Danych osobowych oraz usunięcia wszelkich ich istniejących kopii, na zasadach określonych w § 9, chyba że prawo Unii Europejskiej lub prawo polskie nakazują przechowywanie Danych osobowych;
8. (lit. h) udostępniania Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwienia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzania audytów, w tym inspekcji, i przyczyniania się do nich, na zasadach określonych w § 8;
9. niezwłocznego poinformowania Administratora, jeżeli zdaniem Podmiotu przetwarzającego wydane mu polecenie stanowi naruszenie RODO lub innych przepisów Unii Europejskiej lub prawa polskiego o ochronie danych.

§ 8. Audyt i obowiązki informacyjne

1. Podmiot przetwarzający udostępnia Administratorowi — na jego pisemny wniosek — informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO oraz z niniejszej Umowy powierzenia.
2. Administrator ma prawo do przeprowadzenia audytu, w tym inspekcji, dotyczącego przetwarzania powierzonych Danych osobowych, osobiście lub przez upoważnionego audytora zobowiązanego do zachowania poufności.
3. Audyt przeprowadza się w sposób, który nie narusza poufności i bezpieczeństwa danych innych Klientów Podmiotu przetwarzającego oraz nie zakłóca w sposób nieproporcjonalny ciągłości świadczenia Usługi. Audyt nie może obejmować dostępu do danych osobowych innych Klientów ani do informacji stanowiących tajemnicę przedsiębiorstwa osób trzecich.
4. Administrator zawiadamia Podmiot przetwarzający o zamiarze przeprowadzenia audytu z co najmniej 14-dniowym wyprzedzeniem; audyt odbywa się w godzinach pracy Podmiotu przetwarzającego, w uzgodnionym terminie i nie częściej niż raz w roku kalendarzowym, z wyjątkiem audytu prowadzonego w następstwie stwierdzonego Naruszenia ochrony danych lub na żądanie organu nadzorczego.
5. Każda ze Stron ponosi własne koszty związane z audytem. Jeżeli audyt wymaga od Podmiotu przetwarzającego nakładu pracy przekraczającego zwykłą obsługę wniosku, Strony mogą uzgodnić zwrot uzasadnionych, udokumentowanych kosztów Podmiotu przetwarzającego.
6. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie wydane w ramach audytu narusza RODO lub inne przepisy o ochronie danych.

§ 9. Usunięcie lub zwrot danych po zakończeniu oraz retencja

1. Okresy retencji (wiążące). W trakcie obowiązywania Umowy powierzenia Podmiot przetwarzający przechowuje powierzone dane przez następujące okresy: - nagrania rozmów, transkrypcje oraz wyniki analizy wykonanej przez sztuczną inteligencję — 12 miesięcy; - rejestry zdarzeń i dostępu (logi, audit log) — 12 miesięcy.
2. Po upływie okresów wskazanych w ust. 1 odpowiednie dane są usuwane automatycznie (z wykorzystaniem mechanizmu cyklicznego usuwania danych — zadania automatycznego), z zastrzeżeniem przypadków, w których prawo nakazuje dłuższe przechowywanie.
3. Zakończenie świadczenia Usługi. Po zakończeniu świadczenia Usługi Podmiot przetwarzający — według wyboru Administratora — usuwa albo zwraca Administratorowi wszelkie powierzone Dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii Europejskiej lub prawo polskie nakazują przechowywanie Danych osobowych.
4. Wybór pomiędzy usunięciem a zwrotem danych Administrator wskazuje Podmiotowi przetwarzającemu najpóźniej w dniu zakończenia świadczenia Usługi. W braku takiego wskazania w terminie 14 dni od zakończenia świadczenia Usługi Podmiot przetwarzający przystępuje do usunięcia danych.
5. Terminy realizacji: - zwrot Danych osobowych (w powszechnie używanym formacie umożliwiającym dalsze przetwarzanie) następuje w terminie 30 dni od zakończenia świadczenia Usługi; - usunięcie Danych osobowych oraz wszelkich kopii następuje w terminie 60 dni od zakończenia świadczenia Usługi (a w przypadku wyboru zwrotu — po jego dokonaniu).
6. Na żądanie Administratora Podmiot przetwarzający potwierdza dokonanie usunięcia lub zwrotu Danych osobowych.

§ 10. Pod-powierzenie (Pod-procesorzy)

1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z usług dalszych podmiotów przetwarzających (Pod-procesorów) w celu świadczenia Usługi, na zasadach określonych w niniejszym paragrafie.
2. Wykaz dopuszczonych Pod-procesorów (allowlista). Administrator udziela z góry zgody na korzystanie z Pod-procesorów wymienionych w poniższym wykazie, wyłącznie w zakresie ról i przy spełnieniu warunków tam wskazanych. Pod-procesorzy wymienieni w pozycjach 1–10, 12 i 13 przetwarzają Dane osobowe w obrębie EOG; w tym zakresie nie występuje transfer Danych osobowych poza EOG i stosowanie standardowych klauzul umownych (SCC) nie jest wymagane. Odrębnie uregulowana jest pozycja 10 (kanały komunikacji Meta) — jest ona nieaktywna, dopóki Administrator sam nie podłączy takiego kanału; po podłączeniu treść wiadomości wymienianych tym kanałem jest przetwarzana przez Meta, także poza EOG, na podstawie umowy zawartej bezpośrednio pomiędzy Administratorem a Meta. Nagrania, transkrypcje i wyniki analizy nie są przekazywane do Meta w żadnym zakresie. Pozycje 12 i 15 (automatyczna obsługa połączeń) są nieaktywne, dopóki Administrator nie poleci uruchomienia tej funkcji dla swoich numerów; przetwarzanie odbywa się wyłącznie w EOG, a warunkiem dopuszczenia jest poinformowanie pacjenta na początku rozmowy, że rozmawia z automatem. Wpisanie pozycji 13 i 15 do wykazu nie oznacza uruchomienia tej funkcji — oznacza wyłącznie, że jej późniejsze uruchomienie nie będzie wymagało zmiany niniejszej Umowy powierzenia.

3. Strony potwierdzają, że Podmiot przetwarzający nie przekazuje Danych osobowych dostawcom mającym siedzibę poza EOG ani nie korzysta z ich usług przy przetwarzaniu Danych osobowych, z zastrzeżeniem pozycji 10 wykazu, której skutki opisano w ust. 2 i która wymaga uprzedniej decyzji Administratora. W szczególności Dane osobowe nie są przekazywane do Anthropic PBC ani do żadnego innego dostawcy w Stanach Zjednoczonych.

Dla uniknięcia wątpliwości: analiza treści rozmów wykonywana jest z wykorzystaniem modeli językowych udostępnianych przez Amazon Web Services w ramach usługi Amazon Bedrock, wyłącznie w regionach przetwarzania położonych w EOG. Modele te są uruchamiane przez AWS na infrastrukturze AWS; twórca modelu nie jest stroną przetwarzania i nie otrzymuje Danych osobowych. Pod-procesorem w rozumieniu ust. 2 jest AWS, a nie twórca modelu.

Przechowywanie Nagrań: Nagrania rozmów powstają i są przechowywane w infrastrukturze Pod-procesora wskazanego w ust. 2 poz. 1, w postaci zaszyfrowanej. Za ich przechowywanie, zabezpieczenie oraz okres retencji odpowiada ten Pod-procesor, na warunkach odrębnej umowy powierzenia zawartej z Podmiotem przetwarzającym. Pod-procesor oświadczył pisemnie (korespondencja z dnia 7 lipca 2026 r.), że w przypadku klientów z Polski oraz pozostałych państw Unii Europejskiej dane, w tym nagrania rozmów, przechowywane są na serwerach znajdujących się na terytorium Unii Europejskiej. Pod-procesor potwierdził również (korespondencja z dnia 24 czerwca 2026 r.), że usunięcie Nagrań z jego serwerów następuje na żądanie Podmiotu przetwarzającego w terminie ok. 10–14 dni. Kopia robocza Nagrania, pobierana przez Podmiot przetwarzający wyłącznie na potrzeby transkrypcji i analizy, przechowywana jest w postaci zaszyfrowanej wyłącznie w obrębie EOG (poz. 7 wykazu — region EU West, Amsterdam). 4. Przełączanie w obrębie wykazu. Skorzystanie przez Podmiot przetwarzający z innego Pod-procesora spośród wymienionych w ust. 2, w zakresie roli mu przypisanej, nie stanowi dodania ani zastąpienia Pod-procesora w rozumieniu art. 28 ust. 2 RODO i nie wymaga odrębnej informacji ani zachowania terminu, o którym mowa w ust. 7. Zgoda Administratora na taki zakres została udzielona w ust. 2. 5. Obowiązek odnotowania. Każde przełączenie, o którym mowa w ust. 4, Podmiot przetwarzający odnotowuje w prowadzonym przez siebie rejestrze przetwarzania, ze wskazaniem Pod-procesora, roli, regionu przetwarzania oraz daty. Rejestr ten Podmiot przetwarzający udostępnia Administratorowi na jego żądanie, nie później niż w terminie 7 dni. 6. Warunek utrzymania w wykazie. Pod-procesor wymieniony w ust. 2 pozostaje objęty zgodą Administratora wyłącznie dopóki spełnia warunki wskazane przy jego pozycji oraz przetwarza Dane osobowe w obrębie EOG. Z chwilą ustania któregokolwiek z tych warunków Pod-procesor przestaje być objęty zgodą z ust. 2, a dalsze korzystanie z jego usług wymaga zachowania trybu określonego w ust. 7. Podmiot przetwarzający zobowiązuje się nie kierować Danych osobowych do Pod-procesora, który przestał spełniać te warunki. 7. Dodanie Pod-procesora spoza wykazu. Dodanie Pod-procesora niewymienionego w ust. 2 albo powierzenie Pod-procesorowi roli innej niż przypisana mu w ust. 2 wymaga uprzedniego poinformowania Administratora o zamierzonej zmianie. Administrator może wnieść uzasadniony sprzeciw w terminie 14 dni od dnia otrzymania informacji. W razie wniesienia sprzeciwu Podmiot przetwarzający nie kieruje Danych osobowych do takiego Pod-procesora do czasu jego rozpatrzenia. 8. W razie wniesienia uzasadnionego sprzeciwu Strony w dobrej wierze podejmą próbę uzgodnienia rozwiązania. Jeżeli uzgodnienie nie będzie możliwe, a brak możliwości skorzystania z danego Pod-procesora uniemożliwia dalsze świadczenie Usługi w niezmienionym kształcie — w tym w szczególności gdy nie istnieje alternatywny Pod-procesor spełniający warunki określone w ust. 2 przy zachowaniu parametrów jakościowych Usługi — każdej ze Stron przysługuje prawo rozwiązania Umowy w części dotkniętej sporem lub zaprzestania korzystania z odpowiedniej funkcjonalności Usługi, na zasadach określonych w Regulaminie. 9. Podmiot przetwarzający zapewnia, że na każdego Pod-procesora zostają nałożone — na mocy umowy lub innego instrumentu prawnego — obowiązki ochrony danych odpowiadające obowiązkom określonym w niniejszej Umowie powierzenia, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych, o których mowa w art. 28 ust. 1 i 3 RODO. Jeżeli Pod-procesor nie wywiąże się ze swoich obowiązków ochrony danych, pełna odpowiedzialność wobec Administratora za wypełnienie obowiązków tego Pod-procesora spoczywa na Podmiocie przetwarzającym.

§ 11. Transfery poza EOG

1. Przetwarzanie powierzonych Danych osobowych odbywa się wyłącznie w obrębie EOG. Podmiot przetwarzający nie przekazuje Danych osobowych do państwa trzeciego poza EOG ani do organizacji międzynarodowej, w tym do Stanów Zjednoczonych.
2. Gdyby przekazanie Danych osobowych poza EOG okazało się w przyszłości niezbędne, nastąpi ono wyłącznie: - na udokumentowane polecenie Administratora lub gdy obowiązek taki nakłada prawo Unii Europejskiej lub prawo polskie, oraz - przy zapewnieniu ważnego mechanizmu transferu zgodnego z rozdziałem V RODO (w szczególności standardowych klauzul umownych — SCC, lub decyzji stwierdzającej odpowiedni stopień ochrony), oraz - po uprzedniej aktualizacji niniejszej Umowy powierzenia i wykazu Pod-procesorów.

§ 12. Naruszenia ochrony danych

1. Podmiot przetwarzający, po stwierdzeniu Naruszenia ochrony danych dotyczącego powierzonych Danych osobowych, zgłasza je Administratorowi bez zbędnej zwłoki.
2. Zgłoszenie zawiera co najmniej informacje umożliwiające Administratorowi wywiązanie się z obowiązków wynikających z art. 33 i 34 RODO, w zakresie dostępnym Podmiotowi przetwarzającemu, w szczególności: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów danych, których dotyczy naruszenie, prawdopodobne konsekwencje naruszenia oraz zastosowane lub proponowane środki zaradcze.
3. Jeżeli w chwili zgłoszenia nie jest możliwe przekazanie wszystkich informacji jednocześnie, Podmiot przetwarzający przekazuje je sukcesywnie, w miarę ich ustalania, bez zbędnej zwłoki.
4. Zgłaszanie naruszeń organowi nadzorczemu (Prezesowi Urzędu Ochrony Danych Osobowych) oraz zawiadamianie osób, których dane dotyczą, należy do Administratora; Podmiot przetwarzający wspiera Administratora w realizacji tych obowiązków zgodnie z § 7 pkt 6.

§ 13. Odpowiedzialność

1. Każda ze Stron ponosi odpowiedzialność za szkody spowodowane przetwarzaniem na zasadach określonych w art. 82 RODO oraz w przepisach prawa polskiego.
2. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem wyłącznie wówczas, gdy nie dopełnił obowiązków nałożonych przez RODO bezpośrednio na podmioty przetwarzające lub gdy działał poza zgodnymi z prawem poleceniami Administratora bądź wbrew tym poleceniom.
3. Ograniczenia odpowiedzialności określone w Regulaminie stosuje się odpowiednio do niniejszej Umowy powierzenia w zakresie, w jakim jest to dopuszczalne przepisami prawa; ograniczenia te nie wyłączają ani nie ograniczają odpowiedzialności wynikającej z bezwzględnie obowiązujących przepisów o ochronie danych osobowych.

§ 14. Współpraca z organem nadzorczym

Podmiot przetwarzający zobowiązuje się do współpracy z Administratorem oraz, na żądanie, z Prezesem Urzędu Ochrony Danych Osobowych w zakresie wykonywania zadań tego organu dotyczących powierzonego przetwarzania Danych osobowych.

§ 15. Postanowienia końcowe

1. Pierwszeństwo DPA. W sprawach dotyczących przetwarzania Danych osobowych, w razie sprzeczności postanowień niniejszej Umowy powierzenia z postanowieniami Regulaminu, pierwszeństwo mają postanowienia niniejszej Umowy powierzenia (DPA).
2. Prawo właściwe. Prawem właściwym dla niniejszej Umowy powierzenia jest prawo polskie; w sprawach nieuregulowanych zastosowanie mają w szczególności RODO, ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeks cywilny.
3. Właściwość sądu. Spory wynikające z niniejszej Umowy powierzenia Strony poddają sądowi powszechnemu właściwemu miejscowo zgodnie z Regulaminem (sąd właściwy miejscowo dla siedziby Usługodawcy).
4. Forma zmian. Zmiany niniejszej Umowy powierzenia wymagają formy pisemnej lub dokumentowej pod rygorem nieważności, z zastrzeżeniem trybu aktualizacji wykazu Pod-procesorów określonego w § 10.
5. Charakter dokumentu. Niniejsza Umowa powierzenia stanowi Załącznik nr 1 do Regulaminu i jest jego integralną częścią. Wejście w życie i obowiązywanie Umowy powierzenia są powiązane z obowiązywaniem Regulaminu.

Podpisy Stron

ADMINISTRATOR (Klinika / Klient)

Nazwa: ………………………………………………………………

Miejscowość: ……………………………… Data: ………………………

Imię i nazwisko osoby reprezentującej: ………………………………………………………………

Podpis: ………………………………………………………………

PODMIOT PRZETWARZAJĄCY (Excellent Patient Service sp. z o.o. — „TAMAIA")

Miejscowość: ……………………………… Data: ………………………

Imię i nazwisko osoby reprezentującej: ………………………………………………………………

Podpis: ………………………………………………………………

Historia zmian dokumentu