Załącznik nr 4 do SWKO
Umowa
powierzenia przetwarzania danych osobowych
do Umowy o świadczenia zdrowotne w zakresie badań tomografii komputerowej nr ……………………..DL
zawarta pomiędzy
Samodzielnym Zespołem Publicznych Zakładów Opieki Zdrowotnej im. Dzieci Warszawy z siedzibą w Dziekanowie Leśnym jako Administratorem
a
…………………………………….jako Przetwarzającym

Spis treści
1.	Opis Przetwarzania
2.	Podpowierzenie
3.	Obowiązki Przetwarzającego
4.	Obowiązki Administratora
5.	Bezpieczeństwo danych
6.	Powiadomienie o Naruszeniach Danych Osobowych
7.	Nadzór
8.	Oświadczenia Stron
9.	Odpowiedzialność
10.	Okres Obowiązywania Umowy Powierzenia [art. 28 ust. 3 RODO]
11.	Usunięcie Danych
12.	Postanowienia Końcowe

Umowa 
powierzenia przetwarzania danych osobowych nr ………….
stanowiąca uzupełnienie Umowy o świadczenia zdrowotne w zakresie badań tomografii komputerowej nr …………………..
zawarta w dniu .................... w Dziekanowie Leśnym pomiędzy:
Samodzielnym Zespołem Publicznych Zakładów Opieki Zdrowotnej im. Dzieci Warszawy z siedzibą w Dziekanowie Leśnym przy ulicy Konopnickiej 65, 05-092 Łomianki, wpisanym do rejestru stowarzyszeń, innych organizacji społecznych i zawodowych, fundacji oraz samodzielnych publicznych zakładów opieki zdrowotnej Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m. st. Warszawy, XIV Wydział Gospodarczy, pod nr KRS 0000072265, identyfikująca się numerami NIP 1181349898 oraz REGON 000291210 reprezentowanym przez:
Roberta Lasotę – Dyrektora
zwanym dalej „Administratorem”
a
……………………………………………………………………………………….
reprezentowaną przez:
……………………………….
……………………………….
zwaną dalej „Przetwarzającym”,

zwanymi dalej łącznie: „Stronami”.

Mając na uwadze, że:
i.	Strony zawarły Umowę o świadczenia zdrowotne w zakresie badań tomografii komputerowej  nr …….. z dnia………. roku („Umowa Podstawowa”), w związku z wykonywaniem której Administrator powierzył Przetwarzającemu przetwarzanie danych osobowych w zakresie określonym Umową;
ii.	celem Umowy jest ustalenie warunków, na jakich Przetwarzający wykonuje operacje przetwarzania Danych Osobowych w imieniu Administratora;
iii.	Strony zawierając Umowę dążą do takiego uregulowania zasad przetwarzania Danych Osobowych, aby odpowiadały one w pełni postanowieniom rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119, s. 1) – dalej RODO;
Strony postanowiły zawrzeć Umowę o następującej treści:
1.	Opis Przetwarzania
1.1.	Przedmiot [art. 28 ust. 3 RODO] Na warunkach określonych niniejszą Umową oraz Umową Podstawową Administrator powierza Przetwarzającemu przetwarzanie (w rozumieniu RODO) dalej opisanych Danych Osobowych. 
1.2.	Czas [art. 28 ust. 3 RODO] Przetwarzanie będzie wykonywane w okresie obowiązywania Umowy Podstawowej na podstawie informacji o przetwarzaniu dokumentacji medycznej przez czas wskazany przez przepisy prawne.
1.3.	Charakter i cel [art. 28 ust. 3 RODO] Charakter i cel przetwarzania wynikają z Umowy Podstawowej. W szczególności:
1.3.1.	charakter przetwarzania określony jest następującą rolą Przetwarzającego: podmiot wykonujący świadczenia zdrowotne z zakresu diagnostyki obrazowej na rzecz osób wskazanych przez Administratora, tj. jego Pacjentów, zaś 
1.3.2.	celem przetwarzania jest umożliwienie realizacji pełnego zakresu świadczeń zdrowotnych udzielanych Pacjentom Administratora oraz prowadzenie dokumentacji medycznej zgodnie z obowiązującymi przepisami prawa.
1.3.3.	Celem przetwarzania są rozliczenia finansowe pomiędzy Stronami .
1.4.	Rodzaj danych [art. 28 ust. 3 RODO] Przetwarzanie obejmować będzie następujące rodzaje danych osobowych („Dane”):
Dane zwykłe należące do pacjentów, w tym małoletnich pacjentów oraz dane przedstawicieli ustawowych, i opiekunów:
(1)	imię i nazwisko,
(2)	numer ewidencyjny PESEL,
(3)	data urodzenia,
(4)	wiek,
(5)	płeć, 
(6)	adres,
(7)	telefon kontaktowy,
Dane szczególnych kategorii należące do pacjentów, w tym małoletnich pacjentów:
(8)	cel i uzasadnienie badania, wstępne rozpoznanie kliniczne z zaznaczonym kodem ICD-10 i inne informacje niezbędne do prawidłowego przeprowadzenia badania,
Dane personelu Administratora:
(9)	imię i nazwisko lekarza zlecającego badanie,
(10)	numer prawa wykonywania zawodu lekarza zlecającego badanie.
1.5.	Kategorie osób [art. 28 ust. 3 RODO] Przetwarzanie Danych będzie dotyczyć następujących kategorii osób:
(1)	Pacjentów Administratora, w tym małoletnich Pacjentów Administratora oraz przedstawicieli ustawowych, opiekunów,
(2)	personelu Administratora zlecającego badania.
2.	Podpowierzenie 
2.1.	Podpowierzenie [art. 28 ust. 2 RODO] Przetwarzający może powierzyć konkretne operacje przetwarzania Danych („podpowierzenie”) w drodze pisemnej umowy podpowierzenia („Umowa Podpowierzenia”) innym podmiotom przetwarzającym. („Podprzetwarzający”), pod warunkiem uprzedniej akceptacji Podprzetwarzającego przez Administratora lub braku sprzeciwu. 
2.2.	Sprzeciw. Powierzenie przetwarzania Danych Podprzetwarzającym spoza Listy Zaakceptowanych Podprzetwarzających wymaga uprzedniego zgłoszenia Administratorowi w celu umożliwienia wyrażenia sprzeciwu. Administrator może z uzasadnionych przyczyn zgłosić udokumentowany sprzeciw względem powierzenia Danych konkretnemu Podprzetwarzającemu. W razie zgłoszenia sprzeciwu Przetwarzający nie ma prawa powierzyć Danych Podprzetwarzającemu objętemu sprzeciwem, a jeżeli sprzeciw dotyczy aktualnego Podprzetwarzającego, musi niezwłocznie zakończyć podpowierzenie temu Podprzetwarzającemu. Wątpliwości co do zasadności sprzeciwu i ewentualnych negatywnych konsekwencji Przetwarzający zgłosi Administratorowi w czasie umożliwiającym zapewnienie ciągłości przetwarzania. 
2.3.	Transfer obowiązków [art. 28 ust. 4 RODO] Dokonując podpowierzenia Przetwarzający ma obowiązek zobowiązać Podprzetwarzającego do realizacji wszystkich obowiązków Przetwarzającego wynikających z niniejszej Umowy powierzenia, z wyjątkiem tych, które nie mają zastosowania ze względu na naturę konkretnego podpowierzenia. 
2.4.	Zobowiązanie względem Administratora. Przetwarzający ma obowiązek zapewnić, aby Podprzetwarzający złożył Administratorowi zobowiązanie do wykonania obowiązków, o których mowa w poprzednim ustępie. Może to zostać wykonane przez podpisanie stosownego oświadczenia adresowanego do Administratora wraz z podpisaniem Umowy Podpowierzenia, zawierającego listę obowiązków Podprzetwarzającego. 
2.5.	Zakaz podzlecenia świadczenia głównego [art. 28 ust. 4 RODO] Przetwarzający nie ma prawa przekazać Podprzetwarzającemu całości wykonania Umowy. 
3.	Obowiązki Przetwarzającego
Przetwarzający ma następujące obowiązki:
3.1.	Udokumentowane polecenia [art. 28 ust. 3 lit. a RODO] Przetwarzający przetwarza Dane wyłącznie zgodnie z udokumentowanymi poleceniami lub instrukcjami Administratora. 
3.2.	Nieprzetwarzanie poza EOG [art. 28 ust. 3 lit. a RODO] Przetwarzający oświadcza, że nie przekazuje Danych do państwa trzeciego lub organizacji międzynarodowej (czyli poza Europejski Obszar Gospodarczy („EOG”)). Przetwarzający oświadcza również, że nie korzysta z podwykonawców, którzy przekazują Dane poza EOG. 
3.3.	Poinformowanie o zamiarze przetwarzania poza EOG. [art. 28 ust. 3 lit. a RODO] Jeżeli Przetwarzający ma zamiar lub obowiązek przekazywać Dane poza EOG, informuje o tym Administratora, w celu umożliwienia Administratorowi podjęcia decyzji i działań niezbędnych do zapewnienia zgodności przetwarzania z prawem lub zakończenia powierzenia przetwarzania.
3.4.	Tajemnica [art. 28 ust. 3 lit. b RODO] Przetwarzający uzyskuje od osób, które zostały upoważnione do przetwarzania Danych w wykonaniu Umowy, udokumentowane zobowiązania do zachowania tajemnicy, ewentualnie upewnia się, że te osoby podlegają ustawowemu obowiązkowi zachowania tajemnicy.
3.5.	Bezpieczeństwo [art. 28 ust. 3 lit. c RODO] Przetwarzający zapewnia ochronę Danych i podejmuje środki ochrony danych, o których mowa w art. 32 RODO, zgodnie z dalszymi postanowieniami Umowy.
3.6.	Podprzetwarzanie [art. 28 ust. 3 lit. d RODO] Przetwarzający przestrzega warunków korzystania z usług innego podmiotu przetwarzającego (Podprzetwarzającego).
3.7.	Współpraca przy realizacji praw jednostki [art. 28 ust. 3 lit. e RODO] Przetwarzający zobowiązuje się wobec Administratora do odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania praw określonych w rozdziale III RODO („Prawa jednostki”). Przetwarzający oświadcza, że zapewnia obsługę Praw jednostki w odniesieniu do powierzonych Danych. Szczegóły obsługi Praw jednostki zostaną pomiędzy Stronami uzgodnione. Strony ustaliły procedurę obsługi Praw jednostki odrębnym dokumentem.
3.8.	Wsparcie przy obowiązkach bezpieczeństwa [art. 28 ust. 3 lit. f RODO] Przetwarzający współpracuje z Administratorem przy wykonywaniu przez Administratora obowiązków z obszaru ochrony danych osobowych, o których mowa w art. 32−36 RODO (ochrona danych, zgłaszanie naruszeń organowi nadzorczemu, zawiadamianie osób dotkniętych naruszeniem ochrony danych, ocena skutków dla ochrony danych i uprzednie konsultacje z organem nadzorczym).
3.9.	Legalność poleceń [art. 28 ust. 3 ak. 2 RODO] Jeżeli Przetwarzający poweźmie wątpliwości co do zgodności z prawem wydanych przez Administratora poleceń lub instrukcji, Przetwarzający natychmiast informuje Administratora o stwierdzonej wątpliwości (w sposób udokumentowany i z uzasadnieniem).
3.10.	  Projektowanie prywatności [art. 25 ust. 1 RODO] Planując dokonanie zmian w sposobie przetwarzania Danych, Przetwarzający ma obowiązek zastosować się do wymogu projektowania prywatności, o którym mowa w art. 25 ust. 1 RODO i ma obowiązek z wyprzedzeniem informować Administratora o planowanych zmianach w taki sposób i terminach, aby zapewnić Administratorowi realną możliwość reagowania, jeżeli planowane przez Przetwarzającego zmiany w opinii Administratora grożą uzgodnionemu poziomowi bezpieczeństwa Danych lub zwiększają ryzyko naruszenia praw lub wolności osób, wskutek przetwarzania Danych przez Przetwarzającego.
3.11.	Minimalizacja [art. 25 ust. 2 RODO] Przetwarzający zobowiązuje się do ograniczenia dostępu do Danych Osobowych wyłącznie do osób, których dostęp do Danych jest potrzebny dla realizacji Umowy i posiadających odpowiednie upoważnienie.
3.12.	RCPD [art. 30 ust. 2 RODO] Przetwarzający zobowiązuje się do prowadzenia dokumentacji opisującej sposób przetwarzania Danych, w tym rejestru czynności przetwarzania danych osobowych (wymóg art. 30 RODO). Przetwarzający udostępniania na żądanie Administratora prowadzony rejestr czynności przetwarzania danych przetwarzającego, z wyłączeniem informacji stanowiących tajemnicę handlową innych klientów Przetwarzającego. 
3.13.	Profilowanie [art. 13 i 14 RODO] Jeżeli Przetwarzający wykorzystuje w celu realizacji Umowy zautomatyzowane przetwarzanie, w tym profilowanie, o którym mowa w art. 22 ust. 1 i 4 RODO, Przetwarzający informuje o tym Administratora w celu i w zakresie niezbędnym do wykonania przez Administratora obowiązku informacyjnego. 
3.14.	Szkolenie personelu Przetwarzający ma obowiązek zapewnić osobom upoważnionym do przetwarzania Danych odpowiednie szkolenie z zakresu ochrony danych osobowych.
4.	Obowiązki Administratora
4.1.	Administrator zobowiązany jest współdziałać z Przetwarzającym w wykonaniu Umowy, udzielać Przetwarzającemu wyjaśnień w razie wątpliwości co do legalności poleceń Administratora, jak też wywiązywać się terminowo ze swoich szczegółowych obowiązków.
5.	Powiadomienie o Naruszeniach Danych Osobowych
5.1.	Powiadomienie o naruszeniu. Przetwarzający powiadamia Administratora danych o każdym podejrzeniu naruszenia ochrony Danych osobowych nie później niż w 24 godziny od pierwszego zgłoszenia, umożliwia Administratorowi uczestnictwo w czynnościach wyjaśniających i informuje Administratora o ustaleniach z chwilą ich dokonania, w szczególności o stwierdzeniu naruszenia. 
5.2.	Rozwinięcie. Powiadomienie o stwierdzeniu naruszenia, powinno być przesłane wraz z wszelką niezbędną dokumentacją dotyczącą naruszenia, aby umożliwić Administratorowi spełnienie obowiązku powiadomienia organ nadzoru.
6.	Nadzór
6.1.	Sprawowanie kontroli [art. 28 ust. 3 lit. h RODO] Administrator kontroluje sposób przetwarzania powierzonych Danych Osobowych po uprzednim poinformowaniu Przetwarzającego o planowanej kontroli. Administrator lub wyznaczone przez niego osoby są uprawnione do (i) wstępu do pomieszczeń, w których przetwarzane są Dane Osobowe oraz (ii) wglądu do dokumentacji związanej z przetwarzaniem Danych Osobowych. Administrator uprawniony jest do żądania od Przetwarzającego udzielania informacji dotyczących przebiegu przetwarzania Danych Osobowych, oraz udostępnienia rejestrów przetwarzania.
6.2.	Współpraca przy kontroli. [art. 28 ust. 3 lit. h RODO] Przetwarzający współpracuje z urzędem ochrony danych osobowych w zakresie wykonywanych przez niego zadań. 
6.3.	Przetwarzający: 
(1)	udostępnia Administratorowi wszelkie informacje niezbędne do wykazania zgodności działania Administratora z przepisami RODO,
(2)	umożliwia Administratorowi lub upoważnionemu audytorowi przeprowadzanie audytów lub inspekcji. Przetwarzający współpracuje w zakresie realizacji audytów lub inspekcji.
7.	Oświadczenia Stron
7.1.	Oświadczenie Administratora. Administrator oświadcza, że jest Administratorem Danych oraz, że jest uprawniony do ich przetwarzania w zakresie, w jakim powierzył je Przetwarzającemu.
7.2.	Oświadczenie Przetwarzającego [art. 28 ust. 1 RODO]. Przetwarzający oświadcza, że w ramach prowadzonej działalności gospodarczej profesjonalnie zajmuje się przetwarzaniem danych osobowych objętym Umowa i Umową Podstawową, posiada w tym zakresie niezbędną wiedzę, odpowiednie środki techniczne i organizacyjne oraz daje rękojmię należytego wykonania niniejszej Umowy. 
8.	Odpowiedzialność 
8.1.	Odpowiedzialność Przetwarzającego [art. 82 ust. 3 RODO] Przetwarzający odpowiada za szkody spowodowane swoim działaniem w związku z niedopełnieniem obowiązków, które RODO nakłada bezpośrednio na Przetwarzającego lub gdy działał poza zgodnymi z prawem instrukcjami Administratora lub wbrew tym instrukcjom. Przetwarzający odpowiada za szkody spowodowane zastosowaniem lub niezastosowaniem właściwych środków bezpieczeństwa.
8.2.	Odpowiedzialność za Podprzetwarzających [art. 28 ust. 4 RODO] Jeżeli Podprzetwarzający nie wywiąże się ze spoczywających na nim obowiązków ochrony danych, pełna odpowiedzialność wobec Administratora za wypełnienie obowiązków przez Podprzetwarzającego spoczywa na Przetwarzającym.
9.	Termin obowiązywania umowy – usunięcie danych
9.1 Niniejsza Umowa zostaje zawarta na czas wynikający z czasokresu przetwarzania danych osobowych przez Powierzającego, w tym niniejsza Umowa nie ulega rozwiązaniu mimo rozwiązania Umowy Głównej/Umów Głównych, jeżeli z przepisów szczególnych, w tym dotyczących przechowywania dokumentacji medycznej wynikają dłuższe okresy, w których dane osobowe nadal będą przetwarzane przez Przetwarzającego.
9.2. Po zakończeniu przetwarzania danych osobowych, niezależnie od dalszego obowiązywania Umowy Głównej/Umów Głównych, Przetwarzający zobowiązany jest do usunięcia lub zwrotu Administratorowi wszelkich danych osobowych (w tym również części danych) uzyskanych w związku z realizacją Umowy Głównej/Umów Głównych, których dalsze przetwarzanie, w tym archiwizowanie nie jest wymagana odrębnymi przepisami prawa.
9.3. Jeżeli odrębne przepisy tego wymagają, Przetwarzający zobowiązany jest do archiwizacji lub usunięcia danych osobowych zgodnie z tymi przepisami. W zakresie nieuregulowanym w odrębnych przepisach, Przetwarzający zobowiązany jest do usunięcia danych w sposób uniemożliwiający ich odtworzenie. Przed usunięciem danych Przetwarzający uzgodni z Administratorem, które z powierzonych danych podlegać będą zwrotowi, a które usunięciu.
10.	Postanowienia Końcowe
10.1.	Pierwszeństwo. W razie sprzeczności pomiędzy postanowieniami niniejszej Umowy Powierzenia a Umowy Podstawowej, pierwszeństwo mają postanowienia Umowy Powierzenia. Oznacza to także, że kwestie dotyczące przetwarzania danych osobowych pomiędzy Administratorem a Przetwarzającym należy regulować poprzez zmiany niniejszej Umowy lub w wykonaniu jej postanowień.
10.2.	Egzemplarze. Umowa została sporządzona w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej ze Stron.
10.3.	Właściwość prawa. Umowa podlega prawu polskiemu oraz RODO.

ADMINISTRATOR							PRZETWARZAJĄCY