Umowa powierzenia przetwarzania danych

Umowa powierzenia przetwarzania danych osobowych

(usługi Cantabo dla parafii — wzorzec globalny)

zawarta w dniu {{DO UZUPEŁNIENIA: data zawarcia}} w {{DO UZUPEŁNIENIA: miejscowość}} (dalej „Umowa"), pomiędzy:

ADMINISTRATOREM DANYCH:
{{DO UZUPEŁNIENIA: pełna nazwa Parafii / instytucji, np. „Parafia Rzymskokatolicka pw. ... w ..."}},
publiczną kościelną osobą prawną,
adres: {{DO UZUPEŁNIENIA: ulica, kod, miejscowość}},
NIP: {{DO UZUPEŁNIENIA: NIP, o ile dotyczy}}, REGON: {{DO UZUPEŁNIENIA: REGON, o ile dotyczy}},
reprezentowaną przez: {{DO UZUPEŁNIENIA: imię, nazwisko i funkcja reprezentanta, np. proboszcz}}
(dalej „Administrator" lub „Parafia"),

a

PODMIOTEM PRZETWARZAJĄCYM:
Szewczyk IT Sp. z o.o. z siedzibą w Krakowie, Rynek Główny 28, 31-010 Kraków,
wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000931332,
NIP PL6762605897, REGON 520388869,
reprezentowaną przez: {{DO UZUPEŁNIENIA: imię, nazwisko i funkcja reprezentanta}}
(dalej „Podmiot przetwarzający", „Cantabo" lub „Dostawca"),

zwanymi dalej łącznie „Stronami", a każda z osobna „Stroną".

Preambuła

1. Strony zawarły umowę o świadczenie usług Cantabo na rzecz Parafii (dalej „Umowa Główna"), obejmujących w szczególności: obsługę członkostwa w Parafii, zapisów na adorację, dyżurów spowiedzi i ogłoszeń parafialnych w aplikacjach Cantabo, Cantabo Adoracje i Cantabo Spowiedź oraz na stronach adoracje.cantabo.pl i spowiedz.cantabo.pl; transmisje nabożeństw; aplikacje Cantabo Studio i Cantabo Live; panel parafii oraz urządzenia instalowane w kościele (Cantabo Hub, ekrany).
2. Wykonanie Umowy Głównej wiąże się z przetwarzaniem przez Podmiot przetwarzający danych osobowych, których administratorem jest Parafia.
3. Niniejsza Umowa określa zasady i warunki tego przetwarzania i stanowi umowę powierzenia w rozumieniu art. 28 ust. 3 RODO — Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej „RODO") — oraz art. 19 Dekretu ogólnego Konferencji Episkopatu Polski z dnia 13 marca 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w Kościele katolickim (dalej „Dekret").
4. Parafia, jako publiczna kościelna osoba prawna, stosuje Dekret i podlega nadzorowi Kościelnego Inspektora Ochrony Danych. Podmiot przetwarzający nie należy do porządku kanonicznego, dlatego niniejsza Umowa zostaje zawarta zgodnie z kan. 1290 Kodeksu Prawa Kanonicznego (według prawa cywilnego), a Podmiot przetwarzający — niezależnie od obowiązków wynikających z RODO i nadzoru Prezesa Urzędu Ochrony Danych Osobowych — zobowiązuje się przestrzegać przepisów Dekretu w zakresie powierzonych mu Danych osobowych (art. 19 ust. 4 Dekretu).
5. W zakresie, w jakim Cantabo samodzielnie ustala cele i sposoby przetwarzania niektórych danych — konto Cantabo użytkownika (numer telefonu lub adres e-mail, logowanie, zalogowane urządzenia, tokeny powiadomień, ulubione kościoły, ustawienia), bezpieczeństwo i utrzymanie platformy, statystyki oglądalności, wspólny katalog pieśni i chorału, korespondencja, rozliczenia i obowiązki prawne Dostawcy — Cantabo działa jako odrębny administrator, a zasady tego przetwarzania opisuje Polityka prywatności Cantabo (cantabo.pl/privacy); taki zakres nie jest objęty niniejszą Umową powierzenia.

§ 1. Definicje

Terminy pisane wielką literą i niezdefiniowane odrębnie mają znaczenie nadane im w RODO. Ponadto:

1. Dane osobowe — dane osobowe powierzone przez Administratora do przetwarzania na podstawie niniejszej Umowy, opisane w Załączniku nr 1.
2. Przetwarzanie — operacje na Danych osobowych w rozumieniu art. 4 pkt 2 RODO.
3. Podprocesor — dalszy podmiot przetwarzający, któremu Podmiot przetwarzający powierza przetwarzanie Danych osobowych (art. 28 ust. 4 RODO, art. 19 ust. 3 Dekretu).
4. Naruszenie ochrony danych — naruszenie w rozumieniu art. 4 pkt 12 RODO.
5. Dekret — akt wskazany w ust. 3 preambuły.
6. KIOD — Kościelny Inspektor Ochrony Danych, organ nadzorczy właściwy dla Parafii na podstawie Dekretu.
7. Organ nadzorczy — dla Parafii: KIOD; dla Podmiotu przetwarzającego: Prezes Urzędu Ochrony Danych Osobowych (PUODO).
8. Usługa — usługi Cantabo świadczone Parafii na podstawie Umowy Głównej, o których mowa w preambule.

§ 2. Przedmiot, charakter, cel i czas przetwarzania

1. Przedmiot przetwarzania: Dane osobowe niezbędne do świadczenia Usługi na rzecz Administratora, wskazane w Załączniku nr 1.
2. Charakter przetwarzania: przetwarzanie w systemach teleinformatycznych Podmiotu przetwarzającego oraz na sparowanych urządzeniach Administratora, obejmujące w szczególności: zbieranie, utrwalanie, przechowywanie, porządkowanie, modyfikowanie, synchronizację między urządzeniem a serwerem, wyświetlanie upoważnionym osobom Parafii, przeglądanie, wersjonowanie, pseudonimizację, anonimizację oraz usuwanie.
3. Cel przetwarzania: wyłącznie realizacja Umowy Głównej — dostarczanie funkcjonalności Usługi (przyjmowanie i rozpatrywanie zgłoszeń do Parafii, nadawanie ról, prowadzenie grafików adoracji i dyżurów spowiedzi, ogłoszenia i powiadomienia parafialne, transmisje, parowanie urządzeń, zarządzanie repertuarem i porządkami, historia wersji, prowadzenie projekcji, wsparcie techniczne) — zgodnie z udokumentowanymi poleceniami Administratora.
4. Czas przetwarzania: przez okres obowiązywania Umowy Głównej, a po jej zakończeniu — przez okres i w zakresie niezbędnym do wykonania obowiązków z § 11 (zwrot/usunięcie danych), o ile dalsze przechowywanie nie jest wymagane przepisami prawa. Okresy przechowywania poszczególnych kategorii danych w trakcie trwania Umowy określa Załącznik nr 1.
5. Kategorie osób, których dane dotyczą, oraz rodzaje Danych osobowych określa Załącznik nr 1.

§ 3. Rodzaj Danych osobowych i kategorie osób

1. Rodzaje Danych osobowych oraz kategorie osób, których dane dotyczą, szczegółowo określa Załącznik nr 1 do Umowy.
2. Przetwarzanie obejmuje dane ujawniające przekonania religijne (art. 9 ust. 1 RODO; art. 7 ust. 2 Dekretu) — w szczególności przynależność do Parafii, zgłoszenia do Parafii, role w Parafii, zapisy na adorację i dyżury spowiedzi. Parafia przetwarza je na podstawie art. 9 ust. 2 lit. d RODO i art. 7 ust. 2 Dekretu; ponadto Usługa zbiera od osoby, której dane dotyczą, wyraźną zgodę (art. 9 ust. 2 lit. a RODO) przy zgłoszeniu do Parafii i przy pierwszym zapisie na adorację, utrwalając datę jej wyrażenia i wersję treści zgody. Przetwarzanie nie obejmuje danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO).
3. Administrator oświadcza, że jest uprawniony do przetwarzania powierzanych Danych osobowych i dysponuje odpowiednią podstawą prawną, a powierzenie ich Podmiotowi przetwarzającemu nie narusza przepisów.
4. Małoletni. Konto Cantabo może samodzielnie założyć osoba, która ukończyła 16 lat; osoba w wieku 13–15 lat — wyłącznie za zgodą rodzica lub opiekuna prawnego; dziecko poniżej 13 lat nie zakłada własnego konta, a zapisuje je rodzic lub opiekun ze swojego konta. Administrator oświadcza, że wobec członków Parafii poniżej 16 lat, których zgłoszenia przyjmuje, dysponuje zgodą rodzica lub opiekuna prawnego, i może przy rozpatrywaniu zgłoszenia poprosić o jej potwierdzenie.
5. Rozgraniczenie z kontem Cantabo. Konto Cantabo jako takie należy do zakresu, w którym Cantabo jest odrębnym administratorem (ust. 5 preambuły). Usunięcie konta przez użytkownika usuwa jego dane także w Parafii, z wyjątkiem pozostałości pozbawionych danych osobowych opisanych w Polityce prywatności Cantabo (m.in. minione zapisy w grafiku bez danych osoby, historia dyżurów bez imienia).

§ 4. Obowiązki i prawa Administratora

1. Administrator pozostaje administratorem powierzonych Danych osobowych i decyduje o celach i sposobach ich przetwarzania — w szczególności sam włącza moduły Usługi (np. adoracja, spowiedź), ustala zasady zapisów, przyjmuje i odrzuca zgłoszenia do Parafii oraz nadaje role.
2. Administrator zobowiązuje się:
   1. a) przekazywać Podmiotowi przetwarzającemu wyłącznie dane, do których przetwarzania jest uprawniony,
   2. b) wydawać polecenia zgodne z prawem,
   3. c) realizować obowiązki informacyjne wobec osób, których dane dotyczą (art. 8 Dekretu, art. 13–14 RODO) — w szczególności wobec członków Parafii, osób zapisujących się na adorację i personelu Parafii,
   4. d) informować uczestników nabożeństw o prowadzonej transmisji i odpowiadać za jej zgodność z prawem,
   5. e) współdziałać z Podmiotem przetwarzającym w zakresie niezbędnym do prawidłowej realizacji Umowy.
3. Administrator ma prawo kontroli sposobu przetwarzania powierzonych Danych osobowych na zasadach z § 12.

§ 5. Polecenia Administratora

1. Podmiot przetwarzający przetwarza Dane osobowe wyłącznie na udokumentowane polecenie Administratora (art. 28 ust. 3 lit. a RODO, art. 19 ust. 2 pkt 1 Dekretu), co dotyczy także przekazywania danych do państwa trzeciego lub organizacji międzynarodowej — chyba że obowiązek taki nakłada na Podmiot przetwarzający prawo Unii lub prawo państwa członkowskiego; w takim przypadku Podmiot przetwarzający informuje Administratora o tym obowiązku prawnym przed rozpoczęciem przetwarzania, o ile prawo to nie zabrania takiego informowania z uwagi na ważny interes publiczny.
2. Za udokumentowane polecenia uważa się: postanowienia Umowy Głównej i niniejszej Umowy, konfigurację i sposób korzystania z Usługi przez Administratora (w tym ustawienia w panelu parafii), a także odrębne polecenia przekazywane w formie dokumentowej (w tym elektronicznej).
3. Podmiot przetwarzający nie wykorzystuje Danych osobowych do własnych celów, w szczególności do reklamy, profilowania ani sprzedaży danych. Osoby działające w imieniu Podmiotu przetwarzającego nie przeglądają danych członków Parafii, z wyjątkiem obsługi zgłoszeń wsparcia i poleceń Administratora.
4. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie stanowi naruszenie RODO, Dekretu lub innych przepisów o ochronie danych (art. 28 ust. 3 zdanie drugie RODO).

§ 6. Poufność

1. Podmiot przetwarzający zapewnia, by osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy (art. 28 ust. 3 lit. b RODO, art. 19 ust. 2 pkt 2 Dekretu).
2. Podmiot przetwarzający nadaje upoważnienia do przetwarzania Danych osobowych wyłącznie osobom, których dostęp jest niezbędny do realizacji Umowy, oraz prowadzi ewidencję takich upoważnień.
3. Obowiązek poufności obowiązuje bezterminowo, także po zakończeniu Umowy.

§ 7. Bezpieczeństwo przetwarzania

1. Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku, uwzględniając stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania, a także szczególny charakter danych ujawniających przekonania religijne (art. 32 RODO, art. 22 Dekretu).
2. Wykaz stosowanych środków bezpieczeństwa zawiera Załącznik nr 2. Środki te obejmują w szczególności: szyfrowanie transmisji, uwierzytelnianie i podpisywanie żądań urządzeń, izolację danych między Parafiami (wielodostęp), kontrolę dostępu opartą na rolach, ochronę poświadczeń oraz kopie zapasowe.
3. Podmiot przetwarzający uwzględnia zasady ochrony danych w fazie projektowania oraz domyślnej ochrony danych (art. 25 RODO), w tym pseudonimizację i minimalizację (np. ukrycie autorstwa przed zgromadzeniem, pseudonimizacja autora na żądanie, anonimizacja minionych zapisów po upływie okresu przechowywania).
4. Podmiot przetwarzający okresowo testuje, mierzy i ocenia skuteczność środków bezpieczeństwa.

§ 8. Podpowierzenie (dalsze podmioty przetwarzające)

1. Podpisując Umowę, Administrator wyraża uprzednią pisemną zgodę (art. 28 ust. 2 RODO, art. 19 ust. 3 Dekretu) na korzystanie przez Podmiot przetwarzający z Podprocesorów wymienionych w Załączniku nr 3, w zakresie tam wskazanym.
2. Podmiot przetwarzający informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia Podprocesorów, dając Administratorowi możliwość wyrażenia sprzeciwu w terminie 14 dni od poinformowania (art. 28 ust. 2 zdanie drugie RODO). {{DO POTWIERDZENIA przez radcę prawnego: czy tryb „brak sprzeciwu" spełnia wymóg uprzedniej pisemnej zgody z art. 19 ust. 3 Dekretu, czy zmiana Załącznika nr 3 wymaga zgody Parafii w formie pisemnej.}}
3. W razie zgłoszenia uzasadnionego sprzeciwu Strony w dobrej wierze poszukują rozwiązania. Jeżeli nie jest ono możliwe, Administrator ma prawo wypowiedzieć Umowę Główną w części dotkniętej sprzeciwem, na zasadach określonych w Umowie Głównej.
4. Podmiot przetwarzający nakłada na każdego Podprocesora — w drodze umowy — te same obowiązki ochrony danych co określone w niniejszej Umowie (art. 28 ust. 4 RODO), w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych.
5. Podmiot przetwarzający ponosi wobec Administratora pełną odpowiedzialność za wykonanie przez Podprocesora jego obowiązków (art. 28 ust. 4 zdanie ostatnie RODO).

§ 9. Pomoc Administratorowi

1. Realizacja praw osób (art. 28 ust. 3 lit. e RODO, art. 19 ust. 2 pkt 4 Dekretu). Podmiot przetwarzający, biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Administratorowi — poprzez odpowiednie środki techniczne i organizacyjne — wywiązać się z obowiązku informowania osób, których dane dotyczą, i odpowiadania na ich żądania w zakresie wykonywania ich praw (art. 12–22 RODO, prawa określone w Dekrecie), w tym prawa dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i sprzeciwu. Usługa udostępnia w tym celu m.in. samodzielne opuszczenie Parafii, wypisanie z godziny adoracji i usunięcie konta przez użytkownika, funkcje eksportu danych Parafii, odparowania urządzeń oraz pseudonimizacji autorstwa na żądanie (w tym retroaktywnej — patrz § 11 ust. 5).
2. Wsparcie w obowiązkach z art. 32–36 RODO (art. 28 ust. 3 lit. f RODO). Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązków dotyczących: bezpieczeństwa przetwarzania, zgłaszania naruszeń organowi nadzorczemu i zawiadamiania osób, oceny skutków dla ochrony danych oraz uprzednich konsultacji — oraz odpowiadających im obowiązków z Dekretu — uwzględniając charakter przetwarzania oraz dostępne mu informacje.
3. Jeżeli żądanie osoby, której dane dotyczą, w sprawie danych przetwarzanych w ramach Parafii wpłynie bezpośrednio do Podmiotu przetwarzającego, przekaże je niezwłocznie Administratorowi i nie zrealizuje go samodzielnie, chyba że Administrator poleci inaczej, obowiązek wynika z prawa albo osoba korzysta z funkcji Usługi opisanych w ust. 1 (np. usuwa konto).
4. Zakres i ewentualne wynagrodzenie za pomoc wykraczającą poza standardowe funkcje Usługi określa {{DO UZUPEŁNIENIA: odesłanie do Umowy Głównej / cennika, o ile dotyczy}}.

§ 10. Zgłaszanie naruszeń ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi każde Naruszenie ochrony danych bez zbędnej zwłoki po jego stwierdzeniu, nie później niż w terminie 24 godzin od stwierdzenia (art. 33 ust. 2 RODO, art. 27 Dekretu) — tak, aby Administrator mógł dochować 72-godzinnego terminu zgłoszenia naruszenia KIOD.
2. Zgłoszenie zawiera co najmniej informacje wskazane w art. 33 ust. 3 RODO, w zakresie dostępnym Podmiotowi przetwarzającemu, w tym: charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, prawdopodobne konsekwencje, zastosowane lub proponowane środki zaradcze oraz dane kontaktowe do dalszych informacji.
3. Podmiot przetwarzający współdziała z Administratorem przy dokumentowaniu naruszenia oraz — w razie potrzeby — przy zawiadamianiu KIOD i osób, których dane dotyczą.
4. Zgłoszenia kierowane są na adres kontaktowy Administratora wskazany w § 16 oraz — ze strony Podmiotu przetwarzającego — na adres privacy@cantabo.pl.

§ 11. Zakończenie przetwarzania — zwrot lub usunięcie danych

1. Po zakończeniu świadczenia usług związanych z przetwarzaniem, zależnie od decyzji Administratora, Podmiot przetwarzający usuwa lub zwraca wszelkie Dane osobowe oraz usuwa ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje dalsze przechowywanie (art. 28 ust. 3 lit. g RODO, art. 19 ust. 2 pkt 5 Dekretu).
2. Administrator wskazuje wybraną opcję (zwrot lub usunięcie) najpóźniej w terminie 30 dni od zakończenia Umowy Głównej. Brak wskazania w tym terminie uprawnia Podmiot przetwarzający do usunięcia danych.
3. Zwrot danych następuje w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (m.in. eksport JSON per-Parafia). Administratorowi zapewnia się okno eksportu danych trwające 30 dni przed trwałym usunięciem. Dane w kopiach zapasowych wygasają w cyklu ich rotacji (7 ostatnich kopii, nie dłużej niż 30 dni).
4. Na żądanie Administrator otrzymuje pisemne (dokumentowe) potwierdzenie usunięcia danych.
5. Historia wersji i pseudonimizacja autorstwa. Strony przyjmują, że dla zachowania integralności repertuaru historia wersji treści jest utrzymywana, a minimalizacja danych osobowych realizowana jest przede wszystkim przez pseudonimizację autora (odłączenie identyfikatora użytkownika oraz zastąpienie utrwalonej nazwy autora wartością neutralną). Pseudonimizacja następuje na żądanie Administratora lub osoby, której dane dotyczą, i może być wykonana także retroaktywnie po usunięciu konta użytkownika. {{DO POTWIERDZENIA przez radcę prawnego: dopuszczalność zachowania treści historii po zakończeniu Umowy oraz zgodność mechanizmu z art. 17 ust. 3 RODO.}}

§ 12. Audyt, inspekcje i rejestr czynności

1. Podmiot przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i art. 19 Dekretu oraz umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich (art. 28 ust. 3 lit. h RODO, art. 19 ust. 2 pkt 6 Dekretu).
2. Audyt odbywa się na następujących zasadach:
   1. a) po uprzednim powiadomieniu z wyprzedzeniem co najmniej {{DO UZUPEŁNIENIA: np. 14}} dni, w dni robocze, w godzinach pracy, w sposób niezakłócający nadmiernie działalności Podmiotu przetwarzającego,
   2. b) nie częściej niż {{DO UZUPEŁNIENIA: np. raz w roku kalendarzowym}}, z zastrzeżeniem prawa do audytu doraźnego w razie stwierdzonego Naruszenia ochrony danych lub uzasadnionego podejrzenia takiego naruszenia,
   3. c) audytor związany jest obowiązkiem poufności; Administrator odpowiada za działania upoważnionego audytora,
   4. d) Podmiot przetwarzający może wykazywać zgodność również poprzez udostępnienie aktualnych certyfikatów, raportów lub wyników audytów niezależnych podmiotów, o ile pokrywają zakres badania.
3. KIOD. Podmiot przetwarzający udziela informacji i poddaje się kontroli Kościelnego Inspektora Ochrony Danych w zakresie powierzonych Danych osobowych (art. 21 ust. 4 i art. 38 Dekretu); ograniczenia z ust. 2 lit. a i b nie dotyczą kontroli prowadzonych przez organ nadzorczy.
4. Rejestr. Podmiot przetwarzający prowadzi rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO, art. 21 ust. 2 Dekretu) i udostępnia go na żądanie Administratora, KIOD lub PUODO.
5. Zasady ponoszenia kosztów audytu określa {{DO UZUPEŁNIENIA: Umowa Główna / niniejszy paragraf — np. każda Strona ponosi własne koszty; koszty nadzwyczajnych audytów doraźnych zależnie od wyniku}}.

§ 13. Przekazywanie danych poza EOG

1. Podmiot przetwarzający nie przekazuje Danych osobowych do państwa trzeciego ani organizacji międzynarodowej bez udokumentowanego polecenia Administratora, chyba że obowiązek taki nakłada prawo (§ 5 ust. 1).
2. Serwery Usługi znajdują się w Niemczech, a kopie zapasowe — w Polsce, na infrastrukturze Podmiotu przetwarzającego. Przekazanie poza Europejski Obszar Gospodarczy następuje wyłącznie w zakresie Podprocesorów wskazanych w Załączniku nr 3 (dostarczanie powiadomień przez Google i Apple, ochrona logowania przez Cloudflare), na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) wobec podmiotów w nim certyfikowanych albo standardowych klauzul umownych wraz z zabezpieczeniami uzupełniającymi (Rozdział V RODO).

§ 14. Odpowiedzialność

1. Każda ze Stron ponosi odpowiedzialność za szkody spowodowane przetwarzaniem naruszającym RODO na zasadach określonych w art. 82 RODO oraz w przepisach powszechnie obowiązujących.
2. Zasady i ewentualne ograniczenia odpowiedzialności kontraktowej między Stronami określa Umowa Główna, z zastrzeżeniem bezwzględnie obowiązujących przepisów prawa. {{DO UZUPEŁNIENIA: ewentualne odesłanie do limitów odpowiedzialności z Umowy Głównej — do weryfikacji przez radcę prawnego pod kątem dopuszczalności.}}

§ 15. Czas trwania, zmiany i rozwiązanie

1. Umowa zostaje zawarta na czas obowiązywania Umowy Głównej i wygasa wraz z nią, z zachowaniem § 6 (poufność) i § 11 (zakończenie przetwarzania).
2. Zmiany Umowy wymagają formy {{DO UZUPEŁNIENIA: pisemnej lub dokumentowej}} pod rygorem nieważności, z wyjątkiem aktualizacji Załącznika nr 3 (Podprocesorzy) dokonywanych w trybie § 8.
3. Jeżeli którekolwiek postanowienie Umowy okaże się nieważne, pozostałe postanowienia zachowują moc, a Strony zastąpią postanowienie nieważne postanowieniem najbliższym jego celowi.

§ 16. Postanowienia końcowe

1. W sprawach nieuregulowanych Umową stosuje się RODO, ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych, Dekret oraz inne właściwe przepisy prawa polskiego i Unii Europejskiej.
2. Prawem właściwym jest prawo polskie. Spory rozstrzyga sąd właściwy {{DO UZUPEŁNIENIA: zgodnie z Umową Główną / sąd właściwy dla siedziby ...}}.
3. W razie sprzeczności między niniejszą Umową a Umową Główną w zakresie ochrony danych osobowych, pierwszeństwo ma niniejsza Umowa.
4. Umowę sporządzono w {{DO UZUPEŁNIENIA: liczba egzemplarzy / forma elektroniczna}}.
5. Punkty kontaktowe Stron w sprawach ochrony danych:
   • Administrator: {{DO UZUPEŁNIENIA: imię, nazwisko, e-mail, telefon osoby kontaktowej Parafii; dane inspektora ochrony danych Parafii, jeśli został wyznaczony}},
   • Podmiot przetwarzający: privacy@cantabo.pl, tel. +48 796 996 999 (wsparcie: wsparcie@cantabo.pl, poniedziałek–piątek 8:00–16:00). Podmiot przetwarzający nie wyznaczył inspektora ochrony danych.

PODPISY STRON

Załącznik nr 1 — Kategorie osób, rodzaje Danych osobowych i okresy przechowywania

Powierzenie obejmuje przetwarzanie następujących Danych osobowych, w związku ze świadczeniem Usługi:

A. Kategorie osób, których dane dotyczą

1. Członkowie Parafii i osoby zgłaszające się do Parafii (także osoby, których zgłoszenie odrzucono).
2. Osoby zapisujące się na adorację — z kontem Cantabo oraz, jeśli Parafia na to pozwala, bez konta (goście).
3. Duchowni i osoby pełniące role w Parafii — m.in. spowiednicy pełniący dyżury, koordynatorzy adoracji, autorzy ogłoszeń parafialnych.
4. Personel i wolontariusze Parafii — osoby z kontem w panelu parafii oraz operatorzy Cantabo Studio i Cantabo Live (organista, ksiądz/celebrans, administrator parafialny i inni upoważnieni).
5. Osoby dokonujące parowania i konfiguracji urządzeń w imieniu Parafii oraz osoby kontaktowe Parafii.
6. Uczestnicy nabożeństw objętych transmisją — w zakresie obrazu i dźwięku z kościoła.

B. Rodzaje (kategorie) Danych osobowych

1. Członkostwo w Parafii (dane ujawniające przekonania religijne): imię, nazwisko i nazwa wyświetlana, powiązanie z kontem Cantabo, status zgłoszenia, notatka kandydata, decyzja i jej uzasadnienie, role w Parafii; wyrażona zgoda (data i wersja treści).
2. Adoracja (dane ujawniające przekonania religijne): zapisy na godziny, stałe zobowiązania, prośby „daj znać, gdy zwolni się godzina", oznaczenie „Adoruję teraz"; przy zapisie bez konta — imię i adres e-mail.
3. Spowiedź i ogłoszenia: dyżury spowiedzi (miejsce, czas, nazwa wyświetlana księdza — publicznie tylko za jego zgodą), ogłoszenia parafialne (treść i podpis autora).
4. Transmisje: obraz i dźwięk z kościoła, w tym wizerunek i głos osób obecnych.
5. Konta personelu w panelu parafii: adres e-mail, hasło (wyłącznie skrót), drugi składnik logowania, rola, sesje logowania.
6. Dane sparowanych urządzeń: identyfikator urządzenia, nazwa/etykieta urządzenia, platforma, model, wersja systemu i aplikacji, znaczniki czasu (parowanie, ostatnia aktywność), identyfikator osoby parującej.
7. Poświadczenia i dane sesji parowania: klucz kryptograficzny urządzenia, tokeny dostępowe, skrót PIN-u, kod user_code/dane QR (przetwarzane jako sekrety, zabezpieczone).
8. Metadane autorstwa treści (parafialno-wewnętrzne): identyfikator urządzenia i użytkownika-autora, utrwalona nazwa autora, znaczniki czasu i opisy zmian w historii wersji repertuaru/porządków.
9. Dane techniczne i dzienniki (logi): metadane żądań (w tym adres IP i identyfikator urządzenia), zdarzenia i status synchronizacji, dane diagnostyczne.

C. Okresy przechowywania w trakcie trwania Umowy

1. Zgłoszenie do Parafii — do opuszczenia Parafii; zgłoszenie odrzucone — 90 dni.
2. Zapisy na adorację — 12 miesięcy po terminie godziny, potem odłączenie od osoby (zostaje informacja, że godzina była obsadzona); imię i e-mail osoby zapisanej bez konta — 30 dni po terminie.
3. Historia dyżurów spowiedzi — 12 miesięcy.
4. Dzienniki serwera — do 30 dni; dzienniki diagnostyczne — 7 dni (błędy 30 dni); raporty awarii — 90 dni.
5. Dane urządzeń — do odłączenia (odparowania) urządzenia; konta personelu i treści Parafii — przez czas trwania Umowy Głównej, z zastrzeżeniem § 11.
6. Kopie zapasowe — 7 ostatnich kopii, nie dłużej niż 30 dni.

Cel przetwarzania: realizacja Umowy Głównej — funkcjonalności Usługi opisane w § 2.

Charakter i czynności: zgodnie z § 2 ust. 2.

Czas przetwarzania: zgodnie z § 2 ust. 4 i § 11.

Załącznik nr 2 — Środki techniczne i organizacyjne (art. 32 RODO, art. 22 Dekretu)

Podmiot przetwarzający stosuje w szczególności następujące środki:

Środki techniczne

1. Szyfrowanie komunikacji w tranzycie (HTTPS/TLS).
2. Uwierzytelnianie i integralność żądań urządzeń: podpis HMAC-SHA256, ochrona przed powtórzeniem (magazyn nonce), kontrola przesunięcia czasu.
3. Przechowywanie poświadczeń (kluczy, tokenów) w bezpiecznym magazynie systemu operacyjnego urządzenia; zakaz zapisywania sekretów w logach; kody logowania, tokeny i hasła w bazie wyłącznie jako skróty; hasła do kamer i tokeny dostępu do kanałów YouTube Parafii — zaszyfrowane.
4. Izolacja wielodostępu — dane jednej Parafii są nieadresowalne i niewidoczne dla innych; zakres (parafia) wyznaczany wyłącznie na podstawie tokena, nie treści żądania.
5. Kontrola dostępu oparta na rolach i minimalnym zakresie uprawnień; drugi składnik logowania i ochrona przed robotami (Cloudflare Turnstile) przy logowaniu do panelu parafii; ograniczenie liczby prób logowania.
6. Kopie zapasowe w Polsce, na infrastrukturze Podmiotu przetwarzającego (7 ostatnich kopii, nie dłużej niż 30 dni), oraz mechanizmy odtwarzania.
7. Automatyczne usuwanie i anonimizacja danych po upływie okresów z Załącznika nr 1.
8. {{DO UZUPEŁNIENIA: szyfrowanie danych w spoczynku (w tym kopii zapasowych), zarządzanie kluczami, segmentacja sieci, monitorowanie i wykrywanie incydentów — w zakresie stosowanym.}}

Środki organizacyjne

1. Upoważnienia do przetwarzania i zobowiązania do poufności (§ 6).
2. Zasada minimalizacji dostępu (need-to-know); dane członków Parafii przeglądane wyłącznie przy obsłudze zgłoszeń wsparcia i na polecenie Administratora (§ 5 ust. 3).
3. Procedury zarządzania incydentami i zgłaszania naruszeń (§ 10).
4. Ochrona danych w fazie projektowania i domyślna (art. 25 RODO), w tym pseudonimizacja autorstwa i ukrycie autorstwa przed zgromadzeniem.
5. {{DO UZUPEŁNIENIA: szkolenia personelu, przeglądy uprawnień, zarządzanie podprocesorami, testowanie środków bezpieczeństwa, polityki wewnętrzne.}}

Załącznik nr 3 — Lista Podprocesorów

Na dzień zawarcia Umowy Podmiot przetwarzający korzysta z następujących Podprocesorów (zgoda Administratora — § 8 ust. 1):

Wykaz kluczowych miejsc do uzupełnienia przez decydenta / radcę prawnego

1. Dane Parafii-Administratora i jej reprezentanta oraz reprezentanta Cantabo (komparycja, podpisy).
2. Data i miejsce zawarcia; forma i liczba egzemplarzy.
3. Preambuła ust. 4–5 i § 3 — ocena konstrukcji: Parafia administratorem, Cantabo podmiotem przetwarzającym, czy współadministrowanie (art. 26 RODO).
4. § 3 ust. 2 — podstawa przetwarzania danych ujawniających przekonania religijne (art. 9 ust. 2 lit. a i d RODO, art. 7 ust. 2 Dekretu) i sposób zbierania wyraźnej zgody.
5. § 3 ust. 4 — weryfikacja zgody rodzica lub opiekuna dla osób 13–15 lat.
6. § 8 ust. 2 — czy tryb sprzeciwu spełnia wymóg uprzedniej pisemnej zgody z art. 19 ust. 3 Dekretu.
7. § 11 ust. 5 — ocena zachowania historii wersji wobec art. 17 ust. 3 RODO.
8. § 12 — częstotliwość i koszty audytu.
9. § 14–16 — odpowiedzialność, forma zmian, właściwość sądu, punkty kontaktowe.
10. Załącznik nr 2 — szyfrowanie danych w spoczynku i kopii zapasowych.
11. Numeracja artykułów Dekretu — zestawić z tekstem urzędowym (Akta KEP 30 (2018), s. 31–45).