Przetarg 6943402 - Windykacja należności pochodzących z tytułu nałożonych...

j ZTM.
Numer referencyjny: ZP/FW/1/PZ/13/19

I. Przedmiotem zamówienia jest windykacja należności pochodzących z tytułu nałożonych opłat dodatkowych za jazdę bez ważnego biletu środkami komunikacji miejskiej ZTM poprzez wykonanie – na warunkach określonych postanowieniami umowy, której treść zawarta jest w Załączniku nr 5 do SIWZ – usług polegających na prowadzeniu czynności przewidzianych przepisami prawa zmierzających do uzyskania zapłaty należności od dłużników Zamawiającego na drodze pozasądowej. Czynności windykacyjne mogą być prowadzone jedynie wobec osób fizycznych będących dłużnikami, wskazanych przez Zamawiającego, wyłącznie do wysokości odpowiadającej kwocie należności przysługującej ZTM. Udostępnianie Wykonawcy danych osobowych dłużników odbywać się będzie w sposób zgodny z przepisami ustawy z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. U. 2018 poz. 1000, z późn. zm. ) oraz przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych ) i służyć jedynie wykonaniu czynności będących przedmiotem zamówienia.
Zamawiający przez okres 5 miesięcy od daty zawarcia umowy będzie przekazywał Wykonawcy listę dłużników wraz z kwotą niezapłaconych należności do zwindykowania, przy czym:
- pierwsza lista, zawierająca nie więcej niż 60.000 opłat dodatkowych zostanie przekazana Wykonawcy w terminie 21 dni od dnia zawarcia umowy,
- kolejne listy, każda zawierająca nie więcej niż 50.000 opłat dodatkowych będą sukcesywnie przekazywane w kolejnych 4 miesiącach do 5-go dnia każdego miesiąca lub w terminie uzgodnionym przez strony umowy.
Zamawiający przekaże Wykonawcy w okresie 5 miesięcy od daty zawarcia umowy do zwindykowania nie więcej niż 260.000 opłat dodatkowych wystawionych za przejazd bez ważnego biletu.
II. Zamawiający wymaga, aby przedmiot zamówienia był realizowany zgodnie z:
1) posiadanymi przez Wykonawcę procedurami przechowywania i opracowywania danych osobowych oraz zabezpieczenia serwerów, które w szczególności zawierają:
a) wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe;
b) określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych;
c) procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień oraz wskazanie osoby odpowiedzialnej za te czynności;
d) stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem;
e) procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu;
f) procedury tworzenia kopii zapasowych danych oraz programów i narzędzi programowych służących do ich przetwarzania;
g) sposób, miejsce i okres przechowywania: elektronicznych nośników informacji zawierających dane osobowe oraz kopii zapasowych, o których mowa w lit. f;
h) sposób zabezpieczenia przed działaniem szkodliwego/ złośliwego oprogramowania, tzw. wirusów komputerowych, malware’ów, ransomware’ów itp.;
i) procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych;
j) procedury zarządzania zdarzeniami bezpieczeństwa;
k) procedury niszczenia nośników danych.
2) procedurą windykacyjną Wykonawcy zapewniającą ochronę korespondencji z dłużnikami, w szczególności zawierającą informacje o długu oraz nie zawierającą informacji niezgodnych z prawem.

Minimalne wymogi dot. zabezpieczeń:
1. Obszar przetwarzania powinien być zabezpieczony przed dostępem osób nieuprawnionych na czas nieobecności w nim osób upoważnionych do przetwarzania danych osobowych.
2. Przebywanie osób nieuprawnionych w obszarze, o którym mowa w pkt 1 ,jest dopuszczalne w obecności osoby upoważnionej do przetwarzania danych osobowych.
3. W systemie informatycznym służącym do przetwarzania danych osobowych stosowane są mechanizmy kontroli dostępu do tych danych oraz jest on zabezpieczony fizycznie i logicznie przed zagrożeniami, w szczególności nieuprawnionym dostępem.
4. Jeżeli dostęp do danych przetwarzanych w systemie informatycznym posiada więcej niż jedna osoba, wówczas należy zapewnić rejestrowanie dostępu przynajmniej poprzez:
a) indywidualny i niepowtarzalny identyfikator,;
b) stosowanie hasła, które składa się przynajmniej z 8 znaków, przynajmniej po jednym z pośród następujących typów:
- małe litery,
- duże litery,
- znaki specjalne,
- cyfry;
c) dla hasła 8 znakowego maksymalny czas zmiany hasła nie może przekroczyć 30 dni;
d) dla hasła o większym skomplikowaniu może być zastosowany inny okres jego zmiany wynikający z Polityki Bezpieczeństwa Oferenta;
e) dostęp do danych jest możliwy wyłącznie po wprowadzeniu identyfikatora i dokonaniu uwierzytelnienia;
f) hasło dostępowe jest chronione przy zastosowaniu środków kryptograficznych;
g) identyfikator użytkownika, który utracił uprawnienia, nie może być przydzielony innej osobie.
5. Kopie zapasowe są przechowywane w miejscach zabezpieczonych przed nieuprawnionym przejęciem, modyfikacją, uszkodzeniem lub zniszczeniem.
6. Mobilne urządzenia do przetwarzania danych oraz nośniki użytkowane poza obszarem przetwarzania, jeżeli jest to dopuszczone w Polityce Bezpieczeństwa, są chronione w sposób zapewniający poufność i integralność.
7. Urządzenia, dyski lub inne elektroniczne nośniki informacji, zawierające dane osobowe, przeznaczone do:
a) likwidacji — pozbawia się wcześniej zapisu tych danych, a w przypadku gdy nie jest to możliwe, uszkadza się w sposób uniemożliwiający ich odczytanie;
b) przekazania podmiotowi nieuprawnionemu do przetwarzania danych — pozbawia się wcześniej zapisu tych danych, w sposób uniemożliwiający ich odzyskanie;
c) naprawy — pozbawia się wcześniej zapisu tych danych w sposób uniemożliwiający ich odzyskanie albo naprawia się je pod nadzorem osoby upoważnionej do przetwarzania w imieniu lub z upoważnienia Administratora.