Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie Umowy

1. Umowa zawierana jest między:

a) Klientem – klubem lub organizacją, która założyła Konto Klubu w Serwisie Klubiq, jako administratorem danych (dalej: Administrator);

b) Dawid Bieńkowski, e-mail: [email protected], jako podmiotem przetwarzającym (dalej: Procesor).

2. Umowa jest zawierana w formie elektronicznej z chwilą akceptacji Regulaminu serwisu Klubiq przy zakładaniu Konta Klubu i stanowi jego integralną część. Umowa realizuje wymogi art. 28 ust. 3 RODO.

3. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych wprowadzanych do Serwisu przez Administratora, Właściciela, Użytkowników oraz osoby korzystające ze Strony Klubu (np. formularze, zapisy do newslettera, zamówienia).

2. Przetwarzanie polega na przechowywaniu, porządkowaniu, wyświetlaniu, zestawianiu (np. frekwencja, statystyki), wysyłaniu wiadomości e-mail i powiadomień push na polecenie Administratora, generowaniu grafik meczowych, tworzeniu kopii zapasowych i usuwaniu danych – wyłącznie w celu świadczenia usług opisanych w Regulaminie.

3. Procesor nie przetwarza powierzonych danych do własnych celów, w szczególności nie wykorzystuje ich do marketingu, profilowania, sprzedaży ani trenowania modeli sztucznej inteligencji.

§ 3. Kategorie osób i danych

1. Kategorie osób, których dane dotyczą (zależnie od Modułów używanych przez Administratora): członkowie klubu, zawodnicy, w tym dzieci i młodzież, rodzice i opiekunowie prawni, trenerzy i sztab, członkowie zarządu, Użytkownicy panelu, kibice i subskrybenci newslettera lub powiadomień push, osoby wysyłające wiadomości przez formularz kontaktowy lub formularz naboru (dzieci i ich rodzice), kupujący w sklepie klubowym, kandydaci obserwowani w module skautingu oraz osoby kontaktowe sponsorów.

2. Kategorie danych: imię i nazwisko, adres e-mail, numer telefonu, adres, data urodzenia, powiązanie dziecka z rodzicem lub opiekunem, wizerunek (zdjęcia, transmisje), dane sportowe (drużyna, pozycja, numer, udział w meczach, statystyki), dane o składkach i wpłatach, dane zamówień, treść wiadomości, czatu i odpowiedzi w ankietach, notatki trenerów i skautów, informacje o wydanym sprzęcie, ewidencja dokumentów zawodników (rodzaj dokumentu, termin ważności, link do pliku), odpowiedzi na zaproszenia na treningi i mecze wraz z krótkim uzasadnieniem nieobecności, obecności i powołania, zdarzenia meczowe (gole, kartki, zmiany), zgłoszenia z formularza naboru, oświadczenia zgód (treść i wersja zgody, data, osoba składająca, adres IP) oraz techniczne dane subskrypcji powiadomień push.

3. Ewidencja terminów badań lekarskich może stanowić dane dotyczące zdrowia (art. 9 RODO). Administrator zapewnia podstawę prawną ich przetwarzania i ogranicza zapisy do niezbędnego minimum (np. data ważności orzeczenia bez szczegółów medycznych). Serwis nie służy do przechowywania dokumentacji medycznej.

4. W Module Analiza wideo przetwarzane są nagrania treningów (wizerunek, także dzieci) oraz wyliczone z nich dane ruchowe i statystyki. Analiza, w tym komentarz AI, odbywa się na serwerach Procesora, bez przekazywania nagrań zewnętrznym dostawcom AI. Nie służy rozpoznawaniu twarzy ani identyfikacji biometrycznej.

5. W aplikacji mobilnej przetwarzane są dodatkowo: token powiadomień urządzenia oraz model urządzenia i wersja aplikacji.

§ 4. Obowiązki Administratora

1. Administrator oświadcza, że posiada podstawę prawną przetwarzania powierzanych danych i jest uprawniony do ich powierzenia, w tym – w przypadku dzieci – zgody rodziców lub opiekunów tam, gdzie są one wymagane, także na publikację wizerunku.

2. Administrator odpowiada za wykonanie obowiązków informacyjnych wobec osób, których dane dotyczą, za treść publikowaną na Stronie Klubu oraz za nadawanie Użytkownikom uprawnień adekwatnych do ich funkcji.

3. Poleceniami Administratora są w szczególności czynności wykonywane przez Właściciela i Użytkowników w panelu klubu oraz ustawienia Konta Klubu. Inne polecenia Administrator przekazuje e-mailem z adresu Właściciela.

§ 5. Obowiązki Procesora

Procesor zobowiązuje się:

a) przetwarzać dane wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo polskie – wówczas przed rozpoczęciem przetwarzania poinformuje o tym Administratora, o ile prawo tego nie zakazuje;

b) dopuszczać do danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności, i tylko w zakresie niezbędnym do utrzymania i wsparcia Serwisu;

c) stosować środki bezpieczeństwa, o których mowa w § 8;

d) niezwłocznie poinformować Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych;

e) pomagać Administratorowi w wywiązywaniu się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje;

f) prowadzić rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO;

g) nie ujawniać danych osobom trzecim poza dalszymi podmiotami przetwarzającymi wskazanymi w Załączniku 1 oraz przypadkami przewidzianymi prawem.

§ 6. Dalsze podmioty przetwarzające

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych w Załączniku 1.

2. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Procesor informuje Administratora e-mailem co najmniej 14 dni wcześniej. W tym terminie Administrator może zgłosić uzasadniony sprzeciw; jeżeli Strony nie dojdą do porozumienia, Administrator może wypowiedzieć umowę ze skutkiem natychmiastowym i otrzymuje proporcjonalny zwrot opłat.

3. Procesor nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych nie mniejsze niż wynikające z Umowy i odpowiada wobec Administratora za ich działania jak za własne.

4. Procesor przechowuje dane w Europejskim Obszarze Gospodarczym. Dalsze podmioty przetwarzające wskazane w Załączniku 1 jako mające siedzibę w USA mogą przetwarzać dane poza EOG wyłącznie na podstawie mechanizmu z rozdziału V RODO (decyzja Komisji Europejskiej w sprawie EU-US Data Privacy Framework, a uzupełniająco standardowe klauzule umowne). Każde inne przekazanie poza EOG wymaga uprzedniej informacji zgodnie z ust. 2.

5. Serwisy zewnętrzne, z których Administrator osadza treści na Stronie Klubu (np. YouTube, Facebook, Twitch) lub z których Serwis pobiera publiczne dane rozgrywek, nie są dalszymi podmiotami przetwarzającymi Procesora. Administrator decyduje o korzystaniu z nich samodzielnie.

6. Powiadomienia push są przekazywane przez usługę push producenta przeglądarki odbiorcy (np. Google, Apple, Mozilla), wskazaną przez przeglądarkę przy subskrypcji. Treść powiadomienia jest szyfrowana end-to-end zgodnie ze standardem Web Push, a usługa push nie ma dostępu do jej treści.

§ 7. Prawa osób, których dane dotyczą

1. Wniosek osoby, której dane dotyczą, skierowany do Procesora zostanie przekazany Administratorowi nie później niż w ciągu 3 dni roboczych. Procesor nie odpowiada na taki wniosek samodzielnie, chyba że Administrator go do tego upoważni.

2. Panel klubu umożliwia Administratorowi przeglądanie, poprawianie i usuwanie danych osób. Na żądanie Administratora Procesor bezpłatnie przygotowuje eksport danych w powszechnie używanym formacie (CSV, JSON) w terminie 14 dni.

§ 8. Środki bezpieczeństwa

Procesor stosuje co najmniej następujące środki:

a) szyfrowanie transmisji (HTTPS/TLS) we wszystkich połączeniach z Serwisem;

b) logiczne oddzielenie danych klubów: każde zapytanie o dane klubu jest ograniczone identyfikatorem klubu, a izolacja jest weryfikowana automatycznymi testami;

c) role i uprawnienia do poszczególnych Modułów, nadawane przez Administratora;

d) hasła przechowywane wyłącznie jako skrót bcrypt, limity nieudanych prób logowania, zabezpieczone ciasteczka sesji (HttpOnly, SameSite, Secure);

e) dziennik operacji w panelu (kto, co, kiedy, z jakiego adresu IP), przechowywany przez 12 miesięcy;

f) codzienne kopie zapasowe bazy danych i plików, przechowywane poza serwerem produkcyjnym przez nie dłużej niż 30 dni;

g) aktualizowanie oprogramowania i systemów oraz ograniczenie dostępu administracyjnego do serwerów do upoważnionych osób.

Procesor aktualizuje środki bezpieczeństwa stosownie do stanu wiedzy technicznej i ryzyka.

§ 9. Naruszenia ochrony danych

1. Procesor powiadamia Administratora o stwierdzeniu naruszenia ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin, e-mailem na adres Właściciela.

2. Powiadomienie zawiera, w miarę dostępności: opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe konsekwencje, podjęte lub proponowane środki zaradcze oraz dane osoby kontaktowej. Informacje niedostępne w chwili zgłoszenia Procesor uzupełnia niezwłocznie.

3. Procesor współpracuje z Administratorem przy zgłoszeniu naruszenia Prezesowi UODO (w terminie 72 godzin od stwierdzenia przez Administratora) i przy zawiadamianiu osób, których dane dotyczą.

§ 10. Kontrola

1. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w pierwszej kolejności w formie odpowiedzi na pisemne pytania, w terminie 14 dni.

2. Jeżeli informacje te nie są wystarczające, Administrator lub upoważniony audytor zobowiązany do poufności może przeprowadzić audyt, nie częściej niż raz w roku (chyba że wystąpiło naruszenie), po uprzedzeniu Procesora z co najmniej 14-dniowym wyprzedzeniem. Koszty audytu ponosi Administrator. Audyt nie może naruszać poufności danych innych klubów ani bezpieczeństwa Serwisu.

§ 11. Czas trwania i usunięcie danych

1. Umowa obowiązuje przez czas świadczenia usług na podstawie Regulaminu.

2. Po zakończeniu świadczenia usług Procesor – według wyboru Administratora zgłoszonego przed rozwiązaniem umowy – zwraca dane w formie eksportu, a następnie usuwa je w ciągu 30 dni. Kopie zapasowe zawierające dane są usuwane w ramach cyklu rotacji w ciągu kolejnych 30 dni.

3. Na żądanie Administratora Procesor potwierdza usunięcie danych e-mailem.

§ 12. Odpowiedzialność i postanowienia końcowe

1. Strony odpowiadają za szkody wyrządzone osobom, których dane dotyczą, na zasadach art. 82 RODO. Ograniczenia odpowiedzialności przewidziane w Regulaminie nie dotyczą tych roszczeń.

2. Zmiany Umowy następują w trybie zmiany Regulaminu. W sprawach nieuregulowanych stosuje się RODO, ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych i Kodeks cywilny.

3. W razie sprzeczności między Umową a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma Umowa.

4. Załącznik 1 stanowi integralną część Umowy.

Załącznik 1 — Dalsze podmioty przetwarzające

a) OVH SAS, Roubaix, Francja – serwery, baza danych i pliki; lokalizacja: Europejski Obszar Gospodarczy;

b) Sendinblue SAS (Brevo), Paryż, Francja – wysyłka wiadomości e-mail (powiadomienia, reset hasła, newslettery klubów); lokalizacja: Europejski Obszar Gospodarczy;

c) Cloudflare, Inc., San Francisco, USA – sieć dostarczania treści, ochrona przed atakami i captcha Turnstile (ruch sieciowy, adresy IP); mechanizm przekazania: EU-US Data Privacy Framework, standardowe klauzule umowne;

d) Google Ireland Ltd, Dublin, Irlandia i Google LLC, USA – Firebase Cloud Messaging, dostarczanie powiadomień do aplikacji mobilnej (token urządzenia, treść powiadomienia); mechanizm przekazania: EU-US Data Privacy Framework, standardowe klauzule umowne;

e) Apple Inc., Cupertino, USA – Apple Push Notification service, dostarczanie powiadomień do aplikacji na iOS (token urządzenia, treść powiadomienia); mechanizm przekazania: EU-US Data Privacy Framework, standardowe klauzule umowne.

Aktualny wykaz jest publikowany na tej stronie. Pytania dotyczące powierzenia: [email protected].