Umowa powierzenia przetwarzania danych osobowych (DPA)
Podstawa: art. 28 RODO. Zawierana między Klubem (Administrator) a Operatorem (Podmiot przetwarzający). Stanowi integralną część Umowy KlubOS / Regulaminu i jest zawierana wraz z nimi w chwili złożenia i opłacenia zamówienia.
Zawarta z chwilą akceptacji zamówienia (elektronicznie, wraz z Umową KlubOS) pomiędzy:
Klubem — podmiotem (Klientem) wskazanym w formularzu zamówienia (nazwa, adres i dane identyfikacyjne podane przy zakupie), dalej „Administrator“,
a
BH-Wandex, ul. Ciołka 8/210, 01-402 Warszawa, NIP PL5251917081, REGON 012756421, operator platformy KlubOS, e-mail: lukasz.r.czechowski@gmail.com — dalej „Podmiot przetwarzający“.
§1. Przedmiot i czas
- Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu opisanym w §2, wyłącznie w związku ze świadczeniem usługi KlubOS (strona internetowa + panel administracyjny + baza wyników).
- Umowa obowiązuje przez czas świadczenia usługi (Regulamin) i wygasa wraz z nim, z zastrzeżeniem §7 (zwrot/usunięcie danych).
§2. Charakter, cel, zakres, kategorie
| Element | Treść |
|---|---|
| Cel | hosting i udostępnianie strony klubu, prowadzenie panelu, przechowywanie treści i danych członków/zawodników |
| Charakter | przechowywanie, organizowanie, udostępnianie (hosting), tworzenie kopii, usuwanie |
| Kategorie osób | członkowie klubu, dzieci/zawodnicy, rodzice/opiekunowie, kadra, osoby zgłaszające się przez formularz |
| Kategorie danych | imię i nazwisko, dane kontaktowe (telefon, e-mail), rok urodzenia/wiek, wizerunek (zdjęcia), wyniki sportowe, treść zgłoszeń |
| Dane szczególne | co do zasady nie przetwarzamy danych szczególnych (art. 9). Jeśli klub wprowadzi np. dane o stanie zdrowia (opinia lekarska) — wymaga odrębnej podstawy i zabezpieczeń |
§3. Obowiązki Podmiotu przetwarzającego
Podmiot przetwarzający:
- przetwarza dane wyłącznie na udokumentowane polecenie Administratora (w tym co do transferu poza EOG), chyba że obowiązek wynika z prawa;
- zapewnia, że osoby upoważnione zachowują poufność;
- stosuje środki bezpieczeństwa (art. 32): izolacja tenantów (RLS), szyfrowanie w tranzycie (HTTPS/TLS), kontrola dostępu, kopie zapasowe, minimalizacja uprawnień;
- korzysta z subprocesorów wyłącznie wg §4;
- w miarę możliwości pomaga Administratorowi realizować prawa osób (dostęp, sprostowanie, usunięcie, przenoszenie) — narzędziami panelu/eksportu;
- pomaga w zapewnieniu zgodności (art. 32–36), w tym przy naruszeniach;
- zgłasza naruszenie ochrony danych Administratorowi bez zbędnej zwłoki, nie później niż w 24 h od wykrycia;
- po zakończeniu usługi usuwa lub zwraca dane (§7);
- udostępnia informacje niezbędne do wykazania zgodności i umożliwia audyty.
§4. Subprocesorzy
- Administrator wyraża ogólną zgodę na korzystanie z subprocesorów wymienionych w dokumencie „Retencja i subprocesorzy“ (m.in. Supabase, Vercel oraz dostawca e-mail/SMS).
- O zamiarze zmiany subprocesora Podmiot przetwarzający informuje z 14-dniowym wyprzedzeniem; Administrator może wnieść sprzeciw.
- Podmiot przetwarzający nakłada na subprocesorów obowiązki nie mniej restrykcyjne niż w niniejszej umowie.
§5. Transfer poza EOG
Dane przetwarzane są w UE/EOG (infrastruktura Supabase i Vercel w regionach UE). Jeśli wystąpi transfer poza EOG — wyłącznie na podstawie odpowiednich zabezpieczeń (standardowe klauzule umowne — SCC) i po poinformowaniu Administratora.
§6. Odpowiedzialność
Strony odpowiadają na zasadach RODO i Kodeksu cywilnego. Odpowiedzialność Podmiotu przetwarzającego wobec Administratora z tytułu niniejszej umowy ogranicza się do rzeczywistej szkody i — łącznie za wszystkie zdarzenia w danym roku — do wysokości opłat wniesionych przez Administratora za usługę w okresie 12 miesięcy poprzedzających zdarzenie; ograniczenie nie dotyczy szkód wyrządzonych umyślnie ani obowiązków wynikających bezwzględnie z RODO.
§7. Zakończenie
Po rozwiązaniu umowy, wg wyboru Administratora, Podmiot przetwarzający w terminie 30 dni zwraca dane (eksport) i/lub trwale usuwa je oraz kopie, chyba że prawo nakazuje przechowywanie.
§8. Postanowienia końcowe
Prawo właściwe: polskie. Spory: sąd właściwy dla siedziby Podmiotu przetwarzającego (Warszawa). Zmiany: forma dokumentowa/pisemna.
Zawarcie umowy następuje w formie elektronicznej — poprzez zaznaczenie właściwej zgody w formularzu zamówienia oraz opłacenie usługi. Potwierdzenie (wersja dokumentu, data i identyfikator zamówienia) zapisywane jest po stronie Operatora.