Umowa powierzenia przetwarzania danych

Umowa reguluje przetwarzanie danych osobowych członków klubu w Book & Row, zgodnie z art. 28 RODO. Stronami są klub, który korzysta z serwisu (administrator danych), oraz Softeo Aleksander Rakucki, NIP 5242947071, adres do korespondencji: ul. Laurowa 35/5, 03-197 Warszawa (podmiot przetwarzający, dalej „my”).

§ 1. Zawarcie i czas trwania

Klub zawiera tę umowę razem z umową o korzystanie z serwisu i potwierdza jej przyjęcie w formie elektronicznej, na przykład wiadomością od osób uprawnionych do jego reprezentacji.

Umowa obowiązuje tak długo jak umowa o korzystanie z serwisu. W sprawach danych osobowych ma pierwszeństwo przed regulaminem.

§ 2. Przedmiot i zakres

Przetwarzamy dane wyłącznie po to, żeby świadczyć klubowi usługę Book & Row: przechowujemy je i porządkujemy, udostępniamy osobom w klubie zgodnie z ich rolami, wysyłamy powiadomienia i usuwamy dane.

Dotyczy to osób, które klub zaprasza do serwisu: zawodników, także niepełnoletnich, trenerów i zarządzających.

Rodzaje danych:

• dane identyfikacyjne i kontaktowe: imię i nazwisko, adres e-mail, telefon, zdjęcie;
• dane profilowe, m.in. rok urodzenia, płeć, wzrost, waga i preferencje wioślarskie;
• dane o aktywności w klubie: treningi, zejścia na wodę, zapisy, wyniki, plany, ogłoszenia, zgłoszenia usterek i notatki;
• dane o składkach: kwoty, terminy i stan płatności;
• dane techniczne: dni korzystania z serwisu, subskrypcje powiadomień push, adres IP i logi.

Serwis nie jest przeznaczony do szczególnych kategorii danych (art. 9 RODO), np. danych o zdrowiu. Klub nie wprowadza ich do serwisu, także w polach opisowych.

Dane techniczne wykorzystujemy też we własnym celu: do utrzymania, zabezpieczenia i rozwoju serwisu. W tym zakresie jesteśmy ich administratorem.

§ 3. Nasze obowiązki

Przetwarzamy dane wyłącznie na udokumentowane polecenie klubu. Poleceniem jest ta umowa, regulamin oraz czynności, które w serwisie wykonują osoby upoważnione przez klub. Jeżeli polecenie naruszałoby prawo, informujemy o tym klub.

Ponadto:

• dostęp do danych mają tylko osoby przez nas upoważnione i zobowiązane do zachowania poufności;
• stosujemy środki bezpieczeństwa wymagane przez art. 32 RODO, w tym szyfrowane połączenie, hasła zapisane jako nieodwracalny skrót, oddzielenie danych każdego klubu, dostęp zależny od roli i kopie zapasowe;
• pomagamy klubowi odpowiadać na żądania osób, których dane dotyczą, i wypełniać obowiązki z art. 32–36 RODO, w zakresie, w jakim pozwala na to charakter usługi;
• udostępniamy klubowi informacje potrzebne do wykazania, że przestrzegamy tej umowy.

§ 4. Dalsze powierzenie

Klub zgadza się, żebyśmy korzystali z dalszych podmiotów przetwarzających. Obecnie jest to dostawca hostingu z siedzibą w Polsce, który utrzymuje serwer, bazę danych, pliki i pocztę wychodzącą. Jego nazwę podajemy na żądanie klubu.

Nakładamy na nich obowiązki ochrony danych nie mniejsze niż w tej umowie i odpowiadamy za ich działania jak za własne.

O planowanym dodaniu lub zmianie takiego podmiotu informujemy klub co najmniej 14 dni wcześniej. Klub może się sprzeciwić, rezygnując z serwisu.

Dane przechowujemy w Europejskim Obszarze Gospodarczym. Powiadomienia push docierają do urządzenia przez usługę dostawcy przeglądarki, którą wybrał użytkownik. Ich treść jest zaszyfrowana i dostawca nie może jej odczytać.

§ 5. Naruszenia ochrony danych

O naruszeniu ochrony danych powiadamiamy klub bez zbędnej zwłoki po jego stwierdzeniu i przekazujemy informacje, których klub potrzebuje, żeby zgłosić je organowi nadzorczemu.

§ 6. Kontrola

Klub może sprawdzić, czy przestrzegamy umowy. W pierwszej kolejności odpowiadamy na jego pytania na piśmie. Audyt na miejscu jest możliwy po uprzedzeniu nas co najmniej 14 dni wcześniej i nie częściej niż raz w roku, chyba że doszło do naruszenia. Koszty audytu ponosi klub.

§ 7. Zakończenie przetwarzania

Po rozwiązaniu umowy usuwamy dane klubu bez zbędnej zwłoki. Z kopii zapasowych znikają w cyklu ich nadpisywania.

Jeżeli klub poprosi o to przed rozwiązaniem umowy, najpierw przekazujemy mu jego dane w powszechnie używanym formacie elektronicznym.

§ 8. Obowiązki klubu

Klub odpowiada za to, że ma podstawę prawną do przetwarzania danych, które wprowadza, że informuje członków o przetwarzaniu ich danych w serwisie i że uzyskuje zgodę opiekunów prawnych, gdy jest wymagana.

Za szkodę odpowiadamy na zasadach art. 82 RODO, czyli tylko wtedy, gdy nie dopełniliśmy obowiązków nałożonych na nas przez RODO lub tę umowę albo działaliśmy poza poleceniami klubu lub wbrew nim.

§ 9. Zmiany i prawo właściwe

O zmianie umowy informujemy co najmniej 14 dni wcześniej. Klub, który zmian nie przyjmuje, może w tym czasie zrezygnować z serwisu.

W sprawach nieuregulowanych stosuje się RODO i prawo polskie.

Sprawy dotyczące tej umowy kierujcie na adres hello@softeo.dev.