Klub sportowy zbiera więcej danych, niż się wydaje. Imiona i roczniki dzieci, telefony rodziców, PESEL do licencji, informacje o alergiach, historia wpłat, skany umów. Ten poradnik jest dla zarządu, który przenosi te dane do systemu albo właśnie go wybiera. Po lekturze wiesz, co sprawdzić u dostawcy, co ustawić w klubie i jak przygotować się na dzień, w którym zechcesz zmienić system.
Dlaczego dane w klubie wymagają szczególnej ostrożności
Większość zawodników w klubach to dzieci. Ich dane chroni RODO tak samo jak dane dorosłych, ale wyciek dotyka rodziny, która powierzyła klubowi dziecko. Informacje o zdrowiu (alergie, leki, przeciwwskazania) to szczególna kategoria danych z art. 9 RODO. Wymagają mocniejszego uzasadnienia i staranniejszej ochrony.
Typowe zagrożenia w klubie są prozaiczne:
- arkusz Google z linkiem „dla każdego, kto ma link”, który krąży w grupie rodziców od trzech sezonów,
- wspólne hasło do panelu, które zna każdy trener, także ten, który odszedł rok temu,
- skan umowy wysłany mailem na prywatną skrzynkę,
- laptop skarbnika bez hasła, z eksportem całej kartoteki na pulpicie.
Żadne z tych zdarzeń nie wymaga hakera. Dlatego bezpieczeństwo zaczyna się od tego, kto ma dostęp i do czego.
Kto w klubie powinien widzieć jakie dane
Zasada jest prosta: każdy widzi tylko to, czego potrzebuje do pracy. W praktyce klubu wygląda to tak:
| Rola | Co powinna widzieć | Czego nie powinna widzieć |
|---|---|---|
| Zarząd | całą kartotekę, finanse, umowy | nic nie jest ukryte, za to otwarcie danych wrażliwych warto rejestrować |
| Trener | zawodników swoich grup, obecności, telefon do rodzica | PESEL, adres, dane innych grup |
| Rodzic | swoje dzieci, składki, zapisy | dane innych rodzin |
Najczęstszy problem to trener z dostępem do całej kartoteki, bo „tak było prościej”. Trener grupy młodzików nie musi znać PESEL-u zawodnika seniorów ani jego adresu. Jeśli trener ma informować o zaległościach, wystarczy mu saldo jego zawodników, bez historii wszystkich wpłat w klubie.
Wskazówka: raz w sezonie przejrzyj listę kont w systemie. Usuń konta trenerów, którzy odeszli, i rodziców, których dzieci skończyły treningi. To pięć minut, a zamyka najczęstszą furtkę.
Umowa powierzenia: co musi w niej być
Klub jest administratorem danych swoich zawodników. Dostawca systemu przetwarza je w imieniu klubu, więc obie strony potrzebują umowy powierzenia przetwarzania danych (art. 28 RODO). Szerzej o dokumentach RODO w klubie piszemy w tekście RODO w klubie sportowym.
Sprawdź w umowie dostawcy cztery rzeczy:
- Opis zabezpieczeń. Zwykle jest to załącznik z listą środków technicznych: szyfrowanie połączeń, kontrola dostępu, kopie zapasowe, rejestrowanie zdarzeń.
- Lista podwykonawców. Kto hostuje serwery, kto wysyła SMS-y, czy dane trafiają do usługi AI. Przy każdej firmie powinien być kraj przetwarzania i podstawa przekazania danych poza Europejski Obszar Gospodarczy.
- Zwrot i usunięcie danych. Ile dni klub ma na pobranie danych po zakończeniu współpracy i kiedy dostawca je usuwa.
- Zgłaszanie incydentów. W jakim czasie dostawca powiadomi klub o naruszeniu. Klub ma 72 godziny na zgłoszenie naruszenia do Prezesa UODO, więc liczy się każda godzina.
Umowy nie trzeba drukować i podpisywać długopisem. RODO dopuszcza formę elektroniczną (art. 28 ust. 9). Ważne, żeby klub mógł później pokazać, którą wersję zaakceptował i kiedy.
Logowanie: hasło to za mało
Większość włamań do kont zaczyna się od hasła użytego w kilku serwisach. Weryfikacja dwuetapowa (MFA) dodaje drugi krok: po haśle trzeba wpisać kod z aplikacji w telefonie. Samo hasło, nawet wykradzione, nie wystarczy.
W klubie MFA ma największy sens dla zarządu i trenerów, bo to oni widzą dane wielu rodzin. Dobry system pozwala zarządowi tego wymagać, a nie tylko zachęcać. Zapytaj dostawcę o trzy rzeczy:
- czy zarząd może wymusić MFA na kadrze,
- czy widzi, kto ma je włączone,
- co się dzieje, gdy trener zgubi telefon (kody zapasowe, reset przez zarząd).
Sprawdź też, czy system ogranicza liczbę prób logowania. Bez tego automat może zgadywać hasło do skutku.
Kopie zapasowe i serwery
Pytanie „czy robicie kopie?” prawie zawsze dostaje odpowiedź „tak”. Dopytaj o szczegóły:
- jak często powstaje kopia (raz na dobę to rozsądne minimum),
- gdzie leży: na tym samym serwerze czy w innej lokalizacji,
- czy jest zaszyfrowana,
- jak długo jest przechowywana,
- w jakim kraju stoją serwery.
Kopia na tym samym serwerze chroni przed błędem w danych, ale nie przed awarią serwera. Odpowiedzi zapisz w notatce do rejestru czynności przetwarzania. Przydadzą się przy kontroli albo pytaniu rodzica.
Eksport danych: plan wyjścia na start
Najlepszy moment, żeby sprawdzić eksport, to dzień przed wpisaniem danych. Zapytaj, czy jednym przyciskiem pobierzesz wszystko: kartotekę, historię wpłat, naliczenia, frekwencję, zgody, umowy i skany. Eksport samej listy zawodników do Excela to za mało, bo historia wpłat i zgód to dowody, których klub potrzebuje latami.
Zwróć uwagę na trzy szczegóły:
- czy eksport jest w otwartym formacie (CSV, Excel), a nie w pliku czytelnym tylko dla jednego programu,
- czy pobranie eksportu jest rejestrowane, bo plik z całą kartoteką to najcenniejszy łup,
- ile czasu masz na pobranie danych po rezygnacji.
Więcej pytań o warunki odejścia i ceny znajdziesz w tekście jak wybrać program do zarządzania klubem.
Sztuczna inteligencja i usługi pośredniczące
Systemy coraz częściej mają asystentów AI. Zapytaj wprost: czy dane klubu trafiają do modelu językowego, u jakiego dostawcy i w jakim kraju. Dobra praktyka to AI wyłączone domyślnie i włączane decyzją klubu. Druga dobra praktyka to usuwanie nazwisk i numerów przed wysłaniem pytania do modelu.
Podobnie z usługami pośredniczącymi, jak sieci ochrony przed atakami (np. Cloudflare). Taka usługa widzi ruch między przeglądarką a serwerem. To normalne, ale powinna być wpisana do umowy powierzenia.
Lista kontrolna dla zarządu
Przed wprowadzeniem danych dzieci odhacz:
- umowa powierzenia zaakceptowana, z zapisaną datą i wersją,
- trenerzy widzą tylko swoje grupy, bez PESEL-u i danych o zdrowiu,
- MFA wymagane dla zarządu i trenerów,
- konta byłych trenerów usunięte,
- wiesz, gdzie i jak często powstają kopie zapasowe,
- próbny eksport pobrany i otwarty w Excelu,
- wiesz, czy i kiedy dane trafiają do AI.
Jak to wygląda w SportDesk
Trener widzi tylko zawodników swoich grup, a PESEL, adres i dane o zdrowiu widzi wyłącznie zarząd. Każde otwarcie tych danych przez zarząd trafia do rejestru. Weryfikację dwuetapową od kadry wymagasz w zakładce Ustawienia klubu, Bezpieczeństwo kont. Tam też widzisz, kto ją włączył, i możesz ją zresetować. Pełny eksport (kartoteka, wpłaty, naliczenia, frekwencja, zgody, umowy ze skanami) pobierasz jednym przyciskiem w zakładce Eksport danych. Asystent AI działa tylko w planie Pro AI i tylko po włączeniu przez klub. Umowę powierzenia akceptujesz w panelu, z zapisaną datą i wersją. Wszystkie zasady, także uczciwe warunki planu Free, opisujemy na stronie Bezpieczeństwo danych.
Klub możesz założyć za darmo w kilka minut: Załóż klub.