Umowa powierzenia przetwarzania danych osobowych

zawierana na podstawie art. 28 RODO poprzez akceptację w Kreatorze zakładania Konta Klubu w systemie SportDesk

§ 1. Strony

1. Umowa zawierana jest pomiędzy:
   1. Klubem — podmiotem, który założył Konto Klubu w systemie SportDesk i zaakceptował niniejszą Umowę w Kreatorze, działającym jako administrator danych osobowych w rozumieniu art. 4 pkt 7 RODO w odniesieniu do danych osobowych swoich zawodników, ich opiekunów prawnych oraz trenerów (dalej: „Administrator" lub „Klub");
   2. [pełna nazwa spółki], z siedzibą pod adresem [adres siedziby], wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS [KRS], NIP [NIP], adres e-mail do spraw danych osobowych: [e-mail do spraw danych osobowych], działającą jako podmiot przetwarzający w rozumieniu art. 4 pkt 8 RODO (dalej: „Procesor" lub „symu.co").
2. Umowa stanowi integralną część umowy o świadczenie usług drogą elektroniczną zawartej na podstawie Regulaminu SportDesk i wchodzi w życie z chwilą jej akceptacji przez osobę zakładającą Konto Klubu w Kreatorze. Fakt akceptacji, wersja Umowy, data, adres IP oraz adres e-mail akceptującego są rejestrowane i przypisane do Konta Klubu.
3. Osoba akceptująca Umowę w imieniu Klubu oświadcza, że jest uprawniona do reprezentowania Klubu jako administratora danych osobowych i do zaciągnięcia w jego imieniu zobowiązań wynikających z niniejszej Umowy.

§ 2. Definicje

1. Pojęcia niezdefiniowane w niniejszym paragrafie mają znaczenie nadane im w RODO.
2. Dane osobowe — dane osobowe osób, których dane dotyczą, powierzone przez Administratora Procesorowi do przetwarzania w związku ze świadczeniem usługi SportDesk, wymienione szczegółowo w § 5.
3. Przetwarzanie — operacja lub zestaw operacji wykonywanych na Danych osobowych, w rozumieniu art. 4 pkt 2 RODO.
4. Naruszenie ochrony danych osobowych — naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do Danych osobowych, w rozumieniu art. 4 pkt 12 RODO.
5. Podprzetwarzający — inny podmiot przetwarzający, któremu Procesor powierza Dane osobowe w dalsze przetwarzanie w zakresie niezbędnym do świadczenia usługi SportDesk.

§ 3. Przedmiot, charakter i cel powierzenia

1. Administrator powierza Procesorowi, a Procesor zobowiązuje się przetwarzać w jego imieniu Dane osobowe w zakresie i na zasadach określonych niniejszą Umową, wyłącznie w celu świadczenia usługi SportDesk opisanej w Regulaminie, tj. udostępniania Administratorowi systemu informatycznego do zarządzania klubem sportowym.
2. Charakter przetwarzania obejmuje w szczególności: przechowywanie Danych osobowych w bazie danych Systemu, ich udostępnianie Użytkownikom uprawnionym przez Administratora za pośrednictwem Konta Klubu, tworzenie kopii zapasowych, generowanie zestawień i eksportów na żądanie Administratora oraz wysyłkę wiadomości e-mail i SMS zleconą przez Administratora.
3. Procesor przetwarza Dane osobowe wyłącznie na udokumentowane polecenie Administratora, przy czym za udokumentowane polecenie uznaje się w szczególności: konfigurację i korzystanie z Systemu przez Użytkowników upoważnionych przez Administratora, treść niniejszej Umowy oraz odrębne pisemne lub elektroniczne dyspozycje Administratora. Dotyczy to także przekazywania Danych osobowych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek taki nakłada na Procesora prawo Unii Europejskiej lub prawo polskie — w takim przypadku Procesor informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo to nie zabrania udzielenia takiej informacji z uwagi na ważny interes publiczny.

§ 4. Czas trwania

1. Umowa zawarta jest na czas trwania umowy o świadczenie usług SportDesk zawartej na podstawie Regulaminu i wygasa z chwilą jej rozwiązania, z zastrzeżeniem § 14 (obowiązki po zakończeniu przetwarzania).

§ 5. Kategorie osób, których dane dotyczą, i kategorie danych

1. Powierzenie obejmuje przetwarzanie danych osobowych następujących kategorii osób i w następującym zakresie:

2. Powierzenie obejmuje ponadto rejestr zgód i oświadczeń złożonych przez osoby wskazane w ust. 1 (m.in. zgoda na przetwarzanie danych, zgoda na wykorzystanie wizerunku, akceptacja regulaminu klubu, oświadczenie zdrowotne) wraz z metadanymi: typem zgody, datą, treścią i osobą odnotowującą zgodę.
3. Zakres Danych osobowych faktycznie przetwarzanych zależy od konfiguracji Konta Klubu (włączonych modułów i pól dodatkowych właściwych dla danej dyscypliny sportu) dokonanej przez Administratora — Procesor nie ma wpływu na decyzję, jakie dane Administrator gromadzi w Systemie.

§ 6. Obowiązki Procesora

1. Procesor zobowiązuje się:
   1. przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych do państwa trzeciego lub organizacji międzynarodowej, zgodnie z § 3 ust. 3 — chyba że obowiązek taki nakłada na niego prawo Unii lub prawo polskie (art. 28 ust. 3 lit. a RODO);
   2. zapewnić, by osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy (art. 28 ust. 3 lit. b RODO);
   3. podejmować wszelkie środki wymagane na mocy art. 32 RODO, opisane szczegółowo w Załączniku nr 1 do niniejszej Umowy (art. 28 ust. 3 lit. c RODO);
   4. przestrzegać warunków korzystania z usług innego podmiotu przetwarzającego (Podprzetwarzającego), o których mowa w § 9 (art. 28 ust. 3 lit. d RODO);
   5. uwzględniając charakter przetwarzania, w miarę możliwości pomagać Administratorowi poprzez odpowiednie środki techniczne i organizacyjne w wywiązaniu się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III RODO (art. 28 ust. 3 lit. e RODO) — zasady tej pomocy określa § 10;
   6. uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomagać Administratorowi w wywiązaniu się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo przetwarzania, zgłaszanie naruszeń organowi nadzorczemu i osobom, których dane dotyczą, ocena skutków dla ochrony danych, uprzednie konsultacje) — art. 28 ust. 3 lit. f RODO;
   7. po zakończeniu świadczenia usług związanych z przetwarzaniem, zależnie od decyzji Administratora, usunąć lub zwrócić mu wszelkie Dane osobowe oraz usunąć wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo polskie nakazują przechowywanie Danych osobowych — zasady te określa § 14 (art. 28 ust. 3 lit. g RODO);
   8. udostępniać Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwiać Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów, w tym inspekcji, i przyczyniać się do nich — zasady te określa § 12 (art. 28 ust. 3 lit. h RODO).
2. Procesor niezwłocznie informuje Administratora, jeżeli w jego ocenie wydane polecenie stanowi naruszenie RODO lub innych przepisów Unii lub prawa polskiego o ochronie danych.

§ 7. Poufność

1. Procesor zapewnia, że dostęp do Danych osobowych mają wyłącznie osoby upoważnione przez Procesora, w zakresie niezbędnym do wykonywania ich obowiązków związanych ze świadczeniem, utrzymaniem i rozwojem Systemu, i że osoby te są zobowiązane do zachowania poufności Danych osobowych także po ustaniu zatrudnienia lub współpracy z Procesorem.
2. Obowiązek zachowania poufności nie dotyczy sytuacji, w których ujawnienie danych jest wymagane przepisami prawa — w takim przypadku Procesor informuje o tym Administratora przed ujawnieniem danych, o ile nie jest to zakazane przez przepisy prawa.

§ 8. Środki techniczne i organizacyjne bezpieczeństwa

1. Procesor wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa Danych osobowych odpowiadający ryzyku naruszenia praw i wolności osób fizycznych, zgodnie z art. 32 RODO.
2. Szczegółowy opis wdrożonych środków technicznych i organizacyjnych zawiera Załącznik nr 1 do niniejszej Umowy.
3. Procesor jest uprawniony do zmiany środków opisanych w Załączniku nr 1 na inne, zapewniające co najmniej równoważny poziom bezpieczeństwa, bez konieczności zmiany niniejszej Umowy, o czym informuje Administratora w ramach dokumentacji dostępnej w Systemie lub na żądanie.

§ 9. Dalsze powierzenie (Podprzetwarzający)

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z usług innych podmiotów przetwarzających (Podprzetwarzających) w celu świadczenia usługi SportDesk, w zakresie wskazanym w Załączniku nr 2 do niniejszej Umowy.
2. Procesor informuje Administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia Podprzetwarzających, poprzez aktualizację Załącznika nr 2 udostępnioną w Systemie lub przesłaną na adres e-mail administratora Konta Klubu, z co najmniej 14-dniowym wyprzedzeniem przed rozpoczęciem przetwarzania przez nowego Podprzetwarzającego.
3. Administratorowi przysługuje prawo wniesienia sprzeciwu wobec takiej zmiany w terminie 14 dni od dnia otrzymania informacji, o której mowa w ust. 2. Wniesienie sprzeciwu w tym terminie uprawnia Administratora do rozwiązania umowy o świadczenie usług SportDesk ze skutkiem na koniec okresu wypowiedzenia; brak możliwości zapewnienia świadczenia usługi bez udziału danego Podprzetwarzającego może skutkować niemożnością dalszego świadczenia usługi w dotychczasowym zakresie.
4. Procesor nakłada na każdego Podprzetwarzającego, w drodze umowy, te same obowiązki ochrony danych, jakie wynikają z niniejszej Umowy, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych, tak by przetwarzanie odpowiadało wymogom RODO.
5. Procesor odpowiada wobec Administratora za wypełnienie obowiązków przez Podprzetwarzającego, tak jak za swoje własne działania i zaniechania przy przetwarzaniu Danych osobowych.

§ 10. Pomoc przy realizacji praw osób, których dane dotyczą

1. Jeżeli osoba, której dane dotyczą, skieruje żądanie realizacji swoich praw (dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu) bezpośrednio do Procesora, Procesor niezwłocznie, nie później niż w ciągu 5 dni roboczych, przekazuje takie żądanie Administratorowi i nie udziela samodzielnie odpowiedzi osobie zgłaszającej żądanie, chyba że Administrator upoważni go do tego odrębnie.
2. Procesor zapewnia w Systemie funkcje techniczne umożliwiające Administratorowi samodzielną realizację praw osób, których dane dotyczą (m.in. wgląd, edycję, eksport i usunięcie danych zawodnika lub opiekuna), a w zakresie, w jakim samodzielna realizacja nie jest możliwa za pomocą tych funkcji, udziela Administratorowi wsparcia w rozsądnym terminie, na jego pisemne lub elektroniczne żądanie.

§ 11. Zgłaszanie naruszeń ochrony danych osobowych

1. Procesor zgłasza Administratorowi każde stwierdzone Naruszenie ochrony Danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od stwierdzenia naruszenia, na adres e-mail administratora Konta Klubu.
2. Zgłoszenie zawiera, w zakresie dostępnym Procesorowi w chwili zgłoszenia:
   1. opis charakteru naruszenia, w tym w miarę możliwości kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów Danych osobowych, których dotyczy naruszenie;
   2. opis możliwych konsekwencji naruszenia;
   3. opis środków zastosowanych lub proponowanych przez Procesora w celu zaradzenia naruszeniu, w tym w celu zminimalizowania jego ewentualnych negatywnych skutków;
   4. dane kontaktowe umożliwiające uzyskanie dodatkowych informacji.
3. Jeżeli informacje, o których mowa w ust. 2, nie są dostępne w całości w chwili zgłoszenia, Procesor przekazuje je sukcesywnie, bez zbędnej dalszej zwłoki.
4. Obowiązek zgłoszenia naruszenia organowi nadzorczemu oraz — w przypadkach wymaganych przez RODO — osobom, których dane dotyczą, ciąży na Administratorze jako administratorze danych. Procesor udziela Administratorowi wsparcia niezbędnego do wykonania tych obowiązków.

§ 12. Audyty i kontrole

1. Procesor udostępnia Administratorowi, na jego żądanie, informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO, w tym niniejszą Umowę wraz z załącznikami oraz dokumentację opisującą wdrożone środki bezpieczeństwa.
2. Administrator może przeprowadzić audyt zgodności przetwarzania Danych osobowych przez Procesora z niniejszą Umową i RODO, po uprzednim zawiadomieniu Procesora z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku kalendarzowym, chyba że audyt jest przeprowadzany w związku ze stwierdzonym Naruszeniem ochrony danych osobowych — w takim przypadku termin ten nie obowiązuje.
3. Audyt przeprowadzany jest w sposób nienaruszający tajemnicy przedsiębiorstwa Procesora, bezpieczeństwa danych innych Klubów korzystających z Systemu ani ciągłości świadczenia usługi, w szczególności może przyjąć formę przekazania Administratorowi dokumentacji lub odpowiedzi na pytania, zamiast fizycznej inspekcji, o ile taka forma wystarcza do wykazania zgodności.
4. Koszty audytu przeprowadzanego z inicjatywy Administratora ponosi Administrator, chyba że audyt wykaże istotne naruszenie niniejszej Umowy przez Procesora — wówczas koszty audytu ponosi Procesor.

§ 13. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Co do zasady Dane osobowe przetwarzane są na serwerach zlokalizowanych na terytorium Rzeczypospolitej Polskiej lub innego państwa Europejskiego Obszaru Gospodarczego (EOG).
2. Przekazanie Danych osobowych poza EOG może nastąpić wyłącznie w przypadku korzystania przez Procesora z Podprzetwarzającego mającego siedzibę lub przetwarzającego dane poza EOG, wskazanego w Załączniku nr 2, i wyłącznie na podstawie mechanizmu zapewniającego zgodność z rozdziałem V RODO (w szczególności decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul umownych).
3. Aktualnie taka sytuacja może dotyczyć wyłącznie funkcji opartych o modele sztucznej inteligencji dostępnych w Planie Pro AI (dostawca: Anthropic), wskazanych w Załączniku nr 2 — dane są przekazywane temu podprzetwarzającemu wyłącznie wtedy, gdy Administrator samodzielnie włączy odpowiednią funkcję AI w ustawieniach Konta Klubu, i wyłącznie w zakresie danych niezbędnych do wykonania danej funkcji.

§ 14. Usunięcie lub zwrot danych po zakończeniu przetwarzania

1. Po zakończeniu świadczenia usług związanych z przetwarzaniem, tj. po zakończeniu korzystania przez Klub z Systemu na zasadach opisanych w Regulaminie, Procesor — w zależności od decyzji Administratora zgłoszonej w terminie, o którym mowa w § 12 ust. 3 Regulaminu (30 dni) — zwraca Administratorowi Dane osobowe w formie eksportu dostępnego w funkcjach Systemu lub usuwa je.
2. Jeżeli Administrator nie podejmie decyzji ani nie dokona eksportu w terminie 30 dni od zakończenia korzystania z Systemu, Procesor trwale usuwa Dane osobowe wraz z ich kopiami, w tym kopiami zapasowymi, w rozsądnym terminie technicznym wynikającym z cyklu rotacji kopii zapasowych.
3. Obowiązek, o którym mowa w ust. 1–2, nie dotyczy danych, których dalsze przechowywanie jest wymagane przez prawo Unii Europejskiej lub prawo polskie (w szczególności przepisy o rachunkowości w zakresie dokumentów rozliczeniowych pomiędzy Klubem a Procesorem) — w takim zakresie Procesor zapewnia poufność Danych osobowych i przetwarza je wyłącznie w celu wypełnienia tego obowiązku.

§ 15. Odpowiedzialność

1. Każda ze Stron odpowiada za szkody spowodowane swoim przetwarzaniem naruszającym RODO, na zasadach określonych w art. 82 RODO oraz w powszechnie obowiązujących przepisach prawa.
2. Procesor odpowiada za szkody spowodowane przetwarzaniem tylko wtedy, gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem instrukcjami Administratora lub wbrew tym instrukcjom.
3. Postanowienia dotyczące ograniczenia odpowiedzialności zawarte w Regulaminie stosuje się odpowiednio do odpowiedzialności wynikającej z niniejszej Umowy, w zakresie dopuszczalnym przez bezwzględnie obowiązujące przepisy o ochronie danych osobowych.

§ 16. Postanowienia końcowe

1. W sprawach nieuregulowanych niniejszą Umową zastosowanie mają przepisy RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.
2. Zmiana niniejszej Umowy następuje na zasadach analogicznych do zmiany Regulaminu, opisanych w § 14 Regulaminu, z zastrzeżeniem, że zmiany dotyczące wyłącznie Załącznika nr 2 (lista Podprzetwarzających) podlegają trybowi opisanemu w § 9 niniejszej Umowy.
3. Jeżeli którekolwiek postanowienie niniejszej Umowy okaże się nieważne lub bezskuteczne, nie wpływa to na ważność i skuteczność pozostałych postanowień, a Strony zobowiązują się zastąpić je postanowieniem możliwie najbliższym pierwotnemu celowi.
4. Umowa oraz jej załączniki dostępne są w wersji elektronicznej pod adresem sportdesk.pl/umowa-powierzenia oraz z poziomu Konta Klubu.

Załącznik nr 1 — Środki techniczne i organizacyjne bezpieczeństwa

1. Szyfrowanie transmisji danych — cała komunikacja pomiędzy przeglądarką lub aplikacją Użytkownika a Systemem odbywa się z wykorzystaniem protokołu szyfrowanego TLS.
2. Separacja danych Klubów — dane każdego Klubu są logicznie wyodrębnione i zawężane na poziomie zapytań do bazy danych do kontekstu Klubu ustalonego z subdomeny; mechanizm ten działa niezależnie od ewentualnego błędu w warstwie aplikacyjnej.
3. Kontrola dostępu oparta o role — dostęp Użytkowników do danych w ramach Konta Klubu jest ograniczony zgodnie z nadaną rolą (m.in. zarząd, trener, rodzic/opiekun); dostęp do danych szczególnej kategorii (danych zdrowotnych zawodników) jest dodatkowo zawężony do ról uprawnionych przez Klub i wyłączony z funkcji eksportu danych.
4. Hasła i uwierzytelnianie — hasła Użytkowników są przechowywane wyłącznie w postaci zahaszowanej (nieodwracalnej), z wykorzystaniem współczesnych algorytmów haszujących; System wymusza ustawienie odpowiednio silnego hasła przy pierwszym logowaniu.
5. Kopie zapasowe — dane przechowywane w Systemie są cyklicznie kopiowane w celu zapewnienia możliwości odtworzenia w przypadku awarii; kopie zapasowe podlegają tym samym zasadom bezpieczeństwa co dane produkcyjne.
6. Rejestrowanie zdarzeń (logi) — System rejestruje istotne z punktu widzenia bezpieczeństwa zdarzenia (m.in. logowania, zmiany uprawnień, nieudane próby dostępu) w zakresie umożliwiającym wykrycie i wyjaśnienie nieprawidłowości.
7. Szyfrowanie danych wrażliwych konfiguracji — dane dostępowe do integracji zewnętrznych (m.in. klucze bramki płatności podłączanej przez Klub) są przechowywane w postaci zaszyfrowanej, niedostępnej odczytowo wprost z bazy danych.
8. Hosting — infrastruktura, na której działa System, znajduje się na serwerach zlokalizowanych na terytorium Polski lub Unii Europejskiej, dostarczanych przez dostawcę wskazanego w Załączniku nr 2.
9. Zarządzanie dostępem personelu Procesora — dostęp osób działających z upoważnienia Procesora do danych produkcyjnych jest ograniczony do niezbędnego minimum i wymaganego uwierzytelnienia.
10. Aktualizacje bezpieczeństwa — Procesor na bieżąco monitoruje i wdraża aktualizacje bezpieczeństwa wykorzystywanych komponentów systemowych i bibliotek.

Załącznik nr 2 — Lista Podprzetwarzających

Lista jest aktualizowana zgodnie z zasadami opisanymi w § 9 niniejszej Umowy. Aktualna wersja dostępna jest pod adresem sportdesk.pl/umowa-powierzenia oraz z poziomu Konta Klubu.