Umowa powierzenia przetwarzania danych osobowych

• Administrator danych — Użytkownik (klub / trener), który wprowadza do Serwisu dane Zawodników i ich opiekunów oraz decyduje o celach i sposobach ich przetwarzania.
• Podmiot przetwarzający (Procesor) — Sebastian Kruk, Motycz 332/3, 21-030 Motycz, prowadzący serwis BaseCoach (działalność nierejestrowana), e-mail: s.kruk02xd@gmail.com.
• Procesor przetwarza powierzone dane wyłącznie w imieniu i na udokumentowane polecenie Administratora, którym jest w szczególności korzystanie z funkcji Serwisu zgodnie z jego przeznaczeniem oraz Regulaminem.

• Przedmiot: dane osobowe wprowadzone przez Administratora do Serwisu.
• Cel: umożliwienie Administratorowi prowadzenia klubu sportowego — ewidencji zawodników, obecności, składek, wydarzeń oraz obsługi zgód i dokumentacji.
• Charakter: przetwarzanie z wykorzystaniem systemów teleinformatycznych (przechowywanie, porządkowanie, modyfikowanie, usuwanie, udostępnianie w ramach funkcji Serwisu).

Umowa obowiązuje przez czas korzystania z Serwisu przez Administratora (czas trwania Umowy głównej / posiadania Konta). Wygasa z chwilą usunięcia Konta lub zaprzestania świadczenia usług, z zastrzeżeniem obowiązków dotyczących usunięcia lub zwrotu danych (§8).

Kategorie osób, których dane dotyczą:

• Zawodnicy — w tym osoby niepełnoletnie
• Rodzice / opiekunowie prawni zawodników

Rodzaje powierzonych danych:

• Imię i nazwisko, data urodzenia, pas/stopień sportowy
• Dane kontaktowe opiekunów (imię i nazwisko, telefon, e-mail)
• Treść i data wyrażonych zgód (przetwarzanie danych, wizerunek)
• Historia obecności i wpłat składek

Serwis nie jest przeznaczony do przetwarzania danych szczególnych kategorii (art. 9 RODO, np. o stanie zdrowia). Administrator zobowiązuje się takich danych nie wprowadzać.

Procesor zobowiązuje się do:

• przetwarzania danych wyłącznie na udokumentowane polecenie Administratora (w tym w zakresie przekazywania do państw trzecich — co obecnie nie ma miejsca);
• zapewnienia, by osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności;
• stosowania środków bezpieczeństwa wymaganych na mocy art. 32 RODO (§6);
• przestrzegania warunków korzystania z usług dalszych podmiotów przetwarzających (§7);
• pomocy Administratorowi — w miarę możliwości — w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą (prawa z art. 15–22 RODO), poprzez udostępnione w Serwisie narzędzia (eksport, sprostowanie, usunięcie/anonimizacja);
• pomocy Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków);
• po zakończeniu świadczenia usług — usunięcia lub zwrotu danych zgodnie z §8;
• udostępnienia Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków oraz umożliwienia audytów (§9).

Procesor stosuje w szczególności:

• szyfrowanie transmisji danych (HTTPS/TLS);
• przechowywanie danych na serwerach w Unii Europejskiej;
• przechowywanie haseł wyłącznie w postaci skrótu (bcrypt), a tokenów resetu — jako skrótu (SHA-256);
• ograniczenie czasu trwania sesji i limitowanie prób logowania;
• pełną logiczną izolację danych między klubami i trenerami;
• rejestr czynności przetwarzania (kto, jaka operacja, kiedy, z jakiego adresu IP);
• regularne aktualizacje i usuwanie znanych podatności.

• Administrator udziela Procesorowi ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających w celu świadczenia usług.
• Aktualny subprocesor: Hostinger International Ltd. — hosting aplikacji, baza danych oraz wysyłka wiadomości e-mail; dane w Unii Europejskiej.
• Procesor zapewnia, że dalsze podmioty są związane obowiązkami ochrony danych nie mniej rygorystycznymi niż wynikające z niniejszej Umowy.
• O zamierzonej zmianie lub dodaniu subprocesora Procesor poinformuje Administratora (np. komunikatem w Serwisie lub e-mailem), umożliwiając zgłoszenie uzasadnionego sprzeciwu.

• Po zakończeniu świadczenia usług Procesor — zależnie od decyzji Administratora — usuwa dane albo umożliwia ich zwrot (eksport), a istniejące kopie usuwa, chyba że przepisy prawa nakazują ich dalsze przechowywanie.
• Administrator w każdej chwili może samodzielnie usunąć dane Zawodnika (trwała anonimizacja) oraz eksportować dane (JSON/PDF) w Serwisie.
• Dane usuwane są także automatycznie zgodnie z okresami retencji opisanymi w Polityce Prywatności.

Procesor udostępnia Administratorowi na jego żądanie informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO oraz umożliwia — w rozsądnym zakresie i po wcześniejszym uzgodnieniu terminu — przeprowadzenie audytu lub inspekcji. Audyt nie może naruszać bezpieczeństwa danych innych administratorów ani tajemnicy przedsiębiorstwa.

Procesor zgłasza Administratorowi każde naruszenie ochrony powierzonych danych osobowych bez zbędnej zwłoki po jego stwierdzeniu, przekazując informacje niezbędne Administratorowi do ewentualnego zawiadomienia organu nadzorczego (Prezesa UODO) w terminie 72 godzin oraz osób, których dane dotyczą.

• Administrator oświadcza, że posiada podstawę prawną do przetwarzania powierzonych danych, w tym wymagane zgody opiekunów osób niepełnoletnich (art. 8 RODO).
• Administrator wydaje polecenia zgodne z prawem i ponosi odpowiedzialność za ich treść.
• Administrator realizuje wobec osób, których dane dotyczą, obowiązek informacyjny (art. 13 RODO) i obsługuje ich prawa, korzystając z narzędzi Serwisu.

• Każda ze Stron odpowiada za szkody spowodowane przetwarzaniem, jeżeli nie dopełniła obowiązków RODO nałożonych bezpośrednio na nią lub działała wbrew zgodnym z prawem poleceniom drugiej Strony.
• Odpowiedzialność Procesora podlega ograniczeniom określonym w Regulaminie, w zakresie dozwolonym przez prawo.

• W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych oraz Regulamin i Politykę Prywatności.
• W razie sprzeczności między niniejszą Umową a Regulaminem — w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza Umowa.
• Kontakt w sprawach powierzenia: s.kruk02xd@gmail.com.