Umowa powierzenia

(dalej: „Umowa powierzenia”)

zawarta pomiędzy:

Usługobiorcą prowadzącym Konto typu „Klub” w serwisie gdzietrenujemy.pl (dalej także: „Administrator”),

a

Usługodawcą – Krzysztof Olszowy, osobą fizyczną, adres do korespondencji: ul. Błogosławionej Edyty Stein 10/15, 50-322 Wrocław, operatorem serwisu gdzietrenujemy.pl (dalej także: „Podmiot przetwarzający”),

zwanymi dalej łącznie „Stronami”, a każde z osobna „Stroną”.

Preambuła

Zważywszy, że:

1. pomiędzy Usługodawcą a Usługobiorcą została zawarta Umowa o dostarczanie Usługi w rozumieniu Regulaminu serwisu gdzietrenujemy.pl (dalej: „Umowa główna”);
2. w ramach Usługi Klub może wprowadzać do serwisu dane osobowe członków swojej kadry trenerskiej oraz osób prowadzących zajęcia, a istotą Usługi jest publikacja tych danych w serwisie;
3. świadczenie Usługi wymaga zatem przetwarzania przez Usługodawcę danych osobowych, których administratorem jest Klub, co rodzi obowiązek spełnienia wymogów wskazanych w art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (ogólne rozporządzenie o ochronie danych, dalej: „RODO”), w tym zawarcia umowy określonej w tym przepisie;

Strony postanowiły, co następuje.

Umowa powierzenia jest zawierana drogą elektroniczną – poprzez zaznaczenie przez Klub pola wyboru przy oświadczeniu o zapoznaniu się z Umową powierzenia i akceptacji jej postanowień w formularzu rejestracji Konta. Umowa powierzenia stanowi integralną część Umowy głównej.

§ 1. Powierzenie przetwarzania danych osobowych

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w trybie art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: „Ogólne rozporządzenie o ochronie danych” lub „RODO”)
2. Administrator oświadcza, że jest administratorem danych powierzanych Podmiotowi przetwarzającemu na mocy Umowy powierzenia lub podmiotem przetwarzającym upoważnionym do ich dalszego powierzenia.
3. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie określonym w § 2 Umowy powierzenia
4. Pisane wielką literą pojęcia stosowane w Umowie powierzenia mają znaczenie nadane im w Regulaminie lub RODO, chyba że szczególne postanowienie Umowy powierzenia stanowi inaczej.

§ 2. Przedmiot, charakter, cel i czas przetwarzania danych

1. Powierzone dane osobowe będą przetwarzane przez Podmiot przetwarzający wyłącznie na udokumentowane polecenie Administratora oraz wyłącznie w celu świadczenia Usługi. Za „udokumentowane polecenie” Strony uznają w szczególności zawarcie Umowy głównej oraz czynności Administratora w panelu Konta (wprowadzenie, edycję, archiwizację i usunięcie danych oraz zgłoszenie profilu do publikacji).
2. Charakter przetwarzania obejmuje: zbieranie (od Administratora), utrwalanie, przechowywanie, porządkowanie, publiczne udostępnianie w serwisie gdzietrenujemy.pl (na profilu Klubu, w harmonogramie zajęć, w danych strukturalnych przeznaczonych dla wyszukiwarek internetowych oraz – jeżeli Administrator osadził Widget – na wskazanych przez niego stronach internetowych osób trzecich), a także archiwizację i usuwanie. Administrator przyjmuje do wiadomości, że publiczne udostępnienie danych w powyższy sposób jest istotą zamówionej Usługi.
3. Kategorie danych osobowych będących przedmiotem powierzenia (dalej: „powierzone dane osobowe”) oraz kategorie osób, których dane dotyczą, zostały wskazane w Załączniku nr 1 do Umowy powierzenia.
4. Powierzone dane osobowe nie mogą obejmować danych szczególnej kategorii, o których mowa w art. 9 RODO, ani danych dotyczących wyroków skazujących i czynów zabronionych, o których mowa w art. 10 RODO. Administrator zobowiązuje się nie wprowadzać takich danych do serwisu.
5. Przetwarzanie powierzonych danych osobowych odbywa się wyłącznie przy wykorzystaniu systemów informatycznych (w sposób zautomatyzowany).
6. Przetwarzanie odbywa się przez czas obowiązywania Umowy głównej, z zastrzeżeniem § 8.

§ 3. Obowiązki, prawa i oświadczenia Podmiotu przetwarzającego

1. Podmiot przetwarzający zobowiązuje się do zabezpieczenia powierzonych danych osobowych poprzez wdrożenie (jeszcze przed przystąpieniem do przetwarzania) oraz utrzymywanie środków technicznych i organizacyjnych odpowiednich do charakteru, zakresu, kontekstu i celu przetwarzania powierzonych danych, tak aby przetwarzanie spełniało wymogi RODO.
2. Podmiot przetwarzający zobowiązuje się zapewnić, aby osoby upoważnione do przetwarzania powierzonych danych osobowych zobowiązane były do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.
3. Podmiot przetwarzający zobowiązuje się, w zakresie uzasadnionym przedmiotem Umowy powierzenia i w miarę możliwości, pomagać Administratorowi w wywiązywaniu się z obowiązku odpowiedzi na żądania osób, których dane dotyczą, w zakresie wykonywania przez te osoby praw wynikających z rozdziału III RODO.
4. Podmiot przetwarzający zobowiązuje się niezwłocznie zawiadomić Administratora (na adres e-mail przypisany do Konta) o:
   1. każdym naruszeniu ochrony powierzonych danych osobowych – najpóźniej w ciągu 24 godzin od wykrycia naruszenia;
   2. każdym żądaniu otrzymanym od osoby, której dane przetwarza, powstrzymując się jednocześnie od odpowiedzi na żądanie do czasu otrzymania stanowiska Administratora – najpóźniej w ciągu 24 godzin od otrzymania żądania;
   3. każdym prawnie umocowanym żądaniu udostępnienia danych osobowych właściwemu organowi państwa, chyba że zakaz zawiadomienia wynika z przepisów prawa;
   4. przeprowadzeniu przez Prezesa Urzędu Ochrony Danych Osobowych lub inny organ nadzorczy kontroli zgodności przetwarzania danych osobowych i jej wynikach.
5. Podmiot przetwarzający zobowiązuje się, w zakresie uzasadnionym przedmiotem Umowy powierzenia i dostępnymi mu informacjami, pomagać Administratorowi w wywiązywaniu się z obowiązków wynikających z art. 32–36 RODO (bezpieczeństwo przetwarzania, zgłaszanie naruszeń, ocena skutków dla ochrony danych).
6. Podmiot przetwarzający zobowiązuje się:
   1. udostępniać Administratorowi, w terminie 14 dni od dnia otrzymania żądania, informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO;
   2. umożliwić Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczyniać się do nich, na zasadach określonych w ust. 7.
7. Audyt, o którym mowa w ust. 6 pkt 2, może zostać przeprowadzony:
   1. nie wcześniej niż 14 dni od dnia otrzymania przez Podmiot przetwarzający zapowiedzi jego przeprowadzenia, w terminie ustalonym przez Strony, oraz
   2. po zawarciu pomiędzy Podmiotem przetwarzającym a Administratorem lub upoważnionym przez niego audytorem umowy o zachowaniu poufności.
8. W razie stwierdzenia w toku audytu uchybień mających wpływ na bezpieczeństwo przetwarzania powierzonych danych osobowych Podmiot przetwarzający zobowiązuje się dostosować do uzasadnionych zaleceń sformułowanych przez Administratora lub audytora.

§ 4. Obowiązki i oświadczenia Administratora

1. Administrator zobowiązany jest zapewnić, aby przez cały okres obowiązywania Umowy powierzenia dysponował podstawą prawną przetwarzania powierzanych danych osobowych – w tym, w zakresie wizerunku, zgodą na jego rozpowszechnianie – i aby przysługiwały mu uprawnienia umożliwiające ich powierzenie Podmiotowi przetwarzającemu, w zakresie obejmującym publiczne udostępnianie opisane w § 2 ust. 2. W razie utraty podstawy prawnej lub uprawnień wobec określonych danych, Administrator zobowiązany jest niezwłocznie zaprzestać ich powierzania, w szczególności usunąć je z panelu Konta i zawiadomić Podmiot przetwarzający.
2. Administrator oświadcza, że wykonał wobec osób, których dane wprowadza do serwisu, obowiązek informacyjny wynikający z art. 13 lub 14 RODO, obejmujący także informację o publikacji danych w serwisie gdzietrenujemy.pl, w danych strukturalnych dla wyszukiwarek internetowych oraz w Widgecie osadzanym na stronach osób trzecich.
3. Administrator zobowiązuje się nie wydawać Podmiotowi przetwarzającemu poleceń dotyczących przetwarzania powierzanych danych osobowych, które byłyby niezgodne z przepisami prawa powszechnie obowiązującego lub postanowieniami Umowy powierzenia.

§ 5. Dalsze powierzenie danych osobowych

1. Administrator wyraża ogólną zgodę na dokonywanie przez Podmiot przetwarzający dalszego powierzenia przetwarzania danych osobowych (dalej: „podpowierzenie”) wybranym przez siebie podwykonawcom.
2. Na dzień zawarcia Umowy powierzenia Podmiot przetwarzający korzysta z następujących podwykonawców:
   1. OVH – infrastruktura serwerowa (hosting) oraz usługi poczty elektronicznej;
   2. Supabase – oprogramowanie warstwy bazy danych, uwierzytelniania i przechowywania plików – instalacja własna na serwerze OVH.
   3. Google – usługi map i podpowiedzi adresowych wykorzystywane do prezentacji lokalizacji.
3. Podmiot przetwarzający zobowiązuje się zapewnić, aby:
   1. podmiot, wobec którego dokonuje podpowierzenia, stosował odpowiednie środki techniczne i organizacyjne gwarantujące przetwarzanie powierzonych danych osobowych zgodnie z RODO;
   2. zakres obowiązków dalszego podmiotu przetwarzającego w zakresie ochrony danych odpowiadał obowiązkom Podmiotu przetwarzającego przewidzianym w Umowie powierzenia.
4. W przypadku zamiaru podpowierzenia przetwarzania danych osobowych nowemu podwykonawcy, Podmiot przetwarzający zawiadomi o tym Administratora nie później niż na 7 (siedem) dni przed dokonaniem podpowierzenia, za pomocą poczty elektronicznej. Administrator może sprzeciwić się podpowierzeniu, zgłaszając sprzeciw pocztą elektroniczną w terminie 7 (siedmiu) dni od dnia otrzymania zawiadomienia.
5. Po bezskutecznym upływie terminu na zgłoszenie sprzeciwu Podmiot przetwarzający może dokonać podpowierzenia.
6. W przypadku zgłoszenia sprzeciwu, którego uwzględnienie uniemożliwiałoby dalsze świadczenie Usługi, każda ze Stron może wypowiedzieć Umowę główną ze skutkiem natychmiastowym.
7. Podpowierzenie, o którym mowa w niniejszym paragrafie, nie stanowi zmiany Umowy powierzenia.

§ 6. Poufność

Strony zobowiązują się wykorzystać materiały, dane oraz wszelkie informacje pozyskane od drugiej Strony w związku z Umową powierzenia wyłącznie do jej realizacji oraz zachować je w tajemnicy, zarówno w czasie trwania Umowy powierzenia, jak i po jej rozwiązaniu. Obowiązek poufności nie dotyczy danych, których publiczne udostępnienie stanowi istotę Usługi (§ 2 ust. 2).

§ 7. Czas obowiązywania Umowy powierzenia

Umowa powierzenia zostaje zawarta na czas obowiązywania Umowy głównej i rozwiązuje się wraz z jej wypowiedzeniem, rozwiązaniem lub wygaśnięciem.

§ 8. Skutki rozwiązania Umowy powierzenia

W przypadku rozwiązania Umowy powierzenia (w szczególności wskutek usunięcia Konta), Podmiot przetwarzający, niezwłocznie, nie później niż w terminie 14 (czternastu) dni roboczych, usunie ze swoich systemów wszelkie powierzone dane osobowe, w tym skutecznie usunie je z nośników elektronicznych pozostających w jego dyspozycji, z zastrzeżeniem: (a) danych, których przechowywanie przez czas dłuższy wymagane jest przepisami powszechnie obowiązującego prawa, oraz (b) kopii zapasowych, z których dane są usuwane w cyklu rotacji kopii, nie dłuższym niż 30 dni.

§ 9. Postanowienia końcowe

1. Integralną częścią Umowy powierzenia jest Załącznik nr 1 – Kategorie powierzonych danych osobowych oraz kategorie osób, których powierzone dane osobowe dotyczą.
2. Do zmian Umowy powierzenia stosuje się odpowiednio postanowienia Regulaminu dotyczące zmiany Regulaminu.
3. W sprawach nieuregulowanych w Umowie powierzenia mają zastosowanie postanowienia Regulaminu, przepisy RODO oraz odpowiednie przepisy prawa polskiego.

Załącznik nr 1 – Kategorie powierzonych danych osobowych oraz kategorie osób, których powierzone dane osobowe dotyczą

L.p.	Kategorie danych osobowych	Kategorie osób, których dane dotyczą
1	imię i nazwisko, numer telefonu, adres e-mail, biogram (opis doświadczenia), wizerunek (zdjęcie), dyscyplina sportowa, okresy współpracy z Klubem (w tym dane archiwalne po zakończeniu współpracy)	członkowie kadry trenerskiej wpisani przez Klub w panelu Konta
2	imię i nazwisko, numer telefonu	osoby wskazane przez Klub jako prowadzące poszczególne zajęcia w harmonogramie