Umowa Powierzenia Przetwarzania Danych Osobowych

§1. Przedmiot Umowy

Niniejsza umowa reguluje zasady powierzenia przez Klub (dalej: „Administrator") przetwarzania danych osobowych podmiotowi ClubSystem (dalej: „Podmiot Przetwarzający") w związku ze świadczeniem usługi ClubSystem opisanej w Regulaminie świadczenia usług (dalej: „Usługa").

Umowa zawierana jest na podstawie art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) i wchodzi w życie z chwilą zawarcia umowy o świadczenie usług (tj. ukończenia rejestracji i akceptacji Regulaminu).

Podmiot Przetwarzający: Bartosz Olchówka, ul. Reja 55/54, 50-343 Wrocław, NIP: PL8451894280. Kontakt: contact@clubsystem.app.

§2. Zakres i cel przetwarzania

Cel przetwarzania: świadczenie Usługi, w tym obsługa rezerwacji i wysyłka wiadomości SMS i e-mail do klientów Administratora.

Rodzaje danych osobowych przetwarzanych w imieniu Administratora, w szczególności:

• dane kontaktowe klientów Administratora: numer telefonu, imię i nazwisko, adres e-mail,
• historia rezerwacji i gier klientów Administratora,
• tymczasowe kody weryfikacyjne SMS,
• dane kont personelu Administratora: imię i nazwisko, adres e-mail.

Dane rejestracyjne właściciela/administratora klubu służące do założenia konta w ClubSystem (imię, nazwisko, e-mail, numer telefonu) są przetwarzane przez ClubSystem w charakterze administratora danych na podstawie Regulaminu świadczenia usług i wykraczają poza zakres niniejszej umowy.

Kategorie osób, których dane dotyczą: klienci końcowi Administratora (osoby rezerwujące stoły) oraz pracownicy i administratorzy Administratora (personel klubu).

Czas trwania przetwarzania: przez czas obowiązywania umowy o świadczenie Usługi oraz do usunięcia danych zgodnie z §9.

Przetwarzanie na komputerze Administratora: część danych może być przetwarzana także na komputerze Administratora, przez zainstalowane na nim oprogramowanie Podmiotu Przetwarzającego oraz w ramach zdalnego dostępu do tego komputera, na zasadach opisanych w Regulaminie.

§3. Obowiązki Podmiotu Przetwarzającego

Podmiot Przetwarzający zobowiązuje się do:

1. Przetwarzania danych wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego.
2. Zapewnienia poufności — osoby upoważnione do przetwarzania danych zostaną objęte zobowiązaniem do zachowania tajemnicy.
3. Stosowania środków technicznych i organizacyjnych wymaganych przez art. 32 RODO.
4. Zarządzania dalszymi podmiotami przetwarzającymi zgodnie z §5.
5. Pomocy Administratorowi w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, przenoszenie, sprzeciw).
6. Pomocy Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, DPIA, konsultacje z organem nadzorczym).
7. Udostępnienia wszelkich informacji niezbędnych do wykazania spełnienia obowiązków oraz umożliwienia przeprowadzenia audytów (§8).
8. Niezwłocznego informowania Administratora, jeśli zdaniem Podmiotu Przetwarzającego wydane polecenie stanowi naruszenie RODO.

§4. Obowiązki Administratora

Administrator zobowiązuje się do:

1. Korzystania z Usługi zgodnie z Regulaminem i Polityką Prywatności ClubSystem.
2. Pozyskiwania danych osobowych klientów zgodnie z obowiązującymi przepisami, w szczególności na podstawie odpowiedniej podstawy prawnej (art. 6 RODO).
3. Realizowania praw osób, których dane dotyczą, za pośrednictwem interfejsu Usługi lub kontaktu z Podmiotem Przetwarzającym.
4. Informowania klientów (w swojej polityce prywatności) o korzystaniu z ClubSystem jako procesora danych.
5. Zabezpieczenia komputera, na którym działa oprogramowanie Podmiotu Przetwarzającego, oraz środków dostępu do Usługi (loginów, haseł, PIN-ów), zgodnie z Regulaminem.

§5. Podpowierzenie przetwarzania

Administrator udziela Podmiotowi Przetwarzającemu ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających (podprocesorów). O dodaniu lub zastąpieniu podprocesora Podmiot Przetwarzający informuje Administratora drogą e-mail z co najmniej 14-dniowym wyprzedzeniem. Administrator może w tym terminie zgłosić sprzeciw, a jeśli strony nie dojdą do porozumienia - wypowiedzieć umowę o świadczenie Usługi.

Podmiot Przetwarzający nakłada na podprocesorów obowiązki ochrony danych odpowiadające obowiązkom z niniejszej umowy i odpowiada wobec Administratora za ich wykonanie (art. 28 ust. 4 RODO).

Aktualnie zatwierdzone dalsze podmioty przetwarzające (podprocesory):

W odniesieniu do podmiotów z USA transfer danych odbywa się na podstawie programu EU–US Data Privacy Framework (DPF) lub Standardowych Klauzul Umownych (SCC).

§6. Naruszenia ochrony danych

Podmiot Przetwarzający bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych powiadamia o nim Administratora (art. 33 ust. 2 RODO), przekazując posiadane informacje potrzebne Administratorowi do zgłoszenia naruszenia.

Zgłoszenia dotyczące naruszeń i incydentów bezpieczeństwa należy kierować na adres: contact@clubsystem.app.

Administrator jest odpowiedzialny za ocenę, czy naruszenie wymaga zgłoszenia do UODO i/lub powiadomienia osób, których dotyczy.

§7. Prawa osób, których dane dotyczą

Podmiot Przetwarzający niezwłocznie przekazuje Administratorowi wszelkie żądania kierowane bezpośrednio do Podmiotu Przetwarzającego przez osoby, których dane dotyczą, i nie odpowiada na nie samodzielnie bez upoważnienia Administratora.

§8. Audyty i inspekcje

Administrator ma prawo do przeprowadzania audytów i inspekcji dotyczących przestrzegania niniejszej umowy przez Podmiot Przetwarzający, nie częściej niż raz w roku, z co najmniej 14-dniowym uprzednim powiadomieniem. Audyt przeprowadzany jest na koszt Administratora, chyba że wykaże naruszenia przez Podmiot Przetwarzający. Podmiot Przetwarzający może w pierwszej kolejności odpowiedzieć na audyt pisemnie, udostępniając informacje i dokumenty.

§9. Usunięcie lub zwrot danych po zakończeniu umowy

Na wniosek zgłoszony nie później niż 30 dni po zakończeniu umowy o świadczenie Usługi Podmiot Przetwarzający przekazuje Administratorowi jego dane w formie elektronicznej w ciągu 30 dni od wniosku. Po upływie 30 dni od zakończenia umowy Podmiot Przetwarzający usuwa dane, nie wcześniej jednak niż po przekazaniu danych na wniosek zgłoszony w terminie, chyba że przepisy prawa wymagają ich dalszego przechowywania. Dane w kopiach zapasowych są usuwane w ramach rotacji tych kopii. Dane na komputerze Administratora są usuwane wraz z oprogramowaniem Podmiotu Przetwarzającego, zgodnie z Regulaminem.

§10. Odpowiedzialność

Podmiot Przetwarzający ponosi odpowiedzialność za szkody spowodowane przetwarzaniem wyłącznie wtedy, gdy nie dopełnił obowiązków nałożonych przez RODO i niniejszą umowę lub działał poza udokumentowanymi instrukcjami Administratora lub wbrew nim.

Ograniczenia odpowiedzialności między stronami określa Regulamin świadczenia usług.

Ograniczenia te nie mają zastosowania do odpowiedzialności na podstawie art. 82 RODO wobec osób, których dane dotyczą, ani do odpowiedzialności wynikającej z bezwzględnie obowiązujących przepisów prawa.

§11. Postanowienia końcowe

Niniejsza umowa podlega prawu polskiemu. W sprawach nieuregulowanych stosuje się przepisy Kodeksu cywilnego, RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Sądem właściwym jest sąd właściwy dla siedziby Podmiotu Przetwarzającego (Wrocław).

Niniejsza umowa może być zmieniana w trybie zmiany Regulaminu świadczenia usług, a lista podprocesorów - w trybie §5.

Wersja angielska umowy dostępna jest pod adresem /data-processing-agreement/. W razie rozbieżności między wersjami wiąże wersja polska.