Umowa Powierzenia Przetwarzania Danych Osobowych

§ 1 Przedmiot i cel Umowy

1. Przedmiotem niniejszej Umowy jest określenie warunków, na jakich Procesor będzie przetwarzał dane osobowe w imieniu Administratora w związku ze świadczeniem usług Platformy TrainOne (SaaS), zgodnie z art. 28 RODO.
2. Celem przetwarzania jest świadczenie przez Procesora usług Platformy TrainOne na rzecz Administratora, obejmujących przechowywanie, zarządzanie i udostępnianie danych osobowych Pracowników i Klientów Administratora.
3. Umowa wchodzi w życie z chwilą jej akceptacji podczas rejestracji i obowiązuje przez cały czas korzystania przez Administratora z Platformy TrainOne.

§ 2 Zakres, charakter i cel przetwarzania

1. Zakres przetwarzania: Procesor przetwarza wyłącznie te dane osobowe, które Administrator wprowadza do Platformy TrainOne lub które są przez nią generowane w trakcie korzystania z usług.
2. Rodzaje danych osobowych:
   • Dane identyfikacyjne: imię, nazwisko
   • Dane kontaktowe: adres e-mail, numer telefonu
   • Dane demograficzne: data urodzenia, płeć
   • Dane zdrowotne (art. 9 RODO): plany treningowe, historia treningów (ćwiczenia, serie, powtórzenia, ciężary, RPE), plany żywieniowe, dzienniki posiłków, wskaźniki anthropometryczne (waga, obwody ciała)
   • Dane finansowe: historia zakupów pakietów i karnetów, identyfikatory transakcji Stripe
   • Dane behawioralne: historia rezerwacji sesji, timestampy check-in, historia logowania
3. Kategorie osób, których dane dotyczą: Pracownicy Administratora (trenerzy, instruktorzy, dietetycy, pracownicy recepcji) oraz Klienci Administratora (podopieczni, uczestnicy zajęć).
4. Charakter przetwarzania: przechowywanie, odczyt, modyfikacja, usuwanie, tworzenie kopii zapasowych danych osobowych w systemie informatycznym Platformy TrainOne.
5. Cel przetwarzania: zarządzanie sesjami treningowymi i rezerwacjami, tworzenie i udostępnianie planów treningowych i żywieniowych, rozliczenia i obsługa płatności, komunikacja z Klientami oraz inne funkcje Platformy TrainOne określone w Regulaminie.

§ 3 Obowiązki Procesora

Procesor zobowiązuje się do:

1. Przetwarzania wyłącznie na polecenie Administratora. Procesor przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, którym jest konfiguracja i korzystanie z Platformy TrainOne. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych. Wyjątek stanowi przetwarzanie wymagane prawem UE lub prawem polskim — w takim przypadku Procesor poinformuje Administratora przed przystąpieniem do przetwarzania, o ile prawo nie zakazuje udzielania takich informacji.
2. Zachowania poufności. Procesor zapewnia, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegają stosownemu ustawowemu obowiązkowi zachowania tajemnicy.
3. Wdrożenia odpowiednich środków bezpieczeństwa. Procesor wdraża i utrzymuje odpowiednie techniczne i organizacyjne środki ochrony danych (szczegółowo opisane w § 5 niniejszej Umowy), zapewniające poziom bezpieczeństwa odpowiadający ryzyku.
4. Angażowania podprocesorów. Procesor nie angażuje innego podmiotu przetwarzającego bez uprzedniej pisemnej zgody Administratora. Ogólna zgoda Administratora na angażowanie podprocesorów wymienionych w Załączniku 1 do niniejszej Umowy jest wyrażona poprzez akceptację niniejszej DPA. Procesor informuje Administratora o wszelkich planowanych zmianach w wykazie podprocesorów z 30-dniowym wyprzedzeniem, umożliwiając Administratorowi wniesienie sprzeciwu. W przypadku wniesienia sprzeciwu strony podejmują negocjacje; jeśli nie dojdą do porozumienia, Administrator może rozwiązać Umowę.
5. Pomocy Administratorowi w realizacji praw osób, których dane dotyczą. Biorąc pod uwagę charakter przetwarzania, Procesor pomaga Administratorowi poprzez odpowiednie środki techniczne i organizacyjne w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie praw: dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu.
6. Pomocy Administratorowi w zakresie obowiązków z art. 32–36 RODO. Procesor wspiera Administratora w zapewnieniu przestrzegania obowiązków wynikających z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków dla ochrony danych, uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne Procesorowi informacje.
7. Usunięcia lub zwrotu danych po zakończeniu Umowy. Po zakończeniu świadczenia usług dotyczących przetwarzania, Procesor — zgodnie z wyborem Administratora — usuwa lub zwraca wszelkie dane osobowe oraz usuwa istniejące kopie, chyba że prawo UE lub polskie nakazuje przechowywanie danych. Administrator ma 30 dni od zakończenia Umowy na eksport danych z Platformy.
8. Udostępnienia informacji i umożliwienia audytów. Procesor udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszym artykule oraz umożliwia i przyczynia się do przeprowadzania audytów, w tym inspekcji, prowadzonych przez Administratora lub innego audytora upoważnionego przez Administratora. Audyt przeprowadzany jest na pisemny wniosek z co najmniej 30-dniowym wyprzedzeniem, w godzinach roboczych, nie częściej niż raz w roku, na koszt Administratora.
9. Zgłaszania naruszeń. Procesor po stwierdzeniu naruszenia ochrony danych osobowych zgłasza je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 48 godzin. Zgłoszenie zawiera informacje wymagane przez art. 33 ust. 3 RODO w zakresie dostępnym Procesorowi na moment zgłoszenia.

§ 4 Obowiązki Administratora

1. Administrator oświadcza, że dysponuje odpowiednią podstawą prawną do przetwarzania powierzanych danych osobowych, w szczególności do przetwarzania danych zdrowotnych na podstawie art. 9 ust. 2 RODO.
2. Administrator wypełnia wobec osób, których dane dotyczą, obowiązki informacyjne wynikające z art. 13 i 14 RODO.
3. Administrator odpowiada za prawidłowość, aktualność i kompletność danych osobowych wprowadzanych do Platformy.
4. Administrator udziela Procesorowi udokumentowanych poleceń co do celów i sposobu przetwarzania danych osobowych poprzez konfigurację i używanie Platformy TrainOne.
5. Administrator zapewnia, że zapraszani do Platformy Pracownicy i Klienci zostali poinformowani o zakresie przetwarzania ich danych osobowych przez Administratora i Procesora.

§ 5 Techniczne i organizacyjne środki bezpieczeństwa

Procesor wdrożył następujące środki ochrony danych osobowych:

1. Szyfrowanie danych w transmisji: protokół HTTPS/TLS 1.3 dla wszystkich połączeń do Platformy.
2. Szyfrowanie danych wrażliwych w spoczynku: dane wrażliwe (np. hasła CalDAV) szyfrowane po stronie serwera.
3. Uwierzytelnianie: dostęp do Platformy realizowany jednorazowymi kodami OTP (Magic Link) — Platforma nie przechowuje haseł użytkowników.
4. Kontrola dostępu: system uprawnień oparty na rolach (RBAC); dostęp do danych produkcyjnych ograniczony do upoważnionych pracowników TrainOne.
5. Izolacja danych wielodostępnych (multi-tenant): dane każdej Firmy są logicznie oddzielone przez mechanizm Row Level Security w bazie danych.
6. Kopie zapasowe: regularne automatyczne kopie zapasowe danych z szyfrowaniem, przechowywane w bezpiecznej lokalizacji.
7. Infrastruktura: serwery hostowane przez Hetzner Online GmbH w centrum danych w UE (Niemcy/Finlandia), certyfikowanym zgodnie z ISO 27001.
8. Zasada minimalnych uprawnień: każdy pracownik i system ma dostęp wyłącznie do danych niezbędnych do realizacji powierzonych zadań.
9. Procedura reagowania na naruszenia: Procesor posiada udokumentowaną procedurę wykrywania, analizowania i zgłaszania naruszeń bezpieczeństwa danych.

§ 6 Podprocesory (Podmioty przetwarzające)

Administrator udziela ogólnej zgody na korzystanie przez Procesora z następujących podprocesorów (Załącznik 1):

Procesor zawarł z każdym podprocesorem umowę powierzenia przetwarzania nakładającą na niego obowiązki ochrony danych nie mniej rygorystyczne niż określone w niniejszej Umowie. Procesor ponosi pełną odpowiedzialność wobec Administratora za wypełnienie przez podprocesora jego obowiązków w zakresie ochrony danych.

Transfer danych do USA realizowany jest na podstawie Standardowych Klauzul Umownych (SCC) przyjętych decyzją Komisji Europejskiej 2021/914.

§ 7 Naruszenia ochrony danych osobowych

1. Procesor po stwierdzeniu naruszenia ochrony danych osobowych, które może powodować ryzyko dla praw lub wolności osób fizycznych, niezwłocznie — nie później niż w ciągu 48 godzin od stwierdzenia — zgłasza je Administratorowi.
2. Zgłoszenie naruszenia zawiera co najmniej: opis charakteru naruszenia, w miarę możliwości kategorie i przybliżoną liczbę osób i rekordów danych, dane kontaktowe osoby udzielającej informacji, opis prawdopodobnych konsekwencji naruszenia, opis zastosowanych lub proponowanych środków zaradczych.
3. Administrator (jako podmiot zobowiązany przez art. 33 RODO) ocenia, czy naruszenie wymaga zgłoszenia do Prezesa UODO (w ciągu 72 godzin od powzięcia wiadomości o naruszeniu) oraz powiadomienia osób, których dane dotyczą (art. 34 RODO).
4. Procesor niezwłocznie podjął działania zmierzające do minimalizacji skutków naruszenia i zapobieżenia podobnym naruszeniom w przyszłości.

§ 8 Dane zdrowotne — szczególne warunki

1. Platforma TrainOne umożliwia przetwarzanie danych zdrowotnych Klientów (art. 9 RODO), w szczególności planów treningowych, historii ćwiczeń, planów żywieniowych i wskaźników anthropometrycznych.
2. Administrator oświadcza, że dysponuje wyraźną zgodą Klienta (art. 9 ust. 2 lit. a RODO) lub inną właściwą podstawą z art. 9 ust. 2 RODO przed aktywacją modułów umożliwiających przetwarzanie danych zdrowotnych.
3. Procesor udostępnia w Platformie mechanizm zbierania zgody Klienta na przetwarzanie danych zdrowotnych podczas onboardingu. Administrator odpowiada za prawidłowe skonfigurowanie i stosowanie tego mechanizmu.
4. Procesor nie przetwarza danych zdrowotnych w celach własnych i nie udostępnia ich osobom trzecim poza zakresem niniejszej Umowy.

§ 9 Czas trwania i postanowienia końcowe

1. Niniejsza Umowa obowiązuje przez czas korzystania przez Administratora z Platformy TrainOne i wygasa z chwilą rozwiązania Umowy o świadczenie usług (Regulaminu).
2. Po wygaśnięciu Umowy Procesor usuwa wszystkie dane osobowe powierzone przez Administratora, w tym kopie zapasowe, chyba że obowiązek ich przechowywania wynika z prawa UE lub polskiego. Administrator ma 30 dni od wygaśnięcia Umowy na eksport danych.
3. W zakresie nieuregulowanym niniejszą Umową stosuje się Regulamin korzystania z Platformy TrainOne oraz przepisy RODO i polskiego prawa o ochronie danych osobowych.
4. Prawem właściwym dla niniejszej Umowy jest prawo polskie. Wszelkie spory rozstrzygane są przez sąd właściwy dla siedziby Procesora.
5. Niniejsza Umowa zastępuje wszelkie wcześniejsze porozumienia stron dotyczące powierzenia przetwarzania danych osobowych w zakresie usług TrainOne.
6. Zmiany niniejszej Umowy wymagają formy pisemnej pod rygorem nieważności. Procesor poinformuje Administratora o planowanych zmianach drogą e-mail z co najmniej 30-dniowym wyprzedzeniem. Dalsze korzystanie z Platformy po tym terminie oznacza akceptację zmian.