Umowa powierzenia przetwarzania danych osobowych

1. Strony i przedmiot

Organizacja, która zaakceptowała dokument w związku z kontem Levelo, jest „Administratorem”, a Szkółka Pływacka Aleksandry Urbańczyk, NIP 7251776782, REGON 101298234, Kościuszki 45/4, 90-514 Łódź, ola@szkolkaplywacka-au.pl, 503 170 714 jest „Podmiotem przetwarzającym”. Umowa stanowi integralną część umowy o usługę Levelo i reguluje przetwarzanie danych osobowych w imieniu Administratora zgodnie z art. 28 RODO.

2. Czas, charakter i cel

Przetwarzanie trwa przez okres świadczenia Levelo i niezbędną retencję po jego zakończeniu. Obejmuje utrwalanie, organizowanie, przechowywanie, przeglądanie, dopasowywanie, przesyłanie, tworzenie kopii, usuwanie i inne operacje konieczne do obsługi uczestników, zajęć, płatności, komunikacji i dokumentów zgodnie z udokumentowanymi poleceniami Administratora.

3. Kategorie osób i danych

Osobami, których dane dotyczą, mogą być uczestnicy (także dzieci), rodzice i opiekunowie, pracownicy, instruktorzy, kontrahenci i użytkownicy Organizacji. Dane mogą obejmować identyfikatory, dane kontaktowe, relacje opiekun–uczestnik, zajęcia, frekwencję, rozliczenia, komunikację, zgody i dokumenty.

Dane szczególnej kategorii, w tym dane o zdrowiu, nie są objęte standardowym zakresem i nie powinny być wprowadzane bez osobnego polecenia, podstawy prawnej, oceny ryzyka i uzgodnienia dodatkowych zabezpieczeń.

4. Polecenia i obowiązki Administratora

Podmiot przetwarzający działa wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie transferów, chyba że obowiązek wynika z prawa. Administrator odpowiada za legalność danych, podstawy prawne, obowiązki informacyjne, realizację praw osób, zakres uprawnień użytkowników oraz treść poleceń.

5. Poufność i bezpieczeństwo

Do danych mają dostęp wyłącznie osoby upoważnione i zobowiązane do poufności. Stosowane środki obejmują: szyfrowanie TLS, kontrolę dostępu i role, logiczną separację organizacji, bezpieczne haszowanie haseł, dzienniki zdarzeń, szyfrowane kopie D1 i R2 z 35-dniową retencją, okresowe próbne odtworzenie, aktualizacje oraz procedurę incydentową.

6. Dalsze powierzenie

Administrator udziela ogólnej zgody na korzystanie z dalszych procesorów niezbędnych do świadczenia usługi, w szczególności dostawców infrastruktury Cloudflare, uwierzytelniania Supabase, poczty Resend, płatności Autopay, komunikacji SMSPlanet oraz monitoringu. Podmiot przetwarzający zapewnia równoważne obowiązki ochrony danych i informuje o istotnej zmianie, umożliwiając uzasadniony sprzeciw.

7. Pomoc Administratorowi

Uwzględniając charakter przetwarzania, Levelo wspiera Administratora w realizacji praw osób, bezpieczeństwie, ocenie skutków, konsultacjach oraz wywiązywaniu się z obowiązków związanych z naruszeniem. Administrator przekazuje żądania i instrukcje przez ola@szkolkaplywacka-au.pl.

8. Naruszenia

Po stwierdzeniu naruszenia danych powierzonych Levelo informuje Administratora bez zbędnej zwłoki, przekazując dostępne informacje o charakterze, możliwych skutkach i środkach zaradczych. Administrator podejmuje decyzje dotyczące zgłoszenia organowi nadzorczemu i zawiadomienia osób.

9. Audyt i informacje

Levelo udostępnia informacje niezbędne do wykazania zgodności oraz umożliwia uzasadniony audyt, z uwzględnieniem poufności i bezpieczeństwa innych klientów. W pierwszej kolejności wykorzystywane są dokumenty, raporty i zdalne wyjaśnienia; audyt na miejscu wymaga rozsądnego wyprzedzenia i nie może nieproporcjonalnie zakłócać usługi.

10. Zwrot, usunięcie i zakończenie

Po zakończeniu usługi, według wyboru Administratora, Levelo zwraca dane w dostępnym formacie lub usuwa je, chyba że prawo wymaga przechowania. Pozostałości w zaszyfrowanych kopiach są usuwane w zwykłym cyklu retencji do 35 dni i pozostają chronione do czasu usunięcia.

11. Transfery i postanowienia końcowe

Transfer danych poza EOG może nastąpić tylko przy spełnieniu wymogów RODO. W razie sprzeczności w sprawach przetwarzania pierwszeństwo ma niniejsza umowa. W pozostałym zakresie stosuje się Regulamin oraz prawo polskie.