Umowa powierzenia przetwarzania danych osobowych

Załącznik do Regulaminu serwisu PR Engine · obowiązuje od 3 września 2026 r.

§ 1. Strony i przedmiot umowy

1. Administrator — Trener korzystający z serwisu PR Engine, który wprowadza do niego dane osobowe swoich podopiecznych i decyduje o celach i sposobach ich przetwarzania.
2. Podmiot przetwarzający — Michał Serba, adres: Szamotuły (pełny adres na żądanie), kontakt: michalserba66@gmail.com, prowadzący serwis PR Engine.
3. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych podopiecznych w zakresie i celu opisanym w § 2, na zasadach określonych w art. 28 RODO.
4. Umowa zostaje zawarta z chwilą zaakceptowania Regulaminu przez Trenera i obowiązuje przez czas korzystania przez niego z serwisu.

§ 2. Zakres i charakter przetwarzania

§ 3. Obowiązki Administratora

1. Administrator oświadcza, że jest uprawniony do przetwarzania powierzanych danych i że przetwarza je zgodnie z prawem.
2. Administrator zobowiązuje się w szczególności:
   1. wykonać wobec podopiecznych obowiązek informacyjny z art. 13 RODO;
   2. uzyskać i móc wykazać wyraźną zgodę każdego podopiecznego na przetwarzanie danych dotyczących zdrowia (art. 9 ust. 2 lit. a RODO) przed wprowadzeniem takich danych do serwisu;
   3. uzyskać zgodę podopiecznego na przesyłanie nagrań z jego wizerunkiem;
   4. nie wprowadzać do serwisu danych w zakresie szerszym, niż jest to niezbędne do prowadzenia treningu.
3. Administrator ponosi odpowiedzialność za skutki wprowadzenia do serwisu danych z naruszeniem ust. 2.

§ 4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się:

1. przetwarzać dane wyłącznie na udokumentowane polecenie Administratora; za takie polecenie uznaje się korzystanie z funkcji serwisu przez Administratora oraz ustalenia niniejszej umowy i Regulaminu;
2. niezwłocznie poinformować Administratora, jeżeli jego polecenie stanowiłoby naruszenie RODO lub innych przepisów o ochronie danych;
3. zapewnić, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności;
4. stosować środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzania odpowiednie do ryzyka (art. 32 RODO), opisane w § 5;
5. pomagać Administratorowi w realizacji żądań osób, których dane dotyczą (art. 15–22 RODO), w zakresie wynikającym z funkcji serwisu;
6. pomagać Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, w tym przy zgłaszaniu naruszeń i ocenie skutków dla ochrony danych;
7. zgłosić Administratorowi każde naruszenie ochrony powierzonych danych niezwłocznie, nie później niż w ciągu 24 godzin od jego stwierdzenia, przekazując informacje niezbędne do dokonania zgłoszenia do organu nadzorczego;
8. udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwiać audyty na zasadach z § 6.

§ 5. Środki bezpieczeństwa

• szyfrowanie połączenia (HTTPS) między urządzeniem użytkownika a serwisem,
• uwierzytelnianie użytkowników i przechowywanie haseł wyłącznie w postaci skrótów, po stronie dostawcy uwierzytelniania,
• rozdzielenie dostępu na poziomie bazy danych (Row Level Security): Trener ma dostęp wyłącznie do danych swoich podopiecznych, podopieczny wyłącznie do własnych,
• ograniczenie dostępu do usługi analizy nagrań do użytkowników zalogowanych,
• kopie zapasowe bazy danych prowadzone przez dostawcę infrastruktury.

§ 6. Podpowierzenie

1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających (podprocesorów).
2. Na dzień zawarcia umowy podprocesorami są:

3. Podmiot przetwarzający informuje Administratora o zamierzonej zmianie podprocesorów z co najmniej 14-dniowym wyprzedzeniem. Administrator może w tym terminie wnieść sprzeciw; wniesienie sprzeciwu uprawnia go do rozwiązania umowy i zaprzestania korzystania z serwisu.
4. Podmiot przetwarzający nakłada na podprocesorów te same obowiązki ochrony danych, które wynikają z niniejszej umowy, i odpowiada za ich działania jak za własne.
5. Przekazywanie danych poza Europejski Obszar Gospodarczy odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub decyzji o odpowiednim stopniu ochrony.

§ 7. Kontrola i audyt

1. Administrator ma prawo kontrolować sposób wykonywania umowy przez Podmiot przetwarzający.
2. Kontrolę zapowiada się z co najmniej 14-dniowym wyprzedzeniem, w formie pisemnej lub elektronicznej, i przeprowadza w godzinach i w sposób nieutrudniający świadczenia usługi.
3. Podmiot przetwarzający może wykazać spełnienie obowiązków, przedstawiając aktualne certyfikaty, raporty z audytów lub dokumentację podprocesorów.

§ 8. Zakończenie umowy i los danych

1. Umowa wygasa z chwilą zaprzestania korzystania przez Administratora z serwisu, w tym z chwilą usunięcia jego konta.
2. Po zakończeniu umowy Podmiot przetwarzający, według wyboru Administratora, zwraca dane lub je usuwa wraz z istniejącymi kopiami, chyba że obowiązek dalszego przechowywania wynika z przepisów prawa. Brak dyspozycji w terminie 30 dni od zakończenia umowy oznacza polecenie usunięcia danych.
3. Usunięcie danych z kopii zapasowych następuje w terminie 30 dni.

§ 9. Odpowiedzialność

1. Każda ze stron odpowiada za szkody wyrządzone drugiej stronie oraz osobom, których dane dotyczą, na zasadach określonych w art. 82 RODO.
2. Odpowiedzialności Podmiotu przetwarzającego wynikającej z bezwzględnie obowiązujących przepisów o ochronie danych nie ogranicza nic, co ustalono w tej umowie.
3. Administrator ponosi wyłączną odpowiedzialność za brak podstawy prawnej przetwarzania danych, które sam wprowadził do serwisu, w szczególności za brak zgody na przetwarzanie danych dotyczących zdrowia.

§ 10. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się RODO oraz przepisy prawa polskiego.
2. Zmiany umowy wymagają poinformowania Administratora z 14-dniowym wyprzedzeniem; brak sprzeciwu i dalsze korzystanie z serwisu oznacza akceptację zmian.
3. W razie sprzeczności między niniejszą umową a Regulaminem, w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.