Umowa Powierzenia Przetwarzania Danych (DPA) | Mativate

Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: „Umowa” lub „DPA”) stanowi wersję 1.0 - interim, przygotowaną przez operatora platformy Mativate w oparciu o:

Uwaga do wersji interim. Dokument został opracowany przez zespół Mativate w oparciu o oficjalne wzorce KE i RODO. Wersja rozszerzona (v2.0), po weryfikacji kancelaryjnej, zostanie opublikowana z minimum 30-dniowym wyprzedzeniem i wymagać będzie ponownej akceptacji zgodnie z procedurą re-akceptacji.

Wykorzystanie dokumentu. Niniejsza Umowa stanowi integralną część [Regulaminu Platformy Mativate](/terms). Akceptacja odbywa się w trybie *click-wrap* przy tworzeniu Klubu w panelu Mativate. Akceptacja ma formę elektroniczną zgodnie z art. 60 i 61 Kodeksu cywilnego i spełnia wymóg formy pisemnej w rozumieniu art. 28 ust. 9 RODO (forma elektroniczna dopuszczona).

§1. Definicje

§2. Zasady ogólne

1. Umowa zostaje zawarta w wykonaniu obowiązku z art. 28 ust. 3 RODO i stanowi integralną część Regulaminu.

2. Przedmiotem Umowy jest uregulowanie zasad powierzenia przez Administratora Podmiotowi Przetwarzającemu Danych Osobowych w celu świadczenia usług w ramach Platformy.

3. Strony oświadczają, że:

Osobowych Podmiotów Danych gromadzonych i wykorzystywanych w związku z działalnością

Klubu;

4. Podmiot Przetwarzający (Mativate) przetwarza te same Dane Osobowe wyłącznie w imieniu i na Udokumentowane Polecenie Administratora, w zakresie niezbędnym do świadczenia usług Platformy.

5. Podmiot Przetwarzający oświadcza, że zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, tak aby przetwarzanie spełniało wymogi RODO i chroniło prawa Podmiotów Danych.

6. Administrator oświadcza, że posiada prawną podstawę do przetwarzania powierzanych Danych Osobowych i zgromadził je zgodnie z RODO oraz właściwymi przepisami prawa krajowego.

7. Umowa wiąże Strony od dnia jej elektronicznej akceptacji przez osobę uprawnioną do reprezentacji Administratora, przez cały okres obowiązywania Regulaminu, oraz po jego zakończeniu - w zakresie obowiązków wynikających z §17.

§3. Przedmiot, charakter i cel przetwarzania

1. Przedmiot: Dane Osobowe Podmiotów Danych przekazywane przez Administratora do Platformy oraz generowane w ramach korzystania z Platformy.

2. Charakter: zautomatyzowane oraz ręczne przetwarzanie Danych w systemie informatycznym Podmiotu Przetwarzającego w ramach świadczenia usług SaaS.

3. Cel: wyłącznie realizacja funkcjonalności Platformy opisanych w

Regulaminie, w szczególności:

<ul>

<li>zarządzanie członkostwem i uczestnictwem w zajęciach Klubu;

4. prowadzenie ewidencji obecności, postępów i osiągnięć;

5. komunikacja Klubu z Podmiotami Danych (powiadomienia push, e-mail, SMS);

6. obsługa procesów rekrutacji członków (wnioski o członkostwo);

7. wsparcie procesów wynikających z Ustawy Kamilka (jeżeli Klub korzysta z dostępnych w Platformie narzędzi ochrony małoletnich);

8. dostarczanie funkcji analitycznych, raportowych i administracyjnych w panelu Klubu;

9. obsługa techniczna płatności składek klubowych przez Espago (gdy Administrator podłączy bramkę; stroną transakcji pozostaje Administrator); fakturowanie własnego abonamentu SaaS Mativate nie jest obecnie świadczone - w razie uruchomienia zostanie dodane do zakresu Umowy i osobno potwierdzone.

10. Czas przetwarzania: okres obowiązywania Regulaminu oraz okresy retencji opisane w §17 ust. 4.

11. Kategorie Podmiotów Danych oraz rodzaje Danych Osobowych zostały wyszczególnione w Załączniku nr 1.

§4. Szczególne kategorie Podmiotów Danych - małoletni i dane zdrowotne

1. Strony uznają, że Platforma jest wykorzystywana do przetwarzania znacznych ilości Danych Małoletnich, które podlegają szczególnej ochronie (art. 8 RODO i motyw 38 RODO).

2. Odpowiedzialność za zgodę opiekuna. Uzyskanie zgody rodzica lub opiekuna prawnego na przetwarzanie Danych Małoletniego poniżej 16 r.ż. spoczywa wyłącznie na Administratorze. Podmiot Przetwarzający udostępnia narzędzia techniczne wspierające dokumentację zgód, jednak nie ponosi odpowiedzialności za brak, wadliwość lub nieaktualność uzyskanej zgody.

3. Dane dotyczące zdrowia. Platforma umożliwia Administratorowi przetwarzanie Danych Szczególnych (art. 9 ust. 1 RODO) - w szczególności orzeczeń lekarskich, zaświadczeń o zdolności do uprawiania sportu, ubezpieczeń NNW, licencji zawodniczych. Administrator oświadcza, że przetwarza te dane wyłącznie na właściwej podstawie z art. 9 ust. 2 RODO (typowo: wyraźna zgoda - lit. a; obowiązek z zakresu zabezpieczenia społecznego - lit. b; ochrona żywotnych interesów - lit. c).

4. Obowiązki dodatkowe Podmiotu Przetwarzającego w odniesieniu do Danych

Małoletnich:

<ul>

<li>stosowanie wzmocnionych środków technicznych zgodnie z Załącznikiem nr 3;

5. zapewnienie mechanizmu pseudonimizacji tożsamości Małoletnich w kontekstach publicznych Platformy (np. rankingi, tablice), w zakresie w którym takie funkcje są włączone;

6. zapewnienie osobnego trybu dostępu dla kont młodzieżowych z redukowanymi uprawnieniami, w zakresie w którym taka funkcja jest dostępna w Platformie;

7. zakaz wykorzystywania Danych Małoletnich do jakichkolwiek celów innych niż realizacja usług dla danego Administratora (zakaz cross-tenant - zgodnie z §15).

§5. Obowiązki Podmiotu Przetwarzającego

Podmiot Przetwarzający zobowiązuje się do:

1. Przetwarzania wyłącznie na Udokumentowane Polecenie Administratora - w tym w zakresie transferu do Państwa Trzeciego. Jeżeli prawo Unii lub państwa członkowskiego nakłada obowiązek przetwarzania wykraczający poza polecenie Administratora, Podmiot Przetwarzający informuje o tym Administratora przed rozpoczęciem takiego przetwarzania, chyba że właściwe prawo zabrania udzielenia takiej informacji z ważnych względów interesu publicznego.

2. Niezwłocznego poinformowania Administratora, jeżeli w ocenie Podmiotu Przetwarzającego polecenie Administratora narusza RODO lub inne przepisy o ochronie Danych Osobowych.

3. Zapewnienia poufności - osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.

4. Nadawania upoważnień do przetwarzania wyłącznie osobom, których jest to niezbędne do wykonywania zadań w ramach Platformy.

5. Wdrożenia środków technicznych i organizacyjnych zgodnych z art. 32 RODO - opisanych w Załączniku nr 3 (TOM).

6. Wspierania Administratora - poprzez odpowiednie środki techniczne i organizacyjne - w:

<ul>

<li>

wywiązywaniu się z obowiązku odpowiadania na żądania Podmiotów Danych (art. 15-22

RODO);

7. wypełnianiu obowiązków z art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, DPIA, uprzednie konsultacje).

8. Udostępniania Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków z art. 28 RODO.

9. Niezwłocznego zgłaszania Naruszeń Ochrony Danych zgodnie z procedurą z §11.

10. Zwrotu lub usunięcia Danych Osobowych po zakończeniu świadczenia usług (§17).

11. Prowadzenia rejestru kategorii przetwarzania zgodnie z art. 30 ust. 2 RODO.

12. Wyznaczenia Inspektora Ochrony Danych (IOD), jeżeli jest do tego zobowiązany na mocy art. 37 RODO, oraz informowania Administratora o danych kontaktowych. Aktualny kanał kontaktu: [contact@mativate.app](mailto:contact@mativate.app).

13. Dokonywania regularnych przeglądów wdrożonych środków technicznych i organizacyjnych, z częstotliwością nie mniejszą niż raz w roku, oraz ich aktualizacji odpowiednio do zmieniającego się ryzyka.

§6. Wsparcie realizacji obowiązków wynikających z Ustawy Kamilka

1. Podmiot Przetwarzający - w zakresie dostępnych w Platformie narzędzi - dostarcza Administratorowi wsparcie techniczne realizacji obowiązków wynikających z Ustawy Kamilka, w szczególności:

<ul>

<li>

ewidencję wstępnej i okresowej weryfikacji niekaralności osób dopuszczanych do

działalności z małoletnimi (Rejestr Sprawców Przestępstw na Tle Seksualnym, KRK);

2. szablony dokumentów Standardów Ochrony Małoletnich (SOM);

3. rejestrację incydentów;

4. audit trail dostępu do dokumentów dotyczących weryfikacji;

5. role dostępu dopasowane do specyfiki pracy z małoletnimi.

6. Rozdział odpowiedzialności. Strony wyraźnie potwierdzają, że:

<ul>

<li>

obowiązek przeprowadzenia faktycznej weryfikacji oraz uzyskania zaświadczeń o

niekaralności, wpisie do RSPTS, a także wdrożenia i egzekwowania SOM spoczywa

wyłącznie na Administratorze jako pracodawcy lub organizatorze działalności z

udziałem małoletnich (art. 23 Ustawy Kamilka);

7. Podmiot Przetwarzający jest dostawcą narzędzi - nie weryfikuje samodzielnie osób, nie prowadzi konsultacji z rejestrami państwowymi, nie potwierdza zgodności z ustawą;

8. fakt używania Platformy nie zwalnia Administratora z żadnych obowiązków wynikających z Ustawy Kamilka.

9. Wyłączenie odpowiedzialności. Podmiot Przetwarzający nie ponosi odpowiedzialności za skutki niewykonania lub nienależytego wykonania przez Administratora obowiązków z Ustawy Kamilka, niezależnie od faktu korzystania z Platformy.

§7. Obowiązki Administratora

Administrator zobowiązuje się do:

1. Przetwarzania Danych Osobowych zgodnie z RODO i pozostałymi przepisami prawa oraz uzyskania wszelkich wymaganych zgód, oświadczeń i klauzul informacyjnych wobec Podmiotów Danych.

2. Posiadania i utrzymywania aktualnej podstawy prawnej przetwarzania w odniesieniu do wszystkich Danych Osobowych wprowadzanych do Platformy.

3. Wydawania Udokumentowanych Poleceń wyłącznie w granicach prawa oraz w zakresie zgodnym z celem przetwarzania określonym w §3.

4. Poinformowania Podmiotu Przetwarzającego bez zbędnej zwłoki o zmianach w podstawach prawnych, żądaniach Podmiotów Danych, naruszeniach stwierdzonych po stronie Administratora oraz wszelkich okolicznościach mających wpływ na przetwarzanie.

5. Udostępniania Podmiotowi Przetwarzającemu informacji niezbędnych do rzetelnego świadczenia usług i wypełniania obowiązków z Umowy.

6. Realizacji własnych obowiązków informacyjnych wobec Podmiotów Danych (art. 13 i 14 RODO).

7. Zapewnienia bezpieczeństwa haseł i danych uwierzytelniających kont dostępowych do Platformy oraz niezwłocznego informowania Podmiotu Przetwarzającego o podejrzeniu ich utraty lub ujawnienia.

8. Konfiguracji Platformy (w szczególności ról, uprawnień, polityk retencji) w sposób odpowiedni do skali i charakteru własnej działalności.

§8. Miejsce przetwarzania i transfer do państw trzecich

1. Podstawowe miejsce przetwarzania: Podmiot Przetwarzający dąży do przetwarzania Danych Osobowych na terytorium EOG - w szczególności w regionach UE obsługiwanych przez dostawcę hostingu (Vercel) oraz dostawcę bazy danych (Railway - hostowana PostgreSQL w regionie UE).

2. Transfer do Państw Trzecich. W celu świadczenia niektórych funkcji Platformy Dane Osobowe mogą być przekazywane do Państw Trzecich - wyłącznie do Podmiotów Podprzetwarzających wymienionych w [Załączniku nr 4](/sub-processors), przy zastosowaniu mechanizmów transferu wymaganych rozdziałem V RODO.

3. Zastosowane mechanizmy transferu:

<ul>

<li>

Standardowe Klauzule Umowne (SCC Transferowe) - decyzja KE 2021/914 - zawarte w

umowach z każdym Podmiotem Podprzetwarzającym poza EOG;

4. EU-US Data Privacy Framework - dla podmiotów certyfikowanych (decyzja KE 2023/1795);

5. Środki uzupełniające - szyfrowanie w transporcie (TLS 1.3+) i w spoczynku (AES-256), pseudonimizacja, minimalizacja danych;

6. Ocena skutków transferu (Transfer Impact Assessment) - zwięzła ocena dostępna w [Załączniku nr 4](/sub-processors).

7. Administrator przyjmuje do wiadomości ryzyko szczątkowe związane z transferem do Państw Trzecich i udziela ogólnego zezwolenia na transfer do podmiotów i państw wymienionych w Załączniku nr 4, na warunkach opisanych w §9.

§9. Dalsze powierzenie przetwarzania (sub-procesorzy)

1. Administrator udziela Podmiotowi Przetwarzającemu ogólnego pisemnego zezwolenia w rozumieniu art. 28 ust. 2 RODO na powierzanie przetwarzania Danych Osobowych Podmiotom Podprzetwarzającym, pod warunkiem przestrzegania niniejszego paragrafu.

2. Aktualna lista Podmiotów Podprzetwarzających publikowana jest pod adresem [/sub-processors](/sub-processors) i stanowi Załącznik nr 4 do Umowy według stanu na dzień zawarcia Umowy.

3. Wymogi wobec Podmiotów Podprzetwarzających. Podmiot Przetwarzający:

<ul>

<li>

zawiera z każdym Podmiotem Podprzetwarzającym umowę nakładającą obowiązki nie mniej

rygorystyczne niż obowiązki Podmiotu Przetwarzającego wynikające z Umowy;

4. zapewnia, że Podmiot Podprzetwarzający udziela wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych;

5. ponosi pełną odpowiedzialność wobec Administratora za działania i zaniechania Podmiotów Podprzetwarzających.

6. Procedura zmiany listy. W przypadku zamiaru dodania nowego Podmiotu

Podprzetwarzającego lub zastąpienia dotychczasowego:

<ul>

<li>

Podmiot Przetwarzający informuje Administratora z minimum 30-dniowym wyprzedzeniem

(e-mail + banner w panelu administracyjnym);

7. Administrator ma prawo zgłoszenia sprzeciwu z uzasadnionych przyczyn przed końcem okresu wyprzedzenia;

8. w razie sprzeciwu Strony podejmują dobrej wiary negocjacje. Jeśli w terminie 30 dni nie osiągną porozumienia, Administrator ma prawo wypowiedzieć Regulamin ze skutkiem natychmiastowym, z prawem do eksportu Danych Osobowych zgodnie z §17;

9. brak sprzeciwu w wymaganym terminie uważa się za akceptację zmiany.

10. Awaryjna zmiana. W wyjątkowych sytuacjach uzasadnionych bezpieczeństwem Danych Osobowych Podmiot Przetwarzający może zastąpić Podmiot Podprzetwarzający bez zachowania okresu wyprzedzenia, z obowiązkiem niezwłocznej notyfikacji Administratora i uzasadnienia.

§10. Środki techniczne i organizacyjne

1. Podmiot Przetwarzający wdrożył i stosuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiedni do ryzyka naruszenia praw lub wolności osób fizycznych, z uwzględnieniem stanu wiedzy technicznej, kosztu wdrażania oraz charakteru, zakresu, kontekstu i celów przetwarzania.

2. Szczegółowy opis środków zawiera Załącznik nr 3 („TOM”).

3. Środki podlegają cyklicznemu przeglądowi nie rzadziej niż raz na 12 miesięcy oraz niezwłocznie po każdym Naruszeniu Ochrony Danych, które ujawniło potrzebę ich aktualizacji.

4. Administrator ma prawo zażądać dokumentacji aktualnych środków, a Podmiot Przetwarzający dostarcza ją w terminie 14 dni.

§11. Naruszenia ochrony danych

1. Obowiązek zgłoszenia. Podmiot Przetwarzający niezwłocznie, nie później niż w ciągu 48 godzin od stwierdzenia Naruszenia Ochrony Danych, zawiadamia Administratora drogą elektroniczną.

2. Zakres zgłoszenia obejmuje - w zakresie dostępnych informacji - opis charakteru Naruszenia, kategorie i przybliżoną liczbę Podmiotów Danych, kategorie i liczbę wpisów Danych Osobowych, opis prawdopodobnych konsekwencji, opis środków zastosowanych lub proponowanych w celu zminimalizowania skutków oraz dane kontaktowe IOD lub innego punktu kontaktowego.

3. Jeżeli przekazanie wszystkich informacji jednocześnie nie jest możliwe, pierwotne zgłoszenie zawiera dostępne informacje, a pozostałe są przekazywane bez zbędnej zwłoki.

4. Wsparcie Administratora. Podmiot Przetwarzający wspiera Administratora w zakresie wymaganym do zgłoszenia Naruszenia Organowi Nadzorczemu (art. 33 RODO - 72 godziny) oraz zawiadomienia Podmiotów Danych (art. 34 RODO), jeśli Naruszenie może powodować wysokie ryzyko.

5. Dokumentacja. Podmiot Przetwarzający prowadzi wewnętrzną dokumentację wszystkich Naruszeń (art. 33 ust. 5 RODO) i udostępnia ją Administratorowi na żądanie.

6. Kanał zgłoszeń: [contact@mativate.app](mailto:contact@mativate.app).

§12. Audyt i kontrola

1. Administrator ma prawo do audytu zgodności przetwarzania z Umową i przepisami prawa, w tym do żądania od Podmiotu Przetwarzającego informacji niezbędnych do wykazania spełnienia obowiązków z art. 28 RODO oraz przeprowadzenia audytu zdalnego lub inspekcji na miejscu.

2. Tryb audytu:

<ul>

<li>

Administrator zgłasza zamiar audytu z wyprzedzeniem minimum 30 dni, z wyjątkiem

sytuacji pilnych (udokumentowane podejrzenie poważnego naruszenia, żądanie Organu

Nadzorczego) - wówczas wyprzedzenie może być skrócone do 7 dni;

3. audyt prowadzony jest w dni robocze, w godzinach 9:00-17:00, w sposób nieutrudniający normalnej działalności;

4. Administrator może skorzystać z niezależnego audytora związanego NDA, o kwalifikacjach odpowiednich do charakteru audytu;

5. koszty audytu ponosi Administrator, chyba że audyt wykaże istotne uchybienia po stronie Podmiotu Przetwarzającego - wówczas koszty ponosi Podmiot Przetwarzający;

6. częstotliwość audytów nie powinna przekraczać jednego w roku kalendarzowym, chyba że audyt wynika z Naruszenia, żądania Organu Nadzorczego lub innej uzasadnionej przyczyny.

7. Alternatywa - raport audytu niezależnego. Na żądanie Administratora

Podmiot Przetwarzający udostępnia (w miarę dostępności):

<ul>

<li>

aktualny raport z niezależnego audytu (np. ISO/IEC 27001, SOC 2 typ II), o ile Podmiot Przetwarzający dysponuje takim raportem;

8. odpowiedzi na standardowe kwestionariusze bezpieczeństwa (CAIQ, SIG);

9. dokumentację środków technicznych i organizacyjnych (Załącznik nr 3).

10. Podmiot Przetwarzający współpracuje w dobrej wierze przy realizacji uprawnień kontrolnych Administratora i udziela wszelkich niezbędnych informacji.

11. Usuwanie uchybień - w terminie uzgodnionym ze względu na charakter uchybienia, nie dłuższym niż 90 dni, z wyjątkiem uchybień wymagających pilnej reakcji.

§13. Odpowiedzialność

1. Każda ze Stron ponosi odpowiedzialność za naruszenie obowiązków wynikających z Umowy zgodnie z zasadami ogólnymi wynikającymi z RODO (w szczególności art. 82) oraz z Kodeksu cywilnego.

2. Rozgraniczenie odpowiedzialności:

<ul>

<li>

Podmiot Przetwarzający odpowiada za szkody wyrządzone przetwarzaniem, o ile nie

dopełnił obowiązków nałożonych bezpośrednio na podmioty przetwarzające albo działał

poza zgodnymi z prawem Udokumentowanymi Poleceniami Administratora lub wbrew nim

(art. 82 ust. 2 zd. 2 RODO);

3. Administrator odpowiada za szkody wyrządzone przetwarzaniem naruszającym RODO, w tym w zakresie legalności zgromadzenia Danych Osobowych, prawidłowości klauzul informacyjnych oraz wydawanych poleceń.

4. Ograniczenie odpowiedzialności. Odpowiedzialność Podmiotu Przetwarzającego wobec Administratora z tytułu szkód wynikłych z Umowy ogranicza się łącznie w roku kalendarzowym do kwoty stanowiącej równowartość 12-krotności miesięcznej opłaty abonamentowej uiszczanej przez Administratora w ramach Regulaminu (a w okresie świadczenia usług bezpłatnych - do kwoty 1&nbsp;000&nbsp;PLN jako ekwiwalent łącznej odpowiedzialności rocznej) - z zastrzeżeniem ust. 4.

5. Wyłączenie ograniczenia. Ograniczenie z ust. 3 nie obowiązuje w

przypadku:

<ul>

<li>szkód wyrządzonych umyślnie lub wskutek rażącego niedbalstwa;

6. odpowiedzialności, której nie można skutecznie wyłączyć ani ograniczyć na mocy bezwzględnie obowiązujących przepisów prawa;

7. kar nakładanych przez Organ Nadzorczy, w zakresie w jakim są następstwem udowodnionego rażącego zaniechania po stronie odpowiedzialnej za naruszenie.

8. Regres. W razie wypłaty odszkodowania Podmiotowi Danych lub kary nałożonej przez Organ Nadzorczy, Strona, która dokonała zapłaty, ma prawo regresu wobec drugiej Strony w zakresie, w jakim druga Strona była współodpowiedzialna (art. 82 ust. 5 RODO).

9. Ubezpieczenie. Podmiot Przetwarzający dąży do utrzymania polisy odpowiedzialności cywilnej zawodowej z zakresu IT / cyber-liability w wysokości adekwatnej do skali działalności. Aktualny status polisy jest dostępny na żądanie pod [contact@mativate.app](mailto:contact@mativate.app).

§14. Rozdział ról w płatnościach

Platforma umożliwia Administratorowi opcjonalne podłączenie bramki Espago do przyjmowania składek członkowskich online. Mativate obecnie nie pobiera własnych opłat abonamentowych (SaaS).

1. Przy płatnościach składek przez Espago Administrator pełni rolę *merchant* (sprzedawcy) - to on jest stroną transakcji z Podmiotem Danych (płatnikiem).

2. Podmiot Przetwarzający pełni rolę platformy technicznej - nie jest stroną żadnej transakcji płatniczej między Administratorem a Podmiotem Danych.

3. Espago jest niezależnym administratorem danych płatniczych w rozumieniu własnych regulaminów. W razie uruchomienia płatnego modelu Mativate (abonament SaaS) dostawca tych płatności zostanie wskazany na liście sub-procesorów i będzie niezależnym administratorem danych płatniczych zgodnie z własnym regulaminem.

4. Odpowiedzialność za rozliczenie podatkowe i księgowe transakcji składek oraz obsługę reklamacji (w tym chargebacks) spoczywa wyłącznie na Administratorze.

5. Pełne dane kart płatniczych (PAN, CVV) nigdy nie są przechowywane ani przetwarzane przez Podmiot Przetwarzający - zgodnie z wymogami PCI-DSS obsługiwane są wyłącznie w infrastrukturze certyfikowanego dostawcy (Espago).

§15. Brak cross-tenant analytics - wykluczenie wtórnego wykorzystania danych

1. Podmiot Przetwarzający zobowiązuje się nie wykorzystywać Danych Osobowych Administratora do żadnych celów innych niż świadczenie usług dla tego Administratora w ramach Regulaminu i niniejszej Umowy.

2. W szczególności, w zakresie objętym niniejszą Umową (v1.0), Podmiot Przetwarzający nie

wykorzystuje Danych Osobowych - nawet zanonimizowanych lub zagregowanych - do:

<ul>

<li>

analityki porównawczej (benchmarki) obejmującej dane od innych Administratorów;

3. trenowania modeli uczenia maszynowego na danych pochodzących od wielu Administratorów;

4. badań statystycznych lub rynkowych;

5. tworzenia profili predykcyjnych wykorzystujących dane z wielu źródeł.

6. Wyjątek - dane telemetrii operacyjnej. Powyższe ograniczenia nie dotyczą danych telemetrii operacyjnej i systemowej, które nie zawierają Danych Osobowych Podmiotów Danych (liczba zapytań do API, czasy odpowiedzi, błędy systemu, wykorzystanie zasobów).

7. Przyszłe wykorzystanie - opt-in. Rozszerzenie zakresu dopuszczalnego wykorzystania danych (np. anonimowe benchmarki, cross-tenant analytics) może nastąpić wyłącznie na podstawie odrębnej, jednoznacznej zgody Administratora udzielonej w przyszłej wersji Umowy (v2.0 lub późniejszej), na zasadach *opt-in*.

8. Zobowiązania niniejszego paragrafu są bezterminowe i pozostają w mocy po zakończeniu obowiązywania Regulaminu.

§16. Wypowiedzenie Umowy

1. Umowa obowiązuje przez okres obowiązywania Regulaminu. Wypowiedzenie, rozwiązanie lub wygaśnięcie Regulaminu skutkuje rozwiązaniem Umowy - z zachowaniem obowiązków określonych w §17.

2. Wcześniejsze wypowiedzenie Umowy przez Administratora jest dopuszczalne w przypadku:

<ul>

<li>

istotnego naruszenia Umowy przez Podmiot Przetwarzający, nieusuniętego w terminie

30 dni od wezwania Administratora;

3. sprzeciwu wobec nowego Podmiotu Podprzetwarzającego zgodnie z §9 ust. 4, w razie braku porozumienia Stron;

4. istotnej zmiany przepisów o ochronie danych uniemożliwiającej dalsze przetwarzanie w obecnym modelu;

5. innych przyczyn przewidzianych przez powszechnie obowiązujące prawo.

6. Wypowiedzenie Umowy przez Podmiot Przetwarzający jest dopuszczalne w przypadku:

<ul>

<li>

istotnego naruszenia Umowy przez Administratora, nieusuniętego w terminie 30 dni od

wezwania;

7. wydawania przez Administratora poleceń niezgodnych z prawem, nieskorygowanych po pouczeniu;

8. zakończenia świadczenia usług Platformy zgodnie z Regulaminem.

9. Zawiadomienie o wypowiedzeniu wymaga formy elektronicznej na adres kontaktowy Strony wskazany w panelu Platformy.

§17. Obowiązki po zakończeniu przetwarzania

1. Po zakończeniu świadczenia usług związanych z przetwarzaniem, Podmiot Przetwarzający -

wedle wyboru Administratora wyrażonego przed zakończeniem Umowy lub w terminie 30 dni

od jej zakończenia:

<ul>

<li>usuwa wszystkie Dane Osobowe; albo

2. zwraca wszystkie Dane Osobowe w powszechnie używanym, ustrukturyzowanym, nadającym się do odczytu maszynowego formacie (CSV / JSON);

3. Domyślne zachowanie w razie braku wyraźnego wyboru Administratora: Platforma przechodzi w tryb „read-only export” na okres 30 dni, w którym Administrator zachowuje dostęp do eksportu danych. Po tym okresie następuje usunięcie Danych Osobowych z wyjątkiem tych objętych ustawowymi obowiązkami retencji.

4. Ustawowe obowiązki retencji. Podmiot Przetwarzający zachowuje po

zakończeniu Umowy:

<ul>

<li>

dokumentację fakturową zgodnie z art. 74 ustawy o rachunkowości (5 lat) - w razie

wdrożenia płatnych funkcji;

5. dowody akceptacji niniejszej Umowy i innych dokumentów prawnych platformy przez okres obowiązywania Umowy powiększony o 6 lat (art. 118 KC - termin przedawnienia);

6. rejestry audytowe zgodnie z polityką bezpieczeństwa przez 13 miesięcy.

7. Retencja w trakcie Umowy:

<ul>

<li>

Członkowie aktywni - okres członkostwa + 5 lat (obowiązki

podatkowe, jeżeli dotyczą);

8. Członkowie usunięci przez Administratora - 30 dni soft delete + 60 dni recovery + hard delete (art. 17 RODO);

9. Dane dotyczące zdrowia - do końca członkostwa, natychmiastowe usunięcie po cofnięciu zgody (art. 9 ust. 2 lit. a RODO);

10. Audit logs - 13 miesięcy raw, 3 lata rollup (art. 32 RODO);

11. Akceptacje dokumentów prawnych - okres Umowy + 6 lat (art. 118 KC).

12. Potwierdzenie usunięcia. Podmiot Przetwarzający na żądanie Administratora dostarcza pisemne potwierdzenie usunięcia Danych Osobowych w terminie 14 dni od żądania.

13. Obowiązki określone w §10, §13 oraz §15 pozostają w mocy także po zakończeniu Umowy.

§18. Współpraca z organem nadzorczym

1. Strony zobowiązują się do współpracy z PUODO i innymi właściwymi Organami Nadzorczymi.

2. Podmiot Przetwarzający niezwłocznie informuje Administratora o:

<ul>

<li>kontrolach i inspekcjach dotyczących Danych Osobowych powierzonych przez Administratora;

3. postępowaniach administracyjnych lub sądowych dotyczących tych Danych Osobowych;

4. decyzjach administracyjnych lub orzeczeniach skierowanych do Podmiotu Przetwarzającego i dotyczących Danych Osobowych objętych Umową;

5. W razie konieczności ujawnienia Danych Osobowych organom państwowym, Podmiot Przetwarzający ogranicza zakres ujawnianych danych do minimum niezbędnego do wykonania obowiązku.

§19. Postanowienia końcowe

1. Zmiany Umowy wymagają zachowania formy elektronicznej pod rygorem nieważności. Ogłaszane są z 30-dniowym wyprzedzeniem i podlegają procedurze re-akceptacji zgodnie z Regulaminem.

2. Klauzula salwatoryjna. Nieważność pojedynczych postanowień nie powoduje nieważności całej Umowy. W miejsce nieważnego postanowienia stosuje się postanowienie najbardziej zbliżone pod względem celu i skutku.

3. Hierarchia dokumentów. W razie sprzeczności pomiędzy Umową a Regulaminem, w zakresie ochrony Danych Osobowych pierwszeństwo ma niniejsza Umowa. W pozostałym zakresie pierwszeństwo ma Regulamin.

4. Prawo właściwe. Umowa podlega prawu polskiemu; w zakresie nieuregulowanym stosuje się RODO, ustawę o ochronie danych osobowych oraz Kodeks cywilny.

5. Jurysdykcja. Spory rozstrzyga sąd polski właściwy rzeczowo i miejscowo dla siedziby Podmiotu Przetwarzającego, z zastrzeżeniem bezwzględnie obowiązujących przepisów o właściwości wyłącznej.

6. Język. Umowa sporządzona jest w języku polskim. Wersja polska jest wersją wiążącą. Tłumaczenie na język angielski planowane w wersji v2.0.

7. Kontakt: [contact@mativate.app](mailto:contact@mativate.app) (zgłoszenia naruszeń - z dopiskiem „NARUSZENIE”).

Załączniki stanowią integralną część Umowy:

<ul>

<li>Załącznik nr 1 - Kategorie Podmiotów Danych i Rodzaje Danych Osobowych (poniżej);

Forma akceptacji. Umowa zostaje zawarta w formie elektronicznej poprzez akceptację *click-wrap* w panelu Platformy przez osobę uprawnioną do reprezentacji Administratora - przy tworzeniu Klubu. Akceptujący oświadcza pod rygorem odpowiedzialności, że jest uprawniony do reprezentacji Administratora i zaciągnięcia zobowiązań w jego imieniu. Moment zawarcia jest rejestrowany poprzez znacznik czasu powiązany z Kontem Użytkownika oraz datę utworzenia Klubu. Rozszerzony rejestr dowodowy (adres IP, user-agent, wersja dokumentu, hash treści Umowy) może zostać wdrożony w późniejszej wersji Platformy.

Załącznik nr 1 - Kategorie Podmiotów Danych i Rodzaje Danych Osobowych

A. Kategorie Podmiotów Danych

B. Rodzaje Danych Osobowych

C. Operacje przetwarzania: zbieranie, utrwalanie, organizowanie, przechowywanie, adaptowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przesyłanie wewnątrz Platformy, udostępnianie, dopasowywanie, ograniczanie, usuwanie, niszczenie - w zakresie niezbędnym do realizacji celów opisanych w §3.

Załącznik nr 2 - Klauzula informacyjna dla Podmiotów Danych (wzór)

Niniejsza klauzula stanowi wzór do wykorzystania przez Administratora (Klub) w wykonaniu obowiązku z art. 13 i 14 RODO wobec Podmiotów Danych. Administrator dostosowuje treść do specyfiki swojego Klubu (w szczególności w miejscach oznaczonych nawiasami kwadratowymi).

Administrator danych: [Nazwa Klubu], [adres], [NIP/REGON/KRS].

Kontakt w sprawach ochrony danych: [e-mail Administratora].

Podmiot przetwarzający: Mativate - dostawca platformy mativate.app, działający na podstawie Umowy Powierzenia Przetwarzania Danych Osobowych.

Cele i podstawy przetwarzania:

1. Zawarcie i wykonanie umowy o świadczenie usług (członkostwo w Klubie, uczestnictwo w zajęciach) - art. 6 ust. 1 lit. b RODO.

2. Wypełnienie obowiązków prawnych ciążących na Administratorze (ewidencja, rachunkowość, bezpieczeństwo uczestników, obowiązki z Ustawy Kamilka) - art. 6 ust. 1 lit. c RODO.

3. Przetwarzanie danych szczególnych (zdrowie) - na podstawie wyraźnej zgody - art. 9 ust. 2 lit. a RODO.

4. Prawnie uzasadniony interes - marketing własnych usług, zarządzanie reklamacjami, dochodzenie / obrona roszczeń - art. 6 ust. 1 lit. f RODO.

5. Dla osób poniżej 16 r.ż. - na podstawie zgody rodzica / opiekuna - art. 8 RODO.

Odbiorcy danych: pracownicy i współpracownicy Administratora, Mativate oraz jego podwykonawcy wymienieni pod adresem [/sub-processors](/sub-processors), dostawcy usług płatniczych (Espago - gdy Administrator podłączy bramkę; ewentualny przyszły dostawca abonamentu SaaS Mativate - po jego uruchomieniu i publikacji na liście sub-procesorów), organy państwowe na podstawie przepisów prawa.

Transfer poza EOG: niektóre dane mogą być przekazywane poza EOG (głównie USA) do podmiotów wymienionych w liście podwykonawców, na podstawie SCC (decyzja KE 2021/914).

Okres przechowywania: dane członkostwa - okres członkostwa + 5 lat; dane zdrowotne - do końca członkostwa lub cofnięcia zgody; inne - zgodnie z polityką retencji Administratora.

Prawa Podmiotów Danych: dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie, sprzeciw, cofnięcie zgody, wniesienie skargi do Prezesa UODO. Szczegóły: [Informacja o RODO](/rodo).

Dobrowolność: podanie danych jest dobrowolne, ale niezbędne do zawarcia umowy. Dane zdrowotne - odmowa może uniemożliwić uczestnictwo z przyczyn bezpieczeństwa.

Zautomatyzowane decyzje: Administrator nie podejmuje wobec Państwa zautomatyzowanych decyzji w rozumieniu art. 22 RODO.

Załącznik nr 3 - Środki techniczne i organizacyjne (TOM)

Zgodnie z art. 32 RODO Podmiot Przetwarzający wdrożył i utrzymuje następujące środki. Niniejszy opis aktualizowany jest nie rzadziej niż raz w roku.

I. Poufność

II. Integralność

III. Dostępność

IV. Odporność i reagowanie

V. Privacy by Design

VI. Organizacyjne

VII. Niezależne certyfikacje sub-procesorów

Załącznik nr 4 - Wykaz Podmiotów Podprzetwarzających i ocena transferów

Aktualna, publicznie dostępna wersja: [/sub-processors](/sub-processors). Załącznik ten jest aktualizowany niezależnie od pozostałej treści DPA, zgodnie z procedurą zmian sub-procesorów (§9).

Metryka dokumentu

Powiązane dokumenty