Umowa powierzenia przetwarzania danych osobowych

Wersja 2026-10-05

Załącznik nr 1 do Regulaminu Hantly. Umowa zostaje zawarta z chwilą akceptacji Regulaminu i obowiązuje tak długo, jak umowa o świadczenie Usługi.

§ 1. Strony i definicje

  1. Administrator — Użytkownik w rozumieniu Regulaminu (trener personalny albo studio), który zawarł umowę o świadczenie Usługi.
  2. Podmiot przetwarzający — [nazwa firmy], [adres], NIP [NIP], e-mail: [e-mail].
  3. RODO — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
  4. Pozostałe pojęcia mają znaczenie nadane w RODO i w Regulaminie.

§ 2. Przedmiot powierzenia

  1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w trybie art. 28 RODO, w zakresie i celu określonych w Umowie.
  2. Kategorie osób: klienci Administratora, osoby zainteresowane jego usługami, pracownicy i współpracownicy Administratora (np. trenerzy w studiu), osoby kontaktujące się przez stronę Administratora.
  3. Rodzaje danych: dane identyfikacyjne i kontaktowe (imię, nazwisko, e-mail, telefon, data urodzenia), dane konta, historia rezerwacji i obecności, informacje o pakietach i płatnościach, wiadomości na czacie, plany treningowe i notatki trenera, pomiary ciała i wyniki, odpowiedzi w ankietach, zdjęcia postępów i inne pliki dodane przez Administratora lub jego klientów.
  4. Szczególne kategorie danych: dane dotyczące zdrowia (np. kontuzje, choroby, ciąża, przyjmowane leki, pomiary ciała, zdjęcia sylwetki) — w zakresie, w jakim Administrator albo jego klienci wprowadzą je do Usługi.
  5. Charakter i cel przetwarzania: przechowywanie, porządkowanie, wyświetlanie, przesyłanie, tworzenie kopii zapasowych, odtwarzanie i usuwanie danych — wyłącznie w celu świadczenia Usługi opisanej w Regulaminie (grafik i zapisy, płatności, przypomnienia, plany treningowe, czat, strona internetowa, raporty).
  6. Czas przetwarzania: przez czas obowiązywania umowy o świadczenie Usługi oraz okres potrzebny na zwrot i usunięcie danych zgodnie z § 9.

§ 3. Obowiązki Podmiotu przetwarzającego

  1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za takie polecenie uważa się w szczególności zawarcie umowy, ustawienia i działania wykonywane przez Administratora w aplikacji oraz zgłoszenia do pomocy technicznej. Jeżeli przetwarzania wymaga prawo, Podmiot przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania.
  2. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.
  3. Podmiot przetwarzający dopuszcza do danych wyłącznie osoby upoważnione, które zobowiązały się do zachowania tajemnicy albo podlegają ustawowemu obowiązkowi tajemnicy, i tylko w zakresie potrzebnym do świadczenia Usługi, pomocy technicznej albo usunięcia awarii.
  4. Podmiot przetwarzający stosuje środki techniczne i organizacyjne opisane w § 4, zapewniające bezpieczeństwo odpowiednie do ryzyka, z uwzględnieniem przetwarzania danych dotyczących zdrowia.
  5. Podmiot przetwarzający nie wykorzystuje danych Administratora do własnych celów, w szczególności marketingowych, i nie udostępnia ich innym podmiotom poza dalszymi podmiotami przetwarzającymi z § 5.

§ 4. Środki bezpieczeństwa

  • osobna baza danych dla każdej aplikacji trenera — dane różnych Administratorów nie są przechowywane razem;
  • szyfrowanie połączeń (HTTPS/TLS) i automatycznie odnawiane certyfikaty;
  • hasła przechowywane wyłącznie jako skróty kryptograficzne; logowanie dwuetapowe dostępne dla kont trenerów;
  • kontrola dostępu oparta na rolach (administrator, trener, klient) i ograniczenie dostępu personelu Podmiotu przetwarzającego do niezbędnego minimum;
  • codzienne kopie zapasowe przechowywane do 30 dni, szyfrowane przed wysłaniem poza serwer główny, z regularnym sprawdzaniem możliwości odtworzenia;
  • monitorowanie działania serwerów, ochrona przed próbami nieuprawnionego logowania i rejestrowanie zdarzeń bezpieczeństwa;
  • regularne aktualizacje oprogramowania i zależności;
  • usuwanie danych po zakończeniu umowy zgodnie z § 9.

§ 5. Dalsze podmioty przetwarzające

  1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających. Aktualna lista:
    • [dostawca serwerów] — serwery i infrastruktura;
    • [dostawca e-maili] — wysyłka wiadomości e-mail (powiadomienia, przypomnienia);
    • LINK Mobility Poland sp. z o.o. (SMSAPI) — wysyłka SMS, gdy Administrator z niej korzysta;
    • BunnyWay d.o.o. (Bunny.net, Słowenia) — przechowywanie i odtwarzanie wideo, gdy Administrator z niego korzysta;
    • Google Ireland Ltd. — synchronizacja z Kalendarzem Google, gdy Administrator ją włączy, oraz przechowywanie zaszyfrowanych kopii zapasowych (Google Drive), jeżeli jest włączone.
  2. Operatorzy płatności, z którymi Administrator zawiera własne umowy (np. Stripe, Przelewy24, PayU, Autopay, tPay), nie są dalszymi podmiotami przetwarzającymi Podmiotu przetwarzającego — Administrator powierza im dane bezpośrednio.
  3. O zamiarze dodania albo zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym terminie zgłosić uzasadniony sprzeciw. Jeżeli strony nie dojdą do porozumienia, Administrator może rozwiązać umowę o świadczenie Usługi ze skutkiem natychmiastowym, a Podmiot przetwarzający zwraca opłatę za niewykorzystany okres.
  4. Podmiot przetwarzający nakłada na dalsze podmioty przetwarzające te same obowiązki ochrony danych co w Umowie i odpowiada wobec Administratora za ich wykonanie.
  5. Przekazanie danych poza Europejski Obszar Gospodarczy następuje wyłącznie przy zastosowaniu zabezpieczeń z rozdziału V RODO, w szczególności decyzji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych.

§ 6. Naruszenia ochrony danych

  1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail Administratora podany w Usłudze.
  2. Zgłoszenie zawiera w miarę możliwości: opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne skutki, podjęte i proponowane środki zaradcze oraz dane osoby do kontaktu. Informacje, których nie da się podać od razu, Podmiot przetwarzający przekazuje niezwłocznie, gdy je ustali.
  3. Zgłoszenia naruszenia do Prezesa UODO i zawiadomienia osób, których dane dotyczą, dokonuje Administrator; Podmiot przetwarzający mu w tym pomaga.

§ 7. Pomoc Administratorowi

  1. Uwzględniając charakter przetwarzania, Podmiot przetwarzający pomaga Administratorowi w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą — w szczególności udostępniając w aplikacji funkcje wglądu, poprawiania, eksportu i usuwania danych klientów.
  2. Jeżeli osoba, której dane dotyczą, zwróci się z żądaniem bezpośrednio do Podmiotu przetwarzającego, Podmiot przetwarzający przekazuje je niezwłocznie Administratorowi i nie odpowiada na nie samodzielnie.
  3. Podmiot przetwarzający pomaga Administratorowi w zapewnieniu bezpieczeństwa, w ocenie skutków dla ochrony danych i w konsultacjach z organem nadzorczym, w zakresie dostępnych mu informacji.

§ 8. Kontrola

  1. Podmiot przetwarzający udostępnia Administratorowi informacje potrzebne do wykazania wykonania obowiązków z art. 28 RODO.
  2. Administrator może przeprowadzić audyt, w tym inspekcję, samodzielnie albo przez upoważnionego audytora zobowiązanego do zachowania poufności, po zawiadomieniu Podmiotu przetwarzającego co najmniej 14 dni wcześniej, w godzinach pracy i nie częściej niż raz w roku — chyba że audyt jest konieczny w związku z naruszeniem ochrony danych albo żądaniem organu nadzorczego.
  3. Audyt nie może naruszać tajemnicy przedsiębiorstwa Podmiotu przetwarzającego ani bezpieczeństwa danych innych Administratorów. W pierwszej kolejności strony dążą do wykazania zgodności przez informacje i dokumenty. Koszty audytu ponosi Administrator.

§ 9. Zakończenie przetwarzania

  1. Po zakończeniu umowy o świadczenie Usługi Podmiot przetwarzający udostępnia Administratorowi przez 30 dni możliwość eksportu danych (w aplikacji albo na prośbę wysłaną na [e-mail]).
  2. Po upływie tego terminu Podmiot przetwarzający usuwa bazę danych i pliki aplikacji trenera. Dane w kopiach zapasowych są usuwane w ramach ich rotacji, najpóźniej w ciągu kolejnych 30 dni. Do tego czasu kopie są chronione zgodnie z Umową i nie są używane w żadnym innym celu.
  3. Obowiązek usunięcia nie dotyczy danych, których przechowywanie nakazuje prawo.

§ 10. Odpowiedzialność i postanowienia końcowe

  1. Strony odpowiadają za szkody wyrządzone przetwarzaniem na zasadach art. 82 RODO. W pozostałym zakresie zastosowanie mają postanowienia Regulaminu o odpowiedzialności.
  2. Administrator odpowiada za to, że ma podstawę prawną przetwarzania danych powierzanych Podmiotowi przetwarzającemu, w szczególności wyraźną zgodę klientów na przetwarzanie danych dotyczących zdrowia, oraz za spełnienie wobec nich obowiązku informacyjnego.
  3. W sprawach dotyczących ochrony danych osobowych Umowa ma pierwszeństwo przed Regulaminem.
  4. Zmiany Umowy następują na zasadach zmiany Regulaminu. W sprawach nieuregulowanych stosuje się RODO, prawo polskie i Regulamin.
  5. Umowa obowiązuje od dnia 5 października 2026 (wersja 2026-10-05).
Brak internetu — wznowimy automatycznie