Umowa powierzenia przetwarzania danych osobowych

§1. Przedmiot umowy

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usług Platformy TurniejOS.
2. Procesor przetwarza dane wyłącznie w imieniu Administratora i na jego udokumentowane polecenie, z zastrzeżeniem przypadków, gdy obowiązek przetwarzania wynika z prawa Unii lub prawa państwa członkowskiego, któremu podlega Procesor; w takim przypadku Procesor informuje Administratora o tym obowiązku prawnym przed rozpoczęciem przetwarzania, o ile prawo nie zabrania udzielenia takiej informacji.
3. Udokumentowanymi poleceniami Administratora są: niniejsza umowa, Regulamin, konfiguracja Platformy wybrana przez Administratora (m.in. pola formularza zgłoszenia, publiczność wyników i drabinek, przypisanie turniejów do lig i rankingów klubowych) oraz czynności wykonywane przez Administratora i osoby przez niego upoważnione w panelu Platformy.
4. Niniejsza umowa dotyczy wyłącznie danych osobowych zgromadzonych przez Administratora w związku z jego klubem i turniejami (zgłoszenia, baza zawodników klubu, wyniki, drabinki, statystyki w ramach klubu). W zakresie, w jakim Operator samodzielnie ustala cele i sposoby przetwarzania, występuje jako odrębny administrator danych osobowych, a niniejsza umowa go nie obejmuje. Dotyczy to w szczególności:
   1. Konta zawodnika i danych z nim związanych, w tym skonsolidowanego widoku historii startów w wielu klubach (Regulamin §9a),
   2. publicznego rankingu ogólnopolskiego, w którym uwzględniane są wyniki zawodników posiadających Konto zawodnika,
   3. danych Konta Administratora, rozliczeń i płatności za Subskrypcję oraz kontaktu z Administratorem,
   4. dziennika aktywności, logów technicznych i danych służących bezpieczeństwu Platformy oraz rozliczalności Operatora (Polityka prywatności, sekcja 6).
5. Podstawy prawne i obowiązki informacyjne w stosunku do osób, których dane dotyczą, w zakresie danych powierzonych na podstawie niniejszej umowy ponosi Administrator. Operator realizuje obowiązki informacyjne w zakresie, w jakim jest administratorem (pkt 4 powyżej) – Polityka prywatności.

§2. Charakter i cel przetwarzania

1. Powierzenie obejmuje przetwarzanie danych osobowych w związku z:
   1. obsługą formularzy zapisów na turnieje, w tym zapisów składanych przez zalogowanych Zawodników posiadających Konto zawodnika (dane z Konta są wtedy przekazywane Administratorowi jako dane zgłoszenia),
   2. przechowywaniem list uczestników,
   3. prowadzeniem bazy zawodników przypisanych do klubu,
   4. prowadzeniem list rezerwowych,
   5. umożliwieniem eksportu danych przez Administratora (m.in. pliki CSV i lista startowa),
   6. wysyłką wiadomości transakcyjnych związanych ze zgłoszeniami oraz – w zakresie, w jakim Zawodnik wyraził na to zgodę – wiadomości o nowych turniejach Administratora,
   7. generowaniem i prowadzeniem drabinek turniejowych oraz rejestrowaniem przebiegu i wyników meczów, w tym w trybie rzut po rzucie („live scoring”) lub frame po frame'ie, przez Administratora lub – jeśli Administrator włączy tę funkcję – bezpośrednio przez Zawodnika,
   8. generowaniem statystyk sportowych oraz profili Zawodników z historią startów w ramach Administratora,
   9. prowadzeniem lig sezonowych i rankingów klubowych tworzonych przez Administratora oraz ręcznym wpisywaniem lub importem (CSV) miejsc końcowych turniejów,
   10. obsługą Konfiguratora Planu i rozliczeń związanych z wybranymi przez Administratora Modułami Platformy,
   11. prowadzeniem dziennika aktywności w panelu Administratora w zakresie, w jakim dotyczy on danych powierzonych,
   12. przechowywaniem danych w systemie i kopiach bezpieczeństwa.
2. Celem przetwarzania jest umożliwienie Administratorowi korzystania z Platformy do organizacji turniejów.
3. Część przetwarzania opisanego w pkt 1 lit. g–i powyżej (wyniki, drabinka, przebieg meczów na żywo, statystyki, tabele lig i rankingów klubowych) skutkuje, jeżeli Administrator włączy odpowiednią funkcję Platformy, publicznym udostępnieniem tych danych pod adresem Platformy dla nieograniczonego kręgu odbiorców – o czym Administrator decyduje samodzielnie i za co ponosi odpowiedzialność jako administrator danych (§9 Regulaminu).
4. Administrator odpowiada za to, aby zakres danych zbieranych od Zawodników (w tym pola niestandardowe formularza) był adekwatny do celu turnieju i miał podstawę prawną, oraz – w przypadku zawodników małoletnich – za uzyskanie wymaganych zgód i zapewnienie zgodnego z prawem udziału w turnieju.

§3. Kategorie osób i rodzaj danych

1. Kategorie osób:
   1. zawodnicy (w tym zawodnicy małoletni, jeżeli Administrator dopuszcza ich udział),
   2. osoby dokonujące zgłoszenia na turniej,
   3. osoby dopisywane do zgłoszenia przez zgłaszającego (np. partner w turnieju par, członkowie zgłoszenia grupowego),
   4. osoby uczestniczące w meczach (przeciwnicy), których wyniki i statystyki są rejestrowane,
   5. członkowie klubu Administratora korzystający z panelu – w zakresie danych w dzienniku aktywności (adres IP, identyfikator konta).
2. Rodzaj danych może obejmować:
   1. imię,
   2. nazwisko,
   3. pseudonim (ksywkę) i nazwę drużyny lub klubu zawodnika,
   4. adres e-mail,
   5. numer telefonu,
   6. dane dotyczące zgłoszenia na turniej, w tym odpowiedzi na pola niestandardowe zdefiniowane przez Administratora (np. miejscowość, wiek lub data urodzenia, płeć, numer licencji),
   7. dane organizacyjne związane z uczestnictwem: kategoria, miejsce na liście, status obecności i płatności, notatki wewnętrzne Administratora,
   8. wyniki i przebieg rozegranych meczów, w tym dane rzut po rzucie lub frame po frame'ie, jeżeli funkcja jest włączona,
   9. miejsca końcowe turniejów, punkty ligowe i pozycje w rankingach klubowych,
   10. zbiorcze statystyki sportowe i historia startów w ramach Administratora,
   11. identyfikator Konta zawodnika powiązanego ze zgłoszeniem (jeżeli Zawodnik je posiada),
   12. adres IP i dane o czynnościach w panelu (dziennik aktywności) – w zakresie opisanym w §1 ust. 4 lit. d.
3. Platforma nie jest przeznaczona do przetwarzania danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków i naruszeń prawa (art. 10 RODO). Administrator zobowiązuje się nie wprowadzać takich danych, w szczególności w polach niestandardowych formularza i w notatkach; jeżeli mimo to zostaną wprowadzone, odpowiada za podstawę prawną ich przetwarzania.

§4. Czas trwania przetwarzania

1. Dane będą przetwarzane przez czas obowiązywania umowy głównej o korzystanie z Platformy, a następnie do czasu ich usunięcia zgodnie z poleceniami Administratora, z zastrzeżeniem kopii zapasowych, obowiązków prawnych i okresów niezbędnych dla bezpieczeństwa oraz dochodzenia roszczeń.
2. W trakcie obowiązywania umowy Administrator może samodzielnie usuwać lub anonimizować dane (m.in. anonimizacja danych pojedynczego zawodnika, usunięcie turnieju, anulowanie zgłoszeń, reset bazy zawodników klubu). Operator wykonuje takie polecenie niezwłocznie, a dane usunięte przez Administratora znikają z widoków Platformy od razu.
3. Dane znajdujące się w kopiach zapasowych dostawcy bazy danych są usuwane w ramach regularnej rotacji tych kopii; do tego czasu nie są wykorzystywane w innym celu niż odtworzenie systemu po awarii.
4. Logi techniczne i wpisy dziennika aktywności są przechowywane co do zasady 90 dni; wybrane wpisy o charakterze dowodowym (m.in. potwierdzenie wykonania żądania wymazania danych, które nie zawierają danych osoby, której dotyczą) – 5 lat, zgodnie z Polityką prywatności (sekcja 6).

§5. Obowiązki Procesora

1. Procesor:
   1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora (§1 ust. 3) i niezwłocznie informuje go, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych,
   2. stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych zgodnie z art. 32 RODO, w szczególności opisane w Załączniku nr 2,
   3. dopuszcza do przetwarzania wyłącznie osoby upoważnione i zobowiązane do zachowania poufności (także po ustaniu współpracy) lub podlegające ustawowemu obowiązkowi poufności,
   4. pomaga Administratorowi, uwzględniając charakter przetwarzania, w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO) – w szczególności Procesor przekazuje Administratorowi żądanie otrzymane od takiej osoby w terminie 5 dni roboczych i nie odpowiada na nie samodzielnie w zakresie powierzonych danych, a Platforma udostępnia Administratorowi narzędzia do eksportu, edycji i anonimizacji danych zawodników,
   5. pomaga Administratorowi w wywiązaniu się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo przetwarzania, zgłaszanie naruszeń, ocena skutków dla ochrony danych, konsultacje z organem nadzorczym), uwzględniając dostępne mu informacje,
   6. prowadzi rejestr kategorii czynności przetwarzania wykonywanych w imieniu Administratora (art. 30 ust. 2 RODO),
   7. po zakończeniu świadczenia usług, w terminie 30 dni, usuwa lub zwraca dane zgodnie z decyzją Administratora (Administrator może przed usunięciem pobrać dane w pliku CSV), o ile obowiązujące prawo nie nakazuje ich dalszego przechowywania, oraz usuwa istniejące kopie z zastrzeżeniem §4 ust. 3,
   8. udostępnia Administratorowi informacje niezbędne do wykazania zgodności z art. 28 RODO oraz umożliwia audyty na zasadach określonych w §8.
2. Procesor nie wykorzystuje powierzonych danych do własnych celów marketingowych ani nie sprzedaje ich osobom trzecim. Przetwarzanie we własnych celach Operatora jako odrębnego administratora następuje wyłącznie w zakresie opisanym w §1 ust. 4.

§6. Dalsze powierzenie

1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z dalszych podmiotów przetwarzających w zakresie niezbędnym do świadczenia usług Platformy, w szczególności dostawców hostingu, baz danych, poczty elektronicznej, płatności, infrastruktury i wsparcia technicznego. Aktualna lista dalszych podmiotów przetwarzających stanowi Załącznik nr 1.
2. Procesor zapewni, aby dalszy podmiot przetwarzający był związany tymi samymi obowiązkami ochrony danych, które wynikają z niniejszej umowy, w szczególności gwarancjami wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 28 ust. 4 RODO).
3. O zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego Procesor informuje Administratora z wyprzedzeniem co najmniej 14 dni, wiadomością e-mail na adres konta Administratora lub komunikatem w panelu oraz aktualizacją Załącznika nr 1. W tym terminie Administrator może zgłosić sprzeciw z uzasadnionych przyczyn związanych z ochroną danych osobowych; strony podejmą wówczas rozmowy w celu znalezienia rozwiązania, a jeżeli nie będzie to możliwe, Administrator może rozwiązać umowę główną bez dodatkowych konsekwencji wynikających z tego tytułu. Brak sprzeciwu w terminie oznacza zgodę.
4. Procesor ponosi wobec Administratora pełną odpowiedzialność za wywiązywanie się z obowiązków przez dalszy podmiot przetwarzający.
5. Przekazywanie danych poza Europejski Obszar Gospodarczy następuje wyłącznie z zastosowaniem mechanizmów przewidzianych w rozdziale V RODO (decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony, w tym EU–US Data Privacy Framework dla podmiotów certyfikowanych, albo standardowe klauzule umowne).

§7. Naruszenia ochrony danych

1. Procesor poinformuje Administratora o naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin po stwierdzeniu naruszenia, wiadomością e-mail na adres konta Administratora.
2. Zgłoszenie zawiera, w zakresie dostępnym Procesorowi: opis charakteru naruszenia (w tym, o ile to możliwe, kategorie i przybliżoną liczbę osób oraz wpisów), dane kontaktowe osoby, od której można uzyskać informacje, opis możliwych konsekwencji oraz opis środków podjętych lub proponowanych w celu zaradzenia naruszeniu i złagodzenia jego skutków. Jeżeli wszystkich informacji nie można przekazać jednocześnie, mogą być przekazywane etapami bez dalszej zwłoki.
3. Procesor dokumentuje naruszenia dotyczące powierzonych danych. Decyzję o zgłoszeniu naruszenia organowi nadzorczemu (Prezesowi UODO) i zawiadomieniu osób, których dane dotyczą, podejmuje Administrator; Procesor udziela mu w tym pomocy i nie powiadamia tych osób ani organu w jego imieniu bez uzgodnienia, chyba że obowiązek taki wynika z prawa.

§8. Audyt i informacje

1. Administrator ma prawo żądać informacji niezbędnych do wykazania zgodności przetwarzania z prawem oraz do przeprowadzania audytów, w tym inspekcji, samodzielnie lub przez upoważnionego audytora zobowiązanego do zachowania poufności.
2. Procesor wykazuje zgodność w pierwszej kolejności przez udzielenie odpowiedzi na kwestionariusz, udostępnienie dokumentacji środków bezpieczeństwa oraz – w zakresie dalszych podmiotów przetwarzających – dostępnych certyfikatów i raportów z audytów tych podmiotów. Audyt zdalny lub na miejscu jest dopuszczalny po uprzednim, co najmniej 30-dniowym zawiadomieniu, nie częściej niż raz w roku (chyba że audyt dotyczy wystąpienia naruszenia ochrony danych lub wymaga go organ nadzorczy), w godzinach pracy Procesora i na koszt Administratora.
3. Realizacja tego uprawnienia powinna uwzględniać ochronę tajemnicy przedsiębiorstwa Procesora, bezpieczeństwo systemów oraz prawa innych klientów; audyt nie obejmuje dostępu do danych innych administratorów.

§9. Postanowienia końcowe

1. Umowa zostaje zawarta na czas obowiązywania relacji pomiędzy Administratorem a Procesorem w zakresie korzystania z Platformy.
2. Umowa może zostać zawarta w formie elektronicznej, w tym przez akceptację checkboxem podczas rejestracji Konta lub pierwszej aktywacji usług Organizatora.
3. W sprawach nieuregulowanych zastosowanie ma RODO oraz prawo polskie.
4. Operator może zmienić niniejszą umowę z ważnych przyczyn, w szczególności w razie zmiany przepisów prawa, zakresu funkcji Platformy lub dalszych podmiotów przetwarzających, informując Administratora z wyprzedzeniem co najmniej 14 dni; do czasu wejścia zmiany w życie Administrator może rozwiązać umowę główną. Zmiany Załączników nr 1 i 2 w zakresie podmiotów przetwarzających odbywają się w trybie §6 ust. 3.
5. W zakresie danych osobowych w razie sprzeczności niniejszej umowy z Regulaminem pierwszeństwo ma niniejsza umowa.
6. Odpowiedzialność stron wobec osób, których dane dotyczą, określa art. 82 RODO.

Załącznik nr 1. Dalsze podmioty przetwarzające

Stan na 1 października 2026. Podmioty z siedzibą poza EOG wskazano wraz z mechanizmem transferu (§6 ust. 5).

1. Stripe (Stripe Payments Europe, Ltd. i podmioty powiązane) przetwarza dane płatnicze Administratora w związku z Subskrypcją jako odrębny administrator danych płatniczych, a nie jako podmiot przetwarzający Operatora w rozumieniu niniejszej umowy. Dane osobowe Zawodników nie są przekazywane Stripe – płatności online wpisowego są obecnie wyłączone.
2. Google (logowanie przez konto Google; analityka Google Analytics wyłącznie za zgodą użytkownika, zgodnie z Polityką prywatności) działa jako odrębny administrator lub odbiorca danych i nie otrzymuje danych Zawodników powierzonych na podstawie niniejszej umowy.

Załącznik nr 2. Środki techniczne i organizacyjne

1. Szyfrowanie transmisji (HTTPS/TLS) oraz haseł w postaci zaszyfrowanej (hash); PIN i tokeny dostępu nie są wysyłane wiadomościami e-mail ani zapisywane w dzienniku aktywności.
2. Kontrola dostępu: uwierzytelnianie użytkowników panelu, role (właściciel, administrator, pomocnik) ograniczające czynności wrażliwe, izolacja danych poszczególnych klubów, sesje z możliwością wylogowania ze wszystkich urządzeń.
3. Ograniczanie nadużyć: limity prób logowania i innych wrażliwych operacji (rate limiting), weryfikacja adresu e-mail.
4. Dziennik aktywności i logi techniczne umożliwiające wykrywanie i wyjaśnianie incydentów (retencja zgodnie z §4 ust. 4).
5. Kopie zapasowe bazy danych u dostawcy oraz możliwość odtworzenia systemu po awarii.
6. Zasada minimalizacji: dane zawodników w dzienniku aktywności ograniczone do niezbędnego minimum; wpisy o wymazaniu danych nie zawierają danych osoby, której dotyczą.
7. Upoważnienie osób mających dostęp do danych oraz zobowiązanie ich do zachowania poufności; wybór dalszych podmiotów przetwarzających zapewniających odpowiednie gwarancje (§6).
8. Narzędzia dla Administratora do realizacji praw osób: eksport danych (CSV), edycja i anonimizacja danych zawodnika, usunięcie turnieju, reset bazy zawodników klubu.