Umowa powierzenia przetwarzania danych osobowych

Wersja z dnia 12.10.2026

Niniejsza umowa (dalej „Umowa”) stanowi umowę powierzenia przetwarzania danych osobowych w rozumieniu art. 28 ust. 3 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej „RODO”). Jest integralną częścią Regulaminu dla Organizatorów i zostaje zawarta wraz z jego akceptacją w Panelu.

Strony

  • Administrator — Organizator, w imieniu którego zaakceptowano Umowę w Panelu BailaCon (dane Organizatora zgodne z danymi wpisanymi w Panelu).
  • Podmiot przetwarzający — Percatech Arkadiusz Okoń z siedzibą w 43-100 Tychy, ul. Żarnowiecka 12, NIP: 9542578680, REGON: 365784102, e-mail: arkadiusz.okon@gmail.com.

§1. Przedmiot powierzenia

  1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usług Platformy BailaCon opisanych w Regulaminie dla Organizatorów.
  2. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są Regulamin, niniejsza Umowa oraz czynności wykonywane przez Administratora i jego Personel w Platformie (np. wprowadzenie, zmiana, udostępnienie lub usunięcie danych), a także inne polecenia przekazane w formie elektronicznej.

§2. Charakter, cel i czas przetwarzania

  1. Charakter: zbieranie, utrwalanie, przechowywanie, organizowanie, porządkowanie, przeglądanie, wykorzystywanie, udostępnianie Personelowi Administratora, przekazywanie operatorom wskazanym przez Administratora, generowanie dokumentów i powiadomień oraz usuwanie danych.
  2. Cel: umożliwienie Administratorowi prowadzenia konkursów, wydarzeń i szkoły tańca przy użyciu Platformy, w tym obsługi zapisów, ewidencji obecności, karnetów, płatności, komunikacji z Uczestnikami oraz zapewnienia bezpieczeństwa na zajęciach.
  3. Czas: przez okres obowiązywania Regulaminu dla Organizatorów, a po jego zakończeniu — do czasu zwrotu lub usunięcia danych zgodnie z §9.

§3. Rodzaj danych i kategorie osób

  1. Uczestnicy (kursanci, uczestnicy konkursów i wydarzeń, osoby zapisane przez osoby trzecie): imię i nazwisko, adres e-mail, numer telefonu, zdjęcie profilowe, dane zapisów i rejestracji, historia obecności (w tym odbicia kodem QR), karnety i ich wykorzystanie, informacje o płatnościach (bez danych kart płatniczych), numer karty partnerskiej (np. Multisport), wyniki, oceny i postępy, wiadomości wymieniane z Administratorem, opinie i ankiety, notatki Personelu oraz zgłoszenia dotyczące bezpieczeństwa.
  2. Personel Administratora (instruktorzy, recepcja, sędziowie, inni współpracownicy): imię i nazwisko, adres e-mail, rola i uprawnienia, przypisanie do zajęć i grafiku, historia czynności w Panelu.
  3. Platforma nie jest przeznaczona do przetwarzania danych szczególnych kategorii (art. 9 RODO). Jeżeli Administrator je wprowadzi, odpowiada za posiadanie podstawy prawnej ich przetwarzania.

§4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się:

  1. przetwarzać dane wyłącznie na udokumentowane polecenie Administratora, także w odniesieniu do przekazywania danych do państwa trzeciego, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo polskie — w takim przypadku informuje o tym Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania;
  2. dopuszczać do przetwarzania danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności;
  3. stosować środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzania, o których mowa w art. 32 RODO, w szczególności: szyfrowanie transmisji danych (TLS), szyfrowanie bazy danych w spoczynku, uwierzytelnianie użytkowników i kontrolę dostępu opartą na rolach, oddzielenie danych poszczególnych Organizatorów, regularne kopie zapasowe, rejestrowanie dostępu do zgłoszeń dotyczących bezpieczeństwa oraz bieżące aktualizacje oprogramowania;
  4. przestrzegać warunków korzystania z usług dalszych podmiotów przetwarzających, o których mowa w §5;
  5. w miarę możliwości pomagać Administratorowi, poprzez odpowiednie środki techniczne i organizacyjne, wywiązywać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 15–22 RODO) — żądanie skierowane bezpośrednio do Podmiotu przetwarzającego przekazuje on niezwłocznie Administratorowi;
  6. pomagać Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje;
  7. zgłaszać Administratorowi stwierdzone naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, wraz z informacjami wymaganymi przez art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne;
  8. udostępniać Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwiać audyty na zasadach z §7;
  9. niezwłocznie informować Administratora, jeżeli jego zdaniem wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.

§5. Dalsze podmioty przetwarzające

  1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z usług dalszych podmiotów przetwarzających. Aktualna lista stanowi Załącznik nr 1.
  2. O zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem lub w Panelu co najmniej 14 dni wcześniej. Administrator może w tym terminie wnieść sprzeciw; jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć umowę ze skutkiem na dzień zmiany.
  3. Podmiot przetwarzający nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych odpowiadające obowiązkom z niniejszej Umowy i odpowiada wobec Administratora za ich wykonanie.
  4. Operatorzy płatności, operatorzy kart sportowych i inne podmioty, z którymi Administrator samodzielnie zawiera umowy, nie są dalszymi podmiotami przetwarzającymi — Podmiot przetwarzający przekazuje im dane na polecenie Administratora.

§6. Przekazywanie danych poza EOG

Dane są przechowywane w centrach danych na terenie Europejskiego Obszaru Gospodarczego. Przekazanie danych do państwa trzeciego następuje wyłącznie w zakresie wskazanym w Załączniku nr 1 i z zastosowaniem zabezpieczeń przewidzianych w rozdziale V RODO (decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule umowne).

§7. Audyt

  1. Administrator ma prawo weryfikować przestrzeganie Umowy. W pierwszej kolejności Podmiot przetwarzający udziela pisemnych odpowiedzi na pytania Administratora w terminie 14 dni.
  2. Jeżeli odpowiedzi okażą się niewystarczające, Administrator może przeprowadzić audyt lub zlecić go audytorowi zobowiązanemu do zachowania poufności — po uprzedzeniu z co najmniej 14-dniowym wyprzedzeniem, w dni robocze, nie częściej niż raz w roku (chyba że audyt jest związany z naruszeniem ochrony danych). Koszty audytu ponosi Administrator.

§8. Obowiązki Administratora

  1. Administrator oświadcza, że posiada podstawę prawną przetwarzania danych powierzanych Podmiotowi przetwarzającemu i wypełnia wobec osób, których dane dotyczą, obowiązki informacyjne.
  2. Administrator odpowiada za prawidłowość i zakres danych wprowadzanych do Platformy przez siebie i swój Personel.

§9. Zakończenie przetwarzania

  1. Po zakończeniu świadczenia usług Administrator może w terminie 30 dni zażądać przekazania kopii powierzonych danych w powszechnie używanym formacie elektronicznym.
  2. Po upływie tego terminu Podmiot przetwarzający usuwa powierzone dane w ciągu 90 dni, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie. Dane w kopiach zapasowych są usuwane w ramach cyklu ich rotacji.
  3. Usunięcie nie obejmuje danych kont użytkowników aplikacji BailaCon, które Podmiot przetwarzający przetwarza jako odrębny administrator.

§10. Odpowiedzialność i postanowienia końcowe

  1. Odpowiedzialność stron wobec osób, których dane dotyczą, określa art. 82 RODO. We wzajemnych relacjach stron ograniczenia odpowiedzialności z Regulaminu dla Organizatorów stosuje się w zakresie dozwolonym przez prawo.
  2. W sprawach ochrony danych osobowych postanowienia niniejszej Umowy mają pierwszeństwo przed Regulaminem dla Organizatorów.
  3. Umowa obowiązuje przez czas obowiązywania Regulaminu dla Organizatorów. Do Umowy stosuje się prawo polskie.

Załącznik nr 1 — Dalsze podmioty przetwarzające

  • Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlandia (Microsoft Azure) — hosting aplikacji i bazy danych (region Poland Central, Polska); przechowywanie plików i logi diagnostyczne (region West Europe, Holandia); wysyłka wiadomości e-mail (Azure Communication Services, Europa); sprawdzanie, czy zdjęcie profilowe przedstawia twarz — bez rozpoznawania tożsamości (Azure AI Face, West Europe); tłumaczenie maszynowe treści (Azure AI Translator, West Europe).
  • Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia, wraz z Google LLC (USA) (Google Firebase) — uwierzytelnianie użytkowników (Firebase Authentication) i powiadomienia push (Firebase Cloud Messaging). Przekazanie do USA na podstawie decyzji Komisji Europejskiej w sprawie EU-US Data Privacy Framework oraz standardowych klauzul umownych.
  • Anthropic, PBC (San Francisco, USA) — wyłącznie gdy Administrator korzysta z opcjonalnych funkcji AI (generowanie opisów stylów, propozycje grafiku): przekazywane są dane grafiku oraz imiona i nazwiska instruktorów. Przekazanie do USA na podstawie standardowych klauzul umownych.