Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i podstawa

Umowa jest zawierana między Bawialnią jako administratorem (dalej „Administrator”) a eedc Dawid Majchrzak, ul. Szafirowa 20, 56-400 Oleśnica, NIP 9111925935, REGON 367215236 jako podmiotem przetwarzającym (dalej „Procesor”), na podstawie art. 28 rozporządzenia (UE) 2016/679 (RODO), i stanowi część umowy o świadczenie usługi Hoplio.

§ 2. Przedmiot, charakter i cel

Procesor przetwarza dane wyłącznie w celu świadczenia usługi Hoplio: prowadzenia oferty, zapisów, rezerwacji i listy rezerwowej, komunikacji z rodzicami (e-mail i powiadomienia push), obsługi płatności za zajęcia, zadatków, portfela i zwrotów przez operatora płatności Administratora, prowadzenia kont personelu oraz — jeżeli Administrator włączył tę funkcję — udostępniania personelowi danych o zdrowiu dzieci potrzebnych do prowadzenia zajęć.

Czas przetwarzania: czas trwania umowy oraz okres usunięcia danych po jej zakończeniu.

§ 3. Rodzaje danych i kategorie osób

Kategorie osób: rodzice i opiekunowie, dzieci, pracownicy i współpracownicy Administratora.

Rodzaje danych: imiona i nazwiska, adresy e-mail i numery telefonów, daty urodzenia dzieci, relacje opiekuńcze, rezerwacje, obecności i ich historia, dane o płatnościach za zajęcia, zadatkach i zwrotach (bez danych kart płatniczych), saldo i historia portfela w bawialni, identyfikatory urządzeń do powiadomień push, treści wiadomości i notatek do rezerwacji.

Jeżeli Administrator włączył tę funkcję: dane o zdrowiu dzieci (szczególna kategoria danych, art. 9 RODO) — zaznaczone alergie i choroby oraz plan działania na wypadek zagrożenia — przetwarzane wyłącznie na podstawie wyraźnej zgody rodzica lub opiekuna udzielonej Administratorowi.

§ 4. Obowiązki Procesora

Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym jest korzystanie z funkcji usługi i niniejsza umowa.

Procesor zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności.

Procesor stosuje środki techniczne i organizacyjne, w tym: szyfrowanie połączeń, przechowywanie danych identyfikujących dzieci i kontaktowych w odrębnej bazie, separację danych poszczególnych bawialni na poziomie bazy danych (row level security), szyfrowanie kluczy operatorów płatności, codzienne szyfrowane kopie zapasowe, kontrolę dostępu opartą na rolach i dziennik zdarzeń bezpieczeństwa.

Procesor pomaga Administratorowi w realizacji praw osób, których dane dotyczą, oraz w wypełnianiu obowiązków z art. 32–36 RODO.

Procesor zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia.

§ 5. Podprocesorzy

Administrator udziela ogólnej zgody na korzystanie z podprocesorów. Aktualni podprocesorzy: OVH (hosting serwerów i kopii zapasowych, Unia Europejska), dostawca poczty transakcyjnej (wysyłka wiadomości e-mail) oraz Expo, Inc. (Stany Zjednoczone; przekazywanie powiadomień push, które na urządzenia doręczają Google i Apple).

Procesor informuje Administratora o zamiarze zmiany podprocesorów z co najmniej 14-dniowym wyprzedzeniem; Administrator może zgłosić sprzeciw i wypowiedzieć umowę. Procesor nakłada na podprocesorów te same obowiązki ochrony danych.

Operatorzy płatności, z którymi Administrator zawarł umowy, nie są podprocesorami Procesora.

§ 6. Audyt

Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków i umożliwia audyt, po uprzednim zgłoszeniu z 14-dniowym wyprzedzeniem, w sposób niezakłócający działalności Procesora i nie naruszający poufności danych innych klientów.

§ 7. Zakończenie

Po zakończeniu umowy Procesor udostępnia eksport danych przez 30 dni, a następnie usuwa dane lub je anonimizuje, chyba że przepisy nakazują ich dalsze przechowywanie. Kopie zapasowe są usuwane w cyklu ich rotacji.