Powierzenie przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu • Obowiązuje od 25 lipca 2026 r. Dla umów zawartych przed tą datą — od 8 sierpnia 2026 r.

§1. Strony

Administrator — Trener, czyli podmiot posiadający Konto w Serwisie i wprowadzający do niego dane osobowe swoich klientów.

Podmiot przetwarzający (dalej „Przetwarzający") — SŁAWOMIR KOWALCZYK Software Lab, prowadzący działalność gospodarczą wpisaną do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), NIP 6572762375, REGON 368144580, prowadzący serwis Flowro pod adresem flowro.pl. Kontakt we wszystkich sprawach objętych niniejszą umową: flowro.kontakt@gmail.com.

Pojęcia pisane wielką literą, których niniejszy dokument nie definiuje, mają znaczenie nadane im w Regulaminie.

§2. Przedmiot, charakter i cel powierzenia

Administrator powierza Przetwarzającemu przetwarzanie danych osobowych klientów Administratora w zakresie i w celu niezbędnym do świadczenia usług Serwisu opisanych w §3 Regulaminu.

Charakter przetwarzania: operacje wykonywane w systemach teleinformatycznych — zbieranie, utrwalanie, przechowywanie, porządkowanie, modyfikowanie, pobieranie, przeglądanie, wykorzystywanie i usuwanie danych, a także ich przekazanie dostawcy bramki SMS w celu doręczenia wiadomości.

Cel przetwarzania: prowadzenie bazy klientów Administratora, obsługa kalendarza i rezerwacji terminów treningów, wysyłka przypomnień i powiadomień SMS do klientów Administratora oraz udostępnianie Administratorowi historii i statystyk jego działalności.

§3. Rodzaj danych i kategorie osób

Kategoria osób	Rodzaj danych
Klienci Administratora (osoby korzystające z jego usług treningowych)	imię i nazwisko, numer telefonu, historia rezerwacji i statusy obecności, notatki wprowadzone przez Administratora, dane techniczne związane z korzystaniem z linku rezerwacyjnego (adres IP, informacje o urządzeniu i przeglądarce, logi systemowe)

Administrator zobowiązuje się nie wprowadzać do Serwisu danych szczególnych kategorii w rozumieniu art. 9 RODO (w tym danych o stanie zdrowia) ani danych, o których mowa w art. 10 RODO. Serwis nie jest do tego przeznaczony ani przystosowany. Pole notatek służy informacjom organizacyjnym dotyczącym współpracy, nie dokumentacji zdrowotnej.

§4. Czas przetwarzania

Przetwarzanie trwa przez okres obowiązywania umowy o świadczenie usług Serwisu zawartej na podstawie Regulaminu — od utworzenia Konta do jego usunięcia lub rozwiązania umowy — z zastrzeżeniem §14 (usunięcie danych).

§5. Przetwarzanie na polecenie Administratora

Przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora (art. 28 ust. 3 lit. a RODO). Za takie polecenie uznaje się:

• niniejszą umowę wraz z Regulaminem,
• czynności wykonywane przez Administratora w Serwisie (wprowadzenie klienta, utworzenie slotu, włączenie przypomnień SMS, zmiana ustawień konta),
• odrębne polecenia przekazane na adres kontaktowy wskazany w §1.

Jeżeli obowiązek przetwarzania wynika z prawa Unii lub prawa polskiego, Przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania z uwagi na ważny interes publiczny.

Przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych (art. 28 ust. 3 zd. 2 RODO).

§6. Poufność

Przetwarzający zapewnia, że osoby upoważnione do przetwarzania powierzonych danych działają na podstawie udzielonego upoważnienia i zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi zachowania tajemnicy (art. 28 ust. 3 lit. b RODO). Dostęp do danych jest ograniczony do osób, dla których jest on niezbędny do utrzymania i rozwoju Serwisu.

§7. Środki bezpieczeństwa (art. 32 RODO)

Przetwarzający stosuje środki techniczne i organizacyjne odpowiadające ryzyku naruszenia praw i wolności osób, których dane dotyczą, w szczególności:

• szyfrowanie transmisji — cały ruch do Serwisu odbywa się po HTTPS (TLS),
• separacja danych — dane każdego Administratora są odseparowane; zapytania do bazy są ograniczone do zasobów jego Konta,
• kontrola dostępu — dostęp do Konta wymaga uwierzytelnienia; hasła są przechowywane wyłącznie w postaci skrótów kryptograficznych, nigdy jawnie,
• ograniczenie ekspozycji — baza danych nie jest dostępna z sieci publicznej, a dostęp administracyjny do serwera jest ograniczony,
• rejestrowanie zdarzeń — logi systemowe umożliwiające wykrycie i zbadanie nieuprawnionego dostępu,
• aktualizacje — bieżące łatanie komponentów infrastruktury i zależności aplikacji.

Przetwarzający zastrzega prawo do zmiany poszczególnych środków, pod warunkiem że poziom bezpieczeństwa nie ulegnie obniżeniu.

§8. Podpowierzenie

Administrator udziela Przetwarzającemu ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających (art. 28 ust. 2 RODO), na warunkach określonych poniżej. Na dzień obowiązywania niniejszej umowy są to:

Podmiot	Zakres	Lokalizacja
OVHcloud — dostawca infrastruktury serwerowej	hosting serwera, na którym działa Serwis i baza danych — dostęp do całości powierzonych danych w zakresie wynikającym z utrzymania infrastruktury	Polska
SMSAPI — LINK Mobility Poland sp. z o.o.	doręczanie wiadomości SMS — numer telefonu klienta oraz treść wiadomości (imię klienta, termin i miejsce treningu)	Polska

Przetwarzający nakłada na każdy dalszy podmiot przetwarzający, w drodze umowy, obowiązki ochrony danych odpowiadające obowiązkom z niniejszej umowy. Jeżeli dalszy podmiot nie wywiąże się ze swoich obowiązków, pełna odpowiedzialność wobec Administratora spoczywa na Przetwarzającym (art. 28 ust. 4 RODO).

O zamierzonej zmianie dotyczącej dodania lub zastąpienia dalszego podmiotu przetwarzającego Przetwarzający informuje Administratora z co najmniej 14-dniowym wyprzedzeniem — pocztą elektroniczną na adres przypisany do Konta lub komunikatem w Serwisie. Administrator może w tym terminie wnieść sprzeciw; skorzystanie z prawa sprzeciwu uprawnia każdą ze stron do rozwiązania umowy o świadczenie usług Serwisu ze skutkiem na koniec opłaconego okresu rozliczeniowego, jeżeli dalsze świadczenie usługi bez tego podmiotu nie jest możliwe.

Obsługa płatności za Subskrypcję realizowana przez Stripe dotyczy wyłącznie danych rozliczeniowych Administratora i nie obejmuje danych powierzonych na podstawie niniejszej umowy — Stripe nie jest dalszym podmiotem przetwarzającym w rozumieniu tego paragrafu.

§9. Przekazywanie danych poza EOG

Powierzone dane są przetwarzane na terytorium Rzeczypospolitej Polskiej, a więc w granicach Europejskiego Obszaru Gospodarczego. Przetwarzający nie przekazuje ich do państw trzecich ani organizacji międzynarodowych. Gdyby przekazanie takie okazało się niezbędne, nastąpi wyłącznie przy zapewnieniu zabezpieczeń wymaganych rozdziałem V RODO (w szczególności standardowych klauzul umownych), a Administrator zostanie o tym poinformowany w trybie przewidzianym dla zmiany dalszych podmiotów przetwarzających (§8).

§10. Pomoc w realizacji praw osób, których dane dotyczą

Serwis udostępnia Administratorowi narzędzia pozwalające samodzielnie zrealizować większość żądań osób, których dane dotyczą — wgląd w dane klienta, ich poprawienie oraz usunięcie klienta wraz z powiązanymi rezerwacjami.

W zakresie, w jakim narzędzia te nie wystarczają, Przetwarzający — biorąc pod uwagę charakter przetwarzania — pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO), w miarę możliwości za pomocą odpowiednich środków technicznych i organizacyjnych.

Jeżeli żądanie osoby, której dane dotyczą, wpłynie bezpośrednio do Przetwarzającego, nie realizuje go samodzielnie — niezwłocznie przekazuje je Administratorowi jako podmiotowi właściwemu do rozpatrzenia.

§11. Naruszenia ochrony danych

Przetwarzający zgłasza Administratorowi każde naruszenie ochrony powierzonych danych osobowych bez zbędnej zwłoki (art. 33 ust. 2 RODO), na adres e-mail przypisany do Konta, przekazując posiadane informacje o charakterze naruszenia i jego możliwych skutkach.

Zgłoszenie naruszenia organowi nadzorczemu (art. 33 ust. 1 RODO) oraz zawiadomienie osób, których dane dotyczą (art. 34 RODO), należy do Administratora. Przetwarzający udziela mu w tym zakresie niezbędnej pomocy.

§12. Pomoc w wypełnianiu obowiązków Administratora

Przetwarzający pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO — dotyczących bezpieczeństwa przetwarzania, zgłaszania naruszeń, oceny skutków dla ochrony danych oraz uprzednich konsultacji — uwzględniając charakter przetwarzania oraz dostępne mu informacje.

§13. Informacje i audyt

Przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia przeprowadzenie audytu, w tym inspekcji (art. 28 ust. 3 lit. h RODO).

Audyt odbywa się na następujących zasadach:

• po zawiadomieniu Przetwarzającego z co najmniej 14-dniowym wyprzedzeniem, w dniu roboczym uzgodnionym przez strony,
• nie częściej niż raz w roku kalendarzowym — z wyjątkiem audytu przeprowadzanego po stwierdzonym naruszeniu ochrony powierzonych danych lub na żądanie organu nadzorczego, który może odbyć się niezależnie od tego limitu,
• w zakresie wyłącznie tych systemów i procesów, które służą przetwarzaniu danych powierzonych przez Administratora, bez dostępu do danych innych klientów Serwisu oraz do informacji stanowiących tajemnicę przedsiębiorstwa Przetwarzającego,
• koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie niniejszej umowy przez Przetwarzającego,
• osoby przeprowadzające audyt zobowiązują się do zachowania poufności.

Przetwarzający może w pierwszej kolejności przedstawić informacje w formie pisemnej odpowiedzi na kwestionariusz lub aktualnych certyfikatów i raportów; jeżeli nie rozwieją one wątpliwości Administratora, przeprowadzenie inspekcji pozostaje jego uprawnieniem.

§14. Usunięcie danych po zakończeniu przetwarzania

Przez cały okres obowiązywania umowy Administrator ma bieżący dostęp do powierzonych danych w Serwisie i może je stamtąd odczytać. Dane potrzebne mu po zakończeniu współpracy powinien zabezpieczyć we własnym zakresie przed rozwiązaniem umowy lub usunięciem Konta — Przetwarzający nie prowadzi ich zwrotu w odrębnym trybie.

Po zakończeniu świadczenia usług Serwisu Przetwarzający usuwa powierzone dane (art. 28 ust. 3 lit. g RODO) w terminie 30 dni od rozwiązania umowy lub od zgłoszenia żądania usunięcia Konta na adres kontaktowy wskazany w §1.

Przetwarzający może zachować dane, jeżeli obowiązek ich przechowywania nakłada na niego prawo Unii lub prawo polskie — wyłącznie w zakresie i przez okres wynikający z tych przepisów.

§15. Odpowiedzialność

Każda ze stron odpowiada za szkody wyrządzone przetwarzaniem na zasadach określonych w art. 82 RODO oraz w przepisach powszechnie obowiązujących.

Administrator odpowiada w szczególności za posiadanie podstawy prawnej przetwarzania danych swoich klientów, za spełnienie wobec nich obowiązku informacyjnego (art. 13 i 14 RODO) oraz za zgodność z prawem wydawanych poleceń i treści wprowadzanych do Serwisu.

§16. Postanowienia końcowe

Niniejsza umowa zostaje zawarta z chwilą akceptacji Regulaminu i stanowi jego integralną część. Obowiązuje przez czas obowiązywania umowy o świadczenie usług Serwisu, a w zakresie §14 — do zakończenia usunięcia danych.

Zmiana niniejszej umowy następuje w trybie przewidzianym dla zmiany Regulaminu (§11 Regulaminu).

W sprawach nieuregulowanych zastosowanie mają RODO, ustawa o ochronie danych osobowych oraz przepisy prawa polskiego. Zasady przetwarzania danych, dla których administratorem jest Flowro, opisuje Polityka prywatności.