Umowa powierzenia przetwarzania danych osobowych

1. Strony i przedmiot umowy

1. Umowa powierzenia przetwarzania danych osobowych zawierana jest między
   Organizatorem, zwanym dalej Administratorem, a Operatorem serwisu JogRun,
   zwanym dalej Podmiotem przetwarzającym.
2. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych
   osobowych uczestników swoich wydarzeń w zakresie i w celu opisanym poniżej.
3. Umowa zawierana jest na podstawie art. 28 ust. 3 RODO i obowiązuje przez
   czas korzystania przez Administratora z serwisu.

2. Zakres i cel przetwarzania

1. Cel: prowadzenie zapisów na wydarzenia Administratora, przyjmowanie opłat
   startowych, obsługa uczestników i udostępnianie wyników.
2. Kategorie osób: uczestnicy wydarzeń, ich opiekunowie prawni, wolontariusze
   oraz członkowie zespołu Administratora.
3. Kategorie danych: dane identyfikacyjne i kontaktowe, data urodzenia, płeć,
   klub, rozmiar pakietu startowego, dane rozliczeniowe zgłoszenia, wyniki
   sportowe, a także - wyłącznie za odrębną zgodą osoby - dane dotyczące zdrowia
   i kontakt na wypadek nagłego wypadku.
4. Czynności przetwarzania: zbieranie, przechowywanie, porządkowanie,
   udostępnianie osobom upoważnionym przez Administratora, usuwanie i
   anonimizacja.

3. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane
   polecenie Administratora, którym jest w szczególności konfiguracja wydarzenia
   i formularza zapisu w panelu organizatora.
2. Osoby dopuszczone do przetwarzania działają na podstawie upoważnienia i są
   zobowiązane do zachowania poufności.
3. Podmiot przetwarzający stosuje środki techniczne i organizacyjne
   odpowiadające art. 32 RODO, w tym szyfrowanie transmisji, kontrolę dostępu
   opartą na rolach, rejestr czynności w postaci dziennika audytu oraz kopie
   zapasowe bazy danych.
4. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych
   bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia.
5. Po zakończeniu świadczenia usług Podmiot przetwarzający, zgodnie z decyzją
   Administratora, usuwa dane albo zwraca je w formacie umożliwiającym dalsze
   wykorzystanie, z zastrzeżeniem danych, których przechowywanie nakazuje prawo.

4. Podpowierzenie

1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot
   przetwarzający z dalszych podmiotów przetwarzających w zakresie hostingu,
   przechowywania plików, wysyłki poczty elektronicznej, obsługi płatności oraz
   monitorowania błędów.
2. Aktualna lista podprocesorów wraz z lokalizacją przetwarzania dostępna jest
   pod adresem wskazanym w polityce prywatności serwisu.
3. O zamierzonej zmianie listy Podmiot przetwarzający informuje z
   wyprzedzeniem co najmniej 30 dni. Administrator może wnieść sprzeciw; w takim
   przypadku każda ze stron może rozwiązać umowę.

5. Prawa osób, których dane dotyczą

1. Podmiot przetwarzający udostępnia Administratorowi w panelu organizatora
   narzędzia pozwalające zrealizować żądania dostępu, sprostowania, usunięcia i
   przeniesienia danych.
2. Żądanie skierowane bezpośrednio do Podmiotu przetwarzającego jest
   przekazywane Administratorowi bez zbędnej zwłoki i bez samodzielnej
   odpowiedzi merytorycznej.

6. Kontrola

1. Administrator ma prawo do audytu, w tym inspekcji, na warunkach
   uzgodnionych z wyprzedzeniem co najmniej 14 dni i w sposób nienaruszający
   poufności danych innych administratorów korzystających z serwisu.
2. Podmiot przetwarzający udostępnia informacje niezbędne do wykazania
   spełnienia obowiązków wynikających z art. 28 RODO.

7. Odpowiedzialność

1. Odpowiedzialność stron regulują przepisy RODO oraz regulamin serwisu.
2. Postanowienia dotyczące ograniczenia odpowiedzialności nie mają
   zastosowania do szkód wyrządzonych umyślnie.

[DOKUMENT ROBOCZY - WYMAGA WERYFIKACJI PRAWNEJ PRZED UŻYCIEM PRODUKCYJNYM]