Niniejsza umowa powierzenia przetwarzania danych (dalej „Umowa") stanowi część warunków umowy i reguluje przetwarzanie danych osobowych, którego 21points dokonuje w imieniu klienta, gdy klient korzysta z platformy do zarządzania turniejami i tablicami wyników. Zawierana jest na podstawie artykułu 28 RODO.
1. Strony i role
Klient (użytkownik, który zawiera umowę lub korzysta z usługi) jest administratorem danych. Lajana Sistemas S.L., właściciel 21points, jest podmiotem przetwarzającym.
2. Przedmiot, charakter i cel
Podmiot przetwarzający będzie przetwarzać dane osobowe w imieniu administratora wyłącznie w celu świadczenia usługi 21points: hosting, przechowywanie i przetwarzanie danych turniejów, drużyn i zawodników, które administrator wprowadza na platformie.
3. Czas trwania
Przetwarzanie będzie trwało tak długo, jak długo obowiązuje relacja usługowa między stronami. Po jej zakończeniu zastosowanie będą miały postanowienia dotyczące zwrotu lub usunięcia danych.
4. Rodzaje danych osobowych
Dane identyfikacyjne i sportowe zawodników, drużyn, sędziów i personelu organizatora: imię i nazwisko, numer koszulki, kategoria, wiek lub data urodzenia, statystyki i wyniki. Mogą obejmować dane osób małoletnich.
5. Kategorie osób, których dane dotyczą
Zawodnicy (w tym potencjalnie osoby małoletnie), drużyny, sędziowie oraz personel związany z organizatorem.
6. Obowiązki podmiotu przetwarzającego
Zgodnie z art. 28 ust. 3 RODO podmiot przetwarzający zobowiązuje się do:
- Przetwarzania danych wyłącznie na udokumentowane polecenie administratora, w tym w zakresie transferów międzynarodowych, chyba że wymaga tego prawo.
- Zapewnienia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności.
- Wdrożenia środków technicznych i organizacyjnych bezpieczeństwa wymaganych przez art. 32 RODO.
- Przestrzegania warunków angażowania innego podmiotu przetwarzającego (podprzetwarzającego) określonych w klauzuli 7.
- Pomocy administratorowi w odpowiadaniu na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw.
- Pomocy administratorowi w wypełnianiu obowiązków wynikających z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń i oceny skutków), z uwzględnieniem dostępnych informacji.
- Według wyboru administratora, usunięcia lub zwrotu danych po zakończeniu świadczenia usługi oraz usunięcia istniejących kopii, chyba że przechowywanie jest wymagane przepisami prawa.
- Udostępnienia administratorowi informacji niezbędnych do wykazania zgodności z tymi obowiązkami i umożliwienia audytów lub kontroli.
- Niezwłocznego poinformowania administratora, jeśli uzna, że polecenie narusza przepisy o ochronie danych.
7. Podprzetwarzający
Administrator udziela podmiotowi przetwarzającemu ogólnego upoważnienia do angażowania podprzetwarzających w celu świadczenia usługi. Podmiot przetwarzający obecnie korzysta z IONOS (hosting i infrastruktura, z serwerami w Unii Europejskiej). Podmiot przetwarzający nałoży na swoich podprzetwarzających, w drodze umowy, te same obowiązki w zakresie ochrony danych. Poinformuje administratora o wszelkich zmianach dotyczących dodania lub zastąpienia podprzetwarzających, dając administratorowi możliwość zgłoszenia sprzeciwu.
8. Transfery międzynarodowe
Podmiot przetwarzający nie będzie przekazywać danych administratora poza Europejski Obszar Gospodarczy bez odpowiednich zabezpieczeń (decyzja stwierdzająca odpowiedni poziom ochrony, standardowe klauzule umowne lub inne zabezpieczenie zgodne z RODO) oraz bez wcześniejszego powiadomienia administratora. Infrastruktura przechowująca dane turniejów i zawodników znajduje się w Unii Europejskiej.
9. Naruszenia ochrony danych osobowych
Podmiot przetwarzający powiadomi administratora, bez zbędnej zwłoki, o każdym naruszeniu ochrony danych osobowych, o którym się dowie, dostarczając informacje niezbędne administratorowi do wypełnienia, w stosownych przypadkach, jego obowiązków powiadomienia organu nadzorczego oraz osób, których dane dotyczą.
10. Zwrot lub usunięcie danych
Po zakończeniu świadczenia usługi, według wyboru administratora, podmiot przetwarzający zwróci lub usunie dane osobowe oraz ich kopie, chyba że musi je zachować na podstawie obowiązku prawnego.
11. Odpowiedzialność
Każda strona odpowiada za szkody, które spowoduje w wyniku naruszenia swoich obowiązków, zgodnie z art. 82 RODO. Administrator gwarantuje, że posiada podstawę prawną do przetwarzania oraz, w stosownych przypadkach, zgodę osób sprawujących władzę rodzicielską lub opiekę prawną w odniesieniu do danych osób małoletnich.
12. Prawo właściwe
Niniejsza Umowa podlega RODO, hiszpańskiej ustawie organicznej 3/2018 (LOPDGDD) oraz pozostałym obowiązującym hiszpańskim przepisom o ochronie danych.