Umowa powierzenia przetwarzania danych (DPA) Data Processing Agreement (DPA)

1. Przedmiot i role stron

1. Niniejsza Umowa powierzenia przetwarzania danych („DPA”) jest zawierana pomiędzy Klientem wskazanym w umowie głównej a RENTSPORTS jako podmiotem przetwarzającym.

2. DPA ma zastosowanie do przetwarzania danych osobowych Użytkowników końcowych oraz innych osób, których dane Klient przekazuje do Systemu, jeżeli RENTSPORTS przetwarza je w imieniu Klienta.

3. Klient pozostaje administratorem danych i określa cele oraz sposoby przetwarzania. RENTSPORTS przetwarza dane wyłącznie na udokumentowane polecenie Klienta, chyba że obowiązek przetwarzania wynika z prawa Unii lub prawa państwa członkowskiego.

2. Przedmiot, czas, cel i rodzaj przetwarzania

Przedmiotem przetwarzania jest udostępnienie i utrzymanie Systemu, rezerwacji, płatności technicznych, statystyk, komunikacji systemowej oraz integracji dostępu do Obiektu. Przetwarzanie trwa przez czas obowiązywania umowy głównej, a po jej zakończeniu, przez okres potrzebny do zwrotu/usunięcia danych oraz w zakresie wymaganym prawem.

3. Kategorie danych i osób

• Osoby: Użytkownicy końcowi, osoby dokonujące rezerwacji, osoby uprawnione przez Klienta, administratorzy i osoby kontaktowe Klienta.
• Dane: dane identyfikacyjne i kontaktowe, dane rezerwacji, płatności i karnetów, dane dotyczące wejść i kodów dostępu, identyfikatory techniczne, dane urządzeń i zdarzeń bezpieczeństwa oraz inne dane umieszczone przez Klienta w ramach Usługi.
• Dane szczególnych kategorii nie są standardowym celem przetwarzania przez RENTSPORTS. Klient nie powinien ich przekazywać, chyba że jest to niezbędne, ma odpowiednią podstawę prawną, zostało objęte udokumentowaną instrukcją i RENTSPORTS potwierdzi możliwość zastosowania odpowiednich środków bezpieczeństwa.

4. Udokumentowane instrukcje

Za udokumentowane instrukcje uważa się w szczególności ustawienia i działania dostępne w panelu, niniejsze DPA, Regulamin, zamówienia, zgłoszenia Klienta oraz inne polecenia zapisane w sposób umożliwiający ich wykazanie. RENTSPORTS nie będzie wykorzystywać Danych Klienta do własnych celów, w szczególności reklamy, sprzedaży danych lub trenowania modeli AI, chyba że Klient otrzyma odrębne, zgodne z prawem uzasadnienie i postanowienie.

5. Poufność

RENTSPORTS zapewnia, że osoby upoważnione do przetwarzania danych są zobowiązane do zachowania poufności lub podlegają odpowiedniemu obowiązkowi ustawowemu.

6. Środki bezpieczeństwa

RENTSPORTS stosuje środki techniczne i organizacyjne odpowiednie do ryzyka zgodnie z art. 32 RODO. W zależności od elementu Usługi obejmują one w szczególności kontrolę dostępu i uprawnień opartą na rolach, zasadę najmniejszych uprawnień, bezpieczne uwierzytelnianie, szyfrowanie transmisji, ochronę danych uwierzytelniających i sekretów integracyjnych, rejestrowanie istotnych zdarzeń, kopie zapasowe, mechanizmy odtwarzania po awarii, segmentację logiczną danych Klientów, procedury reagowania na incydenty oraz okresową ocenę skuteczności zabezpieczeń.

Zakres środków może być zmieniany wraz z rozwojem technologii, zmianą ryzyka i architektury Systemu. Szczegółowe informacje o środkach, których ujawnienie mogłoby zwiększyć ryzyko dla bezpieczeństwa Systemu, mogą być przekazywane w trybie poufnym.

7. Dalsze powierzenie

1. Klient udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wskazanych na aktualnej liście podwykonawców.

2. RENTSPORTS poinformuje Klienta o planowanej zmianie listy z wyprzedzeniem co najmniej 14 dni, chyba że krótszy termin wynika z pilnej potrzeby bezpieczeństwa, zakończenia działalności lub decyzji dostawcy.

3. Klient może wnieść uzasadniony sprzeciw z przyczyn związanych z ochroną danych. Strony podejmą w dobrej wierze działania w celu rozwiązania problemu; w razie braku rozwiązania Klient może rozwiązać właściwą część usługi zgodnie z umową główną.

8. Pomoc przy prawach osób

Uwzględniając charakter przetwarzania, RENTSPORTS pomaga Klientowi w realizacji żądań osób, których dane dotyczą, w zakresie technicznie możliwym i odpowiednim do Usługi. Klient pozostaje odpowiedzialny za decyzję co do zasadności żądania oraz za komunikację z osobą.

9. Naruszenia ochrony danych

RENTSPORTS informuje Klienta o stwierdzonym naruszeniu danych osobowych bez zbędnej zwłoki, co do zasady nie później niż w ciągu 24 godzin od uzyskania wiarygodnej informacji o naruszeniu, chyba że charakter incydentu uniemożliwia przekazanie kompletnych informacji w tym terminie. W takiej sytuacji informacje są uzupełniane niezwłocznie.

Informacja obejmuje dostępne dane dotyczące charakteru naruszenia, kategorii danych i osób, prawdopodobnych skutków oraz zastosowanych lub planowanych środków naprawczych.

10. Ocena skutków, konsultacje i inne obowiązki administratora

Na uzasadnione żądanie i w zakresie właściwym dla przetwarzania RENTSPORTS udziela informacji potrzebnych Klientowi do wykazania zgodności z art. 28 RODO oraz pomaga, z uwzględnieniem charakteru przetwarzania, w ocenie skutków dla ochrony danych, konsultacjach z organem nadzorczym i ocenie środków bezpieczeństwa.

RENTSPORTS przekazuje Klientowi informacje niezbędne do oceny i dokumentowania incydentów dotyczących Danych Klienta, o ile informacje te są dostępne i ich przekazanie nie narusza praw innych Klientów, bezpieczeństwa Systemu ani obowiązków prawnych.

11. Audyty i informacje

RENTSPORTS udostępnia Klientowi informacje niezbędne do wykazania zgodności z obowiązkami podmiotu przetwarzającego oraz umożliwia audyt na uzasadnione żądanie, zgodnie z art. 28 ust. 3 lit. h RODO. W pierwszej kolejności mogą być wykorzystywane istniejące raporty, certyfikaty, opisy środków bezpieczeństwa i inne dostępne informacje. Audyt powinien być zapowiedziany z rozsądnym wyprzedzeniem, nie może nieproporcjonalnie zakłócać działania Usługi i powinien ograniczać dostęp do danych innych Klientów do minimum. Koszty nadzwyczajnego audytu ponosi Klient, chyba że prawo lub ustalenia stron stanowią inaczej.

12. Transfery międzynarodowe

RENTSPORTS zapewnia, że przekazywanie danych poza EOG odbywa się zgodnie z rozdziałem V RODO. W razie korzystania z odpowiedniego mechanizmu transferowego jego zastosowanie i zakres są dokumentowane w ramach oceny podwykonawcy i/lub aktualnej listy transferów.

13. Zwrot i usunięcie danych

Po zakończeniu świadczenia Usługi RENTSPORTS, według instrukcji Klienta i z uwzględnieniem obowiązków prawa, zwraca Dane Klienta albo je usuwa. Jeżeli eksport jest dostępny jako funkcja Systemu, Klient powinien pobrać dane w okresie wskazanym w Regulaminie lub komunikacie kończącym usługę.

Dane pozostające w kopiach zapasowych są usuwane lub nadpisywane zgodnie z cyklem backupu; do czasu fizycznego usunięcia pozostają objęte środkami bezpieczeństwa i nie są przywracane do aktywnego przetwarzania, chyba że jest to konieczne z przyczyn bezpieczeństwa, prawnych lub odtworzenia usługi.

Na żądanie Klienta RENTSPORTS może potwierdzić wykonanie usunięcia w zakresie, w jakim jest to technicznie i prawnie możliwe.

14. Hierarchia dokumentów

Jeżeli DPA jest sprzeczne z Regulaminem w zakresie ochrony danych osobowych, pierwszeństwo ma DPA. Jeżeli bezwzględnie obowiązujące prawo wymaga dalej idących obowiązków, stosuje się prawo.

1. Subject matter and roles

1. This Data Processing Agreement (“DPA”) is entered into between the Customer under the main agreement and RENTSPORTS as processor.

2. The DPA applies to processing of End-user data and other personal data supplied by the Customer where RENTSPORTS processes it on the Customer's behalf.

3. The Customer remains controller and determines the purposes and means of processing. RENTSPORTS processes data only on documented Customer instructions unless Union or Member State law requires processing.

2. Subject matter, duration, purpose and nature

The processing covers provision and maintenance of the System, bookings, technical payment functions, statistics, system communications and venue-access integrations. Processing continues for the term of the main agreement and afterwards only for return/deletion and legally required retention.

3. Data and data-subject categories

• People: End users, people making bookings, Customer-authorised users, administrators and Customer contacts.
• Data: identification and contact data, booking, payment and pass data, venue-entry and access-code data, technical identifiers, device/security-event data and other data placed in the System by the Customer.
• Special-category data is not a standard processing purpose. The Customer should not provide it unless necessary, supported by an appropriate legal basis, covered by documented instructions and confirmed by RENTSPORTS as technically capable of applying appropriate security measures.

4. Documented instructions

Documented instructions include settings and actions available in the panel, this DPA, the Terms, orders, Customer support requests and other recorded directions. RENTSPORTS will not use Customer Data for its own purposes, including advertising, data sale or AI training, unless a separate lawful basis and contractual arrangement apply.

5. Confidentiality

RENTSPORTS ensures that people authorised to process personal data are bound by confidentiality or an appropriate statutory obligation.

6. Security measures

RENTSPORTS implements technical and organisational measures appropriate to the risk under Article 32 GDPR. Depending on the Service component, these include role-based access and permission controls, least-privilege principles, secure authentication, encryption in transit, protection of authentication data and integration secrets, relevant event logging, backups, disaster recovery, logical segregation of Customer data, incident-response procedures and periodic assessment of security effectiveness.

The measures may evolve with technology, changes in risk and the System architecture. Detailed information whose disclosure could increase the risk to System security may be provided confidentially.

7. Subprocessors

1. The Customer gives general authorisation to use subprocessors listed in the current subprocessor list.

2. RENTSPORTS will inform the Customer of planned changes to that list at least 14 days in advance, unless a shorter period is required because of a security issue, provider shutdown or other urgent circumstance.

3. The Customer may object on reasonable data-protection grounds. The parties will work in good faith to resolve the issue; if no solution is reached, the Customer may terminate the affected part of the service under the main agreement.

8. Assistance with data-subject rights

Taking into account the nature of processing, RENTSPORTS assists the Customer with data-subject requests to the extent technically possible and appropriate to the Service. The Customer remains responsible for deciding whether a request is justified and for communicating with the data subject.

9. Personal-data breaches

RENTSPORTS informs the Customer without undue delay after becoming aware of a personal-data breach and, as a rule, no later than 24 hours after receiving credible information about the breach, unless the nature of the incident makes complete information unavailable within that timeframe.

The notice includes available information about the nature of the breach, data and data-subject categories, likely consequences and remedial measures taken or planned.

10. DPIAs, consultations and controller obligations

On a reasonable request and to the extent appropriate to the processing, RENTSPORTS provides information needed to demonstrate compliance with Article 28 GDPR and assists, taking the nature of the processing into account, with data-protection impact assessments, prior consultations and security assessments.

RENTSPORTS provides the Customer with information reasonably necessary to assess and document incidents concerning Customer Data, where available and where disclosure does not compromise other Customers, System security or legal obligations.

11. Audits and information

RENTSPORTS makes available information necessary to demonstrate compliance with processor obligations and permits audits reasonably requested under Article 28(3)(h) GDPR. Existing reports, certificates, security descriptions and other available information may be used first. An audit should be reasonably announced, must not disproportionately disrupt the Service and must minimise access to other Customers' data. Costs of an extraordinary audit are borne by the Customer unless mandatory law or the parties' agreement provides otherwise.

12. International transfers

RENTSPORTS ensures that transfers outside the EEA comply with Chapter V GDPR. The relevant transfer mechanism and scope are documented as part of provider assessments and/or the current subprocessor and transfer documentation.

13. Return and deletion

At the end of the Service, RENTSPORTS returns or deletes Customer Data according to the Customer's instructions and applicable law. Where export is available as a System function, the Customer should download the data within the period stated in the Terms or the service-termination notice.

Data remaining in backups is deleted or overwritten under the backup cycle. Until physical deletion, it remains subject to security measures and is not restored to active processing unless needed for security, legal compliance or service recovery.

On request, RENTSPORTS may confirm completion of deletion to the extent technically and legally possible.

14. Order of precedence

If this DPA conflicts with the Terms concerning personal-data protection, this DPA prevails. Mandatory law always prevails over contractual provisions.