Polityka prywatności panelu administratora Privacy policy for the admin panel

1. Zakres i role RODO

Niniejsza polityka dotyczy podmiotów prowadzących lub zarządzających obiektami sportowymi, które korzystają z RENTSPORTS jako Klienci, oraz osób działających w imieniu tych Klientów, w szczególności właścicieli kont i administratorów.

W odniesieniu do danych osób reprezentujących Klienta i korzystających z panelu RENTSPORTS jest administratorem danych. W odniesieniu do danych Użytkowników końcowych Obiektu RENTSPORTS co do zasady działa jako podmiot przetwarzający na rzecz Klienta, który jest administratorem tych danych.

W odniesieniu do niektórych danych technicznych, bezpieczeństwa, rozliczeń, komunikacji dotyczącej własnej usługi i dochodzenia roszczeń RENTSPORTS może występować jako niezależny administrator. Zakres tej roli zależy od konkretnego celu przetwarzania.

Niniejsza polityka nie zastępuje informacji, którą Klient jako administrator powinien przekazać Użytkownikom końcowym. Klient odpowiada za spełnienie własnego obowiązku informacyjnego wobec tych osób, z uwzględnieniem danych, dla których RENTSPORTS jest niezależnym administratorem.

2. Administrator i kontakt

Administrator: [NAZWA FIRMY], [FORMA PRAWNA], z siedzibą w [ADRES], NIP [NIP], REGON/KRS [REGON/KRS].

E-mail w sprawach prywatności: contact@rentsports.app.

Inspektor ochrony danych: [JEŚLI POWOŁANO: IMIĘ/NAZWA I E-MAIL]. Jeżeli IOD nie został powołany, należy ten element usunąć.

3. Jakie dane możemy przetwarzać

Dane osób korzystających z panelu

• imię i nazwisko, adres e-mail, numer telefonu;
• firma, NIP/VAT UE, adres rozliczeniowy i dane do faktury;
• rola użytkownika, zakres uprawnień, przypisanie do obiektów;
• język, strefa czasowa, dane utworzenia i modyfikacji konta;
• dane dotyczące logowania, bezpieczeństwa i audytu, w tym adres IP, identyfikatory sesji, znaczniki czasu oraz informacje o zdarzeniach w systemie;
• treść korespondencji z pomocą techniczną, zgłoszeń i reklamacji.

Dane dotyczące obiektu i subskrypcji

• nazwa i adres obiektu, dane kontaktowe, współrzędne, godziny otwarcia, ceny, liczba kortów/stołów, dyscypliny i opisy;
• wybrany plan, liczba obiektów i kortów, okres rozliczeniowy, identyfikator subskrypcji, historia płatności i status rozliczeń;
• identyfikatory techniczne integracji, w szczególności dane potrzebne do połączenia z PayU i TTLock. Hasła i klucze API nie powinny być ujawniane w sposób niezgodny z instrukcją systemu.

Dane Użytkowników końcowych

Zakres zależy od konfiguracji Klienta i może obejmować w szczególności imię, nazwisko, e-mail, telefon, dane rezerwacji, płatności, karnetów, historii wejść oraz dane techniczne niezbędne do wygenerowania i wykorzystania kodu dostępu. W tym zakresie Klient pozostaje administratorem, a RENTSPORTS, podmiotem przetwarzającym.

Klient nie powinien wprowadzać do Systemu danych szczególnych kategorii ani innych danych nadmiarowych, chyba że dana funkcja została wyraźnie zaprojektowana do ich przetwarzania i istnieje odpowiednia podstawa prawna oraz instrukcja.

4. Cele i podstawy prawne

Przy prawnie uzasadnionym interesie interes ten obejmuje w szczególności zapewnienie bezpieczeństwa usługi, ochronę przed nadużyciami, utrzymanie jakości systemu, obsługę sporów i obronę roszczeń. Zakres danych jest ograniczany do tego, co jest niezbędne dla danego celu.

5. Czy podanie danych jest obowiązkowe

Dane oznaczone w formularzu rejestracyjnym jako wymagane są potrzebne do zawarcia i wykonania umowy albo do spełnienia obowiązku prawnego. Brak tych danych może uniemożliwić utworzenie konta, uruchomienie subskrypcji lub wystawienie faktury. Pozostałe dane mogą być dobrowolne.

6. Źródła danych

Dane administratorów i osób kontaktowych pozyskujemy bezpośrednio od tych osób lub od Klienta. Dane Użytkowników końcowych otrzymujemy co do zasady od Klienta albo bezpośrednio poprzez funkcje aplikacji działające na jego rzecz. Jeżeli dane pochodzą z innego źródła, Klient lub RENTSPORTS zapewnia właściwą informację zgodnie z odpowiednim przepisem RODO.

7. Odbiorcy danych i podwykonawcy

Dane mogą być udostępniane podmiotom wspierającym RENTSPORTS w świadczeniu usługi, w szczególności dostawcom infrastruktury chmurowej, płatności, poczty elektronicznej, księgowości i integracji zamków. W przypadku danych Użytkowników końcowych podmioty te działają odpowiednio jako dalsi podmioty przetwarzający, z zastrzeżeniem podmiotów, które we własnym imieniu są niezależnymi administratorami.

Aktualna lista dokładnych podmiotów, krajów ich siedziby oraz statusu podwykonawcy jest utrzymywana przez RENTSPORTS i może być udostępniana Klientowi w ramach dokumentacji podwykonawców.

8. Transfery poza EOG

Główna infrastruktura może być skonfigurowana w regionie europe-central2 (Warszawa), jednak użycie usług globalnych dostawców może powodować dostęp, wsparcie lub dalsze przetwarzanie danych w innych państwach. Nie należy więc interpretować lokalizacji podstawowej bazy jako gwarancji, że każda operacja każdego dostawcy odbywa się wyłącznie w Polsce.

Gdy dane są przekazywane poza Europejski Obszar Gospodarczy, stosujemy mechanizm zgodny z rozdziałem V RODO, odpowiednio do danego dostawcy i transferu, w szczególności decyzję stwierdzającą odpowiedni stopień ochrony albo standardowe klauzule umowne oraz, gdy jest to wymagane, dodatkowe środki ochronne.

9. Okres przechowywania

• Dane konta i konfiguracji usługi: przez czas trwania umowy, a następnie przez okres niezbędny do zamknięcia konta, rozliczeń i obrony roszczeń.
• Dane księgowe i faktury: przez okres wynikający z przepisów podatkowych i rachunkowych; w Polsce standardowo dokumentacja księgowa podlega co do zasady co najmniej 5-letnim okresom przechowywania, z uwzględnieniem właściwego sposobu liczenia terminu.
• Logi bezpieczeństwa: przez okres adekwatny do potrzeb bezpieczeństwa, zwykle nie dłuższy niż [OKRES, np. 12 MIESIĘCY], chyba że incydent lub roszczenie uzasadnia dłuższe przechowanie.
• Kopie zapasowe: przez okres wynikający z cyklu backupu, po którym dane są nadpisywane lub usuwane, z uwzględnieniem wyjątków związanych z bezpieczeństwem i prawem.
• Dane Użytkowników końcowych: na podstawie instrukcji Klienta i zgodnie z DPA; po zakończeniu umowy są zwracane lub usuwane, z wyjątkiem danych, które muszą pozostać z innych podstaw prawnych.

10. Prawa osób, których dane dotyczą

W zakresie, w jakim jesteśmy administratorem danych, osoba może, zależnie od podstawy i warunków prawnych, żądać dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz wnieść sprzeciw. W przypadku przetwarzania na podstawie zgody można ją wycofać w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania.

Żądania można kierować na contact@rentsports.app. Odpowiadamy bez zbędnej zwłoki, co do zasady w terminach przewidzianych w RODO. Możemy poprosić o informacje niezbędne do potwierdzenia tożsamości, gdy jest to uzasadnione bezpieczeństwem.

Osobie przysługuje również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych lub, w odpowiednich przypadkach, do organu nadzorczego właściwego ze względu na jej miejsce pobytu, miejsce pracy albo miejsce naruszenia.

11. Zautomatyzowane podejmowanie decyzji

RENTSPORTS nie podejmuje wobec osób korzystających z panelu decyzji wywołujących wobec nich skutki prawne lub w podobny sposób istotnie wpływających na nie wyłącznie na podstawie zautomatyzowanego przetwarzania. Jeżeli zakres funkcji zostanie zmieniony w sposób, który wymaga zastosowania art. 22 RODO, informacja zostanie odpowiednio zaktualizowana.

12. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka, w szczególności kontrolę dostępu opartą na rolach, zasadę najmniejszych uprawnień, mechanizmy uwierzytelniania, szyfrowanie transmisji, rejestrowanie zdarzeń bezpieczeństwa, kopie zapasowe i procedury reagowania na incydenty, w zakresie właściwym dla danej usługi i ryzyka.

Żaden system działający w internecie nie może być zagwarantowany jako całkowicie odporny na zagrożenia. Klient odpowiada także za bezpieczeństwo własnych kont, urządzeń, połączenia internetowego, konfiguracji TTLock/PayU oraz nadanych uprawnień użytkownikom panelu.

13. Naruszenia ochrony danych

W przypadku naruszenia dotyczącego danych, dla których Klient jest administratorem, RENTSPORTS postępuje zgodnie z DPA i informuje Klienta bez zbędnej zwłoki po stwierdzeniu naruszenia. Klient pozostaje odpowiedzialny za ocenę obowiązku zgłoszenia naruszenia organowi nadzorczemu i osobom, których dane dotyczą, chyba że zakres obowiązków wynika inaczej z prawa.

14. Pliki cookies i pamięć urządzenia

Panel może korzystać z technicznie niezbędnych plików cookies oraz mechanizmów lokalnego przechowywania informacji, jeżeli są one konieczne do udostępnienia żądanej funkcji, utrzymania sesji, bezpieczeństwa, prawidłowego działania panelu lub zapamiętania ustawień niezbędnych do korzystania z usługi.

Przechowywanie informacji lub uzyskiwanie dostępu do informacji na urządzeniu końcowym, które nie jest niezbędne do realizacji żądanej usługi, odbywa się po uprzednim poinformowaniu użytkownika i uzyskaniu wymaganej zgody zgodnie z art. 399–400 Prawa komunikacji elektronicznej. Zgoda jest odrębna od zgody wymaganej na podstawie RODO, jeżeli oba reżimy mają zastosowanie.

Jeżeli RENTSPORTS wdroży analitykę, reklamy, narzędzia marketingowe lub inne mechanizmy wymagające zgody, przed ich uruchomieniem zostanie udostępniony odpowiedni mechanizm zarządzania zgodami oraz informacja o konkretnych dostawcach, celach i okresach przechowywania.

15. Zmiany polityki

Polityka może być aktualizowana, gdy zmienia się sposób działania Usługi, dostawcy, zakres przetwarzania lub przepisy. Istotne zmiany będziemy komunikować odpowiednio do ich charakteru, w szczególności na adres e-mail przypisany do konta, z rozsądnym wyprzedzeniem, jeżeli zmiana istotnie wpływa na prawa lub obowiązki Klienta.

Aktualna wersja jest publikowana na stronie RENTSPORTS wraz z datą aktualizacji.

16. Relacja z umową powierzenia

Opis zasad przetwarzania danych Użytkowników końcowych przez RENTSPORTS w charakterze podmiotu przetwarzającego znajduje się w Umowie powierzenia przetwarzania danych (DPA), stanowiącej Załącznik nr 1 do Regulaminu albo odrębny dokument elektroniczny zaakceptowany przy zawieraniu umowy. Sama niniejsza polityka nie zastępuje umowy wymaganej przez art. 28 RODO.

1. Scope and GDPR roles

This policy applies to organisations operating or managing sports facilities that use RENTSPORTS as Customers and to people acting on behalf of those Customers, especially account owners and administrators.

For data of people representing the Customer and using the admin panel, RENTSPORTS acts as the controller. For data of End Users of a Venue, RENTSPORTS generally acts as the processor on behalf of the Customer, which remains the controller.

For certain technical, security, billing, service-communication and claims-related data, RENTSPORTS may act as an independent controller. The exact role depends on the purpose of the processing.

This policy does not replace the information the Customer must provide to End Users as their controller. The Customer remains responsible for its own transparency obligations, subject to data for which RENTSPORTS acts as an independent controller.

2. Controller and contact

Controller: [COMPANY NAME], [LEGAL FORM], with its registered office at [ADDRESS], Tax ID [TAX ID], REGON/company number [REGON/COMPANY NO.].

Privacy contact: contact@rentsports.app.

Data Protection Officer: [IF APPOINTED: NAME/ENTITY AND EMAIL]. Remove this item if no DPO is appointed.

3. What data we may process

Admin panel users

• name, email address and phone number;
• company, tax/VAT ID, billing address and invoice data;
• role, permissions and venue assignments;
• language, time zone, account creation and modification data;
• login, security and audit data such as IP address, session identifiers, timestamps and system events;
• support tickets, complaints and correspondence.

Venue and subscription data

• venue name and address, contact details, coordinates, opening hours, prices, number of courts/tables, disciplines and descriptions;
• plan, venue/court count, billing period, subscription ID, payment history and billing status;
• technical integration identifiers, including data required to connect to PayU and TTLock. Passwords and API keys should not be disclosed outside the System's intended configuration process.

End-user data

The scope depends on the Customer's configuration and may include name, email, phone, booking details, payments, passes, entry history and technical data necessary to generate and use an access code. The Customer remains the controller and RENTSPORTS the processor for this data.

The Customer should not enter special-category or excessive data unless a feature is expressly designed for it and there is an appropriate legal basis and documented instruction.

4. Purposes and legal bases

Where we rely on legitimate interests, these include service security, abuse prevention, service quality, dispute handling and legal claims. Data is limited to what is necessary for the relevant purpose.

5. Is providing data mandatory?

Data marked as required in the registration flow is necessary to enter into and perform the agreement or meet a legal obligation. Without it, an account, subscription or invoice may not be possible. Other data may be optional.

6. Data sources

Administrator and contact data is collected directly from those people or from the Customer. End-user data is generally received from the Customer or directly through app functions operating on the Customer's behalf. Where data comes from another source, the relevant GDPR information duty will be fulfilled by the appropriate controller.

7. Recipients and subprocessors

Data may be shared with providers supporting RENTSPORTS, including cloud infrastructure, payment, email, accounting and lock-integration providers. For End-user data, those providers act as subprocessors where appropriate, except where a provider independently determines the purposes and means and is therefore its own controller.

The current list of exact legal entities, countries and subprocessor status is maintained by RENTSPORTS and can be made available to Customers in its subprocessor documentation.

8. Transfers outside the EEA

The main infrastructure may be configured in europe-central2 (Warsaw), but global providers may process, support or access certain data in other jurisdictions. The location of the primary database therefore does not mean that every operation by every provider occurs only in Poland.

Where data is transferred outside the European Economic Area, we use a Chapter V GDPR mechanism appropriate to the transfer, such as an adequacy decision or Standard Contractual Clauses and, where required, supplementary safeguards.

9. Retention

• Account and service configuration data: for the term of the agreement and afterwards as needed for account closure, settlement and claims.
• Accounting data and invoices: for the period required by tax and accounting laws; in Poland, accounting documentation is generally subject to minimum five-year retention periods, calculated according to the applicable rules.
• Security logs: for a period proportionate to security needs, normally no longer than [PERIOD, e.g. 12 MONTHS], unless an incident or claim justifies longer retention.
• Backups: according to the backup cycle, after which copies are overwritten or deleted, subject to security and legal exceptions.
• End-user data: according to the Customer's instructions and the DPA; after termination, returned or deleted except where retention is required by law or another legal basis.

10. Data-subject rights

Where we are the controller, a person may, subject to the GDPR and the applicable legal basis, request access, rectification, erasure, restriction and portability, or object to processing. Where processing is based on consent, consent may be withdrawn at any time without affecting prior lawful processing.

Requests may be sent to contact@rentsports.app. We respond without undue delay and generally within GDPR time limits. Where reasonably necessary for security, we may request information to confirm identity.

A complaint may also be lodged with the Polish President of the Personal Data Protection Office or, where relevant, another competent supervisory authority.

11. Automated decision-making

RENTSPORTS does not make decisions producing legal or similarly significant effects on admin-panel users solely through automated processing. If the service changes in a way that triggers Article 22 GDPR, this policy will be updated accordingly.

12. Security

We implement technical and organisational measures appropriate to risk, including role-based access control, least-privilege principles, authentication controls, encryption in transit, security logging, backups and incident-response procedures, as appropriate to the service and risk.

No internet-based system can be guaranteed to be completely free of security risk. Customers are also responsible for securing their accounts, devices, internet connection, TTLock/PayU configuration and user permissions.

13. Personal-data breaches

For breaches involving End-user data for which the Customer is controller, RENTSPORTS follows the DPA and informs the Customer without undue delay after becoming aware of the breach. The Customer remains responsible for assessing notification duties to the supervisory authority and data subjects, unless mandatory law provides otherwise.

14. Cookies and device storage

The panel may use technically necessary cookies and local-storage mechanisms where they are necessary to provide a requested function, maintain a session, provide security, operate the panel correctly or retain settings needed to use the service.

Storing information or accessing information on a terminal device where this is not necessary to provide the requested service is carried out after prior information and the consent required under Articles 399–400 of the Polish Electronic Communications Law. Where both regimes apply, this consent is separate from consent under the GDPR.

If RENTSPORTS introduces analytics, advertising, marketing or other mechanisms requiring consent, an appropriate consent-management mechanism and information about the relevant providers, purposes and retention periods will be provided before those mechanisms are activated.

15. Changes to this policy

This policy may be updated when the Service, providers, processing activities or applicable law change. Material changes will be communicated according to their nature, in particular to the email address linked to the account, with reasonable advance notice where a change materially affects the Customer's rights or obligations.

The current version is published on the RENTSPORTS website together with its update date.

16. Relationship with the DPA

Processing of End-user data by RENTSPORTS as processor is governed by the Data Processing Agreement (DPA), which forms Annex 1 to the Terms or is accepted electronically as a separate document. This privacy policy does not itself replace the agreement required by Article 28 GDPR.