Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony

1. Administrator — szkoła pływania albo instruktor z własną praktyką, prowadzący zajęcia w Swimsy. Umowę akceptuje w aplikacji właściciel szkoły albo praktyki (dalej: „Ty").
2. Podmiot przetwarzający — Tomasz Lempart, osoba fizyczna (działalność niezarejestrowana), operator Swimsy, kontakt: kontakt@swimsy.pl (dalej: „Swimsy").

§ 2. Co i po co powierzasz

1. Powierzasz Swimsy przetwarzanie danych osobowych uczestników Twoich zajęć i ich opiekunów w zakresie potrzebnym do korzystania z aplikacji: zapraszania uczestników, uzgadniania i prowadzenia zajęć, grafiku, obecności, notatek po zajęciach i powiadomień.
2. Kogo dotyczą dane: uczestnicy zajęć (także dzieci) i ich opiekunowie.
3. Jakie dane: imię i nazwisko, data urodzenia uczestnika, adres e-mail i numer telefonu opiekuna, terminy i obecność na zajęciach, poziom umiejętności, notatki instruktora po zajęciach, uzgodniona cena (jeśli ją wpiszesz).
4. Bez danych o zdrowiu. W tej wersji nie wpisujesz do Swimsy informacji o zdrowiu uczestników (art. 9 RODO) — także w notatkach.
5. Umowa obowiązuje tak długo, jak korzystasz ze Swimsy, i jest związana z regulaminem Swimsy.

§ 3. Do czego zobowiązuje się Swimsy

1. Przetwarza dane wyłącznie na Twoje polecenie — poleceniem są czynności, które wykonujesz w aplikacji, i ta umowa. Nie używa ich do innych celów niż te opisane w tej umowie, nie sprzedaje, nie wysyła uczestnikom ani rodzicom reklam.
2. Swimsy może tworzyć z tych danych anonimowe, zbiorcze statystyki o tym, jak używana jest aplikacja — wyłącznie po to, żeby ją ulepszać. Statystyki nie wskazują żadnej osoby. W niczym, co Swimsy pokazuje poza sobą, nie pada nazwa Twojej szkoły lub praktyki ani żadnej innej.
3. Dostęp do danych ma wyłącznie Tomasz Lempart, zobowiązany do zachowania ich w tajemnicy. Korzysta z niego tylko wtedy, gdy trzeba usunąć awarię, gdy o to poprosisz albo gdy trzeba wyjaśnić skargę użytkownika Twojej szkoły lub praktyki (rodzica, instruktora) na działanie aplikacji. Każdy dostęp w sprawie skargi jest zapisywany, a zapis Swimsy przekazuje Ci na prośbę.
4. Stosuje środki bezpieczeństwa opisane w § 5.
5. Pomaga Ci odpowiadać na żądania uczestników i rodziców (dostęp, sprostowanie, usunięcie, przeniesienie danych) — aplikacja ma eksport i usunięcie konta, a w pozostałych sprawach pisz na kontakt@swimsy.pl.
6. Zawiadamia Cię o naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż 48 godzin od jego wykrycia — tak, żeby można było zgłosić je Prezesowi UODO w 72 godziny, jeśli trzeba. Pomaga Ci też w tym zgłoszeniu.
7. Udostępnia Ci na prośbę informacje potrzebne, żeby wykazać, że ta umowa jest wykonywana, i odpowiada na Twoje pytania o przetwarzanie.
8. Kiedy kończysz korzystanie ze Swimsy i o to poprosisz, usuwa dane Twoich uczestników w ciągu 30 dni od prośby — a jeśli chcesz, najpierw przekazuje Ci ich eksport.

§ 4. Dalsze powierzenie (podprzetwarzający)

Zgadzasz się, żeby Swimsy korzystało z poniższych dostawców. Swimsy nakłada na nich te same obowiązki ochrony danych i o każdej zmianie tej listy powiadomi Cię z co najmniej 30-dniowym wyprzedzeniem — przez 14 dni od powiadomienia możesz zgłosić sprzeciw albo zrezygnować.

• Supabase — baza danych, dane w regionie UE (Frankfurt, Niemcy); dostawca z USA, SCC.
• Google Cloud Run — serwer aplikacji, region UE (Belgia).
• Google Cloud Storage — kopie zapasowe bazy danych, region UE (Belgia).
• dhosting.pl — skrzynki pocztowe @swimsy.pl (wiadomości do Swimsy), Polska.
• Vercel — strona aplikacji, USA (standardowe klauzule umowne).
• Resend — wysyłka e-maili z regionu UE (Irlandia); dostawca z USA — standardowe klauzule umowne (SCC 2021/914).
• Sentry — zgłaszanie błędów aplikacji, dane w regionie UE (Niemcy).
• Google — logowanie kontem Google, jeśli ktoś z niego korzysta.

Swimsy nie wysyła SMS-ów: link zaproszenia SMS-em wysyłasz rodzicom samodzielnie, ze swojego telefonu.

§ 5. Jak dane są chronione

• Połączenia z aplikacją są szyfrowane (HTTPS).
• Dane każdej szkoły i praktyki są oddzielone od innych na poziomie bazy danych — inna szkoła ani praktyka nie ma do nich dostępu.
• Hasła są przechowywane wyłącznie w postaci skrótu; do konta możesz dodać drugi składnik logowania. Po kilku nieudanych próbach logowania konto jest czasowo blokowane.
• Kopia zapasowa bazy danych wykonywana jest codziennie.
• Aplikacja zapisuje dziennik ważnych zmian: kto, kiedy i co zmienił.

§ 6. Twoje obowiązki jako administratora

1. Wpisujesz do Swimsy tylko dane potrzebne do prowadzenia zajęć.
2. Informujesz rodziców, kto jest administratorem danych — przy rejestracji aplikacja pokazuje im to w Twoim imieniu.
3. Dbasz o hasło do swojego konta i nie udostępniasz go innym osobom.

§ 7. Postanowienia końcowe

1. Umowę zawierasz elektronicznie, akceptując ją w aplikacji. Swimsy zapisuje, kto, kiedy, z jakiego adresu i którą wersję zaakceptował; zaakceptowaną wersję i datę widzisz w ustawieniach konta.
2. Zmiana treści oznacza nową wersję — aplikacja poprosi Cię o jej akceptację, zanim wprowadzisz kolejnych uczestników.
3. W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych i Kodeks cywilny.