Umowa powierzenia przetwarzania danych osobowych (DPA)

Wzór umowy zgodny z art. 28 RODO. Akceptacja Regulaminu Shootero przez Klienta jest jednoznaczna z zawarciem niniejszej Umowy (DPA stanowi załącznik do Regulaminu). Pola w sekcji Administrator zostaną wypełnione na podstawie danych Klienta wprowadzonych przy rejestracji konta klubu.

Wersja szablonu: 1.0 Data: 14 maja 2026 r.

STRONY

Procesor (Podmiot przetwarzający): Sendormeco Holding sp. z o.o. z siedzibą przy ul. Złotej 75A/7, 00-819 Warszawa, wpisana do Rejestru Przedsiębiorców KRS pod numerem 0000906110, NIP 5252866457, REGON 389194801, kapitał zakładowy 5 000,00 zł, reprezentowana przez Przemysława Szuleckiego — Prezesa Zarządu (dalej: „Procesor" lub „Shootero").

Administrator (Klient): Podmiot wskazany w danych konta klubu w Aplikacji Shootero (nazwa, adres, NIP, REGON, osoba reprezentująca) — dalej: „Administrator". Dane Administratora są aktualizowane przez Administratora w panelu klubu i stanowią integralną część niniejszej umowy.

§ 1. Przedmiot, charakter i cel przetwarzania

1. Na podstawie niniejszej umowy Administrator powierza Procesorowi przetwarzanie danych osobowych w związku ze świadczeniem przez Procesora usługi Shootero — systemu SaaS do zarządzania klubem strzeleckim / strzelnicą.
2. Cel przetwarzania: wyłącznie świadczenie usługi opisanej w Regulaminie świadczenia usług Shootero.
3. Charakter przetwarzania: operacje techniczne niezbędne do utrzymania, świadczenia, rozwoju i zabezpieczenia Aplikacji — w tym przechowywanie, kopie zapasowe, indeksowanie, prezentacja w interfejsie użytkownika, eksport, anonimizacja, usuwanie.
4. Polecenie Administratora: Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Korzystanie z funkcji Aplikacji przez Administratora i jego Użytkowników stanowi udokumentowane polecenie.

§ 2. Czas trwania

1. Umowa zawierana jest na czas obowiązywania głównej umowy o świadczenie usług Shootero.
2. Po rozwiązaniu umowy głównej, Procesor przechowuje dane przez okres 60 dni w celu umożliwienia Administratorowi eksportu, po czym usuwa lub anonimizuje dane — z wyjątkami określonymi w § 9.

§ 3. Rodzaj danych i kategorie osób, których dane dotyczą

3.1. Kategorie osób

• Klubowicze — członkowie klubu/strzelnicy, w tym osoby pełnoletnie i niepełnoletnie (z odpowiednią zgodą rodzica/opiekuna);
• Użytkownicy panelu — pracownicy Administratora (zarząd, instruktorzy, recepcja);
• Opcjonalnie: goście (osoby korzystające z jednorazowych zajęć, jeśli Administrator ich ewidencjonuje).

3.2. Rodzaje danych

3.3. Nieujmowanie danych szczególnych poza zakresem

Administrator nie wprowadza do Aplikacji danych szczególnych innych niż dane o zdrowiu w zakresie badań lekarskich. Wprowadzenie innych danych szczególnych (np. orientacja seksualna, przynależność związkowa, dane biometryczne) wymaga uprzedniej pisemnej zgody Procesora i może wymagać zmian technicznych w Aplikacji.

§ 4. Obowiązki Procesora

Procesor zobowiązuje się:

1. Przetwarzać dane wyłącznie na polecenie Administratora. O jakiejkolwiek konieczności przetwarzania poza tym poleceniem (np. wymóg prawa UE/państwa członkowskiego) Procesor poinformuje Administratora przed rozpoczęciem przetwarzania, chyba że prawo zabrania takiego informowania.

1. Zapewnić poufność danych: osoby upoważnione do przetwarzania są zobowiązane do zachowania tajemnicy, na podstawie pisemnych zobowiązań.

1. Stosować środki bezpieczeństwa określone w § 5 niniejszej umowy, adekwatne do ryzyka, w szczególności zgodne z art. 32 RODO.

1. Wspierać Administratora (przez właściwe środki techniczne i organizacyjne) w wywiązywaniu się z obowiązków wynikających z art. 32–36 RODO (bezpieczeństwo, incydenty, oceny skutków, konsultacje z UODO).

1. Wspierać Administratora w realizacji praw osób, których dane dotyczą (art. 12–22 RODO). Aplikacja udostępnia:

• eksport danych klubowicza: /members/:id/gdpr/export (art. 20 RODO),
• anonimizację danych: /members/:id/gdpr/anonymize (art. 17 RODO),
• zarządzanie zgodami: /members/:id/gdpr/consents (art. 7 RODO).

1. Zgłaszać incydenty dotyczące danych osobowych Administratorowi bez zbędnej zwłoki, najpóźniej w ciągu 48 godzin od stwierdzenia naruszenia, w sposób umożliwiający Administratorowi spełnienie 72-godzinnego terminu zgłoszenia do UODO (art. 33 RODO). Zgłoszenie zawiera elementy z art. 33 ust. 3 RODO.

1. Usunąć lub zwrócić dane po zakończeniu świadczenia usługi (§ 9).

1. Udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwić audyty (§ 8).

1. Niezwłocznie informować Administratora, jeśli zdaniem Procesora jego polecenie narusza RODO lub inne przepisy o ochronie danych.

§ 5. Środki techniczne i organizacyjne (TOM)

Procesor wdrożył następujące środki bezpieczeństwa (art. 32 RODO):

5.1. Techniczne

• Szyfrowanie transmisji — wszystkie połączenia z Aplikacją wyłącznie przez HTTPS (TLS 1.2+);
• Szyfrowanie haseł — algorytm bcrypt;
• Uwierzytelnianie dwuskładnikowe (TOTP) — dostępne i rekomendowane dla kont administracyjnych;
• Bezpieczeństwo sesji — cookies oznaczone Secure, HttpOnly, SameSite=Lax;
• Ochrona CSRF i XSS — tokeny CSRF, escaping output;
• Logi bezpieczeństwa — próby logowania, zmiany uprawnień, akcje wrażliwe;
• Kopie zapasowe — backupy bazy danych wykonywane codziennie, retencja 30 dni, szyfrowane w spoczynku;
• Izolacja środowisk — produkcja, staging, dev rozdzielone; brak danych produkcyjnych w stagingu/dev;
• Aktualizacje — regularne aktualizacje zależności i monitorowanie podatności (composer audit / dependabot);
• Ograniczenie dostępu — zasada minimum uprzywilejowania, dostęp do produkcji tylko dla wyznaczonych osób.

5.2. Organizacyjne

• Procedury — udokumentowane procedury incident response, backup/restore, rotacji uprawnień;
• Umowy poufności — wszyscy pracownicy i podwykonawcy mający dostęp do danych zobowiązani są do zachowania tajemnicy;
• Szkolenia — okresowe szkolenia z ochrony danych;
• Rejestr czynności przetwarzania prowadzony zgodnie z art. 30 RODO;
• Procedura obsługi wniosków osób — udokumentowany flow przyjęcia, weryfikacji i realizacji wniosków.

5.3. Aktualizacja TOM

Procesor zastrzega prawo do aktualizacji TOM w celu utrzymania lub poprawy poziomu bezpieczeństwa. Istotne zmiany komunikowane są Administratorowi z 30-dniowym wyprzedzeniem.

§ 6. Subprocesorzy (dalsze powierzenia)

1. Administrator wyraża zgodę na korzystanie przez Procesora z subprocesorów wskazanych w Załączniku nr 1 do niniejszej umowy.
2. Pełna i aktualizowana lista subprocesorów jest dostępna w Załączniku nr 1 poniżej oraz pod adresem shootero.pl/legal/dpa (sekcja „Załącznik nr 1").
3. Zmiana subprocesora: Procesor informuje Administratora z 30-dniowym wyprzedzeniem o zamiarze dodania lub zmiany subprocesora. Administrator może w tym terminie zgłosić uzasadniony sprzeciw — wtedy strony w dobrej wierze poszukują rozwiązania; w razie braku porozumienia Administrator może wypowiedzieć umowę główną ze skutkiem na dzień zmiany subprocesora.
4. Procesor zapewnia, że subprocesorzy zawarli z Procesorem umowy powierzenia odpowiadające co najmniej standardowi niniejszej umowy.
5. Procesor pozostaje wobec Administratora w pełni odpowiedzialny za działania subprocesorów.

§ 7. Lokalizacja przetwarzania

1. Dane przetwarzane są przede wszystkim w obszarze Europejskiego Obszaru Gospodarczego (EOG).
2. Transfer poza EOG: jeżeli przekazanie danych poza EOG byłoby niezbędne, odbywa się wyłącznie na podstawie:

• decyzji stwierdzającej odpowiedni poziom ochrony (art. 45 RODO), lub
• standardowych klauzul umownych Komisji Europejskiej (art. 46 ust. 2 lit. c RODO),
• z dodatkowymi środkami zabezpieczającymi adekwatnymi do oceny ryzyka (Schrems II).

Obecnie Shootero nie dokonuje transferów danych poza EOG. Wszyscy subprocesorzy operują w UE/EOG (patrz Załącznik nr 1).

§ 8. Audyty

1. Procesor udostępnia Administratorowi raz na 12 miesięcy (lub niezwłocznie po incydencie naruszenia ochrony danych dotyczącego Administratora) raport bezpieczeństwa lub aktualny certyfikat audytu zewnętrznego (jeśli posiada).
2. Administrator ma prawo do przeprowadzenia audytu Procesora:

• z 30-dniowym uprzedzeniem,
• nie częściej niż raz na 12 miesięcy (poza przypadkami uzasadnionymi incydentem),
• w godzinach pracy Procesora,
• z zachowaniem poufności wyników audytu.

1. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne nieprawidłowości po stronie Procesora.

§ 9. Zakończenie przetwarzania

1. Po rozwiązaniu umowy głównej Administrator wybiera jeden z poniższych wariantów:

• Eksport + usunięcie (domyślnie): Procesor udostępnia Administratorowi możliwość eksportu danych przez 60 dni od zakończenia umowy, następnie dane są usuwane lub anonimizowane;
• Niezwłoczne usunięcie — bez udostępniania okna eksportu (na pisemny wniosek Administratora).

1. Wyjątki od usunięcia:

• dane wymagane przepisami prawa (księgowość, archiwizacja) — retencja zgodnie z odpowiednimi okresami;
• kopie zapasowe — usuwane w cyklu rotacji backupów (<np. 30 dni>).

1. Procesor potwierdza pisemnie usunięcie na żądanie Administratora.

§ 10. Postanowienia końcowe

1. W sprawach nieuregulowanych umową stosuje się postanowienia RODO, ustawy o ochronie danych osobowych i Regulaminu świadczenia usług Shootero.
2. W razie sprzeczności postanowień niniejszej umowy z Regulaminem, w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.
3. Spory z umowy rozstrzyga sąd właściwy dla siedziby Procesora.
4. Umowa wchodzi w życie z dniem akceptacji Regulaminu Shootero (lub osobnego podpisu DPA — w zależności od formy zawarcia umowy głównej).

Załącznik nr 1 — Lista subprocesorów

Wersja na dzień 14 maja 2026 r. Aktualizowana co najmniej raz w roku oraz przy każdej zmianie wykazu subprocesorów.

Załącznik nr 2 — Kontakty operacyjne

Po stronie Procesora:

• Kontakt RODO / incident: rodo@shootero.pl
• Kontakt techniczny: support@shootero.pl

Po stronie Administratora:

• Kontakt RODO: dane wskazane przez Klienta w panelu klubu (sekcja „Ustawienia → RODO")
• Kontakt techniczny: dane wskazane przez Klienta w panelu klubu (sekcja „Ustawienia → Kontakt")

Podpisy:

Procesor: ............................................. Data: ........................

Administrator: ........................................ Data: ........................