Umowa powierzenia przetwarzania danych osobowych

1. Strony

Administrator — klub (lub osoba działająca w jego imieniu), który założył konto w serwisie DesignMyClub. Podmiot przetwarzający — Fundacja Free to Dream (dawniej Fundacja Business Club), ul. Borowa 17, 37-400 Nisko, KRS 0000744862, NIP 6020137099, REGON 381218063, e-mail: tool@freetodream.eu.

Umowę zawiera się w chwili akceptacji Regulaminu i obowiązuje do usunięcia konta.

2. Przedmiot i cel

• Kategorie osób: zawodnicy (w tym dzieci), trenerzy, inne osoby pokazywane na grafikach klubu.
• Rodzaje danych: imię i nazwisko, numer na koszulce, pozycja, wizerunek (zdjęcie), udział w meczu, strzelone bramki.
• Cel: wyłącznie tworzenie, przechowywanie i udostępnianie klubowi grafik na jego polecenie.
• Charakter: przechowywanie, wycinanie postaci ze zdjęć (lokalnie, bez AI zewnętrznego), rysowanie grafik, usuwanie.

3. Obowiązki podmiotu przetwarzającego

• Przetwarza dane tylko na udokumentowane polecenie Administratora — poleceniem jest korzystanie z funkcji serwisu.
• Zapewnia poufność: dostęp mają wyłącznie osoby upoważnione i zobowiązane do tajemnicy.
• Stosuje środki bezpieczeństwa z art. 32 RODO: szyfrowane połączenia, dostęp do plików tylko z konta klubu, kopie zapasowe, kontrolę dostępu po stronie serwera.
• Pomaga Administratorowi w realizacji praw osób (np. usunięcie zawodnika na prośbę rodzica) — klub może to zrobić sam w aplikacji.
• Zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w 48 godzin od jego wykrycia.
• Udostępnia informacje potrzebne do wykazania zgodności z RODO i umożliwia audyt po wcześniejszym uzgodnieniu terminu.
• Nie wykorzystuje danych zawodników do własnych celów ani do trenowania modeli AI i nie przekazuje zdjęć z zakładki „Zawodnicy” do modeli AI.

4. Dalsze powierzenie

Administrator wyraża ogólną zgodę na korzystanie z następujących podprzetwarzających:

• Google Ireland Ltd. / Google LLC — Firebase — logowanie, baza danych i przechowywanie plików (herby, zdjęcia, gotowe grafiki); dane przechowywane w Warszawie (region europe-central2).
• Google — Gemini API — funkcje AI w wersji Premium: tło grafiki z opisu, odczytanie terminarza, podpowiedź barw (herb i do 3 zdjęć klubu); przetwarzanie może odbywać się poza EOG (standardowe klauzule umowne).
• Vercel Inc. — hosting aplikacji (serwery, które obsługują żądania); USA i UE (EU-U.S. Data Privacy Framework, standardowe klauzule umowne).
• Resend (Plus Five Five, Inc.) — wysyłka wiadomości e-mail (potwierdzenie konta, reset hasła, odpowiedzi na zgłoszenia); USA (standardowe klauzule umowne).
• cyber_Folks S.A. — zapasowa wysyłka wiadomości e-mail; Polska.
• MailerLite (UAB „MailerLite”) — newsletter — tylko dla osób, które się na niego zapisały; Litwa (UE).

O planowanej zmianie tej listy poinformujemy z 14-dniowym wyprzedzeniem; Administrator może wyrazić sprzeciw, usuwając konto.

5. Obowiązki Administratora

Administrator odpowiada za to, że ma podstawę prawną do przetwarzania danych, które wgrywa — w przypadku wizerunku dzieci zwykle pisemną zgodę rodziców lub opiekunów — oraz za poinformowanie tych osób o przetwarzaniu (art. 13–14 RODO).

6. Zakończenie

Po usunięciu konta wszystkie dane klubu są usuwane od razu z bazy i magazynu plików; z kopii zapasowych znikają najpóźniej po upływie okresów podanych niżej. Przed usunięciem Administrator może pobrać swoje grafiki z Biblioteki.

• Konto, dane klubu, zawodnicy, zdjęcia i grafiki: do usunięcia konta (przycisk „Usuń konto” w Ustawieniach).
• Kopie zapasowe bazy: codzienne — 7 dni, tygodniowe — 8 tygodni; po usunięciu konta dane znikają z kopii najpóźniej po tym czasie.
• Usunięte pliki w magazynie: 7 dni (kosz Cloud Storage), potem trwale.