Załącznik nr 1 do Regulaminu · Obowiązuje od 12 października 2026 r.

Umowa powierzenia przetwarzania danych osobowych

§1. Strony i przedmiot

Umowa zostaje zawarta między Klientem jako administratorem danych (dalej: Administrator) a Lake Control – Bartosz Wawrzyniak, ul. Feliksa Nowowiejskiego 10, 63-900 Rawicz, NIP 6991946909, jako podmiotem przetwarzającym (dalej: Procesor), na podstawie art. 28 RODO.

Umowa zostaje zawarta w formie elektronicznej, razem z umową o korzystanie z Systemu, z chwilą akceptacji Regulaminu (w Panelu albo e-mailem). Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i celu opisanym poniżej, a Procesor zobowiązuje się przetwarzać je zgodnie z umową i RODO.

§2. Zakres, cel i czas przetwarzania

Cel: świadczenie usługi opisanej w Regulaminie, czyli przyjmowanie i obsługa rezerwacji na łowisku Administratora.

Kategorie osób: Wędkarze i osoby rezerwujące pobyt, osoby towarzyszące i goście, obsługa łowiska, której Administrator nadaje dostęp lub której adres wpisuje do Systemu.

Rodzaje danych: imię i nazwisko, numer telefonu, adres e-mail, dane rezerwacji (termin, stanowisko, liczba osób, dodatki, kwoty i status płatności), dane do faktury, notatki Administratora, zgody wyrażone przy rezerwacji, wpisy na liście klientów zablokowanych (jeżeli Administrator z niej korzysta) oraz dane techniczne związane z rezerwacją, w tym adres IP.

Charakter przetwarzania: przechowywanie, porządkowanie, wyświetlanie w Panelu (dane Wędkarzy nie są pokazywane na publicznej Stronie rezerwacji), wysyłka wiadomości, przekazywanie Operatorowi płatności danych potrzebnych do płatności, eksport i usuwanie.

Czas: przez okres obowiązywania umowy oraz przez okres przechowywania po jej zakończeniu określony w §6.

§3. Obowiązki Procesora

• Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniami są: Regulamin, niniejsza umowa, ustawienia i działania wykonane przez Administratora w Panelu oraz polecenia przesłane e-mailem.
• Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych.
• Procesor dopuszcza do danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności.
• Procesor stosuje środki bezpieczeństwa wymagane przez art. 32 RODO, w szczególności: szyfrowanie transmisji danych, kontrolę dostępu z rozdzieleniem danych poszczególnych łowisk, logowanie dwuetapowe do kont administracyjnych, kopie zapasowe, rejestrowanie zdarzeń oraz regularne przeglądy bezpieczeństwa.
• Procesor pomaga Administratorowi w realizacji praw osób, których dane dotyczą. Panel pozwala samodzielnie przeglądać, poprawiać, eksportować i usuwać dane Wędkarzy. Żądanie skierowane omyłkowo do Procesora jest niezwłocznie przekazywane Administratorowi.
• Procesor pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32 do 36 RODO, w zakresie, w jakim dotyczą one Systemu.

§4. Naruszenia ochrony danych

Procesor zgłasza Administratorowi e-mailem naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia. Zgłoszenie zawiera informacje dostępne w chwili zgłoszenia, w szczególności opis naruszenia, kategorie i przybliżoną liczbę osób oraz podjęte środki. Pozostałe informacje Procesor przekazuje niezwłocznie po ich ustaleniu.

§5. Podprzetwarzający

Administrator udziela Procesorowi ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających. Na dzień zawarcia umowy są to:

• Lovable Labs Incorporated oraz Supabase Inc.: platforma i hosting Systemu, baza danych, kopie zapasowe (chmura AWS; możliwy dostęp spoza EOG na podstawie standardowych klauzul umownych).
• Resend Inc. oraz Mailgun Technologies Inc.: wysyłka wiadomości e-mail (potwierdzenia, przypomnienia, raporty, wiadomości z formularza) (USA, na podstawie EU-US Data Privacy Framework lub standardowych klauzul umownych).
• Cloudflare, Inc.: ochrona formularzy przed botami, pośrednictwo i przyspieszanie ruchu (globalna sieć; USA na podstawie EU-US Data Privacy Framework).
• operator wiadomości SMS wskazany w Ofercie, wyłącznie gdy Administrator zamówił moduł SMS.

Procesor nakłada na podprzetwarzających obowiązki ochrony danych nie mniejsze niż wynikające z tej umowy. Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie z zastosowaniem zabezpieczeń z rozdziału V RODO, w szczególności na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework) lub standardowych klauzul umownych.

O zamiarze dodania lub zmiany podprzetwarzającego Procesor informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić sprzeciw, a jeżeli strony nie dojdą do porozumienia, wypowiedzieć umowę na zasadach §14 Regulaminu.

Operatorzy płatności (Stripe, Przelewy24) nie są podprzetwarzającymi Procesora. Przetwarzają dane na podstawie umowy zawartej bezpośrednio z Administratorem.

§6. Zakończenie przetwarzania

Po zakończeniu umowy Procesor przechowuje powierzone dane przez 12 miesięcy, aby Administrator mógł wznowić korzystanie z Systemu bez utraty danych, a następnie trwale je usuwa, łącznie z kopiami, chyba że przepisy wymagają ich dalszego przechowywania.

Administrator może w każdej chwili polecić wcześniejsze usunięcie danych albo ich zwrot w formie pliku eksportu. Procesor wykonuje takie polecenie w terminie 30 dni.

§7. Kontrola

Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO. Administrator może przeprowadzić kontrolę, w tym przez upoważnionego audytora zobowiązanego do poufności, po uprzedzeniu Procesora co najmniej 14 dni wcześniej, nie częściej niż raz w roku, chyba że kontrola wynika z naruszenia ochrony danych lub żądania organu nadzorczego. Koszty kontroli ponosi Administrator.

§8. Postanowienia końcowe

Odpowiedzialność stron określają przepisy RODO, a w zakresie przez nie nieuregulowanym Regulamin. Umowa obowiązuje przez czas obowiązywania umowy o korzystanie z Systemu oraz okres wskazany w §6. W sprawach nieuregulowanych stosuje się RODO i prawo polskie.

Zmiany tej umowy, w tym listy podprzetwarzających, wprowadza się w trybie przewidzianym dla zmian Regulaminu.

Pytania dotyczące powierzenia danych: [email protected]