Umowa powierzenia przetwarzania danych osobowych

Obowiązuje od: 26 października 2026 r. — część Umowy o świadczenie usług Atlo (Ogólne warunki świadczenia usług Atlo dla szkół, § 2 ust. 3).

Umowa zawierana pomiędzy Szkołą wskazaną w Zamówieniu jako Administratorem a Solen Group sp. z o.o. z siedzibą we Wrocławiu (ul. Rędzińska 20D/31, 54-106 Wrocław, KRS 0001194121, NIP 8943268588), właścicielem marki Atlo, jako Podmiotem przetwarzającym („Atlo”), na podstawie art. 28 RODO. Umowa zostaje zawarta z chwilą podpisania Zamówienia przez obie strony.

§ 1. Przedmiot i czas

1. Administrator powierza Atlo przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usług na podstawie Umowy o świadczenie usług Atlo zawartej przez podpisanie Zamówienia („Umowa główna”).
2. Powierzenie trwa przez czas obowiązywania Umowy głównej oraz okres niezbędny do zwrotu i usunięcia danych (§ 9).

§ 2. Charakter, cel, kategorie osób i danych

1. Charakter i cel: udostępnienie i utrzymanie Systemu służącego Szkole do prowadzenia zapisów na zajęcia, obozy i półkolonie, obsługi grup, obecności (także w panelu prowadzącego zajęcia), nieobecności i odrabiania zajęć, rozliczeń z klientami, zawierania umów z rodzicami, komunikacji z rodzicami (e-mail, SMS, wiadomości w panelu rodzica, powiadomienia na telefon) oraz udostępnienia rodzicom panelu rodzica.
2. Operacje: zbieranie, utrwalanie, przechowywanie, porządkowanie, modyfikowanie, przeglądanie, udostępnianie Administratorowi i osobom przez niego wskazanym (w tym rodzicom w panelu rodzica), wysyłka wiadomości e-mail, tworzenie kopii zapasowych, usuwanie.
3. Kategorie osób:
   a) uczestnicy zajęć, w tym dzieci;
   b) rodzice i opiekunowie prawni;
   c) personel Szkoły (instruktorzy, administratorzy panelu).
4. Kategorie danych:
   a) uczestnicy: imię, nazwisko, data urodzenia / wiek, grupa, terminy zajęć, obecności, nieobecności, odrabianie; przy obozach — PESEL, adres, informacje z karty kwalifikacyjnej;
   b) rodzice: imię, nazwisko, e-mail, telefon, adres; przy umowie zawieranej online — PESEL lub numer dowodu osobistego, adres IP i informacja o przeglądarce (dowód zawarcia umowy); status wpłat (bez danych kart płatniczych);
   c) personel: imię, nazwisko, e-mail, historia działań w panelu (dziennik zdarzeń); prowadzący zajęcia: imię, e-mail, kody logowania (jako skrót), data ostatniego logowania, odhaczenia obecności;
   d) wiadomości: wiadomości rodziców do Szkoły wysłane z panelu rodzica (temat, treść, dziecko, którego dotyczą) oraz odpowiedzi Szkoły.
5. Szczególne kategorie danych (art. 9 RODO): dane o stanie zdrowia uczestników obozów i półkolonii (karta kwalifikacyjna: alergie, leki, choroby, dieta, specjalne potrzeby) — wyłącznie gdy Szkoła korzysta z modułu obozów. System automatycznie usuwa te dane 60 dni po zakończeniu turnusu, chyba że Administrator poleci inaczej.
6. Panel rodzica (app.atlo.pl). Dane zapisów udostępniane rodzicom w panelu rodzica są przetwarzane w imieniu Administratora i pozostają w bazie danych Administratora (panel pobiera je na bieżąco). Konto logowania rodzica w panelu (adres e-mail, kody logowania, klucze dostępu, dane techniczne bezpieczeństwa) prowadzi Atlo jako odrębny administrator, na zasadach polityki prywatności Atlo i regulaminu panelu rodzica — te dane nie są przedmiotem powierzenia. W celu odnalezienia zapisów panel przekazuje do Systemu Administratora adres e-mail zalogowanego rodzica. Do konta Atlo należą także zgody na powiadomienia push (adres usługi powiadomień urządzenia, przypisany do skrótu kryptograficznego adresu e-mail).
7. Adres Systemu. Strona zapisów i panel Szkoły działają pod adresem wskazanym w Zamówieniu (subdomena Szkoły albo adres w domenie atlo.pl). Na stronie zapisów Szkoła udostępnia własną informację RODO — Atlo nie występuje wobec klientów Szkoły jako administrator ich danych zapisów.

§ 3. Obowiązki Atlo

Atlo zobowiązuje się:

1. przetwarzać dane wyłącznie na udokumentowane polecenie Administratora — za takie polecenie uznaje się Umowę główną, niniejszą umowę oraz działania Administratora w Systemie; jeżeli polecenie narusza prawo, Atlo niezwłocznie informuje Administratora;
2. zapewnić, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności;
3. stosować środki bezpieczeństwa określone w § 6;
4. pomagać Administratorowi, w miarę możliwości i przy pomocy funkcji Systemu, w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw), a otrzymane bezpośrednio żądania niezwłocznie przekazywać Administratorowi;
5. pomagać Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, konsultacje);
6. udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.

Administrator ogranicza dane wprowadzane do Systemu do niezbędnego zakresu, zapewnia podstawę prawną ich przetwarzania (w tym dla danych o zdrowiu z kart kwalifikacyjnych) i realizuje obowiązki informacyjne wobec rodziców i uczestników.

§ 3a. Dostęp personelu Atlo do danych

1. Atlo nie przegląda powierzonych danych z własnej inicjatywy. Osoba działająca w imieniu Atlo może uzyskać dostęp do danych wyłącznie:
   a) na udokumentowane zgłoszenie Administratora (np. e-mail, zgłoszenie serwisowe) i w zakresie niezbędnym do jego realizacji,
   b) w razie podejrzenia naruszenia ochrony danych albo awarii zagrażającej danym,
   c) gdy obowiązek wynika z przepisów prawa.
2. Każdy dostęp, o którym mowa w ust. 1, Atlo odnotowuje w rejestrze dostępu serwisowego (data, osoba, powód, zakres). Na żądanie Administratora Atlo przekazuje w ciągu 7 dni wyciąg z rejestru dotyczący jego danych.
3. Atlo nie kopiuje powierzonych danych na urządzenia swojego personelu, z wyjątkiem kopii bazy niezbędnej do prac serwisowych uzgodnionych z Administratorem — przechowywanej w postaci zaszyfrowanej i usuwanej niezwłocznie po zakończeniu prac.
4. Funkcje Systemu dostępne dla Atlo bez udziału Administratora (np. przegląd ustawień Szkół) nie obejmują danych osobowych klientów Szkoły.

§ 4. Rozdzielność danych

1. Powierzone dane oraz informacje o działalności Administratora nie będą wykorzystywane do celów innej działalności Atlo ani udostępniane innym klientom Atlo; dostęp do nich mają wyłącznie osoby wykonujące zadania dotyczące Systemu Atlo, na zasadach § 3a i w zakresie niezbędnym do świadczenia usług na rzecz Administratora.
2. Dane Administratora przechowywane są w odrębnej bazie danych (odrębnym projekcie u dostawcy bazy danych), oddzielonej od danych innych szkół korzystających z Systemu.
3. Odpowiedzialność Atlo za naruszenie tego paragrafu nie podlega ograniczeniom odpowiedzialności z Umowy głównej (§ 15 ust. 3 Ogólnych warunków).

§ 5. Dalsze powierzenie (podprocesorzy)

1. Administrator wyraża ogólną zgodę na korzystanie przez Atlo z dalszych podmiotów przetwarzających. Aktualna lista:

1. Dostawcy z siedzibą w USA przekazują dane na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) — dotyczy dostawców certyfikowanych w tym programie — a pozostali oraz zapasowo wszyscy: na podstawie standardowych klauzul umownych zawartych w umowach powierzenia (DPA) tych dostawców.
2. Atlo informuje Administratora o zamiarze dodania lub zmiany podprocesora z wyprzedzeniem co najmniej 14 dni. Administrator może w tym terminie zgłosić uzasadniony sprzeciw; jeżeli Strony nie dojdą do porozumienia, Administrator może wypowiedzieć Umowę główną ze skutkiem natychmiastowym.
3. Atlo nakłada na podprocesorów obowiązki ochrony danych nie mniejsze niż wynikające z niniejszej umowy i odpowiada za ich działania jak za własne.
4. Operator płatności (np. Tpay) nie jest podprocesorem Atlo — działa na podstawie odrębnej umowy zawartej bezpośrednio z Administratorem.

§ 6. Środki bezpieczeństwa

Szczegółowy opis stosowanych środków zawiera załącznik „Środki techniczne i organizacyjne Atlo”. Atlo stosuje w szczególności:

1. szyfrowanie połączeń (HTTPS/TLS) i szyfrowanie bazy danych po stronie dostawcy;
2. odrębną bazę danych dla każdej szkoły;
3. dostęp do panelu Szkoły tylko po zalogowaniu; hasła przechowywane w postaci skrótów kryptograficznych;
4. logowanie rodziców jednorazowym kodem wysyłanym na e-mail albo kluczem dostępu (passkey — biometria lub PIN pozostają na urządzeniu rodzica, Atlo przechowuje wyłącznie klucz publiczny); ponowne potwierdzenie tożsamości przed zawarciem umowy; rodzic widzi wyłącznie dane zapisów przypisanych do swojego adresu e-mail;
5. maskowanie numerów PESEL / dowodu w wiadomościach e-mail i widokach dla rodzica;
6. codzienne kopie zapasowe;
7. ograniczenie dostępu personelu Atlo do danych do niezbędnego minimum;
8. automatyczne usuwanie danych o zdrowiu z kart kwalifikacyjnych 60 dni po turnusie;
9. regularne aktualizacje oprogramowania i testy automatyczne chroniące przed utratą danych;
10. logowanie dwuskładnikowe na kontach Atlo u dostawców infrastruktury; dane dostępowe do baz wyłącznie w zabezpieczonych zmiennych środowiskowych hostingu;
11. ograniczony zakres danych w panelu prowadzącego zajęcia (imię, inicjał nazwiska, wiek — bez danych kontaktowych i płatności);
12. ogólną treść powiadomień push (bez danych dziecka i treści wiadomości).

§ 7. Naruszenia ochrony danych

1. Atlo zgłasza Administratorowi stwierdzone naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, na adres e-mail wskazany w Umowie głównej.
2. Zgłoszenie zawiera, w miarę dostępnych informacji: opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe skutki, podjęte i proponowane środki.
3. Zgłoszenia do Prezesa UODO i zawiadomienia osób dokonuje Administrator.
4. Atlo niezwłocznie informuje Administratora o kontroli organu nadzorczego, postępowaniu administracyjnym lub sądowym albo decyzji dotyczącej przetwarzania powierzonych danych, chyba że prawo tego zabrania.
5. Żądanie osoby, której dane dotyczą, otrzymane bezpośrednio przez Atlo, Atlo przekazuje Administratorowi w ciągu 2 dni roboczych i nie odpowiada na nie samodzielnie, chyba że Administrator poleci inaczej.

§ 8. Kontrola

1. Administrator ma prawo kontroli przestrzegania niniejszej umowy, w pierwszej kolejności w formie pisemnych pytań, na które Atlo odpowiada w terminie 14 dni.
2. Kontrola na miejscu może odbyć się po zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku (chyba że doszło do naruszenia), w dniach i godzinach pracy Atlo, na koszt Administratora, z poszanowaniem tajemnicy innych klientów Atlo.

§ 9. Zakończenie powierzenia

1. Po zakończeniu Umowy głównej Atlo, przez 30 dni, umożliwia Administratorowi eksport danych (np. CSV).
2. Następnie Atlo usuwa dane z Systemu, a z kopii zapasowych w cyklu ich rotacji, nie później niż w ciągu kolejnych 30 dni, i na żądanie potwierdza usunięcie w formie dokumentowej — chyba że prawo nakazuje dalsze przechowywanie.

§ 10. Postanowienia końcowe

1. Odpowiedzialność Stron za naruszenie przepisów o ochronie danych określa RODO; ograniczenia odpowiedzialności z Umowy głównej nie wyłączają odpowiedzialności wobec osób, których dane dotyczą.
2. W sprawach przetwarzania danych osobowych niniejsza umowa ma pierwszeństwo przed pozostałymi dokumentami Umowy głównej.
3. Jeżeli którekolwiek postanowienie okaże się nieważne lub bezskuteczne, pozostałe pozostają w mocy.
4. W sprawach nieuregulowanych stosuje się RODO i przepisy prawa polskiego.