Obowiązuje od 13.10.2026.
Umowa zawarta przez akceptację w Panelu Klienta pomiędzy Klientem korzystającym z usługi Kitzo (dalej: Administrator) a SAKIEWKA PIOTR BĄK, Otwocka 24, 05-430 Celestynów, NIP 5321995578, REGON 386257091, wpisany do CEIDG (dalej: Przetwarzający), na podstawie art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).
§ 1. Przedmiot i czas przetwarzania
- Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usługi Kitzo na podstawie Regulaminu usługi Kitzo (dalej: Usługa).
- Przetwarzanie trwa przez czas trwania umowy o świadczenie Usługi oraz okres przewidziany w § 11 ust. 4 Regulaminu na pobranie danych i ich usunięcie.
§ 2. Charakter, cel, rodzaj danych i kategorie osób
- Charakter przetwarzania: przechowywanie, porządkowanie, wyświetlanie, przesyłanie e-mailem, tworzenie kopii zapasowych i usuwanie danych w systemach Usługi.
- Cel: świadczenie Usługi, w tym prowadzenie kont Użytkowników, list klubów, ofert, zamówień i statystyk, wysyłka powiadomień e-mail oraz obsługa zgłoszeń błędów wysłanych przez Użytkowników przyciskiem „Pomoc” (opis i zrzut ekranu trafiają do Przetwarzającego wyłącznie w celu usunięcia błędu).
- Kategorie osób: pracownicy i współpracownicy Administratora (Użytkownicy), osoby kontaktowe klubów i innych odbiorców ofert, osoby składające zamówienia, zawodnicy i inne osoby wskazane w zamówieniach, w tym osoby małoletnie, osoby, których wizerunek znajduje się w zdjęciach wprowadzonych przez Administratora.
- Rodzaje danych: imię i nazwisko, funkcja, numer telefonu, adres e-mail, adres dostawy, dane klubu, numer i rozmiar zawodnika, wizerunek (zdjęcia), dane logowania i aktywności w Usłudze, adres IP.
- Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO). Administrator nie wprowadza takich danych do Usługi.
§ 3. Obowiązki Przetwarzającego
Przetwarzający:
- przetwarza dane wyłącznie na udokumentowane polecenie Administratora, za które uważa się Regulamin, tę umowę i działania Administratora w Usłudze; informuje Administratora, jeżeli jego zdaniem polecenie narusza przepisy;
- zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności;
- stosuje środki bezpieczeństwa, o których mowa w § 4;
- przestrzega warunków korzystania z usług innych podmiotów przetwarzających, o których mowa w § 5;
- pomaga Administratorowi, w miarę możliwości, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, oraz z obowiązków z art. 32-36 RODO;
- zgłasza Administratorowi stwierdzone naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, wraz z informacjami wymaganymi przez art. 33 ust. 3 RODO;
- po zakończeniu świadczenia Usługi usuwa dane albo umożliwia ich pobranie, zgodnie z § 11 ust. 4 Regulaminu, chyba że przepisy nakazują ich dalsze przechowywanie;
- udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty, o których mowa w § 6.
§ 4. Środki bezpieczeństwa
Przetwarzający stosuje w szczególności:
- szyfrowanie transmisji danych (HTTPS/TLS);
- logiczne oddzielenie danych każdego klienta i kontrolę dostępu do danych na serwerze przy każdym żądaniu;
- przechowywanie haseł wyłącznie w postaci skrótów kryptograficznych, ograniczenie prób logowania, wylogowanie po zablokowaniu konta;
- dostęp do Panelu Administratora przez Przetwarzającego wyłącznie w trybie podglądu do odczytu, za zgodą Administratora i z zapisem w dzienniku widocznym dla Administratora;
- regularne kopie zapasowe i zabezpieczenia infrastruktury dostawcy chmury;
- zapis działań administracyjnych Przetwarzającego w dzienniku.
§ 5. Dalsze powierzenie
- Administrator udziela ogólnej zgody na korzystanie przez Przetwarzającego z usług innych podmiotów przetwarzających. Na dzień wejścia umowy w życie są to:
- Cloudflare, Inc. (USA) i podmioty z jej grupy: serwery, baza danych, przechowywanie plików, wysyłka e-mail;
- OpenRouter, Inc. (USA) oraz dostawcy modeli, do których przekazuje zapytania (np. OpenAI, Google): tworzenie zdjęć w Galerii AI, wyłącznie gdy Użytkownik z niej korzysta; przekazywane są obraz produktu z nadrukami i opis sceny.
- Przekazywanie danych do państw trzecich odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) lub standardowych klauzul umownych.
- O zamiarze zmiany lub dodania podmiotu przetwarzającego Przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może wyrazić sprzeciw; w takim przypadku może wypowiedzieć umowę o świadczenie Usługi ze skutkiem natychmiastowym.
- Przetwarzający nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych odpowiadające tej umowie.
§ 6. Audyty
- Administrator może przeprowadzić audyt przestrzegania tej umowy nie częściej niż raz w roku, po zawiadomieniu Przetwarzającego z co najmniej 14-dniowym wyprzedzeniem, w dni robocze, w sposób nieutrudniający działalności Przetwarzającego i bez dostępu do danych innych klientów.
- Audyt może polegać przede wszystkim na udzieleniu przez Przetwarzającego pisemnych wyjaśnień i dokumentów. Koszty audytu ponosi Administrator.
§ 7. Postanowienia końcowe
- Odpowiedzialność stron określa Regulamin i przepisy RODO.
- Umowa przestaje obowiązywać z chwilą zakończenia przetwarzania danych, o którym mowa w § 1 ust. 2.
- W sprawach nieuregulowanych stosuje się Regulamin, RODO i przepisy prawa polskiego.