Umowa powierzenia przetwarzania danych osobowych (DPA)

Wersja: 2026-08-01

Zawierana pomiędzy:

• Administratorem - Specjalistą (trenerem/dietetykiem) zakładającym gabinet w Aplikacji Tenly, oraz
• Podmiotem przetwarzającym (Procesorem) - Tadeuszem Wodziakiem-Kałwakiem prowadzącym jednoosobową działalność gospodarczą wpisaną do Centralnej Ewidencji i Informacji o Działalności Gospodarczej, NIP: 9562372591, ul. Grasera 4C/8, 87-100 Toruń,

z chwilą zaakceptowania niniejszej umowy w Aplikacji Tenly (art. 28 ust. 9 RODO - forma elektroniczna).

§ 1. Przedmiot i charakter przetwarzania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych swoich podopiecznych (dalej: „Podopieczni”) w związku z korzystaniem przez Administratora z Aplikacji Tenly udostępnianej przez Procesora, a Procesor zobowiązuje się do przetwarzania tych danych wyłącznie w zakresie i celu określonym niniejszą umową, zgodnie z art. 28 RODO oraz przepisami krajowymi dotyczącymi powierzenia przetwarzania danych osobowych.
2. Cel przetwarzania: celem przetwarzania danych osobowych przez Procesora jest techniczne umożliwienie Administratorowi korzystania z Aplikacji do komunikacji z Podopiecznymi, prowadzenia dokumentacji współpracy trenerskiej/dietetycznej, monitorowania postępów i zaangażowania podopiecznych, przechowywania informacji wprowadzanych przez Administratora lub Podopiecznych w ramach świadczonych przez Administratora usług oraz korzystania z funkcji wspierających (powiadomienia, podsumowania AI).
3. Charakter przetwarzania: przechowywanie, porządkowanie, udostępnianie, analiza na potrzeby funkcji Aplikacji, usuwanie.
4. Procesor nie ustala samodzielnie celów przetwarzania danych osobowych Podopiecznych; cele te określa Administrator jako samodzielny administrator danych swoich Podopiecznych.

§ 2. Czas trwania

Powierzenie obowiązuje przez czas trwania umowy głównej, tj. posiadania przez Administratora konta w Aplikacji Tenly. Rozwiązanie umowy następuje z chwilą trwałego usunięcia konta, zgodnie z § 8 Umowy.

§ 3. Rodzaj danych i kategorie osób

1. Kategorie osób: podopieczni Administratora.
2. Rodzaje danych: dane identyfikacyjne i kontaktowe (imię i nazwisko, e-mail, telefon), dane o współpracy (terminy treningów/spotkań, dokonane i oczekujące płatności, pakiety, notatki), treść komunikacji (wiadomości tekstowe, głosowe i zdjęcia), dane dotyczące aktywności fizycznej, żywienia, dane szczególnej kategorii - dane dotyczące zdrowia (art. 9 RODO), w szczególności: masa i pomiary ciała, odpowiedzi check-inów (np. samopoczucie, sen, ból), zdjęcia sylwetki, a także inne informacje wprowadzane przez Administratora i Podopiecznego do Aplikacji w związku ze świadczonymi przez Administratora usługami.
3. Strony przyjmują, że przetwarzanie danych szczególnej kategorii - danych dotyczących zdrowia - przez Administratora wymaga spełnienia przesłanek z art. 9 ust. 2 RODO, w szczególności posiadania wyraźnej zgody Podopiecznego lub innej podstawy dopuszczającej przetwarzanie danych dotyczących zdrowia.
4. Administrator zapewnia, że dysponuje podstawą prawną przetwarzania danych osobowych podopiecznych, w tym danych dotyczących zdrowia.
5. Administrator przyjmuje do wiadomości i akceptuje, że Procesor nie jest administratorem danych osobowych Podopiecznych w zakresie ich relacji ze Specjalistą (Administratorem) oraz nie zapewnia Administratorowi podstawy prawnej przetwarzania tych danych, w szczególności nie zbiera zgód Podopiecznych na przetwarzanie danych zdrowotnych ani nie udostępnia mechanizmów uzyskiwania takich zgód. Obowiązek zapewnienia legalności przetwarzania spoczywa wyłącznie na Administratorze.

§ 4. Obowiązki Procesora

Procesor zobowiązuje się:

1. przetwarzać dane wyłącznie na udokumentowane polecenie Administratora - za które uznaje się korzystanie z funkcji aplikacji oraz jej konfigurację przez Administratora - chyba że obowiązek przetwarzania nakłada prawo UE lub państwa członkowskiego;
2. zapewnić, by osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy;
3. wdrożyć odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO, w celu zapewnienia poziomu bezpieczeństwa odpowiadającego ryzyku, jakie wiąże się z przetwarzaniem danych Podopiecznych;
4. przestrzegać warunków korzystania z usług innych podmiotów przetwarzających, o których mowa w art. 28 ust. 2 i 4 RODO;
5. pomagać Administratorowi, w miarę możliwości i poprzez funkcje aplikacji, wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III RODO - w tym przez wbudowany eksport danych i usuwanie konta;
6. pomagać Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO;
7. zawiadamiać Administratora o stwierdzonym naruszeniu ochrony danych osobowych dotyczącym powierzonych danych bez zbędnej zwłoki, przekazując informacje niezbędne Administratorowi do wykonania obowiązków z art. 33 RODO, w zakresie posiadanym przez Procesora;
8. po zakończeniu świadczenia usług związanych z przetwarzaniem, zależnie od decyzji Administratora, usunąć lub zwrócić mu wszelkie dane osobowe oraz usunąć wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych;
9. udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwiać audyty, zgodnie z § 7 Umowy.

§ 5. Podpowierzenie

1. Administrator wyraża zgodę na korzystanie przez Procesora z dalszych podmiotów przetwarzających, w szczególności dostawców usług chmurowych, baz danych, hostingu, interfejsów API, narzędzi komunikacji elektronicznej (przesyłanie wiadomości, powiadomienia push), dostawców usług funkcji sztucznej inteligencji (AI). Wykaz dalszych podmiotów przetwarzających stanowi Załącznik nr 1 do Umowy.
2. W przypadku planowanej zmiany w zakresie dodania lub zastąpienia dalszego podmiotu przetwarzającego Procesor poinformuje o tym Administratora z co najmniej 7-dniowym wyprzedzeniem, dając mu możliwość wyrażenia sprzeciwu. Sprzeciw uniemożliwiający świadczenie usługi uprawnia każdą ze stron do zakończenia umowy (usunięcia konta).
3. Procesor nakłada na dalsze podmioty przetwarzające te same obowiązki ochrony danych, jakie wynikają z niniejszej umowy.
4. Aplikacja umożliwia Administratorowi włączenie funkcji sztucznej inteligencji (AI), polegających na generowaniu na jego polecenie: podsumowań check-inów Podopiecznych, szkiców wiadomości do Podopiecznych, okresowych podsumowań dla Administratora oraz szkiców planów treningowych/żywieniowych. W ramach tych funkcji treści wprowadzone do Aplikacji - w zakresie niezbędnym do wykonania danej funkcji - są przekazywane dostawcy usług AI wskazanemu w Załączniku nr 1 jako dalszemu podmiotowi przetwarzającemu. Dane te nie są wykorzystywane do trenowania modeli AI. Wynik działania funkcji AI ma zawsze charakter szkicu lub podpowiedzi dla Administratora i nie jest kierowany do Podopiecznego bez zatwierdzenia przez Administratora. Administrator nie powinien wprowadzać do pól poleceń funkcji AI danych osobowych wykraczających poza niezbędne do wygenerowania szkicu. Dostawca (Procesor) nie ponosi odpowiedzialności za treści wygenerowane przez funkcje AI; odpowiedzialność za ich wykorzystanie, w tym za treści przekazane Podopiecznemu, ponosi Administrator.

§ 6. Transfery poza EOG

Przetwarzanie z udziałem podmiotów z Załącznika nr 1 może wiązać się z przekazaniem danych poza Europejski Obszar Gospodarczy, tj. do Stanów Zjednoczonych Ameryki. Podstawą przekazania danych są standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską, stanowiące odpowiednie zabezpieczenia w rozumieniu art. 46 RODO, a tam gdzie ma to zastosowanie - certyfikacja EU-US Data Privacy Framework (art. 45 RODO). Informacje o zastosowanych mechanizmach przekazywania danych oraz o możliwości uzyskania kopii odpowiednich zabezpieczeń lub informacji o miejscu ich udostępnienia są dostępne dla Administratora na jego żądanie.

§ 7. Audyty

1. Administrator ma prawo weryfikować przestrzeganie niniejszej Umowy przez Procesora, w szczególności poprzez:
   • żądanie udzielenia informacji oraz przedstawienia dokumentów dotyczących sposobu przetwarzania danych osobowych, w tym stosowanych środków technicznych i organizacyjnych;
   • weryfikację stosowanych procedur bezpieczeństwa oraz zasad przetwarzania danych;
   • przeprowadzanie audytów, w formie zdalnej, w uzgodnionym terminie.
2. Procesor może spełnić obowiązek, o którym mowa w ust. 1, poprzez udostępnienie aktualnych raportów z audytów lub innych niezależnych potwierdzeń spełnienia wymagań w zakresie ochrony danych i bezpieczeństwa informacji, o ile odpowiadają one zakresowi niniejszej Umowy.
3. Audyty prowadzone przez Administratora:
   • odbywają się w sposób niezakłócający działalności Procesora, z co najmniej 14-dniowym wyprzedzeniem;
   • są przeprowadzane z zachowaniem poufności oraz z poszanowaniem tajemnicy przedsiębiorstwa Procesora;
   • obejmują wyłącznie zakres niezbędny do weryfikacji zgodności przetwarzania danych z niniejszą Umową i przepisami o ochronie danych osobowych.
4. Procesor zobowiązuje się współpracować z Administratorem w zakresie niezbędnym do przeprowadzenia audytu.

§ 8. Zakończenie przetwarzania

1. Usunięcie konta Administratora w Aplikacji przez Administratora jest równoznaczne z udzieleniem Procesorowi udokumentowanego polecenia usunięcia wszystkich powierzonych danych osobowych Podopiecznych, przetwarzanych przez Procesora w imieniu Administratora w ramach Aplikacji, z zastrzeżeniem ust. 3–4.
2. Z chwilą usunięcia konta Administratora konto jest niezwłocznie dezaktywowane, a dostęp Administratora do Aplikacji oraz danych zostaje zablokowany. Od tego momentu dane osobowe Podopiecznych nie są już wykorzystywane przez Procesora do żadnych celów innych niż opisane w ust. 3–4.
3. W celu zabezpieczenia Administratora i Podopiecznych przed niezamierzonym lub omyłkowym usunięciem konta oraz zapewnienia możliwości przywrócenia konta wraz z danymi, Procesor utrzymuje dane osobowe związane z usuniętym kontem przez okres 30 dni od dnia usunięcia konta („okres przywracania”). W tym okresie dane są przechowywane wyłącznie w celu technicznego umożliwienia przywrócenia konta na żądanie Administratora. W okresie przywracania Administrator może samodzielnie przywrócić konto: po zalogowaniu Aplikacja wyświetla wyłącznie ekran przywrócenia konta, bez dostępu do danych, a przywrócenie następuje jednym potwierdzeniem i zdejmuje blokadę dostępu. Do chwili przywrócenia albo trwałego usunięcia danych dostęp Administratora do danych pozostaje zablokowany.
4. Po upływie okresu przywracania, o którym mowa w ust. 3, Procesor trwale usuwa wszystkie dane osobowe Podopiecznych powierzone mu przez Administratora z systemów produkcyjnych Aplikacji, które były przetwarzane w związku z kontem Administratora, z wyjątkiem danych, których dalsze przechowywanie jest wymagane przez bezwzględnie obowiązujące przepisy prawa.
5. Po dokonaniu trwałego usunięcia danych, o którym mowa w ust. 4, Procesor może zachować wyłącznie zanonimizowane dane techniczne i zdarzenia systemowe, które nie stanowią danych osobowych w rozumieniu RODO, oraz zapis faktu i daty usunięcia konta Administratora, niezbędny dla celów dowodowych (rozliczalność) oraz dokumentowania spełnienia obowiązku usunięcia danych.
6. Administrator może, przed upływem okresu, o którym mowa w ust. 3, wystąpić do Procesora z wnioskiem o zwrot danych osobowych Podopiecznych w ustrukturyzowanym formacie. Z chwilą przekazania danych Administratorowi Procesor przestaje być uprawniony do ich wykorzystywania i usuwa je zgodnie z ust. 4.
7. Usunięcie konta przez Podopiecznego w Aplikacji nie stanowi polecenia usunięcia danych powierzonych - skutkuje usunięciem danych logowania Podopiecznego (których administratorem jest Dostawca) oraz zakończeniem korzystania z Aplikacji przez Podopiecznego. Dane współpracy pozostają w Aplikacji do dyspozycji Administratora; żądania ich usunięcia Podopieczny kieruje do Administratora, a Procesor wykonuje udokumentowane polecenie Administratora w tym zakresie.

§ 9. Odpowiedzialność

Strony odpowiadają zgodnie z art. 82 RODO. Procesor odpowiada za szkody spowodowane przetwarzaniem wyłącznie, gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem poleceniami Administratora.

Załącznik nr 1 - Lista dalszych podmiotów przetwarzających (subprocesorzy)