Informacja RODO (art. 13-14) Klubownik

Informacje ogólne o RODO

RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych) to unijne rozporządzenie, które reguluje przetwarzanie danych osobowych osób fizycznych w Unii Europejskiej. W Polsce RODO uzupełnia ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz.U. 2019 poz. 1781).

Niniejsza strona jest skróconym, przystępnym wyjaśnieniem zasad RODO stosowanych w serwisie Klubownik. Pełne informacje o przetwarzaniu danych znajdują się w:

Polityce Prywatności: https://www.klubownik.pl/privacy
Polityce Cookies: https://www.klubownik.pl/cookies
Umowie Powierzenia Przetwarzania Danych (DPA): https://www.klubownik.pl/dpa
Liście sub-procesorów: https://www.klubownik.pl/sub-processors

Klubownik stosuje zasady wynikające z art. 5 RODO:

Zgodność z prawem, rzetelność i przejrzystość – przetwarzamy dane legalnie, uczciwie i w sposób przejrzysty;
Ograniczenie celu – zbieramy dane tylko dla konkretnych, wyraźnych i prawnie uzasadnionych celów;
Minimalizacja danych – zbieramy tylko dane niezbędne do realizacji celu;
Prawidłowość – dbamy o aktualność danych;
Ograniczenie przechowywania – nie przechowujemy danych dłużej niż to konieczne;
Integralność i poufność – stosujemy odpowiednie środki bezpieczeństwa;
Rozliczalność – jesteśmy w stanie wykazać zgodność z powyższymi zasadami.

Kto jest administratorem Twoich danych?

W Klubowniku występują dwie różne role wynikające z RODO:

1. Klubownik jako Administrator (B2B)

Gdy zakładasz konto na platformie jako klient biznesowy (Klub, trener, administrator) – Twoje dane biznesowe (imię, nazwisko, e-mail, dane fakturowe, logi panelu) są administrowane przez Klubownik

2. Klubownik jako Podmiot Przetwarzający (procesor, art. 28 RODO)

Gdy Twoje dane zostały wprowadzone do systemu przez Klub, do którego należysz (jako Uczestnik, Opiekun, członek Kadry) – administratorem Twoich danych jest ten Klub, a Klubownik działa wyłącznie na jego zlecenie.
W takim przypadku w sprawach realizacji praw RODO (dostęp, usunięcie, sprostowanie) kontaktujesz się w pierwszej kolejności z Klubem (np. trenerem, administratorem klubu, działem członkowskim).

Kontakt do Administratora (Klubownik):

E-mail: kontakt@klubownik.pl
Kontakt ds. ochrony danych: iod@klubownik.pl
Adres prowadzenia działalności: Klubownik – Michał Szymanowski, ul. Chodzieska 29, 64-920 Piła
NIP: 8942712124
Telefon: +48 691 409 400

Klubownik świadczy Klubom wsparcie techniczne (eksport danych, funkcja anonimizacji, reagowanie na naruszenia) w zakresie realizacji obowiązków Klubu jako administratora.

Twoje prawa wynikające z RODO

Na mocy RODO przysługują Ci następujące prawa:

Prawo dostępu (art. 15) Masz prawo wiedzieć, jakie dane o Tobie przetwarzamy, w jakim celu, komu je udostępniamy i przez jaki czas będą przechowywane. Możesz też otrzymać bezpłatną kopię swoich danych.

Prawo do sprostowania (art. 16) Możesz żądać poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.

Prawo do usunięcia (art. 17, „prawo do bycia zapomnianym") Możesz żądać usunięcia swoich danych. Pamiętaj, że prawo to nie jest bezwzględne – niektóre dane musimy zachować ze względu na obowiązki prawne (np. faktury przechowujemy przez 5 lat ze względu na przepisy podatkowe).

Prawo do ograniczenia przetwarzania (art. 18) Możesz żądać ograniczenia przetwarzania w określonych sytuacjach (np. kwestionujesz prawidłowość danych, przetwarzanie jest niezgodne z prawem).

Prawo do przenoszenia danych (art. 20) Masz prawo otrzymać swoje dane w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (CSV, JSON) oraz żądać ich przesłania innemu administratorowi.

Prawo do sprzeciwu (art. 21) Możesz sprzeciwić się przetwarzaniu danych opartemu na prawnie uzasadnionym interesie. W przypadku marketingu bezpośredniego sprzeciw jest bezwarunkowy i natychmiast skuteczny.

Prawo do niepodlegania automatycznym decyzjom (art. 22) Masz prawo nie podlegać decyzjom opartym wyłącznie na automatycznym przetwarzaniu, w tym profilowaniu, które wywołuje skutki prawne. Klubownik nie stosuje takich decyzji.

Prawo do cofnięcia zgody (art. 7 ust. 3) Zgoda może być wycofana w każdej chwili bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem.

Prawo do skargi do organu nadzorczego (art. 77) Jeśli uważasz, że Twoje dane są przetwarzane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (dane kontaktowe w sekcji „Kontakt i organ nadzorczy").

Jak zrealizować swoje prawa?

Aby skorzystać z przysługujących Ci praw, możesz:

Wysłać e-mail na adres: kontakt@klubownik.pl (lub iod@klubownik.pl – dedykowany adres do spraw ochrony danych) z opisem żądania.
Użyć funkcji w aplikacji:
- Ustawienia → Konto → Pobierz dane – eksport wszystkich Twoich danych w formacie JSON/CSV.
- Ustawienia → Konto → Usuń konto – żądanie usunięcia konta i danych (z zachowaniem danych wymaganych przepisami prawa).
- Ustawienia → Zgody – zarządzanie zgodami marketingowymi i cookies.
Wysłać pismo na adres korespondencyjny: Klubownik – Michał Szymanowski, ul. Chodzieska 29, 64-920 Piła (z dopiskiem „Ochrona danych osobowych").
W przypadku danych w Klubie – skontaktuj się z administracją Twojego Klubu. Klub jako administrator danych jest odpowiedzialny za realizację Twoich praw w zakresie danych uczestnictwa.

Termin odpowiedzi. Na Twoje żądanie odpowiemy bez zbędnej zwłoki, nie później niż w ciągu miesiąca (art. 12 ust. 3 RODO). W skomplikowanych przypadkach termin może zostać przedłużony o kolejne 2 miesiące – z informacją o przyczynach przedłużenia przekazaną w ciągu miesiąca od otrzymania żądania.

Weryfikacja tożsamości. Przed realizacją żądania możemy poprosić Cię o dodatkowe informacje w celu potwierdzenia Twojej tożsamości (art. 12 ust. 6 RODO) – aby chronić dane przed nieuprawnionym dostępem.

Koszty. Realizacja praw jest bezpłatna. Możemy pobrać rozsądną opłatę lub odmówić działania w przypadku żądań ewidentnie nieuzasadnionych lub nadmiernych (np. powtarzających się bez uzasadnionej potrzeby) – art. 12 ust. 5 RODO.

Dane dzieci i ochrona małoletnich

Serwis Klubownik jest wykorzystywany przez Kluby sportowe, których Uczestnikami są w znacznej części dzieci i młodzież. Stosujemy wzmożone standardy ochrony.

Zgoda rodzica/opiekuna (art. 8 RODO). W Polsce zgoda na przetwarzanie danych osobowych dziecka poniżej 16 roku życia jest zgodna z prawem wyłącznie pod warunkiem wyrażenia jej lub zatwierdzenia przez osobę sprawującą władzę rodzicielską lub opiekę nad dzieckiem. Serwis udostępnia Klubom narzędzia do elektronicznego zbierania zgód Opiekunów.

Brak profilowania dzieci. Klubownik nie stosuje wobec dzieci zautomatyzowanego podejmowania decyzji ani profilowania wywołującego skutki prawne lub istotnie wpływającego na dziecko.

Ochrona małoletnich – Ustawa Kamilka. Zgodnie z ustawą z dnia 28 lipca 2023 r. o zmianie ustawy – Kodeks rodzinny i opiekuńczy oraz niektórych innych ustaw (Dz.U. 2023 poz. 1606), Kluby prowadzące zajęcia z udziałem małoletnich mają obowiązek wdrożenia Standardów Ochrony Małoletnich. Serwis Klubownik dostarcza Klubom dedykowany moduł:

konfiguracja Standardów Ochrony Małoletnich (tabela minor_protection_config),
poufny rejestr incydentów bezpieczeństwa (tabela minor_protection_incidents),
szablony umów dla małoletnich (minor_service_contract_template),
procedury raportowania i eskalacji.

Szczególna dbałość o bezpieczeństwo informacji. Dane dzieci przechowujemy z zastosowaniem dodatkowych mechanizmów kontroli dostępu (RLS – Row Level Security), pełnym audytem działań w panelu oraz szyfrowaniem.

Prawa dziecka. Dziecko od 13 r.ż. może samodzielnie realizować prawa RODO w zakresie, w jakim czynność nie wymaga reprezentacji Opiekuna na gruncie prawa cywilnego. W pozostałych przypadkach prawa realizuje Opiekun w imieniu dziecka.

Dane szczególnych kategorii (art. 9 RODO)

Niektóre Kluby (w zależności od specyfiki dyscypliny) mogą zbierać od Uczestników dane szczególnych kategorii w rozumieniu art. 9 RODO – w szczególności dane dotyczące zdrowia (alergie, choroby przewlekłe, przyjmowane leki, ograniczenia ruchowe, urazy).

Podstawa prawna (art. 9 ust. 2 RODO).

Wyraźna zgoda osoby lub jej Opiekuna (art. 9 ust. 2 lit. a) – podstawowy tryb.
Ochrona żywotnych interesów (art. 9 ust. 2 lit. c) – w sytuacjach awaryjnych (wypadek podczas treningu, utrata przytomności), gdy osoba nie jest w stanie wyrazić zgody.
Profilaktyka zdrowotna lub ocena zdolności do pracy/aktywności sportowej (art. 9 ust. 2 lit. h) – jeżeli dotyczy i wymagane jest przez Klub (np. orzeczenie o zdolności do uprawiania sportu).

Administratorem danych zdrowotnych jest Klub. Klubownik jako procesor przetwarza te dane wyłącznie w zakresie i celach wskazanych przez Klub, z zastosowaniem dodatkowych zabezpieczeń (ograniczony dostęp, pełen audyt, brak wywożenia do sub-procesorów AI).

Dobrowolność. Podanie danych zdrowotnych jest zawsze dobrowolne. Brak zgody nie może skutkować automatycznym wykluczeniem Uczestnika z zajęć; w uzasadnionych przypadkach Klub może jednak wymagać oświadczenia o braku przeciwwskazań zdrowotnych do uczestnictwa.

Wizerunek. Dane dotyczące wizerunku (zdjęcia z zajęć, zawodów) nie są same w sobie danymi szczególnych kategorii, ale ich publikacja wymaga zgody osoby (art. 81 ustawy o prawie autorskim i prawach pokrewnych) oraz – jeżeli publikacja jest oparta na RODO – odrębnej zgody (art. 6 ust. 1 lit. a) lub wykazania uzasadnionego interesu (art. 6 ust. 1 lit. f).

Dane biometryczne i genetyczne. Klubownik nie zbiera i nie przetwarza danych biometrycznych w celu jednoznacznej identyfikacji osoby ani danych genetycznych. Wszelkie funkcje o charakterze biometrycznym (np. rozpoznawanie twarzy) nie są dostępne w Serwisie.

Jak długo przechowujemy dane?

Dane przechowujemy nie dłużej, niż jest to niezbędne do realizacji celu (zasada ograniczenia przechowywania – art. 5 ust. 1 lit. e RODO). Po upływie okresu dane są usuwane lub anonimizowane.

Wybrane okresy (pełna tabela w Polityce Prywatności):

Aktywne Konto: przez czas jego posiadania + 30 dni na odzyskanie po usunięciu;
Faktury VAT: 5 lat od końca roku podatkowego (ustawa o rachunkowości);
KSeF – faktury ustrukturyzowane: 10 lat;
Logi logowania / audytu: 12 miesięcy;
Marketing (newsletter): do wycofania zgody;
Reklamacje: 3 lata od rozstrzygnięcia;
Roszczenia: do upływu terminu przedawnienia (3 lub 6 lat – art. 118 KC);
Dane Uczestników w Klubie: zgodnie z decyzją Klubu jako administratora (typowo 3 lata po zakończeniu uczestnictwa);
Dane zdrowotne: okres uczestnictwa + max 12 miesięcy;
Incydenty bezpieczeństwa małoletnich: co najmniej 5 lat;
Backups: 30 dni rotacji.

Transfer danych poza EOG

Podstawowa infrastruktura Serwisu (baza danych Supabase, hosting Vercel) jest zlokalizowana w Unii Europejskiej (Frankfurt, Paris). Niektórzy sub-procesorzy (Resend, Anthropic, Meta, Google) mają siedziby w USA – w takim przypadku transfer odbywa się na podstawie:

Standardowych Klauzul Umownych (SCC) przyjętych przez Komisję Europejską decyzją wykonawczą 2021/914 z dnia 4 czerwca 2021 r.,
w odpowiednich przypadkach – EU-US Data Privacy Framework (dla podmiotów certyfikowanych, decyzja KE 2023/1795 z dnia 10 lipca 2023 r.),
wewnętrznych umów powierzenia (DPA) zawierających dodatkowe zabezpieczenia.

Pełna lista sub-procesorów z lokalizacją i podstawą transferu jest dostępna pod adresem https://www.klubownik.pl/sub-processors.

AI Asystent (Anthropic). W przypadku korzystania z AI Asystenta dane przekazywane są do modeli Claude z zastrzeżeniem:

pseudonimizacji (usunięcie ID i pełnych imion/nazwisk przed wysłaniem),
zero-retention (Anthropic nie przechowuje przesłanych danych po zakończeniu sesji),
zakazu trenowania modeli na danych Klubowników (zapis w umowie z Anthropic).

Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO):

Szyfrowanie:

Wszystkie dane szyfrowane w tranzycie (TLS 1.3).
Szyfrowanie „at rest" w bazie danych (Supabase – AES-256).
Haszowanie haseł (bcrypt/scrypt).
Tokenizacja numerów kart (Stripe – PCI-DSS Level 1).

Kontrola dostępu:

Dostęp do danych tylko dla upoważnionych osób (zasada najmniejszych uprawnień).
Uwierzytelnianie dwuskładnikowe (2FA) dostępne dla Użytkowników.
Izolacja danych per-Klub na poziomie bazy (RLS – Row Level Security).
Kwartalny przegląd uprawnień.

Infrastruktura:

Podstawowe serwery w Unii Europejskiej (Frankfurt, Paryż).
Regularne kopie zapasowe (rotacja 30 dni).
Redundancja danych w różnych strefach dostępności.
Segregacja środowisk (production / staging / development).

Monitorowanie:

24/7 monitoring infrastruktury.
Automatyczne wykrywanie anomalii i podejrzanych działań.
Alerting dla administratorów bezpieczeństwa.

Organizacja:

Umowy powierzenia (DPA) z każdym sub-procesorem.
Rejestr czynności przetwarzania (art. 30 RODO).
Szkolenia personelu z ochrony danych.
Procedura reagowania na naruszenia (incident response).
Regularne audyty bezpieczeństwa i testy penetracyjne.

Naruszenia ochrony danych

W przypadku stwierdzenia naruszenia ochrony danych osobowych stosujemy procedurę zgodną z art. 33 i 34 RODO:

Zgłoszenie do PUODO – 72 godziny. Jeżeli Klubownik działa jako administrator, zgłaszamy naruszenie Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób fizycznych.

Notyfikacja Klubów (procesor – administrator). Jeżeli naruszenie dotyczy danych powierzonych przez Klub (Klubownik jako procesor), powiadamiamy Klub bez zbędnej zwłoki po stwierdzeniu naruszenia (art. 33 ust. 2 RODO) – tak, aby Klub mógł wywiązać się z obowiązku zgłoszenia do PUODO i powiadomienia osób.

Powiadomienie osób (wysokie ryzyko). Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osób fizycznych, powiadamiamy te osoby bez zbędnej zwłoki (art. 34 RODO) – z opisem zdarzenia, możliwych konsekwencji i środków zaradczych.

Dokumentacja naruszeń. Prowadzimy wewnętrzny rejestr wszystkich naruszeń (art. 33 ust. 5 RODO) – niezależnie od tego, czy podlegają zgłoszeniu PUODO.

Jak zgłosić podejrzenie naruszenia?

E-mail: iod@klubownik.pl (preferowane)
Ewentualnie: kontakt@klubownik.pl z dopiskiem „NARUSZENIE"

Każde zgłoszenie jest traktowane poufnie i rozpatrywane bez zbędnej zwłoki.

Kontakt i organ nadzorczy

Kontakt w sprawach ochrony danych osobowych. Administrator nie wyznaczył formalnego Inspektora Ochrony Danych (IOD) w rozumieniu art. 37 RODO, ponieważ aktualna skala i charakter przetwarzania nie rodzą takiego obowiązku. Wszelkie sprawy związane z ochroną danych osobowych obsługiwane są bezpośrednio przez Administratora.

Dane kontaktowe do spraw ochrony danych:

E-mail (dedykowany): iod@klubownik.pl
E-mail ogólny: kontakt@klubownik.pl
Telefon: +48 691 409 400
Adres korespondencyjny: Klubownik – Michał Szymanowski, ul. Chodzieska 29, 64-920 Piła (z dopiskiem „Ochrona danych osobowych")

Kiedy skontaktować się z nami w sprawach ochrony danych?

Pytania dotyczące przetwarzania Twoich danych
Żądania realizacji praw RODO (dostęp, usunięcie, sprostowanie, ograniczenie, przenoszenie, sprzeciw)
Zgłoszenia naruszeń ochrony danych
Wątpliwości dotyczące bezpieczeństwa danych
Wycofanie zgody
Skargi i reklamacje dotyczące przetwarzania

Organ nadzorczy – Prezes Urzędu Ochrony Danych Osobowych (PUODO):

Adres: ul. Stawki 2, 00-193 Warszawa
Telefon: 22 531 03 00
Infolinia: 606-950-000
E-mail: kancelaria@uodo.gov.pl
WWW: https://www.uodo.gov.pl
Formularz skargi: https://uodo.gov.pl/pl/p/skargi

Masz prawo wniesienia skargi do PUODO, jeżeli uważasz, że przetwarzanie Twoich danych narusza przepisy prawa.

Powiązane dokumenty:

Polityka Prywatności: https://www.klubownik.pl/privacy
Regulamin: https://www.klubownik.pl/regulamin
Polityka Cookies: https://www.klubownik.pl/cookies
Umowa Powierzenia Przetwarzania Danych (DPA): https://www.klubownik.pl/dpa
Lista sub-procesorów: https://www.klubownik.pl/sub-processors