Umowa powierzenia (art. 28 RODO)

§ 1 Przedmiot i czas trwania

Przedmiotem jest przetwarzanie danych osobowych w celu świadczenia zenyogi: hostowana strona studia, grafik, rezerwacje, lista oczekujących, administracja uczniami i nauczycielami, e-mail, sklep, wideo, challenge i powiązane płatności.

Czas trwania to okres korzystania ze zenyogi przez studio plus czas na usunięcie lub zwrot danych po zakończeniu usługi.

§ 2 Charakter i cel

Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie studia, aby studio mogło prowadzić stronę, sprzedawać zajęcia, prowadzić rezerwacje i pisać do uczniów.

Własne cele podmiotu przetwarzającego (np. rozliczenie konta studia w zenyogi) nie wchodzą w zakres tej umowy.

§ 3 Rodzaje danych i kategorie osób

Osoby, których dane dotyczą, i rodzaje danych są w załączniku A.

§ 4 Udokumentowane polecenia

Podmiot przetwarzający przetwarza dane tylko na udokumentowane polecenie administratora, w tym przy przekazaniu do państwa trzeciego, chyba że wymaga tego prawo Unii lub państwa członkowskiego.

Polecenia są przekazywane przez oprogramowanie, e-mailem na adres z noty prawnej albo w tej umowie. Jeśli podmiot przetwarzający uzna polecenie za niezgodne z prawem, niezwłocznie informuje studio.

§ 5 Poufność

Osoby mające dostęp do danych są zobowiązane do poufności i przetwarzają je tylko w zakresie niezbędnym do zadania.

§ 6 Bezpieczeństwo przetwarzania

Podmiot przetwarzający stosuje odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO. Aktualne środki są w załączniku B. O istotnym osłabieniu studio zostanie poinformowane.

§ 7 Dalsze podmioty przetwarzające

Studio udziela ogólnej zgody na podmioty z załącznika C.

zenyogi ogłasza nowego lub zastępczego podprocesora co najmniej 14 dni wcześniej na tej stronie lub e-mailem. Studio może sprzeciwić się z uzasadnionych względów ochrony danych. Brak sprzeciwu oznacza zgodę.

Z podprocesorami zawierane są umowy o tych samych obowiązkach. Stripe, PayPal i SumUp są używane tylko gdy studio je podłączy; obowiązują też ich własne DPA.

§ 8 Prawa osób, których dane dotyczą

Podmiot przetwarzający pomaga studiu w dostępie, sprostowaniu, usunięciu, ograniczeniu, przenoszeniu i sprzeciwie, korzystając z narzędzi produktu (eksport i usunięcie z konta studia), o ile istnieją.

§ 9 Pomoc przy art. 32–36

Podmiot przetwarzający wspiera studio w bezpieczeństwie, zgłaszaniu naruszeń, informowaniu osób i ocenach skutków, w zakresie informacji, które posiada.

§ 10 Naruszenie ochrony danych

Jeśli naruszenie dotyczy danych z tej umowy, podmiot przetwarzający zawiadamia studio bez zbędnej zwłoki po powzięciu wiadomości, z informacjami, które ma na potrzeby art. 33 i 34 RODO.

§ 11 Usunięcie i zwrot

Po zakończeniu przetwarzania podmiot przetwarzający usuwa dane studia albo je zwraca, według wyboru studia, chyba że prawo nakazuje przechowywanie.

W trakcie trwania umowy studio może eksportować i zlecać usunięcie profili z poziomu konta.

§ 12 Informacje i audyty

Podmiot przetwarzający udostępnia informacje potrzebne do wykazania przestrzegania umowy i umożliwia audyty, w tym inspekcje, przez studio lub wyznaczonego audytora.

Audyty są zapowiadane z wyprzedzeniem, nie zakłócają usługi w sposób nieproporcjonalny i odbywają się najwyżej raz w roku, chyba że jest konkretny powód (np. naruszenie). Zachowana jest poufność.

§ 13 Przekazania międzynarodowe

Podmiot przetwarzający ma siedzibę w Stanach Zjednoczonych. Podprocesorzy z załącznika C mogą przetwarzać dane także w USA lub innych państwach trzecich.

Przekazania opierają się na decyzji stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework, jeśli odbiorca jest certyfikowany) albo na standardowych klauzulach umownych Komisji (decyzja 2021/914), moduł 2 i/lub 3, plus środki uzupełniające w razie potrzeby.

Korzystając z zenyogi, studio poleca podmiotowi przetwarzającemu dokonywanie tych przekazań w zakresie potrzebnym do świadczenia usługi.

§ 14 Odpowiedzialność

Odpowiedzialność wynika z art. 82 RODO i prawa właściwego. Podmiot przetwarzający odpowiada wobec studia za szkody spowodowane przetwarzaniem sprzecznym z tą umową lub RODO, w zakresie znanej mu winy.

§ 15 Czas trwania i rozwiązanie

Umowa obowiązuje, dopóki studio korzysta z zenyogi, i kończy się wraz z umową o świadczenie usługi, bez kończenia obowiązków usunięcia, poufności i audytu, które z natury trwają dalej.

§ 16 Postanowienia końcowe

zenyogi publikuje zmiany na tej stronie lub e-mailem. Jeśli studio nie zgłosi sprzeciwu z powodów ochrony danych w ciągu 14 dni, obowiązuje nowa wersja.

Jeśli klauzula jest nieważna, reszta pozostaje w mocy. Obowiązuje RODO. Jeśli potrzebne jest uzupełniające prawo krajowe, dla studiów z siedzibą w UE lub EOG stosuje się prawo niemieckie.

Ta strona pokazuje umowę w wybranym języku. W razie rozbieżności dla studiów w Niemczech lub Austrii obowiązuje tekst niemiecki, w pozostałych przypadkach angielski.

Załącznik A — Przetwarzanie

Kategorie osób: uczniowie i inni klienci studia; nauczyciele i personel, których studio dodaje w zenyogi; kontakty alarmowe, jeśli studio je zapisuje.

Rodzaje danych: imię i nazwisko, e-mail, telefon, adres, data urodzenia, język, zgoda marketingowa i na przypomnienia, waiver, rezerwacje, lista oczekujących, obecność, karnety i zakupy, notatki studia, profile nauczycieli i status płatności. Numery kart zostają u podłączonego operatora płatności. Studio może też przechowywać zdjęcia lub filmy z osobami.

Załącznik B — Środki techniczne i organizacyjne

Podmiot przetwarzający utrzymuje co najmniej:

• Szyfrowanie w transporcie (HTTPS/TLS)
• Dostęp ograniczony do uwierzytelnionych kont studia; role studia i nauczycieli
• Rozdzielenie danych studiów przez businessId
• Szyfrowanie w spoczynku, jeśli oferują je dostawcy hostingu i bazy
• Regularne kopie zapasowe przez Convex
• Poufność osób z dostępem supportu
• Eksport i usuwanie profili z konta studia
• Logi bezpieczeństwa w zwykłym zakresie używanych usług

Załącznik C — Podprocesorzy

Lista na dzień 2026-08-25. Trackery marketingowe na zenyogi.io (Vercel Analytics lub Microsoft Clarity) nie przetwarzają danych uczniów studia i nie wchodzą w zakres tej umowy.

• Convex, Inc. — Baza danych, funkcje backendu i uwierzytelnianie. Miejsce: Stany Zjednoczone.
• Vercel Inc. — Hosting aplikacji i CDN. Miejsce: Stany Zjednoczone / globalny edge.
• Cloudflare, Inc. — Magazyn obiektów (R2) na zdjęcia i wideo. Miejsce: Stany Zjednoczone / sieć Cloudflare.
• Resend, Inc. — E-mail transakcyjny i studia. Miejsce: Stany Zjednoczone.
• Stripe, Inc. / Stripe Payments Europe, Ltd. — Płatności kartą, gdy studio połączy Stripe. Miejsce: UE / Stany Zjednoczone. Tylko gdy studio korzysta ze Stripe. Obowiązuje też DPA Stripe.
• PayPal (Europe) S.à r.l. et Cie, S.C.A. / PayPal, Inc. — Płatności, gdy studio połączy PayPal. Miejsce: UE / Stany Zjednoczone. Tylko gdy studio korzysta z PayPal. Obowiązuje też DPA PayPal.
• SumUp Limited — Płatności, gdy studio połączy SumUp. Miejsce: UE / Zjednoczone Królestwo. Tylko gdy platforma włączyła SumUp i studio z niego korzysta.