Polityka prywatności Strefy Rodzica i klauzula informacyjna

1. Administrator i kontakt

Administratorem danych jest Fundacja Decimus Kraków, Sygneczów 339, 32-020 Wieliczka, KRS 0001210850, NIP 6832151681, REGON 543482174. W sprawach prywatności i realizacji praw należy kontaktować się przez [email protected], tel. +48 880 826 377.

2. Zakres danych

• dane rodzica lub opiekuna: imię, nazwisko, adres, telefon, e-mail, dane konta i relacja z dzieckiem
• dane uczestnika: dane identyfikacyjne, PESEL, data urodzenia, adres, szkoła, grupa, dane sportowe, numery klubowe, strój i informacje organizacyjne
• dane o obecności, płatnościach, zamówieniach, ubezpieczeniu, dokumentach i zgodach
• dane zdrowotne przekazane w niezbędnym zakresie, w tym badania, przeciwwskazania i informacje o niepełnosprawności. Dane zdrowotne są zbierane wyłącznie w zakresie niezbędnym i wyłącznie na podstawie odrębnej zgody
• zdjęcie profilowe używane wewnętrznie oraz wizerunek przeznaczony do publikacji tylko na podstawie odrębnej zgody
• adres IP, informacje o urządzeniu, dzienniki logowania i zdarzeń bezpieczeństwa, ustawienia MFA i identyfikatory NFC bez zapisywania danych biometrycznych

3. Cele i podstawy prawne

• organizacja zajęć, konto, grafik, komunikacja, rozliczenia i sklep - art. 6 ust. 1 lit. b RODO
• obowiązki księgowe, podatkowe i inne obowiązki ustawowe - art. 6 ust. 1 lit. c RODO
• bezpieczeństwo systemu, dochodzenie roszczeń, organizacja klubu i wewnętrzna identyfikacja uczestników - art. 6 ust. 1 lit. f RODO
• dane zdrowotne - wyraźna, odrębna zgoda na podstawie art. 9 ust. 2 lit. a RODO; w rzeczywistym nagłym przypadku również ochrona żywotnych interesów zgodnie z art. 9 ust. 2 lit. c RODO
• publikacja wizerunku - odrębna zgoda wymagana przez przepisy dotyczące rozpowszechniania wizerunku

4. Źródła danych

Dane pochodzą od rodzica, opiekuna, uczestnika lub personelu klubu. Część danych została przeniesiona z używanego wcześniej systemu SportsManago w celu zapewnienia ciągłości obsługi klubu. Dane dotyczące płatności mogą pochodzić od Przelewy24, a informacje o rozliczeniach od księgowości.

5. Odbiorcy

Dostęp otrzymują wyłącznie upoważnione osoby w zakresie swojej roli. Dane mogą być powierzane dostawcom hostingu, poczty, utrzymania IT, kopii zapasowych i księgowości. W zakresie płatności dane otrzyma PayPro S.A. jako operator Przelewy24. Dane mogą zostać udostępnione organom publicznym, gdy wymaga tego prawo.

6. Przekazywanie poza EOG

Administrator nie planuje przekazywania danych Strefy Rodzica poza Europejski Obszar Gospodarczy. Jeżeli w przyszłości zostanie użyta usługa powodująca taki transfer, przed jej uruchomieniem zostanie zastosowana właściwa podstawa prawna i zaktualizowana informacja.

7. Okresy przechowywania

• dane konta i uczestnictwa - przez czas współpracy, a następnie do upływu właściwych terminów roszczeń
• dokumentacja księgowa i płatnicza - przez okres wymagany przepisami podatkowymi i rachunkowymi
• dane zdrowotne - nie dłużej niż są niezbędne dla bezpiecznej organizacji zajęć albo do wycofania zgody, z zachowaniem danych wymaganych do obrony roszczeń
• zdjęcie profilowe - do zastąpienia, usunięcia konta lub ustania potrzeby identyfikacji
• dzienniki bezpieczeństwa - zasadniczo do 12 miesięcy, dłużej wyłącznie w razie incydentu lub roszczenia
• dowody zgód i wersje dokumentów - przez okres przetwarzania oraz czas potrzebny do wykazania zgodności

8. Prawa osób

W zależności od podstawy przysługuje prawo dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia danych, sprzeciwu oraz wycofania zgody bez wpływu na wcześniejsze przetwarzanie. Można złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Przed realizacją żądania administrator może zweryfikować tożsamość.

9. Wymagane informacje i zgody

Dane potrzebne do zawarcia i wykonania umowy, bezpieczeństwa zajęć oraz obowiązków prawnych są konieczne do udziału w zajęciach lub korzystania z danej usługi.

Zgody na przetwarzanie danych zdrowotnych oraz na rozpowszechnianie wizerunku są odrębne i w bieżącej konfiguracji klubu wymagane do aktywacji oraz korzystania z konta Strefy Rodzica.

Brak informacji niezbędnej do bezpiecznego prowadzenia zajęć może uniemożliwić udział w konkretnych treningach lub zawodach. Decyzja w takiej sytuacji nie jest podejmowana automatycznie – klub kontaktuje się z rodzicem i wspólnie ustala warunki.

10. Dzieci i automatyczne decyzje

Dane dzieci podlegają szczególnej ochronie. Konto zakłada rodzic lub uprawniony opiekun; klub nie kieruje do dzieci profilowania ani marketingu behawioralnego. System nie podejmuje decyzji wywołujących skutki prawne wyłącznie automatycznie.

11. Bezpieczeństwo

Stosowane są szyfrowanie transmisji, role i minimalne uprawnienia, bezpieczne haszowanie haseł, opcjonalne MFA, dzienniki bezpieczeństwa, aktualizacje, kopie zapasowe i procedury reagowania na incydenty. Dane szczególnej kategorii są dostępne wyłącznie osobom, które potrzebują ich do swoich obowiązków.