FitFormiq Fitness Assistant
← Powrót PL EN

Umowa powierzenia przetwarzania danych FitFormiq

Wersja 1.1, obowiązuje od 25 lipca 2026 r.

§ 1. Strony i zawarcie

  1. Administratorem jest przedsiębiorca wskazany w Zamówieniu FitFormiq, dalej „Administrator” lub „Trener”.
  2. Podmiotem przetwarzającym jest Quanmedia Sp. z o.o., ul. Żwirki 17, 90-539 Łódź, KRS 0000539599, NIP 7272794495, dalej „Procesor” lub „Operator”.
  3. Umowa zostaje zawarta elektronicznie z chwilą akceptacji przy Zamówieniu lub aktywacji usługi i stanowi część umowy o Platformę. Ma pierwszeństwo przed Regulaminem w sprawach powierzenia danych.
  4. System utrwala dowód zawarcia: co najmniej identyfikator Administratora i użytkownika akceptującego, wersję oraz skrót (hash) treści dokumentu, brzmienie oświadczenia, znacznik czasu, kanał i źródło akceptacji. Kopia lub trwały odnośnik do przyjętej wersji jest udostępniany Administratorowi. Akceptacja stanowi udokumentowane polecenie przetwarzania i nie zastępuje podstawy prawnej z art. 6 lub art. 9 RODO, którą wskazuje Administrator.

§ 2. Przedmiot powierzenia

  1. Administrator powierza Procesorowi dane osobowe wyłącznie w celu hostingu i świadczenia Platformy FitFormiq, wsparcia, zabezpieczenia, kopii zapasowych, eksportu, usuwania oraz obsługi funkcji zleconych przez Administratora.
  2. Czas przetwarzania odpowiada okresowi umowy o Platformę, okresowi zmiany dostawcy i pobierania danych oraz zwykłemu cyklowi usuwania zabezpieczonych kopii zapasowych, chyba że prawo wymaga dłuższego przechowania.
  3. Kategorie osób obejmują Podopiecznych i ich przedstawicieli, klientów i nabywców Produktów Administratora, członków zespołu, trenerów, instruktorów i inne osoby, których dane Administrator zgodnie z prawem wprowadzi do Platformy.
  4. Kategorie danych obejmują dane identyfikacyjne, kontaktowe i konta, wizerunek, plany treningowe i dietetyczne, zadania, aktywności, pomiary, postępy, harmonogramy, komunikację, zamówienia, dane techniczne oraz dane dotyczące zdrowia i inne dane szczególnej kategorii, jeżeli Administrator zdecyduje o ich zgodnym z prawem wprowadzeniu.
  5. Operacje obejmują zbieranie, utrwalanie, organizowanie, przechowywanie, dopasowywanie, udostępnianie upoważnionym użytkownikom, przesyłanie, ograniczanie, eksport, tworzenie kopii i usuwanie.

§ 3. Instrukcje i obowiązki Administratora

  1. Procesor działa wyłącznie na udokumentowane polecenie Administratora, którym jest Umowa, Regulamin, konfiguracja Konta oraz zgodne z umową dyspozycje osób uprawnionych.
  2. Jeżeli polecenie narusza RODO lub inne prawo ochrony danych, Procesor informuje Administratora i może wstrzymać jego wykonanie do wyjaśnienia.
  3. Administrator odpowiada za legalność, rzetelność i minimalizację danych, podstawy z art. 6 i 9 RODO, obowiązki informacyjne, prawa osób, okresy przechowania, uprawnienia użytkowników oraz ocenę, czy Platforma jest odpowiednia do planowanego przetwarzania.
  4. Administrator nie zleca przetwarzania danych, których użycie jest zabronione, ani danych wykraczających poza uzgodniony cel. Zapewnia też wymaganą zgodę przedstawiciela ustawowego przy danych małoletnich.

§ 4. Obowiązki Procesora

  1. Procesor zapewnia, aby osoby dopuszczone do danych były upoważnione i zobowiązane do poufności.
  2. Procesor stosuje środki techniczne i organizacyjne adekwatne do ryzyka.
  3. Procesor prowadzi wymagane prawem rejestry i udostępnia informacje konieczne do wykazania zgodności z art. 28 RODO.
  4. Procesor pomaga Administratorowi, z uwzględnieniem charakteru usługi i dostępnych informacji, w realizacji praw osób, obowiązków bezpieczeństwa, oceny skutków, konsultacji i zgłoszeń naruszeń.
  5. Procesor niezwłocznie przekazuje Administratorowi żądanie osoby dotyczące danych powierzonych i nie odpowiada merytorycznie bez instrukcji, chyba że wymaga tego prawo.
  6. Po zakończeniu usługi Procesor zwraca lub usuwa dane zgodnie z wyborem Administratora, Regulaminem i prawem.
  7. Procesor może przetwarzać dane bez instrukcji, jeżeli wymaga tego prawo Unii lub państwa członkowskiego. O takim obowiązku informuje Administratora przed rozpoczęciem, chyba że prawo tego zabrania.
  8. Pomoc wykraczająca poza standardowe funkcje i obowiązki Procesora może być odpłatna według zaakceptowanej wyceny, jeżeli potrzeba nie wynika z naruszenia po stronie Procesora.

§ 5. Bezpieczeństwo i naruszenia

  1. Zależnie od ryzyka Procesor stosuje w szczególności szyfrowanie transmisji, bezpieczne haszowanie haseł, kontrolę dostępu i role, zasadę minimalnych uprawnień, kopie zapasowe, aktualizacje, rejestrowanie zdarzeń, ochronę sieci i procedury reagowania oraz odtwarzania dostępności.
  2. Administrator konfiguruje role, chroni dane logowania, aktualizuje listę użytkowników i zgłasza incydenty bez zbędnej zwłoki.
  3. Po stwierdzeniu naruszenia danych powierzonych Procesor zawiadamia Administratora bez zbędnej zwłoki, w miarę możliwości w ciągu 48 godzin, podając dostępne informacje wymagane przez art. 33 ust. 3 RODO. Informacje mogą być przekazywane etapami.
  4. Procesor podejmuje rozsądne działania ograniczające skutki. Zawiadomienie nie oznacza uznania winy ani odpowiedzialności. O zgłoszeniu organowi lub osobom decyduje Administrator, chyba że obowiązek ciąży bezpośrednio na Procesorze.

§ 6. Dalsi przetwarzający i transfery

  1. Administrator udziela ogólnej zgody na korzystanie z dalszych przetwarzających potrzebnych do hostingu, poczty transakcyjnej, kopii zapasowych, monitoringu, wsparcia i infrastruktury IT.
  2. Aktualna imienna lista dalszych przetwarzających, ich funkcje i państwa przetwarzania jest udostępniana Administratorowi w Panelu lub na żądanie. Na dzień wejścia w życie obejmuje ona w szczególności: Quanmedia Sp. z o.o. (hosting i infrastruktura, Polska/EOG), PayPro S.A. — Przelewy24 (obsługa płatności, Polska) oraz Resend, Inc. (transakcyjna poczta e-mail, Stany Zjednoczone — na podstawie standardowych klauzul umownych). Procesor informuje o planowanym dodaniu lub zastąpieniu podmiotu co najmniej 14 dni wcześniej.
  3. Administrator może w tym terminie zgłosić uzasadniony sprzeciw dotyczący ochrony danych. Strony szukają rozsądnego rozwiązania. Jeżeli nie jest ono możliwe, Procesor może zrezygnować z danego podmiotu lub funkcji albo każda ze Stron może zakończyć część usługi, której sprzeciw dotyczy.
  4. Procesor nakłada na dalszego przetwarzającego obowiązki nie mniej chroniące dane niż niniejsza Umowa i odpowiada za jego wykonanie zgodnie z art. 28 ust. 4 RODO.
  5. Dane są co do zasady przetwarzane w EOG. Transfer poza EOG wymaga mechanizmu zgodnego z rozdziałem V RODO, w szczególności decyzji o odpowiednim poziomie ochrony albo standardowych klauzul umownych i, gdy jest to potrzebne, dodatkowych zabezpieczeń.

§ 7. Audyt i współpraca

  1. Na pisemne żądanie Procesor przekazuje informacje rozsądnie potrzebne do wykazania zgodności. W pierwszej kolejności wykorzystuje się aktualne certyfikaty, raporty i audyt zdalny.
  2. Administrator może przeprowadzić audyt nie częściej niż raz w roku, z co najmniej 30-dniowym wyprzedzeniem, w godzinach pracy, bez dostępu do danych innych klientów, kodu, zabezpieczeń i tajemnic niezwiązanych z audytem. Ograniczenia częstotliwości i terminu nie obowiązują po istotnym naruszeniu lub na żądanie organu.
  3. Koszt audytu ponosi Administrator, chyba że audyt wykaże istotne, zawinione naruszenie przez Procesora. Audytor musi być niezależny, kompetentny i związany poufnością.

§ 8. Odpowiedzialność i zakończenie

  1. Strony odpowiadają za własne obowiązki zgodnie z RODO. Wzajemna odpowiedzialność umowna podlega ograniczeniom Regulaminu, w zakresie, w jakim nie narusza to bezwzględnie obowiązującego prawa ani praw osób trzecich.
  2. Po zakończeniu Procesor umożliwia eksport i usunięcie danych zgodnie z Regulaminem. Po upływie okresu pobierania usuwa dane aktywne, a kopie zapasowe w zwykłym, zabezpieczonym cyklu, chyba że prawo wymaga ich zachowania.
  3. Postanowienia o poufności, odpowiedzialności, audycie dotyczącym wcześniejszego okresu oraz usunięciu danych obowiązują po zakończeniu Umowy.

Załącznik A. Parametry przetwarzania

Załącznik B. Minimalny wykaz środków