Pogodba o obdelavi osebnih podatkov
Kako eTrener kot obdelovalec ravna s podatki, ki jih klub vodi v aplikaciji.
Vsebina pogodbe o obdelavi
1. Stranki
- Upravljavec: klub, ki ima sklenjeno naročnino na storitev eTrener (v nadaljevanju „klub“).
- Obdelovalec: Gašper Renčof s.p., Cesta zmage 12, 1410 Zagorje ob Savi, matična številka 9822917000, davčna številka 28726570 (v nadaljevanju „obdelovalec“).
Pogodba je sestavni del naročnine in je sklenjena s sklenitvijo naročnine skladno s splošnimi pogoji. Na zahtevo kluba jo podpišemo tudi v pisni obliki. Pogodba ureja obdelavo po 28. členu Splošne uredbe o varstvu podatkov (GDPR) in ZVOP-2.
2. Predmet, namen in trajanje
Obdelovalec za klub zagotavlja storitev eTrener: hrambo, prikaz in obdelavo podatkov, ki jih klub vodi o svojih selekcijah, z namenom organizacije športne dejavnosti kluba. Obdelava traja, dokler traja naročnina, in še 90 dni po njenem prenehanju (razdelek 10).
3. Posamezniki in vrste podatkov
| Posamezniki | Vrste podatkov |
|---|---|
| igralci (tudi mladoletni) | identifikacijski in kontaktni podatki, datum rojstva, registrska številka, športni podatki (prisotnost, nastopi, minute, ocene, zapiski), zdravstveni podatki (poškodbe, bolezni, alergije, zdravila, spričevala), dokumenti, soglasja, članarine, fotografije, sporočila |
| starši in skrbniki | identifikacijski in kontaktni podatki, razmerje do igralca, odločitve o soglasjih, sporočila, oglasi in prevozi |
| trenerji in drugi člani kluba | identifikacijski in kontaktni podatki, vloga, številka licence, sporočila |
Zdravstveni podatki so posebna vrsta osebnih podatkov (9. člen GDPR). Klub zagotovi, da ima zanje veljavno pravno podlago.
4. Navodila kluba
Obdelovalec podatke obdeluje samo po dokumentiranih navodilih kluba. Za navodila štejejo ta pogodba, splošni pogoji ter nastavitve in dejanja, ki jih klub in njegovi trenerji izvedejo v aplikaciji in administraciji. Podatkov za lastne namene ne uporablja, ne prodaja in ne uporablja za oglaševanje ali učenje modelov umetne inteligence. Če obdelovalec meni, da je navodilo v nasprotju s predpisi, klub o tem takoj obvesti.
5. Zaupnost
Do podatkov imajo dostop samo osebe pri obdelovalcu, ki ga potrebujejo za delovanje, podporo, odpravo napak ali obravnavo prijav, in ki so zavezane k zaupnosti.
6. Varnostni ukrepi
Obdelovalec izvaja ukrepe iz 32. člena GDPR, med drugim:
- šifrirano povezavo (HTTPS) za ves promet;
- hrambo gesel samo kot zgoščene vrednosti (bcrypt);
- šifriranje besedila sporočil v bazi (AES-256);
- preverjanje pravic na strežniku ob vsaki zahtevi, glede na klub, selekcijo in vlogo;
- datoteke, ki niso javno dostopne in se izročijo samo prijavljenemu uporabniku s pravico;
- omejevanje poskusov prijave in števila zahtev;
- beleženje posegov v spletni administraciji;
- hrambo pri ponudniku gostovanja v Sloveniji in redne varnostne kopije.
Ukrepe lahko obdelovalec izboljšuje, ne sme pa zmanjšati ravni zaščite.
7. Podobdelovalci
Klub daje splošno dovoljenje za podobdelovalce, navedene spodaj. O vsakem novem ali zamenjanem podobdelovalcu obdelovalec klub obvesti po e-pošti vsaj 30 dni prej. Klub lahko spremembi utemeljeno ugovarja; če se stranki ne dogovorita, lahko klub naročnino odpove. Obdelovalec s podobdelovalci sklene pogodbo z enakimi obveznostmi varstva podatkov.
| Podobdelovalec | Storitev | Kraj obdelave |
|---|---|---|
| NEOSERV d.o.o. | gostovanje strežnikov, baze, datotek in e-pošte | Slovenija |
| Google Ireland Limited (Firebase Cloud Messaging) | dostava potisnih obvestil na telefone: žeton naprave ter naslov in besedilo obvestila oziroma začetek sporočila iz klepeta | EU in ZDA |
| Apple Distribution International Ltd. (Apple Push Notification service) | dostava potisnih obvestil na iPhone: isti podatki kot pri vrstici zgoraj | EU in ZDA |
Zunanje storitve Photon (iskanje naslovov), Open-Meteo (vreme) in OpenStreetMap (zemljevid) prejmejo samo naslov ali koordinate igrišča, brez podatkov o osebah, zato niso podobdelovalci.
Iznos izven EU. Google in Apple lahko potisna obvestila obdelujeta tudi v ZDA. Iznos temelji na okviru EU in ZDA za varstvo podatkov (oba sta vpisana) in na standardnih pogodbenih klavzulah iz njunih pogodb o obdelavi. Drugega iznosa podatkov o osebah izven EU ni.
8. Pomoč pri pravicah posameznikov
Večino zahtev (dostop, popravek, izbris, preklic soglasja) klub izvede sam v aplikaciji ali administraciji. Če zahteva prispe k obdelovalcu, jo ta brez odlašanja, najpozneje v 5 delovnih dneh, posreduje klubu in mu pomaga pri odgovoru, na primer s pripravo izvoza podatkov.
9. Kršitve varstva podatkov
O kršitvi varstva osebnih podatkov obdelovalec klub obvesti brez nepotrebnega odlašanja, najpozneje v 48 urah po tem, ko je zanjo izvedel. Obvestilo vsebuje opis kršitve, prizadete vrste podatkov in posameznikov, verjetne posledice in sprejete ukrepe. Obdelovalec klubu pomaga pri obveščanju Informacijskega pooblaščenca in posameznikov ter pri oceni učinka (členi 33 do 36 GDPR).
10. Konec obdelave
Po prenehanju naročnine obdelovalec podatke hrani še 90 dni. V tem času jih na zahtevo kluba izroči v strojno berljivi obliki. Po izteku roka podatke izbriše, iz varnostnih kopij pa ob njihovi redni menjavi, razen kadar predpisi zahtevajo daljšo hrambo.
11. Dokazovanje skladnosti in pregledi
Obdelovalec klubu na zahtevo da informacije, potrebne za dokazovanje skladnosti s to pogodbo, in omogoči pregled, ki ga po predhodni najavi vsaj 14 dni prej izvede klub ali pooblaščeni revizor, zavezan k zaupnosti.
12. Odgovornost in končne določbe
Za odgovornost veljajo splošni pogoji in 82. člen GDPR. Ob neskladju med splošnimi pogoji in to pogodbo glede varstva osebnih podatkov velja ta pogodba. Za pogodbo velja pravo Republike Slovenije.
Kontakt za varstvo podatkov: info@etrener.si.