Politika zasebnosti za aplikacijo Optimus

1. Koga ta politika zadeva

Ta politika velja za uporabnike aplikacije Optimus, zlasti za trenerje, vodje organizacij in skrbnike (npr. starše oziroma zakonite zastopnike varovancev), ki dostopajo do sistema preko povabila športne organizacije.

Optimus je invite-only sistem. Javni uporabniški račun se ne ustvari samostojno, ampak na podlagi veljavnega povabila oziroma povezave organizacije. To pomeni, da se del osebnih podatkov v sistem vnese neposredno s strani organizacije, ki uporablja platformo.

2. Katere podatke obdelujemo

2.1 Podatki računa in identitete

• ime in priimek uporabnika,
• e-poštni naslov,
• kriptografsko zaščiteno geslo,
• status računa in pripadajoče organizacijske vloge (coach, leader coach, guardian).

2.2 Podatki o napravah in sejah

• Device or other IDs (Google Play Data safety): identifikator naprave, ki ga aplikacija sestavi iz operacijskega sistema, modela naprave in lokalnega identifikatorja naprave,
• žeton prijavljene seje (access token),
• Device or other IDs (Google Play Data safety): FCM žeton za potisna obvestila,
• čas zadnje uporabe naprave in označitev trenutne seje.

Mobilna aplikacija pri prijavi in registraciji pošilja identifikator naprave v obliki {os}_{model}_{deviceId}, FCM žeton pa se uporablja izključno za pošiljanje obvestil in osveževanje dovoljenj. Ta podatka se uporabljata za delovanje aplikacije, upravljanje prijavljenih naprav, prijavo/registracijo ter dostavo potisnih obvestil.

2.3 Organizacijski in profilni podatki

• organizacija oziroma klub, v katerega je uporabnik vključen,
• vloge in dovoljenja znotraj posamezne organizacije,
• selekcije, na katere je uporabnik dodeljen,
• evidenca naprav, s katerih je uporabnik prijavljen.

2.4 Podatki o članih in varovancih

• ime člana oziroma varovanca,
• letnik oziroma datum rojstva,
• igralna noga,
• športne pozicije, selekcija in status aktivnosti,
• povezave med članom in skrbniki.

2.5 Podatki o dogodkih in prisotnosti

• opis dogodka, vrsta dogodka, datum začetka in konca,
• lokacija, igrišče in garderoba,
• dodeljeni trenerji in povabljeni člani,
• statusi povabil in potrditve udeležbe,
• statistika prisotnosti in pregledi udeležbe.

2.6 Komunikacijski in varnostni podatki

• podatki o povabilih (e-poštni naslov prejemnika, tip povabila, relacija, čas pošiljanja, datum poteka),
• hash žetona povabila (surovi žeton se ne hrani v bazi),
• podatki potrebni za ponastavitev gesla,
• tehnični dnevniki, podatki o napakah, omejevanju zahtevkov in varnostnih preverjanjih.

3. Katere podatke zavestno ne zbiramo

Po trenutni implementaciji Optimus ne uporablja oglaševalskih SDK-jev, profiliranja za oglaševanje, analitičnih orodij tretjih oseb za marketinško sledenje, niti dovoljenj za kamero, geolokacijo, stike ali fotogalerijo. Aplikacija prav tako ni namenjena prodaji osebnih podatkov tretjim osebam.

4. Nameni obdelave

5. Pravne podlage za obdelavo

• Izvajanje pogodbe oziroma zagotavljanje storitve — kadar obdelujemo podatke, potrebne za registracijo, prijavo, uporabo funkcionalnosti in podporo uporabnikom.
• Zakoniti interesi — kadar je obdelava potrebna za informacijsko varnost, preprečevanje zlorab, zagotavljanje stabilnosti sistema, diagnostiko, zaščito zahtevkov in vodenje osnovnih tehničnih dnevnikov.
• Soglasje — kadar operacijski sistem od uporabnika zahteva dovoljenje za potisna obvestila; soglasje lahko uporabnik kadarkoli prekliče v sistemskih nastavitvah naprave.
• Zakonske obveznosti — kadar hrambo ali razkritje podatkov zahteva veljavna zakonodaja ali pristojni organ.

Če športna organizacija v sistem vnese podatke svojih članov ali varovancev, sama odgovarja za obstoj ustrezne pravne podlage za tak vnos in za informiranje posameznikov, na katere se ti podatki nanašajo.

6. Komu podatke razkrivamo

Podatke razkrivamo le v obsegu, ki je potreben za delovanje storitve, in sicer:

• športni organizaciji, v okviru katere je uporabnik povabljen oziroma katere podatke upravlja; v tem delu lahko organizacija nastopa kot ločen upravljavec ali soupravljavec za podatke, ki jih uporablja za vodenje članov, ekip, varovancev, dogodkov in komunikacije;
• ponudniku infrastrukture in gostovanja — aplikacijski strežnik, baza podatkov in predpomnilnik delujejo znotraj Evropske unije, ki jo upravljavec vodi sam.;
• Firebase Cloud Messaging (Google LLC) za dostavo potisnih obvestil in obdelavo FCM žetonov, v skladu s Pogodbo o obdelavi podatkov (Data Processing Agreement) z Google LLC;
• MailerSend (UAB MailerSend) za pošiljanje transakcijskih e-poštnih sporočil, kot so registracijske povezave, povabila in ponastavitev gesla;
• Amazon Web Services S3 (Amazon Web Services EMEA SARL) za hrambo datotek, pri čemer se podatki hranijo v regiji eu-north-1 (Stockholm, Evropska unija);
• pristojnim organom, če to zahteva zakon ali zavezujoča odločba.

Kadar tehnični ponudniki (Google FCM, MailerSend, AWS S3) podatke obdelujejo izključno za zagotavljanje infrastrukture, dostavo e-pošte, hrambo ali potisna obvestila, jih uporabljajo kot pogodbeni obdelovalci za delovanje Optimus. Kadar pa podatke prejme športna organizacija, ki v sistemu vodi svoje člane, trenerje, skrbnike ali dogodke, gre lahko za razkritje ločeni organizaciji, ki te podatke uporablja za svoje organizacijske procese.

Osebnih podatkov ne prodajamo. Ne uporabljamo jih za oglaševalsko profiliranje tretjih oseb.

7. Mednarodni prenosi

Datoteke se hranijo v storitvi Amazon Web Services S3 v regiji eu-north-1 (Stockholm, EU), kar pomeni, da do prenosa izven EGP pri hrambi datotek ne prihaja.

Firebase Cloud Messaging (Google LLC) in MailerSend (UAB MailerSend) sta ponudnika s sedežem oziroma infrastrukturo, ki delno deluje zunaj EGP. Prenosi potekajo na podlagi standardnih pogodbenih klavzul (SCC) ali enakovrednih zaščitnih mehanizmov, ki jih zagotavljata posamezna ponudnika v skladu z GDPR.

Za podrobnosti o zaščitnih mehanizmih posameznih ponudnikov si oglejte: Firebase Privacy · MailerSend Privacy · AWS Privacy.

8. Hramba podatkov

Kadar izbris ni mogoč takoj (npr. zaradi varnostnih kopij, reševanja incidenta ali pravne obveznosti), podatke omejimo in jih izbrišemo v najkrajšem razumnem roku po prenehanju razloga za hrambo.

9. Varnostni ukrepi

• gesla se hranijo v zaščiteni, kriptografsko hashirani obliki,
• za dostop do API-ja se uporabljajo avtorizirane seje in žetoni,
• povabila uporabljajo podpisane URL-je, v bazi pa se hrani samo hash surovega tokena,
• uporabljamo preverjanje dovoljenj po vlogah in organizacijskem kontekstu,
• zahtevki so omejeni z mehanizmi rate limiting,
• obvestila se pošiljajo asinhrono preko čakalnih vrst,
• uporabljajo se tehnični in organizacijski ukrepi za omejevanje nepooblaščenega dostopa.

Noben sistem ni popolnoma neprepusten, vendar si razumno prizadevamo za zaščito podatkov in zmanjševanje varnostnih tveganj.

10. Potisna obvestila

Optimus uporablja potisna obvestila za obveščanje o novih ali spremenjenih dogodkih, spremembah dovoljenj, organizacijskih spremembah in drugih pomembnih sistemskih dejanjih. Za dostavo obvestil obdelujemo FCM žeton naprave in minimalne podatke, potrebne za dostavo obvestila.

• obvestila se lahko nanašajo na dogodke, člane, trenerje ali skrbnike,
• določena obvestila imajo samo tehnični namen (npr. osvežitev dovoljenj),
• uporabnik lahko obvestila izklopi v nastavitvah operacijskega sistema, vendar lahko s tem omeji pravočasnost informacij v aplikaciji.

11. Mladoletni člani in podatki o varovancih

Storitev je namenjena športnim organizacijam in njihovemu internemu upravljanju članstva. V praksi to lahko pomeni obdelavo podatkov o mladoletnih članih (npr. ime, letnik rojstva, prisotnost na dogodkih in povezava s skrbnikom).

V skladu z ZVOP-2 (člen 20) in GDPR (člen 8) je starost, od katere posameznik sam privoli v obdelavo osebnih podatkov pri ponudbi storitev informacijske družbe, v Republiki Sloveniji določena pri 15 letih. Za osebe, mlajše od 15 let, je potrebna privolitev zakonitega zastopnika (starša ali skrbnika).

Optimus ne omogoča odprte registracije otrok brez organizacijskega konteksta. Če organizacija vnaša ali upravlja podatke mladoletnih oseb, mora sama zagotoviti ustrezno pravno podlago, obvestiti zakonite zastopnike in poskrbeti, da je obdelava skladna z veljavno zakonodajo.

12. Vaše pravice

Odvisno od veljavne zakonodaje lahko uveljavljate zlasti naslednje pravice:

• pravico do dostopa do svojih osebnih podatkov,
• pravico do popravka netočnih ali nepopolnih podatkov,
• pravico do izbrisa, kadar za nadaljnjo obdelavo ni več pravne podlage,
• pravico do omejitve obdelave,
• pravico do prenosljivosti, kadar je uporabna,
• pravico do ugovora obdelavi, kadar ta temelji na zakonitem interesu,
• pravico do preklica soglasja za obvestila v nastavitvah naprave,
• pravico do vložitve pritožbe pri pristojnem nadzornem organu.

Če se vaš zahtevek nanaša na podatke, ki jih v Optimus vodi določena športna organizacija, vas lahko zaradi pravilne obravnave usmerimo, da zahtevek naslovite tudi neposredno na to organizacijo.

13. Kako nas kontaktirate

Za vprašanja, zahteve glede zasebnosti ali uveljavljanje pravic nam pišite na [email protected].

V sporočilu čim bolj natančno opišite zahtevo, organizacijo, na katero se nanaša, in e-poštni naslov, povezan z vašim računom, da lahko zahtevo hitro in varno obdelamo.

14. Spremembe te politike

To politiko lahko občasno posodobimo zaradi zakonodajnih sprememb, sprememb funkcionalnosti ali sprememb pri uporabljenih ponudnikih storitev. Če bodo spremembe bistvene, bomo uporabnike o tem obvestili preko aplikacije, spletne strani ali na drug primeren način.