Kako prikupljamo, koristimo i štitimo vaše osobne podatke
S2D, Sport data Decision, Lda, sa sjedištem na adresi Estrada Municipal 506, Ubimedical, 6200-284 Covilhã, OIB (NIF) 518063097, voditelj je obrade osobnih podataka prikupljenih putem platforme IndoorData. Za svako pitanje o privatnosti vaših podataka javite nam se na: support@indoordata.pt Službenik za zaštitu podataka nije formalno imenovan jer naše aktivnosti obrade to prema GDPR-u ne zahtijevaju. Osobu koja je interno zadužena za pitanja zaštite podataka možete kontaktirati na gornju adresu e-pošte.
Prikupljamo samo podatke nužne za pružanje naše usluge: • Podaci računa i prijave (e-pošta, šifrirana lozinka, ime, uloga) — nužni za pristup platformi. Pravna osnova: izvršenje ugovora (čl. 6. st. 1. t. b) GDPR-a). • Podaci korisničkog profila (telefon, datum rođenja, spol, fotografija) — za prilagodbu računa. Pravna osnova: izvršenje ugovora. • Podaci igrača/sportaša (ime, kontakt, adresa, datum rođenja, natjecateljska licenca, sportska povijest, fotografija) — za sportsko vođenje od strane kluba. Pravna osnova: izvršenje ugovora i privola ispitanika. • Biometrijski i zdravstveni podaci (visina, težina, tjelesne sposobnosti, zdravstvena i psihološka povijest) — za praćenje sportskog razvoja, isključivo uz izričitu privolu. Pravna osnova: izričita privola (čl. 9. st. 2. t. a) GDPR-a). • Podaci maloljetnika — zahtijevaju izričitu privolu zakonskog zastupnika. • Sigurnosni zapisi (pokušaji pristupa, vremenske oznake) — za zaštitu sustava od neovlaštenog pristupa. Pravna osnova: legitimni interes (čl. 6. st. 1. t. f) GDPR-a). Čuvanje: 7 dana. • Podaci mjerenja publike (vlastiti) — kratkotrajni identifikator sesije (vlastiti kolačić, 24 h), posjećena stranica, približna regija/država, jezik i vrsta uređaja (mobitel/tablet/računalo). NE prikupljamo IP adresu ni potpuni user-agent, a ti se podaci ne dijele s trećima niti napuštaju EU. Služe isključivo za mjerenje učinkovitosti web-mjesta. Pravna osnova: legitimni interes (čl. 6. st. 1. t. f) GDPR-a). • Marketinški i analitički podaci trećih strana (e-pošta unesena u kvizu, odgovori u kvizu, Google Analytics i Meta Pixel) — za marketinšku komunikaciju i mjerenje kampanja. Pravna osnova: privola (čl. 6. st. 1. t. a) GDPR-a); kolačići trećih strana aktiviraju se tek nakon izričite privole u banneru, koju možete povući u bilo kojem trenutku.
Vaši se podaci dijele samo sa sljedećim podizvršiteljima obrade, isključivo u okviru pružanja usluge, a svi podliježu ugovorima o obradi podataka prema čl. 28. GDPR-a: • Amazon Web Services (AWS) — baza podataka (RDS), slanje transakcijske e-pošte (SES), pohrana datoteka i slika (S3) te nadzor infrastrukture (CloudWatch). Poslužitelji se nalaze isključivo u Europskoj uniji (Pariz, Francuska). Uz vašu privolu (banner o kolačićima) koristimo i sljedeće usluge mjerenja i marketinga: • Google Ireland Ltd. (Google Analytics) — mjerenje publike i učinkovitosti web-mjesta. • Meta Platforms Ireland Ltd. (Meta Pixel) — mjerenje i optimizacija naših oglasnih kampanja. Te usluge mogu uključivati prijenos podataka u Sjedinjene Američke Države, uz odgovarajuće zaštitne mjere koje priznaje Europska komisija (standardne ugovorne klauzule i EU-US Data Privacy Framework). Njihovi se kolačići aktiviraju tek nakon vaše izričite privole i mogu se odbiti ili povući u bilo kojem trenutku. Vaše osobne podatke ne prodajemo niti ih dijelimo s trećima u svrhe koje nisu opisane u ovim pravilima. Podaci koji se obrađuju u okviru platforme (račun, profil i sportski podaci) pohranjeni su isključivo u Europskoj uniji. Samo gore navedeni analitički i marketinški podaci mogu se, uz vašu privolu, obrađivati izvan EU-a uz navedene zaštitne mjere.
Vaše podatke čuvamo samo onoliko dugo koliko je potrebno za svrhe za koje su prikupljeni: • Podaci računa i korisničkog profila: za vrijeme aktivnog računa + 2 godine nakon brisanja ili neaktivnosti. • Podaci igrača/sportaša: za vrijeme klupske pretplate + 2 godine nakon prestanka ugovornog odnosa. • Biometrijski i zdravstveni podaci: pod istim uvjetima kao podaci igrača. • Sigurnosni zapisi (pokušaji pristupa): 7 dana, uz automatsko brisanje. Što se sigurnosti tiče, provodimo sljedeće tehničke i organizacijske mjere: • Enkripcija u prijenosu — TLS/HTTPS pri svakom pristupu platformi, uz certifikate kojima upravlja AWS Certificate Manager. • Enkripcija u mirovanju — baza podataka i datoteke pohranjuju se uz AWS KMS enkripciju. • Kontrola pristupa — sustav utemeljen na ulogama (ADMIN, MANAGER, COACH) s razrađenim dopuštenjima po klubu. • Zaštita od napada grubom silom — automatsko zaključavanje nakon neuspjelih pokušaja prijave. • Automatske sigurnosne kopije — s mogućnošću vraćanja na točku u vremenu preko AWS RDS-a.
Prema Općoj uredbi o zaštiti podataka (GDPR) imate sljedeća prava u vezi sa svojim osobnim podacima: • Pristup (čl. 15.) — saznati koje osobne podatke o vama obrađujemo. • Ispravak (čl. 16.) — ispraviti netočne ili nepotpune podatke. Dostupno izravno na platformi za podatke profila i igrača. • Brisanje (čl. 17.) — zatražiti brisanje svojih osobnih podataka. • Prenosivost (čl. 20.) — primiti svoje podatke u strukturiranom, strojno čitljivom obliku (JSON/CSV). • Prigovor (čl. 21.) — usprotiviti se obradi koja se temelji na legitimnom interesu. • Ograničenje (čl. 18.) — ograničiti obradu u određenim okolnostima. Za ostvarivanje bilo kojeg od ovih prava javite nam se na: support@indoordata.pt Najdulji rok za odgovor: 30 dana (uz mogućnost produljenja za 60 dana u složenim slučajevima, uz prethodnu obavijest). Imate i pravo podnijeti pritužbu nadležnom nadzornom tijelu: CNPD — Nacionalna komisija za zaštitu podataka (Portugal) www.cnpd.pt
IndoorData može upotrijebiti podatke prikupljene na platformi u svrhu znanstvenog istraživanja i statističke analize (primjerice, istraživanja o sportskom učinku i razvoju), isključivo u anonimiziranom i skupnom obliku. • Nepovratna anonimizacija — prije svake upotrebe u istraživanju uklanjaju se ili nepovratno mijenjaju svi elementi koji omogućuju identifikaciju osobe (ime, kontakti, točan datum rođenja, klub, fotografija i svi drugi izravni ili neizravni identifikatori), tako da podatke više nije moguće povezati s pojedincem. • Podaci izvan područja primjene GDPR-a — jednom anonimizirani, podaci prestaju biti osobni podaci (uvodna izjava 26. GDPR-a), pa ova upotreba ne ovisi o dodatnoj privoli. • Bez pojedinačne identifikacije — rezultati svakog istraživanja ili objave prikazuju se samo skupno; nijedan sportaš, korisnik ili klub nije identificiran. • Bez utjecaja na vaša prava — ova upotreba ne utječe na prava nad vašim osobnim podacima koji vas mogu identificirati, opisana u prethodnom odjeljku.
Zadnje ažuriranje: Veljača 2025.