Tietojenkäsittelysopimus

Rekisterinpitäjä on seura, liitto tai organisaatio, jolla on Sport99-tilaus ja jonka ylläpitäjä on hyväksynyt nämä ehdot. Käsittelijä on Inovitus 9 d.o.o., Slovenia, joka ylläpitää Sport99-alustaa. Kun yksittäisellä urheilijalla on oma Sport99-tili seuran ulkopuolella, Inovitus 9 on kyseisen tilin rekisterinpitäjä eikä tämä sopimus koske sitä — silloin sovelletaan tietosuojaselostetta.

Kohteena on henkilötietojen käsittely, joka on tarpeen Sport99-alustan tarjoamiseksi rekisterinpitäjälle: urheilijoiden ja henkilöstön hallinta, harjoittelun suunnittelu, läsnäolo, suoritus- ja kuormitustiedot, viestintä, puettavien laitteiden tietojen vastaanotto, tekoälyavusteinen analyysi ja laskutus. Käsittely kestää tilauskauden ajan sekä kohdassa 11 mainitut säilytysajat.

Rekisterinpitäjän alustakokoonpano, sen ominaisuuksien käyttö ja tämä sopimus muodostavat yhdessä dokumentoidut ohjeet. Jos katsomme ohjeen rikkovan yleistä tietosuoja-asetusta tai muuta unionin tai jäsenvaltion tietosuojalainsäädäntöä, ilmoitamme siitä rekisterinpitäjälle viipymättä ja voimme keskeyttää kyseisen ohjeen toteuttamisen asian ratkeamiseen asti.

Jokainen, jonka valtuutamme käsittelemään henkilötietoja tämän sopimuksen nojalla, on sitoutunut kirjalliseen salassapitovelvollisuuteen tai asianmukaiseen lakisääteiseen vaitiolovelvollisuuteen, joka jatkuu tehtävän päätyttyä. Käyttöoikeus myönnetään tarveperiaatteella, tarkistetaan säännöllisesti ja perutaan roolin muuttuessa. Terveystietoihin ja lääketieteellisiin merkintöihin pääsy edellyttää korotettua valtuutusta ja kirjataan auditointia varten.

Toteutamme 32 artiklan mukaiset asianmukaiset tekniset ja organisatoriset toimenpiteet ottaen huomioon uusimman tekniikan, toteuttamiskustannukset ja rekisteröidyille aiheutuvan riskin — joka on tässä korostunut, koska alusta käsittelee lasten terveystietoja. Voimassa olevat toimenpiteet luetellaan liitteessä II. Voimme päivittää niitä, mutta emme tavalla, joka olennaisesti heikentäisi suojan tasoa.

Rekisterinpitäjä antaa yleisen kirjallisen valtuutuksen liitteessä III luetelluille alikäsittelijöille. Vastaamme rekisterinpitäjälle täysimääräisesti niiden suorituksesta ja asetamme kullekin tietosuojavelvoitteet, jotka eivät ole tämän sopimuksen velvoitteita heikommat. Ilmoitamme rekisterinpitäjälle vähintään 30 päivää ennen alikäsittelijän lisäämistä tai vaihtamista. Rekisterinpitäjä voi tänä aikana vastustaa perustelluista tietosuojasyistä; jos vastustusta ei voida ratkaista, rekisterinpitäjä voi päättää tilauksen kyseisen osan ilman seuraamusmaksua ja saada suhteellisen hyvityksen.

Kaikki Sport99:ssä käsiteltävät henkilötiedot säilytetään Euroopan unionissa. Emme siirrä henkilötietoja Euroopan talousalueen ulkopuolelle, paitsi kun liitteessä III lueteltu alikäsittelijä tekee niin hyväksytyn siirtomekanismin nojalla — vakiosopimuslausekkeet, riittävyyspäätös tai EU:n ja Yhdysvaltojen tietosuojakehys — sekä siirtoarvioinnissa tunnistetuin täydentävin toimenpitein. Ilmoitamme rekisterinpitäjälle ennen minkään uuden siirtoluokan aloittamista.

Alusta tarjoaa rekisterinpitäjälle itsepalvelutyökalut pääsyä, vientiä, oikaisua, rajoittamista ja poistamista varten, ja ne ovat ensisijainen tapa käsitellä pyyntö. Jos rekisteröity ottaa yhteyttä suoraan meihin, emme vastaa rekisterinpitäjän puolesta; välitämme pyynnön rekisterinpitäjälle ilman aiheetonta viivytystä ja kerromme siitä rekisteröidylle. Jos pyyntöä ei voida täyttää itsepalvelutyökaluilla, avustamme asianmukaisin teknisin ja organisatorisin toimenpitein käsittelyn luonne huomioon ottaen.

Ilmoitamme rekisterinpitäjälle ilman aiheetonta viivytystä ja joka tapauksessa 48 tunnin kuluessa siitä, kun saamme tiedon sen tietoja koskevasta henkilötietojen tietoturvaloukkauksesta. Ilmoitus kuvaa loukkauksen luonteen, asianomaisten rekisteröityjen ja tietueiden ryhmät ja likimääräisen määrän, todennäköiset seuraukset, toteutetut tai ehdotetut toimenpiteet sekä yhteyspisteen — täydennettynä vaiheittain, kun kokonaiskuva ei vielä ole käytettävissä. Emme tee ilmoitusta valvontaviranomaiselle tai rekisteröidyille rekisterinpitäjän puolesta, ellei se niin ohjeista.

Koska alusta käsittelee merkittävässä laajuudessa alaikäisiä koskevia erityisiin ryhmiin kuuluvia terveystietoja, rekisterinpitäjältä edellytetään todennäköisesti 35 artiklan mukaista tietosuojaa koskevaa vaikutustenarviointia. Toimitamme sen laatimiseen kohtuudella tarvittavat tiedot — mukaan lukien liitteiden I ja II kuvaukset, tietoturva-asemamme ja alikäsittelijäjärjestelymme — ja avustamme mahdollisessa valvontaviranomaisen ennakkokuulemisessa.

Sopimuksen päättyessä rekisterinpitäjä voi viedä tietonsa alustan vientityökaluilla 30 päivän ajan. Tämän jälkeen poistamme rekisterinpitäjän henkilötiedot aktiivijärjestelmistä ja seuraavien 90 päivän kuluessa varmuuskopioista, paitsi kun unionin tai Slovenian lainsäädäntö edellyttää säilyttämistä — erityisesti laskutusaineisto, jota kirjanpitolainsäädäntö edellyttää säilytettäväksi 7 vuotta, sekä suostumustiedot, jotka säilytämme vaatimustenmukaisuuden näyttönä. Vahvistamme poiston pyynnöstä kirjallisesti.

Saatamme rekisterinpitäjän saataville tiedot, jotka ovat tarpeen 28 artiklan noudattamisen osoittamiseksi, sekä sallimme rekisterinpitäjän tai sen valtuuttaman auditoijan suorittamat auditoinnit, tarkastukset mukaan lukien, ja myötävaikutamme niihin. Auditointeja on enintään yksi 12 kuukauden jaksossa, ellei loukkaus tai valvontaviranomainen muuta edellytä, ne on pyydettävä 30 päivän varoitusajalla, ne eivät saa kohtuuttomasti häiritä palvelua tai vaarantaa muiden rekisterinpitäjien tietojen luottamuksellisuutta, ja ne ovat rekisterinpitäjän kustannuksella. Voimme täyttää auditointipyynnön toimittamalla ajantasaisen kolmannen osapuolen arvion tai tietoturvadokumentaation, kun se kohtuudella vastaa esitettyihin kysymyksiin.

Kumpikin osapuoli vastaa omasta yleisen tietosuoja-asetuksen noudattamisestaan omassa roolissaan. Käyttöehtojen vastuumääräyksiä sovelletaan tähän sopimukseen, kuitenkin niin, ettei mikään rajoita kummankaan osapuolen vastuuta rekisteröityä kohtaan 82 artiklan nojalla. Jos tämä sopimus on ristiriidassa käyttöehtojen tai tietosuojaselosteen kanssa tietosuoja-asiassa, tämä sopimus on etusijalla. Jos se on ristiriidassa pakottavan lain kanssa, laki on etusijalla ja sopimuksen muu osa pysyy voimassa.

Rekisteröityjen ryhmät: urheilijat (myös alaikäiset), vanhemmat ja huoltajat, valmentajat ja tekninen henkilöstö, seuran ylläpitäjät, lääketieteellinen ja fysioterapiahenkilöstö, jos seura myöntää heille pääsyn, sekä vierailijat tai jäsenehdokkaat, jotka käyttävät vastaanottotoimintoja.

• Tunniste- ja yhteystiedot: nimi, sähköpostiosoite, puhelinnumero, syntymäaika, profiilikuva, seura- ja joukkuejäsenyys, rooli.
• Harjoitus- ja suoritustiedot: läsnäolo, harjoitukset, kuormat, vertailuarvot, testitulokset, valmentajan merkinnät, kilpailutulokset, GPS- ja liikejäljet.
• Artiklan 9 erityiset tietoryhmät: loukkaantumistiedot, lääketieteelliset ja fysioterapiamerkinnät, mielialakirjaukset, ravitsemusmerkinnät sekä puettavista laitteista tuodut biometriset mittaukset — syke ja sykevälivaihtelu, uni, palautuminen ja valmiuspisteet.
• Huoltaja- ja lastensuojelutiedot: huoltajan henkilöllisyys ja yhteystiedot, suostumustiedot sekä niistä johdetut ikään perustuvat käyttörajoitukset.
• Taloudelliset tiedot: jäsenmaksut, laskut, maksutila ja ALV-tunnisteet. Korttitiedot käsittelee Stripe, emmekä koskaan tallenna niitä.
• Tekniset tiedot: todennustapahtumat, IP-osoite, laite- ja selaintiedot, auditointilokit.
• Luonne ja tarkoitus: kerääminen, tallentaminen, järjestäminen, jäsentäminen, säilyttäminen, haku, katselu, analysointi (mukaan lukien tekoälyavusteinen), luovuttaminen seuran valtuutetuille käyttäjille, rajoittaminen, poistaminen ja hävittäminen — urheiluseuran urheilijahallinnon, harjoittelun suunnittelun ja hallinnon toteuttamiseksi.
• Kesto: tilauskauden ajan sekä kohdan 11 säilytysajat.

• Tietojen sijainti: kaikki henkilötiedot säilytetään ja käsitellään Euroopan unionissa (Microsoft Azure, Sweden Central).
• Vuokralaiseristys: monivuokralaisympäristön rivitason suojaus, jossa jokainen kysely rajataan pyytävään vuokralaiseen ja rajaus pannaan täytäntöön sovelluskerroksen alapuolella.
• Salaus: TLS siirrettäville tiedoille; levossa olevien tietojen salaus tietokannoille, varmuuskopioille ja tiedostotallennukselle.
• Pääsynhallinta: roolipohjainen pääsy, vähimmän oikeuden periaate, pakollinen monivaiheinen tunnistautuminen kaikille tileille sekä korotettu valtuutus ja auditointilokitus terveys- ja potilastiedoille.
• Erityisten tietoryhmien suojat: terveystietoja käsitellään vain kirjattua nimenomaista suostumusta vastaan, ja suostumuksen puuttuessa terveyssisältö peitetään automaattisesti ennen tekoälykäsittelyä.
• Tekoälyn laajuuden rajoitus: tekoälytoiminnot toimivat vain pyytävän urheilijan tiedoilla ja hänen seuransa vuokralaisen sisällä; puettavien laitteiden ja terveystietoja ei koskaan käytetä mainontaan, profilointiin eikä mallien kouluttamiseen muille seuroille tai asiakkaille.
• Lokitus ja valvonta: todennuksen ja hallinnollisten toimien auditointilokit, poikkeamien ja käyttörajojen valvonta sekä hälytykset korotetusta pääsystä.
• Palautumiskyky: automaattiset varmuuskopiot testattuine palautuksineen ja infrastruktuurin redundanssi EU-alueen sisällä.
• Henkilöstö: salassapitositoumukset, käyttöoikeuksien tarkistus roolin muuttuessa ja välitön peruutus lähdettäessä.
• Turvallinen kehitys: koodikatselmoinnit, riippuvuuksien skannaus sekä tuotanto- ja kehitysympäristöjen erottaminen.

Rekisterinpitäjä valtuuttaa seuraavat alikäsittelijät. Ajantasaista luetteloa ylläpidetään täällä ja tietosuojaselosteessa; muutoksissa noudatetaan kohdan 6 ilmoitusmenettelyä.

• Microsoft Ireland Operations Ltd (Microsoft Azure) — pilvi-infrastruktuuri, tietokannan isännöinti ja tekoälypäättely. Euroopan unioni.
• Stripe Payments Europe Ltd — maksujen käsittely ja laskutus. EU-palvelimet tietojen sijaintirajaus käytössä; vakiosopimuslausekkeet ja/tai EU:n ja Yhdysvaltojen tietosuojakehys mahdollisissa EU:n ulkopuolisissa siirroissa.
• Microsoft Ireland Operations Ltd (Azure Communication Services) — tapahtumasähköpostien ja monivaiheisen tunnistautumisen koodien toimitus. Euroopan unioni.
• Urheilijan omasta valinnasta yhdistetyt puettavien laitteiden ja kuntoilun palveluntarjoajat — Garmin, Apple Health, Fitbit ja Google Fit, Whoop, Polar, Strava, Suunto — toimivat omien palvelujensa osalta itsenäisinä rekisterinpitäjinä; Sport99 vastaanottaa niiltä tietoja urheilijan ohjeen mukaisesti eikä lähetä niille henkilötietoja takaisin.