Pogodba o obdelavi podatkov

Upravljavec je klub, zveza ali organizacija, ki ima naročnino na Sport99 in katere skrbnik je sprejel te pogoje. Obdelovalec je Inovitus 9 d.o.o., Slovenija, ki upravlja platformo Sport99. Kadar ima posamezen športnik svoj račun Sport99 zunaj kluba, je Inovitus 9 upravljavec za ta račun in ta pogodba zanj ne velja — namesto nje velja Politika zasebnosti.

Predmet je obdelava osebnih podatkov, potrebnih za zagotavljanje platforme Sport99 upravljavcu: vodenje športnikov in osebja, načrtovanje treninga, prisotnost, zapisi o zmogljivosti in obremenitvi, komunikacija, zajem podatkov nosljivih naprav, analiza s pomočjo umetne inteligence in obračunavanje. Obdelava traja v obdobju naročnine, k temu pa se prištejejo roki hrambe iz 11. razdelka.

Upravljavčeva nastavitev platforme, njegova uporaba funkcij in ta pogodba skupaj tvorijo dokumentirana navodila. Če menimo, da navodilo krši Splošno uredbo o varstvu podatkov ali drugo pravo EU ali države članice o varstvu podatkov, bomo upravljavca nemudoma obvestili in lahko izvajanje tega navodila zadržimo, dokler zadeva ni razrešena.

Vsakogar, ki ga pooblastimo za obdelavo osebnih podatkov po tej pogodbi, zavezuje pisna obveznost zaupnosti ali ustrezna zakonska dolžnost varovanja skrivnosti, ki velja tudi po prenehanju njegovega sodelovanja. Dostop se dodeljuje po načelu potrebe po seznanitvi, se redno pregleduje in ob spremembi vloge odvzame. Dostop do zdravstvenih zapisov in zdravniških zaznamkov zahteva povišano pooblastilo in se beleži za revizijo.

Izvajamo ustrezne tehnične in organizacijske ukrepe po 32. členu, pri čemer upoštevamo najnovejši tehnološki razvoj, stroške izvajanja in tveganje za posameznike — ki je tu povišano, ker platforma obdeluje zdravstvene podatke o otrocih. Veljavni ukrepi so našteti v Prilogi II. Lahko jih posodobimo, vendar ne tako, da bi bistveno znižali raven zaščite.

Upravljavec daje splošno pisno odobritev za podobdelovalce, navedene v Prilogi III. Za njihovo izvajanje ostajamo v celoti odgovorni upravljavcu in vsakemu od njih naložimo obveznosti varstva podatkov, ki niso manj varovalne od tistih v tej pogodbi. O dodajanju ali zamenjavi podobdelovalca bomo upravljavca obvestili vsaj 30 dni vnaprej. Upravljavec lahko v tem roku ugovarja iz utemeljenih razlogov varstva podatkov; če ugovora ne moremo razrešiti, lahko upravljavec brez pogodbene kazni odpove prizadeti del naročnine in prejme sorazmerno vračilo.

Vsi osebni podatki, obdelani prek platforme Sport99, se hranijo v Evropski uniji. Osebnih podatkov ne prenašamo zunaj Evropskega gospodarskega prostora, razen kadar to stori podobdelovalec iz Priloge III na podlagi odobrenega mehanizma prenosa — standardnih pogodbenih klavzul, sklepa o ustreznosti ali Okvira EU-ZDA za zasebnost podatkov — skupaj z morebitnimi dopolnilnimi ukrepi, ki jih ugotovi ocena prenosa. Upravljavca bomo obvestili, preden se začne katera koli nova kategorija prenosa.

Platforma upravljavcu zagotavlja samopostrežna orodja za dostop, izvoz, popravek, omejitev in izbris, ki so glavna pot za obravnavo zahteve. Kadar posameznik stopi v stik neposredno z nami, v imenu upravljavca ne bomo odgovorili; zahtevo bomo brez nepotrebnega odlašanja posredovali upravljavcu in o tem obvestili posameznika. Kadar zahteve ni mogoče izpolniti s samopostrežnimi orodji, bomo pomagali z ustreznimi tehničnimi in organizacijskimi ukrepi ob upoštevanju narave obdelave.

Upravljavca bomo obvestili brez nepotrebnega odlašanja in v vsakem primeru v 48 urah po tem, ko izvemo za kršitev varstva osebnih podatkov, ki zadeva njegove podatke. Obvestilo bo opisalo naravo kršitve, kategorije in približno število zadevnih posameznikov in zapisov, verjetne posledice, sprejete ali predlagane ukrepe in kontaktno točko — po fazah, kadar celotna slika še ni na voljo. Nadzornega organa ali posameznikov ne bomo obvestili v imenu upravljavca, razen če nam to naroči.

Ker platforma v znatnem obsegu obdeluje zdravstvene podatke posebne vrste o mladoletnih, bo od upravljavca po 35. členu verjetno zahtevana ocena učinka v zvezi z varstvom podatkov. Zagotovili bomo informacije, ki so razumno potrebne za njeno izdelavo — vključno z opisi iz Prilog I in II, našo varnostno ureditvijo in ureditvijo podobdelovalcev — ter pomagali pri morebitnem predhodnem posvetovanju z nadzornim organom.

Ob prenehanju lahko upravljavec 30 dni izvaža svoje podatke z izvoznimi orodji platforme. Po tem roku osebne podatke upravljavca izbrišemo iz aktivnih sistemov in v nadaljnjih 90 dneh iz varnostnih kopij, razen kadar pravo EU ali slovensko pravo zahteva nadaljnjo hrambo — zlasti obračunske evidence, ki jih moramo po računovodski zakonodaji hraniti 7 let, in evidence privolitev, ki jih hranimo kot dokaz o skladnosti. Izbris na zahtevo pisno potrdimo.

Upravljavcu bomo dali na voljo informacije, potrebne za izkazovanje skladnosti z 28. členom, ter omogočili revizije, vključno s pregledi, ki jih izvede upravljavec ali revizor, ki ga pooblasti, in k njim prispevali. Revizije so omejene na eno v 12-mesečnem obdobju, razen če kršitev ali nadzorni organ zahteva drugače, jih je treba zahtevati s 30-dnevnim odpovednim rokom, ne smejo nerazumno motiti storitve ali ogroziti zaupnosti podatkov drugih upravljavcev in so na stroške upravljavca. Zahtevo za revizijo lahko izpolnimo z zagotovitvijo veljavne ocene tretje osebe ali varnostne dokumentacije, kadar ta razumno odgovarja na zastavljena vprašanja.

Vsaka stranka odgovarja za lastno skladnost s Splošno uredbo o varstvu podatkov v svoji vlogi. Za to pogodbo veljajo določbe o odgovornosti iz Splošnih pogojev, pri čemer nič ne omejuje odgovornosti nobene stranke do posameznika po 82. členu. Kadar je ta pogodba v nasprotju s Splošnimi pogoji ali Politiko zasebnosti glede varstva podatkov, prevlada ta pogodba. Kadar je v nasprotju s kogentnim pravom, prevlada pravo, preostanek te pogodbe pa ostane v veljavi.

Kategorije posameznikov: športniki (vključno z mladoletnimi), starši in skrbniki, trenerji in strokovno osebje, skrbniki klubov, zdravstveno in fizioterapevtsko osebje, kadar jim klub odobri dostop, ter obiskovalci ali potencialni člani, ki uporabljajo funkcije sprejemne pisarne.

• Identitetni in kontaktni podatki: ime, elektronski naslov, telefonska številka, datum rojstva, profilna fotografija, pripadnost klubu in ekipi, vloga.
• Podatki o treningu in zmogljivosti: prisotnost, treningi, obremenitve, primerjalne vrednosti, rezultati testov, trenerski zaznamki, tekmovalni rezultati, sledi GPS in gibanja.
• Podatki posebne vrste po 9. členu: zapisi o poškodbah, zdravniški in fizioterapevtski zaznamki, prijave duševnega počutja, vnosi o prehrani in biometrične meritve, uvožene z nosljivih naprav — srčni utrip in njegova spremenljivost, spanje, okrevanje in ocene pripravljenosti.
• Podatki o skrbnikih in zaščiti otrok: identiteta in kontaktni podatki skrbnika, evidence privolitev in iz njih izpeljane starostne omejitve dostopa.
• Finančni podatki: članarine, računi, stanje plačil in identifikatorji za DDV. Podatke o karticah obdeluje Stripe in jih nikoli ne hranimo.
• Tehnični podatki: dogodki avtentikacije, naslov IP, podatki o napravi in brskalniku, revizijski dnevniki.
• Narava in namen: zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, priklic, vpogled, analiza (vključno z analizo s pomočjo umetne inteligence), razkritje pooblaščenim uporabnikom kluba, omejitev, izbris in uničenje — za namen vodenja športnikov, načrtovanja treninga in upravljanja športnega kluba.
• Trajanje: v obdobju naročnine, k temu pa se prištejejo roki hrambe iz 11. razdelka.

• Lokacija podatkov: vsi osebni podatki so shranjeni in obdelani v Evropski uniji (Microsoft Azure, Sweden Central).
• Ločenost najemnikov: večnajemniška varnost na ravni vrstic, pri čemer je vsaka poizvedba omejena na najemnika, ki jo je sprožil, in se uveljavlja pod aplikacijsko plastjo.
• Šifriranje: TLS za podatke med prenosom; šifriranje v mirovanju za podatkovne baze, varnostne kopije in shrambo datotek.
• Nadzor dostopa: dostop na podlagi vlog, načelo najmanjših pravic, obvezna večfaktorska avtentikacija za vse račune ter povišano pooblastilo z revizijskim beleženjem za zdravstvene in zdravniške zapise.
• Zaščite za podatke posebne vrste: zdravstveni podatki se obdelujejo samo ob zabeleženi izrecni privolitvi, ob odsotnosti privolitve pa se zdravstvena vsebina pred obdelavo z umetno inteligenco samodejno prekrije.
• Omejitev obsega umetne inteligence: funkcije umetne inteligence delujejo samo na podatkih športnika, ki je zahtevo sprožil, in znotraj najemnika njegovega kluba; podatki nosljivih naprav in zdravstveni podatki se nikoli ne uporabljajo za oglaševanje, profiliranje ali za učenje modelov za druge klube ali stranke.
• Beleženje in spremljanje: revizijski dnevniki avtentikacije in skrbniških dejanj, spremljanje anomalij in omejitev števila zahtevkov ter opozarjanje ob privilegiranem dostopu.
• Odpornost: samodejne varnostne kopije s preizkušeno obnovitvijo in redundanca infrastrukture znotraj regije EU.
• Osebje: zaveze o zaupnosti, pregled dostopa ob spremembi vloge in takojšen odvzem ob odhodu.
• Varen razvoj: pregled kode, pregledovanje odvisnosti in ločitev produkcijskih od razvojnih okolij.

Upravljavec odobrava naslednje podobdelovalce. Veljavni seznam se vodi tu in v Politiki zasebnosti; spremembe potekajo po postopku obveščanja iz 6. razdelka.

• Microsoft Ireland Operations Ltd (Microsoft Azure) — oblačna infrastruktura, gostovanje podatkovne baze in sklepanje z umetno inteligenco. Evropska unija.
• Stripe Payments Europe Ltd — obdelava plačil in izdajanje računov. Strežniki v EU z omogočenim bivanjem podatkov; standardne pogodbene klavzule in/ali Okvir EU-ZDA za zasebnost podatkov za morebitni prenos zunaj EU.
• Microsoft Ireland Operations Ltd (Azure Communication Services) — dostava transakcijske pošte in kod za večfaktorsko avtentikacijo. Evropska unija.
• Ponudniki nosljivih naprav in fitnesa, ki jih poveže športnik po lastni izbiri — Garmin, Apple Health, Fitbit in Google Fit, Whoop, Polar, Strava, Suunto — delujejo kot samostojni upravljavci za svoje storitve; Sport99 od njih prejema podatke po navodilu športnika in jim osebnih podatkov ne pošilja nazaj.