Політика конфіденційності

1. Хто відповідає за дані

Сервіс надає Stanislav Mashyn (фізична особа, Іспанія) — далі «ми». Контакт щодо персональних даних: privacy@sportcrm.app.

Дані про гравців, батьків, співробітників, заявки й оплати вносить і використовує спортивний клуб. Щодо цих даних контролер — клуб, а ми — обробник, який зберігає й обробляє їх за дорученням клубу (ст. 28 GDPR). З питаннями про ці дані (наприклад, щоб видалити дані дитини) спершу звертайтеся до клубу; ми допоможемо клубу виконати ваш запит.

Щодо облікових записів (пошта, пароль, налаштування), сповіщень, журналу змін і резервних копій контролер — ми.

2. Які дані обробляються

• Обліковий запис: електронна пошта, пароль (лише у вигляді захищеного хешу), мова, формат дати, згоди з документами.
• Співробітники клубу: ім'я, роль, телефон і месенджери, додаткові поля, які заводить клуб, хто відмітив відвідування чи прийняв оплату.
• Батьки й інші контактні особи: ім'я, телефон, месенджери, пошта, ким доводяться дитині, нотатки клубу.
• Гравці (переважно діти): ім'я, дата народження, контакти, команда, відвідуваність і причини пропусків, абонементи й оплати, зріст і вага, терміни медичної довідки й страховки, результати змагань, нотатки й додаткові поля клубу.
• Розвиток спортсмена (якщо клуб його ввімкнув): результати фізичних тестів, особисті рекорди, пояси й атестації, участь у турнірах (склад команди, ігровий номер).
• Онлайн-оплати (якщо клуб їх увімкнув): сума, за кого платять, пошта платника, стан платежу. Дані картки вводяться на сторінці Stripe і до нас не потрапляють.
• Заявки з форми на сайті клубу: прізвище, ім'я й телефон батьків, ім'я й рік народження дитини, коментар, а також історія роботи клубу із заявкою (хто й коли змінив статус чи дані).
• Посилання на календар (якщо ви підписалися на розклад у своєму календарі): посилання містить секретний ключ, а розклад (зокрема імена дітей) отримує календарний сервіс, який ви обрали. Посилання можна скасувати в налаштуваннях.
• Повідомлення з форми на sportcrm.app: ім'я, пошта, клуб і текст — лише щоб відповісти; надходять нам листом і зберігаються в пошті, доки потрібні для листування.
• Технічні дані: файли cookie для входу й налаштувань (див. Політику cookies), журнали серверів (IP-адреса, час запиту) — до 7 днів.

Дані про здоров'я (медична довідка, страховка, зріст і вага, причини пропусків, поля на кшталт «алергії») належать до особливої категорії. Клуб обробляє їх лише за явною згодою батьків, яку батьки дають клубу й підтверджують у кабінеті батьків.

3. Навіщо й на якій підставі

• Надати сервіс клубу й користувачам — виконання договору (умови користування), ст. 6(1)(b) GDPR.
• Дані гравців і батьків у клубі — на підставі, яку має клуб: договір з батьками про заняття, законний інтерес клубу або згода батьків.
• Дані про здоров'я — явна згода батьків, ст. 9(2)(a) GDPR.
• Ознаки, що гравець може кинути заняття (кілька пропусків поспіль, борг понад тиждень, різке падіння відвідуваності), — законний інтерес клубу зберегти гравця, ст. 6(1)(f) GDPR. Це автоматична оцінка, тобто профілювання, але вона нічого не вирішує сама: менеджер клубу лише отримує задачу зв'язатися з родиною. Заперечити проти неї можна, звернувшись до клубу.
• Безпека, захист від зловживань, резервні копії — наш законний інтерес, ст. 6(1)(f) GDPR.
• Виконання вимог закону (наприклад, відповідь на законний запит органу) — ст. 6(1)(c) GDPR.

Ми не продаємо дані, не показуємо рекламу, не використовуємо аналітику відвідувачів і не передаємо дані третім особам для їхніх цілей. Єдине профілювання — ознаки ризику вище; рішень, які мають для людини юридичні чи подібні суттєві наслідки, система автоматично не ухвалює (ст. 22 GDPR).

4. Діти

Діти не мають власних облікових записів: дані про них вносять клуб і батьки. Реєструватися в сервісі можуть лише повнолітні. Батьки бачать дані своєї дитини в кабінеті батьків, можуть виправити ім'я й дату народження та попросити клуб видалити чи знеособити дані.

5. Хто бачить дані

• Співробітники клубу — відповідно до ролі (власник, супорт, менеджер, тренер). Клуб може обмежити тренерів гравцями лише їхніх команд.
• Батьки — дані лише своїх дітей.
• Адміністратор платформи — лише для підтримки й усунення несправностей; його дії записуються в журнал змін.
• Обробники, які допомагають нам надавати сервіс (див. нижче).

6. Обробники й передача даних за межі ЄС

• Supabase — база даних і вхід; дані зберігаються в ЄС (Ірландія).
• Cloudflare — сервери застосунку й захист; обробка відбувається в регіоні ЄС, мережа Cloudflare глобальна.
• GitHub (Microsoft) — зашифровані резервні копії бази до 30 днів; США.
• Telegram — лише якщо батьки самі підключили бота для нагадувань: ім'я дитини, час заняття, борг, термін довідки.
• Поштовий сервіс — для листів відновлення пароля й підтверджень.
• Cloudflare Turnstile — перевірка, що форму на sportcrm.app заповнює людина, а не бот; не для реклами чи відстеження.
• Stripe — лише якщо клуб увімкнув онлайн-оплату: платіж надходить на рахунок клубу в Stripe; Stripe отримує суму, пошту платника й дані картки (картку ми не бачимо й не зберігаємо). Щодо самого платежу Stripe діє як самостійний контролер за власною політикою конфіденційності; можлива передача даних до США.

Передача до США відбувається на підставі рамкової угоди ЄС–США про конфіденційність даних (Data Privacy Framework) або стандартних договірних умов Європейської комісії. Про зміну обробників ми повідомляємо клуби заздалегідь.

7. Скільки зберігаємо

• Обліковий запис — доки ви його не видалите.
• Дані клубу — доки клуб їх не видалить або доки не видалено клуб.
• Архівні гравці — клубу пропонується знеособити їх через 3 роки.
• Закриті заявки — 12 місяців.
• Прочитані сповіщення, використані й протерміновані запрошення — 90 днів.
• Журнал змін — 30 днів; резервні копії — 30 днів; журнали серверів — до 7 днів.
• Записи про згоди — доки потрібно довести, що згоду було надано.

8. Ваші права

Ви маєте право отримати свої дані та їх копію, виправити, видалити, обмежити обробку, заперечити проти обробки, отримати дані у форматі для перенесення та відкликати згоду в будь-який момент (це не впливає на законність попередньої обробки).

• Вивантажити свої дані й видалити обліковий запис можна самостійно в налаштуваннях.
• Щодо даних у клубі (зокрема даних дитини) — зверніться до клубу або до нас: privacy@sportcrm.app.
• Ми відповідаємо протягом місяця.

Ви також можете подати скаргу до наглядового органу: в Іспанії — Agencia Española de Protección de Datos (aepd.es), або до органу своєї країни (в Україні — Уповноважений Верховної Ради з прав людини).

9. Безпека

Зв'язок шифрується (HTTPS), база даних шифрується на дисках, доступ до даних кожного клубу обмежено правилами на рівні бази, резервні копії зашифровані, а зміни записуються в журнал. Про витік даних, що загрожує вашим правам, ми повідомимо клуб без зволікань, а наглядовий орган — протягом 72 годин.

10. Cookies

Ми використовуємо лише необхідні cookies: для входу в обліковий запис і для ваших налаштувань (мова, формат дати, тема). Аналітичних і рекламних cookies немає, тому окремої згоди й банера не потрібно. Перелік cookies зі строками — у Політиці cookies.

11. Зміни

Якщо ми суттєво змінимо цю політику, ви побачите нову редакцію й підтвердите її під час наступного входу. Дата редакції вказана вгорі.