Международное поручение на обработку данных (DPA)

1. Стороны и роли

Клуб или академия является оператором/контроллером персональных данных, которые он загружает, собирает или организует в UTEAM Club для собственных целей. Поставщик UTEAM, указанный в применимом заказе или договоре, является обработчиком этих данных.

Поставщиком является Оганисян Артем Араевич, ИП Республики Армения, ИНН 20393333. Применимый заказ или договор определяет услуги и инструкции по обработке, охватываемые настоящим DPA.

Для собственных данных аккаунта, договора, безопасности, поддержки и биллинга UTEAM выступает самостоятельным оператором. Paddle, если он указан в checkout, обрабатывает сведения покупателя и оплаты по собственным условиям как Merchant of Record и не получает по настоящему DPA сведения о здоровье, спортивные данные или содержимое рабочего пространства клуба.

2. Инструкции и цели

Обработчик действует только по документированным инструкциям для предоставления Платформы, ролевого доступа, хранения, резервного копирования, поддержки, безопасности, экспорта и удаления. Инструкции включают настоящее DPA, заказ, настройки, запросы клиента и действия уполномоченных пользователей в интерфейсе.

Если инструкция явно нарушает применимое законодательство о данных, Обработчик уведомляет Контроллера и вправе приостановить её до разрешения вопроса.

3. Субъекты и данные

Субъектами могут быть игроки, включая несовершеннолетних, родители и представители, тренеры, сотрудники, подрядчики, специалисты по здоровью и восстановлению и другие добавленные клубом лица.

Данные могут включать идентификационные и контактные сведения, команду и роль, посещаемость, расписание, спортивные результаты, тесты, GPS и нагрузку, документы, идентификаторы аккаунта и устройства и иные материалы клиента.

При включении соответствующих модулей могут обрабатываться внесённые специалистами сведения о здоровье, травмах, боли, восстановлении, ограничениях и истории мероприятий. UTEAM не ставит диагнозы и не формирует медицинские рекомендации. Контроллер определяет цель обработки и обеспечивает правовое основание, уведомления, разрешения и меры защиты, особенно для сведений о здоровье и несовершеннолетних.

4. Обязанности Обработчика

• обрабатывать данные только в пределах документированных инструкций;
• обеспечивать конфиденциальность и ролевой доступ по принципу минимальных привилегий;
• применять разумные организационные и технические меры защиты;
• содействовать обработке запросов субъектов и предоставлению compliance-информации;
• без неоправданной задержки сообщать о подтверждённом инциденте с данными;
• вести сведения, необходимые для подтверждения исполнения DPA;
• удалять или возвращать данные после завершения услуги с учётом обязательного хранения и ротации резервных копий.

5. Обязанности Контроллера

• давать законные, точные и документированные инструкции;
• предоставлять уведомления и получать необходимое согласие либо иное основание;
• проверять полномочия представителей детей и иных лиц;
• настраивать роли и своевременно прекращать ненужный доступ;
• не загружать данные, избыточные для заявленной цели;
• отвечать субъектам и регуляторам в соответствии с применимым законом.

6. Субобработчики и размещение

Текущие основное приложение, база данных, объектное хранилище и резервные копии используют инфраструктуру Yandex Cloud в Российской Федерации. Служебная почта может использовать Yandex Mail/SMTP. При включении push-уведомлений технические маршрутные данные могут проходить через Expo Push и Apple Push Notification service либо Firebase Cloud Messaging.

Обработчик привлекает субобработчиков только для работы Сервиса, устанавливает надлежащие обязанности конфиденциальности и безопасности и отвечает за их обработку в рамках DPA. О существенных изменениях сообщается через Сайт, аккаунт или email, когда это практически возможно.

7. Международные передачи

Каждая сторона отвечает за механизмы передачи, уведомления, оценки или разрешения, требуемые от неё применимым законом. Контроллер не должен поручать незаконную передачу. Обработчик минимизирует передаваемые данные и предоставляет доступную информацию об инфраструктуре и субобработчиках.

8. Инциденты

После подтверждения инцидента с данными клиента Обработчик без неоправданной задержки сообщает Контроллеру доступную информацию о характере, затронутых данных, возможных последствиях и мерах реагирования. Контроллер отвечает за обязательные уведомления субъектов и органов.

9. Возврат и удаление

Контроллеру следует запросить доступную выгрузку до прекращения услуги. Если заказом не установлено иное, активные данные клиента удаляются не позднее трёх календарных дней после завершения поручения, кроме данных, которые необходимо хранить по закону. Резервные копии исключаются из активного использования и ротируются не позднее четырнадцати календарных дней после удаления основных данных.

10. Граница платёжных данных

Платёжные провайдеры обрабатывают платёжные реквизиты в размещённой у них или контролируемой ими среде. UTEAM может получать идентификаторы клиента, операции и подписки, сумму, валюту, статус и ограниченные сведения о способе оплаты для предоставления доступа и поддержки. UTEAM не хранит полный номер банковской карты, CVV или CVC.

11. Срок и приоритет

DPA действует, пока Обработчик обрабатывает данные клиента. При противоречии с общими условиями продукта в части обработки данных клиента применяется DPA. Обязательный закон, подписанный договор или применимое приложение о передаче имеют приоритет, когда это требуется.

Вопросы: info@uteam.club. См. также Политику конфиденциальности.