Договор за обработване на лични данни

Клубът е администратор на личните данни. Доставчикът е обработващ лични данни и обработва данните само от името на Клуба и по неговите документирани указания.

Указанията на Клуба са този договор и действията му в Платформата (въвеждане, промяна, изтриване, настройки на достъпа). Ако Доставчикът прецени, че указание нарушава ОРЗД или ЗЗЛД, незабавно уведомява Клуба.

Предмет: съхраняване и обработване на данни, нужни за управлението на спортната дейност на Клуба чрез Платформата – описани в Приложение 1.

Срок: докато действа договорът за ползване на Платформата и до изтриването на данните след прекратяването му.

Цел: предоставяне на услугите на Платформата на Клуба и неговите Потребители. Доставчикът не ползва данните за свои цели, не ги продава и не ги използва за реклама.

Доставчикът:

•обработва данните само по указание на Клуба, освен ако закон го задължава друго – тогава уведомява Клуба, ако законът позволява;

•осигурява поверителност – достъп до данните имат само лица, обвързани със задължение за поверителност, и само доколкото е нужно за поддръжка;

•прилага технически и организационни мерки по Приложение 2;

•ползва подизпълнители само по раздел 4;

•съдейства на Клуба при искания на субектите на данни (достъп, поправка, изтриване, ограничаване, преносимост, възражение), включително чрез функциите на Платформата за износ и изтриване;

•съдейства на Клуба за сигурността, при нарушения, при оценка на въздействието и при консултации с КЗЛД;

•води регистър на дейностите по обработване като обработващ (чл. 30, ал. 2 ОРЗД);

•предоставя на Клуба информацията, нужна за доказване на съответствието, и допуска проверка веднъж годишно с предизвестие от 30 дни, за сметка на Клуба.

Клубът дава общо разрешение Доставчикът да ползва подизпълнителите от Приложение 3. Доставчикът ги обвързва писмено със задължения за защита на данните, равностойни на този договор, и отговаря за тях.

За нов или сменен подизпълнител Доставчикът уведомява Клуба в Платформата или по имейл най-малко 14 дни предварително. Клубът може да възрази в този срок по обосновани причини; ако страните не постигнат решение, Клубът може да прекрати договора без неустойка.

Базата данни и файловете се съхраняват в ЕС (Франкфурт, Германия). Когато подизпълнител има достъп от трета държава, предаването е въз основа на решение на Европейската комисия за адекватност (вкл. Рамката за защита на данните ЕС–САЩ) или стандартни договорни клаузи по чл. 46 ОРЗД.

Доставчикът уведомява Клуба без ненужно забавяне и не по-късно от 48 часа, след като узнае за нарушение на сигурността на личните данни, така че Клубът да може да уведоми КЗЛД в 72-часовия срок по чл. 33 ОРЗД.

Уведомлението съдържа: естеството на нарушението, категориите и приблизителния брой засегнати лица и записи, лице за контакт, вероятните последици и предприетите или предлаганите мерки. Ако не цялата информация е налична веднага, тя се предоставя на етапи.

При прекратяване Клубът може да поиска износ на данните си в рамките на 30 дни. След това Доставчикът изтрива данните не по-късно от 12 месеца след прекратяването (по-рано – по искане на Клуба), освен ако закон изисква съхранение. Резервните копия се презаписват до 30 дни след изтриването.

Клубът отговаря за законосъобразността на обработването: има правно основание, информира субектите, събира съгласията на родителите за снимки и здравни данни, отговаря на исканията им и въвежда само необходимите данни (без ЕГН и излишни медицински документи).

Отговорността на страните спрямо субектите на данни е по чл. 82 ОРЗД. В отношенията между страните отговорността е разпределена така: Доставчикът отговаря само ако е обработвал данните извън или противно на законните указания на Клуба или е нарушил задълженията си по чл. 28 ОРЗД умишлено или при груба небрежност; във всички останали случаи отговорността носи Клубът като администратор и той обезщетява Доставчика (чл. 82, ал. 5 ОРЗД). Ограниченията на отговорността в Общите условия се прилагат и към този договор.

Прилага се българското право; спорове се решават от компетентния български съд. При противоречие с Общите условия по въпроси на личните данни предимство има този договор.

Субекти на данни

•Футболисти, включително деца; · родители и настойници; · треньори и служители на Клуба; · администратори на Клуба.

Категории данни

•Идентификация и контакт: имена, дата на раждане, телефон и имейл на родител/треньор, потребителско име.

•Спортни данни: отбор и набор, позиции, ръст и тегло, присъствие, мачове (минути, голове, картони), оценки и коментари на треньора, физически тестове, мисии, тренировъчно натоварване.

•Финансови данни: месечни такси и плащания (без банкови карти).

•Снимки на футболисти – само ако Клубът ги качи със съгласие на родителя.

•Здравни данни (специална категория) – самочувствие, контузии, натоварване, хранене – само ако Клубът ползва секцията Здраве и има изрично съгласие.

•Технически данни: последен вход, настройки, известия.

Действия

Събиране, записване, съхраняване, организиране, преглед, промяна, предоставяне на оправомощени Потребители според ролята им, износ, изтриване.

•Разделяне на клубовете на ниво база данни (правила за достъп на всеки ред) – потребител на един клуб не може да види данни на друг.

•Достъп по роли: треньорът вижда само своите набори; родителят – само своето дете; коментарите на треньора не се показват на родителите.

•Шифроване при пренос (HTTPS/TLS) и при съхранение (шифровани дискове).

•Паролите се пазят само като необратим хеш (bcrypt). Началните пароли се сменят задължително при първия вход.

•Снимките на деца се пазят в частно хранилище и се отварят само с временни връзки за оправомощени потребители.

•Резервни копия – доколкото се предоставят от хостинг доставчика. В пилотния период не се гарантира наличие на резервни копия; Клубът пази собствено копие на важните данни.

•Достъп на персонала на Доставчика само при нужда от поддръжка, със задължение за поверителност; Доставчикът не преглежда данни на деца без искане на Клуба.

•Записи за важни действия (импорт, създаване на входове, промени в плана).

•Обновяване на софтуера и проверки за сигурност при всяка промяна.

•Supabase, Inc. (САЩ) – База данни, файлове (снимки, документи), вход в системата. Данните се съхраняват в ЕС – център за данни на AWS във Франкфурт (Германия). Достъп от САЩ за поддръжка – при стандартни договорни клаузи на ЕС.

•Vercel, Inc. (САЩ) – Хостинг и доставяне на уеб приложението. Обработва заявките при ползване на портала; глобална мрежа. Стандартни договорни клаузи на ЕС / Рамка за защита на данните ЕС–САЩ.

•OpenAI, L.L.C. (САЩ) – AI анализ – само ако клубът го включи, само за треньори и админ. Изпращат се само данните, нужни за конкретния анализ (напр. статистика от мач, оценки), без снимки, телефони и данни за контакт. По API данните не се ползват за обучение на модели. Стандартни договорни клаузи на ЕС.

•Услуги за известия на браузъра (Google, Apple, Mozilla) – Доставяне на известия на телефона – само ако потребителят ги включи. Предава се криптирано известие (заглавие и кратък текст) до устройството на потребителя.