Політика конфіденційності

Версія privacy-2026-10-10 · чинна з 10 жовтня 2026 року

Це переклад, наданий для зручності. У разі розбіжностей переважну силу має версія іспанською мовою.

Clybo’ обробляє персональні дані відповідно до Регламенту (ЄС) 2016/679 Європейського Парламенту та Ради (Загальний регламент про захист даних, GDPR) і мальтійського законодавства, що його доповнює (Data Protection Act, розділ 586 Законів Мальти), оскільки контролер даних зареєстрований на Мальті, а також відповідно до законів штатів США про конфіденційність, якщо вони застосовні. Ця політика пояснює, які дані ми збираємо, для чого їх використовуємо, як довго зберігаємо та які ваші права.

1. Контролер даних

Контролером ваших персональних даних є FlamaTech Consulting LTD, компанія, зареєстрована під номером C99332, з адресою The Penthouse 20, Lyons Range Court, Bisazza Street,Sliema (Malta), VAT MT28308119.

Найменування: FlamaTech Consulting LTD (Clybo’)
NIF / VAT: MT28308119
Реєстраційні дані: C99332
Адреса: The Penthouse 20, Lyons Range Court, Bisazza Street, Sliema, Malta
Загальний контакт: hola@clybo.app
Інспектор із захисту даних (DPO): dpo@clybo.app

2. Які дані ми збираємо

Залежно від вашого зв’язку з Clybo’ ми обробляємо такі категорії даних:

Менеджери клубу: ім’я, електронна пошта, телефон, дані клубу (CIF, податкова адреса), банківські дані для оплати підписки.
Опікуни: ім’я, електронна пошта, телефон, документ, що посвідчує особу, платіжний ідентифікатор і поштова адреса.
Спортсмени: ім’я, дата народження, документ, медичні дані (якщо їх надає опікун), підписані згоди.
Технічні дані: IP-адреса, user agent, журнали аудиту, а за вашою згодою — електронна пошта для входу як аналітичний ідентифікатор облікового запису, відвідані сторінки, входи, використані функції, браузер, пристрій, приблизне місцезнаходження та показники продуктивності LCP, INP, CLS і FCP.

Чутливі дані. Медичні дані неповнолітніх шифруються під час зберігання за допомогою AES-256 і доступні лише уповноваженим особам клубу. Вони автоматично видаляються, коли спортсмен залишає клуб.

3. Мета та правова підстава

Ми обробляємо ваші дані з такою метою:

Мета	Оброблювані дані	Правова підстава
Реєстрація клубу та доступ до платформи	Електронна пошта, хешований пароль, ім’я, податкові дані клубу (NIF, найменування, податкова адреса)	Виконання договору (ст. 6.1.b GDPR)
Обробка внесків і виставлення електронних рахунків-фактур (VeriFactu)	Дані опікуна-платника, токенізований ідентифікатор картки та дані спортсмена	Виконання договору + юридичний обов’язок (ст. 6.1.b і 6.1.c GDPR)
Обслуговування клієнтів	Електронна пошта, зміст повідомлення, історія листування	Законний інтерес (ст. 6.1.f GDPR)
Запобігання шахрайству та безпека платформи	Журнали доступу, IP, user agent і технічні помилки сервера з мінімізованим контекстом	Законний інтерес (ст. 6.1.f GDPR)
Діагностика та виправлення помилок у панелі керування клубом	Внутрішній ідентифікатор облікового запису (не електронна пошта), клуб і роль, екран і момент помилки, тип і технічне трасування помилки та операція, яка не вдалася. Не містить даних, введених у форми, чи вмісту відповідей. Надсилається через наш API, без файлів cookie та запису сеансу, і без створення профілю особи в PostHog.	Законний інтерес (ст. 6.1.f GDPR): надання та підтримка замовленої послуги. Не залежить від згоди на аналітику; ви можете заперечити, написавши на контактну адресу.
Продуктова аналітика та вдосконалення платформи	Нормалізована електронна пошта для входу як ідентифікатор облікового запису в PostHog, відвідані сторінки, спосіб і результат входу, використані функції, браузер, пристрій, приблизне місцезнаходження та показники продуктивності LCP, INP, CLS і FCP. У застосунку для родин і у формах реєстрації — запис сеансу для виявлення збоїв: структура екрана, кліки, прокручування й час. Текст, те, що ви вводите, зображення та посилання приховуються в браузері до надсилання, тому запис не містить імен, документів чи контактних даних. Google Analytics 4 використовується лише на публічному сайті й не отримує ідентифікатора облікового запису.	Згода (ст. 6.1.a GDPR), яку можна відкликати будь-коли
Комерційні повідомлення	Електронна пошта, ім’я, назва клубу	Згода (ст. 6.1.a GDPR), яку можна відкликати будь-коли

4. Вхід через Google

Clybo’ пропонує Google як необов’язковий спосіб реєстрації та входу. Автентифікація відбувається через Google OAuth 2.0 і Supabase Auth. Використовуються scopes email і profile:

email дає змогу отримати основну адресу електронної пошти вашого облікового запису Google і дізнатися, чи підтвердив її Google.
profile дає змогу отримати доступні базові дані профілю, як-от ім’я, прізвище чи зображення. Google може надати не всі ці поля.

Ми отримуємо доступ до цих даних лише для того, щоб створити або пов’язати ваш обліковий запис, автентифікувати вас, підтримувати ваш сеанс і заповнити базові дані вашого профілю. Ця інтеграція не запитує дозволів на читання Gmail, Google Drive, Google Calendar, ваших контактів чи іншого вмісту вашого облікового запису Google.

Google передає дані через Supabase Auth, який обробляє їх як провайдер автентифікації Clybo’. Ідентифікатор особи, електронна пошта та отримані метадані профілю зберігаються в записі автентифікації, пов’язаному з вашим обліковим записом. Вони зберігаються протягом строків, що застосовуються до даних облікового запису й зазначені в розділі «Строки зберігання», і не передаються за межі необхідних провайдерів, описаних у цій політиці. Ми не продаємо ці дані й не використовуємо їх для реклами.

Ви можете скасувати підключення в розділі підключень до сторонніх сервісів у вашому обліковому записі Google. Скасування підключення запобігає майбутнім авторизаціям через Google, але саме по собі не видаляє ваш обліковий запис Clybo’ чи вже внесені до нього дані. Щоб запросити доступ до них, їх виправлення чи видалення, скористайтеся каналами з розділу «Ваші права».

Використання та передача інформації, отриманої з API Google, відповідають Google API Services User Data Policy, зокрема її вимогам щодо обмеженого використання.

5. Одержувачі даних

Ми передаємо ваші дані лише постачальникам, без яких неможливо надавати послугу, і завжди на підставі договору про обробку даних відповідно до статті 28 GDPR:

Amazon Web Services (Франкфурт, ЄС) — хостинг платформи.
Supabase (Supabase Auth) — автентифікація, пов’язування облікових записів і керування сеансами.
Stripe Payments Europe Ltd. (Дублін, ЄС) — обробка платежів.
Resend (Німеччина, ЄС) — надсилання транзакційних листів.
Cloudflare (глобальна мережа) — DNS, захист периметра та технічний транзит керованого проксі PostHog.
PostHog (інфраструктура в ЄС) — продуктова аналітика й вимірювання продуктивності в браузері за згодою; використовує нормалізовану електронну пошту для входу, щоб пов’язувати активність облікового запису між сеансами, і включає, у застосунку для родин і у формах реєстрації, записи сеансів із повністю прихованим вмістом, а також діагностику помилок сервера й панелі керування клубом на підставі законного інтересу, з попередньою мінімізацією та очищенням. Також розміщує підтримку Clybo’ у панелі, на сайті, у застосунку для персоналу та в застосунку для родин (підтримка клієнтів, законний інтерес): повідомлення, версію застосунку, тип пристрою та мову, які додаються до першого повідомлення із застосунку для персоналу або для родин, а також, якщо ви їх надали, ім’я й електронну адресу. У панелі керування чат завжди доступний; на сайті та в застосунках для персоналу й для родин він завантажується лише тоді, коли ви його відкриваєте. Ні за яких обставин він не записує вашу активність.
Google Ireland Limited (Google Analytics 4) — аналітика за згодою лише на публічному сайті. Тег не завантажується до надання згоди; він не отримує ідентифікаторів облікових записів, форм чи контактних даних, а рекламні сигнали та цілі залишаються вимкненими.
B2Brouter (Іспанія, ЄС) — виставлення та передача рахунків-фактур, коли клуб активує фіскальне доповнення.
Agencia Tributaria Española (AEAT, податкова служба Іспанії) — не є постачальником: отримує записи про рахунки-фактури, передані через VeriFactu, коли цього вимагає закон (юридичний обов’язок).

Ми не продаємо й не передаємо дані третім особам для рекламних цілей.

6. Міжнародна передача

Основні сервери та кінцевий прийом даних PostHog розташовані в Європейському Союзі. Мережевий транзит може проходити через глобальну інфраструктуру таких постачальників, як Cloudflare. Google Analytics може передбачати обробку компаніями групи Google за межами ЄЕЗ. Для такої передачі застосовуються гарантії, передбачені умовами вимірювання Google, як-от чинне рішення про адекватність або стандартні договірні положення, затверджені Європейською Комісією.

7. Строки зберігання

Активний обліковий запис: доки клуб зберігає підписку.
Обліковий запис Google: ідентифікатор, електронна пошта та профіль, внесені до облікового запису, зберігаються протягом тих самих строків, що й дані облікового запису. Скасування підключення в Google не видаляє їх із Clybo’; ви можете запросити їх видалення через канали, зазначені нижче.
Податкові дані та рахунки-фактури: 6 років із закриття фінансового року (ст. 30 Código de Comercio, Торговельного кодексу Іспанії) і 7 років із дати виставлення для записів VeriFactu.
Дані для комерційних пропозицій: доки ви не відкличете згоду.
PostHog: щонайбільше 12 місяців; записи сеансів — 30 днів.
Google Analytics 4: 2 місяці для даних користувачів і подій; на агреговані стандартні звіти цей строк зберігання не поширюється. Його файли cookie діють щонайбільше 12 місяців і не продовжують цей строк під час кожного відвідування.
Налаштування аналітики: доки ви його не зміните або не очистите локальне сховище відповідного сайту.

8. Ваші права · GDPR

Як суб’єкт даних ви маєте право на:

Доступ до своїх персональних даних.
Виправлення неточних даних.
Видалення, коли дані більше не потрібні.
Заперечення проти обробки на підставі законного інтересу.
Обмеження обробки.
Перенесення даних у структурованому та машинозчитуваному форматі.
Відкликання згоди будь-коли, без зворотної дії.

Щоб скористатися ними, напишіть на dpo@clybo.app і вкажіть своє ім’я та право, яким бажаєте скористатися. Ми відповімо щонайпізніше протягом одного місяця.

Якщо ви вважаєте, що обробка не відповідає законодавству, ви можете подати скаргу до провідного наглядового органу контролера, Information and Data Protection Commissioner (IDPC) Мальти, або до органу держави-члена, у якій ви проживаєте, працюєте чи де сталося ймовірне порушення (ст. 77 GDPR). В Іспанії це Agencia Española de Protección de Datos (AEPD, іспанське агентство із захисту даних).

9. Права на конфіденційність у США

Якщо застосовується закон штату США, його мешканці можуть мати право знати свої персональні дані або отримати до них доступ, виправити їх, вимагати їх видалення, отримати їхню копію у переносному форматі та заперечити проти їх продажу, обміну для поведінкової реклами, таргетованої реклами чи профілювання зі значними правовими наслідками. Вони також можуть користуватися цими правами без дискримінаційного ставлення.

Clybo’ не продає й не передає персональні дані в розумінні California Consumer Privacy Act (CCPA) і не використовує Google Analytics для таргетованої реклами. Попри це, сайт розпізнає Global Privacy Control (GPC) як запит на відмову від необов’язкової аналітики. Ви також можете скористатися посиланням Налаштувати файли cookie внизу сторінки або написати на dpo@clybo.app. Якщо запит буде відхилено, а закон вашого штату передбачає право на оскарження, ви можете оскаржити рішення, відповівши на нього тим самим каналом.

10. Дані неповнолітніх

Clybo’ побудовано так, що спортивний клуб є контролером даних неповнолітніх спортсменів та їхніх опікунів. Clybo’ діє як обробник даних відповідно до DPA, підписаного обома сторонами. Власну політику клубу щодо неповнолітніх клуб надає своїм опікунам під час реєстрації.

11. Безпека

Ми застосовуємо розумні технічні та організаційні заходи для захисту даних: шифрування AES-256 під час зберігання, TLS 1.3 під час передачі, рольовий контроль доступу, журнал активності, зашифровані резервні копії та регулярну перевірку постачальників.

12. Зміни цієї політики

Ця політика може оновлюватися з урахуванням правових чи операційних змін. Дата останнього перегляду зазначена на початку документа. Якщо зміни суттєві, ми повідомимо вас електронною поштою до того, як вони набудуть чинності.

13. Як із нами зв’язатися

DPO: dpo@clybo.app. Загальні питання: hola@clybo.app.