GDPR · Як ми його дотримуємося
Як Clybo’ дотримується Загального регламенту про захист даних (GDPR), зокрема роль обробника даних, яку ми виконуємо для кожного клубу.
На цій сторінці коротко описано, як Clybo’ дотримується Регламенту (ЄС) 2016/679 (Загальний регламент про захист даних, GDPR) і мальтійського законодавства, що його доповнює (Data Protection Act, розділ 586), а також пояснено розподіл ролей між клубом (контролер) і Clybo’ (обробник даних).
1. Ролі за GDPR
| Роль | Хто її виконує | Що визначає |
|---|---|---|
| Контролер даних | Спортивний клуб | Цілі обробки даних спортсменів, опікунів і персоналу. |
| Обробник даних | FlamaTech Consulting LTD (Clybo’) | Обробляє дані від імені клубу за його вказівками відповідно до підписаного DPA. |
| Субобробники | Постачальники, перелічені в політиці конфіденційності (хостинг, автентифікація, платежі, електронна пошта, аналітика та виставлення рахунків) | Конкретні послуги за договором про обробку відповідно до статті 28 GDPR. AEAT (податкова служба Іспанії) не є субобробником: вона отримує податкові записи на підставі юридичного обов’язку. |
2. Договір про обробку даних (DPA)
Перш ніж створити клуб, його адміністратор має в електронній формі прийняти чинні Умови та DPA. Система реєструє користувача, дату, прийняті версії та технічні докази прийняття. DPA має містити вимоги статті 28 GDPR:
- Предмет, тривалість, характер і мету обробки.
- Тип персональних даних і категорії суб’єктів даних.
- Обов’язки обробника: конфіденційність, безпека, допомога контролеру, повідомлення про порушення.
- Порядок залучення субобробників на підставі попереднього загального дозволу.
- Повернення або видалення даних після завершення договору.
Якщо вам потрібна копія DPA до укладення договору, напишіть на dpo@clybo.app.
3. Технічні та організаційні заходи
- Шифрування: AES-256 під час зберігання, TLS 1.3 під час передачі.
- Контроль доступу: автентифікація через провайдера (Supabase Auth), рольовий контроль, підписані claims.
- Розмежування між клієнтами (multi-tenant): ізоляція за
club_id+ Row-Level Security у PostgreSQL. - Простежуваність: журнал активності для чутливих операцій.
- Резервні копії: щоденні зашифровані копії зі строком зберігання 30 днів.
- Перевірка постачальників: попередня оцінка та щорічна переоцінка кожного субобробника.
4. Повідомлення про порушення безпеки
У разі порушення безпеки, що зачіпає персональні дані, ми повідомимо клуб-контролер щонайпізніше протягом 72 годин із моменту, коли нам стане про це відомо, відповідно до статті 33.2 GDPR. Повідомлення міститиме характер, категорії та обсяг зачеплених даних, вжиті заходи й контактну особу.
5. Права суб’єктів даних
Коли опікун, спортсмен або член персоналу користується правом ARCO+ (доступ, виправлення, видалення, заперечення, обмеження, перенесення), він має звернутися до клубу-контролера. Clybo’ допоможе клубу технічними засобами, необхідними для відповіді суб’єкту даних у встановлений законом строк.
6. Міжнародна передача
Дані зберігаються переважно в інфраструктурі, розташованій у Європейському Союзі. Деякі субобробники можуть обробляти дані за межами ЄЕЗ; у таких випадках ми застосовуємо стандартні договірні положення, затверджені Європейською Комісією, або рішення про адекватність, що гарантує рівень захисту, рівнозначний GDPR.
7. Контакти та скарги
Інспектор із захисту даних: dpo@clybo.app.
Провідним наглядовим органом для Clybo’ є Information and Data Protection Commissioner (IDPC) Мальти. Будь-який суб’єкт даних також може подати скаргу до органу своєї держави-члена (в Іспанії — AEPD, іспанське агентство із захисту даних).