Pravila privatnosti

Markus Müller, koji posluje pod nazivom Pixel33 Software, voditelj je obrade podataka vlasnika računa te obrade povezane s web-stranicom, obračunom, sigurnošću i vlastitom analizom korištenja.

Ako organizator turnira unosi podatke o ekipama, sudionicima, osobama koje skrbe o sudionicima, sucima ili drugim osobama, u pravilu odlučuje o svrsi i sadržaju te obrade i u tom je pogledu voditelj obrade. Pixel33 Software u pravilu obrađuje te podatke kao izvršitelj obrade u skladu s čl. 28. GDPR-a.

Organizator mora imati odgovarajuću pravnu osnovu i informirati ispitanike u skladu s čl. 13. odnosno čl. 14. GDPR-a. To osobito vrijedi za imena, slike i druge podatke maloljetnika na turnirima mladih. Prije objave organizator mora provjeriti je li objava dopuštena i u kojem opsegu.

Glavni ugovor o obradi podataka dostupan je na poveznici Pixel33 ugovor o obradi podataka .

Platformu udomljuje STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. Pri pristupu se osobito obrađuju IP adresa, datum i vrijeme, zatraženi resurs, HTTP status, količina prenesenih podataka, izvor dolaska, preglednik i operacijski sustav.

Svrhe su isporuka sadržaja, stabilnost, analiza pogrešaka i zaštita od zlouporabe. Pravna osnova je čl. 6. st. 1. t. (f) GDPR-a; legitimni interes je siguran i pouzdan rad. Ako je obrada potrebna za izvršenje ugovora, dodatno se primjenjuje čl. 6. st. 1. t. (b) GDPR-a. Sa STRATO-om je sklopljen ugovor u skladu s čl. 28. GDPR-a.

Pri registraciji i korištenju računa obrađujemo korisničko ime, adresu e-pošte, lozinku pohranjenu samo kao kriptografski sažetak, status aktivacije, podatke o računu i tarifi, vremena prijave te tehničke sigurnosne podatke. Za aktivaciju, prijavu, automatsku prijavu i ponovno postavljanje lozinke dodatno se obrađuju tokeni za aktivaciju, prijavu i vremenski ograničeno ponovno postavljanje.

Ti podaci služe za izradu računa, autentifikaciju, izvršenje ugovora i sprječavanje zlouporabe. Pravne osnove su čl. 6. st. 1. t. (b) i (f) GDPR-a. Poruke e-pošte za aktivaciju, sigurnost i ponovno postavljanje potrebne su za zatraženu funkciju računa i nisu promidžbene poruke.

Korištenje kao gost moguće je ako funkcija ne zahtijeva račun. Pritom se ipak obrađuju podaci o povezivanju, sesiji i pregledima stranica te podaci o turniru koje gost unese.

Ovisno o korištenim funkcijama, osobito obrađujemo:

• naziv turnira, organizatora, mjesto, termine, sustav, terene, pravila i postavke;
• ekipe, imena sudionika, kontaktne podatke, raspodjelu po skupinama, logotipe i slike;
• rasporede utakmica, parove, rezultate, tablice, status turnira, mjerač vremena uživo i praćenje događaja uživo;
• podatke o sponzorima, njihove logotipe, web-stranice i druge učitane sadržaje;
• QR kodove, PDF-ove, widgete, vanjske poveznice na turnire i vanjske prijave rezultata.

Obrada se provodi radi pružanja odabranih funkcija platforme na temelju čl. 6. st. 1. t. (b) GDPR-a, odnosno, za podatke trećih osoba, u ime organizatora u skladu s čl. 28. GDPR-a.

Stranice prikaza uživo, turnira i događaja označene kao javne dostupne su širom svijeta bez prijave. Gledatelji, primatelji podijeljenih poveznica i, prema okolnostima, tražilice mogu dohvaćati, pohranjivati ili indeksirati te sadržaje. Organizatori bi stoga trebali objavljivati samo podatke potrebne za tu svrhu i zakonito odobrene za objavu.

Za interno mjerenje dosega i tehničku optimizaciju u vlastitoj bazi podataka osobito pohranjujemo IP adresu, ID sesije, identifikator korisnika ili administratora (ako je prijavljen), posjećenu stranicu i vrijeme, metodu zahtjeva, izvor dolaska, jezik preglednika, korisnički agent te UTM parametre. Posjećeni URL može sadržavati i identifikatore kampanja kao što su gad_source, fbclid ili rdt_cid . Pregledi stranica nakon prijave mogu se povezati s registriranim korisnikom.

Svrhe su mjerenje dosega, povezivanje s kampanjama, analiza pogrešaka, poboljšanje platforme i otkrivanje zlouporabe. Ako se za to informacije pohranjuju na krajnjem uređaju ili se s njega čitaju, to se provodi samo uz privolu prema § 25 st. 1. TDDDG-a i čl. 6. st. 1. t. (a) GDPR-a. Analize povezane sa sigurnošću mogu se temeljiti na čl. 6. st. 1. t. (f) GDPR-a. Privola se u bilo kojem trenutku može povući u postavkama kolačića.

• PHPSESSID: nužni sesijski kolačić; u pravilu do kraja sesije preglednika.
• remember_token: neobvezni, nužni kolačić za prijavu za opciju „ostani prijavljen“; stvarno trajanje 30 dana; Secure, HttpOnly i SameSite=Lax.
• Google CMP (FCCDCF / FCNEC): pohranjuje odluku o privoli i IAB TCF niz u kolačićima ili pohrani preglednika.

Kolačići i drugi pristupi pohrani koji nisu nužno potrebni postavljaju se odnosno aktiviraju tek nakon privole. To vrijedi i za tehnologije prve strane za analizu. Pravna osnova za pristup krajnjem uređaju je § 25 st. 1. TDDDG-a, a za naknadnu obradu čl. 6. st. 1. t. (a) GDPR-a.

Stripe se koristi samo u okviru izričito pokrenutog postupka plaćanja. Google reCAPTCHA koristi se za zaštitu određenih obrazaca od automatizirane zlouporabe. Obje se usluge ne smatraju općenito nužnima za svaki pregled stranice; njihova pravna osnova ovisi o konkretnoj pokrenutoj funkciji.

Postavke se u bilo kojem trenutku mogu izmijeniti ili privola povući izravno putem poveznice Otvori postavke kolačića . Povlačenje privole ne utječe na zakonitost prethodno provedene obrade.

Možemo koristiti Google Analytics za mjerenje dosega, Google Ads uključujući mjerenje konverzija i Google AdSense za prikazivanje oglasa. Te se usluge aktiviraju tek nakon odgovarajuće privole. Google reCAPTCHA koristi se na zaštićenim obrascima za otkrivanje automatiziranih pristupa.

Primarni pružatelj u EGP-u je Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irska. Ne može se isključiti obrada koju provodi Google LLC ili drugi primatelji u SAD-u. Prijenosi se provode u skladu s čl. 44. i dalje GDPR-a, osobito na temelju odluke o primjerenosti ili odgovarajućih zaštitnih mjera.

Ovisno o usluzi i privoli, mogu se obrađivati IP adresa, podaci o uređaju i pregledniku, posjećene stranice, interakcije, izvor dolaska, identifikatori kampanja i oglasa te kolačići koje postavlja Google. Google može promijeniti nazive i trajanje tih kolačića, pa se prikazuju u dijalogu za privolu prema pojedinoj usluzi.

Plaćanja se obrađuju putem Stripea. U EGP-u osobito mogu sudjelovati Stripe Payments Europe, Limited i Stripe Technology Europe, Limited, oba sa sjedištem u Dublinu u Irskoj. Ovisno o načinu plaćanja, obrađuju se kontaktni podaci, identifikator klijenta i ugovora, iznos, valuta, status plaćanja, IP adresa i podaci o uređaju te potrebni podaci za plaćanje. U pravilu ne dobivamo potpune podatke o kartici ili bankovnom računu.

Pravne osnove su čl. 6. st. 1. t. (b) GDPR-a za sklapanje ugovora i plaćanje te čl. 6. st. 1. t. (c) i (f) GDPR-a za zakonske obveze, sprječavanje prijevara i upravljanje potraživanjima.

Ako se u Stripe Checkoutu mogu odabrati dodatni načini plaćanja poput PayPala, Klarne ili Amazon Paya, podaci se dodatno prenose odabranoj usluzi plaćanja. Koji su načini plaćanja stvarno dostupni ovisi o zemlji, valuti, iznosu i aktualnoj konfiguraciji Stripea. Na daljnju obradu dodatno se primjenjuju obavijesti odabrane usluge plaćanja.

Pri kontaktu, zahtjevima za podršku, izjavama o jednostranom raskidu ili prijavama pogrešaka obrađujemo navedene kontaktne i ugovorne podatke, sadržaje te tehničke podatke, priloge i tijek obrade. To služi obradi zahtjeva, otklanjanju pogrešaka i dokumentiranju na temelju čl. 6. st. 1. t. (b), (c) ili (f) GDPR-a.

Pri jednostranom raskidu i otkazivanju osobito se obrađuju ime, adresa e-pošte, poštanska adresa, podaci o narudžbi i ugovoru, vrijeme, status pretplate i obrade. Primitak izjave o jednostranom raskidu i provedeno otkazivanje automatski se potvrđuju e-poštom.

Jednostrani raskid: Obrazac i pouka o jednostranom raskidu. Pretplatu je moguće otkazati nakon prijave u odjeljku Moj račun .

Primatelji mogu biti STRATO GmbH kao pružatelj hostinga, Google Ireland Limited za navedene Googleove usluge, uključene tvrtke Stripe i odabrane usluge plaćanja, pružatelji usluga e-pošte te nadležna tijela i pravni savjetnici ako za to postoji odgovarajuća obveza. Pružatelji usluga po potrebi se ugovorno obvezuju u skladu s čl. 28. GDPR-a.

Prijenosi izvan EGP-a provode se samo pod uvjetima iz čl. 44. i dalje GDPR-a, osobito na temelju odluke o primjerenosti, standardnih ugovornih klauzula i potrebnih dodatnih zaštitnih mjera.

Podatke pohranjujemo samo onoliko dugo koliko je potrebno za pojedinu svrhu, izvršenje ugovora, sigurnost ili zakonske obveze. Nakon toga brišu se ili anonimiziraju ako se tome ne protive obveza čuvanja ili obrana pravnih zahtjeva.

• korisnički računi i ugovorni podaci: do brisanja računa odnosno prestanka ugovora i isteka naknadnih zakonskih ili ugovornih rokova;
• aktivni turniri, podaci o sudionicima i javne stranice: do brisanja koje provede organizator ili brisanja računa; turniri označeni kao izbrisani u početku mogu ostati blokirani odnosno arhivirani;
• učitani sadržaji, logotipi, izrađeni PDF-ovi i QR kodovi: u pravilu do brisanja pripadajućeg turnira ili računa te isteka ciklusa tehničkog čišćenja;
• poveznice za ponovno postavljanje lozinke: do isteka, u pravilu jedan sat, ili do uspješnog korištenja;
• tokeni za prijavu na webu: 30 dana ili do odjave odnosno opoziva;
• zapisi hosting-poslužitelja: prema rokovima brisanja tvrtke STRATO GmbH koji vrijede za korištenu uslugu hostinga;
• vlastiti zapisi aplikacije, sigurnosti i obračuna: u pravilu do 300 dana; kod konkretnog sigurnosnog, pravnog ili obračunskog postupka po potrebi do konačnog razjašnjenja;
• neobrađeni podaci interne analize posjetitelja: u pravilu najviše 13 mjeseci; podaci o kampanjama i objedinjeni statistički podaci mogu se zatim zadržati bez izravne povezanosti s osobom;
• zahtjevi za podršku, kontakt i prijave pogrešaka: u pravilu do 24 mjeseca nakon završetka obrade, a u slučaju povezanosti s ugovorom ili pravnim sporom odgovarajuće dulje;
• dokazi o privoli: u pravilu do 24 mjeseca nakon posljednje potrebe za dokazivanjem;
• sigurnosne kopije: do planiranog prepisivanja u pojedinom ciklusu sigurnosnog kopiranja; brisanje u sigurnosnim kopijama stupa na snagu tim prepisivanjem;
• knjigovodstvene isprave i računi: u pravilu osam godina; trgovačka i poslovna korespondencija u pravilu šest godina; knjige, evidencije i financijski izvještaji u pravilu deset godina.

Zakonski rokovi u pravilu počinju završetkom kalendarske godine. Odstupanja su moguća ako se podnose zahtjevi, postoji zakonska obveza ili konkretna obrada ranije više nije potrebna.

Ispitanici, pod zakonskim uvjetima, imaju pravo na pristup (čl. 15. GDPR-a), ispravak (čl. 16.), brisanje (čl. 17.), ograničenje obrade (čl. 18.), prenosivost podataka (čl. 20.) i prigovor (čl. 21.).

Privole se mogu povući u bilo kojem trenutku s učinkom za budućnost, osobito u postavkama kolačića ili e-poštom. Ako se obrada temelji na čl. 6. st. 1. t. (f) GDPR-a, može se uložiti prigovor zbog razloga koji proizlaze iz posebne situacije ispitanika. Kod izravnog marketinga pravo na prigovor postoji u bilo kojem trenutku.

Za podatke o sudionicima zahtjev bi se najprije trebao uputiti pojedinom organizatoru turnira kao voditelju obrade. Pixel33 Software pomaže organizatoru u obradi zahtjeva ispitanika.