Политика конфиденциальности

Ответственный обработчик (controller) — VTS Engineering OÜ, регистрационный код 14953637, номер плательщика НДС EE102288445, адрес: Karikakra tee 52, 74117 Maardu, Harju maakond, Estonia.

Почта для вопросов о персональных данных: vts.juhendaja@gmail.com. Телефон: +372 5800 7144. Сайт: Paddle Plus.

Специалист по защите данных (DPO) не назначен: закон требует его при систематическом наблюдении за людьми в большом объёме или при обработке особых категорий данных в большом объёме, а мы не делаем ни того, ни другого. Все обращения принимает почта выше.

Мы работаем по Регламенту ЕС 2016/679 (GDPR) и эстонскому Закону о защите персональных данных (isikuandmete kaitse seadus).

На сайт Paddle Plus и всё, что на нём можно сделать: аккаунт игрока, заказы в магазине и их оплату, запись на турниры и участие в них, клубное членство Gold, друзей и приглашения на турниры, уведомления, прокат ракеток, заявки к тренерам, отзывы о товарах и формы обратной связи.

Политика не распространяется на сайты, куда вы попадаете по ссылкам от нас, — в первую очередь на страницу оплаты платёжного провайдера: там действует его собственная политика.

• Аккаунт: имя и фамилия, e-mail, телефон, пол, язык и оформление сайта, фото или выбранная иконка аватара, рассказ о себе, самооценка уровня игры при регистрации, дата рождения (по желанию), код приглашения, дата создания аккаунта. Пароль хранится только в виде хеша — прочитать его нельзя ни нам, ни тому, кто получит доступ к базе.
• Заказы: имя, фамилия, e-mail, телефон, адрес доставки или выбранный пакомат, состав и сумма заказа, комментарий к заказу, язык, история заказов и возвратов, счета и кредит-ноты.
• Оплата: сумма, номер заказа, статус платежа и способ оплаты. Номер карты, срок действия и CVV вводятся на стороне платёжного провайдера или в интернет-банке — в наш магазин они не попадают и в нашей базе их нет.
• Турниры и клуб: записи на турниры, способ и состояние оплаты взноса, отметка о принятии правил, присутствие и неявка, красные карточки, результаты матчей, место в рейтинге и очки уровня, членство Gold и срок его действия, бонусы и подарочные коды.
• Друзья и приглашения: запросы в друзья и их состояние, список друзей, приглашения на турниры и ответы на них, блокировки, время этих событий. Уведомления внутри сайта — о чём и от кого.
• Прокат и тренировки: заявка и договор проката (имя, e-mail, телефон, срок, залог, состояние ракетки при выдаче и возврате, счета), заявка к тренеру (имя, e-mail, телефон, желаемые дата и время, место, число игроков, уровень, вид занятия, сообщение).
• Отзывы: имя автора, оценка, заголовок и текст отзыва.
• Формы обратной связи: имя, компания (в заявке на партнёрство), e-mail, телефон, тема и текст сообщения.
• Согласие на cookies: случайный идентификатор, ваш выбор, версия и язык. IP-адрес при этом не записывается.
• Вход и безопасность: сессия входа, IP-адрес и тип браузера у вошедших, коды подтверждения почты, счётчики частоты запросов.
• Аналитика, только с вашего согласия: обезличенные события на нашем собственном сервере. Подробности — в политике cookies.

Чего мы не собираем: личный код, копии документов, данные банковских карт, сведения о здоровье и другие особые категории данных.

• Аккаунт, заказы, доставка и возвраты, запись на турниры и участие в них, членство Gold, прокат и заявки к тренерам — исполнение договора с вами или действия по вашей просьбе до его заключения: ст. 6(1)(b) GDPR.
• Счета, кредит-ноты и бухгалтерский учёт, подтверждение принятых условий продажи — обязанность по закону: ст. 6(1)(c) GDPR.
• Ответы на обращения, разбор споров, защита от мошенничества, защита сайта от перебора паролей и злоупотреблений — наш законный интерес: ст. 6(1)(f) GDPR. Интерес здесь в том, чтобы магазин работал и не был средством обмана; обработка ограничена минимумом (адрес обращения, техническая отметка о запросе), и она не перевешивает ваши права, потому что не создаёт профиля и не влияет на цены и решения по вам.
• Состав участников турнира, турнирная таблица, рейтинг и красные карточки — законный интерес: без честного учёта результатов и порядка турнир не провести. Другим игрокам видно имя, фото или иконка, пол, рассказ о себе и спортивные результаты; телефон, e-mail, дата рождения и адрес не показываются никому из участников.
• Друзья, приглашения и уведомления — исполнение договора: это часть услуги, которой вы пользуетесь по своей воле и которую можно отключить (запросы в друзья запрещаются одной настройкой в профиле).
• Отзывы о товарах — ваше согласие: ст. 6(1)(a) GDPR.
• Новости и предложения по почте — ваше согласие: ст. 6(1)(a) GDPR.
• Подарок ко дню рождения — ваше согласие: ст. 6(1)(a) GDPR. Дату можно не указывать, тогда подарок просто не придёт.
• Аналитика и память о просмотренных товарах — ваше согласие: ст. 6(1)(a) GDPR, отзывается в настройках cookies.
• Необходимые cookies и защита сессии — необходимы для услуги, которую вы запросили; согласия закон для них не требует.

• Гость и любой посетитель: ничего из вашего аккаунта. Списки участников турниров и таблица рейтинга открыты только вошедшим.
• Участники турнира: ваше имя, фото или иконку, пол и спортивные результаты.
• Члены клуба Gold: ваш профиль игрока — имя, фото или иконка, пол, рассказ о себе, место в рейтинге, число турниров и дату, когда вы присоединились. Контактов там нет.
• Друзья: то же, что и члены клуба, плюс возможность пригласить вас на турнир. E-mail и телефон друга сайт не показывает и не передаёт.
• Тренер, к которому вы записались: имя, e-mail, телефон и содержание заявки — иначе он не сможет с вами связаться.
• Сотрудники магазина в панели управления: данные заказов, заявок и участников — по служебной необходимости.

Сроки в таблице — те же числа, по которым сервер сам удаляет и обезличивает записи; они не переписаны в текст отдельно.

После удаления аккаунта остаются только те данные, которые закон велит хранить (счета и бухгалтерские документы) или без которых рассыпались бы чужие результаты: сыгранные матчи остаются в турнирной таблице без вашего имени.

Данные получают только те, без кого услугу не оказать, и только в нужном объёме. Каждый из них обрабатывает данные по нашему поручению, на условиях договора об обработке данных, и не вправе использовать их для себя.

• Montonio (платежи): сумма, номер заказа, ваш e-mail и имя — чтобы принять оплату и вернуть деньги. Данные карты обрабатывает провайдер, к нам они не попадают.
• Resend (отправка писем): ваш e-mail и содержание письма о заказе, аккаунте, турнире или возврате.
• Хостинг сайта и база данных: там работает сам магазин и хранятся его записи.
• Хранилище файлов: фото, которое вы поставили на аватар.
• Перевозчик, которого вы выбрали (Omniva, Smartpost, DPD): имя, телефон и адрес доставки или пакомат — когда мы отправляем посылку.
• Тренер, к которому вы записались: имя, e-mail, телефон и текст заявки.
• Служба технического мониторинга ошибок, если она подключена: технические сведения об ошибке без содержимого запроса, cookies и персональных данных.
• Бухгалтер и аудитор — в рамках обязательного учёта; государственные органы и суд — только когда этого требует закон.

Мы не продаём персональные данные и не передаём их рекламным сетям.

Платежи (Montonio) обрабатываются в Эстонии, то есть внутри ЕЭЗ.

Часть технических поставщиков — компании из США: сервис отправки писем и площадка, на которой работает сайт. Передача в такие компании происходит только на основании гарантий, предусмотренных главой V GDPR: стандартных договорных условий ЕС и решения Еврокомиссии об адекватном уровне защиты (EU–US Data Privacy Framework), если поставщик в нём участвует.

Если вы хотите знать, какие именно гарантии действуют для конкретного поставщика, напишите на vts.juhendaja@gmail.com — мы ответим и покажем документы.

По GDPR вы вправе:

• знать, какие данные о вас обрабатываются и зачем (ст. 15);
• получить копию своих данных (ст. 15) и выгрузку в машиночитаемом виде для переноса другому поставщику (ст. 20);
• исправить неточные данные (ст. 16);
• потребовать удаления данных (ст. 17), кроме того, что мы обязаны хранить по закону;
• ограничить обработку (ст. 18);
• возразить против обработки, основанной на законном интересе (ст. 21);
• отозвать согласие в любой момент (ст. 7(3)) — это не делает незаконным то, что было обработано до отзыва;
• не быть объектом решения, принятого исключительно автоматически (ст. 22);
• пожаловаться в надзорный орган (ст. 77).

Многое делается без обращения к нам: имя, телефон и адреса — в разделах «Профиль» и «Адреса»; согласие на новости — там же одной галочкой; выбор по cookies — в настройках cookies; выгрузка всех своих данных и удаление аккаунта — в «Личный кабинет → Профиль».

Дата рождения меняется только через нас: к ней привязан клубный подарок, и свободная правка превратила бы подарок в ежемесячный. Напишите — поправим.

Напишите на vts.juhendaja@gmail.com с адреса, на который заведён аккаунт, и скажите, какое право хотите использовать. Если по письму нельзя понять, кто вы, мы попросим подтвердить личность — иначе чужие данные достались бы первому спросившему.

Ответ приходит в течение одного месяца. Если запрос сложный или запросов несколько, срок может быть продлён ещё на два месяца — о продлении и его причине мы сообщим в тот же первый месяц.

Если мы откажем, то объясним почему и напомним о праве на жалобу.

Надзорный орган: Инспекция по защите данных Эстонии (Andmekaitse Inspektsioon), Tatari 39, 10134 Таллинн, info@aki.ee, +372 627 4135, aki.ee. Жаловаться можно сразу, но обычно быстрее сначала написать нам.

Часть cookies необходима: без них не держится вход и корзина. Аналитика и память о просмотренных товарах включаются только с вашего согласия, рекламных и сторонних следящих технологий на сайте нет вовсе.

Полный перечень с назначением и сроками — в политике cookies. Там же меняется и отзывается ваш выбор.

Письма о деле мы шлём без отдельного согласия: подтверждение почты, подтверждение и отправка заказа, счёт и кредит-нота, напоминание о турнире, его отмена и возврат взноса, окончание клубного членства. Это часть услуги, а не реклама.

Новости и предложения — только по согласию. Галочка при регистрации не отмечена заранее, снимается в профиле в один клик, и отказ прекращает рассылку сразу. Сейчас рекламная рассылка не ведётся: согласие собирается на будущее, и первое такое письмо придёт не раньше, чем рассылка появится.

Согласие хранится в аккаунте вместе с датой изменения — так мы можем показать, когда и что вы выбрали.

Решений о вас, принятых исключительно автоматически и порождающих юридические последствия по смыслу ст. 22 GDPR, мы не принимаем. Профилирования в рекламных целях нет.

Автоматически считаются очки уровня и место в рейтинге — из результатов турниров, которые вносит организатор.

Есть одно правило, которое применяется механически: пять действующих красных карточек временно закрывают запись на турниры. Сами карточки ставит человек — организатор, за неявку без предупреждения или неспортивное поведение. Карточка живёт два или три месяца в зависимости от нарушения, запрет снимается сам, как только истекает самая старая. Не согласны с карточкой — напишите нам, её проверит человек.

Аккаунт удаляется вами самостоятельно: «Личный кабинет → Профиль», с подтверждением паролем. Рядом — выгрузка всех своих данных одним файлом.

Что удаляется: профиль, адреса, избранное, рассказ о себе, фото, друзья и запросы, приглашения, уведомления, отзывы, записи на турниры, бонусы и сессии.

Что остаётся: счета, кредит-ноты и данные заказов — 7 лет, как требует Закон о бухгалтерском учёте (после срока личные поля обезличиваются); сыгранные матчи остаются в турнирной таблице без вашего имени, иначе рассыпались бы результаты остальных участников.

• Сайт работает только по HTTPS; cookie входа недоступен скриптам (HttpOnly) и на рабочем сайте передаётся только по защищённому соединению.
• Пароли хранятся только в виде хеша, рассчитанного медленной функцией; сравнение секретов идёт способом, устойчивым к подбору по времени ответа.
• Почта подтверждается кодом; код живёт 10 минут, попыток пять, неподтверждённые аккаунты удаляются через неделю.
• Частота входов, регистраций и отправки кодов ограничена — от перебора.
• База данных доступна только серверной части: браузер к ней не обращается, и все запросы проходят через проверку прав на сервере.
• Панель управления открыта только сотрудникам с ролью администратора; личный кабинет — только владельцу аккаунта с подтверждённой почтой.
• Платёжные подтверждения принимаются только с подписью провайдера и проверяются по сумме и номеру заказа; повторная доставка того же события ничего не меняет дважды.
• В журналы ошибок не попадают cookies, заголовки, тело запроса и параметры адреса; секретные части ссылок (токен заказа, токен сброса пароля) вырезаются.

Ни одна система не даёт стопроцентной защиты, и обещать её мы не будем. Мы делаем то, что перечислено выше, и исправляем то, что находим.

Если персональные данные всё же утекут и это создаст риск для ваших прав, мы сообщим в Инспекцию по защите данных без неоправданной задержки и, где это возможно, не позднее 72 часов после того, как узнаем о происшествии (ст. 33 GDPR).

Если риск для вас высокий, мы напишем и вам — прямо, без общих формулировок: что случилось, какие данные затронуты и что вам стоит сделать (ст. 34 GDPR).

Магазин и клуб рассчитаны на взрослых. Эстонский закон разрешает несовершеннолетнему самостоятельно давать согласие на услуги информационного общества с 13 лет; младше — только с согласия родителя или опекуна.

Возраст при регистрации мы не проверяем и документов не запрашиваем. Если выяснится, что аккаунт завёл ребёнок младше 13 лет без согласия родителя, мы удалим аккаунт и связанные с ним данные — напишите на vts.juhendaja@gmail.com.

Участники турниров младше 18 лет допускаются к игре с согласия родителя или опекуна, а на детских турнирах сопровождающий взрослый обязателен; это правило турниров, и оно относится к участию, а не к обработке данных.

Действующая редакция всегда лежит на этой странице, дата последнего обновления указана вверху.

Если изменения затронут то, ради чего вы давали согласие, мы спросим заново, а не поставим перед фактом. О существенных изменениях, которые касаются вошедших пользователей, сообщим письмом или заметным уведомлением на сайте.