Про цю політику
Ця політика пояснює, які персональні дані обробляє сервіс «CashFlow Online» (https://cashflow.enter-studio.com), навіщо й на якій підставі, кому їх передає, скільки зберігає і які права мають люди, чиї дані обробляються. Політику складено відповідно до Закону України «Про захист персональних даних», а для людей з Європейського Союзу та Європейської економічної зони (ЄЄЗ) — і Загального регламенту про захист даних (ЄС) 2016/679 (GDPR).
1. Хто обробляє дані
1.1. Володілець персональних даних (контролер за GDPR) — Товариство з обмеженою відповідальністю «Т.С.ЕНТЕР» (далі — Виконавець), код ЄДРПОУ 34804442, місцезнаходження: 03035, Україна, м. Київ, вул. Липківського Василя Митрополита, буд. 11, кв. 69, email info@enter-studio.com.
1.2. Виконавець є володільцем даних тренерів, відвідувачів сайту й людей, які звертаються до підтримки.
1.3. Щодо даних гравців, яких тренер запрошує до своїх ігор, володільцем (контролером) є тренер, а Виконавець — розпорядником (обробником), що діє за дорученням тренера відповідно до Угоди про обробку даних гравців. Тому з питаннями про свої дані в грі гравцеві найкраще звертатися до тренера; Виконавець допомагає тренерові відповісти.
2. Які дані обробляються
2.1. Тренери:
- ім'я та email; пароль зберігається лише у вигляді хешу, з якого пароль не відновити;
- якщо тренер обрав вхід через Google, — ідентифікатор облікового запису Google, ім'я та email, які передає Google;
- фото й короткий опис профілю, якщо тренер їх додав (їх бачать гравці в запрошенні);
- ігри: назва, дата, час, часовий пояс, тариф, запрошення, звіти;
- платежі: сума, валюта, дата, статус, номер замовлення; для автоматичного продовження підписки — токен картки, який зберігає Платіжний сервіс (повного номера картки Виконавець не отримує);
- записи про прийняття документів: який документ, яку редакцію, дата, час і IP-адреса;
- події в акаунті для статистики сервісу: реєстрація, вхід, створення, зміна й скасування ігор;
- листування з підтримкою.
2.2. Гравці (за дорученням тренера):
- ім'я, яке гравець вводить для гри, і email, якщо гравець його вказав;
- результати перевірки пристрою: доступність камери й мікрофона, браузер, швидкість з'єднання, чи вдалося з'єднатися з відеосервером;
- дії в грі: рух фішки, кидки кубика, рішення щодо карток, запити й перекази, цифри, які гравець вписує в бланк, і рішення ведучого;
- підсумки гри й помилки в бланку;
- технічні дані з'єднання: IP-адреса, тип браузера.
Відео й звук гравців і ведучого передаються учасникам гри в реальному часі й не записуються (розділ 5).
2.3. Відвідувачі сайту: IP-адреса, адреса сторінки, час запиту й тип браузера — у журналах вебсервера. Статистику відвідувань і подій сайт веде сам, без сторонніх лічильників і без cookie для аналітики.
2.4. Сервіс не запитує даних про здоров'я, релігійні чи політичні погляди та інших особливих категорій персональних даних. Такі дані не слід вносити в назви ігор, профіль чи повідомлення.
3. Навіщо й на якій підставі
3.1. Підстави обробки — стаття 11 Закону України «Про захист персональних даних» і стаття 6(1) GDPR:
| Мета | Дані | Підстава |
|---|---|---|
| Акаунт, створення й проведення ігор, запрошення гравців | тренера, ігор | виконання договору, ст. 6(1)(b) GDPR |
| Оплата, чеки, рахунки й облік | платежі | виконання договору; обов'язок за податковим і бухгалтерським законодавством, ст. 6(1)(b), (c) GDPR |
| Листи про ігри, нагадування, повідомлення про зміни умов і цін | email, ігри | виконання договору, ст. 6(1)(b) GDPR |
| Безпека Сервісу й захист від зловживань | технічні дані, журнали | законний інтерес Виконавця, ст. 6(1)(f) GDPR |
| Статистика й поліпшення Сервісу | знеособлені відомості про відвідування; події в акаунті й іграх | законний інтерес Виконавця, ст. 6(1)(f) GDPR |
| Відповіді на звернення | листування | виконання договору або законний інтерес, ст. 6(1)(b), (f) GDPR |
| Проведення ігор з гравцями | гравців | за дорученням тренера; підставу визначає тренер як володілець |
3.2. Без даних, потрібних для реєстрації (ім'я та email), договір з тренером не може бути укладено.
3.3. Рекламних розсилок Сервіс без окремої згоди не надсилає. Рішень, що ґрунтуються лише на автоматизованій обробці й мають юридичні наслідки для людини, Сервіс не ухвалює.
4. Кому передаються дані
4.1. Розпорядники Виконавця (субобробники):
| Хто | Для чого | Де |
|---|---|---|
| OVHcloud | хостинг сайту, бази даних, резервних копій і сервера відео LiveKit | ЄС (Австрія, Франція) |
| WayForPay | прийом платежів тренерів | Україна |
| Brevo | доставка листів сайту | ЄС |
| вхід через обліковий запис Google, якщо тренер обрав цей спосіб | за умовами Google |
4.2. Учасники гри бачать імена, відео й звук одне одного; гравці бачать фото й опис тренера в запрошенні, а також цифри бланків, які вписали інші гравці. Тренер бачить усі дані гравців своєї гри, зокрема помилки в бланках.
4.3. Державним органам дані передаються лише на підставах і в порядку, визначених законом.
4.4. Виконавець не продає персональних даних і не передає їх для реклами.
5. Відео й звук
5.1. Під час гри відео й звук учасників передаються в реальному часі через сервер LiveKit на інфраструктурі Сервісу; з'єднання шифрується. Сервіс не записує й не зберігає відео й звук.
5.2. Камеру й мікрофон браузер вмикає лише з дозволу людини. Записувати чи транслювати відео й звук інших учасників без їхньої згоди заборонено (Правила допустимого використання).
6. Передача даних за межі країни
6.1. Сервери Сервісу розташовані в ЄС (OVHcloud). Виконавець перебуває в Україні й має доступ до даних, щоб обслуговувати Сервіс. Платежі обробляє WayForPay в Україні.
6.2. Для людей з ЄЄЗ: передача даних тренера Виконавцю й WayForPay в Україні потрібна для виконання договору з тренером (стаття 49(1)(b) GDPR). Для даних гравців, які Виконавець обробляє за дорученням тренера з ЄЄЗ, діють стандартні договірні умови ЄС, включені до Угоди про обробку даних гравців (стаття 46 GDPR).
7. Строки зберігання
7.1. Дані акаунта тренера, його ігор і гравців зберігаються, доки існує акаунт. Після видалення акаунта (засобами кабінету або за запитом на info@enter-studio.com) вони видаляються протягом 30 днів.
7.2. Резервні копії бази й файлів зберігаються 30 днів, тож видалені дані зникають з копій не пізніше ніж через 30 днів після видалення.
7.3. Платіжні дані й документи бухгалтерського обліку зберігаються протягом строків, які встановлює податкове й бухгалтерське законодавство України, — і після видалення акаунта.
7.4. Записи про прийняття документів зберігаються, доки існує акаунт, і ще 3 роки після його видалення — протягом загальної позовної давності (стаття 257 Цивільного кодексу України), щоб за потреби підтвердити, на яких умовах надавався Сервіс.
7.5. Журнали вебсервера з IP-адресами зберігаються 14 днів. Журнал помилок застосунку не містить IP-адрес і email.
7.6. Листування з підтримкою зберігається, доки це потрібно для розгляду звернення і захисту прав сторін, але не довше строку позовної давності.
7.7. Знеособлена статистика, за якою неможливо встановити особу, зберігається без обмеження строку.
8. Як дані захищено
- усі сторінки й з'єднання — через HTTPS, відео й звук під час передачі шифруються;
- паролі зберігаються лише як хеші Argon2id;
- кількість спроб входу й реєстрації обмежено, форми захищено від підробки запитів;
- доступ до серверів і бази даних мають лише уповноважені особи Виконавця; Сервіс працює під окремим системним користувачем з окремою базою даних;
- щоночі робиться резервна копія в окреме сховище;
- у журнали не потрапляють паролі й секрети, а журнал застосунку — без IP-адрес і email.
10. Права людини і як ними скористатися
10.1. Відповідно до статті 8 Закону України «Про захист персональних даних» і статей 15–22 GDPR кожен має право:
- знати, які його дані обробляються, звідки вони, з якою метою, де зберігаються й кому передаються;
- отримати доступ до своїх даних і їхню копію;
- виправити неточні дані;
- вимагати видалення даних;
- обмежити обробку;
- заперечити проти обробки на підставі законного інтересу;
- отримати свої дані в машиночитному форматі (перенесення);
- відкликати згоду, якщо обробка ґрунтувалася на згоді;
- подати скаргу.
10.2. Запит надсилається на info@enter-studio.com з темою «Персональні дані»; тренерам — з адреси, пов'язаної з акаунтом. Виконавець відповідає протягом 30 календарних днів; якщо для перевірки особи потрібна додаткова інформація, Виконавець її запитає.
10.3. Щодо даних у грі гравці звертаються до тренера, який проводив гру. Якщо гравець звернувся до Виконавця, запит буде передано тренерові, а Виконавець допоможе тренерові відповісти.
10.4. Скаргу можна подати в Україні — Уповноваженому Верховної Ради України з прав людини (ombudsman.gov.ua), у ЄС — наглядовому органу із захисту даних у державі проживання, роботи або місця ймовірного порушення.
11. Діти
11.1. Тренером може бути лише особа віком від 18 років.
11.2. Гравець, молодший за 16 років, може брати участь у грі лише за згодою батьків чи інших законних представників; отримати таку згоду — обов'язок тренера як володільця даних гравців. Для інших цілей Виконавець даних дітей свідомо не збирає.
12. Зміни політики
Нова редакція публікується на цій сторінці з датою й номером редакції. Про суттєві зміни тренери отримують лист.
13. Контакти
Товариство з обмеженою відповідальністю «Т.С.ЕНТЕР», 03035, Україна, м. Київ, вул. Липківського Василя Митрополита, буд. 11, кв. 69. Email: info@enter-studio.com, тема листа — «Персональні дані».