Traduzione di riferimento. La versione giuridicamente vincolante è il testo russo: privacy.html.
La presente Informativa determina le modalità di trattamento dei dati personali (di seguito — DP) e le misure adottate dall'Operatore per garantirne la sicurezza, ed è redatta in attuazione della Legge federale russa del 27.07.2006 n. 152-FZ «Sui dati personali» (art. 18.1).
Operatore (titolare del trattamento): Evgeny A. Dorokhov,
persona fisica che applica il regime fiscale speciale «Imposta sul reddito professionale»
(lavoratore autonomo).
INN (codice fiscale russo): 272511721775
Indirizzo postale per le comunicazioni scritte: fornito su richiesta
inviata all'indirizzo e-mail indicato di seguito
E-mail per comunicazioni, richieste e revoca del consenso:
[email protected]
L'Informativa si applica a tutte le informazioni che l'Operatore può ottenere sugli utenti del servizio «Pika» — applicazione per maestri (allenatori, insegnanti privati, estetisti, istruttori, studi) e per i loro clienti, nonché servizio di prenotazione di campi e sale nei club sportivi «Pika Club» —, pubblicato all'indirizzo zhedor.com/app/pika/, comprese le applicazioni mobili contenitore.
L'utilizzo del servizio comporta l'accettazione della presente Informativa da parte dell'utente. In caso di disaccordo l'utente è tenuto a cessare l'utilizzo del servizio.
I termini dati personali, trattamento dei DP, operatore, interessato, trasferimento transfrontaliero, anonimizzazione, blocco e distruzione dei DP sono utilizzati nei significati stabiliti dall'art. 3 della legge 152-FZ.
Distinzione fondamentale dei ruoli. I DP del cliente (nome e, a discrezione del maestro, contatti, età, note, indicatori di progresso, saldo e pagamenti) sono inseriti nel servizio dal maestro stesso. Rispetto a tali dati l'operatore è il maestro, mentre l'Operatore del servizio «Pika» agisce come soggetto che effettua il trattamento per conto dell'operatore (art. 6, comma 3 della legge 152-FZ): conserva e visualizza i dati su suo incarico e per le finalità da lui stabilite.
Obbligo del maestro: ottenere dal cliente (e, per un minore, dal suo rappresentante legale) il consenso al trattamento dei DP prima di inserirli nel servizio e garantire la liceità del trattamento. L'Operatore del servizio non verifica e non è in grado di verificare l'esistenza di tale consenso.
Se il cliente crea un proprio accesso all'area personale, sono trattati inoltre: l'indirizzo e-mail e l'identificativo dell'account presso il fornitore di autenticazione, l'iscrizione alle notifiche push, il token di accesso all'area personale.
In fase di registrazione l'Operatore rileva e conserva: il fatto e l'ora dell'apposizione delle spunte di consenso, le versioni dell'Informativa e delle Condizioni d'uso, la lingua dell'interfaccia, l'indirizzo IP e lo user-agent del dispositivo. Tali informazioni sono trattate esclusivamente come prova dell'esistenza del consenso e non sono utilizzate per alcuna altra finalità.
Chi riguarda. La persona che prenota un campo, una sala o altra risorsa del club tramite il servizio — sulla pagina del club, nel catalogo dei club o nell'applicazione — nonché la persona registrata su sua indicazione dal personale del club alla reception.
Cosa viene trattato: nome e numero di telefono; in caso di accesso tramite social network — anche l'identificativo dell'account e l'indirizzo e-mail; informazioni sulle prenotazioni (data, ora, campo, importo, stato, modalità di pagamento, indicazione della presenza e dell'annullamento); saldo del credito presso il club e i relativi movimenti; immagine della ricevuta bancaria, se la persona l'ha allegata a conferma del pagamento; corrispondenza con il club all'interno del servizio; dati tecnici della richiesta (indirizzo IP, informazioni sul browser) — per la protezione dagli abusi.
Cronologia del numero di telefono. Quando il numero sulla scheda del cliente cambia — per opera della persona stessa, all'unione di due sue schede, al ripristino dell'accesso tramite un dipendente del club o nell'area di uno specialista — vengono conservati il numero precedente e quello nuovo, la data e l'ora della modifica e il modo in cui è stata effettuata. Lo scopo è la protezione dalla sostituzione del numero: un dipendente del club vede questa cronologia nella scheda del cliente, e solo per il periodo in cui la persona è cliente di quel club. Ogni registrazione è conservata per 12 mesi dalla modifica e poi eliminata automaticamente.
Trasmissione al club. La prenotazione implica per sua natura che il club sappia chi arriverà e quando. Pertanto l'Operatore trasmette al club presso il quale la persona effettua la prenotazione: il nome, il numero di telefono e le informazioni sulle sue prenotazioni presso tale club (compresa la possibilità di esportarle in un file per la contabilità propria del club). Il consenso a ciò è prestato mediante una spunta separata non precompilata prima della prima prenotazione; senza di esso la prenotazione non è possibile.
Il club è un operatore autonomo. Rispetto alle informazioni ricevute il club determina autonomamente le finalità e le modalità del trattamento (registrazione delle presenze, contatto con il cliente, conteggi) e risponde autonomamente del trattamento successivo, compresi il rispetto dei termini di conservazione e le risposte alle richieste. L'Operatore del servizio non controlla il modo in cui il club utilizza il file ricevuto o le informazioni raccolte alla reception.
Cosa NON viene trasmesso al club: l'indirizzo e-mail, l'identificativo dell'account del social network, l'indirizzo IP, nonché qualsiasi informazione sulle prenotazioni di tale persona presso altri club. Il club vede soltanto ciò che riguarda sé stesso.
Il club può trovarsi al di fuori della Federazione Russa (in particolare nel Regno di Thailandia). In tal caso la trasmissione delle informazioni elencate è transfrontaliera ed è effettuata nel rispetto dell'art. 12 della legge 152-FZ — v. sezione 7.
Basi del trattamento: il consenso dell'interessato (art. 6, comma 1, punto 1 della legge 152-FZ) e l'esecuzione del contratto di prestazione di servizi di cui l'interessato è parte (art. 6, comma 1, punto 5). Il fatto, l'ora, le versioni dei documenti, la lingua, l'indirizzo IP e lo user-agent sono registrati nel registro dei consensi (sezione 4.4).
Revoca del consenso. Una comunicazione a [email protected] fa cessare il trattamento presso l'Operatore e rende impossibili ulteriori prenotazioni. Le informazioni già trasmesse al club vanno revocate presso il club stesso: rispetto ad esse il club è un operatore autonomo e l'Operatore del servizio non può cancellare i dati dalla contabilità propria del club.
L'Operatore non tratta categorie particolari di DP (razza, nazionalità, opinioni politiche e religiose, stato di salute, vita intima) né DP biometrici. La fotografia del profilo è utilizzata come elemento dell'interfaccia e non è impiegata per l'identificazione della persona, pertanto non costituisce un DP biometrico. La responsabilità della liceità dell'inserimento di qualsiasi informazione sulla salute del cliente è del maestro (sezione 4.2).
I DP non sono utilizzati per finalità incompatibili con quelle indicate. I dati forniti per la registrazione non sono utilizzati per invii pubblicitari. L'Operatore non vende i DP, non li trasmette a reti pubblicitarie, non li utilizza per la profilazione a fini pubblicitari e non li impiega per l'addestramento di modelli di apprendimento automatico.
Chi riguarda. La persona che ha effettuato l'accesso tramite social network sulla pagina-blog pubblica del maestro per lasciare un commento o una reazione.
Cosa trattiamo. L'identificativo dell'account presso il social network, il nome e la
fotografia del profilo che il social network trasmette all'accesso, l'indirizzo pubblico
@handle scelto dalla persona, il testo dei suoi commenti e reazioni, nonché i dati
tecnici della richiesta (indirizzo IP, informazioni sul browser) — questi ultimi esclusivamente per
la protezione da spam e abusi.
Base. Il consenso dell'interessato, prestato mediante una casella separata non spuntata all'accesso (art. 6, comma 1, punto 1 della legge 152-FZ), e il legittimo interesse dell'Operatore nella protezione del servizio dagli abusi automatizzati.
Cosa diventa pubblico. Il nome, l'@handle, la fotografia del profilo e il
testo del commento sono visibili a qualsiasi visitatore della pagina e possono essere indicizzati
dai motori di ricerca. L'indirizzo e-mail, l'identificativo del social network e l'indirizzo IP
non sono mai pubblicati.
Fotografia del profilo. Una copia è conservata sui server dell'Operatore nella Federazione Russa; nelle pagine pubbliche non è utilizzato il collegamento ai server del social network, pertanto il social network non riceve informazioni sulle visite della pagina da parte del lettore.
Diritti. Nelle impostazioni del profilo il lettore può rimuovere la fotografia, modificare
l'@handle ed eliminare il profilo — insieme a tutti i propri commenti oppure lasciandoli
in forma anonimizzata. La revoca del consenso equivale all'eliminazione del profilo. La registrazione
nel registro dei consensi è conservata come prova della liceità del trattamento avvenuto
(v. sezioni 4.4 e 6).
Chi riguarda. Il partecipante a un torneo che il club organizza nel servizio.
Chi pubblica. Un addetto del club autorizzato a gestire i tornei o il titolare del club, con il pulsante «Pubblica i risultati» e solo per un torneo già disputato. La pagina si apre tramite un link con un indirizzo casuale e non indovinabile e non viene indicizzata dai motori di ricerca (noindex). Resta accessibile finché la pubblicazione non viene ritirata e il torneo risulta disputato.
Cosa mostra la pagina. Nome, data e luogo del torneo, nome del club, la classifica (posizione, partecipante, punti ottenuti) e il podio. Non vengono mostrati i punteggi delle singole partite, le coppie di ogni turno, contatti, identificativi, fotografie né informazioni sulle quote di iscrizione.
Nome o iniziali. Il nome completo viene mostrato solo se il partecipante ha acconsentito alla visualizzazione del proprio nome; per impostazione predefinita tale consenso non c'è. Senza di esso, al posto del nome compaiono sempre le iniziali (non più di due lettere): il servizio non chiede un consenso separato per mostrarle.
Base. Per il nome completo — il consenso dell'interessato alla diffusione (art. 6, comma 1, punto 1 e art. 10.1 della legge 152-FZ). Viene annotato da un addetto del club su indicazione del partecipante; il fatto del consenso, l'ora, l'indirizzo IP e i dati del browser dell'addetto che lo ha annotato sono conservati nel registro dei consensi (sezione 4.4).
Come farlo rimuovere. Chiedere al club di togliere l'annotazione del consenso — il nome sarà sostituito dalle iniziali; oppure chiedere al club di ritirare la pubblicazione — la pagina non si aprirà più. La modifica arriva al lettore entro un minuto: la pagina resta in cache per non più di 60 secondi.
Chi riguarda. Lo specialista — titolare dell'account — che ha attivato personalmente l'opzione «Mostrami nell'elenco della città» nelle impostazioni dell'app.
Come si dà il consenso. Con una casella separata nelle impostazioni dell'app: per impostazione predefinita non è selezionata e, senza di essa, lo specialista non compare nell'elenco. Il testo del consenso è visibile sopra la casella prima di selezionarla; attivandola, lo specialista indica la propria città.
Cosa viene pubblicato. Il nome, la foto del profilo, la professione, la città e un link alla pagina-blog pubblica dello specialista o alla prenotazione con lui — nell'elenco aperto degli specialisti del servizio (zhedor.com) e negli elenchi dei siti cittadini moigorod.ru e jaimuang.com. Questi dati possono essere indicizzati dai motori di ricerca. Il numero di telefono, l'indirizzo e-mail, le informazioni sugli allievi, i prezzi e gli orari non vengono mai pubblicati.
Base. Il consenso dell'interessato al trattamento dei dati personali da lui autorizzati alla diffusione (art. 6, comma 1, punto 1 e art. 10.1 della legge 152-FZ). Il fatto del consenso e della sua revoca, l'ora, la versione del testo del consenso, la lingua dell'interfaccia, l'indirizzo IP e i dati del browser sono conservati nel registro dei consensi (sezione 4.4). Il consenso vale per il testo con cui è stato dato: se il testo della casella cambia, lo specialista smette di comparire nell'elenco finché non conferma il nuovo testo.
Come ritirarsi. Deselezionare la casella nelle impostazioni dell'app: lo specialista scompare subito dall'elenco del servizio, e i siti cittadini rimuovono la sua scheda al successivo passaggio sull'elenco — entro 24 ore. La richiesta di cessare la diffusione può anche essere inviata a [email protected].
Il trattamento è effettuato con l'ausilio di strumenti di automazione e senza di essi. I DP sono conservati non più a lungo di quanto richiesto dalle finalità del trattamento e sono distrutti o anonimizzati al raggiungimento delle finalità, alla revoca del consenso o su richiesta dell'interessato.
Localizzazione (art. 18, comma 5 della legge 152-FZ). La registrazione primaria, la sistematizzazione, l'accumulo, la conservazione, la rettifica e l'estrazione dei DP dei cittadini della Federazione Russa sono effettuati mediante una base di dati PostgreSQL collocata su un server nel territorio della Federazione Russa. Basi di dati cloud estere non sono utilizzate come archivio primario dei DP.
Termini: i dati di un account attivo sono conservati per tutta la durata della sua esistenza. Dopo l'eliminazione dell'account i dati sono cancellati entro 30 giorni, ad eccezione del registro dei consensi e delle registrazioni la cui conservazione è obbligatoria per legge. Gli account inattivi possono essere eliminati decorsi 180 giorni di inattività, previa notifica all'indirizzo e-mail indicato. I log del server web sono conservati non oltre 12 mesi.
L'Operatore non divulga i DP a terzi, salvo nei casi espressamente previsti dalla presente Informativa o da un obbligo di legge.
Il club sportivo presso il quale la persona prenota un campo o una sala (sezione 4.5) riceve il suo nome, il numero di telefono e le informazioni sulle prenotazioni presso tale club — sullo schermo della postazione di lavoro del club e sotto forma di file di esportazione per la contabilità propria del club. La base è il consenso dell'interessato, prestato mediante una spunta separata prima della prima prenotazione, e l'esecuzione del contratto di prestazione di servizi. Rispetto a tali informazioni il club è un operatore autonomo. Se il club si trova al di fuori della Federazione Russa, tale trasmissione è transfrontaliera ed è effettuata nel rispetto dell'art. 12 della legge 152-FZ.
Singole operazioni sono eseguite con il ricorso a servizi situati al di fuori della Federazione Russa, il che comporta anch'esso un trasferimento transfrontaliero dei DP:
Il trasferimento transfrontaliero è effettuato nel rispetto delle condizioni dell'art. 12 della legge 152-FZ. L'Operatore notifica a Roskomnadzor l'intenzione di effettuare il trasferimento transfrontaliero dei DP.
Nelle pagine del servizio sono usati due strumenti di statistica, ed entrambi si attivano solo dopo il tuo consenso:
counter.yadro.ru) — nelle pagine informative del servizio. Vengono trasmessi indirizzo della pagina, sorgente, titolo e risoluzione dello schermo. Qui non vi è trasferimento transfrontaliero. L’indirizzo viene ripulito da query e ancora prima dell’invio: link monouso e codici di accesso non escono.Prima del consenso nessuno dei due contatori viene caricato. Il consenso si presta premendo attivamente «Accetta». Il consenso può essere revocato in qualsiasi momento: la riga «Cookie: cambia la tua scelta» nelle impostazioni dell’app e in fondo alle pagine informative. La revoca ha effetto immediato, senza ricaricare. Pixel pubblicitari e tracker di reti pubblicitarie non sono utilizzati.
L'interessato ha diritto di: ottenere informazioni sul trattamento dei propri DP e la conferma del fatto del trattamento; esigere la rettifica, il blocco o la distruzione dei DP se incompleti, obsoleti, inesatti oppure non necessari per la finalità dichiarata; revocare il consenso in qualsiasi momento; impugnare le azioni dell'Operatore dinanzi a Roskomnadzor o all'autorità giudiziaria.
Le comunicazioni vanno inviate a [email protected]. Il termine di esame è di 30 giorni dalla data di ricezione. L'account, con tutti i dati ad esso collegati, può essere eliminato autonomamente nell'applicazione oppure mediante comunicazione all'indirizzo indicato. La revoca del consenso comporta la cessazione della fornitura delle funzioni del servizio per le quali il trattamento dei DP è necessario.
Se i vostri DP sono stati inseriti nel servizio da un maestro (sezione 4.2), rivolgetevi in primo luogo a lui in quanto operatore di tali dati; l'Operatore del servizio gli presterà assistenza tecnica nell'esecuzione della vostra richiesta e, in caso di impossibilità di contattare il maestro, esaminerà la comunicazione autonomamente.
Il servizio utilizza i cookie e l'archivio locale del browser (localStorage) esclusivamente per il funzionamento delle funzioni: conservazione della sessione e del token di accesso, della lingua e del tema scelti, della bozza di avvio rapido, della cache dell'applicazione (service worker) e protezione CSRF in caso di accesso tramite fornitore di autenticazione. I cookie analitici sono installati da Google Analytics, e solo dopo il tuo consenso (vedi 7.1). I cookie pubblicitari non sono installati. La disattivazione dei cookie nelle impostazioni del browser renderà impossibile l'accesso all'account.
Il servizio è destinato alle persone che hanno compiuto 18 anni. Il maestro ha facoltà di svolgere nel servizio lezioni con clienti minorenni: in tal caso il consenso al trattamento dei DP del minore è prestato dal suo rappresentante legale, e l'ottenimento di tale consenso è obbligo del maestro (sezione 4.2).
L'applicazione accede ai dati di Google solo se l'utente collega autonomamente il proprio account Google nella schermata «Calendario». Sono richiesti:
openid, email) — per
mostrare quale account è collegato;calendar.calendarlist.readonly) — in sola lettura,
affinché l'utente possa indicare quali calendari mostrare;calendar.events.readonly) — in sola
lettura, per mostrare gli impegni accanto alle lezioni di Pika. L'applicazione non modifica e non
elimina mai gli eventi nei vostri calendari personali;calendar.app.created) — l'applicazione crea, modifica ed elimina in esso soltanto
i propri eventi.L'applicazione non richiede e non legge Gmail, Google Drive e Contatti.
Gli eventi del calendario non sono copiati nella base di dati dell'Operatore: sono richiesti a Google al momento dell'apertura della schermata. L'unico elemento conservato è il refresh-token di Google, collocato al di fuori della radice del server web, sotto una chiave costituita da un hash SHA-256 unidirezionale del token dell'account. La disconnessione di Google nella schermata «Calendario» elimina immediatamente e irreversibilmente il token dal server; l'accesso può essere revocato anche su myaccount.google.com/permissions.
L'utilizzo e la trasmissione da parte del servizio Pika delle informazioni ottenute dalle API di Google avvengono in conformità alla Google API Services User Data Policy, compresi i requisiti Limited Use. I dati delle API di Google non sono utilizzati per la pubblicità e la profilazione e non sono impiegati per lo sviluppo, il miglioramento o l'addestramento di modelli generalizzati di IA/apprendimento automatico.
L'Operatore ha facoltà di modificare la presente Informativa. La nuova edizione entra in vigore dal momento della pubblicazione all'indirizzo zhedor.com/app/pika/legal/privacy.html, salvo che l'edizione stessa disponga diversamente. La data dell'edizione è indicata all'inizio del documento.
Questioni relative al trattamento dei DP, richieste degli interessati, revoca del consenso: [email protected].