Traduzione di riferimento. La versione giuridicamente vincolante è il testo russo: privacy.html.
La presente Informativa determina le modalità di trattamento dei dati personali (di seguito — DP) e le misure adottate dall'Operatore per garantirne la sicurezza, ed è redatta in attuazione della Legge federale russa del 27.07.2006 n. 152-FZ «Sui dati personali» (art. 18.1).
Operatore (titolare del trattamento): Evgeny A. Dorokhov,
persona fisica che applica il regime fiscale speciale «Imposta sul reddito professionale»
(lavoratore autonomo).
INN (codice fiscale russo): 272511721775
Indirizzo postale per le comunicazioni scritte: fornito su richiesta
inviata all'indirizzo e-mail indicato di seguito
E-mail per comunicazioni, richieste e revoca del consenso:
[email protected]
L'Informativa si applica a tutte le informazioni che l'Operatore può ottenere sugli utenti del servizio «Pika» — applicazione per maestri (allenatori, insegnanti privati, estetisti, istruttori, studi) e per i loro clienti, nonché servizio di prenotazione di campi e sale nei club sportivi «Pika Club» —, pubblicato all'indirizzo zhedor.com/app/pika/, comprese le applicazioni mobili contenitore.
L'utilizzo del servizio comporta l'accettazione della presente Informativa da parte dell'utente. In caso di disaccordo l'utente è tenuto a cessare l'utilizzo del servizio.
I termini dati personali, trattamento dei DP, operatore, interessato, trasferimento transfrontaliero, anonimizzazione, blocco e distruzione dei DP sono utilizzati nei significati stabiliti dall'art. 3 della legge 152-FZ.
Distinzione fondamentale dei ruoli. I DP del cliente (nome e, a discrezione del maestro, contatti, età, note, indicatori di progresso, saldo e pagamenti) sono inseriti nel servizio dal maestro stesso. Rispetto a tali dati l'operatore è il maestro, mentre l'Operatore del servizio «Pika» agisce come soggetto che effettua il trattamento per conto dell'operatore (art. 6, comma 3 della legge 152-FZ): conserva e visualizza i dati su suo incarico e per le finalità da lui stabilite.
Obbligo del maestro: ottenere dal cliente (e, per un minore, dal suo rappresentante legale) il consenso al trattamento dei DP prima di inserirli nel servizio e garantire la liceità del trattamento. L'Operatore del servizio non verifica e non è in grado di verificare l'esistenza di tale consenso.
Se il cliente crea un proprio accesso all'area personale, sono trattati inoltre: l'indirizzo e-mail e l'identificativo dell'account presso il fornitore di autenticazione, l'iscrizione alle notifiche push, il token di accesso all'area personale.
In fase di registrazione l'Operatore rileva e conserva: il fatto e l'ora dell'apposizione delle spunte di consenso, le versioni dell'Informativa e delle Condizioni d'uso, la lingua dell'interfaccia, l'indirizzo IP e lo user-agent del dispositivo. Tali informazioni sono trattate esclusivamente come prova dell'esistenza del consenso e non sono utilizzate per alcuna altra finalità.
Chi riguarda. La persona che prenota un campo, una sala o altra risorsa del club tramite il servizio — sulla pagina del club, nel catalogo dei club o nell'applicazione — nonché la persona registrata su sua indicazione dal personale del club alla reception.
Cosa viene trattato: nome e numero di telefono; in caso di accesso tramite social network — anche l'identificativo dell'account e l'indirizzo e-mail; informazioni sulle prenotazioni (data, ora, campo, importo, stato, modalità di pagamento, indicazione della presenza e dell'annullamento); saldo del credito presso il club e i relativi movimenti; immagine della ricevuta bancaria, se la persona l'ha allegata a conferma del pagamento; corrispondenza con il club all'interno del servizio; dati tecnici della richiesta (indirizzo IP, informazioni sul browser) — per la protezione dagli abusi.
Trasmissione al club. La prenotazione implica per sua natura che il club sappia chi arriverà e quando. Pertanto l'Operatore trasmette al club presso il quale la persona effettua la prenotazione: il nome, il numero di telefono e le informazioni sulle sue prenotazioni presso tale club (compresa la possibilità di esportarle in un file per la contabilità propria del club). Il consenso a ciò è prestato mediante una spunta separata non precompilata prima della prima prenotazione; senza di esso la prenotazione non è possibile.
Il club è un operatore autonomo. Rispetto alle informazioni ricevute il club determina autonomamente le finalità e le modalità del trattamento (registrazione delle presenze, contatto con il cliente, conteggi) e risponde autonomamente del trattamento successivo, compresi il rispetto dei termini di conservazione e le risposte alle richieste. L'Operatore del servizio non controlla il modo in cui il club utilizza il file ricevuto o le informazioni raccolte alla reception.
Cosa NON viene trasmesso al club: l'indirizzo e-mail, l'identificativo dell'account del social network, l'indirizzo IP, nonché qualsiasi informazione sulle prenotazioni di tale persona presso altri club. Il club vede soltanto ciò che riguarda sé stesso.
Il club può trovarsi al di fuori della Federazione Russa (in particolare nel Regno di Thailandia). In tal caso la trasmissione delle informazioni elencate è transfrontaliera ed è effettuata nel rispetto dell'art. 12 della legge 152-FZ — v. sezione 7.
Basi del trattamento: il consenso dell'interessato (art. 6, comma 1, punto 1 della legge 152-FZ) e l'esecuzione del contratto di prestazione di servizi di cui l'interessato è parte (art. 6, comma 1, punto 5). Il fatto, l'ora, le versioni dei documenti, la lingua, l'indirizzo IP e lo user-agent sono registrati nel registro dei consensi (sezione 4.4).
Revoca del consenso. Una comunicazione a [email protected] fa cessare il trattamento presso l'Operatore e rende impossibili ulteriori prenotazioni. Le informazioni già trasmesse al club vanno revocate presso il club stesso: rispetto ad esse il club è un operatore autonomo e l'Operatore del servizio non può cancellare i dati dalla contabilità propria del club.
L'Operatore non tratta categorie particolari di DP (razza, nazionalità, opinioni politiche e religiose, stato di salute, vita intima) né DP biometrici. La fotografia del profilo è utilizzata come elemento dell'interfaccia e non è impiegata per l'identificazione della persona, pertanto non costituisce un DP biometrico. La responsabilità della liceità dell'inserimento di qualsiasi informazione sulla salute del cliente è del maestro (sezione 4.2).
I DP non sono utilizzati per finalità incompatibili con quelle indicate. I dati forniti per la registrazione non sono utilizzati per invii pubblicitari. L'Operatore non vende i DP, non li trasmette a reti pubblicitarie, non li utilizza per la profilazione a fini pubblicitari e non li impiega per l'addestramento di modelli di apprendimento automatico.
Chi riguarda. La persona che ha effettuato l'accesso tramite social network sulla pagina-blog pubblica del maestro per lasciare un commento o una reazione.
Cosa trattiamo. L'identificativo dell'account presso il social network, il nome e la
fotografia del profilo che il social network trasmette all'accesso, l'indirizzo pubblico
@handle scelto dalla persona, il testo dei suoi commenti e reazioni, nonché i dati
tecnici della richiesta (indirizzo IP, informazioni sul browser) — questi ultimi esclusivamente per
la protezione da spam e abusi.
Base. Il consenso dell'interessato, prestato mediante una casella separata non spuntata all'accesso (art. 6, comma 1, punto 1 della legge 152-FZ), e il legittimo interesse dell'Operatore nella protezione del servizio dagli abusi automatizzati.
Cosa diventa pubblico. Il nome, l'@handle, la fotografia del profilo e il
testo del commento sono visibili a qualsiasi visitatore della pagina e possono essere indicizzati
dai motori di ricerca. L'indirizzo e-mail, l'identificativo del social network e l'indirizzo IP
non sono mai pubblicati.
Fotografia del profilo. Una copia è conservata sui server dell'Operatore nella Federazione Russa; nelle pagine pubbliche non è utilizzato il collegamento ai server del social network, pertanto il social network non riceve informazioni sulle visite della pagina da parte del lettore.
Diritti. Nelle impostazioni del profilo il lettore può rimuovere la fotografia, modificare
l'@handle ed eliminare il profilo — insieme a tutti i propri commenti oppure lasciandoli
in forma anonimizzata. La revoca del consenso equivale all'eliminazione del profilo. La registrazione
nel registro dei consensi è conservata come prova della liceità del trattamento avvenuto
(v. sezioni 4.4 e 6).
Il trattamento è effettuato con l'ausilio di strumenti di automazione e senza di essi. I DP sono conservati non più a lungo di quanto richiesto dalle finalità del trattamento e sono distrutti o anonimizzati al raggiungimento delle finalità, alla revoca del consenso o su richiesta dell'interessato.
Localizzazione (art. 18, comma 5 della legge 152-FZ). La registrazione primaria, la sistematizzazione, l'accumulo, la conservazione, la rettifica e l'estrazione dei DP dei cittadini della Federazione Russa sono effettuati mediante una base di dati PostgreSQL collocata su un server nel territorio della Federazione Russa. Basi di dati cloud estere non sono utilizzate come archivio primario dei DP.
Termini: i dati di un account attivo sono conservati per tutta la durata della sua esistenza. Dopo l'eliminazione dell'account i dati sono cancellati entro 30 giorni, ad eccezione del registro dei consensi e delle registrazioni la cui conservazione è obbligatoria per legge. Gli account inattivi possono essere eliminati decorsi 180 giorni di inattività, previa notifica all'indirizzo e-mail indicato. I log del server web sono conservati non oltre 12 mesi.
L'Operatore non divulga i DP a terzi, salvo nei casi espressamente previsti dalla presente Informativa o da un obbligo di legge.
Il club sportivo presso il quale la persona prenota un campo o una sala (sezione 4.5) riceve il suo nome, il numero di telefono e le informazioni sulle prenotazioni presso tale club — sullo schermo della postazione di lavoro del club e sotto forma di file di esportazione per la contabilità propria del club. La base è il consenso dell'interessato, prestato mediante una spunta separata prima della prima prenotazione, e l'esecuzione del contratto di prestazione di servizi. Rispetto a tali informazioni il club è un operatore autonomo. Se il club si trova al di fuori della Federazione Russa, tale trasmissione è transfrontaliera ed è effettuata nel rispetto dell'art. 12 della legge 152-FZ.
Singole operazioni sono eseguite con il ricorso a servizi situati al di fuori della Federazione Russa, il che comporta anch'esso un trasferimento transfrontaliero dei DP:
Il trasferimento transfrontaliero è effettuato nel rispetto delle condizioni dell'art. 12 della legge 152-FZ. L'Operatore notifica a Roskomnadzor l'intenzione di effettuare il trasferimento transfrontaliero dei DP. Strumenti di analisi web e pixel pubblicitari nelle pagine del servizio non sono utilizzati.
L'interessato ha diritto di: ottenere informazioni sul trattamento dei propri DP e la conferma del fatto del trattamento; esigere la rettifica, il blocco o la distruzione dei DP se incompleti, obsoleti, inesatti oppure non necessari per la finalità dichiarata; revocare il consenso in qualsiasi momento; impugnare le azioni dell'Operatore dinanzi a Roskomnadzor o all'autorità giudiziaria.
Le comunicazioni vanno inviate a [email protected]. Il termine di esame è di 30 giorni dalla data di ricezione. L'account, con tutti i dati ad esso collegati, può essere eliminato autonomamente nell'applicazione oppure mediante comunicazione all'indirizzo indicato. La revoca del consenso comporta la cessazione della fornitura delle funzioni del servizio per le quali il trattamento dei DP è necessario.
Se i vostri DP sono stati inseriti nel servizio da un maestro (sezione 4.2), rivolgetevi in primo luogo a lui in quanto operatore di tali dati; l'Operatore del servizio gli presterà assistenza tecnica nell'esecuzione della vostra richiesta e, in caso di impossibilità di contattare il maestro, esaminerà la comunicazione autonomamente.
Il servizio utilizza i cookie e l'archivio locale del browser (localStorage) esclusivamente per il funzionamento delle funzioni: conservazione della sessione e del token di accesso, della lingua e del tema scelti, della bozza di avvio rapido, della cache dell'applicazione (service worker) e protezione CSRF in caso di accesso tramite fornitore di autenticazione. Cookie pubblicitari e analitici non sono installati. La disattivazione dei cookie nelle impostazioni del browser renderà impossibile l'accesso all'account.
Il servizio è destinato alle persone che hanno compiuto 18 anni. Il maestro ha facoltà di svolgere nel servizio lezioni con clienti minorenni: in tal caso il consenso al trattamento dei DP del minore è prestato dal suo rappresentante legale, e l'ottenimento di tale consenso è obbligo del maestro (sezione 4.2).
L'applicazione accede ai dati di Google solo se l'utente collega autonomamente il proprio account Google nella schermata «Calendario». Sono richiesti:
openid, email) — per
mostrare quale account è collegato;calendar.calendarlist.readonly) — in sola lettura,
affinché l'utente possa indicare quali calendari mostrare;calendar.events.readonly) — in sola
lettura, per mostrare gli impegni accanto alle lezioni di Pika. L'applicazione non modifica e non
elimina mai gli eventi nei vostri calendari personali;calendar.app.created) — l'applicazione crea, modifica ed elimina in esso soltanto
i propri eventi.L'applicazione non richiede e non legge Gmail, Google Drive e Contatti.
Gli eventi del calendario non sono copiati nella base di dati dell'Operatore: sono richiesti a Google al momento dell'apertura della schermata. L'unico elemento conservato è il refresh-token di Google, collocato al di fuori della radice del server web, sotto una chiave costituita da un hash SHA-256 unidirezionale del token dell'account. La disconnessione di Google nella schermata «Calendario» elimina immediatamente e irreversibilmente il token dal server; l'accesso può essere revocato anche su myaccount.google.com/permissions.
L'utilizzo e la trasmissione da parte del servizio Pika delle informazioni ottenute dalle API di Google avvengono in conformità alla Google API Services User Data Policy, compresi i requisiti Limited Use. I dati delle API di Google non sono utilizzati per la pubblicità e la profilazione e non sono impiegati per lo sviluppo, il miglioramento o l'addestramento di modelli generalizzati di IA/apprendimento automatico.
L'Operatore ha facoltà di modificare la presente Informativa. La nuova edizione entra in vigore dal momento della pubblicazione all'indirizzo zhedor.com/app/pika/legal/privacy.html, salvo che l'edizione stessa disponga diversamente. La data dell'edizione è indicata all'inizio del documento.
Questioni relative al trattamento dei DP, richieste degli interessati, revoca del consenso: [email protected].