Політика конфіденційності

Ця політика пояснює, які персональні дані ми обробляємо, коли ви користуєтеся сайтом level-up-championship.com (усіма мовними версіями), реєструєтеся на чемпіонат і оплачуєте участь, пишете нам або потрапляєте на фото з чемпіонату.

1. Хто відповідає за ваші дані

Контролер у значенні ст. 4(7) GDPR:

Mariana Vais
Straße des 18. Oktober 10
04103 Leipzig, Deutschland
Німеччина
E-mail: datenschutz@mvaismentor.com

З усіх питань щодо ваших даних і для реалізації своїх прав пишіть на цю адресу.

2. Коротко

• Сайт можна переглядати без реєстрації. Без вашої згоди ми зберігаємо в браузері лише потрібне для роботи сайту: мову, кошик, статус оплати, прокрутку після переходу з меню і ваш вибір щодо cookie.
• Статистику відвідувань (Vercel), рекламний піксель Meta і карти Google вмикаємо лише за вашою згодою. Змінити вибір можна будь-коли через «Налаштування cookie» у футері сайту.
• Для реєстрації на чемпіонат ми збираємо ім’я, e-mail, телефон і Telegram. Оплату в кошику приймає SumUp, попереднє бронювання — Revolut; даних вашої картки ми не бачимо.
• Телефон і Telegram видаляємо через 30 днів після чемпіонату, e-mail — через 6 місяців після нього, незавершені замовлення — через 30 днів. Бухгалтерський запис про оплату (ім’я, номінації, сума, дата) зберігаємо 10 повних календарних років після року оплати, як вимагає податкове право; якщо триває спір щодо оплати або податкова перевірка — до їх завершення.
• Частина постачальників (Vercel, Resend, Forward Email, Apple, Meta, Google, а за потреби також SumUp і Revolut) може обробляти дані за межами ЄС, зокрема в США; гарантії описано в розділі 10.
• Ви маєте право на доступ, виправлення, видалення, обмеження обробки, перенесення даних, заперечення і скаргу до наглядового органу (розділи 12 і 13).

3. Відвідування сайту і хостинг

Сайт розміщено на платформі Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, США). Серверні функції сайту працюють у дата-центрі у Франкфурті-на-Майні, а сторінки й файли можуть доставлятися через глобальну мережу Vercel.

Коли ви відкриваєте сторінку, браузер автоматично передає технічні дані: IP-адресу, дату і час запиту, адресу сторінки, адресу сторінки, з якої ви прийшли, тип і версію браузера та операційної системи. Vercel використовує їх, щоб доставити сторінку, і ненадовго зберігає в технічних журналах для пошуку помилок і захисту від атак — на нашому тарифі 1 день або до 30 днів, якщо ми ввімкнемо розширене зберігання журналів Vercel.

• Мета: показати сайт і забезпечити його безпеку та стабільну роботу.
• Правова підстава: ст. 6(1)(f) GDPR; наш законний інтерес — надійна і захищена робота сайту.
• Vercel діє як наш обробник за договором про обробку даних (ст. 28 GDPR). Про передачу даних до США — у розділі 10.

4. Cookie і сховище браузера

Без вашої згоди ми зберігаємо у браузері лише те, без чого сайт не працює або що потрібно для функції, якою ви самі користуєтеся (§ 25(2) п. 2 TDDDG). Усе інше — тільки за вашою згодою (§ 25(1) TDDDG, ст. 6(1)(a) GDPR).

Vercel Web Analytics не використовує cookie і нічого не зберігає у вашому браузері (розділ 5).

Ваш вибір зберігається лише у вашому браузері; окремого журналу згод на сервері ми не ведемо. Змінити або відкликати згоду можна будь-коли через «Налаштування cookie» у футері сайту або на цій сторінці. Відкликання діє на майбутнє. Якщо ви відкликаєте згоду «Маркетинг», ми видаляємо cookie і записи Meta на нашому сайті та перезавантажуємо сторінку без пікселя; cookie на facebook.com можна видалити в налаштуваннях браузера.

5. Статистика відвідувань (Vercel Web Analytics) — лише за згодою

Якщо ви погодилися на «Статистику», ми рахуємо відвідування за допомогою Vercel Web Analytics без cookie. Передаються адреса сторінки (без параметрів після «?») і сайт, з якого ви прийшли; приблизне місцезнаходження (країна, регіон, місто), тип пристрою, операційну систему і браузер Vercel визначає з вашого запиту. Щоб відрізняти відвідування, Vercel утворює з запиту хеш (одностороннє перетворення: з нього не можна відновити вихідні дані) і видаляє його через 24 години. Окремих відвідувачів ми не бачимо — лише зведену статистику.

• Мета: зрозуміти, які сторінки відвідують, і покращувати сайт.
• Правова підстава: ваша згода (§ 25(1) TDDDG, ст. 6(1)(a) GDPR).
• Обробник: Vercel Inc., США (розділ 10). Статистика доступна нам протягом 12 місяців (24 місяців, якщо ми підключимо розширену аналітику Vercel); Vercel може зберігати ці дані довше.

6. Meta Pixel — лише за згодою

Якщо ви погодилися на «Маркетинг», на сайті працює Meta Pixel від Meta Platforms Ireland Limited (Block J, Serpentine Avenue, Dublin 4, Ірландія). Він повідомляє Meta про кожну сторінку нашого сайту, яку ви відкриваєте, і — автоматично — про кожне натискання кнопки чи посилання. Кожне повідомлення містить адресу сторінки, адресу попередньої сторінки і метадані сторінки: її заголовок, опис і мову, а також структуровану розмітку, якщо вона є на сторінці (наприклад, Open Graph або Schema.org). У разі натискання піксель додатково передає текст кнопки чи посилання, технічні атрибути елемента (як-от ідентифікатор, CSS-класи і тип), адресу, на яку веде посилання чи форма, і, якщо кнопка чи посилання міститься у формі, перелік полів цієї форми (їхні назви, типи, тексти-підказки і позначку, чи поле порожнє), але не те, що ви в них ввели. Ваш браузер також передає IP-адресу, дані браузера і пристрою (як-от розмір екрана і часовий пояс) та ідентифікатори з cookie _fbp і _fbc. Якщо у вас є акаунт Facebook або Instagram, Meta може пов’язати ці дані з ним.

• Мета: вимірювати ефективність нашої реклами у Facebook та Instagram і показувати її людям, які відвідали наш сайт.
• Правова підстава: ваша згода (§ 25(1) TDDDG, ст. 6(1)(a) GDPR).
• Спільна відповідальність: за збір даних на нашому сайті та їх передачу Meta ми відповідаємо разом із Meta Platforms Ireland (ст. 26 GDPR). Суть домовленості: ми відповідаємо за правильне підключення пікселя, цю інформацію і вашу згоду; Meta — за безпеку своїх продуктів і за виконання ваших прав щодо даних, які вона отримала. Угода: Meta Controller Addendum. Подальшу обробку Meta здійснює як самостійний контролер: Політика конфіденційності Meta.
• Meta Platforms Ireland може передавати дані материнській компанії Meta Platforms, Inc. у США на підставі її сертифікації DPF і стандартних договірних положень (розділ 10).
• На сторінках повернення з оплати і відновлення замовлення піксель не завантажується, щоб номер замовлення не потрапив до Meta.

7. Google Maps — лише після вашого кліку

На головній сторінці замість карти спершу показано заглушку. Доки ви не натиснете «Показати карту» або не дозволите «Зовнішні медіа» в налаштуваннях, Google нічого не отримує. Щойно карта завантажиться, Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ірландія) отримує вашу IP-адресу, дані браузера, адресу нашого сайту та, можливо, наявні cookie Google. Google обробляє ці дані як самостійний контролер і може передавати їх Google LLC у США на підставі її сертифікації DPF і стандартних договірних положень (розділ 10): Політика конфіденційності Google.

• Мета: показати, де проходить чемпіонат.
• Правова підстава: ваша згода (§ 25(1) TDDDG, ст. 6(1)(a) GDPR).

8. Реєстрація на чемпіонат і оплата

Які дані і навіщо

Для реєстрації ви обираєте номінації і вказуєте ім’я та прізвище, e-mail, телефон і Telegram-нік. Ми зберігаємо їх разом з обраними номінаціями, сумою, мовою сайту, номером замовлення, часом замовлення і статусом оплати.

• Мета: оформити вашу участь, зв’язуватися з вами щодо чемпіонату (організаційні питання, розклад, зміни), провести чемпіонат, розглянути претензії щодо оплати.
• Правова підстава: виконання договору і дії до його укладення (ст. 6(1)(b) GDPR).
• Усі поля обов’язкові: без них ми не можемо прийняти реєстрацію і зв’язатися з вами до і під час чемпіонату.
• Замовлення зберігаються у сховищі Vercel Blob нашого обробника Vercel (розділ 10).

Оплата через SumUp

Оплату картою в кошику приймає SumUp Limited (Block 8, Harcourt Centre, Charlotte Way, Dublin 2, Ірландія) на своїй сторінці. Дані картки ви вводите безпосередньо у SumUp; ми їх не отримуємо. Ми передаємо SumUp лише суму, номер замовлення і назви номінацій, а SumUp повідомляє нам статус оплати. SumUp обробляє платіжні дані як самостійний контролер: Політика конфіденційності SumUp (англійською). Правова підстава: ст. 6(1)(b) GDPR.

Попереднє бронювання через Revolut

Кнопка «Реєстрація» веде на сторінку оплати Revolut, де можна заздалегідь забронювати місце на чемпіонаті. Платіж приймає Revolut Bank UAB (Вільнюс, Литва) на своїй сторінці; дані картки та інші дані, які ви там вводите, отримує Revolut, а не ми. Revolut обробляє їх як самостійний контролер: Політика конфіденційності Revolut Pay Checkout (англійською). Нам Revolut повідомляє суму, дату і дані платника, потрібні, щоб зарахувати бронювання (наприклад, ім’я та e-mail). Правова підстава: ст. 6(1)(b) GDPR. Ці платіжні дані зберігаються в нашому бізнес-рахунку Revolut і в бухгалтерії протягом податкових строків зберігання (§ 147 AO).

Листи

Листи ми надсилаємо через сервіс Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, США), який діє як наш обробник:

• підтвердження оплати — вам;
• повідомлення про нову оплачену реєстрацію з вашими контактними даними — нам;
• одне нагадування з посиланням для завершення оплати, якщо оплату відхилено або не завершено протягом 15 хвилин.

Нагадування надсилається один раз на замовлення, а на одну адресу — не частіше ніж раз на 2 години. Окрім цих автоматичних листів, ми пишемо вам лише щодо вашої участі (наприклад, про зміни в розкладі) і про суттєві зміни цієї політики; розсилок і реклами не надсилаємо. Правова підстава: ст. 6(1)(b) GDPR (для нагадування — допомога завершити реєстрацію, яку ви розпочали). Resend зберігає копії листів і журнали доставки обмежений час (за умовами Resend — 30 днів).

Щоб дотримати інтервал між нагадуваннями і не дати нікому засипати чужу адресу листами, ми зберігаємо хеш (SHA-256, одностороннє перетворення) вашої e-mail-адреси з часом останнього нагадування і видаляємо його зазвичай протягом доби після закінчення 2-годинного інтервалу. Правова підстава: ст. 6(1)(f) GDPR; наш законний інтерес — захист від зловживань.

Скільки зберігаємо

• Незавершені замовлення (оплату не розпочато, не завершено або відхилено) видаляємо через 30 днів.
• В оплачених замовленнях телефон і Telegram видаляємо через 30 днів після чемпіонату, на який ви зареєструвалися, а e-mail — через 6 місяців після нього: протягом цього часу банк ще може оскаржити платіж. Якщо на цей момент триває спір щодо оплати чи розгляд іншої претензії, ми призупиняємо видалення даних цього замовлення до його завершення (ст. 6(1)(f) GDPR; наш законний інтерес — захист від претензій).
• Решту даних оплаченого замовлення (ім’я, номер замовлення, номінації, сума, дата, статус і ідентифікатор платежу) зберігаємо як бухгалтерський запис 10 повних календарних років після року оплати, як вимагає німецьке податкове право (§ 147 AO; ст. 6(1)(c) GDPR). Якщо на момент видалення триває податкова перевірка, видалення призупиняється до її завершення (§ 147(3) AO).
• У сховищі замовлень видалення відбувається автоматично раз на тиждень, тож дані зазвичай зникають протягом 7 днів після зазначеного строку.
• Повідомлення про оплату (вони містять ім’я, e-mail, телефон і Telegram) зберігаються в нашій поштовій скриньці в сервісі Forward Email, який також пересилає їх до нашої скриньки Gmail (розділ 10). Ми видаляємо їх вручну в обох скриньках, щонайпізніше через 6 місяців після чемпіонату; скільки видалений лист ще може залишатися в папці видалених листів і в резервних копіях, пояснено в розділі 11.

9. Фото і відео з чемпіонату

На чемпіонаті ми фотографуємо і знімаємо відео — насамперед загальні плани, сцену, роботи учасників і нагородження. Ці матеріали ми публікуємо в галереї на цьому сайті та в нашому Instagram, щоб розповісти про чемпіонат і запросити на наступні.

• Правова підстава: ст. 6(1)(f) GDPR; наш законний інтерес — документувати і показувати чемпіонат як публічний захід (з урахуванням § 23(1) п. 3 KUG). Крупні портрети в рекламі використовуємо лише з вашої згоди (ст. 6(1)(a) GDPR).
• Фото й відео для сайту зберігаються у Vercel Blob нашого обробника Vercel. Instagram належить Meta Platforms Ireland Limited, яка обробляє опубліковані матеріали як самостійний контролер за власними правилами.
• Строк: на сайті — доки галерея відповідного чемпіонату доступна; в Instagram — доки ми не видалимо допис або ви не попросите його прибрати.
• Не хочете бути на фото? Напишіть на datenschutz@mvaismentor.com і вкажіть, про яке фото йдеться, — ми оперативно його приберемо.

10. Одержувачі і передача даних за межі ЄС

DPF — рішення Європейської комісії про адекватність захисту даних у сертифікованих компаніях США (EU-US Data Privacy Framework, рішення (ЄС) 2023/1795); Vercel Inc., Plus Five Five, Inc., Meta Platforms, Inc. і Google LLC сертифіковані за DPF. SCC — стандартні договірні положення ЄС (рішення (ЄС) 2021/914). Vercel і Resend обробляють дані в США за нашими договорами з ними, які містять SCC. Forward Email LLC не сертифікована за DPF; вона обробляє дані в США за своїм договором про обробку даних, до якого включено SCC (модуль 2: від контролера до обробника). Meta і Google отримують дані в Ірландії й передають їх своїм компаніям у США на підставі власної сертифікації DPF і SCC. Forward Email пересилає листи до наших поштових скриньок в Apple (iCloud Mail) і Google (Gmail), які ці постачальники надають за власними умовами. Apple Inc. не сертифікована за DPF; скриньку надає Apple Distribution International Limited в Ірландії, дані зазвичай зберігає Apple Inc. у США, і цю передачу Apple здійснює на підставі SCC. Копію гарантій з наших договорів можна отримати на запит на datenschutz@mvaismentor.com.

Наш ІТ-підрядник (розробник програмного забезпечення в Німеччині) розробляє й обслуговує цей сайт для нас і може мати доступ до збережених у ньому даних, коли це потрібно для обслуговування. Він діє як наш обробник за договором про обробку даних (ст. 28 GDPR) і може використовувати ці дані лише за нашою вказівкою. Дані також можуть отримувати наш податковий консультант і державні органи, якщо цього вимагає закон. Ми не продаємо ваші дані.

11. Якщо ви пишете нам

Якщо ви пишете нам на e-mail, у Telegram чи Instagram, ми використовуємо ваше повідомлення і контактні дані, щоб відповісти: ст. 6(1)(b) GDPR, якщо йдеться про участь у чемпіонаті, в інших випадках ст. 6(1)(f) GDPR (наш законний інтерес — відповідати на звернення). Листи на наші адреси приймає сервіс Forward Email і зберігає для нас у зашифрованій поштовій скриньці на своїх серверах у США. Forward Email також пересилає їх до нашої поштової скриньки Apple iCloud Mail (розділ 10). Листування видаляємо в обох скриньках, коли питання вирішено, якщо закон не вимагає зберігати ділові листи довше (до 6 років, § 147 AO). Видалений лист може ще приблизно до 30 днів залишатися в папці видалених листів скриньки, а в резервній копії Forward Email — доки її не перезапише наступна; Apple і Google стирають видалені листи зі своїх систем за власними правилами. Telegram та Instagram — окремі сервіси зі своїми правилами конфіденційності; на нашому сайті є лише посилання на них, без вбудованого вмісту.

12. Ваші права

Ви маєте право:

• дізнатися, які ваші дані ми обробляємо, і отримати їх копію (ст. 15 GDPR);
• виправити неточні дані (ст. 16 GDPR);
• вимагати видалення даних (ст. 17 GDPR) або обмеження обробки (ст. 18 GDPR);
• отримати дані, які ви нам надали, у машиночитаному форматі (ст. 20 GDPR);
• будь-коли відкликати згоду; це не впливає на законність обробки до відкликання (ст. 7(3) GDPR). Для cookie скористайтеся «Налаштуваннями cookie» у футері сайту;
• заперечити проти обробки (ст. 21 GDPR, див. розділ 13);
• подати скаргу до наглядового органу (ст. 77 GDPR). Наш компетентний орган — Sächsische Datenschutz- und Transparenzbeauftragte, Postfach 11 01 32, 01330 Dresden, Німеччина, post@sdtb.sachsen.de, www.datenschutz.sachsen.de. Можна також звернутися до наглядового органу держави — члена ЄС/ЄЕЗ, де ви зазвичай проживаєте, працюєте або де сталося ймовірне порушення.

Щоб скористатися своїми правами, напишіть на datenschutz@mvaismentor.com.

13. Право на заперечення

Право заперечити (ст. 21 GDPR). Якщо ми обробляємо ваші дані на підставі законного інтересу (ст. 6(1)(f) GDPR) — це технічні журнали сайту, хеш для інтервалу між нагадуваннями (розділ 8), фото і відео з чемпіонату, відповіді на повідомлення, не пов’язані з участю (розділ 11), та зберігання даних на час спору щодо оплати чи іншої претензії, — ви можете будь-коли заперечити проти цього з причин, пов’язаних з вашою особливою ситуацією. Тоді ми припинимо обробку, крім випадків, коли доведемо переконливі законні підстави для неї, що переважають ваші інтереси, права і свободи, або коли обробка потрібна для встановлення, реалізації чи захисту правових вимог. Заперечення надсилайте на datenschutz@mvaismentor.com.

14. Автоматизовані рішення

Ми не приймаємо рішень, які ґрунтуються виключно на автоматизованій обробці, і не здійснюємо профілювання в значенні ст. 22 GDPR.

15. Зміни цієї політики

Ми оновлюємо політику, коли змінюється обробка даних; дату актуальної версії вказано вгорі сторінки. Про суттєві зміни, що стосуються вже зареєстрованих учасників, ми повідомимо e-mail. Політика доступна українською, англійською та німецькою мовами.