Статья 1 — Кто является оператором
Оператором ваших персональных данных является Неправительственное объединение «Santamore», Teuta 113, Porto Montenegro, 85320 Tivat, регистрационный номер [[PLACEHOLDER]], PIB [[PLACEHOLDER]] (далее: мы, объединение). По всем вопросам о данных пишите на [[PLACEHOLDER: электронная почта по защите данных, например privatnost@santamore.me]]. Лицо, ответственное за защиту данных: [[PLACEHOLDER: имя и должность]].
Настоящая политика распространяется на сайт и платформу объединения, на наши мероприятия, на работу с получателями помощи и на общение с вами. Мы составляем её в соответствии с Законом о защите персональных данных Черногории и, поскольку у нас есть доноры и участники из Европейского союза, в соответствии с Общим регламентом по защите данных (GDPR).
Статья 2 — Какие данные мы собираем
Мы собираем только то, что нам необходимо для конкретной задачи:
- Когда вы делаете пожертвование: имя и фамилию, адрес электронной почты, сумму, способ оплаты, кампанию, назначение платежа, ваш выбор, отображать ли имя публично, и отображаемое имя, язык для подтверждения. При оплате картой процессор может запросить телефон и адрес для проверки банком; эти данные поступают процессору, а не нам. При банковском переводе мы видим данные из выписки (имя плательщика, IBAN, сумму, назначение платежа). При ежемесячном пожертвовании процессор хранит карту в токенизированном виде, а мы видим последние четыре цифры и срок действия.
- Когда вы регистрируетесь на мероприятие: имя и фамилию, дату рождения, электронную почту, телефон, дистанцию или вид активности, размер футболки, контакт на случай чрезвычайной ситуации, медицинские примечания, которые вы сообщаете сами, подписанное Заявление участника с датой, временем и версией, выбор относительно фотографий и отображения имени в результатах, оплаченный взнос за участие. Для несовершеннолетних участников: данные родителя или опекуна, который регистрирует, сопровождающего лица и лица, забирающего ребёнка.
- Когда вы открываете аккаунт или страницу сбора средств: электронную почту для входа, имя, телефон (необязательно), язык, а также то, что вы публикуете сами: фотографию, историю, цель, команду. Суммы, собранные на вашей странице, являются данными о вас.
- Когда вы подаёте заявку на помощь: имя и контактные данные заявителя, категорию потребности, запрашиваемую сумму, описание и приложения (медицинскую документацию, счета, справки), заявление о других источниках, согласия. Часто это особо чувствительные данные (здоровье, социальное положение); они обрабатываются согласно статье 4.
- Когда вы волонтёрите или являетесь частью команды: имя, контактные данные, роли, посещение обучения, часы, для отдельных ролей заявления и справки согласно Политике защиты детей, а также фотографию, если вы согласны быть на странице команды.
- Когда вы нам пишете: то, что вы нам отправляете, и ваш адрес.
- Когда вы подключаете аккаунт Strava (по вашему выбору, для партнёрских бонусов): идентификатор аккаунта, имя, данные об активностях, которые передаёт Strava (вид, дата, дистанция, продолжительность), и токены доступа. Мы не собираем GPS-треки и данные о местоположении.
- На мероприятиях: фотографии и записи согласно статье 7, а также учёт инцидентов, когда они происходят.
- Технические данные: серверные логи (IP-адрес, время и путь запроса, тип браузера) для безопасности и устранения ошибок; файлы cookie согласно Политике cookie.
- Если вы спонсор, поставщик или партнёр: деловые контактные данные и договоры.
Мы не собираем данные о детях у детей: все данные о несовершеннолетнем участнике предоставляет родитель или опекун.
Статья 3 — Зачем и на каком основании
| Цель | Данные | Основание |
|---|---|---|
| Обработка пожертвования, подтверждение, открытый реестр | данные по ст. 2 п. 1 | исполнение договора; юридическая обязанность (бухгалтерский учёт); законный интерес (открытость работы) |
| Регистрация и участие в мероприятии, безопасность, результаты | ст. 2 п. 2 | исполнение договора; защита жизни и здоровья; законный интерес (безопасность) |
| Аккаунт и страница сбора средств | ст. 2 п. 3 | исполнение договора |
| Решения о помощи, выплата, публикация в обобщённом виде | ст. 2 п. 4 | явное согласие для чувствительных данных; законный интерес; юридическая обязанность (учёт выплат) |
| Волонтёры и команда, защита детей | ст. 2 п. 5 | договор о волонтёрстве; юридическая обязанность; законный интерес; согласие на фотографию |
| Ответы на сообщения | ст. 2 п. 6 | законный интерес |
| Партнёрские бонусы через Strava | ст. 2 п. 7 | согласие (подключение аккаунта) |
| Фотографии, на которых вас можно узнать | ст. 2 п. 8 | согласие |
| Безопасность сайта, предотвращение злоупотреблений | ст. 2 п. 9 | законный интерес |
| Аналитика посещений | файлы cookie | согласие |
| Уведомления по электронной почте о работе объединения | электронная почта | согласие, отзываемое в каждом сообщении |
| Противодействие отмыванию денег при крупных пожертвованиях | личность, происхождение средств | юридическая обязанность |
Вы можете отозвать согласие в любой момент; отзыв не влияет на обработку, выполненную до него. Когда мы основываем обработку на законном интересе, вы можете возразить согласно статье 9.
Статья 4 — Особо чувствительные данные
Данные о здоровье, социальном положении, инвалидности и подобные данные мы обрабатываем только: когда вы сами сообщаете их нам в заявке на помощь или в качестве медицинского примечания для мероприятия, с явным согласием; в объёме, необходимом для решения или безопасности; с доступом, ограниченным Комиссией по распределению средств и лицами, готовящими досье, либо руководителем мероприятия и медицинской службой; и со сроком хранения из Части B. Мы никогда не публикуем их и не передаём за пределы этого круга, кроме случаев, когда этого требует закон или защита жизни.
Статья 5 — Кому мы доверяем данные
Мы никому не продаём данные и не передаём их рекламодателям. Мы используем небольшое число обработчиков, которые обрабатывают данные по нашим указаниям и по договору об обработке:
| Обработчик | Что делает | Где |
|---|---|---|
| Supabase | база данных, вход, хранилище файлов | [[PLACEHOLDER: регион проекта, ожидается ЕС]] |
| Vercel | хостинг сайта и платформы, серверные логи | [[PLACEHOLDER: регион; США со стандартными договорными условиями для передачи]] |
| Resend | отправка электронной почты (подтверждения, инструкции, уведомления) | [[PLACEHOLDER: регион]] |
| Monri | обработка карточных платежей и хранение токенизированных карт | Хорватия (ЕС) |
| [[PLACEHOLDER: банк]] | приём платежей, выписки | Черногория |
| Plausible | аналитика без профилей, только с согласия | ЕС |
| Strava | источник данных об активностях, только если вы подключите аккаунт | США, по условиям Strava |
| Anthropic | перевод новостных текстов, которые пишет команда; не обрабатывает данные о вас | США |
| [[PLACEHOLDER: бухгалтер]] | бухгалтерский учёт поступлений и выплат | Черногория |
Мы также передаём данные: компетентным органам, когда этого требует закон (налоговым органам, органам по противодействию отмыванию денег, полиции, центру социальной работы в случаях, предусмотренных Политикой защиты детей); страховщику и медицинской службе в случае инцидента на мероприятии; партнёрским клубам — только список участников, необходимый для безопасности мероприятия, которое мы организуем совместно, с обязательством сохранять конфиденциальность.
Передачу за пределы Черногории и Европейского союза мы осуществляем только обработчикам с надлежащими гарантиями (стандартные договорные условия или решение об адекватности). Список обработчиков мы обновляем на этой странице до привлечения нового.
Статья 6 — Открытый реестр и ваше имя
Каждое поступление и каждую выплату мы публикуем в открытом реестре; это суть нашей работы. В реестре отображаются дата, сумма, кампания или страница участника, отделение, способ оплаты и отображаемое имя, которое вы сами выбрали, или отметка «Анонимно». Ваши электронная почта, телефон и адрес никогда не публикуются. Анонимность вы можете выбрать при оплате и впоследствии запросить для любого более раннего платежа.
Получатели помощи публикуются только в обобщённом виде (например, «семья из Тивата, расходы на лечение»), никогда с указанием имени, адреса или диагноза, за исключением истории, опубликованной с отдельного, отзываемого согласия.
На страницах участников и команд отображаются имя, фотография и история, которые вы сами опубликовали, и общая собранная сумма; в списке результатов — имя, стартовый номер, категория и время, если вы не выбрали скрыть имя.
Статья 7 — Фотографии и записи
На мероприятиях мы фотографируем и снимаем для галереи, отчётов, публикаций и материалов спонсоров мероприятия. При регистрации вы выбираете, согласны ли вы быть узнаваемым на опубликованных материалах; выбор можно изменить в аккаунте или сообщением. Без согласия мы не публикуем вас узнаваемым, за исключением групповых и панорамных снимков, на которых вы один из многих. Любую опубликованную фотографию, на которой вы себя узнали, мы удаляем в течение трёх рабочих дней с момента запроса.
Для детей действуют более строгие правила Политики защиты детей: публикация только с согласия родителя, без имени и данных, по которым ребёнка можно найти, отзыв в любой момент.
Статья 8 — Как долго мы храним данные
Мы храним данные только пока они необходимы для цели или пока этого требует закон:
- данные о поступлениях, выплатах и взносах за участие, включая подтверждения и Заявления участника: [[PLACEHOLDER: число, как того требуют бухгалтерские и налоговые нормы Черногории, подтверждает юрист]] лет с конца финансового года;
- аккаунт и страница сбора средств: пока вы их не удалите или не запросите удаление; аккаунт, неактивный [[PLACEHOLDER: число]] года, мы удаляем с предварительным уведомлением;
- заявки на помощь и приложения: [[PLACEHOLDER: число]] лет с последней выплаты или с отказа, затем удаление, кроме данных, входящих в учёт выплат;
- данные о мероприятии (контакт на случай чрезвычайной ситуации, медицинские примечания, списки): [[PLACEHOLDER: число]] месяцев после мероприятия; учёт инцидентов дольше, согласно Политике защиты детей;
- фотографии: пока действует согласие;
- данные Strava: пока аккаунт подключён; при отключении мы немедленно удаляем токены и данные об активностях;
- серверные логи: [[PLACEHOLDER: число]] дней;
- сообщения и переписка: [[PLACEHOLDER: число]] года с последнего сообщения;
- реестр интересов, учёт по защите детей, учёт сообщений о нарушениях: согласно соответствующим политикам.
Точный график приведён в Части B. По истечении срока мы удаляем или анонимизируем данные; анонимизированные суммы в открытом реестре сохраняются постоянно.
Статья 9 — Ваши права
Вы имеете право требовать от нас: доступ к своим данным и их копию; исправление неточных данных; удаление, когда данные больше не нужны или вы отозвали согласие, за исключением данных, которые мы обязаны хранить по закону; ограничение обработки; передачу данных, которые вы нам предоставили, в машиночитаемом виде; возражение против обработки, основанной на законном интересе; отзыв согласия; не быть объектом решений, принимаемых исключительно автоматически, которых у нас нет.
Запрос направляйте на [[PLACEHOLDER: электронная почта по защите данных]] или по почте на адрес из статьи 1. Мы отвечаем без промедления и не позднее чем в течение [[PLACEHOLDER: число, например 30]] дней; при сложных запросах срок может быть продлён с уведомлением. Запрос бесплатен. Чтобы защитить ваши данные, мы можем попросить подтвердить личность, например ответом с адреса электронной почты, который вы использовали.
Если вы считаете, что мы нарушили ваши права, вы можете подать жалобу в Агентство по защите персональных данных и свободному доступу к информации Черногории [[PLACEHOLDER: адрес и электронная почта Агентства]], а если вы находитесь в Европейском союзе — также в надзорный орган своей страны.
Статья 10 — Файлы cookie и аналитика
Мы используем только строго необходимые файлы cookie (сессия входа, выбор относительно cookie, защитные cookie процессора при оплате картой). Аналитика (Plausible, без профилей и без отслеживания на других сайтах) отключена, пока вы не включите её в уведомлении о cookie; отказаться так же просто, как согласиться. У нас нет и не будет рекламных пикселей и межсайтового отслеживания. Подробности — в Политике cookie.
Статья 11 — Безопасность
Мы защищаем данные техническими и организационными мерами: шифрование при передаче и на серверах обработчиков; доступ к данным по ролям, при котором публичные посетители видят только публичные представления, а чувствительные поля (электронная почта донора, приватные заметки о получателях помощи, данные процессора) недоступны без входа; номер карты никогда не попадает на наши серверы; журнал доступа администраторов; проверка подписи каждого сообщения процессора; обучение команды; договоры об обработке с каждым обработчиком. Если произойдёт нарушение защиты данных, которое может поставить под угрозу ваши права, мы уведомим вас и компетентный орган в установленный законом срок.
Статья 12 — Дети
Наша платформа не предназначена для самостоятельного открытия аккаунта или пожертвований детьми младше 18 лет. Данные о несовершеннолетних участниках предоставляет исключительно родитель или опекун, согласно Условиям участия и Политике защиты детей. Если мы узнаем, что собрали данные ребёнка без ведома родителя, мы их удаляем.
Статья 13 — Изменения
Если мы изменим политику, новую версию мы публикуем на этой странице с датой и номером версии. О существенных изменениях мы уведомляем зарегистрированных пользователей и ежемесячных доноров по электронной почте не менее чем за 15 дней до вступления в силу.