Tietosuojaseloste

IF Gnistan ry

Y-tunnus: 0200428-8

Osoite: Käskynhaltijantie 11, 00640 Helsinki

Tietosuojavastaava: Frans Enala

Sähköposti: frans.enala@gnistan.fi

Alusta käsittelee seuraavia henkilötietoja:

• Nimi, syntymäaika ja PalloID (Suomen Palloliitosta)
• Sähköpostiosoite (MyClubista)
• Joukkueen jäsenyys- ja roolitiedot (MyClubista)
• Pelipassi- ja vakuutustiedot (Taso / MyClub)
• Ottelutilastot: maalit, syötöt, varoitukset (Taso)
• Pelillinen suoritus otteluissa: 1v1-onnistumiset, juoksumäärät, pallonhallinta-, syöttö- ja kaksinkamppailutilastot (Eyeball Sports)
• Harjoitusläsnäolotiedot (MyClubista ja manuaalisesti syötetyt)
• Fyysisen kehityksen mittaustulokset: pituus, paino, istumapituus, MAS, 30m sprintti, biologinen kypsyysaste (MyEway / manuaalisesti syötetyt)
• Eerikkilä-tier-luokitus 1–5 (vertailutaso fyysisten mittausten perusteella)
• Vanhempien pituustiedot (itse ilmoitetut, käytetään aikuispituusennusteeseen)
• Liikuntamäärätiedot (itse ilmoitetut)
• Kirjautumis- ja käyttöloki (GDPR-auditointia varten)

Henkilötietojen käsittelyn tarkoituksena on:

• Seuran juniorijoukkueiden valmennustoiminnan tukeminen
• Pelaajien kehittymisen seuranta ja tilastointi
• Fyysisen kehityksen seuranta ja kuormituksen hallinta kasvuvaiheen huipun (PHV) aikana
• Harjoitus- ja ottelutoiminnan hallinnointi
• Pelipassien ja vakuutusten voimassaolon seuranta

Henkilötietojen käsittely perustuu EU:n yleisen tietosuoja-asetuksen (GDPR) artiklan 6 mukaisesti:

• Oikeutettu etu (artikla 6.1 f) — urheiluseuran jäsenpalveluiden toteuttaminen ja toiminnan järjestäminen
• Suostumus (artikla 6.1 a) — rekisteröidyn antama suostumus alustalle rekisteröityessä

Rekisteriin tallennettavat tiedot saadaan seuraavista lähteistä:

Tietoja ei myydä, vuokrata tai luovuteta kolmansille osapuolille seuran ulkopuolelle.

Tietoja käsitellään seuran valmennushenkilöstön ja hallituksen toimesta käsittelytarkoituksen mukaisesti. Käyttöoikeudet on rajattu rooliperusteisesti.

Alustan palvelimet sijaitsevat Helsingissä (Hetzner, Suomi). Pelaajien, valmentajien ja hallituksen henkilötietoja (nimet, syntymäajat, ottelutilastot, mittaukset, läsnäolot, roolit) ei siirretä EU:n tai ETA:n ulkopuolelle.

Sähköpostiviestien tekniseen välitykseen (rekisteröintilinkit, magic link -kirjautuminen, salasanan nollaus, kyselykutsut, GDPR-pyyntöjen sisäiset ilmoitukset) käytetään Resend Inc. -palvelua (Yhdysvallat). Resendille välitetään ainoastaan sähköpostiosoite, viestin otsikko ja sisältö — ei muita henkilötietoja. Siirto perustuu Euroopan komission vakiosopimuslausekkeisiin (SCC, 2021/914) ja Resendin GDPR-tietojenkäsittelysopimukseen (DPA).

Henkilötietoja säilytetään niin kauan kuin rekisteröidyn jäsenyys seurassa jatkuu ja käsittelyn tarkoitus sitä edellyttää.

Jäsenyyden päätyttyä tiedot poistetaan kohtuullisessa ajassa, ellei niiden säilyttämiselle ole lakisääteistä perustetta. Rekisteröity voi pyytää tietojensa poistamista milloin tahansa.

Rekisterinpitäjä käyttää asianmukaisia teknisiä ja organisatorisia suojakeinoja henkilötietojen suojaamiseksi:

• Tietoliikenne on salattu (HTTPS/TLS)
• Salasanat tallennetaan tiivistettyinä (bcrypt)
• Käyttöoikeudet on rajattu rooliperusteisesti
• Kaikki henkilötietojen käsittely kirjataan auditilokiin
• Palvelimet sijaitsevat suojatussa konesalissa EU:n alueella

EU:n yleisen tietosuoja-asetuksen mukaisesti rekisteröidyllä on oikeus:

• Tarkastaa itseään koskevat henkilötiedot (artikla 15)
• Vaatia tietojen oikaisemista (artikla 16)
• Vaatia tietojen poistamista (artikla 17)
• Rajoittaa tietojen käsittelyä (artikla 18)
• Siirtää tiedot järjestelmästä toiseen (artikla 20)
• Vastustaa tietojen käsittelyä (artikla 21)
• Peruuttaa antamansa suostumus milloin tahansa

Rekisteröity voi käyttää oikeuksiaan ottamalla yhteyttä tietosuojavastaavaan osoitteessa frans.enala@gnistan.fi.

Rekisteröidyllä on oikeus tehdä valitus valvontaviranomaiselle (Tietosuojavaltuutetun toimisto, tietosuoja.fi).

Henkilötietojen käsittely voi sisältää profilointia. Profiloinnilla tarkoitetaan henkilötietojen automaattista käsittelyä, jossa tietoja käyttämällä arvioidaan rekisteröidyn henkilökohtaisia ominaisuuksia.

Rekisteröityjä voidaan profiloida urheilullisen kehittymisen seurannan ja yksilöllisen valmennuksen tukemiseksi. Profilointi voi perustua esimerkiksi ottelutilastoihin, harjoitusläsnäoloihin ja fyysisen suorituskyvyn mittauksiin.

Profiloinnin perusteella ei tehdä automaattisia päätöksiä, joilla olisi oikeudellisia tai vastaavia merkittäviä vaikutuksia rekisteröityyn.

Clubdataplatform näyttää eri lähdejärjestelmien dataa keskitetysti seuran toimintaa varten. Käsittelijöiden ja datalähteiden rooli on eroteltu:

Käsittelijöiden DPA-asiakirjat ja datalähteiden tietosuojaselosteiden linkit ovat saatavilla tietosuojavastaavalta pyynnöstä.

Alustan käyttäjäkunta on pääosin alaikäisiä (1–18-vuotiaita junioripelaajia). Alaikäisen henkilötietoja käsitellään pääsääntöisesti urheiluseuran toiminnan järjestämiseksi (oikeutettu etu, artikla 6.1 f).

Alle 13-vuotiaan lapsen henkilötietojen käsittely ilmoittautumisen ja alustakäytön osalta edellyttää huoltajan suostumusta (GDPR artikla 8 sovellettuna). Huoltaja kirjautuu alustaan omilla tunnuksillaan ja hänelle näytetään lapsensa tiedot.

Huoltajalla on lapsen puolesta oikeus pyytää tietojen tarkastusta, oikaisua, poistoa ja siirtoa. Pyynnöt tehdään tietosuojavastaavalle.

Alustalla ei käsitellä erityisiin henkilötietoryhmiin (artikla 9) kuuluvia tietoja, kuten terveys- tai biometrisia tunnistetietoja. Fyysisen kehityksen mittaukset (pituus, paino, MAS) ovat valmennuksellisia mittauksia, eivät lääketieteellisiä diagnooseja.

Pelaajan pelipassi- ja ottelutilastot kerää ja ylläpitää Suomen Palloliitto (Taso). Gnistan tuo nämä tiedot omaan alustaansa pelaajan kehittymisen seurantaa varten. Palloliitto vastaa rekisterinpitäjänä Taso-rekisteristä, Gnistan vastaa clubdataplatformin käsittelystä.

MyClubin jäsentietorekisteri on niin ikään erillinen Gnistan-rekisterinpitäjyys MyClubin alaisuudessa. Clubdataplatform synkronoi jäsentiedot rooliperusteista käyttöä varten.

Mahdollisista henkilötietojen tietoturvaloukkauksista ilmoitetaan valvontaviranomaiselle (Tietosuojavaltuutetun toimisto) 72 tunnin sisällä havaitsemisesta (GDPR artikla 33).

Rekisteröidyille ilmoitetaan loukkauksesta ilman aiheetonta viivytystä, jos loukkaus todennäköisesti aiheuttaa korkean riskin heidän oikeuksilleen tai vapauksilleen (artikla 34).

Tietoturvaloukkauksen havaitsemisesta voi ilmoittaa tietosuojavastaavalle.

Alusta käyttää vain teknisesti välttämättömiä evästeitä (Strictly Necessary), joita ei tarvitse erikseen hyväksyä. Evästeitä ei käytetä markkinointiin, analytiikkaan eikä profilointiin.