Privatumo politika

TSR (The Sports Registry) yra platforma, kuria gali naudotis bet kurios šalies sporto federacija (toliau — federacija arba federacijos) savo narių, sportininkų licencijų, dokumentų ir varžybų duomenims valdyti — platforma nėra skirta tik Lietuvos federacijoms. Platformą techniškai kuria ir administruoja 3T Media FZE, registracijos nr. 20352/2026, Jungtiniai Arabų Emyratai (toliau — mes arba Tvarkytojas).

Nors mes (Tvarkytojas) nesame įsteigti Europos Sąjungoje, ES Bendrasis duomenų apsaugos reglamentas (BDAR/GDPR) taikomas mūsų vykdomam Europos Sąjungoje ar EEE esančių federacijų ir jų narių duomenų tvarkymui, nes teikiame joms platformos paslaugas (BDAR 3 str. 2 d. a punktas). Federacijoms ir nariams gali papildomai taikytis ir jų pačių šalies vietiniai duomenų apsaugos įstatymai — už jų laikymąsi atsako pati federacija kaip duomenų valdytojas.

Priklausomai nuo duomenų kategorijos, skiriasi ir vaidmenys BDAR prasme:

Federacija — duomenų valdytojas

Kiekviena federacija (pvz. LMF, LZSF, LKF Lietuvoje, arba bet kuri kitos šalies federacija, prisijungusi prie TSR) yra savarankiškas duomenų valdytojas savo narių, sportininkų, licencijų, dokumentų ir varžybų duomenų atžvilgiu. Federacija sprendžia, kas tampa nariu, kokios licencijos išduodamos, kokie dokumentai reikalingi ir kaip su nariais bendraujama. Klausimus dėl savo asmens duomenų pirmiausia turėtumėte kreipti į savo federacijos administraciją.

3T Media FZE — duomenų tvarkytojas

Mes tvarkome narių duomenis federacijos vardu ir jos pavedimu — teikiame techninę platformą (svetainę, mobiliąją programėlę, serverius, dokumentų saugyklą), bet patys nesprendžiame, kam išduoti licenciją ar kaip vertinti nario dokumentus. Su kiekviena federacija esame sudarę arba sudarome duomenų tvarkymo sutartį (DPA).

Kai kuriuos duomenis (techninius žurnalus, saugumo įrašus, veiksmų žurnalą (audit log), susirašinėjimą su federacijomis kaip mūsų klientais) tvarkome patys kaip duomenų valdytojas, teisėto intereso pagrindu (platformos saugumas ir veikimas) — tai aprašyta 4 skyriuje.

Duomenų apsaugos klausimais žr. kontaktus 17 skyriuje.

TSR sujungia tris naudotojų grupes: narius (sportininkus, žirgų/gyvūnų savininkus), federacijos administratorius (tvarko savo federacijos narius, licencijas, dokumentus) ir platformos operatorių (mus — palaikome infrastruktūrą, sprendžiame technines problemas, prireikus veikiame keliose federacijose vienu metu tik palaikymo/saugumo tikslais).

Ši politika taikoma visiems trims — web svetainei (tsr.lt), federacijų administravimo panelei ir mobiliajai programėlei (iOS/Android), kurią naudoja federacijų nariai.

Renkame tik tuos duomenis, kurie būtini narystei, licencijoms ir varžyboms administruoti.

Paskyros duomenys

Vardas, pavardė, el. paštas, slaptažodžio kriptografinė santrauka (niekada — grynas tekstas), telefono numeris, gimimo data, pilietybė, lytis, adresas, miestas, šalis, profilio nuotrauka, pasirinkta kalba, paskutinio prisijungimo laikas. Naują paskyrą gali sukurti tiek pats narys (savireginstracija), tiek federacijos administratorius nario vardu (dažnai — jaunesnių sportininkų atveju, žr. 13 skyrių).

Licencijų ir kvalifikacijų duomenys

Licencijos/kvalifikacijos/pažymėjimo numeris, tipas, statusas (aktyvi, sustabdyta, pasibaigusi), galiojimo datos, mokėjimo statusas, unikalus QR patikrinimo kodas (qr_token).

Dokumentai ir juose atpažinti duomenys

Įkeliami dokumentai: pasas/asmens dokumentas, medicininė pažyma, draudimo polisas, sutikimo forma, registracijos dokumentas, nuotrauka ir kt. Paso, medicininės pažymos ir draudimo dokumentams taikoma AI teksto atpažinimo funkcija — žr. 14 skyrių, kur išsamiai aprašyta, kokie duomenys (įskaitant sveikatos duomenis) tokiu būdu ištraukiami ir saugomi.

Baudos ir apribojimai

Baudos/įspėjimo/sustabdymo/diskvalifikacijos tipas, priežastis, suma, galiojimo laikotarpis, kas paskyrė. Bausmės galioja tik toje federacijoje, kuri jas paskyrė.

Žinutės

Susirašinėjimas su federacijos administracija (tema, tekstas, perskaitymo žyma). Žr. 5 skyrių dėl to, kas šias žinutes gali matyti.

Žirgų ir kitų gyvūnų/įrangos duomenys

Kai kurios federacijos (pvz. žirgų sporto) registruoja ne tik sportininkus, bet ir gyvūnus/įrangą, susietus su savininko paskyra: vardas, veislė, gimimo metai, spalva, lytis, paso numeris, mikroschemos (čipo) numeris, nuotrauka. Šie identifikatoriai priklauso gyvūnui, ne asmeniui, tačiau susieti su savininko (nario) paskyra.

Techniniai duomenys

IP adresas (saugumo ir prisijungimo apsaugos tikslais), naršyklės/įrenginio informacija, sesijos slapukas, veiksmų žurnalas (kas, kada ir kokį veiksmą atliko administravimo panelėje).

Sveikatos duomenys (pvz. medicininės pažymos turinio santrauka) yra ypatingos kategorijos asmens duomenys pagal BDAR 9 str. Juos tvarkome tik gavę jūsų aiškų sutikimą — tokį dokumentą įkeliate savanoriškai, žinodami jo apdorojimo tikslą. Sutikimą galite atšaukti bet kada, tačiau tai gali reikšti, kad licencija, kuriai dokumentas reikalingas, negalės būti išduota ar pratęsta.

Jūsų federacijos administratoriai

Jūsų federacijos administratoriai (rolė federation_admin) mato jūsų pilną profilį, visas jūsų licencijas, kvalifikacijas, įkeltus dokumentus (įskaitant AI ištrauktus duomenis iš jų), bausmes ir žinutes su federacija — tai reikalinga narystei administruoti. Jie negali matyti kitos federacijos narių duomenų.

Platformos operatorius (super administratorius)

Ribotas skaičius 3T Media FZE darbuotojų turi platformos administratoriaus (super_admin) prieigą visose federacijose — tik techninio palaikymo, saugumo incidentų tyrimo ir teisinių pareigų vykdymo tikslais. Ši prieiga nenaudojama kasdieniam narių duomenų peržiūrėjimui.

Kiti nariai

Kitas narys negali pasiekti jūsų nuotraukos ar dokumentų — prieiga prie failų (nuotraukų, dokumentų) griežtai ribojama pagal federaciją ir savininkystę: matyti galite tik savo paties failus, o administratoriai — tik savo federacijos narių failus.

Kiekviena licencija, kvalifikacija ir pažymėjimas turi unikalų, atsitiktinį QR kodą, skirtą viešai patikrai — pvz. varžybų organizatoriui ar teisėjui nuskaičius kodą nuo fizinės licencijos kortelės ar dokumento. Šis patikrinimo puslapis pasiekiamas be prisijungimo ir yra esminė funkcija, leidžianti patikrinti licencijos galiojimą realiu metu.

Kas rodoma viešai nuskaičius QR kodą

• Sportininko licencijai: vardas, pavardė, nuotrauka, pilietybė, amžius (apskaičiuotas iš gimimo datos), licencijos tipas/statusas/galiojimas, federacijos pavadinimas ir logotipas, aktyvios bausmės (tipas ir priežastis, jei tokių yra), iki 5 aktyvių kvalifikacijų.
• Gyvūno (pvz. žirgo) licencijai: gyvūno vardas, veislė, gimimo metai, spalva, paso ir mikroschemos numeriai, nuotrauka bei savininko vardas ir pavardė.
• Kvalifikacijai ar pažymėjimui: turėtojo vardas, pavardė ir atitinkamo dokumento numeris/tipas/galiojimas.

Šie duomenys rodomi sąmoningai — tai atitinka fizinės licencijos/ID kortelės patikros logiką: bet kas, patikrinantis fizinę kortelę, matytų tą pačią informaciją. QR kodo tokenas yra atsitiktinis ir neatspėjamas, o užklausoms taikomas ribojimas (ne daugiau 60 užklausų per minutę iš vieno IP adreso).

Svarbu: jei fizinė licencijos kortelė ar PDF su QR kodu pateko į netinkamas rankas, bet kas gali peržiūrėti aukščiau nurodytą informaciją. Elkitės su savo licencijos kortele taip pat atsakingai, kaip ir su asmens tapatybės dokumentu.

Su kiekvienu tvarkytoju siekiame turėti sudarytą duomenų tvarkymo sutartį (DPA). Sąrašą ir sutarčių kopijas galite gauti susisiekę su mumis — žr. 17 skyrių.

Šiuo metu licencijos mokesčio statusą (apmokėta/neapmokėta/atleista) rankiniu būdu žymi federacijos administratorius, tačiau šiuo metu diegiame automatinį mokėjimų apdorojimą per Stripe. Kai ši funkcija bus įjungta, mokėjimo kortelės duomenis tvarkys išimtinai Stripe (PCI DSS 1 lygio sertifikuota platforma) — mes patys pilnų kortelės duomenų nesaugosime. Ši politika bus atnaujinta, jei Stripe naudojimo apimtis ar sąlygos pasikeis.

Pagrindiniai duomenys saugomi ES/EEE teritorijoje (Vokietija, Hetzner). Dokumentų AI atpažinimo tikslu dokumento turinys (įskaitant asmens duomenis ir, kai taikytina, sveikatos duomenų santrauką) siunčiamas Anthropic, PBC (JAV) apdorojimui.

• ES–JAV duomenų privatumo sistema (DPF) arba Standartinės sutarčių sąlygos (SCC) — priklausomai nuo tvarkytojo sertifikavimo statuso.
• Techninės priemonės — TLS 1.2+ šifravimas duomenų perdavimo metu; įkelti dokumentai (pasas, medicininė pažyma, draudimas ir kt.) papildomai šifruojami AES-256 algoritmu jų saugojimo vietoje (encryption at rest); kiekviena tokio dokumento peržiūra fiksuojama veiksmų žurnale (audit log).

Papildomą informaciją apie konkrečias apsaugos priemones galite gauti susisiekę su mumis — žr. 17 skyrių.

Jei jūsų federacija ar jūs patys esate už ES/EEE ribų, jūsų duomenys vis tiek perduodami į ES/EEE (Vokietiją), kur veikia platforma — tai nėra „tarptautinis perdavimas iš ES", o duomenų surinkimas tiesiogiai ES teritorijoje esančiame serveryje.

Atmestus dokumentus (pasą, medicininę pažymą, draudimą ir kt., kurių federacijos administratorius nepatvirtino) galite ištrinti patys bet kuriuo metu — failas iš serverio pašalinamas iš karto, negrįžtamai. Jei to nepadarysite, tokie dokumentai automatiškai ir negrįžtamai ištrinami po 90 dienų nuo atmetimo. Administratorius taip pat gali ištrinti bet kurį jūsų dokumentą jūsų prašymu.

Kitų duomenų (paskyros, licencijų, žinučių ir kt.) šiuo metu neturime automatinio šalinimo mechanizmo — paskyros pašalinimas reiškia jos deaktyvavimą (duomenys nebenaudojami, bet fiziškai išlieka duomenų bazėje). Jei norite, kad šie duomenys būtų visiškai ištrinti, susisiekite su savo federacijos administratoriumi arba su mumis — žr. 17 skyrių — ištrynimą atliksime rankiniu būdu per 10 skyriuje nurodytus terminus, atsižvelgdami į teisėtas priežastis duomenis išsaugoti (pvz. galiojantys ginčai ar teisės aktų reikalavimai).

Turėdami TSR paskyrą, jūs turite šias teises:

Prašymą galite pateikti savo federacijos administratoriui (kaip duomenų valdytojui) arba mums — žr. 17 skyrių — persiųsime jį atitinkamai federacijai. Atsakysime per 30 dienų. Sudėtingais atvejais terminas gali būti pratęstas iki 90 dienų — apie tai jus informuosime.

Jei manote, kad jūsų teisės pažeistos, ES/EEE gyventojai gali pateikti skundą savo šalies duomenų apsaugos priežiūros institucijai.

Naudojame minimalų, tik būtiną slapukų rinkinį. Jokių rinkodaros ar analitikos sekimo slapukų nenaudojame.

Mobiliojoje programėlėje slapukų nėra — prisijungimo tokenas saugomas įrenginio saugioje saugykloje (iOS Keychain / Android Keystore), žr. 15 skyrių.

Taikome šias technines ir organizacines priemones pagal BDAR 32 straipsnį:

• Šifravimas perduodant: TLS (HTTPS) visam srautui tarp naršyklės/programėlės ir serverio.
• Slaptažodžiai: saugomi naudojant bcrypt su individualiu druskos vektoriumi; grynas tekstas niekada nesaugomas.
• Sesijos: autentifikacijos tokenas (JWT) saugomas httpOnly slapukyje (nepasiekiamas JavaScript kodui) arba, mobiliojoje programėlėje, įrenginio saugioje saugykloje.
• Prieigos kontrolė: failai (nuotraukos, dokumentai) pasiekiami tik savininkui, jo federacijos administratoriui arba platformos operatoriui — griežtai pagal federaciją ir savininkystę.
• Veiksmų žurnalas: visi administratorių veiksmai (duomenų peržiūra, keitimas) registruojami nekeičiamame žurnale.
• Pažeidimų pranešimas: duomenų saugumo pažeidimo atveju pranešime priežiūros institucijai per 72 valandas, o nukentėjusiems asmenims — be nepagrįsto delsimo.

Šiuo metu dviejų veiksnių autentifikacijos (2FA) dar neturime — rekomenduojame naudoti stiprų, unikalų slaptažodį savo paskyrai.

Sporto federacijos, besinaudojančios TSR, dažnai turi jaunesnio amžiaus (nepilnamečių) sportininkų narių. Tokiais atvejais nario paskyrą ir asmens duomenis paprastai platformoje sukuria ir tvarko federacijos administratorius — remdamasis narystės sutartimi/prašymu, kurį fiziškai pasirašo tėvai ar teisėtas atstovas pagal federacijos vidaus tvarką (šis sutikimas gaunamas ne per TSR platformą, o per federacijos narystės procesą).

Jei esate tėvas, globėjas ar teisėtas atstovas ir norite peržiūrėti, ištaisyti ar reikalauti ištrinti nepilnamečio nario duomenis — kreipkitės į atitinkamą federaciją arba į mus — žr. 17 skyrių.

Kai per svetainę įkeliate paso, medicininės pažymos ar draudimo poliso dokumentą, jo turinys automatiškai siunčiamas AI paslaugai (Anthropic Claude), kuri iš dokumento vaizdo/PDF nuskaito ir struktūrizuoja duomenis:

• Paso/asmens dokumento atveju: vardas, pavardė, dokumento numeris, gimimo data, galiojimo data, išdavusi institucija.
• Medicininės pažymos atveju: vardas, pavardė, galiojimo data, gydytoją/įstaigą išdavusi institucija, bei trumpa išvadų santrauka (sveikatos duomenys BDAR 9 str. prasme).
• Draudimo poliso atveju: vardas, pavardė, poliso numeris, galiojimo data, draudikas.

Sistema taip pat automatiškai palygina AI atpažintą vardą/pavardę su jūsų paskyros duomenimis (atitikties žyma), kad administratoriui būtų lengviau pastebėti neatitikimus. Ta pati AI apdorojimo tvarka taikoma nepriklausomai nuo to, ar dokumentą įkeliate per svetainę, ar per mobiliąją programėlę.

Automatinis sprendimų priėmimas BDAR 22 str. prasme nevykdomas — AI tik palengvina duomenų perkėlimą; galutinį sprendimą patvirtinti ar atmesti dokumentą visada priima federacijos administratorius (žmogus). Vienintelė automatinė pasekmė sistemoje: administratoriui paskyrus sustabdymo (suspension) tipo bausmę, visos jūsų aktyvios tos federacijos licencijos automatiškai pažymimos sustabdytomis — tai yra tiesioginė administratoriaus sprendimo pasekmė, o ne savarankiškas AI/algoritmo sprendimas.

TSR mobilioji programėlė (iOS/Android) naudoja tą patį serverį ir duomenų bazę kaip svetainė. Ji prašo šių leidimų:

• Kamera — QR kodų nuskaitymui (licencijų patikrai).
• Nuotraukų biblioteka — dokumentų ir profilio nuotraukos įkėlimui.

Prisijungimo tokenas saugomas įrenginio saugioje saugykloje (iOS Keychain / Android Keystore), o ne slapukuose. Programėlė turi push pranešimų leidimo užklausą, tačiau ši funkcija dar neįdiegta — jokių push pranešimų tokenų šiuo metu nerenkame ir nesaugome.

Gali tekti atnaujinti šią politiką dėl naujų funkcijų, teisės aktų pakeitimų ar organizacinių pokyčių.

• Esminiai pakeitimai (nauji duomenų tikslai, nauji tvarkytojai, teisinio pagrindo keitimas) — informuosime el. paštu arba per platformą ne vėliau kaip prieš 30 dienų.
• Redakciniai pakeitimai (rašybos taisymas, paaiškinimų tikslinimas) — įsigalioja iš karto; data atnaujinama viršuje.

Tęsdami naudotis platforma po esminių pakeitimų, patvirtinate, kad susipažinote su nauja politika.

Visais šioje politikoje aprašytais klausimais (duomenų apsauga, teisių įgyvendinimas, sub-procesorių sąrašas, ištrynimo prašymai) kreipkitės vienu kontaktu — info@esolutions.lt (laikinas kontaktas, kol bus paruoštas atskiras tsr.lt domeno el. paštas).

Kadangi esame įsteigti už Europos Sąjungos ribų, atskiros vienos priežiūros institucijos mums nepriskirta. Jei esate ES/EEE gyventojas, skundą galite pateikti savo šalies duomenų apsaugos institucijai. Jei esate už ES/EEE ribų, dėl savo teisių taip pat galite kreiptis į savo federaciją arba vietinę atitinkamą instituciją, priklausomai nuo jūsų šalies teisės aktų.

Į duomenų subjektų prašymus atsakome per 30 dienų. Jei prašymas sudėtingas — per 90 dienų, apie tai informuodami iš anksto.