1. Správce
Správcem je AI Trade, s. r. o., se sídlem Vojtaššákova 599, 027 44 Tvrdošín, Slovenská republika, IČO: 31646743, DIČ: 2020572048, IČ DPH: SK2020572048, zapsaná v obchodním rejstříku vedeném Okresním soudem Žilina, oddíl: Sro, vložka č. 3206/L.
Kontakt ve věcech ochrany osobních údajů: info@repup.sk, +421 914 326 223.
2. Jaké údaje zpracováváme
Údaje o účtu fitness centra a jeho personálu: jméno a příjmení, e-mail, telefon, role a přihlašovací údaje.
Provozní údaje fitness centra, které do aplikace zadává provozovatel fitness centra: zákazníci, permanentky, návštěvy, prodeje, rezervace a sklad. Ve vztahu k těmto údajům vystupuje RepUp jako zpracovatel a fitness centrum jako správce.
Údaje o účtu člena v mobilní aplikaci RepUp: jméno a příjmení, e-mail, datum narození, pohlaví, přihlašovací údaje, propojení s fitness centry, rezervace a historie nákupů v aplikaci.
Údaje o výživě a tělesné kondici, které si do mobilní aplikace RepUp zapisujete sami ve funkci „Můj den“: jídla a nápoje s jejich množstvím a energetickou a výživovou hodnotou, vypitá voda, poznámky ke dni, záznamy o vážení (tělesná hmotnost a nepovinně podíl tělesného tuku) a vaše cíle (denní příjem energie a živin, výška, cílová hmotnost). Jde o údaje o zdraví, tedy o zvláštní kategorii údajů podle čl. 9 GDPR — zpracováváme je jen tehdy, pokud nám k tomu v aplikaci udělíte výslovný souhlas, a jen do doby, než jej odvoláte. Funkce je dobrovolná a aplikace je bez ní plně použitelná. Tyto údaje patří vašemu účtu, ne fitness centru: personál fitness centra k nim nemá přístup a s vaším trenérem se sdílejí pouze v rozsahu, který mu sami povolíte (viz následující odstavec).
Zpřístupnění vašeho deníku trenérovi: v aplikaci se samostatně rozhodujete o čtyřech okruzích — deník jídla, historie předepsaných plánů, vážení a cíle — a to pro každého trenéra zvlášť. Ve výchozím stavu není zpřístupněno nic; trenér vás může o přístup požádat, ale otevřít mu ho můžete jen vy a kdykoli ho můžete zase zavřít.
Tréninkové a stravovací plány, které vám předepíše trenér ve fitness centru, a váš záznam o jejich plnění (odcvičené série, odškrtnutá jídla): ty vede fitness centrum jako správce a RepUp je pro něj zpracovává jako zpracovatel, stejně jako ostatní údaje o vašem členství.
Údaje o trenérském účtu v aplikaci RepUp Trainer: jméno a příjmení, e-mail, telefon, profilová fotografie, popis a specializace (které trenér sám zveřejňuje členům), propojení s fitness centry a klienty a kalendář tréninků.
Zprávy v chatu mezi trenérem a členem (text a fotografie) — uchováváme je, abychom oběma stranám zpřístupnili historii konverzace.
Fakturační a platební údaje související s předplatným, které zpracovává platební brána GoPay, a údaje o nákupech a úhradách v mobilní aplikaci, které zpracovává brána vašeho fitness centra (Stripe nebo GoPay). Údaje platební karty zadáváte přímo na zabezpečené stránce brány; my kartu nevidíme ani neukládáme.
Technické údaje nezbytné k provozu a bezpečnosti: IP adresa, logy, identifikátory zařízení a chybová hlášení (při technické poruše se zaznamená technický kontext chyby k jejímu odhalení a opravě — viz bod 5, Sentry).
Identifikátor kliku na reklamu: pokud k nám přijdete přes naši reklamu, nese adresa stránky identifikátor kliku, který přidělila reklamní platforma — parametr „gclid“ u reklamy ve vyhledávači Google, parametr „fbclid“ u reklamy na Facebooku či Instagramu. Neříká nám, kdo jste, a nespojujeme ho s vaším účtem ani s vaším chováním na webu. Pokud reklamní cookies odmítnete nebo se ještě nerozhodnete, neukládáme ho do vašeho zařízení — drží se výlučně v paměti otevřené karty prohlížeče a jejím zavřením zaniká. Pokud reklamní cookies povolíte, uloží ho příslušná značka do vlastní cookie — Google Ads do „_gcl_aw“, Meta Pixel do „_fbc“, obě s platností do 90 dní. V obou případech platí, že pokud nám odešlete poptávku, připojíme identifikátor k ní, abychom uměli vyhodnotit, která reklama přivedla zákazníka.
Přihlášení účtem Google nebo Apple: pokud se rozhodnete přihlásit účtem Google nebo Apple, získáme od poskytovatele vaše jméno, e-mail (u Apple případně zástupnou adresu „Hide My Email“) a identifikátor účtu. Vaše heslo u poskytovatele nikdy nevidíme; samotné přihlášení zajišťuje poskytovatel jako samostatný správce podle vlastních zásad ochrany soukromí.
Identifikátor zařízení: v mobilní aplikaci RepUp při registraci a přihlášení zpracováváme stabilní identifikátor vašeho zařízení (na systému Android hodnotu ANDROID_ID, na systému iOS náhodný identifikátor uložený v zabezpečeném úložišti Keychain). Slouží výlučně k prevenci zneužívání členství, konkrétně ke dvěma účelům: (a) rozpoznání obcházení nezaplacených účtů — tj. případu, kdy si osoba s nezaplaceným účtem vytvoří na tomtéž zařízení nový účet, aby se dluhu vyhnula; a (b) rozpoznání sdílení jednoho členského účtu více osobami — tj. když se tentýž účet v krátkém čase opakovaně přihlašuje z různých zařízení. V obou případech vás v aplikaci neblokujeme — jen upozorníme provozovatele fitness centra, který věc posoudí. Identifikátor neslouží k reklamě, profilování ani sledování napříč aplikacemi.
Údaje o poloze: pokud v mobilních aplikacích RepUp a RepUp Trainer povolíte přístup k poloze, zpracováváme vaši přibližnou nebo přesnou polohu výlučně k tomu, abychom vám na mapě zobrazili nejbližší fitness centra a vaši aktuální pozici vůči nim. Mapu vykresluje na systému iOS služba Apple Maps a na systému Android služba Google Maps Platform (viz bod 5). Polohu nesledujeme na pozadí, neukládáme její historii ani ji nevyužíváme k reklamě; povolení můžete kdykoli odvolat v nastavení zařízení.
Údaje o používání a analytika: pokud nám udělíte souhlas, zpracováváme údaje o tom, jak používáte web a aplikace — například navštívené stránky a obrazovky, provedené akce, typ a nastavení zařízení, přibližnou lokalitu odvozenou z IP adresy a identifikátor analytické cookie. Slouží výlučně k měření návštěvnosti a zlepšování služby; nepoužíváme je k reklamě ani k profilování jednotlivců (viz bod 5 — Google Analytics a PostHog).
3. Účel a právní základ
Poskytování služby a vedení účtu — plnění smlouvy (čl. 6 odst. 1 písm. b GDPR).
Účetnictví a plnění daňových povinností — zákonná povinnost (čl. 6 odst. 1 písm. c GDPR).
Zabezpečení, provoz a ochrana systému — oprávněný zájem (čl. 6 odst. 1 písm. f GDPR).
Prevence zneužívání členství pomocí identifikátoru zařízení — rozpoznání obcházení nezaplacených účtů a rozpoznání sdílení jednoho účtu více osobami — a vymáhání pohledávek — oprávněný zájem (čl. 6 odst. 1 písm. f GDPR). Zpracování je nezbytné a přiměřené; aplikaci vám proto neblokujeme, jen upozorníme provozovatele fitness centra na možný nezaplacený účet nebo na možné sdílení účtu.
Vedení deníku výživy, vážení a cílů ve funkci „Můj den“ a jejich zpřístupnění vybranému trenérovi — výslovný souhlas se zpracováním zvláštní kategorie údajů (čl. 9 odst. 2 písm. a ve spojení s čl. 6 odst. 1 písm. a GDPR). Souhlas je dobrovolný, uděluje se v aplikaci před prvním zápisem a můžete jej kdykoli odvolat; odvoláním se funkce vypne a dosavadní záznamy smažeme. Tyto údaje nepoužíváme k reklamě, neposkytujeme je fitness centru ani nikomu dalšímu a neprovádíme na jejich základě automatizované rozhodování.
Zasílání marketingových sdělení — výlučně na základě vašeho souhlasu (čl. 6 odst. 1 písm. a GDPR), který můžete kdykoli odvolat. Údaje neposkytujeme třetím stranám k marketingovým účelům.
Měření účinnosti naší reklamy — oprávněný zájem (čl. 6 odst. 1 písm. f GDPR). Pokud z poptávky, která k nám přišla přes naši reklamu, vznikne placené předplatné fitness centra, oznámíme společnosti Google identifikátor kliku, datum a částku, abychom věděli, které kampaně mají smysl. Neodesíláme přitom vaše jméno, e-mail ani telefonní číslo, nevytváříme reklamní profily a k tomuto měření nepřistupujeme k údajům uloženým ve vašem zařízení. Proti tomuto zpracování můžete kdykoli vznést námitku na info@repup.sk.
Měření návštěvnosti a zlepšování služby (analytika přes Google Analytics a PostHog) — výlučně na základě vašeho souhlasu (čl. 6 odst. 1 písm. a GDPR), který udělujete v liště souhlasu a můžete jej kdykoli odvolat. Pokud souhlas neudělíte, analytické nástroje se nespustí.
Měření konverzí a zobrazování naší reklamy pomocí reklamních cookies (Google Ads a Meta Pixel) — výlučně na základě vašeho souhlasu (čl. 6 odst. 1 písm. a GDPR), o kterém rozhodujete v liště souhlasu nezávisle na analytice a který můžete kdykoli odvolat. Pokud souhlas neudělíte, ani jednu reklamní značku nespustíme.
4. Doba uchovávání
Údaje o účtu a provozní údaje uchováváme po dobu trvání smluvního vztahu a následně po dobu vyžadovanou právními předpisy. Stejně tak fitness centrum jako správce uchovává údaje o svých členech po dobu, kterou mu ukládají právní předpisy — zejména účetní a daňové doklady —, a to i po zrušení členství nebo smazání účtu v aplikaci.
Po ukončení smlouvy s fitness centrem — a stejně tak po pozastavení jeho přístupu pro neuhrazené předplatné — uchováváme jeho provozní údaje včetně údajů jeho členů a zaměstnanců ještě 180 dní, aby se jeho provoz dal obnovit bez ztráty dat; na vyžádání kompletní kopie svých dat má 60 dní. Po uplynutí této lhůty je nenávratně vymažeme nebo anonymizujeme, pokud právní předpisy nevyžadují jejich delší uchovávání.
Daňové doklady uchováváme 10 let podle § 35 zákona č. 235/2004 Sb., o dani z přidané hodnoty; ostatní účetní záznamy nejméně 5 let podle § 31 zákona č. 563/1991 Sb., o účetnictví.
Deník výživy, vážení a cíle uchováváme, dokud máte účet a dokud souhlas nezrušíte — jednotlivé záznamy můžete kdykoli smazat v aplikaci. Odvoláním souhlasu i smazáním účtu zanikají celé; neponecháváme si z nich kopii ani zálohu nad rámec běžných záloh databáze (14 dní).
Technické provozní logy a IP adresy uchováváme zpravidla 90 dní. Po uplynutí příslušné doby údaje vymažeme nebo anonymizujeme.
5. Zpracovatelé a předání do třetích zemí
K provozu služby využíváme poskytovatele, kteří pro nás zpracovávají údaje na základě smlouvy o zpracování osobních údajů (čl. 28 GDPR): Hetzner Online GmbH (Německo, EU — hosting), MongoDB Atlas (EU — databáze), Mailgun/Sinch (EU — systémové e-maily), BulkGate/Topefekt, s. r. o. (ČR, EU — SMS zprávy: ověřovací kódy a SMS oznámení fitness center), Cloudflare, Inc. (USA — DNS, CDN a TLS), Stripe, Inc. (EU/USA — platby), GOPAY s.r.o. (ČR, EU — platební brána), Apple Inc. (USA — push notifikace, Apple Wallet a mapy Apple Maps na systému iOS), Google LLC (USA — push notifikace do zařízení Android přes Firebase Cloud Messaging, karty Google Wallet a mapy Google Maps na systému Android), Functional Software, Inc. (Sentry, data hostovaná v EU — monitorování technických chyb) a Packeta Slovakia, s. r. o. (SR, EU — doručování zásilek z e-shopu pro fitness centra).
Benefitní vstupy UpBalansea (Up Déjeuner): pokud fitness centrum přijímá vstupy na benefitní kartu UpBalansea a vy jí zaplatíte vstup, ověříme váš jednorázový kód u poskytovatele benefitu a zpět obdržíme vaše jméno, sjednanou službu a případný doplatek; při potvrzení, zamítnutí a zrušení vstupu se odesílá také přihlašovací jméno a jméno zaměstnance, který úkon provedl, protože to poskytovatel vyžaduje k auditu. UpBalansea při tomto zpracování vystupuje jako samostatný správce — jde o jeho benefitní program a jeho vyúčtování s fitness centrem —, nikoli jako náš zpracovatel, a zpracovává údaje podle vlastních zásad ochrany soukromí. K tomuto předání dochází jen ve fitness centrech, která mají modul zapnutý a připojený.
Funkce umělé inteligence pro fitness centra — asistent v administraci, AI kolega nad evidencí fitness centra a chatbot na webu fitness centra a v členské aplikaci — využívají službu Anthropic, PBC (USA). Odesílá se text otázky a údaje potřebné k odpovědi: u asistenta technický stav aplikace, u AI kolegy výsledky dotazů nad evidencí fitness centra, z nichž jsou jména, kontaktní údaje, data narození, čísla karet a poznámky o zákaznících před odesláním odstraněny a nahrazeny náhodnými označeními, a u chatbota ty údaje, které si fitness centrum samo zapne, včetně stavu členství zákazníka, který se právě ptá. Vstupy se nepoužívají k trénování AI modelů.
Mapy v mobilních aplikacích RepUp a RepUp Trainer vykresluje na systému Android společnost Google Ireland Limited, případně Google LLC (USA), prostřednictvím služby Google Maps Platform, a na systému iOS společnost Apple Inc. prostřednictvím služby Apple Maps (MapKit). Při zobrazení mapy se zpracovávají vaše poloha (pokud jste ji povolili) a technické údaje potřebné k načtení mapy. Na toto zpracování se vztahují zásady ochrany soukromí příslušného poskytovatele (policies.google.com/privacy, apple.com/legal/privacy).
Pokud nám udělíte souhlas, k měření návštěvnosti a používání webu a aplikací využíváme analytické nástroje: Google Analytics (Google LLC, USA) a PostHog (PostHog, Inc.) s daty hostovanými v Evropské unii (EU Cloud). Analytiku spouštíme až po udělení souhlasu, nepoužíváme ji k reklamě a údaje z ní se nespojují s reklamními profily ani s reklamními cookies podle následujícího odstavce.
Pokud k nám přijdete přes naši reklamu ve vyhledávači Google a následně si fitness centrum objedná předplatné, oznámíme společnosti Google Ireland Limited, případně Google LLC (USA), výsledek kampaně prostřednictvím služby Google Ads: identifikátor kliku, datum a částku. Google při tom nevystupuje jako náš zpracovatel, ale jako samostatný správce podle vlastních zásad ochrany soukromí (policies.google.com/privacy). Nepředáváme mu vaše jméno, e-mail ani telefonní číslo a nevyužíváme funkce, které by z předaných údajů vytvářely reklamní profily.
Pokud nám v liště souhlasu povolíte reklamní cookies, spustíme na webu repup.cz i značky Google Ads a Meta Pixel (Meta Platforms Ireland Limited). Ukládají cookies „_gcl_*“, „_gac_*“, „_fbp“ a „_fbc“ s platností do 90 dní a slouží k přiřazení objednávky ke kliku na naši reklamu a k zobrazování našich reklam na jiných webech, ve službách Google a na Facebooku či Instagramu (remarketing). U Meta Pixelu jsme se společností Meta v postavení společných správců pro získání a přenos údajů z vašeho prohlížeče; dále je Meta zpracovává pro vlastní účely jako samostatný správce. Bez vašeho souhlasu se do stránky nevloží ani jedna značka; po odvolání souhlasu je nespustíme a uložené cookies odstraníme. Podrobnosti jsou v Zásadách používání cookies.
Pokud některý poskytovatel zpracovává údaje i mimo Evropský hospodářský prostor (zejména Apple, Cloudflare, Stripe, Anthropic, Meta a Google včetně Google Analytics, Google Ads, Firebase Cloud Messaging a Google Wallet), je takové předání kryté přiměřenými zárukami — standardními smluvními doložkami podle čl. 46 GDPR, případně rozhodnutím o odpovídající ochraně (EU–US Data Privacy Framework). Data služeb PostHog a Sentry zůstávají v Evropské unii.
6. Vaše práva
Máte právo na přístup k údajům a jejich kopii, opravu, výmaz („právo být zapomenut“), omezení zpracování, přenositelnost údajů, právo vznést námitku a právo kdykoli odvolat udělený souhlas.
Pokud jste členem fitness centra, údaje o vašem členství, vstupech a nákupech spravuje vaše fitness centrum jako správce — žádosti týkající se těchto údajů proto směrujte přímo na něj; RepUp mu je pomůže vyřídit jako zpracovatel. Fitness centrum přitom může být povinno část údajů uchovávat i po vaší žádosti o výmaz, pokud mu to ukládají právní předpisy (zejména daňové doklady 10 let). Údaje o vašem účtu v mobilní aplikaci (přihlášení, propojení s fitness centry) spravuje RepUp — svůj účet včetně údajů můžete kdykoli smazat přímo v aplikaci (Nastavení → Odstranit účet) nebo si v ní stáhnout export svých údajů.
Svá práva můžete uplatnit na adrese info@repup.sk. Máte také právo podat stížnost dozorovému úřadu — Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7 (uoou.gov.cz).