1. Správce
Správcem je AI Trade, s. r. o., se sídlem Vojtaššákova 599, 027 44 Tvrdošín, Slovenská republika, IČO: 31646743, DIČ: 2020572048, IČ DPH: SK2020572048, zapsaná v obchodním rejstříku vedeném Okresním soudem Žilina, oddíl: Sro, vložka č. 3206/L.
Kontakt ve věcech ochrany osobních údajů: info@repup.sk, +421 914 326 223.
2. Jaké údaje zpracováváme
Údaje o účtu fitness centra a jeho personálu: jméno a příjmení, e-mail, telefon, role a přihlašovací údaje.
Provozní údaje fitness centra, které do aplikace zadává provozovatel fitness centra: zákazníci, permanentky, návštěvy, prodeje, rezervace a sklad. Ve vztahu k těmto údajům vystupuje RepUp jako zpracovatel a fitness centrum jako správce.
Údaje o účtu člena — ať už si jej vytvořil v mobilní aplikaci RepUp, nebo v členské zóně a na rezervační stránce fitness centra v internetovém prohlížeči: jméno a příjmení, e-mail, datum narození, pohlaví, nepovinně telefon, přihlašovací údaje, propojení s fitness centry, rezervace a historie nákupů. Jde o jeden a tentýž účet — místo, kde vznikl, nerozhoduje o tom, jaké údaje o něm vedeme.
Údaje o výživě a tělesné kondici, které si do mobilní aplikace RepUp zapisujete sami ve funkci „Můj den“: jídla a nápoje s jejich množstvím a energetickou a výživovou hodnotou, vypitá voda, poznámky ke dni, záznamy o vážení (tělesná hmotnost a nepovinně podíl tělesného tuku) a vaše cíle (denní příjem energie a živin, výška, cílová hmotnost). Jde o údaje o zdraví, tedy o zvláštní kategorii údajů podle čl. 9 GDPR — zpracováváme je jen tehdy, pokud nám k tomu v aplikaci udělíte výslovný souhlas, a jen do doby, než jej odvoláte. Funkce je dobrovolná a aplikace je bez ní plně použitelná. Tyto údaje patří vašemu účtu, ne fitness centru: personál fitness centra k nim nemá přístup a s vaším trenérem se sdílejí pouze v rozsahu, který mu sami povolíte (viz následující odstavec).
Zpřístupnění vašeho deníku trenérovi: v aplikaci se samostatně rozhodujete o čtyřech okruzích — deník jídla, historie předepsaných plánů, vážení a cíle — a to pro každého trenéra zvlášť. Ve výchozím stavu není zpřístupněno nic; trenér vás může o přístup požádat, ale otevřít mu ho můžete jen vy a kdykoli ho můžete zase zavřít.
Váš vlastní tréninkový deník v mobilní aplikaci: odcvičené tréninky (cviky, série, opakování, hmotnost a přestávky, datum a fitness centrum, ve kterém jste cvičili) a tréninky, které si připravíte dopředu. Ukládáme je k vašemu účtu, abyste o ně nepřišli při výměně telefonu, nové instalaci aplikace ani při přechodu do aplikace vašeho fitness centra. Patří vašemu účtu, ne fitness centru — personál fitness centra ani trenér k nim nemají přístup. Tep a spálené kalorie z aplikace Zdraví se na server neposílají a zůstávají jen ve vašem telefonu.
Tréninkové a stravovací plány, které vám předepíše trenér ve fitness centru, a váš záznam o jejich plnění (odcvičené série, odškrtnutá jídla): ty vede fitness centrum jako správce a RepUp je pro něj zpracovává jako zpracovatel, stejně jako ostatní údaje o vašem členství.
Tréninkové a stravovací plány, zprávy, termíny, kredit a další údaje, které o vás vede samostatný trenér v RepUp Trainer (mimo fitness centrum): správcem je tento trenér a RepUp je pro něj zpracovává jako zpracovatel podle smlouvy, kterou s ním uzavřel. Spolupráci s trenérem můžete v aplikaci kdykoli ukončit; k vašemu deníku výživy, vážení a cílům má trenér přístup pouze tehdy, když mu ho sami povolíte.
Odpovědi na dotazníky, které si sestaví samo fitness centrum a vy je vyplníte na recepci nebo v mobilní aplikaci (například dotazník připravenosti na fyzickou aktivitu PAR-Q). Otázky určuje fitness centrum a mohou se týkat zdraví — pak jde o zvláštní kategorii údajů podle čl. 9 GDPR, správcem je fitness centrum a RepUp je pro něj zpracovává jako zpracovatel. RepUp sám od vás nouzový kontakt ani zdravotní údaje v mobilní aplikaci nevyžaduje.
Údaje o trenérském účtu v aplikaci RepUp Trainer: jméno a příjmení, e-mail, telefon, profilová fotografie, popis a specializace (které trenér sám zveřejňuje členům), propojení s fitness centry a klienty a kalendář tréninků.
Vede-li trenér v RepUp Trainer klienty mimo fitness centrum (část „Mimo fitka“), zpracováváme také jeho fakturační údaje (jméno nebo obchodní firmu, adresu nebo sídlo a, pokud mu byly přiděleny, IČO, DIČ a IČ DPH); IČO, uvedl-li je trenér, před uložením platební karty ověřujeme ve veřejném Registru právnických osob, podnikatelů a orgánů veřejné moci Slovenské republiky. Rozhodne-li se trenér sám zveřejnit svůj profil na mapě trenérů v aplikaci RepUp, zveřejňujeme jeho jméno, fotografii, popis, specializace, způsob práce, jazyky, cenu od, odkazy na sociální sítě a web, město a při práci ve vlastním studiu adresu studia; z adresy nebo města vypočítáme polohu bodu na mapě, při práci v terénu pouze přibližnou podle středu města. E-mail ani telefon trenéra nezveřejňujeme a zveřejnění může trenér kdykoli vypnout.
Zprávy v chatu mezi trenérem a členem (text a fotografie) — uchováváme je, abychom oběma stranám zpřístupnili historii konverzace.
Nahlášené zprávy a osoby: pokud v chatu nahlásíte zprávu nebo osobu, uložíme kopii nahlášené zprávy a několika zpráv před ní spolu s důvodem nahlášení. Je-li to k posouzení nezbytné, může do konverzace nahlédnout i pověřený pracovník RepUp; každé takové nahlédnutí zaznamenáváme.
Fakturační a platební údaje související s předplatným, které zpracovává platební brána GoPay, a údaje o nákupech a úhradách v mobilní aplikaci, které zpracovává brána vašeho fitness centra (Stripe nebo GoPay). Údaje platební karty zadáváte přímo na zabezpečené stránce brány; my kartu nevidíme ani neukládáme.
Technické údaje nezbytné k provozu a bezpečnosti: IP adresa, logy, identifikátory zařízení a chybová hlášení (při technické poruše se zaznamená technický kontext chyby k jejímu odhalení a opravě — viz bod 5, Sentry).
Identifikátor kliku na reklamu: pokud k nám přijdete přes naši reklamu, nese adresa stránky identifikátor kliku, který přidělila reklamní platforma — parametr „gclid“ u reklamy ve vyhledávači Google, parametr „fbclid“ u reklamy na Facebooku či Instagramu. Neříká nám, kdo jste, a nespojujeme ho s vaším účtem ani s vaším chováním na webu. Pokud reklamní cookies odmítnete nebo se ještě nerozhodnete, neukládáme ho do vašeho zařízení — drží se výlučně v paměti otevřené karty prohlížeče a jejím zavřením zaniká. Pokud reklamní cookies povolíte, uloží ho příslušná značka do vlastní cookie — Google Ads do „_gcl_aw“, Meta Pixel do „_fbc“, obě s platností do 90 dní. V obou případech platí, že pokud nám odešlete poptávku, připojíme identifikátor k ní, abychom uměli vyhodnotit, která reklama přivedla zákazníka.
Přihlášení účtem Google nebo Apple: pokud se rozhodnete přihlásit účtem Google nebo Apple, získáme od poskytovatele vaše jméno, e-mail (u Apple případně zástupnou adresu „Hide My Email“) a identifikátor účtu. Vaše heslo u poskytovatele nikdy nevidíme; samotné přihlášení zajišťuje poskytovatel jako samostatný správce podle vlastních zásad ochrany soukromí.
Identifikátor zařízení: v mobilní aplikaci RepUp při registraci a přihlášení zpracováváme stabilní identifikátor vašeho zařízení (na systému Android hodnotu ANDROID_ID, na systému iOS náhodný identifikátor uložený v zabezpečeném úložišti Keychain). Slouží výlučně k prevenci zneužívání členství, konkrétně ke dvěma účelům: (a) rozpoznání obcházení nezaplacených účtů — tj. případu, kdy si osoba s nezaplaceným účtem vytvoří na tomtéž zařízení nový účet, aby se dluhu vyhnula; a (b) rozpoznání sdílení jednoho členského účtu více osobami — tj. když se tentýž účet v krátkém čase opakovaně přihlašuje z různých zařízení. V obou případech vás v aplikaci neblokujeme — jen upozorníme provozovatele fitness centra, který věc posoudí. Identifikátor neslouží k reklamě, profilování ani sledování napříč aplikacemi.
Údaje o poloze: pokud v mobilních aplikacích RepUp a RepUp Trainer povolíte přístup k poloze, zpracováváme vaši přibližnou nebo přesnou polohu výlučně k tomu, abychom vám na mapě zobrazili nejbližší fitness centra a vaši aktuální pozici vůči nim. Mapu vykresluje na systému iOS služba Apple Maps a na systému Android služba Google Maps Platform (viz bod 5). Polohu nesledujeme na pozadí, neukládáme její historii ani ji nevyužíváme k reklamě; povolení můžete kdykoli odvolat v nastavení zařízení.
Údaje o používání a analytika: pokud nám udělíte souhlas, zpracováváme údaje o tom, jak používáte web a aplikace — například navštívené stránky a obrazovky, provedené akce, typ a nastavení zařízení, přibližnou lokalitu odvozenou z IP adresy a identifikátor analytické cookie. Slouží výlučně k měření návštěvnosti a zlepšování služby; nepoužíváme je k reklamě ani k profilování jednotlivců (viz bod 5 — Google Analytics a PostHog).
3. Účel a právní základ
Poskytování služby a vedení účtu — plnění smlouvy (čl. 6 odst. 1 písm. b GDPR).
Poskytování části „Mimo fitka“ v RepUp Trainer, fakturace jejího předplatného a zveřejnění profilu trenéra na mapě — plnění smlouvy s trenérem (čl. 6 odst. 1 písm. b) GDPR); ověření IČO v registru — oprávněný zájem na tom, abychom předplatné neúčtovali neexistujícímu subjektu (čl. 6 odst. 1 písm. f) GDPR).
Posuzování nahlášení v chatu a ochrana uživatelů před obtěžováním a podvody — oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR) a plnění povinností poskytovatele hostingové služby podle nařízení (EU) 2022/2065 o digitálních službách.
Účetnictví a plnění daňových povinností — zákonná povinnost (čl. 6 odst. 1 písm. c GDPR).
Zabezpečení, provoz a ochrana systému — oprávněný zájem (čl. 6 odst. 1 písm. f GDPR).
Prevence zneužívání členství pomocí identifikátoru zařízení — rozpoznání obcházení nezaplacených účtů a rozpoznání sdílení jednoho účtu více osobami — a vymáhání pohledávek — oprávněný zájem (čl. 6 odst. 1 písm. f GDPR). Zpracování je nezbytné a přiměřené; aplikaci vám proto neblokujeme, jen upozorníme provozovatele fitness centra na možný nezaplacený účet nebo na možné sdílení účtu.
Vedení deníku výživy, vážení a cílů ve funkci „Můj den“ a jejich zpřístupnění vybranému trenérovi — výslovný souhlas se zpracováním zvláštní kategorie údajů (čl. 9 odst. 2 písm. a ve spojení s čl. 6 odst. 1 písm. a GDPR). Souhlas je dobrovolný, uděluje se v aplikaci před prvním zápisem a můžete jej kdykoli odvolat; odvoláním se funkce vypne a dosavadní záznamy smažeme. Tyto údaje nepoužíváme k reklamě, neposkytujeme je fitness centru ani nikomu dalšímu a neprovádíme na jejich základě automatizované rozhodování.
Vedení vašeho tréninkového deníku a jeho uchování při výměně telefonu nebo aplikace — plnění smlouvy (čl. 6 odst. 1 písm. b GDPR). Tyto údaje nepoužíváme k reklamě a neposkytujeme je fitness centru ani nikomu dalšímu.
Zasílání marketingových sdělení — výlučně na základě vašeho souhlasu (čl. 6 odst. 1 písm. a GDPR), který můžete kdykoli odvolat. Údaje neposkytujeme třetím stranám k marketingovým účelům.
Měření účinnosti naší reklamy — oprávněný zájem (čl. 6 odst. 1 písm. f GDPR). Pokud z poptávky, která k nám přišla přes naši reklamu, vznikne placené předplatné fitness centra, oznámíme společnosti Google identifikátor kliku, datum a částku, abychom věděli, které kampaně mají smysl. Neodesíláme přitom vaše jméno, e-mail ani telefonní číslo, nevytváříme reklamní profily a k tomuto měření nepřistupujeme k údajům uloženým ve vašem zařízení. Proti tomuto zpracování můžete kdykoli vznést námitku na info@repup.sk.
Měření návštěvnosti a zlepšování služby (analytika přes Google Analytics a PostHog) — výlučně na základě vašeho souhlasu (čl. 6 odst. 1 písm. a GDPR), který udělujete v liště souhlasu a můžete jej kdykoli odvolat. Pokud souhlas neudělíte, analytické nástroje se nespustí.
Měření konverzí a zobrazování naší reklamy pomocí reklamních cookies (Google Ads a Meta Pixel) — výlučně na základě vašeho souhlasu (čl. 6 odst. 1 písm. a GDPR), o kterém rozhodujete v liště souhlasu nezávisle na analytice a který můžete kdykoli odvolat. Pokud souhlas neudělíte, ani jednu reklamní značku nespustíme.
4. Věk a nezletilí
Účet v aplikaci RepUp ani v členské zóně v prohlížeči si nesmí vytvořit osoba mladší 16 let. Jde o hranici pro služby informační společnosti podle čl. 8 GDPR; mladšímu dítěti může účet vytvořit a spravovat výhradně jeho zákonný zástupce.
Abychom tuto hranici uměli posoudit, žádáme při registraci datum narození a prohlášení, že věku dosahujete. Datum narození zpracováváme k ověření věku a k tomu, aby vás fitness centrum umělo spojit se záznamem, který o vás již vede; věk neověřujeme dokladem totožnosti a nevytváříme z něj žádný profil.
Pokud zjistíme, že si účet přesto vytvořilo dítě mladší 16 let bez souhlasu zákonného zástupce, účet zrušíme a údaje vymažeme. Pokud jste zákonný zástupce a máte za to, že se tak stalo, napište nám na info@repup.sk — vyřídíme to bez zbytečného odkladu.
5. Doba uchovávání
Údaje o účtu a provozní údaje uchováváme po dobu trvání smluvního vztahu a následně po dobu vyžadovanou právními předpisy. Stejně tak fitness centrum jako správce uchovává údaje o svých členech po dobu, kterou mu ukládají právní předpisy — zejména účetní a daňové doklady —, a to i po zrušení členství nebo smazání účtu v aplikaci.
Po ukončení smlouvy s fitness centrem — a stejně tak po pozastavení jeho přístupu pro neuhrazené předplatné — uchováváme jeho provozní údaje včetně údajů jeho členů a zaměstnanců ještě 180 dní, aby se jeho provoz dal obnovit bez ztráty dat; na vyžádání kompletní kopie svých dat má 60 dní. Po uplynutí této lhůty je nenávratně vymažeme nebo anonymizujeme, pokud právní předpisy nevyžadují jejich delší uchovávání.
Údaje části „Mimo fitka“ samostatného trenéra včetně údajů jeho klientů uchováváme po dobu jejího trvání. Po zrušení části „Mimo fitka“ nebo účtu trenéra je uchováváme ještě 30 dní (během této lhůty lze zrušení účtu odvolat a trenér si může vyžádat jejich kopii) a poté je nenávratně vymažeme. Je-li část „Mimo fitka“ uzamčena pro neuhrazenou platbu, uchováváme je 180 dní od uzamčení, na blížící se výmaz trenéra upozorníme 30 dní předem a poté je nenávratně vymažeme. Údaje, které si klient vede sám ve svém účtu, tím nejsou dotčeny.
Daňové doklady uchováváme 10 let podle § 35 zákona č. 235/2004 Sb., o dani z přidané hodnoty; ostatní účetní záznamy nejméně 5 let podle § 31 zákona č. 563/1991 Sb., o účetnictví.
Deník výživy, vážení a cíle uchováváme, dokud máte účet a dokud souhlas nezrušíte — jednotlivé záznamy můžete kdykoli smazat v aplikaci. Odvoláním souhlasu i smazáním účtu zanikají celé; neponecháváme si z nich kopii ani zálohu nad rámec běžných záloh databáze (14 dní).
Tréninkový deník uchováváme, dokud máte účet. Smazáním účtu zaniká celý; neponecháváme si z něj kopii ani zálohu nad rámec běžných záloh databáze (14 dní).
Technické provozní logy a IP adresy uchováváme zpravidla 90 dní. Po uplynutí příslušné doby údaje vymažeme nebo anonymizujeme.
6. Zpracovatelé a předání do třetích zemí
K provozu služby využíváme poskytovatele, kteří pro nás zpracovávají údaje na základě smlouvy o zpracování osobních údajů (čl. 28 GDPR): Hetzner Online GmbH (Německo, EU — hosting), MongoDB Atlas (EU — databáze), Mailgun/Sinch (EU — systémové e-maily), BulkGate/Topefekt, s. r. o. (ČR, EU — SMS zprávy: ověřovací kódy a SMS oznámení fitness center), Cloudflare, Inc. (USA — DNS, CDN a TLS), Stripe, Inc. (EU/USA — platby), GOPAY s.r.o. (ČR, EU — platební brána), Apple Inc. (USA — push notifikace, Apple Wallet a mapy Apple Maps na systému iOS), Google LLC (USA — push notifikace do zařízení Android přes Firebase Cloud Messaging, karty Google Wallet a mapy Google Maps na systému Android), Functional Software, Inc. (Sentry, data hostovaná v EU — monitorování technických chyb) a Packeta Slovakia, s. r. o. (SR, EU — doručování zásilek z e-shopu pro fitness centra).
Benefitní vstupy UpBalansea (Up Déjeuner): pokud fitness centrum přijímá vstupy na benefitní kartu UpBalansea a vy jí zaplatíte vstup, ověříme váš jednorázový kód u poskytovatele benefitu a zpět obdržíme vaše jméno, sjednanou službu a případný doplatek; při potvrzení, zamítnutí a zrušení vstupu se odesílá také přihlašovací jméno a jméno zaměstnance, který úkon provedl, protože to poskytovatel vyžaduje k auditu. UpBalansea při tomto zpracování vystupuje jako samostatný správce — jde o jeho benefitní program a jeho vyúčtování s fitness centrem —, nikoli jako náš zpracovatel, a zpracovává údaje podle vlastních zásad ochrany soukromí. K tomuto předání dochází jen ve fitness centrech, která mají modul zapnutý a připojený.
Funkce umělé inteligence pro fitness centra — asistent v administraci, AI kolega nad evidencí fitness centra a chatbot na webu fitness centra a v členské aplikaci — využívají službu Anthropic, PBC (USA). Odesílá se text otázky a údaje potřebné k odpovědi: u asistenta technický stav aplikace, u AI kolegy výsledky dotazů nad evidencí fitness centra, z nichž jsou jména, kontaktní údaje, data narození, čísla karet a poznámky o zákaznících před odesláním odstraněny a nahrazeny náhodnými označeními, a u chatbota ty údaje, které si fitness centrum samo zapne, včetně stavu členství zákazníka, který se právě ptá. Vstupy se nepoužívají k trénování AI modelů.
Mapy v mobilních aplikacích RepUp a RepUp Trainer vykresluje na systému Android společnost Google Ireland Limited, případně Google LLC (USA), prostřednictvím služby Google Maps Platform, a na systému iOS společnost Apple Inc. prostřednictvím služby Apple Maps (MapKit). Při zobrazení mapy se zpracovávají vaše poloha (pokud jste ji povolili) a technické údaje potřebné k načtení mapy. Na toto zpracování se vztahují zásady ochrany soukromí příslušného poskytovatele (policies.google.com/privacy, apple.com/legal/privacy).
Adresu studia nebo město, které trenér uvede ve veřejném profilu, převádíme na zeměpisné souřadnice prostřednictvím služby Nominatim nad mapovými údaji OpenStreetMap (OpenStreetMap Foundation, Spojené království). Odesílá se pouze samotná adresa nebo město, bez jména trenéra; výsledek si ukládáme, abychom se na tutéž adresu neptali znovu.
Pokud nám udělíte souhlas, k měření návštěvnosti a používání webu a aplikací využíváme analytické nástroje: Google Analytics (Google LLC, USA) a PostHog (PostHog, Inc.) s daty hostovanými v Evropské unii (EU Cloud). Analytiku spouštíme až po udělení souhlasu, nepoužíváme ji k reklamě a údaje z ní se nespojují s reklamními profily ani s reklamními cookies podle následujícího odstavce.
Pokud k nám přijdete přes naši reklamu ve vyhledávači Google a následně si fitness centrum objedná předplatné, oznámíme společnosti Google Ireland Limited, případně Google LLC (USA), výsledek kampaně prostřednictvím služby Google Ads: identifikátor kliku, datum a částku. Google při tom nevystupuje jako náš zpracovatel, ale jako samostatný správce podle vlastních zásad ochrany soukromí (policies.google.com/privacy). Nepředáváme mu vaše jméno, e-mail ani telefonní číslo a nevyužíváme funkce, které by z předaných údajů vytvářely reklamní profily.
Pokud nám v liště souhlasu povolíte reklamní cookies, spustíme na webu repup.cz i značky Google Ads a Meta Pixel (Meta Platforms Ireland Limited). Ukládají cookies „_gcl_*“, „_gac_*“, „_fbp“ a „_fbc“ s platností do 90 dní a slouží k přiřazení objednávky ke kliku na naši reklamu a k zobrazování našich reklam na jiných webech, ve službách Google a na Facebooku či Instagramu (remarketing). U Meta Pixelu jsme se společností Meta v postavení společných správců pro získání a přenos údajů z vašeho prohlížeče; dále je Meta zpracovává pro vlastní účely jako samostatný správce. Bez vašeho souhlasu se do stránky nevloží ani jedna značka; po odvolání souhlasu je nespustíme a uložené cookies odstraníme. Podrobnosti jsou v Zásadách používání cookies.
Pokud některý poskytovatel zpracovává údaje i mimo Evropský hospodářský prostor (zejména Apple, Cloudflare, Stripe, Anthropic, Meta a Google včetně Google Analytics, Google Ads, Firebase Cloud Messaging a Google Wallet), je takové předání kryté přiměřenými zárukami — standardními smluvními doložkami podle čl. 46 GDPR, případně rozhodnutím o odpovídající ochraně (EU–US Data Privacy Framework). Data služeb PostHog a Sentry zůstávají v Evropské unii.
7. Vaše práva
Máte právo na přístup k údajům a jejich kopii, opravu, výmaz („právo být zapomenut“), omezení zpracování, přenositelnost údajů, právo vznést námitku a právo kdykoli odvolat udělený souhlas.
Pokud jste členem fitness centra, údaje o vašem členství, vstupech a nákupech spravuje vaše fitness centrum jako správce — žádosti týkající se těchto údajů proto směrujte přímo na něj; RepUp mu je pomůže vyřídit jako zpracovatel. Fitness centrum přitom může být povinno část údajů uchovávat i po vaší žádosti o výmaz, pokud mu to ukládají právní předpisy (zejména daňové doklady 10 let). Údaje o vašem účtu v mobilní aplikaci (přihlášení, propojení s fitness centry) spravuje RepUp — svůj účet včetně údajů můžete kdykoli smazat přímo v aplikaci (Nastavení → Odstranit účet) nebo si v ní stáhnout export svých údajů.
Svá práva můžete uplatnit na adrese info@repup.sk. Máte také právo podat stížnost dozorovému úřadu — Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7 (uoou.gov.cz).