1. Smluvní strany
Správcem je fitness centrum nebo jiná sportovní, rekreační či wellness provozovna (podnikatel), která používá software RepUp a určuje účely a prostředky zpracování osobních údajů svých zákazníků a zaměstnanců. Její identifikační údaje jsou uvedeny v záhlaví podepisovaného vyhotovení této smlouvy.
Zpracovatelem je AI Trade, s. r. o., se sídlem Vojtaššákova 599, 027 44 Tvrdošín, Slovenská republika, IČO: 31646743, DIČ: 2020572048, IČ DPH: SK2020572048, zapsaná v obchodním rejstříku vedeném Okresním soudem Žilina, oddíl: Sro, vložka č. 3206/L, kontakt info@repup.sk, +421 914 326 223, provozovatel softwaru RepUp.
2. Predmet a trvanie
Zpracovatel zpracovává osobní údaje jménem správce za účelem poskytování softwaru RepUp ke správě fitness centra. Smlouva trvá po dobu používání služby; po jejím ukončení se uplatní článek 7.
Tato smlouva se nevztahuje na zpracování, při kterém zpracovatel vystupuje jako samostatný správce — zejména účty uživatelů mobilních aplikací RepUp a RepUp Trainer včetně deníku výživy, vážení a cílů, které si zákazník vede sám ve svém účtu, fakturační a smluvní údaje správce a technické logy platformy. Toto zpracování upravují Zásady ochrany osobních údajů služby RepUp.
3. Povaha, účel a rozsah zpracování
Zpracování probíhá automatizovaně, v rozsahu, v jakém správce software používá:
- Účel: evidence zákazníků a členství, kontrola vstupů, rezervace a rozvrh, prodej a pokladna, sklad, skříňky, docházka a mzdy personálu, komunikace se zákazníky (e-mail, SMS, oznámení v aplikaci) a podepisování dokumentů.
- Kategorie subjektů údajů: zákazníci (členové) správce a jejich rodinní příslušníci uvedení v rodinném členství, zaměstnanci a spolupracující trenéři správce, kontaktní osoby firemních zákazníků.
- Kategorie údajů: identifikační a kontaktní údaje (jméno, e-mail, telefon, adresa, datum narození), profilová fotografie, číslo a identifikátor členské karty, údaje o členství, vstupech a rezervacích, údaje o nákupech, platbách a nezaplacených účtech, elektronicky podepsané dokumenty včetně obrazu podpisu a technických údajů o podpisu, poznámky zadané personálem, tréninkové a stravovací plány předepsané trenérem včetně záznamu zákazníka o jejich plnění, a údaje o docházce a mzdě zaměstnanců.
- Příjemci: kromě dalších zpracovatelů podle článku 6 zpřístupňuje zpracovatel údaje zákazníka trenérovi, kterého si zákazník zvolí a jehož spolupráci správce schválil, a to v rozsahu potřebném k vedení tréninků, rezervací a komunikace s ním; trenér jedná u těchto údajů jako samostatný správce a právní základ zpřístupnění určuje správce. Pokud správce přijímá vstupy na benefitní kartu UpBalansea (Up Déjeuner), odesílá se poskytovateli benefitu při ověření, potvrzení, zamítnutí a zrušení vstupu jednorázový kód zákazníka a přihlašovací jméno a jméno zaměstnance, který úkon provedl, a zpět se přijímá jméno zákazníka, sjednaná služba a případný doplatek; poskytovatel benefitu jedná jako samostatný správce na základě vlastního vztahu se zákazníkem a vlastního vyúčtování se správcem.
- Zvláštní kategorie údajů podle čl. 9 GDPR (zejména údaje o zdraví) si služba k vedení členské evidence nevyžaduje. Funkce tréninkových a stravovacích plánů však umožňují zadat údaje, které mohou mít povahu údajů o zdraví (například předepsaný příjem energie a živin nebo zdravotní omezení uvedené v poznámce k tréninku); o jejich použití rozhoduje správce a činí tak na vlastním právním základu, zpravidla na základě výslovného souhlasu subjektu údajů podle čl. 9 odst. 2 písm. a GDPR. Totéž platí pro údaje o zdraví zadané do volných textových polí. Deník výživy a vážení, které si zákazník vede sám v mobilní aplikaci RepUp, nejsou předmětem této smlouvy — patří jeho účtu a zpracovatel u nich vystupuje jako samostatný správce (článek 2).
4. Povinnosti zpracovatele
Zpracovatel se zavazuje:
- zpracovávat údaje pouze na základě doložených pokynů správce,
- zajistit mlčenlivost osob oprávněných zpracovávat údaje,
- přijmout vhodná technická a organizační opatření podle čl. 32 GDPR,
- být správci nápomocen při plnění žádostí subjektů údajů a při ohlašování porušení zabezpečení údajů,
- poskytnout správci informace potřebné k doložení souladu a umožnit audit.
5. Zabezpečení zpracování (čl. 32)
Zpracovatel uplatňuje šifrování přenosu, řízení přístupů, pravidelné zálohování a evidenci přístupů (deník aktivity). Data jsou primárně hostovaná na serverech v rámci Evropské unie.
Rozsah a lhůty zálohování, postup při obnově dat a způsob, jakým si správce může svá data kdykoli stáhnout, upravuje dokument Úroveň služby (SLA) na repup.cz/sla.
Dojde-li k porušení zabezpečení osobních údajů zpracovávaných podle této smlouvy, informuje o něm zpracovatel správce bez zbytečného odkladu poté, co se o něm dozví, a poskytne mu informace potřebné ke splnění jeho povinností podle čl. 33 a 34 GDPR.
6. Další zpracovatelé a předání do třetích zemí
Zpracovatel je oprávněn zapojit další zpracovatele (poskytovatele hostingu a databáze v EU, služby k doručování e-mailů, SMS zpráv a push notifikací, platební brány Stripe a GoPay, doručování zásilek, ochranu a doručování obsahu, monitorování technických chyb a poskytovatele modelu umělé inteligence pro funkce asistenta, AI kolegy a chatbota) za podmínek podle čl. 28 odst. 2 a 4 GDPR.
Aktuální seznam dalších zpracovatelů s uvedením poskytovatele, země a účelu je zveřejněn v aplikaci RepUp na stránce „Zpracování osobních údajů“ (app.repup.sk/ochrana-udajov). O změně informuje zpracovatel správce předem; správce má právo ve lhůtě 15 dnů vznést námitku.
U funkcí umělé inteligence se poskytovateli modelu odesílá text otázky a ty údaje správce, které jsou k jejímu zodpovězení nezbytné: u asistenta technický stav aplikace, u AI kolegy výsledky dotazů nad evidencí správce, z nichž jsou jména, kontaktní údaje, data narození, čísla karet a poznámky o zákaznících před odesláním odstraněny a nahrazeny náhodnými označeními, a u chatbota ty údaje, které správce k odpovídání sám povolil, včetně stavu členství zákazníka, který se ptá. Vstupy se nepoužívají k trénování modelů.
Pokud některý další zpracovatel zpracovává údaje i mimo Evropský hospodářský prostor, je takové předání kryté přiměřenými zárukami podle čl. 46 GDPR (standardní smluvní doložky).
7. Výmaz a vrácení údajů
Po ukončení poskytování služby zpracovatel podle volby správce údaje vymaže nebo mu je vrátí, pokud právní předpisy nevyžadují jejich další uchovávání. Pokud správce volbu neoznámí, zpracovatel údaje po uplynutí lhůty podle následujícího odstavce vymaže.
Zpracovatel uchovává údaje 180 dní ode dne ukončení smlouvy, a pokud byl přístup ke službě pozastaven pro neuhrazené předplatné, 180 dní ode dne pozastavení přístupu; po celou tuto lhůtu údaje nezanikají, takže se provoz správce dá obnovit bez ztráty dat. Po jejím uplynutí zpracovatel údaje nenávratně vymaže nebo anonymizuje. Jde o nejdelší dobu uchovávání — na pokyn správce je zpracovatel vymaže i dříve.
Vymazané údaje mohou ještě krátkou dobu přetrvávat v běžných zálohách databáze; ty se automaticky přepisují a zanikají nejpozději do 14 dní od výmazu. Během této doby s nimi zpracovatel nepracuje jinak než při obnově po havárii.
Správce si může kompletní kopii svých dat stáhnout kdykoli po dobu trvání smlouvy i 60 dní po jejím ukončení, a to přímo v administraci bez potřeby součinnosti zpracovatele; na žádost mu zpracovatel v této lhůtě kopii poskytne i sám.
8. Závěrečná ustanovení
Vztahy neupravené touto smlouvou se řídí GDPR a zákonem č. 110/2019 Sb., o zpracování osobních údajů.
Smlouva nabývá účinnosti dnem jejího elektronického podpisu správcem a tvoří nedílnou součást Všeobecných obchodních podmínek.
Zpracovatel může znění této smlouvy aktualizovat stejným postupem jako Všeobecné obchodní podmínky; o podstatných změnách informuje správce předem.