1. Smluvní strany
Správcem je trenér — fyzická nebo právnická osoba, která ve službě RepUp Trainer vede své klienty mimo fitness centrum a určuje účely a prostředky zpracování jejich osobních údajů. Jeho identifikační údaje jsou uvedeny v záhlaví podepisovaného vyhotovení této smlouvy.
Zpracovatelem je AI Trade, s. r. o., se sídlem Vojtaššákova 599, 027 44 Tvrdošín, Slovenská republika, IČO: 31646743, DIČ: 2020572048, IČ DPH: SK2020572048, zapsaná v obchodním rejstříku vedeném Okresním soudem Žilina, oddíl: Sro, vložka č. 3206/L, kontakt info@repup.sk, +421 914 326 223, provozovatel služby RepUp Trainer.
2. Předmět a trvání
Zpracovatel zpracovává osobní údaje jménem správce za účelem poskytování služby RepUp Trainer k vedení klientů správce v části „Mimo fitka“ (článek 1 Všeobecných obchodních podmínek RepUp Trainer). Smlouva trvá po dobu existence části „Mimo fitka“; po jejím skončení se uplatní článek 8.
Tato smlouva se nevztahuje na zpracování, při kterém zpracovatel vystupuje jako samostatný správce — zejména na účty klientů v mobilní aplikaci RepUp včetně deníku stravy, vážení, cílů a tréninkového deníku, které si klient vede sám ve svém účtu, a to i tehdy, když je klient správci zpřístupní; na účet správce v aplikaci RepUp Trainer a jeho veřejný profil; na fakturační a platební údaje správce; na posuzování nahlášení obsahu a ochranu služby před zneužíváním a na technické záznamy platformy. Toto zpracování upravují Zásady ochrany osobních údajů služby RepUp.
Tato smlouva se nevztahuje ani na údaje členů fitness centra, se kterým správce spolupracuje; ty zpracovává zpracovatel jménem fitness centra podle smlouvy uzavřené s ním.
3. Povaha, účel a rozsah zpracování
Zpracování probíhá automatizovaně, v rozsahu, v jakém správce službu používá:
- Účel: evidence klientů a zájemců o spolupráci, pozvánky klientů do aplikace RepUp a žádosti o spolupráci, kalendář osobních tréninků a konzultací včetně rezervací, evidence předplaceného kreditu klientů, tvorba a doručení tréninkových plánů a jídelníčků a záznam klienta o jejich plnění, komunikace s klienty v chatu a oznámení klientům (push notifikace a e-maily).
- Kategorie subjektů údajů: klienti správce, osoby, které správce pozval do aplikace RepUp nebo které ho požádaly o spolupráci, osoby, které správce vede v části „Mimo fitka“ bez účtu v aplikaci RepUp, a zákonní zástupci nezletilých klientů.
- Kategorie údajů: identifikační a kontaktní údaje (jméno, e-mail, telefon, datum narození a profilová fotografie z účtu klienta), stav a historie spolupráce, pozvánky (jméno a e-mail pozvaného), rezervace a termíny, kredit klienta a jeho pohyby, tréninkové plány a jídelníčky včetně předepsaného příjmu energie a živin a záznam klienta o jejich plnění (odcvičené série, odškrtnutá jídla), poznámky správce, zprávy v chatu včetně fotografií a technické údaje o doručení oznámení.
- Příjemci: kromě dalších zpracovatelů podle článku 7 se údaje zpřístupňují samotnému klientovi v jeho aplikaci RepUp. Jiným trenérům, fitness centrům ani třetím osobám zpracovatel údaje části „Mimo fitka“ neposkytuje, neukládá-li mu to právní předpis.
- Zvláštní kategorie osobních údajů podle čl. 9 GDPR služba k vedení klientů nevyžaduje. Jídelníčky, předepsaný příjem energie a živin, poznámky a zprávy v chatu (například zmínka o zranění, nemoci nebo alergii) však mohou mít povahu údajů o zdraví; o jejich zpracování rozhoduje správce a činí tak na vlastním právním základě, zpravidla na základě výslovného souhlasu klienta podle čl. 9 odst. 2 písm. a) GDPR. Údaje, které klient zpřístupní ze svého účtu, může správce zobrazit pouze v rozsahu, který klient povolil, a použít pouze k poskytování svých služeb tomuto klientovi.
4. Povinnosti zpracovatele
Zpracovatel se zavazuje:
- zpracovávat údaje pouze na základě doložených pokynů správce, kterými jsou tato smlouva a úkony, které správce provede ve službě, a bez zbytečného odkladu ho upozornit, pokud by podle jeho názoru pokyn porušoval právní předpisy,
- zajistit, aby se osoby oprávněné zpracovávat údaje zavázaly k mlčenlivosti,
- přijmout přiměřená technická a organizační opatření podle čl. 32 GDPR,
- zapojovat další zpracovatele pouze za podmínek podle článku 7,
- pomáhat správci při vyřizování žádostí subjektů údajů, zejména na jeho pokyn bez zbytečného odkladu, nejpozději do 30 dní, vymazat, opravit nebo vydat údaje konkrétního klienta, pokud to správce nemůže učinit sám ve službě,
- pomáhat správci při plnění povinností podle čl. 32 až 36 GDPR, zejména při ohlašování porušení zabezpečení osobních údajů,
- po skončení zpracování postupovat podle článku 8,
- poskytnout správci informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožnit mu audit; audit se provádí na náklady správce, po oznámení nejméně 30 dní předem, zpravidla nejvýše jednou ročně a tak, aby nenarušil provoz služby ani důvěrnost údajů jiných uživatelů.
5. Povinnosti správce
Správce odpovídá za zákonnost zpracování údajů svých klientů, zejména:
- má ke zpracování údajů každého klienta právní základ a u údajů o zdraví výslovný souhlas klienta nebo jiný základ podle čl. 9 odst. 2 GDPR,
- poskytne klientům informace podle čl. 13 a 14 GDPR včetně informace, že k vedení klientů využívá službu RepUp Trainer,
- vkládá do služby pouze údaje, které jsou k poskytování jeho služeb potřebné,
- u nezletilého klienta sjedná spolupráci se zákonným zástupcem,
- vyřizuje žádosti klientů o uplatnění jejich práv a zpracovateli dává pokyny pouze v souladu s právními předpisy,
- chrání své přihlašovací údaje a bez zbytečného odkladu oznámí zpracovateli podezření na jejich zneužití nebo na jiné porušení zabezpečení údajů.
6. Zabezpečení zpracování a porušení zabezpečení údajů
Zpracovatel uplatňuje zejména šifrování přenosu, řízení a evidenci přístupů, oddělení údajů jednotlivých trenérů a fitness center a pravidelné zálohování. Údaje jsou primárně hostovány na serverech v rámci Evropské unie.
Zaměstnanci a spolupracovníci zpracovatele mají k údajům části „Mimo fitka“ přístup pouze v rozsahu nezbytném k provozu, podpoře a bezpečnosti služby.
Dojde-li k porušení zabezpečení osobních údajů zpracovávaných podle této smlouvy, zpracovatel o něm informuje správce bez zbytečného odkladu poté, co se o něm dozví, a poskytne mu informace potřebné ke splnění jeho povinností podle čl. 33 a 34 GDPR.
7. Další zpracovatelé a předávání do třetích zemí
Správce uděluje zpracovateli obecné povolení zapojovat další zpracovatele — poskytovatele hostingu a databáze v EU, služby pro doručování e-mailů a push notifikací včetně služeb Apple a Google, ochranu a doručování obsahu a monitorování technických chyb — za podmínek podle čl. 28 odst. 2 a 4 GDPR. Zpracovatel jim uloží stejné povinnosti na ochranu údajů, jaké má podle této smlouvy, a za jejich plnění odpovídá.
Aktuální seznam dalších zpracovatelů s uvedením poskytovatele, země a účelu je zveřejněn na stránce „Zpracování osobních údajů“ (app.repup.sk/ochrana-udajov). O zamýšlené změně zpracovatel správce předem informuje; správce má právo ve lhůtě 15 dní vznést námitku, a nelze-li námitce vyhovět, může smlouvu ukončit.
Údaje části „Mimo fitka“ se neodesílají poskytovatelům modelů umělé inteligence. Pokud by se to v budoucnu mělo změnit, zpracovatel postupuje podle předchozího odstavce.
Zpracovává-li některý další zpracovatel údaje i mimo Evropský hospodářský prostor, je takové předání kryto rozhodnutím Evropské komise o odpovídající ochraně nebo vhodnými zárukami podle čl. 46 GDPR (standardní smluvní doložky).
8. Výmaz a vrácení údajů
Po dobu trvání smlouvy správce údaje klientů ve službě upravuje a spolupráci s nimi ukončuje sám; údaje konkrétního klienta, které nemůže vymazat ve službě, zpracovatel vymaže na jeho pokyn zaslaný na info@repup.sk.
Po skončení smlouvy zpracovatel údaje části „Mimo fitka“ uchová 30 dní, během nichž je tato část uzamčena a správce může požádat o bezplatné vydání jejich kopie v běžně používaném strojově čitelném formátu; zpracovatel mu ji poskytne nejpozději do 14 dní od doručení žádosti. Po uplynutí lhůty zpracovatel údaje nenávratně vymaže; na pokyn správce je vymaže i dříve.
Je-li část „Mimo fitka“ uzamčena pro neuhrazenou platbu, zpracovatel údaje části „Mimo fitka“ uchová 180 dní ode dne uzamčení a během celé lhůty je nevymaže, aby se tato část dala obnovit bez ztráty údajů; na blížící se výmaz upozorní správce e-mailem nejpozději 30 dní předem a po uplynutí lhůty údaje nenávratně vymaže. Jde o nejdelší dobu uchovávání — na pokyn správce je zpracovatel vymaže i dříve.
Vymazané údaje mohou ještě krátkou dobu přetrvávat v běžných zálohách databáze; ty se automaticky přepisují a zanikají nejpozději do 14 dní od výmazu. Během této doby s nimi zpracovatel nepracuje jinak než při obnově po havárii.
Výmazem části „Mimo fitka“ zaniknou i tréninkové plány, jídelníčky a další její údaje, které klienti vidí v aplikaci RepUp. Údaje, které si klient vede sám ve svém účtu, tímto výmazem nejsou dotčeny.
Povinnost vymazat údaje se nevztahuje na údaje, jejichž další uchovávání vyžadují právní předpisy.
9. Závěrečná ustanovení
Vztahy neupravené touto smlouvou se řídí GDPR a slovenským zákonem č. 18/2018 Z. z., o ochraně osobních údajů.
Smlouva nabývá účinnosti dnem jejího elektronického podpisu správcem a tvoří nedílnou součást Všeobecných obchodních podmínek RepUp Trainer. Povinnosti zpracovatele podle článků 6 a 8 trvají i po jejím skončení, dokud údaje části „Mimo fitka“ nevymaže.
Zpracovatel může znění této smlouvy aktualizovat stejným postupem jako Všeobecné obchodní podmínky RepUp Trainer; o podstatných změnách informuje správce předem.