1. Zmluvné strany
Prevádzkovateľom je fitnes centrum alebo iná športová, rekreačná či wellness prevádzka (podnikateľ), ktorá používa softvér RepUp a určuje účely a prostriedky spracúvania osobných údajov svojich zákazníkov a zamestnancov. Jej identifikačné údaje sú uvedené v záhlaví podpisovaného vyhotovenia tejto zmluvy.
Sprostredkovateľom je AI Trade, s. r. o., so sídlom Vojtaššákova 599, 027 44 Tvrdošín, IČO: 31646743, DIČ: 2020572048, IČ DPH: SK2020572048, zapísaná v registri: Obchodný register Okresného súdu Žilina, oddiel: Sro, vložka č. 3206/L, kontakt info@repup.sk, +421 914 326 223, prevádzkovateľ softvéru RepUp.
2. Predmet a trvanie
Sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa za účelom poskytovania softvéru RepUp na správu fitnes centra. Zmluva trvá počas používania služby; po jej ukončení sa uplatní článok 7.
Táto zmluva sa nevzťahuje na spracúvanie, pri ktorom sprostredkovateľ vystupuje ako samostatný prevádzkovateľ — najmä účty používateľov mobilných aplikácií RepUp a RepUp Trainer vrátane denníka výživy, vážení a cieľov, ktoré si zákazník vedie sám vo svojom konte, fakturačné a zmluvné údaje prevádzkovateľa a technické logy platformy. Toto spracúvanie upravujú Zásady ochrany osobných údajov služby RepUp.
3. Povaha, účel a rozsah spracúvania
Spracúvanie prebieha automatizovane, v rozsahu, v akom prevádzkovateľ softvér používa:
- Účel: evidencia zákazníkov a členstiev, kontrola vstupov, rezervácie a rozvrh, predaj a pokladňa vrátane fiškalizácie, sklad, skrinky, dochádzka a mzdy personálu, komunikácia so zákazníkmi (e-mail, SMS, oznámenia v aplikácii) a podpisovanie dokumentov.
- Kategórie dotknutých osôb: zákazníci (členovia) prevádzkovateľa a ich rodinní príslušníci uvedení v rodinnom členstve, zamestnanci a spolupracujúci tréneri prevádzkovateľa, kontaktné osoby firemných zákazníkov.
- Kategórie údajov: identifikačné a kontaktné údaje (meno, e-mail, telefón, adresa, dátum narodenia), profilová fotografia, číslo a identifikátor členskej karty, údaje o členstve, vstupoch a rezerváciách, údaje o nákupoch, platbách a nezaplatených účtoch, elektronicky podpísané dokumenty vrátane obrazu podpisu a technických údajov o podpise, poznámky zadané personálom, tréningové a stravovacie plány predpísané trénerom vrátane záznamu zákazníka o ich plnení, a údaje o dochádzke a mzde zamestnancov.
- Príjemcovia: okrem subdodávateľov podľa článku 6 sprostredkovateľ sprístupňuje údaje zákazníka trénerovi, ktorého si zákazník zvolí a ktorého spoluprácu prevádzkovateľ schválil, a to v rozsahu potrebnom na vedenie tréningov, rezervácií a komunikácie s ním; tréner koná pri týchto údajoch ako samostatný prevádzkovateľ a právny základ sprístupnenia určuje prevádzkovateľ. Ak prevádzkovateľ prijíma vstupy na benefitnú kartu UpBalansea (Up Déjeuner), odosiela sa poskytovateľovi benefitu pri overení, potvrdení, zamietnutí a zrušení vstupu jednorazový kód zákazníka a prihlasovacie meno a meno zamestnanca, ktorý úkon vykonal, a späť sa prijíma meno zákazníka, zazmluvnená služba a prípadný doplatok; poskytovateľ benefitu koná ako samostatný prevádzkovateľ na základe vlastného vzťahu so zákazníkom a vlastného vyúčtovania s prevádzkovateľom.
- Osobitné kategórie údajov podľa čl. 9 GDPR (najmä údaje o zdraví) si služba na vedenie členskej evidencie nevyžaduje. Funkcie tréningových a stravovacích plánov však umožňujú zadať údaje, ktoré môžu mať povahu údajov o zdraví (napríklad predpísaný príjem energie a živín alebo zdravotné obmedzenie uvedené v poznámke k tréningu); o ich použití rozhoduje prevádzkovateľ a robí tak na vlastnom právnom základe, spravidla na základe výslovného súhlasu dotknutej osoby podľa čl. 9 ods. 2 písm. a GDPR. To isté platí pre údaje o zdraví zadané do voľných textových polí. Denník výživy a váženia, ktoré si zákazník vedie sám v mobilnej aplikácii RepUp, nie sú predmetom tejto zmluvy — patria jeho účtu a sprostredkovateľ pri nich vystupuje ako samostatný prevádzkovateľ (článok 2).
4. Povinnosti sprostredkovateľa
Sprostredkovateľ sa zaväzuje:
- spracúvať údaje len na základe zdokumentovaných pokynov prevádzkovateľa,
- zabezpečiť mlčanlivosť osôb oprávnených spracúvať údaje,
- prijať primerané technické a organizačné opatrenia podľa čl. 32 GDPR,
- pomáhať prevádzkovateľovi pri plnení žiadostí dotknutých osôb a pri ohlasovaní porušení ochrany údajov,
- poskytnúť prevádzkovateľovi informácie potrebné na preukázanie súladu a umožniť audit.
5. Bezpečnosť spracúvania (čl. 32)
Sprostredkovateľ uplatňuje šifrovanie prenosu, riadenie prístupov, pravidelné zálohovanie a evidenciu prístupov (denník aktivity). Dáta sú primárne hostované na serveroch v rámci Európskej únie.
Rozsah a lehoty zálohovania, postup pri obnove dát a spôsob, akým si prevádzkovateľ môže svoje údaje kedykoľvek stiahnuť, upravuje dokument Úroveň služby (SLA) na repup.sk/sla.
Ak dôjde k porušeniu ochrany osobných údajov spracúvaných podľa tejto zmluvy, sprostredkovateľ o ňom informuje prevádzkovateľa bez zbytočného odkladu po tom, ako sa o ňom dozvie, a poskytne mu informácie potrebné na splnenie jeho povinností podľa čl. 33 a 34 GDPR.
6. Subdodávatelia a prenos do tretích krajín
Sprostredkovateľ je oprávnený zapojiť ďalších sprostredkovateľov (poskytovateľa hostingu a databázy v EÚ, služby na doručovanie e-mailov, SMS správ a push notifikácií, platobné brány Stripe a GoPay, fiškálne riešenia iSkasa (LLARIK, s. r. o.) a FiskalPRO (A3 Soft s. r. o.), doručovanie zásielok, ochranu a doručovanie obsahu, monitorovanie technických chýb a poskytovateľa modelu umelej inteligencie pre funkcie asistenta, AI kolegu a chatbota) za podmienok podľa čl. 28 ods. 2 a 4 GDPR.
Aktuálny zoznam subdodávateľov s uvedením poskytovateľa, krajiny a účelu je zverejnený v aplikácii RepUp na stránke „Spracúvanie osobných údajov“ (app.repup.sk/ochrana-udajov). O zmene informuje sprostredkovateľ prevádzkovateľa vopred; prevádzkovateľ má právo v lehote 15 dní namietať.
Pri funkciách umelej inteligencie sa poskytovateľovi modelu odosiela text otázky a tie údaje prevádzkovateľa, ktoré sú na jej zodpovedanie nevyhnutné: pri asistentovi technický stav aplikácie, pri AI kolegovi výsledky dopytov nad evidenciou prevádzkovateľa, z ktorých sú mená, kontaktné údaje, dátumy narodenia, čísla kariet a poznámky o zákazníkoch pred odoslaním odstránené a nahradené náhodnými označeniami, a pri chatbotovi tie údaje, ktoré prevádzkovateľ na odpovedanie sám povolil, vrátane stavu členstva zákazníka, ktorý sa pýta. Vstupy sa nepoužívajú na trénovanie modelov.
Ak niektorý subdodávateľ spracúva údaje aj mimo Európskeho hospodárskeho priestoru, takýto prenos je krytý primeranými zárukami podľa čl. 46 GDPR (štandardné zmluvné doložky).
7. Výmaz a vrátenie údajov
Po ukončení poskytovania služby sprostredkovateľ podľa voľby prevádzkovateľa údaje vymaže alebo mu ich vráti, ak právne predpisy nevyžadujú ich ďalšie uchovávanie. Ak prevádzkovateľ voľbu neoznámi, sprostredkovateľ údaje po uplynutí lehoty podľa nasledujúceho odseku vymaže.
Sprostredkovateľ uchováva údaje 180 dní odo dňa ukončenia zmluvy, a ak bol prístup k službe pozastavený pre neuhradené predplatné, 180 dní odo dňa pozastavenia prístupu; počas celej tejto lehoty údaje nezanikajú, takže sa prevádzka prevádzkovateľa dá obnoviť bez straty dát. Po jej uplynutí sprostredkovateľ údaje nenávratne vymaže alebo anonymizuje. Ide o najdlhšiu dobu uchovávania — na pokyn prevádzkovateľa ich sprostredkovateľ vymaže aj skôr.
Vymazané údaje môžu ešte krátky čas pretrvávať v bežných zálohách databázy; tie sa automaticky prepisujú a zanikajú najneskôr do 14 dní od výmazu. Počas tohto času s nimi sprostredkovateľ nepracuje inak než pri obnove po havárii.
Prevádzkovateľ si môže kompletnú kópiu svojich údajov stiahnuť kedykoľvek počas trvania zmluvy aj 60 dní po jej ukončení, a to priamo v administrácii bez potreby súčinnosti sprostredkovateľa; na žiadosť mu sprostredkovateľ v tejto lehote kópiu poskytne aj sám.
8. Záverečné ustanovenia
Vzťahy neupravené touto zmluvou sa riadia GDPR a zákonom č. 18/2018 Z. z.
Zmluva nadobúda účinnosť dňom jej elektronického podpisu prevádzkovateľom a tvorí neoddeliteľnú súčasť Všeobecných obchodných podmienok.
Sprostredkovateľ môže znenie tejto zmluvy aktualizovať rovnakým postupom ako Všeobecné obchodné podmienky; o podstatných zmenách informuje prevádzkovateľa vopred.