1. Zmluvné strany
Prevádzkovateľom je tréner — fyzická osoba alebo právnická osoba, ktorá v službe RepUp Trainer vedie svojich klientov mimo fitnes centra a určuje účely a prostriedky spracúvania ich osobných údajov. Jeho identifikačné údaje sú uvedené v záhlaví podpisovaného vyhotovenia tejto zmluvy.
Sprostredkovateľom je AI Trade, s. r. o., so sídlom Vojtaššákova 599, 027 44 Tvrdošín, IČO: 31646743, DIČ: 2020572048, IČ DPH: SK2020572048, zapísaná v registri: Obchodný register Okresného súdu Žilina, oddiel: Sro, vložka č. 3206/L, kontakt info@repup.sk, +421 914 326 223, prevádzkovateľ služby RepUp Trainer.
2. Predmet a trvanie
Sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa za účelom poskytovania služby RepUp Trainer na vedenie klientov prevádzkovateľa v časti Mimo fitka (článok 1 Všeobecných obchodných podmienok RepUp Trainer). Zmluva trvá počas existencie časti Mimo fitka; po jej skončení sa uplatní článok 8.
Táto zmluva sa nevzťahuje na spracúvanie, pri ktorom sprostredkovateľ vystupuje ako samostatný prevádzkovateľ — najmä na účty klientov v mobilnej aplikácii RepUp vrátane denníka stravy, vážení, cieľov a tréningového denníka, ktoré si klient vedie sám vo svojom účte, a to aj vtedy, keď ich klient sprístupní prevádzkovateľovi; na účet prevádzkovateľa v aplikácii RepUp Trainer a jeho verejný profil; na fakturačné a platobné údaje prevádzkovateľa; na posudzovanie nahlásení obsahu a ochranu služby pred zneužívaním a na technické záznamy platformy. Toto spracúvanie upravujú Zásady ochrany osobných údajov služby RepUp.
Táto zmluva sa nevzťahuje ani na údaje členov fitnes centra, s ktorým prevádzkovateľ spolupracuje; tie spracúva sprostredkovateľ v mene fitnes centra podľa zmluvy uzavretej s ním.
3. Povaha, účel a rozsah spracúvania
Spracúvanie prebieha automatizovane, v rozsahu, v akom prevádzkovateľ službu používa:
- Účel: evidencia klientov a záujemcov o spoluprácu, pozvánky klientov do aplikácie RepUp a žiadosti o spoluprácu, kalendár osobných tréningov a konzultácií vrátane rezervácií, evidencia predplateného kreditu klientov, tvorba a doručenie tréningových plánov a jedálničkov a záznam klienta o ich plnení, komunikácia s klientmi v chate a oznámenia klientom (push notifikácie a e-maily).
- Kategórie dotknutých osôb: klienti prevádzkovateľa, osoby, ktoré prevádzkovateľ pozval do aplikácie RepUp alebo ktoré ho požiadali o spoluprácu, osoby, ktoré prevádzkovateľ vedie v časti Mimo fitka bez účtu v aplikácii RepUp, a zákonní zástupcovia maloletých klientov.
- Kategórie údajov: identifikačné a kontaktné údaje (meno, e-mail, telefón, dátum narodenia a profilová fotografia z účtu klienta), stav a história spolupráce, pozvánky (meno a e-mail pozvaného), rezervácie a termíny, kredit klienta a jeho pohyby, tréningové plány a jedálničky vrátane predpísaného príjmu energie a živín a záznam klienta o ich plnení (odcvičené série, odškrtnuté jedlá), poznámky prevádzkovateľa, správy v chate vrátane fotografií a technické údaje o doručení oznámení.
- Príjemcovia: okrem ďalších sprostredkovateľov podľa článku 7 sa údaje sprístupňujú samotnému klientovi v jeho aplikácii RepUp. Iným trénerom, fitnes centrám ani tretím osobám sprostredkovateľ údaje časti Mimo fitka neposkytuje, ak mu to neukladá právny predpis.
- Osobitné kategórie údajov podľa čl. 9 GDPR si služba na vedenie klientov nevyžaduje. Jedálničky, predpísaný príjem energie a živín, poznámky a správy v chate (napríklad zmienka o zranení, chorobe alebo alergii) však môžu mať povahu údajov o zdraví; o ich spracúvaní rozhoduje prevádzkovateľ a robí tak na vlastnom právnom základe, spravidla na základe výslovného súhlasu klienta podľa čl. 9 ods. 2 písm. a GDPR. Údaje, ktoré klient sprístupní zo svojho účtu, môže prevádzkovateľ zobraziť len v rozsahu, ktorý klient povolil, a použiť len na poskytovanie svojich služieb tomuto klientovi.
4. Povinnosti sprostredkovateľa
Sprostredkovateľ sa zaväzuje:
- spracúvať údaje len na základe zdokumentovaných pokynov prevádzkovateľa, ktorými sú táto zmluva a úkony, ktoré prevádzkovateľ vykoná v službe, a bez zbytočného odkladu ho upozorniť, ak by podľa jeho názoru pokyn porušoval právne predpisy,
- zabezpečiť, aby sa osoby oprávnené spracúvať údaje zaviazali k mlčanlivosti,
- prijať primerané technické a organizačné opatrenia podľa čl. 32 GDPR,
- zapájať ďalších sprostredkovateľov len za podmienok podľa článku 7,
- pomáhať prevádzkovateľovi pri vybavovaní žiadostí dotknutých osôb, najmä na jeho pokyn bez zbytočného odkladu, najneskôr do 30 dní, vymazať, opraviť alebo vydať údaje konkrétneho klienta, ak to prevádzkovateľ nemôže urobiť sám v službe,
- pomáhať prevádzkovateľovi pri plnení povinností podľa čl. 32 až 36 GDPR, najmä pri ohlasovaní porušení ochrany osobných údajov,
- po skončení spracúvania postupovať podľa článku 8,
- poskytnúť prevádzkovateľovi informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožniť mu audit; audit sa vykonáva na náklady prevádzkovateľa, po oznámení aspoň 30 dní vopred, spravidla najviac raz ročne a tak, aby nenarušil prevádzku služby ani dôvernosť údajov iných používateľov.
5. Povinnosti prevádzkovateľa
Prevádzkovateľ zodpovedá za zákonnosť spracúvania údajov svojich klientov, najmä:
- má na spracúvanie údajov každého klienta právny základ a pri údajoch o zdraví výslovný súhlas klienta alebo iný základ podľa čl. 9 ods. 2 GDPR,
- poskytne klientom informácie podľa čl. 13 a 14 GDPR vrátane informácie, že na vedenie klientov využíva službu RepUp Trainer,
- vkladá do služby len údaje, ktoré sú na poskytovanie jeho služieb potrebné,
- pri maloletom klientovi dojedná spoluprácu so zákonným zástupcom,
- vybavuje žiadosti klientov o uplatnenie ich práv a sprostredkovateľovi dáva pokyny len v súlade s právnymi predpismi,
- chráni svoje prihlasovacie údaje a bez zbytočného odkladu oznámi sprostredkovateľovi podozrenie na ich zneužitie alebo na iné porušenie ochrany údajov.
6. Bezpečnosť spracúvania a porušenie ochrany údajov
Sprostredkovateľ uplatňuje najmä šifrovanie prenosu, riadenie a evidenciu prístupov, oddelenie údajov jednotlivých trénerov a fitnes centier a pravidelné zálohovanie. Údaje sú primárne hostované na serveroch v rámci Európskej únie.
Zamestnanci a spolupracovníci sprostredkovateľa majú k údajom časti Mimo fitka prístup len v rozsahu nevyhnutnom na prevádzku, podporu a bezpečnosť služby.
Ak dôjde k porušeniu ochrany osobných údajov spracúvaných podľa tejto zmluvy, sprostredkovateľ o ňom informuje prevádzkovateľa bez zbytočného odkladu po tom, ako sa o ňom dozvie, a poskytne mu informácie potrebné na splnenie jeho povinností podľa čl. 33 a 34 GDPR.
7. Ďalší sprostredkovatelia a prenos do tretích krajín
Prevádzkovateľ udeľuje sprostredkovateľovi všeobecné povolenie zapájať ďalších sprostredkovateľov — poskytovateľa hostingu a databázy v EÚ, služby na doručovanie e-mailov a push notifikácií vrátane služieb Apple a Google, ochranu a doručovanie obsahu a monitorovanie technických chýb — za podmienok podľa čl. 28 ods. 2 a 4 GDPR. Sprostredkovateľ im uloží rovnaké povinnosti na ochranu údajov, aké má podľa tejto zmluvy, a za ich plnenie zodpovedá.
Aktuálny zoznam ďalších sprostredkovateľov s uvedením poskytovateľa, krajiny a účelu je zverejnený na stránke „Spracúvanie osobných údajov“ (app.repup.sk/ochrana-udajov). O zamýšľanej zmene sprostredkovateľ prevádzkovateľa vopred informuje; prevádzkovateľ má právo v lehote 15 dní namietať, a ak námietke nemožno vyhovieť, môže zmluvu ukončiť.
Údaje časti Mimo fitka sa neodosielajú poskytovateľom modelov umelej inteligencie. Ak by sa to v budúcnosti malo zmeniť, sprostredkovateľ postupuje podľa predchádzajúceho odseku.
Ak niektorý ďalší sprostredkovateľ spracúva údaje aj mimo Európskeho hospodárskeho priestoru, takýto prenos je krytý rozhodnutím Európskej komisie o primeranosti ochrany alebo primeranými zárukami podľa čl. 46 GDPR (štandardné zmluvné doložky).
8. Výmaz a vrátenie údajov
Počas trvania zmluvy prevádzkovateľ údaje klientov v službe upravuje a spoluprácu s nimi ukončuje sám; údaje konkrétneho klienta, ktoré nemôže vymazať v službe, sprostredkovateľ vymaže na jeho pokyn zaslaný na info@repup.sk.
Po skončení zmluvy sprostredkovateľ údaje časti Mimo fitka uchová 30 dní, počas ktorých je táto časť uzamknutá a prevádzkovateľ môže požiadať o bezplatné vydanie ich kópie v bežne používanom strojovo čitateľnom formáte; sprostredkovateľ mu ju poskytne najneskôr do 14 dní od doručenia žiadosti. Po uplynutí lehoty sprostredkovateľ údaje nenávratne vymaže; na pokyn prevádzkovateľa ich vymaže aj skôr.
Ak je časť Mimo fitka uzamknutá pre neuhradenú platbu, sprostredkovateľ údaje časti Mimo fitka uchová 180 dní odo dňa uzamknutia a počas celej lehoty ich nevymaže, aby sa táto časť dala obnoviť bez straty údajov; na blížiaci sa výmaz upozorní prevádzkovateľa e-mailom najneskôr 30 dní vopred a po uplynutí lehoty údaje nenávratne vymaže. Ide o najdlhšiu dobu uchovávania — na pokyn prevádzkovateľa ich sprostredkovateľ vymaže aj skôr.
Vymazané údaje môžu ešte krátky čas pretrvávať v bežných zálohách databázy; tie sa automaticky prepisujú a zanikajú najneskôr do 14 dní od výmazu. Počas tohto času s nimi sprostredkovateľ nepracuje inak než pri obnove po havárii.
Výmazom časti Mimo fitka zaniknú aj tréningové plány, jedálničky a ďalšie jej údaje, ktoré klienti vidia v aplikácii RepUp. Údaje, ktoré si klient vedie sám vo svojom účte, týmto výmazom nie sú dotknuté.
Povinnosť vymazať údaje sa nevzťahuje na údaje, ktorých ďalšie uchovávanie vyžadujú právne predpisy.
9. Záverečné ustanovenia
Vzťahy neupravené touto zmluvou sa riadia GDPR a zákonom č. 18/2018 Z. z. o ochrane osobných údajov.
Zmluva nadobúda účinnosť dňom jej elektronického podpisu prevádzkovateľom a tvorí neoddeliteľnú súčasť Všeobecných obchodných podmienok RepUp Trainer. Povinnosti sprostredkovateľa podľa článkov 6 a 8 trvajú aj po jej skončení, kým údaje časti Mimo fitka nevymaže.
Sprostredkovateľ môže znenie tejto zmluvy aktualizovať rovnakým postupom ako Všeobecné obchodné podmienky RepUp Trainer; o podstatných zmenách informuje prevádzkovateľa vopred.