Zpracovatelská smlouva (čl. 28 GDPR)
1. Strany
Správce: trenér (fyzická nebo právnická osoba), který si zaregistroval účet ve službě Trenr a odsouhlasil Obchodní podmínky (dále „Trenér“).
Zpracovatel: Patrik Szotkowski, IČO 04532058, č.p. 83, 739 94 Vendryně (dále „Poskytovatel“).
2. Předmět a účel
2.1 Poskytovatel zpracovává pro Trenéra osobní údaje jeho klientů v rozsahu nezbytném k provozu služby Trenr (Dashboard a Aplikace): ukládání, zobrazování, synchronizace, zálohování a výpočet statistik.
2.2 Kategorie subjektů údajů: klienti Trenéra (osoby, které Trenér vede), případně další trenéři ve studiu Trenéra.
2.3 Kategorie údajů: identifikační a kontaktní (jméno, e-mail, telefon), údaje o tréninku (plány, odcvičené série, váhy, opakování, RIR, poznámky, vzkazy), údaje o těle (tělesná váha, obvody, cíl), poznámky Trenéra ke klientovi, technické údaje (zařízení, IP adresa při přihlášení). Tělesné údaje mohou mít povahu údajů vypovídajících o zdravotním stavu; Trenér odpovídá za právní základ jejich zpracování (typicky výslovný souhlas klienta nebo plnění smlouvy s klientem).
2.4 Doba zpracování: po dobu trvání smlouvy o poskytování Služby a následně 12 měsíců (režim jen ke čtení), nebo do dřívějšího výmazu na pokyn Trenéra.
3. Pokyny Správce
3.1 Poskytovatel zpracovává údaje výhradně na základě doložených pokynů Trenéra. Pokynem je uzavření smlouvy, Obchodní podmínky, tato smlouva a používání funkcí Služby (např. založení klienta, přiřazení plánu, archivace, export, výmaz).
3.2 Poskytovatel údaje nepoužívá pro vlastní účely, neprodává je, neprofiluje klienty pro reklamu a nepředává je třetím osobám mimo dílčí zpracovatele dle čl. 6.
3.3 Považuje-li Poskytovatel pokyn za rozporný s GDPR, Trenéra na to upozorní.
4. Povinnosti Poskytovatele
Poskytovatel: a) zajistí, že osoby s přístupem k údajům jsou vázány mlčenlivostí; b) přijme technická a organizační opatření dle čl. 7; c) poskytne Trenérovi součinnost při vyřizování žádostí subjektů údajů (přístup, oprava, výmaz, přenositelnost) — většinu úkonů Trenér provede sám v Dashboardu; ostatní Poskytovatel zajistí do 10 pracovních dnů od žádosti; d) poskytne součinnost při posouzení vlivu na ochranu údajů a při komunikaci s dozorovým úřadem, je-li to nutné; e) oznámí Trenérovi porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, včetně dostupných informací o povaze porušení, dotčených údajích a přijatých opatřeních; f) po skončení poskytování Služby údaje na volbu Trenéra vrátí (export) nebo vymaže, nejpozději po uplynutí doby dle čl. 2.4, ledaže právo EU nebo ČR vyžaduje jejich uložení; g) poskytne Trenérovi informace nezbytné k doložení splnění povinností dle čl. 28 GDPR a umožní audit dle čl. 8.
5. Povinnosti Trenéra
Trenér jako správce: a) odpovídá za právní základ zpracování údajů svých klientů, včetně případného výslovného souhlasu s údaji o těle, a za splnění informační povinnosti vůči klientům (může využít vzor informace pro klienty, který Poskytovatel zpřístupní v Dashboardu); b) vkládá do Služby pouze údaje, k jejichž zpracování je oprávněn, a jen v rozsahu nezbytném pro vedení klienta (např. nezadává diagnózy do poznámek, není-li to nutné); c) odpovídá za zabezpečení svého účtu a přístupů svých dalších trenérů; d) vyřizuje žádosti svých klientů o uplatnění práv.
6. Dílčí zpracovatelé
6.1 Trenér uděluje obecné povolení k zapojení dílčích zpracovatelů. Aktuální seznam:
| Dílčí zpracovatel | Činnost | Umístění |
|---|---|---|
| Supabase, Inc. (na infrastruktuře Amazon Web Services) | databáze, autentizace, úložiště, zálohy | EU — Irsko (eu-west-1) |
| Resend, Inc. [nebo jiný poskytovatel e-mailu] | odesílání transakčních e-mailů klientům (potvrzení registrace, reset hesla) | USA — EU-US DPF / SCC |
| Expo (650 Industries, Inc.), Apple Inc., Google LLC | doručování push notifikací do Aplikace | USA — DPF / SCC |
| MuscleWiki SEZC | streamování videí cviků (přenáší se jen IP adresa a technické údaje přehrávače, ne identita klienta) | mimo EU |
| Váš Hosting s.r.o. | hosting webu a video brány | ČR |
6.2 Změnu nebo doplnění dílčího zpracovatele oznámí Poskytovatel Trenérovi e-mailem nejméně 14 dní předem. Trenér může vznést námitku; nedohodnou-li se strany, může Trenér smlouvu o Službě vypovědět s vrácením poměrné části předplatného.
6.3 Poskytovatel uloží dílčím zpracovatelům stejné povinnosti ochrany údajů, jaké má sám, a odpovídá za jejich plnění.
7. Technická a organizační opatření
- Oddělení dat: každý Trenér má vlastní tenant; přístup k řádkům hlídá databáze (Row Level Security) — Trenér vidí jen svůj tenant, klient jen své záznamy; pravidla jsou automaticky testována při každém vydání.
- Šifrování: TLS při přenosu; šifrování úložiště v klidu; hesla pouze jako hash (bcrypt/argon2 v rámci Supabase Auth).
- Přístup: k produkčním systémům pouze Poskytovatel a pověřené osoby, dvoufaktorové ověření u administrátorských účtů (Supabase, Stripe, hosting); tajné klíče mimo zdrojový kód.
- Zálohy: denní automatické zálohy databáze u Supabase a nezávislá záloha na server Poskytovatele v ČR; obnova testována.
- Logování a monitoring: technické logy 90 dní; sledování chyb a neobvyklé aktivity.
- Minimalizace: Služba sbírá jen údaje potřebné pro vedení klienta; žádné sledovací nástroje v Dashboardu ani v Aplikaci (reklamní pixely jen na veřejném webu).
- Vývoj: změny procházejí automatickými testy včetně bezpečnostních pravidel databáze; oddělené demo prostředí s vymyšlenými daty.
- Výmaz: smazání účtu klienta nebo tenanta odstraní data z produkční databáze; ze záloh vyprší nejpozději do 30 dnů.
8. Audit
Trenér má právo jednou ročně (nebo po bezpečnostním incidentu) požádat o doložení souladu — Poskytovatel poskytne popis opatření, přehled dílčích zpracovatelů a relevantní zprávy dodavatelů (např. SOC 2 Supabase, PCI DSS Stripe). Audit na místě je možný po dohodě, na náklady Trenéra a bez narušení provozu.
9. Odpovědnost
Každá strana odpovídá za újmu způsobenou porušením svých povinností podle GDPR a této smlouvy. Odpovědnost Poskytovatele vůči Trenérovi je omezena podle čl. 13 Obchodních podmínek, s výjimkou újmy způsobené úmyslně nebo hrubou nedbalostí a s výjimkou případů, kdy takové omezení vylučuje zákon.
10. Trvání
Smlouva trvá po dobu zpracování údajů podle čl. 2.4. Ustanovení o mlčenlivosti trvají i po jejím skončení.
11. Závěrečná ustanovení
Smlouva se řídí právem České republiky a nařízením (EU) 2016/679 (GDPR). V případě rozporu s Obchodními podmínkami má v otázkách ochrany osobních údajů přednost tato smlouva. Změny smlouvy oznámí Poskytovatel e-mailem 30 dní předem; pokračováním v používání Služby je Trenér přijímá.
Příloha: Vzor informace pro klienty trenéra (k použití Trenérem)
Text, který si Trenér může vložit do své smlouvy/objednávky s klientem nebo poslat spolu s pozvánkovým kódem:
„K vedení tréninků používám aplikaci Trenr. Do ní zapisuji tvůj tréninkový plán a ty do ní zapisuješ odcvičené tréninky, případně tělesnou váhu a míry (dobrovolně). Správcem těchto údajů jsem já, [jméno trenéra, IČO]; aplikaci provozuje Patrik Szotkowski (Trenr) jako zpracovatel, data jsou uložena v EU. Údaje používám jen k tvému vedení a uchovám je po dobu naší spolupráce a nejdéle 12 měsíců poté. Kdykoli můžeš požádat o přístup, opravu nebo smazání — stačí mi napsat nebo si účet smazat přímo v aplikaci. Podrobnosti: trenr.cz/ochrana-udaju.“