Zpracovatelská smlouva (čl. 28 GDPR)
1. Strany
Správce: trenér (fyzická nebo právnická osoba), který si zaregistroval účet ve službě Trenr a odsouhlasil Obchodní podmínky (dále „Trenér“).
Zpracovatel: Patrik Szotkowski, IČO 04532058, č.p. 83, 739 94 Vendryně (dále „Poskytovatel“).
2. Předmět a účel
2.1 Poskytovatel zpracovává pro Trenéra osobní údaje jeho klientů v rozsahu nezbytném k provozu služby Trenr (Dashboard a Aplikace): ukládání, zobrazování, synchronizace, zálohování a výpočet statistik.
2.2 Kategorie subjektů údajů: klienti Trenéra (osoby, které Trenér vede), případně další trenéři ve studiu Trenéra.
2.3 Kategorie údajů: identifikační a kontaktní (jméno, e-mail, telefon), údaje o tréninku (plány, odcvičené série, váhy, opakování, RIR, poznámky, vzkazy), údaje o těle (tělesná váha, obvody, cíl), údaje o stravování (jídelníček, zápisy jídel, chutě a stravovací preference, hodnocení jídel a alergie a nesnášenlivosti potravin), poznámky Trenéra ke klientovi, technické údaje (zařízení, IP adresa při přihlášení). Tělesná váha, míry a fotky postavy jsou údaje o zdravotním stavu (čl. 9 GDPR); Zpracovatel je zpracovává jen s výslovným souhlasem klienta zaznamenaným v Aplikaci, stejně jako alergie.
Alergie, nesnášenlivosti potravin a stravovací preference jsou údaji o zdravotním stavu nebo z nich lze zdravotní stav dovodit (čl. 9 GDPR). Zpracovatel je zpracovává jen tehdy, když je v Aplikaci zaznamenán výslovný souhlas klienta. Souhlas klient udělí v Aplikaci sám, nebo Trenér v Dashboardu poprvé potvrdí, že ho od klienta má; odvolá-li klient souhlas v Aplikaci, může alergie znovu zadat jen klient sám. Zpracovatel uchovává datum souhlasu a historii změn alergií, a to i k prokázání, kdo a kdy údaj zadal. Odvolá-li klient souhlas nebo smaže-li účet, Zpracovatel alergie neprodleně vymaže. Trenér odpovídá za to, že souhlas, který potvrdil, od klienta skutečně má.
2.4 Doba zpracování: po dobu trvání smlouvy o poskytování Služby a následně 12 měsíců (režim jen ke čtení), nebo do dřívějšího výmazu na pokyn Trenéra.
3. Pokyny Správce
3.1 Poskytovatel zpracovává údaje výhradně na základě doložených pokynů Trenéra. Pokynem je uzavření smlouvy, Obchodní podmínky, tato smlouva a používání funkcí Služby (např. založení klienta, přiřazení plánu, archivace, export, výmaz).
3.2 Poskytovatel údaje nepoužívá pro vlastní účely, neprodává je, neprofiluje klienty pro reklamu a nepředává je třetím osobám mimo dílčí zpracovatele dle čl. 6. Výjimkou jsou anonymizované a agregované statistiky o využívání Služby (čl. 12.4 Obchodních podmínek — např. počet klientů, lekcí a dokladů trenéra a jejich souhrnná částka), ze kterých nelze určit jednotlivé klienty; ty Poskytovatel používá pro provoz, podporu, rozvoj a cenotvorbu Služby.
3.3 Považuje-li Poskytovatel pokyn za rozporný s GDPR, Trenéra na to upozorní.
4. Povinnosti Poskytovatele
Poskytovatel: a) zajistí, že osoby s přístupem k údajům jsou vázány mlčenlivostí; b) přijme technická a organizační opatření dle čl. 7; c) poskytne Trenérovi součinnost při vyřizování žádostí subjektů údajů (přístup, oprava, výmaz, přenositelnost) — většinu úkonů Trenér provede sám v Dashboardu; ostatní Poskytovatel zajistí do 10 pracovních dnů od žádosti; d) poskytne součinnost při posouzení vlivu na ochranu údajů a při komunikaci s dozorovým úřadem, je-li to nutné; e) oznámí Trenérovi porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, včetně dostupných informací o povaze porušení, dotčených údajích a přijatých opatřeních; f) po skončení poskytování Služby údaje na volbu Trenéra vrátí (export) nebo vymaže, nejpozději po uplynutí doby dle čl. 2.4, ledaže právo EU nebo ČR vyžaduje jejich uložení; g) poskytne Trenérovi informace nezbytné k doložení splnění povinností dle čl. 28 GDPR a umožní audit dle čl. 8.
5. Povinnosti Trenéra
Trenér jako správce: a) odpovídá za právní základ zpracování údajů svých klientů a za splnění informační povinnosti vůči klientům (může využít vzor informace a souhlasu z přílohy, který najde i v Dashboardu v Nastavení); výslovný souhlas klienta s údaji o zdraví, který Trenér v Dashboardu potvrzuje, má od klienta písemně (i e-mailem nebo zprávou) a uchovává ho; u klientů mladších 15 let má souhlas jejich zákonného zástupce; b) vkládá do Služby pouze údaje, k jejichž zpracování je oprávněn, a jen v rozsahu nezbytném pro vedení klienta; zdravotní informace (zranění, diagnózy, omezení) zapisuje do poznámek jen s výslovným souhlasem klienta. Zapne-li si Trenér odběr rezervací do svého kalendáře (Google, Apple apod.), předává tím jména klientů a časy lekcí provozovateli kalendáře — je to jeho rozhodnutí jako správce; poznámky klientů se do odběru nepřenášejí; c) odpovídá za zabezpečení svého účtu a přístupů svých dalších trenérů; d) vyřizuje žádosti svých klientů o uplatnění práv.
6. Dílčí zpracovatelé
6.1 Trenér uděluje obecné povolení k zapojení dílčích zpracovatelů. Aktuální seznam:
| Dílčí zpracovatel | Činnost | Umístění |
|---|---|---|
| Supabase, Inc. (na infrastruktuře Amazon Web Services) | databáze, autentizace, úložiště, zálohy | EU — Irsko (eu-west-1) |
| Resend, Inc. | odesílání e-mailů klientům a trenérům (registrace, reset hesla, faktury a doklady s PDF, připomínky a změny lekcí, upozornění k jídelníčku) | USA — EU-US DPF / SCC |
| Expo (650 Industries, Inc.), Apple Inc., Google LLC | doručování push upozornění do Aplikace, distribuce Aplikace | USA — DPF / SCC |
| MuscleWiki SEZC | streamování videí cviků (přenáší se jen IP adresa a technické údaje přehrávače, ne identita klienta) | mimo EU |
| Váš Hosting s.r.o. | hosting webu a video brány, noční šifrované zálohy databáze a souborů, pošta @trenr.cz | ČR |
| Seznam.cz, a.s. | poštovní schránky Poskytovatele (žádosti a komunikace s Trenéry) | ČR |
| Patos Art s.r.o. | poštovní schránka, vývojářské účty Aplikace v App Store a Google Play | ČR |
| Anthropic, PBC | AI asistent pro provoz a vývoj Služby s přístupem k datům (jen co je k úkolu nutné) | USA |
6.2 Změnu nebo doplnění dílčího zpracovatele oznámí Poskytovatel Trenérovi e-mailem nejméně 14 dní předem. Trenér může vznést námitku; nedohodnou-li se strany, může Trenér smlouvu o Službě vypovědět s vrácením poměrné části předplatného.
6.3 Poskytovatel uloží dílčím zpracovatelům stejné povinnosti ochrany údajů, jaké má sám, a odpovídá za jejich plnění.
7. Technická a organizační opatření
- Oddělení dat: každý Trenér má vlastní tenant; přístup k řádkům hlídá databáze (Row Level Security) — Trenér vidí jen svůj tenant, klient jen své záznamy; pravidla jsou automaticky testována při každém vydání.
- Šifrování: TLS při přenosu; šifrování úložiště v klidu; hesla pouze jako hash (bcrypt/argon2 v rámci Supabase Auth).
- Přístup: k produkčním systémům pouze Poskytovatel a pověřené osoby, dvoufaktorové ověření u administrátorských účtů (Supabase, Stripe, hosting); tajné klíče mimo zdrojový kód.
- Zálohy: denní automatické zálohy databáze u Supabase a nezávislá šifrovaná záloha na server Poskytovatele v ČR; obnova testována.
- Logování a monitoring: technické logy 90 dní; sledování chyb a neobvyklé aktivity.
- Minimalizace: Služba sbírá jen údaje potřebné pro vedení klienta; v Aplikaci žádné sledovací ani měřicí nástroje; v Dashboardu měřicí nástroje jen se souhlasem Trenéra a bez údajů klientů (reklamní pixely jinak jen na veřejném webu).
- Vývoj: změny procházejí automatickými testy včetně bezpečnostních pravidel databáze; oddělené demo prostředí s vymyšlenými daty.
- Výmaz: smazání účtu klienta nebo tenanta odstraní data z produkční databáze; ze záloh (šifrovaných) vyprší nejpozději do 90 dnů.
8. Audit
Trenér má právo jednou ročně (nebo po bezpečnostním incidentu) požádat o doložení souladu — Poskytovatel poskytne popis opatření, přehled dílčích zpracovatelů a relevantní zprávy dodavatelů (např. SOC 2 Supabase, PCI DSS Stripe). Audit na místě je možný po dohodě, na náklady Trenéra a bez narušení provozu.
9. Odpovědnost
Každá strana odpovídá za újmu způsobenou porušením svých povinností podle GDPR a této smlouvy. Odpovědnost Poskytovatele vůči Trenérovi je omezena podle čl. 13 Obchodních podmínek, s výjimkou újmy způsobené úmyslně nebo hrubou nedbalostí a s výjimkou případů, kdy takové omezení vylučuje zákon.
10. Trvání
Smlouva trvá po dobu zpracování údajů podle čl. 2.4. Ustanovení o mlčenlivosti trvají i po jejím skončení.
11. Závěrečná ustanovení
Smlouva se řídí právem České republiky a nařízením (EU) 2016/679 (GDPR). V případě rozporu s Obchodními podmínkami má v otázkách ochrany osobních údajů přednost tato smlouva. Změny smlouvy oznámí Poskytovatel e-mailem 30 dní předem; pokračováním v používání Služby je Trenér přijímá.
Příloha: Vzor informace a souhlasu pro klienty trenéra (k použití Trenérem)
Text, který si Trenér může vložit do své smlouvy/objednávky s klientem nebo poslat spolu s pozvánkovým kódem:
„K vedení tréninků používám aplikaci Trenr. Do ní zapisuji tvůj tréninkový plán, jídelníček, rezervace lekcí a doklady, které ti vystavím, a ty do ní zapisuješ odcvičené tréninky a — pokud chceš — tělesnou váhu, míry a fotky postavy, alergie a stravovací preference. Správcem těchto údajů jsem já, [jméno trenéra, IČO]; aplikaci provozuje Patrik Szotkowski (Trenr) jako zpracovatel, data jsou uložena v EU. Údaje používám jen k tvému vedení a uchovám je po dobu naší spolupráce a nejdéle 12 měsíců poté. Když si účet smažeš, zůstanou mi jen tréninky a lekce bez tvého jména (nejdéle 3 roky) a doklady, které ti vystavím (podle účetních a daňových předpisů). Kdykoli můžeš požádat o přístup, opravu nebo smazání — stačí mi napsat nebo si účet smazat přímo v aplikaci. Podrobnosti: trenr.cz/ochrana-udaju.“
Vzor výslovného souhlasu (když údaje o zdraví zadáváš za klienta ty — uchovej si ho písemně, stačí e-mail nebo zpráva):
„Souhlasím, aby [jméno trenéra / studia] zpracovával(a) údaje o mých alergiích, nesnášenlivostech a stravovacích preferencích, mou tělesnou váhu, míry a fotky postavy a zdravotní omezení, která mu sdělím, k vedení mého tréninku a jídelníčku v aplikaci Trenr. Souhlas mohu kdykoli odvolat (v aplikaci nebo zprávou trenérovi). [Datum, jméno klienta; u klienta mladšího 15 let jméno zákonného zástupce.]“