Smluvní strany
Zpracovatel: Daniel Beneš, fyzická osoba podnikající, IČO 09120238, neplátce DPH, se sídlem Jordana Jovkova 3427/20, Modřany, 143 00 Praha 4, provozovatel platformy Trainspace na adrese app.trainspace.cz, kontaktní e-mail hello@trainspace.cz (dále „Trainspace")
Správce: trenér, který smlouvu odsouhlasil ve svém účtu — identifikovaný jménem, e-mailem a identifikátorem účtu vedeným v aplikaci (dále „Trenér")
Smlouva se uzavírá elektronicky odsouhlasením v aplikaci. O přijetí se zaznamenává datum a čas, verze textu a zkrácená IP adresa.
1. Předmět a role
Trenér je správcem osobních údajů svých klientů. Rozhoduje, jaké údaje o nich sbírá a k čemu. Trainspace je zpracovatelem — poskytuje technický prostředek a zpracovává údaje výhradně podle pokynů Trenéra.
Ve vztahu k údajům samotného Trenéra (jeho účet, fakturace, provozní logy) je Trainspace správcem; na tento vztah se tato smlouva nevztahuje a řídí se všeobecnými obchodními podmínkami (čl. 19 a 20).
2. Doba trvání
Smlouva trvá po dobu existence účtu Trenéra. Skončí spolu s ním; naložení s údaji po skončení upravuje článek 9.
3. Povaha a účel zpracování
Zpracování probíhá automatizovaně za účelem provozu aplikace pro vedení klientů osobního trenéra: evidence klientů, tréninkové a výživové plány, rezervace, permanentky, fotografie pokroku a zdravotní dotazník.
4. Kategorie subjektů údajů
Klienti Trenéra.
5. Typy osobních údajů
| Kategorie | Údaje |
|---|---|
| Identifikační a kontaktní | jméno, příjmení, e-mail, telefon, profilová fotografie |
| Tréninkové | plány, záznamy cvičení, rezervace, permanentky, poznámky trenéra |
| Výživové | jídelníčky, nutriční plány a deník, doplňky stravy |
| Zvláštní kategorie (čl. 9) | zdravotní dotazník PAR-Q, zdravotní profil, tělesné míry, fotografie postavy |
Zvláštní kategorie vyžadují na straně Trenéra výslovný souhlas subjektu podle čl. 9 odst. 2 písm. a). Aplikace jej u dotazníku PAR-Q i u fotografií pokroku technicky vynucuje.
6. Povinnosti Trainspace (čl. 28 odst. 3 písm. a–h)
a) Pokyny. Trainspace zpracovává údaje pouze podle doložených pokynů Trenéra. Pokynem se rozumí i běžné užívání aplikace. Pokud by pokyn porušoval právní předpisy, Trainspace na to Trenéra upozorní.
b) Mlčenlivost. Osoby na straně Trainspace s přístupem k údajům jsou vázány mlčenlivostí.
c) Zabezpečení (čl. 32). Trainspace udržuje technická a organizační opatření podle přílohy B — zejména řízení přístupu na úrovni databáze, privátní úložiště souborů s odkazy s omezenou platností, auditní záznam přístupu k souborům a minimalizaci ukládaných údajů.
d) Další zpracovatelé. Trainspace využívá dílčí zpracovatele uvedené v příloze A. Trenér s nimi vyslovuje obecný souhlas. O zamýšlené změně bude Trainspace informovat předem, aby proti ní mohl Trenér vznést námitku.
e) Součinnost při právech subjektů. Aplikace poskytuje Trenérovi nástroje k vyřízení žádostí: export dat klienta (čl. 20), výmaz klienta včetně souborů (čl. 17), evidenci a odvolání souhlasů. Žádosti subjektů směřují na Trenéra jako správce.
f) Součinnost podle čl. 32–36. Trainspace poskytuje Trenérovi součinnost při zabezpečení, ohlašování porušení a posouzení vlivu.
g) Naložení po skončení. Viz článek 9.
h) Doložení a audit. Trainspace poskytne Trenérovi na vyžádání informace nezbytné k doložení plnění povinností podle tohoto článku.
7. Porušení zabezpečení
Trainspace ohlásí Trenérovi porušení zabezpečení bez zbytečného odkladu poté, co se o něm dozví, aby Trenér mohl dodržet lhůtu 72 hodin podle čl. 33. Ohlášení obsahuje popis povahy porušení, dotčené kategorie a přibližný počet subjektů, pravděpodobné důsledky a přijatá opatření.
Ohlášení se zasílá na e-mailovou adresu Trenéra vedenou v jeho účtu. Trenér hlásí podezření na porušení zabezpečení na hello@trainspace.cz.
8. Předávání do třetích zemí
Údaje jsou zpracovávány primárně v EU. U dílčích zpracovatelů mimo EU se předávání opírá o standardní smluvní doložky — viz příloha A.
9. Naložení s údaji po skončení
Po zrušení účtu Trenéra:
- přístup do aplikace končí okamžitě,
- údaje zůstávají uloženy 30 dní pro případ, že šlo o omyl,
- poté jsou nevratně smazány včetně souborů v úložišti a přihlašovacích účtů klientů,
- doklady, u nichž trvá zákonná povinnost archivace (účetnictví, 10 let), se uchovávají odděleně.
Trenér si může kdykoli před smazáním vyexportovat data svých klientů z aplikace.
10. Odpovědnost, rozhodné právo
Odpovědnost stran za újmu způsobenou zpracováním se řídí čl. 82 GDPR. Vůči Trenérovi se dále uplatní omezení odpovědnosti sjednané ve všeobecných obchodních podmínkách (čl. 23), nejde-li o újmu způsobenou úmyslně nebo z hrubé nedbalosti. Smlouva se řídí právem České republiky; spory rozhodují soudy České republiky.
Příloha A — Dílčí zpracovatelé
| Zpracovatel | Účel | Umístění | Podklad |
|---|---|---|---|
| Supabase, Inc. | databáze, autentizace | Německo (EU) | DPA zpracovatele (supabase.com/legal/dpa) |
| Vercel, Inc. | provoz aplikace | USA / edge síť | DPA + standardní smluvní doložky (vercel.com/legal/dpa) |
| Cloudflare, Inc. (R2) | úložiště souborů | EU (jurisdikční bucket) | DPA zpracovatele (cloudflare.com/cloudflare-customer-dpa) |
| Stripe Payments Europe, Ltd. | platby za předplatné Trenéra | Irsko / USA | DPA + standardní smluvní doložky (stripe.com/legal/dpa) |
| Resend, Inc. | odesílání e-mailů | USA | DPA + standardní smluvní doložky (resend.com/legal/dpa) |
Stripe zpracovává údaje Trenéra, ne jeho klientů — je zde uveden pro úplnost.
Příloha B — Technická a organizační opatření
- Oddělení dat jednotlivých Trenérů řízením přístupu na úrovni databáze (row level security); každý dotaz je omezen na účet, který ho pokládá.
- Šifrovaný přenos (TLS) a šifrované uložení dat u dílčích zpracovatelů.
- Soubory (fotografie, dokumenty) v privátním úložišti bez veřejného přístupu; zpřístupňují se jen odkazy s omezenou platností pro oprávněného uživatele.
- Auditní záznam přístupů k souborům a administrátorských zásahů.
- Ochrana přihlášení Klienta omezením počtu pokusů a dočasným uzamčením účtu; hesla a PINy se ukládají jen jako otisky.
- Bezpečnostní hlavičky a zásady pro spouštění skriptů (Content Security Policy) v aplikaci.
- Minimalizace ukládaných údajů; export a výmaz údajů Klienta dostupný Trenérovi přímo v aplikaci.
- Pravidelné aktualizace komponent a průběžné bezpečnostní přezkoumání.
Opatření se vyvíjejí s aplikací; aktuální stav Trainspace na vyžádání doloží.