Zásady zpracování osobních údajů
Tenhle dokument popisuje, co přesně se děje s tvými údaji, když si u nás založíš účet, rezervuješ lekci nebo přihlásíš dítě do MOVEKIDS. Je psaný tak, aby odpovídal skutečnosti – ne aby vypadal dobře. Zpracování probíhá podle nařízení GDPR (EU 2016/679) a zákona č. 110/2019 Sb., o zpracování osobních údajů.
1. Kdo je správce a jak nás kontaktovat
Správci tvých osobních údajů – tedy těmi, kdo rozhodují, proč a jak se zpracovávají – jsou dva provozovatelé gymu:
- Ing. Tomáš Černohous – fyzická osoba podnikající (OSVČ), neplátce DPH, IČO 75687003, sídlo Banskobystrická 592/165, 621 00 Brno-Řečkovice
- Veronika Černohousová – fyzická osoba podnikající (OSVČ), neplátce DPH, IČO 75286211, sídlo Na Rybízárně 607/31, 621 00 Brno-Ivanovice
- Provozovna (gym): V Újezdech 569/7, 621 00 Brno-Medlánky
- E-mail: [email protected] · Telefon: +420 603 861 051
Každý z nich podniká sám na sebe a smlouvu o lekci uzavíráš vždy jen s jedním z nich. Rezervační systém, členská sekce a evidence docházky jsou ale společné, takže v nich oba vystupují jako společní správci podle článku 26 GDPR. Pro tebe z toho plyne to podstatné:
- Svá práva (kapitola 6) můžeš uplatnit u kteréhokoli z nich. Nemusíš řešit, ke komu chodíš cvičit ani kdo zrovna vedl tvoji lekci.
- Kontaktní místo pro všechno kolem údajů je jedno: [email protected].
- Odpovědnost vůči tobě nesou oba, i když si mezi sebou rozdělili, kdo co obstarává.
Nejmenovali jsme pověřence pro ochranu osobních údajů (DPO) – zákon nám to jako malému provozovateli neukládá. Ve všech otázkách kolem svých údajů piš přímo na [email protected].
2. Přehled – co, proč, na jakém základě a jak dlouho
Podrobnosti ke každému řádku najdeš v kapitolách níže.
| Co zpracováváme | Proč | Právní základ | Jak dlouho |
|---|---|---|---|
| Jméno, e-mail, telefon, otisk hesla | Vedení účtu v členské sekci | Plnění smlouvy (čl. 6/1/b) |
Po dobu existence účtu |
| Rezervace, storna, docházka, neúčast | Rezervační systém a kapacita lekcí | Plnění smlouvy (čl. 6/1/b) |
Po dobu existence účtu |
| Permanentky a čerpání vstupů | Evidence předplacených vstupů | Plnění smlouvy (čl. 6/1/b) |
Po dobu existence účtu |
| Fakturační údaje, platby | Vystavení dokladu, účetnictví | Zákonná povinnost (čl. 6/1/c) |
Dle daňových předpisů (zpravidla 5–10 let) |
| Odeslané e-maily a SMS (adresát, obsah) | Doklad o tom, že zpráva odešla | Oprávněný zájem (čl. 6/1/f) |
90 dní, pak automaticky mazáno |
| Poznámky trenéra ke klientovi | Kvalita a bezpečnost tréninku | Oprávněný zájem, u údajů o zdraví tvůj souhlas | Po dobu existence účtu |
| IP adresa, typ prohlížeče, časy přihlášení | Zabezpečení, ochrana proti zneužití | Oprávněný zájem (čl. 6/1/f) |
Hodiny až 30 dní |
| Odběr push notifikací | Upozornění na zrušení lekce a připomínky | Souhlas (čl. 6/1/a) |
Do odvolání / odhlášení |
| Přihláška dítěte do MOVEKIDS | Zápis do kurzu a platba | Plnění smlouvy s rodičem (čl. 6/1/b) |
Po dobu kurzu + účetní lhůty |
3. Co přesně zpracováváme
3.1 Účet v členské sekci
Při registraci zadáváš jméno, e-mail, telefon a heslo. Telefon vyžadujeme proto, abychom ti stihli dát vědět, když se lekce na poslední chvíli ruší.
Heslo neukládáme. Ukládá se jen jeho nevratný kryptografický otisk, ze kterého nejde heslo zpětně získat. Otisk se navíc počítá už ve tvém prohlížeči, takže se heslo v čitelné podobě nikdy nedostane ani na náš server.
3.2 Rezervace, docházka a permanentky
Evidujeme, které lekce sis rezervoval(a), kdy jsi rezervaci zrušil(a), zda ses dostavil(a) (check-in v gymu) a případnou neúčast bez omluvy. Dále vedeme tvé permanentky a čerpání vstupů. Bez těchto údajů rezervační systém nemůže fungovat.
3.3 Platby a doklady
Když ti vystavíme fakturu, zpracováváme fakturační údaje, částku, variabilní symbol a stav platby. Pokud provozovatel využívá automatické párování plateb, načítáme z bankovního účtu informace o příchozích platbách (částka, variabilní symbol, datum) – nikdy nemáme přístup k tvému bankovnímu účtu, jen k pohybům na účtu gymu.
3.4 Komunikace, kterou ti posíláme
Systém ti automaticky posílá provozní zprávy: uvítací e-mail, potvrzení rezervace, připomínku před lekcí, upozornění na zrušení lekce, blížící se konec platnosti permanentky a obnovu hesla.
O každé odeslané zprávě si vedeme záznam včetně adresáta a obsahu – abychom dokázali doložit, že upozornění (třeba o zrušené lekci) skutečně odešlo. Tyto záznamy se automaticky mažou po 90 dnech.
3.5 Poznámky trenéra
Trenér si k tvému profilu může zapsat poznámku k tréninku. Je to volné textové pole, takže tam může skončit i informace o zdravotním omezení – například že tě bolí záda a nemáš zatěžovat páteř.
Údaje o zdravotním stavu jsou podle čl. 9 GDPR zvláštní kategorií údajů. Zapisujeme je jen tehdy, když nám je sám/sama sdělíš a se zápisem souhlasíš – typicky proto, aby s tím trenér mohl počítat při vedení lekce. Souhlas můžeš kdykoli odvolat a poznámku necháš smazat; napiš na [email protected] nebo to řekni přímo v gymu. K poznámkám má přístup pouze provozovatel a trenéři.
3.6 Technické a bezpečnostní údaje
Abychom web ubránili před zneužitím, zpracováváme:
- IP adresu – u přihlášení, registrace a obnovy hesla, kvůli omezení počtu pokusů. Ukládá se dočasně (v řádu hodin) a pak se automaticky maže.
- Označení prohlížeče a zařízení (user agent) a čas přihlášení – u aktivních přihlášení, abys poznal(a) cizí přístup a mohl(a) odhlásit ostatní zařízení.
- IP adresu u administrátorských úkonů – v provozním protokolu (kdo v gymu provedl jakou změnu). Týká se personálu, ne návštěvníků webu.
Nepoužíváme žádnou analytiku ani měření návštěvnosti. Nesledujeme, po kterých stránkách se pohybuješ, a neprofilujeme tě.
3.7 Push notifikace
Pokud si v členské sekci zapneš upozornění do prohlížeče, uložíme si technickou adresu odběru a šifrovací klíče, které tvůj prohlížeč vytvoří. Bez nich by notifikaci nešlo doručit ani zašifrovat. Je to dobrovolné – odběr kdykoli vypneš v členské sekci nebo v nastavení prohlížeče a záznam smažeme. Neplatné odběry systém maže sám.
4. MOVEKIDS – údaje o dětech
U dětských kurzů zpracováváme jméno dítěte a věkovou skupinu spolu s kontaktními údaji rodiče (jméno, e-mail, telefon). Přihlášku vždy podává rodič nebo zákonný zástupce a smlouva o kurzu vzniká s ním.
Přihlašovat dítě smí pouze jeho rodič nebo zákonný zástupce. Údaje o dítěti používáme jen k zápisu do kurzu, k organizaci lekcí a k platbě kurzovného. Nepředáváme je nikomu dalšímu a nepoužíváme je k žádnému marketingu.
Fotografie a videa z lekcí zveřejňujeme jen se samostatným souhlasem rodiče. Souhlas je dobrovolný, nemá vliv na účast dítěte v kurzu a můžeš ho kdykoli odvolat – fotku pak z webu i sociálních sítí stáhneme.
Práva podle kapitoly 8 (přístup, oprava, výmaz a další) uplatňuje za dítě jeho zákonný zástupce.
5. Komu údaje předáváme
Osobní údaje neprodáváme, nepronajímáme ani nepředáváme pro cizí marketing. Zpřístupňujeme je jen těmto zpracovatelům, bez kterých by web nemohl fungovat:
| Komu | Co dostane | Proč |
|---|---|---|
| Cloudflare, Inc. | Veškerá data webu a databáze | Hosting webu a databáze, ochrana proti útokům |
| Resend, Inc. | E-mailová adresa a obsah zprávy | Doručování provozních e-mailů |
| Provozovatel tvého prohlížeče (Google, Mozilla, Apple) |
Technická adresa odběru a zašifrovaná zpráva | Doručení push notifikace – jen když si ji zapneš |
| Google Ireland Ltd. | IP adresa při zobrazení mapy | Mapa na stránce Kontakt – viz kapitola 10 |
Údaje můžeme dále předat účetní kanceláři (daňové doklady) a v nezbytném rozsahu právnímu zástupci nebo orgánu veřejné moci, pokud nám to ukládá zákon nebo je to nutné k uplatnění našich nároků.
6. Předávání mimo Evropskou unii
Cloudflare i Resend jsou společnosti se sídlem ve Spojených státech, takže ke zpracování může docházet i mimo EU. Databáze webu je uložena v evropském regionu, přenos je chráněn standardními smluvními doložkami schválenými Evropskou komisí, případně jiným nástrojem podle kapitoly V GDPR. Aktuální podmínky ti na vyžádání doložíme.
7. Jak dlouho údaje držíme
- Účet, rezervace, docházka, permanentky – po dobu, kdy účet používáš. Po zrušení účtu je smažeme, s výjimkou údajů, které musíme držet ze zákona (viz níže).
- Faktury a doklady o platbách – po dobu stanovenou daňovými a účetními předpisy (zpravidla 5–10 let). Tuto lhůtu nemůžeme zkrátit ani na tvou žádost.
- Záznamy o odeslaných zprávách – 90 dní, pak je systém automaticky maže.
- Přihlášení – nejdéle 30 dní od přihlášení, pak platnost vyprší a záznam se maže.
- Odkaz pro obnovu hesla – 1 hodina, poté je neplatný. Po použití se maže.
- Bezpečnostní počítadla s IP adresou – v řádu hodin.
Mazání starých záznamů probíhá automaticky, ne ručně – nespoléháme na to, že si na to někdo vzpomene.
8. Tvoje práva
Vůči svým údajům máš tato práva:
- Přístup – chtít potvrzení, jestli tvé údaje zpracováváme, a dostat jejich kopii.
- Oprava – nechat opravit nepřesný nebo doplnit neúplný údaj.
- Výmaz („právo být zapomenut") – pokud už údaje nepotřebujeme k účelu, pro který jsme je získali, nebo odvoláš souhlas.
- Omezení zpracování – například po dobu, kdy prověřujeme tvou námitku.
- Přenositelnost – dostat údaje ve strojově čitelném formátu, případně je nechat předat jinému správci.
- Námitka – proti zpracování založenému na oprávněném zájmu. Pokud neprokážeme závažný oprávněný důvod, zpracování ukončíme.
- Odvolání souhlasu – kdykoli, tam kde zpracováváme na základě souhlasu (push notifikace, poznámky o zdraví, fotografie). Odvolání nemá vliv na zákonnost předchozího zpracování.
- Nebýt předmětem automatizovaného rozhodování – viz kapitola 11.
Napiš na [email protected]. Ozveme se nejpozději do jednoho měsíce; u složitějších žádostí smíme lhůtu prodloužit o další dva měsíce, o čemž tě vyrozumíme. Vyřízení je zdarma. Abychom údaje nevydali cizímu člověku, můžeme tě požádat o ověření totožnosti.
Nejsi-li s vyřízením spokojen(a), můžeš se obrátit na dozorový úřad: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.
9. Je poskytnutí údajů povinné?
Ze zákona ne – ale bez některých údajů ti nemůžeme poskytnout službu:
- Jméno, e-mail a heslo jsou nutné k založení účtu. Bez nich účet nevznikne.
- Telefon potřebujeme, abychom tě zastihli při zrušení lekce na poslední chvíli.
- Fakturační údaje jsou nutné, pokud chceš doklad pro zaměstnavatele.
- Push notifikace a poznámky o zdraví jsou zcela dobrovolné – bez nich funguje všechno ostatní úplně stejně.
Lekci si u nás můžeš zarezervovat i osobně nebo telefonicky, bez zakládání účtu.
10. Cookies a mapa
Web používá pouze nezbytné cookies. Žádné analytické, sledovací ani reklamní cookies tu nejsou a nikoho tu neměříme.
mg_session– udržuje tvoje přihlášení. Nastaví se až ve chvíli, kdy se přihlásíš, je označená jako HttpOnly (nepřečte ji skript v prohlížeči) a platí 30 dní.- localStorage prohlížeče – pamatuje si, že jsi vzal(a) na vědomí lištu o cookies, a drobné předvolby. Tyhle údaje zůstávají ve tvém zařízení a neodesílají se nám.
Nezbytné cookies podle zákona nevyžadují souhlas. Smazat je můžeš kdykoli v nastavení prohlížeče – pak se ale budeš muset znovu přihlásit.
Mapa na stránce Kontakt se načítá ze serverů Google Maps. Ve chvíli, kdy se mapa zobrazí, se Googlu odešle tvoje IP adresa a Google si může do tvého prohlížeče uložit vlastní cookies – to už je zpracování, nad kterým nemáme kontrolu; řídí se zásadami ochrany soukromí Google. Zbytek webu funguje bez map úplně stejně.
11. Automatizované rozhodování a profilování
Neprovádíme automatizované rozhodování, které by pro tebe mělo právní účinky nebo se tě podobně významně dotýkalo, ani tě neprofilujeme. Systém sice některé kroky dělá sám (rozešle připomínku, posune tě z čekačky na uvolněné místo, označí neúčast), ale jde o jednoduché provozní úkony podle pevných pravidel – žádné vyhodnocování tvé osobnosti, chování ani platební morálky.
12. Jak jsou údaje zabezpečené
- Veškerá komunikace s webem běží šifrovaně přes HTTPS.
- Hesla jsou uložena jen jako nevratný otisk, nikdy v čitelné podobě.
- Přihlašovací token je v databázi uložen také jen jako otisk.
- Do administrace se dostane pouze provozovatel a pověřený personál; každý zásah se zaznamenává do provozního protokolu.
- Počet pokusů o přihlášení je omezen, aby nešlo hesla uhodnout hrubou silou.
13. Změny těchto zásad
Zásady můžeme čas od času upravit – třeba když přibude nová funkce. Aktuální znění je vždy na této adrese a je u něj uvedeno datum účinnosti. Při podstatné změně registrované uživatele upozorníme e-mailem.