Verze 1
Verze 1 — návrh k právní kontrole. Text pokrývá náležitosti čl. 28 odst. 3 GDPR a je psaný podle toho, co aplikace skutečně dělá. Nejsem právník; než ho nasadíš ostře, měl by ho projít někdo, kdo jím je. Místa k doplnění jsou ⟨…⟩.
Zpracovatel: ⟨obchodní firma⟩, IČO ⟨…⟩, se sídlem ⟨…⟩ (dále „Trainspace")
Správce: trenér, který smlouvu odsouhlasil ve svém účtu — identifikovaný jménem, e-mailem a identifikátorem účtu vedeným v aplikaci (dále „Trenér")
Smlouva se uzavírá elektronicky odsouhlasením v aplikaci. O přijetí se zaznamenává datum a čas, verze textu a zkrácená IP adresa.
Trenér je správcem osobních údajů svých klientů. Rozhoduje, jaké údaje o nich sbírá a k čemu. Trainspace je zpracovatelem — poskytuje technický prostředek a zpracovává údaje výhradně podle pokynů Trenéra.
Ve vztahu k údajům samotného Trenéra (jeho účet, fakturace, provozní logy) je Trainspace správcem; na tento vztah se tato smlouva nevztahuje a řídí se zásadami ochrany osobních údajů.
Smlouva trvá po dobu existence účtu Trenéra. Skončí spolu s ním; naložení s údaji po skončení upravuje článek 9.
Zpracování probíhá automatizovaně za účelem provozu aplikace pro vedení klientů osobního trenéra: evidence klientů, tréninkové a výživové plány, rezervace, permanentky, fotografie pokroku a zdravotní dotazník.
Klienti Trenéra.
Kategorie · Údaje
Identifikační a kontaktní · jméno, příjmení, e-mail, telefon, profilová fotografie
Tréninkové · plány, záznamy cvičení, rezervace, permanentky, poznámky trenéra
Výživové · jídelníčky, nutriční plány a deník, doplňky stravy
Zvláštní kategorie (čl. 9) · zdravotní dotazník PAR-Q, zdravotní profil, tělesné míry, fotografie postavy
Zvláštní kategorie vyžadují na straně Trenéra výslovný souhlas subjektu podle čl. 9 odst. 2 písm. a). Aplikace jej u dotazníku PAR-Q i u fotografií pokroku technicky vynucuje.
a) Pokyny. Trainspace zpracovává údaje pouze podle doložených pokynů Trenéra. Pokynem se rozumí i běžné užívání aplikace. Pokud by pokyn porušoval právní předpisy, Trainspace na to Trenéra upozorní.
b) Mlčenlivost. Osoby na straně Trainspace s přístupem k údajům jsou vázány mlčenlivostí.
c) Zabezpečení (čl. 32). Trainspace udržuje technická a organizační opatření popsaná v gdpr.md — zejména řízení přístupu na úrovni databáze, privátní úložiště souborů s odkazy s omezenou platností, auditní záznam přístupu k souborům a minimalizaci ukládaných údajů.
d) Další zpracovatelé. Trainspace využívá dílčí zpracovatele uvedené v příloze A. Trenér s nimi vyslovuje obecný souhlas. O zamýšlené změně bude Trainspace informovat předem, aby proti ní mohl Trenér vznést námitku.
e) Součinnost při právech subjektů. Aplikace poskytuje Trenérovi nástroje k vyřízení žádostí: export dat klienta (čl. 20), výmaz klienta včetně souborů (čl. 17), evidenci a odvolání souhlasů. Žádosti subjektů směřují na Trenéra jako správce.
f) Součinnost podle čl. 32–36. Trainspace poskytuje Trenérovi součinnost při zabezpečení, ohlašování porušení a posouzení vlivu.
g) Naložení po skončení. Viz článek 9.
h) Doložení a audit. Trainspace poskytne Trenérovi informace nezbytné k doložení plnění povinností. Dokumentace v /docs je pro tento účel aktualizována.
Trainspace ohlásí Trenérovi porušení zabezpečení bez zbytečného odkladu poté, co se o něm dozví, aby Trenér mohl dodržet lhůtu 72 hodin podle čl. 33. Ohlášení obsahuje popis povahy porušení, dotčené kategorie a přibližný počet subjektů, pravděpodobné důsledky a přijatá opatření.
⟨Doplnit kontaktní kanál pro ohlášení.⟩
Údaje jsou zpracovávány primárně v EU. U dílčích zpracovatelů mimo EU se předávání opírá o standardní smluvní doložky — viz příloha A.
Po zrušení účtu Trenéra:
- přístup do aplikace končí okamžitě,
- údaje zůstávají uloženy 30 dní pro případ, že šlo o omyl,
- poté jsou nevratně smazány včetně souborů v úložišti a přihlašovacích účtů klientů,
- doklady, u nichž trvá zákonná povinnost archivace (účetnictví, 10 let), se uchovávají odděleně.
Trenér si může kdykoli před smazáním vyexportovat data svých klientů z aplikace.
⟨Doplnit — limitace odpovědnosti, sankce, rozhodné právo, řešení sporů. Zde nechávám prostor právníkovi; navrhovat konkrétní limitaci odpovědnosti bez znalosti pojištění a obchodního modelu by bylo víc škodlivé než užitečné.⟩
Zpracovatel · Účel · Umístění · Podklad
Supabase · databáze, autentizace · Německo (EU) · DPA ⟨doložit⟩
Vercel · provoz aplikace · USA / edge · DPA + SCC ⟨doložit⟩
Cloudflare R2 · úložiště souborů · EU (jurisdikční bucket) · DPA ⟨doložit⟩
Stripe · platby za předplatné Trenéra · USA / Irsko · DPA + SCC ⟨doložit⟩
Resend · odesílání e-mailů · USA · DPA + SCC ⟨doložit⟩
Stripe zpracovává údaje Trenéra, ne jeho klientů — je zde uveden pro úplnost.
Viz gdpr.md, oddíl „Technická a organizační opatření". Příloha odkazuje na živý dokument záměrně: opatření se mění s aplikací a příloha, která se aktualizuje jen při podpisu, je po roce nepravdivá.
1. Identifikace zpracovatele (firma, IČO, sídlo) a kontakt pro GDPR agendu.
2. Článek 10 — odpovědnost, rozhodné právo, řešení sporů.
3. Doložit DPA u všech pěti dílčích zpracovatelů. Region Supabase ověřen: Německo (EU).
4. Právní kontrola celého textu.
5. Zásady ochrany osobních údajů a obchodní podmínky — samostatné dokumenty, na které smlouva navazuje a které dosud také neexistují.