Tieto zásady vysvetľujú spracúvanie osobných údajov v mobilnej a webovej službe Trely podľa GDPR a zákona č. 18/2018 Z. z. Cookies sú súčasťou tohto dokumentu, nie samostatnou politikou.
1. Prevádzkovateľ a rozsah
Rexly s. r. o. Sídlo: Račianska 14350/64B, 831 03 Bratislava, Slovenská republika IČO: 57 516 812 · DIČ: 2122791220 · IČ DPH: SK2122791220 Obchodný register Mestského súdu Bratislava III, oddiel Sro, vložka č. 197507/B E-mail: support@trely.eu · ochrana údajov: privacy@trely.eu Web: https://trely.eu
V tomto dokumente „my“, „nás“ a „Rexly“ znamenajú Rexly s. r. o. Kontaktným miestom pre ochranu údajov je privacy@trely.eu. Posúdili sme čl. 37 GDPR a ku dňu účinnosti nemáme povinnosť určiť zodpovednú osobu; potrebu priebežne prehodnocujeme.
2. Naše postavenie
Pri údajoch účtu, verejného profilu, dopytov, predplatného, podpory, bezpečnosti a vlastnej prevádzky je Rexly prevádzkovateľom. Pri údajoch klientov, ktoré do Trely vloží tréner, fyzioterapeut alebo iný profesionál, je tento profesionál prevádzkovateľom a Rexly sprostredkovateľom podľa čl. 28 GDPR. Profesionál určuje účel, právny základ a informačnú povinnosť voči klientom. Povinnosti Rexly ako sprostredkovateľa sú súčasťou oddielu 5 Podmienok používania, ktoré tréner prijíma spolu s týmto dokumentom. Pri spracúvaní kartovej platby koná Stripe podľa svojich podmienok a zásad ochrany údajov.
3. Aké údaje spracúvame
Identifikačné a kontaktné údaje; údaje účtu, verejného profilu, dopytov a predplatného; komunikáciu, chat a podporu; kalendár, rezervácie, tréningové a rehabilitačné plány; výšku, hmotnosť, BMI, telesné miery, ciele, zranenia, výsledky testov a progres; fotografie a súbory; IP adresu, identifikátory zariadenia, logy, verziu aplikácie a OS; fakturačné údaje, sumu, menu, stav a identifikátor platby, Stripe connected-account identifikátor a stav overenia. Údaje potrebné na overenie identity a platobného účtu zadáva tréner priamo Stripe. Rexly nevidí úplné číslo platobnej karty. Trely nie je určené na spracúvanie údajov osôb mladších ako 16 rokov.
4. Účely, právne základy a lehoty
Účet a funkcie služby: plnenie zmluvy, počas účtu, následný výmaz alebo anonymizácia spravidla do 30 dní. Verejný profil a dopyty: plnenie zmluvy a kroky pred uzavretím dohody s trénerom; profil je verejný, kým ho tréner neskryje, a údaje dopytu uchovávame počas jeho vybavenia a následne 12 mesiacov od poslednej zmeny stavu dopytu, potom ich zmažeme. Ak klient zmaže účet, bezodkladne odstránime jeho prístup, kontaktné a profilové údaje, správy, progresové fotografie, merania, vstupné formuláre, súkromné poznámky a tréningové záznamy viazané na klienta; historické rezervácie, platby a prevádzkový audit ostanú bez pôvodnej identity klienta. Klientske údaje: podľa pokynov profesionálneho používateľa. Podpora: zmluva alebo oprávnený záujem, 3 roky. Účtovníctvo: zákonná povinnosť, 10 rokov. Predplatné a platby: plnenie zmluvy, bezpečnosť a prevencia podvodov, podľa zákonných lehôt a pravidiel Apple, Google, RevenueCat a Stripe. Produktová analytika: oprávnený záujem na zlepšovaní bezpečnosti a použiteľnosti; používame pseudonymný identifikátor účtu, rolu, verziu aplikácie, OS a údaje o používaní funkcií, nie obsah chatu, fotografie ani zdravotné údaje. Prevádzkové logy: oprávnený záujem, 90 dní; crash reporty: 180 dní. Zálohy sa cyklicky prepíšu najneskôr do 30 dní.
5. Údaje o zdraví a fotografie
Výška, hmotnosť, BMI, miery, zranenia, rehabilitácia, testy a progresové fotografie môžu byť osobitnou kategóriou údajov podľa čl. 9 GDPR. Právny základ, spravidla výslovný súhlas podľa čl. 9 ods. 2 písm. a), získava a preukazuje profesionálny používateľ. Rexly ich ako sprostredkovateľ nepoužíva na marketing, profilovanie ani trénovanie modelov umelej inteligencie. Fotografie v Supabase Storage nie sú verejné a prístup riadi autentifikácia a pravidlá prístupu.
6. Príjemcovia a prenosy
Supabase (EHP, Frankfurt) – databáza, autentifikácia a úložisko; RevenueCat – predplatné; Apple a Google – distribúcia, nákupy a push notifikácie; Stripe – overenie platobného účtu, kartové platby, vrátenia a prevencia podvodov; Resend – doručovanie e-mailov; Expo – push infraštruktúra; Sentry – diagnostika; PostHog – produktová analytika; Vercel – webhosting a meranie návštevnosti. Vyššie uvedený zoznam predstavuje všeobecne povolených subdodávateľov pre spracúvanie klientskych údajov; o podstatnej zmene informujeme trénera primerane vopred. Mimo EHP prenášame údaje len so zárukami kapitoly V GDPR, najmä EU–US Data Privacy Framework alebo štandardnými zmluvnými doložkami. Príjemcami môžu byť aj poradcovia a orgány verejnej moci, ak to vyžaduje zákon.
7. Bezpečnosť a incidenty
Používame TLS, šifrovanie údajov v pokoji, riadenie prístupov podľa minimálnych oprávnení, databázové pravidlá prístupu, monitorovanie, zálohy a bezpečnostné aktualizácie. Ako prevádzkovateľ oznamujeme relevantné porušenie dozornému orgánu spravidla do 72 hodín a pri vysokom riziku aj dotknutým osobám. Ako sprostredkovateľ informujeme profesionála bez zbytočného odkladu.
8. Vaše práva a zmazanie účtu
Máte právo na prístup, opravu, výmaz, obmedzenie, prenosnosť, námietku, odvolanie súhlasu a sťažnosť. Žiadosť pošlite na privacy@trely.eu; odpovieme spravidla do jedného mesiaca. Ak údaje vložil tréner, obráťte sa najprv na neho; Rexly mu pri vybavení pomôže. Zrušenie predplatného nemaže účet. Účet môžete zmazať v aplikácii alebo žiadosťou na support@trely.eu. Praktický postup a vysvetlenie uchovávania sú na https://trely.eu/sk/zmazanie-uctu. Trely nevykonáva rozhodovanie podľa čl. 22 GDPR.
10. Zmeny, kontakt a dozorný orgán
Pri podstatných zmenách vás primerane informujeme. Aktuálna verzia je vždy na trely.eu. Dozorný orgán: Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, statny.dozor@pdp.gov.sk, +421 2 3231 3214, https://dataprotection.gov.sk.