Tieto zásady vysvetľujú spracúvanie osobných údajov v mobilnej a webovej službe Trely podľa GDPR a zákona č. 18/2018 Z. z. Cookies sú súčasťou tohto dokumentu, nie samostatnou politikou.
1. Prevádzkovateľ a rozsah
Rexly s. r. o. Sídlo: Račianska 14350/64B, 831 03 Bratislava, Slovenská republika IČO: 57 516 812 · DIČ: 2122791220 · IČ DPH: SK2122791220 Obchodný register Mestského súdu Bratislava III, oddiel Sro, vložka č. 197507/B E-mail: support@trely.eu · ochrana údajov: privacy@trely.eu Web: https://trely.eu
V tomto dokumente „my“, „nás“ a „Trely“ znamenajú Rexly s. r. o. Kontaktným miestom pre ochranu údajov je privacy@trely.eu. Posúdili sme čl. 37 GDPR a ku dňu účinnosti nemáme povinnosť určiť zodpovednú osobu; potrebu priebežne prehodnocujeme.
2. Naše postavenie
Pri údajoch účtu, verejného profilu, dopytov, predplatného, podpory, bezpečnosti a vlastnej prevádzky je Trely prevádzkovateľom. Pri údajoch klientov, ktoré do Trely vloží tréner, fyzioterapeut alebo iný profesionál, je tento profesionál prevádzkovateľom a Trely sprostredkovateľom podľa čl. 28 GDPR. Profesionál určuje účel, právny základ a informačnú povinnosť voči klientom. Povinnosti Trely ako sprostredkovateľa sú súčasťou oddielu 5 Podmienok používania, ktoré tréner prijíma spolu s týmto dokumentom. Pri spracúvaní kartovej platby koná Stripe podľa svojich podmienok a zásad ochrany údajov.
3. Aké údaje spracúvame
Identifikačné a kontaktné údaje; údaje účtu, verejného profilu, dopytov a predplatného; komunikáciu, chat a podporu; kalendár, rezervácie, tréningové a rehabilitačné plány; výšku, hmotnosť, BMI, telesné miery, ciele, zranenia, výsledky testov a progres; fotografie a súbory; IP adresu, identifikátory zariadenia, logy, verziu aplikácie a OS; fakturačné údaje, sumu, menu, stav a identifikátor platby, Stripe connected-account identifikátor a stav overenia. Údaje potrebné na overenie identity a platobného účtu zadáva tréner priamo Stripe. Trely nevidí úplné číslo platobnej karty. Trely nie je určené na spracúvanie údajov osôb mladších ako 16 rokov.
4. Účely, právne základy a lehoty
Účet a funkcie služby: plnenie zmluvy, počas účtu, následný výmaz alebo anonymizácia spravidla do 30 dní. Verejný profil a dopyty: plnenie zmluvy a kroky pred uzavretím dohody s trénerom; profil je verejný, kým ho tréner neskryje, a údaje dopytu uchovávame počas jeho vybavenia a následne 12 mesiacov od poslednej zmeny stavu dopytu, potom ich zmažeme. Ak klient zmaže účet, bezodkladne odstránime jeho prístup, kontaktné a profilové údaje, správy, progresové fotografie, merania, vstupné formuláre, súkromné poznámky viazané na jeho účet a tréningové záznamy viazané na klienta; poznámka zapísaná pri spoločnom skupinovom tréningu zostáva trénerovi, pretože patrí k tréningu, nie ku konkrétnej účastníčke. Historické rezervácie, platby a prevádzkový audit ostanú bez pôvodnej identity klienta. Klientske údaje: podľa pokynov profesionálneho používateľa. Podpora: zmluva alebo oprávnený záujem, 3 roky. Účtovníctvo a platobné záznamy: zákonná povinnosť, 10 rokov od konca príslušného účtovného obdobia. Predplatné a platby: plnenie zmluvy, bezpečnosť a prevencia podvodov, podľa zákonných lehôt a pravidiel Apple, Google, RevenueCat a Stripe. Uložená karta a súhlas s automatickými platbami: právnym základom je plnenie zmluvy. Samotnú kartu uchováva Stripe na účte trénera; Trely má iba identifikátor platobnej metódy, značku karty, posledné štyri číslice, dátum platnosti a záznam o súhlase (verzia textu, čas, suma, mena a termín). Údaje o karte Trely uchováva, kým klient kartu neodstráni, neodvolá súhlas alebo nezmaže účet; záznam o súhlase uchováva 3 roky od poslednej platby na jeho základe. E-maily o neúspešnej platbe a o potrebe overenia: právnym základom je plnenie zmluvy; odosiela ich služba Resend. Produktová analytika: oprávnený záujem na zlepšovaní bezpečnosti a použiteľnosti; používame pseudonymný identifikátor účtu, rolu, verziu aplikácie, OS a údaje o používaní funkcií, nie obsah chatu, fotografie ani zdravotné údaje. Doručovacia telemetria: 90 dní. História stavu rezervácie: 365 dní. Bezpečnostný a administrátorský audit: 2 roky. Prevádzkové logy a crash reporty v Sentry: 30 dní. Denné databázové zálohy: 7 dní. Dôkazy o vybavení práv dotknutých osôb a právnych súhlasoch uchovávame trvalo. Ak prebieha reklamácia, spor alebo úradné konanie, záznam uchovávame do jeho skončenia.
5. Údaje o zdraví a fotografie
Výška, hmotnosť, BMI, miery, zranenia, rehabilitácia, testy a progresové fotografie môžu byť osobitnou kategóriou údajov podľa čl. 9 GDPR. Právny základ, spravidla výslovný súhlas podľa čl. 9 ods. 2 písm. a), získava a preukazuje profesionálny používateľ. Trely ich ako sprostredkovateľ nepoužíva na marketing, profilovanie ani trénovanie modelov umelej inteligencie. Progresové fotografie a materiály, ktoré si vymieňate v aplikácii, nie sú verejné a prístup k nim riadi autentifikácia a pravidlá prístupu. Profilová fotografia trénera je však verejne dostupná: zobrazuje sa na verejnom profile a načítava sa z verejnej adresy, takže ju možno otvoriť aj bez prihlásenia. Ak tréner svoj profil skryje, prestane sa zobrazovať vo vyhľadávaní a na verejnom profile, ale samotná fotografia môže ostať dostupná cez známu adresu alebo z medzipamäte prehliadača či siete. Ak chce tréner fotografiu odstrániť, nahradí ju alebo zmaže v nastaveniach profilu.
6. Príjemcovia a prenosy
Supabase (EHP, Frankfurt) – databáza, autentifikácia a úložisko; RevenueCat – predplatné; Apple a Google – distribúcia, nákupy a push notifikácie; Stripe – overenie platobného účtu, uloženie karty pre automatické platby, kartové platby, vrátenia a prevencia podvodov; Resend – doručovanie e-mailov; Expo – push infraštruktúra; Sentry – diagnostika; PostHog – produktová analytika; Vercel – webhosting a meranie návštevnosti. Vyššie uvedený zoznam predstavuje všeobecne povolených subdodávateľov pre spracúvanie klientskych údajov; o podstatnej zmene informujeme trénera primerane vopred. Mimo EHP prenášame údaje len so zárukami kapitoly V GDPR, najmä EU–US Data Privacy Framework alebo štandardnými zmluvnými doložkami. Príjemcami môžu byť aj poradcovia a orgány verejnej moci, ak to vyžaduje zákon.
7. Bezpečnosť a incidenty
Používame TLS, šifrovanie údajov v pokoji, riadenie prístupov podľa minimálnych oprávnení, databázové pravidlá prístupu, monitorovanie, zálohy a bezpečnostné aktualizácie. Ako prevádzkovateľ oznamujeme relevantné porušenie dozornému orgánu spravidla do 72 hodín a pri vysokom riziku aj dotknutým osobám. Ako sprostredkovateľ informujeme profesionála bez zbytočného odkladu.
8. Vaše práva a zmazanie účtu
Máte právo na prístup, opravu, výmaz, obmedzenie, prenosnosť, námietku, odvolanie súhlasu a sťažnosť. Žiadosť pošlite na privacy@trely.eu; odpovieme spravidla do jedného mesiaca. Ak údaje vložil tréner, obráťte sa najprv na neho; Trely mu pri vybavení pomôže. Zrušenie predplatného nemaže účet. Účet môžete zmazať v aplikácii alebo žiadosťou na support@trely.eu. Praktický postup a vysvetlenie uchovávania sú na https://trely.eu/sk/zmazanie-uctu. Trely nevykonáva rozhodovanie podľa čl. 22 GDPR.
10. Zmeny, kontakt a dozorný orgán
Pri podstatných zmenách vás primerane informujeme. Aktuálna verzia je vždy na trely.eu. Dozorný orgán: Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, statny.dozor@pdp.gov.sk, +421 2 3231 3214, https://dataprotection.gov.sk. Záväzné je slovenské znenie.