Zásady ochrany osobních údajů

Kiptly („my“, „náš“, „Služba“) je fitness aplikace ke sledování tréninků pro iOS a Android, spolu s jejím marketingovým webem kiptly.com. Tyto Zásady ochrany osobních údajů vysvětlují, jak shromažďujeme, používáme, sdílíme a chráníme tvé osobní údaje a jaká práva máš podle obecného nařízení EU o ochraně osobních údajů (GDPR).

Správce osobních údajů: Aliaksandr Samuseu, fyzická osoba s bydlištěm v Polsku. Kontakt: [email protected].

1. Jaké údaje shromažďujeme

Shromažďujeme pouze údaje nezbytné k poskytování Služby. Kategorie:

• Údaje o účtu: jméno, e-mailová adresa a profilová fotografie, které získáváme, když se přihlásíš přes Google nebo Apple.
• Údaje o trénincích: cviky, série, opakování, váha, doba trvání, poznámky a osobní rekordy, které zaznamenáváš ve Službě.
• Tělesné míry (nepovinné): tělesná hmotnost, procento tělesného tuku a obvody, pokud se je rozhodneš zadat.
• Údaje o zdravotním stavu – zvláštní kategorie (čl. 9 GDPR): údaje o menstruačním cyklu, které zadáváš (pokud zapneš trénink přizpůsobený cyklu), a údaje o regeneraci, které zadáváš – délka a kvalita spánku, klidová tepová frekvence a variabilita srdeční frekvence. Zpracovávají se pouze poté, co ve Službě udělíš výslovný souhlas.
• Kroky a spánek z Apple Health nebo Health Connect (volitelné): pouze pokud na kartě „Kroky a spánek“ v aplikaci klepneš na „Připojit“ a povolíš přístup, aplikace načte z Apple Health (iOS) nebo Health Connect (Android) tvůj denní počet kroků a délku spánku za posledních 7 dní a zobrazí ti je na této kartě. Tyto hodnoty zůstávají v tvém zařízení; my je nedostáváme. Dostáváme pouze informaci, zda se našly nějaké kroky a zda se našel nějaký spánek – ano, nebo ne pro každé z nich –, a zda tvé zařízení používá iOS, nebo Android. Karta z Apple Health ani Health Connect nenačítá nic jiného a nic do nich nezapisuje. Tréninky ukládané do Apple Health nebo Health Connect (volitelné): pouze pokud v nastavení aplikace zapneš ukládání tréninků a povolíš ho, aplikace uloží do Apple Health nebo Health Connect každý trénink, který potom na tomto telefonu dokončíš, jako silový trénink s časem začátku a konce – bez cviků, sérií, vah a kalorií. Aplikace to zapisuje v tvém zařízení do zvoleného úložiště; my o tom nic nedostáváme a samotný přepínač je uložený v tvém telefonu. Trénink smazaný v aplikaci zmizí i odtamtud; už uložené tréninky tam zůstanou i po vypnutí přepínače, dokud je tam nesmažeš. Trénink zaznamenaný v aplikaci Kiptly na Apple Watch ukládají do Apple Health samy hodinky – spolu s tepem a aktivní energií naměřenými během tréninku; telefon ho podruhé neukládá.
• Údaje o zařízení: token pro push oznámení, časové pásmo, verze operačního systému a verze aplikace.
• Záznamy o přihlášení: pokaždé, když se přihlásíš, zaznamenáme způsob přihlášení (Google, Apple nebo e-mail), popis zařízení, který odesílá tvůj prohlížeč nebo aplikace, IP adresu připojení a čas zahájení a ukončení relace. Uchováváme je proto, abychom ti umožnili odhalit přihlášení, které nebylo tvoje, a aby bylo možné ukončit odcizené relace. Tyto záznamy uchováváme po dobu 90 dnů od vypršení relace; relace, ve které tvé přihlášení stále trvá, se nikdy neodstraňuje.
• Diagnostické údaje: hlášení o pádech a záznamy o chybách, včetně výpisu zásobníku, typu zařízení, verze OS, verze aplikace a tvého anonymizovaného ID účtu. Tvůj e-mail, jméno ani obsah tréninků do diagnostických údajů nezaznamenáváme.

2. Právní základ zpracování

Podle čl. 6 GDPR (a u údajů o zdravotním stavu podle čl. 9 GDPR) se opíráme o tyto právní základy:

• Plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR): zpracování údajů o účtu, trénincích a předplatném je nezbytné k poskytování Služby, ke které máš registraci.
• Oprávněné zájmy (čl. 6 odst. 1 písm. f) GDPR): bezpečnost, prevence podvodů, diagnostika pádů a chyb; produktové e-maily (například připomínky zkušebního období, pozvánky na tréninky od trenérů a přátel, připomínky vstupního dotazníku a souhrny tréninků); anonymní analýza používání produktu pomocí služby Amplitude (viz oddíl 5). Naším zájmem je udržovat Službu stabilní a bezpečnou, informovat tě o ní a zlepšovat ji. Kdykoli můžeš vznést námitku: každý produktový e-mail obsahuje odkaz pro odhlášení odběru a analýzu používání můžeš vypnout v Nastavení aplikace. Nikdy neposíláme reklamu třetích stran.
• Souhlas (čl. 6 odst. 1 písm. a) GDPR): push oznámení a jakékoli další nepovinné zpracování, ke kterému si od tebe výslovně vyžádáme souhlas. Souhlas můžeš kdykoli odvolat; odvoláním souhlasu není dotčena zákonnost předchozího zpracování.
• Výslovný souhlas (čl. 9 odst. 2 písm. a) GDPR): údaje o zdravotním stavu. Sledování cyklu a údaje o regeneraci, které zadáváš, pokrývá jeden souhlas; kroky a spánek z Apple Health nebo Health Connect samostatný souhlas, který udělíš klepnutím na „Připojit“. Každý z nich můžeš kdykoli odvolat v aplikaci, aniž by se to dotklo druhého.

3. Jak tvé údaje používáme

• Zobrazování tvých tréninků, pokroku a statistik ve Službě.
• Pokud připojíš Apple Health nebo Health Connect: zobrazení tvých kroků a spánku za posledních 7 dní na kartě „Kroky a spánek“ a využití informace, zda se nějaké našly, ke zlepšování této funkce – například k rozhodnutí, zda vytvořit podrobnější přehled kroků a spánku.
• Synchronizace tvých údajů mezi tvými zařízeními.
• Zasílání push oznámení, která povolíš (připomínky tréninků, zprávy od trenéra), a našich e-mailů: transakčních, jako jsou potvrzení, a produktových, jejichž odběr můžeš kdykoli odhlásit.
• Zvyšování spolehlivosti, diagnostika pádů a oprava chyb pomocí anonymizovaných diagnostických údajů.
• Odhalování podvodů a zneužívání, včetně zneužívání předplatného a porušování Podmínek používání.

4. Zdravotní a fitness údaje – zvláštní upozornění

• Údaje o zdravotním stavu zpracováváme pouze s tvým výslovným souhlasem, který uděluješ odděleně od přijetí Podmínek používání.
• Apple Health a Health Connect: aplikace načítá pouze kroky a spánek, pouze poté, co klepneš na „Připojit“ a povolíš přístup, a pouze proto, aby ti je zobrazila a zlepšovala tuto funkci. Nic z toho se nedostane k inzerentům ani k obchodníkům s daty, ani ke službám pro analytiku a hlášení pádů z oddílu 5 (Amplitude, Sentry), a nic z toho se nezobrazí tvému trenérovi. Připojení můžeš kdykoli zrušit v aplikaci a samotný přístup odvolat v nastavení Apple Health nebo Health Connect v zařízení. Zapisuje do nich jen tréninky popsané výše, a to jen poté, co to zapneš v nastavení aplikace.
• Zdravotní ani fitness údaje nikdy nepoužíváme pro účely reklamy, marketingu ani dolování dat.
• Zdravotní ani fitness údaje nikdy nepoužíváme k rozhodování o způsobilosti pro zaměstnání, pojištění, úvěr či bydlení.
• Osobní zdravotní údaje nikdy neukládáme do služby iCloud ani do žádného spotřebitelského cloudu třetí strany. Tvé zdravotní údaje jsou uloženy na našich spravovaných serverech v EU (Hetzner, Německo), jak je popsáno v oddílu 5, a replikují se pouze do našeho šifrovaného záložního úložiště, které je tam popsáno.
• Tvé údaje nikdy neprodáváme třetím stranám a nesdílíme je s inzerenty.

5. Externí poskytovatelé služeb

Za účelem provozu Služby sdílíme údaje s omezeným počtem poskytovatelů služeb. Ti z nich, kteří je pro nás zpracovávají, jsou vázáni smlouvou o zpracování osobních údajů (DPA) v souladu s čl. 28 GDPR:

• Google Sign-In a Apple Sign-In: ověřování uživatelů, pokud se přihlásíš přes Google nebo Apple. Toto přihlášení se řídí vlastními zásadami ochrany osobních údajů společností Google a Apple. Vyměňované údaje: přihlašovací token, e-mail, jméno, avatar.
• RevenueCat (USA): správa životního cyklu předplatného. Sdílené údaje: anonymizované ID uživatele, stav předplatného. Předávání probíhá na základě rámce EU–US Data Privacy Framework a standardních smluvních doložek.
• Firebase Cloud Messaging (USA): doručování push oznámení. Sdílené údaje: push token. Předávání probíhá na základě rámce EU–US Data Privacy Framework a standardních smluvních doložek.
• Resend (USA): doručování našich e-mailů, a to jak transakčních (potvrzení, obnovení hesla, důležitá oznámení týkající se účtu), tak produktových (například připomínky zkušebního období a vstupního dotazníku, pozvánky na tréninky, souhrny tréninků). Sdílené údaje: e-mailová adresa, obsah zprávy. Předávání probíhá na základě rámce EU–US Data Privacy Framework a standardních smluvních doložek.
• Sentry (USA): hlášení pádů a chyb. Sdílené údaje: výpis zásobníku, typ zařízení, verze OS, verze aplikace, anonymizované ID účtu. E-mail, jméno ani obsah tréninků do služby Sentry nepředáváme. Předávání probíhá na základě rámce EU–US Data Privacy Framework a standardních smluvních doložek.
• Amplitude (Evropská unie): anonymní analýza používání produktu (které funkce se používají, události konverzního trychtýře), zpracovávaná v datovém centru společnosti Amplitude v EU (Frankfurt, Německo). Sdílené údaje: náhodný identifikátor přidělený každému uživateli a názvy událostí – žádný e-mail, jméno ani obsah tréninků. Analýzu můžeš odmítnout v aplikaci v části Nastavení → Právní informace. Přidružené společnosti Amplitude se sídlem v USA mohou k těmto údajům přistupovat na dálku za účelem podpory, zabezpečení a ladění; toto předávání probíhá na základě rámce EU–US Data Privacy Framework a standardních smluvních doložek.
• Hetzner Online GmbH (Německo): hosting primární databáze a aplikačních serverů, umístěný v Evropské unii.
• Cloudflare, Inc. (USA, s datovými centry v EU): DNS, ochrana proti útokům DDoS a externí šifrované úložiště záloh (Cloudflare R2, region EU). Zálohy se obměňují do 30 dnů. Předávání probíhá na základě rámce EU–US Data Privacy Framework a standardních smluvních doložek.

6. Tvůj trenér

Pokud se v aplikaci Kiptly propojíš s trenérem, získá přístup k tvé kartě klienta: ke všemu, co zapisuješ v aplikaci – k tvým odpovědím ve vstupním dotazníku, tréninkům a měřením –, a také k tvému chatu s ním a ke všemu, co o tvé práci zaznamenává přímo trenér: k poznámkám, k tréninkům, které s tebou plánuje, a k programům, které ti přiřazuje, i k měřením pořízeným během tréninku. Tři věci zůstávají pod tvou kontrolou ve tvém profilu: zda trenér může číst zprávy z doby před propojením, zda za tebe může zapisovat tréninky a – jakmile vytvoříme zobrazení výživy – zda může vidět tvůj deník výživy. Můžeš je kdykoli změnit.

Údaje zůstávají u nás. Kiptly uchovává tvé záznamy a poskytuje k nim tvému trenérovi přístup po celou dobu tvé spolupráce s ním. Propojení můžeš kdykoli zrušit; ještě 90 dnů poté může tvůj trenér otevřít tvou kartu ve stavu ke dni zrušení propojení a nevidí nic z toho, co uděláš potom. Poté smažeme tréninky, které má trenér s tebou naplánované, a programy přiřazené trenérem; jeho poznámky zůstávají součástí tvých záznamů a dál si je můžeš číst.

Vztah mezi tebou a tvým trenérem neupravujeme. Kiptly ti dává prostředky ke spolupráci; podmínky, platba a závazky jsou věcí mezi tebou a trenérem.

7. Mezinárodní předávání údajů

Tvé údaje jsou primárně uloženy na serverech umístěných v Evropské unii (Hetzner, Německo). Někteří z našich zpracovatelů (uvedených výše) působí v USA. Toto předávání je založeno na rámci EU–US Data Privacy Framework, pokud je zpracovatel certifikován, a na standardních smluvních doložkách Evropské komise, s doplňkovými zárukami, jsou-li vyžadovány.

8. Doba uchovávání údajů

• Aktivní účty: tvé osobní údaje uchováváme po celou dobu, kdy je tvůj účet aktivní.
• Kroky a spánek (ano, nebo ne): uchovává se, dokud je připojení aktivní, a smaže se do 30 dnů od odpojení nebo smazání účtu.
• Po smazání účtu: všechny osobní údaje jsou do 30 dnů trvale odstraněny.
• Externí zálohy: obměňují se do 30 dnů; smazané údaje z nich v této lhůtě zmizí.
• Záznamy o pádech a chybách: uchovávají se ve službě Sentry nejvýše 90 dnů, poté se smažou.
• Souhrnné statistiky: uchovávají se po neomezenou dobu v plně anonymizované podobě, bez identifikátorů, které by je mohly zpětně spojit s tebou.

9. Zabezpečení

Tvé údaje chráníme šifrováním TLS 1.3 při přenosu a šifrováním AES-256 u uložených dat. Přístup k produkčním systémům je omezen na oprávněné osoby a podléhá auditu. Tajné klíče a přístupové údaje jsou uloženy ve spravované službě pro správu tajných klíčů.

V případě porušení zabezpečení osobních údajů, které pravděpodobně ovlivní tvá práva a svobody, to do 72 hodin ohlásíme příslušnému dozorovému úřadu a bez zbytečného odkladu to oznámíme dotčeným uživatelům, jak vyžadují čl. 33 a 34 GDPR.

10. Tvá práva (GDPR)

Podle GDPR máš tato práva:

• Právo na přístup (čl. 15 GDPR): požádat o kopii svých údajů. K dispozici samoobslužně v aplikaci; postup je popsán na kiptly.com/support.
• Právo na opravu (čl. 16 GDPR): kdykoli upravit svůj profil v aplikaci.
• Právo na výmaz (čl. 17 GDPR): samostatně v aplikaci smazat svůj účet a všechny související údaje. Postup pro tvou verzi aplikace je popsán na kiptly.com/support.
• Právo na omezení zpracování (čl. 18 GDPR): požádat nás, abychom za určitých okolností zpracování pozastavili.
• Právo na přenositelnost údajů (čl. 20 GDPR): exportovat své tréninky a pokrok ve formátu CSV.
• Právo vznést námitku (čl. 21 GDPR): vznést námitku proti zpracování založenému na oprávněných zájmech.
• Právo odvolat souhlas (čl. 7 odst. 3 GDPR): kdykoli odvolat jakýkoli udělený souhlas, a to stejně snadno, jako byl udělen. Odvoláním souhlasu není dotčena zákonnost předchozího zpracování.
• Právo podat stížnost (čl. 77 GDPR): podat stížnost u polského dozorového úřadu, kterým je Urząd Ochrony Danych Osobowych (uodo.gov.pl), nebo u svého místního úřadu pro ochranu osobních údajů v EU/EHP.

Pokud chceš kterékoli z těchto práv uplatnit, napiš na [email protected]. Odpovídáme do 30 dnů.

Neprovádíme automatizované rozhodování ani profilování, které má pro tebe právní účinky nebo se tě obdobně významně dotýká.

11. Ochrana soukromí dětí

Služba je určena uživatelům ve věku 16 let a starším. Vědomě neshromažďujeme údaje od dětí mladších 16 let. Pokud se domníváš, že dítě poskytlo Službě osobní údaje, obrať se prosím na [email protected] a my je urychleně smažeme.

12. Změny těchto Zásad

Tyto Zásady ochrany osobních údajů můžeme čas od času aktualizovat. O podstatných změnách tě budeme informovat e-mailem a bannerem v aplikaci nejméně 30 dnů předtím, než změny nabudou účinnosti. Datum v horní části této stránky odpovídá poslední aktualizaci.

13. Kontakt

S dotazy k ochraně osobních údajů nebo za účelem uplatnění svých práv se obrať na Správce osobních údajů, kterým je Aliaksandr Samuseu, na adrese [email protected].