ZÁSADY OCHRANY OSOBNÍCH ÚDAJŮ

DrFit s.r.o. – fitness centrum Horní Měcholupy

Informace o zpracování osobních údajů podle nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR).

I. Účel dokumentu
1.1. Tyto zásady vysvětlují, jak DrFit s.r.o. zpracovává osobní údaje zákazníků, členů, zájemců o služby, držitelů MultiSport, zákonných zástupců nezletilých a dalších osob využívajících služby fitness centra DrFit – Horní Měcholupy.

1.2. Zpracování osobních údajů probíhá zejména v souvislosti s registrací, členstvím, mobilní aplikací, vstupním systémem, platbami, komunikací, marketingem a bezpečností samoobslužného provozu.

1.3. Tento dokument není obecný „souhlas s GDPR“. Osobní údaje zpracováváme vždy na konkrétním právním základě, zejména pro plnění smlouvy, splnění právní povinnosti, ochranu oprávněných zájmů nebo na základě souhlasu, pokud je souhlas pro daný účel potřebný.

II. Správce osobních údajů
Správcem osobních údajů je:

DrFit s.r.o.

sídlo: Makovského 1349/2A, 163 00 Praha

IČO: 27965775

DIČ: CZ27965775

provozovna: Veronské náměstí 403, 109 00 Praha – Horní Měcholupy

e-mail pro záležitosti ochrany osobních údajů: mecholupy@drfit.cz

web: www.drfit.cz/horni-mecholupy

DrFit s.r.o. rozhoduje o účelech a prostředcích zpracování osobních údajů v rozsahu, v jakém vystupuje jako správce.

III. Jaké osobní údaje zpracováváme
Podle konkrétní služby a způsobu jejího využití můžeme zpracovávat zejména následující kategorie osobních údajů:

identifikační údaje – zejména jméno, příjmení a datum narození;
kontaktní údaje – zejména e-mailová adresa a telefonní číslo;
údaje o zákaznickém účtu, členství a zakoupených službách;
profilovou fotografii zákazníka, je-li pořizována v rámci registrace a používána pro identifikaci člena a ochranu před zneužitím členství nebo vstupu;
údaje o přístupovém QR kódu a historii vstupů, zejména datum a čas použití vstupního systému;
údaje o platbách a platebním stavu; DrFit neukládá úplné údaje platebních karet, pokud jsou zpracovávány přímo poskytovatelem platební služby;
údaje související s programem MultiSport, zejména údaje potřebné k ověření a evidenci oprávněného vstupu; u registrovaného režimu může jít zejména o jméno a příjmení;
údaje obsažené v komunikaci, reklamacích, žádostech a dalších zákaznických podnětech;
u členů ve věku 15–17 let údaje obsažené v souhlasu zákonného zástupce, včetně identifikačních a kontaktních údajů zákonného zástupce;
obrazové záznamy osob zachycených kamerovým systémem v monitorovaných prostorách;
technické údaje související s používáním aplikace a elektronických systémů v rozsahu, v jakém je zpracovává příslušný poskytovatel technologie pro zajištění služby, bezpečnosti a funkčnosti.
DrFit běžně nepožaduje údaje o zdravotním stavu. Pokud zákazník žádá o předčasné ukončení členství ze zdravotních důvodů, může být vyžádáno pouze přiměřené potvrzení, že dlouhodobě nemůže vykonávat sportovní aktivitu; konkrétní diagnózu po zákazníkovi nepožadujeme.

IV. Zdroje osobních údajů
Osobní údaje získáváme především přímo od zákazníka při registraci v mobilní aplikaci „DrFit – Horní Měcholupy“, při registraci nebo nákupu na recepci, při komunikaci s DrFit, při využití vstupního systému nebo při uplatnění práv či požadavků.

Další údaje vznikají při využívání našich služeb, například záznam o vstupu. V omezeném rozsahu můžeme získat údaje také od partnerů zajišťujících konkrétní službu, zejména od poskytovatele platebních služeb nebo v souvislosti s využitím programu MultiSport.

V. Účely a právní základy zpracování
5.1. Registrace, vedení zákaznického účtu, uzavření a plnění smlouvy

Osobní údaje zpracováváme za účelem vytvoření a správy zákaznického účtu, nákupu a správy členství a vstupů, aktivace služeb, zákaznické podpory a plnění smlouvy. Právním základem je plnění smlouvy a provedení opatření před uzavřením smlouvy.

5.2. Přístupový systém, QR kód a historie vstupů

Údaje o přístupu zpracováváme pro umožnění vstupu oprávněným členům, správu samoobslužného provozu, řešení technických a zákaznických požadavků, kontrolu oprávněnosti vstupů a prevenci zneužití přístupových oprávnění. Právním základem je plnění smlouvy a v přiměřeném rozsahu oprávněný zájem DrFit na bezpečném provozu a ochraně majetku a práv.

5.3. Profilová fotografie

Profilová fotografie je používána výhradně k vizuálnímu ověření, že členství a osobní přístup využívá oprávněná osoba, a k prevenci zneužití nepřenosného vstupu. Fotografie není používána k biometrickému rozpoznávání osob. Právním základem je oprávněný zájem DrFit na ochraně vstupního systému, služeb a majetku.

5.4. Platby, účetnictví a daňové povinnosti

Údaje o platbách zpracováváme pro přijetí a párování plateb, evidenci pohledávek, vystavování účetních a daňových dokladů a plnění zákonných povinností. Právním základem je plnění smlouvy a splnění právních povinností.

5.5. Reklamace, právní nároky a ochrana práv

Údaje můžeme uchovávat a používat také pro vyřizování reklamací, řešení incidentů, vymáhání pohledávek a určení, výkon nebo obhajobu právních nároků. Právním základem je plnění právních povinností a oprávněný zájem DrFit na ochraně jeho práv.

5.6. Nezletilí zákazníci

Údaje nezletilého a jeho zákonného zástupce zpracováváme za účelem doložení podmínek, za kterých může člen ve věku 15–17 let využívat fitness centrum samostatně, a pro související komunikaci a evidenci. Právním základem je plnění smluvního vztahu a oprávněný zájem na bezpečném provozu a prokázání splnění nastavených podmínek.

5.7. Přímý marketing a provozní komunikace

Na e-mail zákazníka můžeme v souladu s právními předpisy zasílat informace o vlastních obdobných službách a nabídkách DrFit, pokud jsou splněny zákonné podmínky. Zákazník může takové zasílání kdykoli jednoduše a bezplatně odmítnout. Tam, kde zákon vyžaduje souhlas, budeme marketing zasílat pouze na základě předchozího souhlasu.

Push notifikace v aplikaci mohou sloužit jak k nezbytným provozním informacím souvisejícím se službou, tak k marketingovým sdělením. Marketingové push notifikace musí být možné odmítnout nebo vypnout v souladu s nastavením aplikace a právními předpisy.

VI. Mobilní aplikace a systém CLUBSPIRE
6.1. Pro provoz mobilní aplikace „DrFit – Horní Měcholupy“, zákaznické databáze, rezervačních a souvisejících funkcí používáme systém CLUBSPIRE dodávaný společností INSPIRE CZ s.r.o., IČO 26274728.

6.2. INSPIRE CZ s.r.o. může v rozsahu sjednaných služeb zpracovávat osobní údaje pro DrFit jako zpracovatel. Rozsah a podmínky zpracování se řídí smluvním vztahem mezi DrFit a poskytovatelem systému.

6.3. Zákazník je povinen chránit přihlašovací údaje a osobní QR kód před zpřístupněním třetím osobám.

VII. Platební služby
7.1. Pro online platby může DrFit využívat platební bránu GoPay. Pro platby kartou na recepci používá DrFit platební terminál Teya. Při bankovním převodu zpracovávají platební údaje také příslušné banky.

7.2. Úplné údaje platební karty DrFit neukládá, pokud jsou zadávány a zpracovávány přímo v prostředí poskytovatele platební služby. DrFit obvykle získává pouze údaje potřebné k identifikaci a evidenci platby, například částku, stav a identifikátor transakce.

7.3. Poskytovatelé platebních služeb mohou v rozsahu svých činností vystupovat jako samostatní správci osobních údajů nebo jako zpracovatelé podle povahy konkrétní služby.

VIII. MultiSport
8.1. Při využívání vstupů MultiSport zpracováváme pouze údaje nezbytné pro ověření a evidenci příslušného vstupu a pro splnění podmínek spolupráce s poskytovatelem programu MultiSport.

8.2. U registrovaného režimu může jít zejména o jméno a příjmení zákazníka a údaje o uskutečněném vstupu. U anonymního jednorázového vstupu prostřednictvím QR kódu aplikace MultiSport DrFit nemusí mít k dispozici identifikační údaje zákazníka, pokud je systém partnera DrFit nepředává.

IX. Kamerový systém
9.1. Vybrané prostory fitness centra jsou monitorovány kamerovým systémem se záznamem obrazu a zvuku za účelem ochrany života a zdraví osob, ochrany majetku DrFit a návštěvníků, prevence a objasnění bezpečnostních incidentů a ochrany samoobslužného provozu.

9.2. Právním základem zpracování je oprávněný zájem DrFit a případně třetích osob na ochraně osob, majetku a práv. Kamery nesmí být používány v prostorách, kde by monitoring nepřiměřeně zasahoval do soukromí, zejména v prostorách určených k převlékání nebo osobní hygieně.

9.3. Kamerové záznamy jsou standardně uchovávány po dobu 30 dnů, pokud není v konkrétním případě nutné uchovat záznam zachycující bezpečnostní incident, škodní událost nebo jinou relevantní skutečnost déle. Takový záznam může být uchován po dobu nezbytnou k vyřešení incidentu, předání oprávněnému orgánu, pojišťovně nebo k ochraně právních nároků.

9.4. Přístup ke kamerovým záznamům mají pouze oprávněné osoby DrFit, zejména majitel/provozovatel a pověřené osoby, případně smluvní poskytovatel technické nebo bezpečnostní služby v nezbytném rozsahu. Záznam může být v odůvodněných případech předán policii, soudu, pojišťovně nebo jinému oprávněnému orgánu či subjektu.

9.5. Kamerový systém je provozován pouze v rozsahu přiměřeném uvedeným účelům. Informace o monitorování jsou v provozovně viditelně zpřístupněny před vstupem do monitorovaných prostor. Podrobnější informace jsou dostupné v těchto zásadách ochrany osobních údajů.

X. Doba uchování osobních údajů
Osobní údaje uchováváme pouze po dobu potřebnou pro účel, pro který jsou zpracovávány, a následně po dobu, po kterou je uchování nezbytné pro splnění právních povinností nebo ochranu právních nároků.

údaje zákaznického účtu a členství – po dobu trvání smluvního vztahu a následně v nezbytném rozsahu po dobu potřebnou pro právní a účetní povinnosti a ochranu nároků;
účetní a daňové doklady – po dobu stanovenou příslušnými právními předpisy;
historie vstupů – po dobu trvání smluvního vztahu a následně v nezbytném rozsahu po dobu, po kterou může být potřebná pro řešení incidentů, reklamací a ochranu právních nároků; pro tyto účely může být relevantní dokumentace uchovávána až 4 roky po ukončení smluvního vztahu, obdobně jako další podklady sloužící k ochraně a prokázání práv DrFit;
profilová fotografie – po dobu, kdy je potřebná pro správu aktivního členství a ochranu před zneužitím, případně krátce poté, pokud je to nezbytné pro řešení incidentu nebo právního nároku;
údaje ze souhlasu zákonného zástupce – po dobu trvání relevantního členství a následně po dobu nezbytnou pro ochranu právních nároků;
marketingové údaje – do odvolání souhlasu nebo uplatnění námitky/odmítnutí, případně po dobu dovolenou právními předpisy;
kamerové záznamy – po nezbytně nutnou dobu podle čl. IX; záznam konkrétního incidentu může být uchován po dobu jeho řešení.
XI. Komu mohou být osobní údaje zpřístupněny
Osobní údaje zpřístupňujeme pouze v nezbytném rozsahu. Příjemci nebo zpracovateli mohou být zejména:

INSPIRE CZ s.r.o. – poskytovatel systému CLUBSPIRE a souvisejících technických služeb;
poskytovatelé platebních služeb, zejména GoPay a Teya, a příslušné banky;
poskytovatel programu MultiSport v rozsahu nezbytném pro jeho využití a vyúčtování;
poskytovatelé IT, hostingu, e-mailových, servisních a bezpečnostních služeb;
účetní, daňoví a právní poradci;
orgány veřejné moci, soudy, policie, pojišťovny nebo jiné oprávněné subjekty, pokud to vyžaduje zákon nebo je to nezbytné pro ochranu práv.
Se zpracovateli, kteří zpracovávají údaje jménem DrFit, zajišťujeme odpovídající smluvní a bezpečnostní podmínky.

XII. Předávání mimo Evropský hospodářský prostor
DrFit neusiluje o předávání osobních údajů mimo Evropský hospodářský prostor. Pokud by některý použitý dodavatel nebo jeho subdodavatel zpracovával údaje mimo EHP, bude takové předání probíhat pouze při splnění podmínek GDPR, zejména na základě rozhodnutí o odpovídající ochraně nebo vhodných záruk.

XIII. Automatizované rozhodování
DrFit neprovádí rozhodování založené výhradně na automatizovaném zpracování, které by pro zákazníka mělo právní účinky nebo jej obdobně významně ovlivňovalo. Automatické technické ověření platnosti členství nebo vstupního oprávnění slouží k provedení sjednané služby.

XIV. Práva subjektů údajů
Za podmínek stanovených GDPR máte zejména:

právo získat potvrzení, zda zpracováváme vaše osobní údaje, a právo na přístup k nim;
právo na opravu nepřesných a doplnění neúplných údajů;
právo na výmaz osobních údajů, jsou-li splněny zákonné podmínky;
právo na omezení zpracování;
právo na přenositelnost údajů v případech stanovených GDPR;
právo vznést námitku proti zpracování založenému na oprávněném zájmu; proti přímému marketingu můžete vznést námitku kdykoli;
právo kdykoli odvolat souhlas, pokud je zpracování na souhlasu založeno; odvolání nemá vliv na zákonnost předchozího zpracování;
právo podat stížnost u Úřadu pro ochranu osobních údajů.
Svá práva můžete uplatnit na e-mailu mecholupy@drfit.cz. V přiměřených případech můžeme požádat o ověření totožnosti, abychom zabránili zpřístupnění údajů neoprávněné osobě.

XV. Zabezpečení osobních údajů
DrFit přijímá přiměřená technická a organizační opatření k ochraně osobních údajů před neoprávněným přístupem, ztrátou, zneužitím, změnou nebo zveřejněním. Přístup k údajům je omezen na osoby, které jej potřebují pro plnění pracovních nebo smluvních úkolů.

Zákazníci jsou povinni chránit své přihlašovací údaje a osobní QR kód. Podezření na zneužití účtu nebo QR kódu je vhodné bezodkladně oznámit DrFit.

XVI. Závěrečná ustanovení
Tyto zásady mohou být aktualizovány zejména při změně používaných technologií, dodavatelů, účelů zpracování nebo právních předpisů. Aktuální znění bude dostupné na webových stránkách DrFit.