Ochrana osobních údajů

Tyto zásady vysvětlují, s jakými osobními údaji Pulz8 pracuje, když používáte web pulz8.com, webovou aplikaci app.pulz8.com a rozhraní Pulz8 API, na kterém aplikace běží. Jsou určené majitelům posiloven, trenérům, sportovcům, kteří trénují sami, i sportovcům, jejichž tep se zobrazuje na obrazovce v posilovně. Pulz8 se dříve jmenoval Heartstream.

Aplikace je zatím v angličtině a slovenštině; názvy tlačítek proto uvádíme anglicky.

Kdo jsme

Pulz8 provozuje JurikTech s.r.o, IČO 56723326, Slovenská republika („my“). U údajů o vašem vlastním účtu jsme správcem. S čímkoli, co se týká těchto zásad, nám napište na [email protected].

Posilovny, týmy a jejich sportovci

Když posilovna, studio nebo tým („týmový účet“) přidá do Pulz8 sportovce, rozhoduje o tom, čí údaje zadá a proč. U těchto údajů je správcem tým a my je zpracováváme jeho jménem podle podmínek zpracování údajů v našich Podmínkách používání. Pokud trénujete v posilovně, která Pulz8 používá, obraťte se s žádostí o své údaje nejprve na ni. Posilovně s odpovědí pomůžeme a vždy nás můžete kontaktovat i přímo.

Jaké údaje shromažďujeme

Váš účet

• E-mailová adresa a, pokud si ho nastavíte, heslo. Ukládáme pouze jeho otisk (hash) vytvořený algoritmem argon2id, nikdy samotné heslo.
• Typ účtu: osobní účet („Just me“) nebo týmový účet.
• U týmového účtu název organizace a adresa (slug), kterou si zvolíte.
• Vaše role v organizaci (vlastník nebo administrátor) a čas vytvoření a změn účtu.

Přihlášení přes Google

Pokud zvolíte Continue with Google, Google nám pošle podepsaný identifikační token pro základní rozsahy přihlášení (openid, email, profile). Z něj čteme ID vašeho účtu Google, e-mailovou adresu, informaci, zda Google tento e-mail ověřil, a vaše jméno. ID účtu Google a e-mailovou adresu ukládáme, abychom vás při dalším přihlášení poznali a mohli přihlášení propojit s existujícím účtem se stejným ověřeným e-mailem. Vaše heslo ke Googlu nedostáváme a nemáme přístup k vašim kontaktům, kalendáři, souborům, Gmailu ani jiným údajům v Googlu. Závazky, které se na tyto údaje vztahují, jsou v části Údaje od Googlu.

Profily sportovců

Každý sportovec má v Pulz8 profil. U osobního účtu je to váš vlastní profil, který vznikne, když vyplníte About you. U týmového účtu vytvoří tým profil pro každého sportovce. Profil obsahuje:

• jméno a e-mailovou adresu,
• datum narození, ze kterého odhadujeme maximální tepovou frekvenci,
• volitelně pohlaví a hmotnost,
• maximální a klidovou tepovou frekvenci a to, zda se zóny počítají z maximálního tepu, nebo z tepové rezervy.

Snímače tepu

Když spárujete bluetooth hrudní pás, náramek nebo hodinky, prohlížeč aplikaci přidělí identifikátor tohoto zařízení. Ukládáme tento identifikátor a sportovce, ke kterému je přiřazen, aby se u snímače příště zobrazil správný sportovec. MAC adresu zařízení neshromažďujeme.

Živý tep a uložené tréninky

Živá obrazovka čte tep přímo ze snímačů ve vašem prohlížeči přes Web Bluetooth. Živé hodnoty zůstávají ve vašem prohlížeči a neposílají se nám, dokud se trénink nenahrává.

Když stisknete Start session a poté End session, aplikace nahraje za každého sportovce jeden záznam: začátek a konec, volitelný název, snímač a sportovce, ke kterým patří, každou naměřenou hodnotu tepu s časem a údaje, které z nich vypočítáme (délka, průměrný a maximální tep, čas v každé zóně, úseky zátěže a doba zotavení).

Údaje o zdraví

Tep, hmotnost a údaje z nich odvozené jsou údaje o zdravotním stavu, tedy zvláštní kategorie osobních údajů podle GDPR. Používáme je pouze k zobrazení živých zón a historie tréninků účtu, kterému patří. Nikdy je nepoužíváme k reklamě ani profilování, neprodáváme je a nesdílíme s nikým kromě poskytovatelů služeb uvedených níže.

Údaje uložené pouze ve vašem prohlížeči

Aplikace si v místním úložišti prohlížeče pamatuje několik nastavení: motiv, jazyk, zda je boční panel sbalený, zda jste zavřeli nabídku instalace, zda jsou zapnuté připomínky tréninku a váš postup v seznamu Getting started. Tyto údaje vaše zařízení neopouštějí. Připomínky tréninku zobrazuje přímo váš prohlížeč; žádný server pro push notifikace neprovozujeme.

Cookies

Při přihlášení aplikace nastaví dvě cookies, obě nezbytné k tomu, abyste zůstali přihlášeni: access_token (platná 60 minut) a refresh_token (platná 7 dní). Obě jsou httpOnly, takže je skripty na stránce nemohou číst, a posílají se pouze přes HTTPS. Aplikace nepoužívá reklamní ani analytické cookies.

Webové stránky

• Anglická domovská stránka používá Google Analytics (Google Ireland Limited) k počítání návštěv a zjištění, které stránky lidé používají. Načte se pouze tehdy, pokud v oznámení o cookies zvolíte Accept; do té doby se nenastaví žádné analytické cookies. Google Analytics poté nastaví cookies _ga a _ga_<id> a zpracovává vaši IP adresu, údaje o prohlížeči a zařízení a stránky, které si prohlédnete. Vaše volba se uloží do místního úložiště prohlížeče. Změnit ji můžete přes Cookie settings v patičce anglické domovské stránky; odmítnutím se analytické cookies smažou. České a slovenské stránky, blog ani tyto právní stránky ho nenačítají.
• Kontrola snímače na domovské stránce se připojí ke snímači ve vašem prohlížeči, aby ověřila, že funguje. Nic neposílá nám ani nikomu jinému.
• Pokud si zarezervujete demo, rezervační formulář provozuje Kalendář Google a my obdržíme jméno, e-mailovou adresu a poznámky, které zadáte.
• Pokud nám necháte e-mail pro novinky o Pulz8, uložíme adresu, jazyk stránky, formulář, ze kterého přišla, a čas a přes Resend si ji pošleme e-mailem, abychom o ní věděli. Použijeme ji jen k tomu, abychom vám napsali o Pulz8, nejvýše několikrát do roka. Stačí odpovědět na kterýkoli takový e-mail nebo nám napsat a adresu smažeme.

E-mail a podpora

Pokud požádáte o obnovení hesla, pošleme vám jednorázový odkaz přes službu Resend. Ukládáme pouze otisk tokenu z odkazu a odkaz po 60 minutách vyprší. Pokud nám napíšete e-mail, konverzaci si ponecháme, abychom vám mohli odpovědět.

Diagnostika připojení

Když se trénink uloží, aplikace pošle také to, jak se během něj chovalo Bluetooth připojení každého snímače: název, který snímač vysílá, kolik měření přišlo, jak často a na jak dlouho připojení vypadlo, chybová hlášení prohlížeče, časy těchto událostí a název a verzi prohlížeče. Používáme je jen k tomu, abychom našli a opravili snímače a prohlížeče, které ztrácejí připojení.

Záznamy serveru

Náš poskytovatel hostingu zaznamenává u každého požadavku na aplikaci a API technické údaje: IP adresu, identifikaci prohlížeče, požadovanou adresu, čas a výsledek požadavku. Používáme je k zabezpečení služby a opravě chyb. Tyto záznamy se uchovávají několik dní.

Proč údaje používáme a na jakém právním základě

• Poskytování Pulz8 (váš účet, přihlášení, snímače, živá obrazovka, ukládání a zobrazování tréninků, obnovení hesla): plnění smlouvy s vámi (čl. 6 odst. 1 písm. b) GDPR).
• Údaje o zdraví na osobním účtu: váš výslovný souhlas (čl. 9 odst. 2 písm. a)), který dáváte tím, že vyplníte svůj profil a rozhodnete se trénink nahrát. Souhlas můžete kdykoli odvolat vymazáním údajů, jak je popsáno v části Vaše práva. Odvolání nemá vliv na zpracování před ním.
• Údaje sportovců na týmovém účtu: na pokyn týmu. Tým odpovídá za to, že má právní základ, obvykle výslovný souhlas sportovce, a že své sportovce informuje.
• Bezpečnost, předcházení zneužití a záznamy serveru: náš oprávněný zájem na tom, aby služba byla bezpečná a fungovala (čl. 6 odst. 1 písm. f)).
• Diagnostika připojení: náš oprávněný zájem na tom, aby živá tabule a záznamy tréninků fungovaly (čl. 6 odst. 1 písm. f)).
• Analytika webových stránek: váš souhlas (čl. 6 odst. 1 písm. a)), který můžete kdykoli odvolat přes Cookie settings na anglické domovské stránce. Odvolání nemá vliv na zpracování před ním.
• Novinky o Pulz8 e-mailem: váš souhlas (čl. 6 odst. 1 písm. a)), který dáte zanecháním e-mailu. Můžete jej kdykoli odvolat odpovědí na kterýkoli e-mail nebo zprávou pro nás.
• Fakturace týmových plánů a uchovávání faktur: smlouva a naše zákonné povinnosti (čl. 6 odst. 1 písm. b) a c)).
• Odpovědi na vaše zprávy a rezervace dema: kroky před uzavřením smlouvy na vaši žádost nebo náš oprávněný zájem odpovědět (čl. 6 odst. 1 písm. b) a f)).

Neděláme o vás automatizovaná rozhodnutí, která by měla právní nebo podobně významné účinky.

Údaje od Googlu

Používání a předávání informací, které Pulz8 dostává z rozhraní Google API, se řídí Zásadami pro uživatelská data služeb Google API včetně požadavků na omezené používání (Limited Use). Konkrétně:

• ID účtu Google, e-mailovou adresu, stav jejího ověření a jméno používáme pouze k tomu, abychom vás přihlásili, vytvořili nebo propojili váš účet v Pulz8 a zobrazili, kdo je přihlášen.
• Tyto údaje nikomu nepředáváme, kromě případů, kdy je to nutné pro samotné přihlášení, kdy to vyžaduje zákon, nebo při sloučení či prodeji služby, o kterém vás předem informujeme.
• Nepoužíváme je k reklamě, neprodáváme je a nepoužíváme je k tvorbě profilů ani k trénování modelů umělé inteligence.
• Nikdo v Pulz8 je nečte, pokud nás o to nepožádáte (například v žádosti o podporu), pokud to není nutné z bezpečnostních důvodů nebo pokud to nevyžaduje zákon.

Přístup Pulz8 můžete kdykoli zrušit v nastavení účtu Google. Váš účet v Pulz8 zůstane; pokud se chcete dál přihlašovat, nastavte si heslo přes Forgot password?, nebo nás požádejte o jeho vymazání.

Kdo pro nás údaje zpracovává

Osobní údaje neprodáváme. Předáváme je pouze těmto poskytovatelům služeb, kteří je pro nás zpracovávají na základě smlouvy o zpracování osobních údajů:

• Cloudflare, Inc. hostuje web, aplikaci, API a databázi (Cloudflare Pages, Workers a D1) a vede záznamy serveru.
• Resend (Plus Five Five, Inc.) posílá e-maily aplikace (obnovení hesla, pozvánky, oznámení o platbách) a dává nám vědět o e-mailech zanechaných pro novinky o Pulz8.
• Google poskytuje přihlášení přes Google, Google Analytics na anglické domovské stránce a kalendář pro rezervaci dema.

Údaje poskytneme také tehdy, když to vyžaduje zákon, nebo k ochraně našich práv či něčí bezpečnosti.

Předávání mimo EU

Cloudflare, Resend a Google mohou údaje zpracovávat i mimo Evropský hospodářský prostor, včetně Spojených států. V takovém případě je předání chráněno rámcem pro ochranu údajů mezi EU a USA (EU–US Data Privacy Framework), pokud je v něm poskytovatel certifikován, nebo standardními smluvními doložkami Evropské komise.

Jak dlouho údaje uchováváme

• Účet, profily sportovců, snímače a tréninky: dokud účet existuje. Po vymazání účtu jeho údaje vymažeme do 30 dní a ze záloh databáze zmizí do dalších 30 dní.
• Profily sportovců, které vymažete v aplikaci, se odstraní okamžitě. Tréninky, které už byly pro tohoto sportovce nahrány, zůstanou v historii účtu, dokud nás nepožádáte o jejich vymazání.
• Odkazy pro obnovení hesla: vyprší po 60 minutách; otisk tokenu se vymaže spolu s účtem.
• Záznamy serveru: několik dní.
• Diagnostika připojení: 90 dní, poté se automaticky smaže.
• Faktury a záznamy o platbách u týmových plánů: tak dlouho, jak vyžadují daňové předpisy, na Slovensku obvykle 10 let.
• E-maily a rezervace dema: dokud je to potřeba k vyřízení vaší žádosti, nejdéle 2 roky od našeho posledního kontaktu.
• E-mail zanechaný pro novinky o Pulz8: dokud nás nepožádáte, abychom přestali, nejdéle 2 roky od chvíle, kdy jste jej zanechali, nebo od našeho posledního e-mailu, podle toho, co nastane později.

Vaše práva

Podle GDPR nás můžete požádat, abychom:

• vám poskytli kopii vašich údajů (přístup),
• je opravili (oprava),
• je vymazali (výmaz),
• omezili jejich používání (omezení zpracování),
• je poskytli vám nebo jinému poskytovateli ve strojově čitelném formátu (přenositelnost),
• je přestali používat tam, kde se opíráme o oprávněný zájem (námitka),
• a tam, kde se opíráme o souhlas, ho můžete kdykoli odvolat.

V aplikaci můžete upravit svůj profil a vymazat profily sportovců. Pokud chcete export údajů, vymazání nahraných tréninků nebo vymazání celého účtu, napište na [email protected] z adresy, na kterou je účet veden. Odpovíme do jednoho měsíce. U údajů sportovců na týmovém účtu žádost předáme týmu a pomůžeme mu ji vyřídit.

Můžete také podat stížnost dozorovému úřadu, zejména v zemi EU, kde žijete nebo pracujete. V Česku je to Úřad pro ochranu osobních údajů, na Slovensku Úrad na ochranu osobných údajov Slovenskej republiky.

Bezpečnost

Veškerá komunikace probíhá přes HTTPS. Hesla jsou zahešovaná algoritmem argon2id, tokeny pro obnovení hesla ukládáme pouze jako otisky a přihlašovací cookies nemohou číst skripty na stránce. Každý požadavek se ověřuje vůči organizaci účtu, takže jeden účet nevidí sportovce ani tréninky jiného. Žádný systém není dokonale bezpečný; pokud by únik ohrozil vaše údaje, informujeme vás i úřady, jak to vyžaduje zákon.

Děti

Pulz8 není určen k samostatnému používání dětmi mladšími 16 let. Tým, který nahrává sportovce mladší 16 let, musí mít předem souhlas rodiče nebo zákonného zástupce.

Nejde o lékařskou radu

Pulz8 zobrazuje tepové zóny pro trénink. Není zdravotnickým prostředkem a nediagnostikuje, neléčí ani nesleduje žádné onemocnění.

Změny těchto zásad

Když tyto zásady změníme, aktualizujeme datum na začátku. Pokud změna podstatně ovlivní, jak vaše údaje používáme, vlastníkům účtů to oznámíme e-mailem nebo v aplikaci před její účinností.

Kontakt

JurikTech s.r.o, IČO 56723326, Slovenská republika. E-mail: [email protected].