Zásady ochrany osobních údajů aplikace fitliftly

Účinné od: 19. července 2026

1. Správce osobních údajů

Správcem osobních údajů je:

Stelix holding s.r.o.
IČO: 01443909, DIČ: CZ01443909
Sídlo: Ke stadionu 1953, 272 01 Kladno
E-mail: info@stelixholding.cz

(dále jen „Správce" nebo „my")

Správce nepověřil v souladu s čl. 37 GDPR pověřence pro ochranu osobních údajů (DPO), neboť není orgánem veřejné moci a jeho hlavní činnost nespočívá v rozsáhlém systematickém monitorování subjektů údajů ani ve zpracování zvláštních kategorií údajů ve velkém rozsahu. Ve věci ochrany osobních údajů Vám však plně zodpoví uvedený kontaktní e-mail.

2. Komu jsou tyto Zásady určeny

Zásady se vztahují na:

• registrované Uživatele aplikace fitliftly (všechny role: user, trainer, venue, partner);
• Návštěvníky webových stránek fitliftly.com bez registrace;
• osoby, které kontaktují Správce prostřednictvím e-mailu nebo feedback widgetu.

3. Kategorie zpracovávaných osobních údajů

3.1 Identifikační a kontaktní údaje

• jméno a příjmení
• uživatelské jméno (username)
• e-mailová adresa
• telefonní číslo (volitelně)
• adresa (ulice, město, PSČ — volitelně, mj. pro fakturaci)
• datum narození (volitelně)
• pohlaví (volitelně)

3.2 Profilové údaje

• profilová fotografie (avatar)
• biografie a další volitelné údaje na profilu
• nastavení soukromí (public, friends, private)
• jazyk a časové pásmo

3.3 Údaje o sociálních účtech

Pokud se přihlašujete přes Google, Apple nebo Facebook, získáváme od poskytovatele identity:

• identifikátor uživatele u daného poskytovatele
• e-mailovou adresu
• jméno (případně avatar)

3.4 Údaje o využívání Služby (provozní)

• záznamy o vytvořených, absolvovaných a zrušených trénincích
• záznamy o vstupech do sportovišť (QR check-in/check-out)
• statistiky (objem, série, XP, level, streak)
• odznaky (badges), výzvy (challenges), žebříčky
• friend list, follow vztahy, sledovaná sportoviště
• zprávy v chatu, komentáře, reakce
• vložené fotografie tréninků a sportovišť
• evidence sportovních pasů (typ karty, číslo, platnost)

3.5 Platební a fakturační údaje

• evidence transakcí kreditové peněženky
• faktury (číslo, IČO/DIČ, fakturační adresa) — u rolí trainer/venue/partner
• údaje o platební kartě nejsou ukládány v Aplikaci — platba kartou probíhá přes bránu Stripe, která je samostatným správcem osobních údajů; Aplikace eviduje pouze částku, variabilní symbol a stav dobití

3.6 Technické údaje

• IP adresa
• typ zařízení, operační systém, verze prohlížeče
• časové razítko posledního přihlášení
• cookies a podobné technologie (viz čl. 8)
• token push notifikací

3.7 Zdravotní data — zvláštní kategorie osobních údajů (čl. 9 GDPR)

Pokud udělíte výslovný souhlas s funkcí Health Sync, Aplikace synchronizuje data z Apple HealthKit (iOS) nebo Google Health Connect (Android), zejména:

• aktivita (kroky, energetický výdej, vzdálenost)
• srdeční tep
• údaje o spánku
• tělesné parametry (hmotnost, výška)

Tato data spadají do zvláštních kategorií osobních údajů dle čl. 9 GDPR a zpracováváme je výhradně na základě Vašeho výslovného souhlasu. Souhlas můžete kdykoliv odvolat v nastavení Aplikace nebo na úrovni systému zařízení.

3.8 Feedback údaje

Při použití feedback widgetu se ukládá text zprávy, screenshot aktuální obrazovky, URL stránky, typ prohlížeče. Tato data jsou pomocí webhooku přenášena do interního systému správy chyb (GitLab).

3.9 Veřejně dostupná data o sportovištích

V adresáři zobrazujeme i sportoviště, která zatím nemají na fitliftly správce. Údaje (název, adresa, poloha, případně kontakt a otevírací doba) pocházejí z veřejných zdrojů, zejména OpenStreetMap (© OpenStreetMap contributors, licence ODbL). Zpracováváme je na základě oprávněného zájmu (čl. 6 odst. 1 písm. f GDPR) — vedení adresáře sportovišť. Jste-li provozovatel, můžete požádat o převzetí správy, opravu nebo odstranění údajů přímo u daného sportoviště v aplikaci nebo na info@stelixholding.cz, a kdykoli vznést námitku proti zpracování.

4. Účely zpracování, právní tituly a doby uchování

5. Příjemci osobních údajů (zpracovatelé)

Vaše údaje předáváme pouze v nezbytném rozsahu níže uvedeným kategoriím příjemců. Se všemi máme uzavřené smlouvy o zpracování osobních údajů (DPA) dle čl. 28 GDPR.

Vaše osobní údaje neprodáváme třetím stranám pro marketingové účely.

6. Předávání do třetích zemí

Některé z výše uvedených služeb (Google, Apple, Meta, Cloudflare, GitLab, Sentry) probíhají v rámci celosvětových infrastruktur. Data pro Sentry i PostHog jsou ukládána v datových centrech v EU; u Sentry může mít k datům omezený přístup mateřská společnost v USA. Při předávání osobních údajů mimo Evropský hospodářský prostor využíváme:

• EU-US Data Privacy Framework (DPF) — pro USA u certifikovaných příjemců;
• Standardní smluvní doložky (SCC) přijaté Evropskou komisí — pro ostatní případy;
• doplňková organizační a technická opatření (šifrování, pseudonymizace).

7. Vaše práva jako subjektu údajů

Podle GDPR máte následující práva:

• Právo na přístup (čl. 15) — získat informace o tom, jaké údaje o Vás zpracováváme.
• Právo na opravu (čl. 16) — opravit nepřesné nebo neúplné údaje.
• Právo na výmaz („být zapomenut", čl. 17) — požádat o smazání údajů.
• Právo na omezení zpracování (čl. 18).
• Právo na přenositelnost údajů (čl. 20) — získat údaje ve strojově čitelném formátu.
• Právo vznést námitku (čl. 21) — proti zpracování na základě oprávněného zájmu nebo přímého marketingu.
• Právo odvolat souhlas (čl. 7/3) — kdykoliv, s účinky do budoucna.
• Právo nebýt předmětem automatizovaného rozhodování (čl. 22) — Aplikace neprovádí automatizované rozhodování s právními účinky.

Jak svá práva uplatnit

Práva lze uplatnit v Aplikaci v sekci „Soukromí a data" (export, smazání, odvolání souhlasů) nebo e-mailem na info@stelixholding.cz. Žádosti vyřizujeme bezplatně do 30 dnů od přijetí.

8. Cookies a podobné technologie

8.1 Nezbytné (bez souhlasu)

• session cookie — autentizace a CSRF ochrana
• preference jazyka
• preference role
• localStorage Aplikace (zapamatovaná nastavení UI)

8.2 Analytika používání Aplikace

K porozumění tomu, jak je Aplikace používána, využíváme nástroj PostHog provozovaný výhradně v EU (datové centrum Frankfurt). Nastavili jsme jej tak, aby neukládal do Vašeho zařízení žádné cookies ani jiné identifikátory — proto nevyžadujeme souhlas přes cookie banner. Zpracování zahrnuje:

• měření používání (zobrazené stránky, kliknutí, výkonnostní metriky);
• záznamy relací (session replay) — obrazový záznam pohybu v Aplikaci sloužící ke zlepšování použitelnosti; veškeré formulářové vstupy jsou maskovány a citlivé bloky (zprávy v chatu, zdravotní data, kreditní zůstatky, čísla benefitních karet) jsou ze záznamu zcela vyloučeny;
• u přihlášených uživatelů párování pod pseudonymním číselným identifikátorem (bez jména či e-mailu).

Právním titulem je náš oprávněný zájem na zlepšování Služby (čl. 6 odst. 1 písm. f) GDPR). Proti tomuto zpracování můžete kdykoli vznést námitku na kontaktech uvedených v čl. 7.

8.3 Marketingové (se souhlasem)

V současné době nepoužíváme.

9. Zabezpečení osobních údajů

Implementujeme zejména tato technická a organizační opatření:

• šifrování přenosu (TLS 1.2+, HTTPS);
• hashování hesel (bcrypt);
• omezený přístup k produkční databázi;
• pravidelné zálohy (denní inkrementální, týdenní plné);
• síťová segmentace;
• bezpečnostní hlavičky (HSTS, X-Frame-Options);
• ochrana proti automatizovaným útokům (Cloudflare Turnstile, honeypot);
• pravidelné aktualizace operačního systému a knihoven;
• monitoring přístupů.

V případě porušení zabezpečení s rizikem pro práva subjektů údajů Vás budeme informovat v souladu s čl. 33 a 34 GDPR.

10. Děti

Aplikace není určena dětem mladším 15 let a samostatná registrace v této věkové skupině je zakázána. Pokud zjistíme, že jsme získali údaje od dítěte bez nezbytného souhlasu, údaje neprodleně smažeme.

11. Změny Zásad ochrany osobních údajů

Tyto Zásady mohou být průběžně aktualizovány. O podstatných změnách budeme Uživatele informovat e-mailem a/nebo oznámením v Aplikaci nejméně 30 dnů před účinností.

12. Stížnost u dozorového úřadu

Domníváte-li se, že jsou Vaše osobní údaje zpracovávány v rozporu s GDPR, máte právo podat stížnost u dozorového úřadu:

Úřad pro ochranu osobních údajů
Pplk. Sochora 27, 170 00 Praha 7
uoou.gov.cz

13. Kontakt

Pro jakékoliv dotazy ohledně ochrany osobních údajů nás kontaktujte: