Pravila privatnosti

1. Tko smo

UrGymCoach je softver za osobne trenere (nadzorna ploča na webu) i aplikacija za njihove klijente (iOS i Android). Uslugom upravlja: [Naziv tvrtke ili obrta], [adresa sjedišta], OIB: [OIB], [upisano u sudski / obrtni registar pod brojem …]. E-mail: [email protected].

Za sva pitanja o privatnosti i za ostvarivanje svojih prava piši na [email protected].

2. Na koga se ova pravila odnose

• Treneri — koriste nadzornu ploču za trenere i plaćaju UrGymCoach.
• Klijenti — klijenti trenera koji koriste aplikaciju UrGymCoach i web stranicu za prijavu i plaćanje.
• Posjetitelji web stranice urgymcoach.com.

3. Tko je odgovoran za tvoje podatke

• Podaci trenera, posjetitelja i naplata trenerima — voditelj obrade je UrGymCoach.
• Podaci klijenata u okviru coachinga (planovi, zapisi treninga i prehrane, mjerenja, check-inovi, fotografije, poruke s trenerom, odgovori na upitnik) — voditelj obrade je tvoj trener. UrGymCoach je izvršitelj obrade: podatke obrađuje u ime trenera i po njegovim uputama, na temelju Ugovora o obradi podataka koji je dio Uvjeta korištenja. Trener odlučuje što će te pitati i kako će podatke koristiti za coaching.
• Za dio klijentovih podataka UrGymCoach je samostalni voditelj obrade: prijava i sigurnost računa, sprječavanje zloupotrebe, zapis pristanaka, podrška koju pružamo izravno i zakonske obveze.

Zahtjev u vezi sa svojim podacima možeš poslati treneru ili nama. Ako se odnosi na podatke za koje je odgovoran trener, proslijedit ćemo ga treneru i pomoći mu odgovoriti.

4. Koje podatke prikupljamo

Klijenti

• Račun i profil: ime i prezime, e-mail, datum rođenja, spol, profilna fotografija (neobavezno), jezik, mjerne jedinice i izgled aplikacije.
• Upitnik pri registraciji: odgovori na pitanja trenera, uključujući fotografije ako ih trener traži.
• Trening: programi koje ti trener dodijeli, odrađeni setovi (težine, ponavljanja, RPE), bilješke, vlastite vježbe i videozapisi setova koje sam snimiš.
• Prehrana: planovi prehrane, označeni obroci i namirnice, zamjene, vlastite namirnice, skenirani barkodovi i fotografije obroka.
• Dnevni zadaci i mjerenja: tjelesna težina, postotak masnog tkiva, mjere tijela, koraci, san, unos vode, puls u mirovanju, HRV, spremnost, suplementi i fotografije napretka.
• Menstrualni ciklus i simptomi — samo ako je praćenje uključeno.
• Check-inovi: odgovori, ocjene, bilješke i fotografije koje šalješ treneru, te njegovi odgovori.
• Poruke: tekst, slike, videozapisi i glasovne poruke s trenerom, reakcije i oznake pročitanog.
• Health Connect (Android) i Apple Health (iOS) — samo ako to uključiš i dopustiš u sustavu: koraci, san, tjelesna težina, puls u mirovanju i HRV. Te podatke samo čitamo i nikad ništa ne upisujemo u Health Connect ni Apple Health.
• Plaćanje: odabrana usluga, cijena, status pretplate i Stripeove oznake kupca i pretplate. Podatke o kartici unosiš izravno kod Stripea — mi ih nikad ne vidimo i ne spremamo.
• Uređaj: token za push obavijesti i vrsta uređaja. Aplikacija na uređaju sprema predmemoriju (npr. bazu vježbi i namirnica) da bi radila brže.
• Zapis pristanka: koju si verziju Uvjeta korištenja i Pravila privatnosti prihvatio/la i kada.

Treneri

• Račun i profil: ime, ime koje vide klijenti, e-mail, profilna fotografija, boje i postavke.
• Poslovni sadržaj: usluge i cijene, programi, planovi prehrane, biblioteka vježbi i namirnica, upitnici, zadaci i obavijesti klijentima.
• Instagram (neobavezno): oznaka povezanog računa, pristupni token i zadnje objave koje prikazujemo tvojim klijentima.
• Naplata: podaci potrebni za naplatu naknade UrGymCoacha i povezani Stripe račun na koji primaš uplate klijenata.
• Komunikacija s nama: poruke podršci i zapis e-mail obavijesti koje ti šaljemo.

Svi korisnici

• Sigurnosni i tehnički podaci: IP adresa i e-mail pri registraciji (za ograničenje broja pokušaja protiv zloupotrebe), podaci o prijavi, zapisnik važnih radnji (npr. brisanje računa) i tehnički zapisi poslužitelja.

Web stranica

Ne koristimo kolačiće za praćenje ni analitiku. Preglednik pamti samo odabranu temu stranice (svijetla ili tamna). Fontove učitavamo s Google Fonts, pa tvoj preglednik pritom Googleu šalje svoju IP adresu.

5. Podaci o zdravlju

Mnogi podaci koje bilježiš — težina, mjere, fotografije napretka, san, puls, HRV, menstrualni ciklus, a ponekad i odgovori na upitnik — podaci su o zdravlju, posebna kategorija osobnih podataka (čl. 9. Opće uredbe o zaštiti podataka, GDPR).

• Obrađujemo ih samo uz tvoj izričit pristanak, koji daješ pri registraciji, i samo radi coachinga.
• Pristanak možeš povući u bilo kojem trenutku brisanjem računa (u aplikaciji: Postavke → Obriši račun) ili porukom treneru ili nama. Povlačenje ne utječe na zakonitost obrade prije toga.
• Bez tog pristanka uslugu ne možemo pružati, jer se coaching temelji upravo na tim podacima.
• Podaci iz Health Connecta i Apple Healtha prikazuju se samo tebi i tvom treneru. Ne koriste se za oglašavanje, ne prodaju se i ne dijele se s trećima, osim s izvršiteljima obrade navedenima niže koji su potrebni za rad usluge.

6. Svrhe i pravne osnove

Ne donosimo automatizirane odluke koje bi imale pravne ili slično značajne učinke na tebe i ne radimo profiliranje za oglašavanje.

7. Tko vidi tvoje podatke

• Tvoj trener vidi podatke koje bilježiš i šalješ u aplikaciji, osim planova koje sam rasporediš u svom kalendaru.
• UrGymCoach pristupa podacima samo kad je to potrebno za rad usluge, podršku, sigurnost ili zakonsku obvezu. Administratori ne vide medije iz razgovora trenera i klijenta.
• Izvršitelji obrade koji nam pomažu pružati uslugu:
  • Supabase Inc. — baza podataka, prijava, pohrana datoteka i poslužiteljske funkcije; poslužitelji u Frankfurtu (EU).
  • Stripe (Stripe Payments Europe Ltd., Irska) — obrada plaćanja. Za dio obrade (npr. sprječavanje prijevara i regulatorne obveze) Stripe je samostalni voditelj obrade.
  • Resend Inc. (SAD) — slanje e-mailova.
  • Expo (650 Industries Inc., SAD), Google Firebase Cloud Messaging i Apple Push Notification service — dostava push obavijesti.
  • Meta Platforms (Instagram) — samo ako trener poveže Instagram, za dohvat njegovih objava.
  • Open Food Facts — kad skeniraš barkod, broj barkoda šalje naš poslužitelj, bez tvojih osobnih podataka.
  • [pružatelj hostinga web stranice i web aplikacija].
  • Google Fonts (Google Ireland Ltd.) — fontovi web stranice.
• Tijela vlasti — samo kad to zakon nalaže.

Ne prodajemo osobne podatke i ne dijelimo ih radi oglašavanja.

8. Prijenos izvan EU

Glavnina podataka ostaje u Europskoj uniji. Neki izvršitelji (Resend, Expo, a dijelom Stripe, Google i Meta) mogu podatke obrađivati u SAD-u. Takvi se prijenosi temelje na Okviru za privatnost podataka EU–SAD (za certificirane tvrtke) ili na standardnim ugovornim klauzulama Europske komisije.

9. Koliko dugo čuvamo podatke

• Dok je račun aktivan.
• Kad klijent obriše račun u aplikaciji, profil, zapisi, fotografije, videozapisi, poslane poruke i pristanci brišu se odmah, a pretplata se otkazuje.
• Ako trener zatvori račun ili ukloni klijenta, podaci se brišu u roku od 30 dana, osim ako ih zakon nalaže čuvati.
• Sigurnosne kopije baze podataka: najviše 30 dana nakon brisanja.
• Zapisi za ograničenje broja pokušaja (IP adresa, e-mail): najviše 24 sata.
• Zapisnik važnih radnji (npr. da je račun obrisan, s e-mailom i trenerom): do 3 godine, radi sigurnosti i rješavanja sporova.
• Računi i podaci o naplati: koliko propisuju računovodstveni i porezni propisi (u Hrvatskoj u pravilu 11 godina).
• Predmemorija aplikacije na uređaju briše se deinstalacijom aplikacije.

10. Tvoja prava

Imaš pravo na pristup svojim podacima, ispravak, brisanje, ograničenje obrade, prenosivost podataka, prigovor na obradu temeljenu na legitimnom interesu i povlačenje pristanka u bilo kojem trenutku.

• Račun i podatke brišeš sam/a u aplikaciji: Postavke → Obriši račun.
• Za ostala prava piši na [email protected]. Odgovorit ćemo u roku od mjesec dana, a možemo zatražiti potvrdu identiteta.
• Pritužbu možeš podnijeti Agenciji za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, azop.hr, ili nadzornom tijelu u državi u kojoj živiš ili radiš.

11. Djeca i mladi

Klijenti moraju imati najmanje 16 godina, a u državama u kojima je dobna granica za pristanak na usluge informacijskog društva niža (13 do 16 godina, čl. 8. GDPR-a) — tu granicu. Mlađi se mogu registrirati samo uz suglasnost roditelja ili skrbnika, koju potvrđuju pri registraciji. Aplikacija nije namijenjena djeci mlađoj od 13 godina. Treneri moraju biti punoljetni.

12. Sigurnost

• Sva komunikacija je šifrirana (HTTPS/TLS).
• Pristup je ograničen pravilima na razini baze podataka: svaki korisnik vidi samo svoje podatke, a trener samo podatke svojih klijenata.
• Privatne datoteke (fotografije napretka, check-inovi, mediji u porukama) dostupne su samo putem vremenski ograničenih poveznica.
• Klijenti se prijavljuju bez lozinke, poveznicom poslanom na e-mail.

Ako dođe do povrede osobnih podataka, obavijestit ćemo nadzorno tijelo u roku od 72 sata, a tebe izravno ako postoji visok rizik za tvoja prava.

13. Dozvole na uređaju

Aplikacija traži pristup kameri i galeriji (fotografije i videozapisi), mikrofonu (glasovne poruke), obavijestima te Health Connectu ili Apple Healthu samo kad tu funkciju koristiš. Dozvole možeš u bilo kojem trenutku ukinuti u postavkama uređaja.

14. Izmjene ovih pravila

Izmjene objavljujemo na ovoj stranici s novim datumom. O bitnim izmjenama obavijestit ćemo te unaprijed e-mailom ili u aplikaciji, a ako se mijenja nešto za što je potreban tvoj pristanak, zatražit ćemo ga ponovno.