Zpracování osobních údajů

ČÁST 1

Mobilní aplikace GAVIAL

Aplikace není veřejná. Používá se v uzavřeném pilotním testování v jednom fotbalovém klubu (týmy U17 a U19). Účet v ní nejde založit volně — vzniká výhradně přes osobní jednorázovou pozvánku od správce. Bez pozvánky se do aplikace nedostaneš.

Nezletilí hráči a souhlas zákonného zástupce

• Hráč od 15 let dává navíc vlastní souhlas se zpracováním údajů v souvislosti s aplikací — v Česku je 15 let hranice, od které to podle § 7 zákona č. 110/2019 Sb. může udělat sám. U hráče mladšího 18 let tím souhlas rodiče nenahrazuje; oba platí vedle sebe.
• Zákonný zástupce může souhlas kdykoli odvolat e-mailem na adresu správce, bez udání důvodu. Po odvolání do 30 dnů smažeme účet hráče a všechna data, která ho identifikují.
• Odvolání nemá pro hráče žádné důsledky. Účast v testování nemá vliv na členství v klubu, nominace, herní čas ani na hodnocení trenérem. Kdo nechce čip, normálně trénuje a hraje.
• Aplikace není určená dětem do 13 let a není zařazená v Kids Category App Storu.

Jaké údaje aplikace zpracovává

• Účet: e-mailová adresa a heslo, vnitřní identifikátor účtu.
• Profil hráče: jméno a příjmení, rok narození, klub a tým, hráčská pozice a silnější noha; nepovinně tělesná výška, hmotnost a pohlaví. Výška, hmotnost, pohlaví a věk slouží výhradně jako koeficienty pro orientační odhad energetického výdeje a přepočet vzdálenosti, zadávají se jednorázově a neslouží k žádnému hodnocení tělesné konstituce.
• Výkonnostní údaje z čipu: počet kroků, dopočítaná vzdálenost, zátěž (GRIND), orientační odhad energetického výdeje, počet a razance střel (GAVIAL Score) a rozložení zatížení mezi levou a pravou nohou. Do telefonu se stahují hromadně po hře, ne živě.
• Záznamy o používání aplikace (nepovinné): technické záznamy o tom, jak se aplikace používá — že byla spuštěna, které obrazovky se zobrazily, jestli se povedlo stáhnout data z čipu. Slouží výhradně k tomu, abychom v pilotu poznali, co v aplikaci nefunguje. Neobsahují jméno, e-mail ani nic, co hráč sám napíše. Sběr se dá kdykoli vypnout přímo v aplikaci (Nastavení → Soukromí a data) a nastavení je vázané na účet, takže přežije i přeinstalování.
• Chybové záznamy: když aplikace spadne, uloží se technický záznam o pádu, abychom chybu našli.

Co naopak nesbíráme: čip nemá GPS a polohu hráče nesleduje; nesbíráme tepovou frekvenci ani jiné zdravotní údaje; aplikace neukládá profilovou fotku ani odkazy na sociální sítě.

V deklaraci u Applu jsou výkonnostní údaje zařazené v kategorii „Health & Fitness", protože Apple do ní řadí i čistě sportovní metriky. Je to přiznání ke sběru sportovních dat, ne tvrzení o zdraví: GAVIAL není zdravotnický prostředek, data neslouží k žádné diagnostice ani zdravotnímu posouzení a nejsou zvláštní kategorií osobních údajů podle čl. 9 GDPR.

Proč je zpracováváme a na jakém základě

• Měření a zobrazení sportovního výkonu hráči v aplikaci (statistiky, žebříčky, gamifikace).
• Vyhodnocení a vylepšení produktu během pilotního testování.
• Zjištění, co v aplikaci nefunguje — jen ze záznamů o používání, a jen s nepovinným souhlasem.

Právním základem je ve všech případech souhlas (čl. 6 odst. 1 písm. a) a čl. 8 GDPR; u hráče od 15 let ve vztahu k aplikaci též § 7 zákona č. 110/2019 Sb.), u nezletilého hráče souhlas zákonného zástupce podle sekce výše.

Údaje neslouží k marketingu ani reklamnímu cílení. Aplikace naměřené hodnoty automaticky přepočítává na skóre a herní kategorie, ale k automatizovanému rozhodování s právními či obdobně významnými účinky ve smyslu čl. 22 GDPR nedochází — je to hra a zpětná vazba, nasazení do zápasu je vždy na trenérovi.

Sledování napříč aplikacemi: žádné

Aplikace nemá žádné SDK třetích stran, žádnou analytiku od cizí firmy, žádnou reklamu a nepoužívá reklamní identifikátor zařízení. Nic se nepředává datovým brokerům.

Kdo se k údajům dostane

• Supabase — databáze, ve které data leží. Servery v Evropské unii (Irsko), uzavřená smlouva o zpracování (DPA). Někteří dílčí dodavatelé provozovatele mohou sídlit v USA; případné předání je kryté standardními smluvními doložkami EU (čl. 46 GDPR), jejich kopii lze u správce vyžádat.
• Apple — distribuce testovací verze aplikace přes TestFlight, v rozsahu údajů o účtu testera.
• Klub a trenér dostanou od správce pouze souhrnné týmové výsledky. K individuálním datům jednotlivého hráče ani k záznamům o používání aplikace nemají přístup.
• Nikomu dalšímu údaje nepředáváme ani neprodáváme.

Hráč vidí v aplikaci vlastní data a žebříček v rámci svého klubu. Omezení je vynucené na úrovni databáze, ne jen v aplikaci — cizí data se k účtu nedostanou.

Jak dlouho je držíme

Po dobu pilotního testování a jeho vyhodnocení; nejzazší datum je uvedené v souhlasu, který podepisuje zákonný zástupce. Záznamy o používání aplikace se mažou automaticky nejpozději po 180 dnech od svého vzniku.

Potom osobní údaje hráče smažeme. Ponecháme si jen souhrnné technické údaje za celou skupinu (průměry, kalibrační parametry senzoru), ze kterých jednotlivého hráče určit nelze; takové souhrny už nejsou osobními údaji a slouží dalšímu vývoji.

Smazání účtu a dat

O smazání účtu a všech dat, která hráče identifikují, můžeš kdykoli požádat e-mailem na adresu správce — vyřídíme ho do 30 dnů, včetně záloh v běžném cyklu. Není k tomu potřeba udávat důvod a nemá to žádné důsledky.

U hráče mladšího 18 let může o smazání požádat i zákonný zástupce.

ČÁST 2

Pořadník na tomhle webu

Pořadník je seznam e-mailů lidí, kteří chtějí vědět, až budou první kusy k dispozici. S aplikací ani s pilotním testováním nemá nic společného — jde o jiné údaje i jiné lidi.

Jaké údaje sbíráme

• E-mailovou adresu, kterou vyplníš do formuláře.
• Zvolenou roli (hráč / rodič / trenér).
• Potvrzení, že ti je 15 nebo více let.
• Datum a čas zápisu a referenční kód, pokud jsi přišel přes odkaz.

Do pořadníku nesbíráme jméno, adresu, telefon ani žádné údaje o zdraví či sportovním výkonu. Je to jen seznam e-mailů.

Web nepoužívá žádné analytické ani reklamní nástroje, nemá cookies a nenačítá nic z cizích serverů — písma, obrázky i videa leží přímo na tomhle webu.

Proč je zpracováváme

Abychom ti mohli dát vědět, až bude produkt k dispozici, a abychom věděli, kolik lidí o něj má zájem. Právním základem je tvůj souhlas, který dáváš odesláním formuláře.

Věková hranice

Zápis do pořadníku je určen osobám od 15 let — v Česku je to hranice, od které můžeš se zpracováním údajů souhlasit sám. Pokud je ti méně, poproš o zápis rodiče.

Jak dlouho je držíme

Do odvolání souhlasu, nejdéle však do konce prodeje první série. Pak seznam smažeme.

Komu se dostanou

Nikomu je neprodáváme ani nepředáváme dál. Technicky nám s provozem pomáhají tři zpracovatelé:

• Supabase — databáze, ve které seznam leží. Servery v Evropské unii (Francie).
• Vercel — hosting téhle stránky a měření návštěvnosti. Při návštěvě zpracuje technické údaje spojení, včetně IP adresy. Je to americká společnost, takže technické údaje o návštěvě mohou být zpracovány i mimo Evropskou unii.
• Resend — rozešle potvrzovací e-mail o zápisu. Je to americká společnost, ale e-maily nám zpracovává v regionu Evropské unie (Irsko).

Měření návštěvnosti

Zajímá nás, kolik lidí web navštívilo a odkud přišli — jinak nejde poznat, jestli má smysl na něm dál pracovat. Používáme k tomu Vercel Web Analytics, a to schválně nástroj, který neukládá cookies ani nevytváří otisk tvého prohlížeče. Neskládáme si profil, nesledujeme tě napříč weby a nedá se z toho zpětně zjistit, kdo jsi. Proto tu na tebe taky nevyskakuje žádná lišta se souhlasem — není k čemu ho dávat.

Sbírá se z toho jen souhrn: navštívená stránka, odkud jsi přišel, typ zařízení a země. Právním základem je náš oprávněný zájem na tom vědět, jestli web funguje (čl. 6 odst. 1 písm. f) GDPR).

Jaké e-maily posíláme

Přesně dva. Hned po zápisu ti přijde potvrzení s tvým pořadím ve frontě, a pak už jen jeden e-mail, až produkt bude existovat. Žádný newsletter, žádné novinky každý týden.

V každém e-mailu je odkaz, kterým se jedním kliknutím odhlásíš — odhlášení tvůj e-mail rovnou smaže ze seznamu.

PLATÍ PRO OBOJÍ

Tvoje práva

Kdykoliv můžeš chtít vědět, co o tobě evidujeme, nechat si to opravit, smazat, omezit zpracování, nebo souhlas odvolat — stačí napsat na abcz011@seznam.cz a vyřídíme to. Odvolání souhlasu tě ze zpracování okamžitě odstraní a nemá pro tebe žádné důsledky. Můžeš si taky říct o kopii svých údajů ve strojově čitelné podobě.

U nezletilého hráče může tato práva uplatnit i jeho zákonný zástupce.

Poskytnutí údajů je vždy dobrovolné. Když se do pořadníku nezapíšeš, jen ti nedáme vědět, až produkt bude; když se nezapojíš do testování, na fotbal to nemá vliv.

Pokud bys měl pocit, že s údaji nakládáme špatně, můžeš se obrátit na Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7. Případné porušení zabezpečení, které by pro tebe znamenalo vysoké riziko, ti oznámíme bez zbytečného odkladu.

ENGLISH

Data processing in the GAVIAL app

Translation of ČÁST 1 above, provided for App Store review. The Czech version is authoritative; the waitlist section (ČÁST 2) covers this website only and is not translated.

Controller: Hong Khanh Viet Doan, company ID 03164942, Husova 14, 285 06 Sázava, Czech Republic. Contact: abcz011@seznam.cz. GAVIAL does not yet have a company; once one is incorporated, the controller's rights and obligations will transfer to it, the purposes will not change, and we will notify data subjects in advance by e-mail.

The app is not public. It is used in a closed pilot test at a single football club (U17 and U19 squads). Accounts cannot be created freely — they are created only through a personal single-use invitation issued by the controller.

Minors and parental consent

• Players aged 15 and over also give their own consent to processing in connection with the app — under Czech law (Section 7 of Act No. 110/2019 Coll.) 15 is the age at which a child may consent to information society services. For players under 18 this does not replace parental consent; both apply side by side.
• A legal guardian may withdraw consent at any time by e-mail to the controller, without giving a reason. After withdrawal we delete the player's account and all identifying data within 30 days.
• Withdrawal carries no consequences. Taking part in the test has no bearing on club membership, team selection, playing time, or how a coach rates the player.
• The app is not directed at children under 13 and is not enrolled in the App Store Kids Category.

What data the app processes

• Account: e-mail address and password, internal account identifier.
• Player profile: first and last name, year of birth, club and team, playing position and dominant foot; optionally height, weight and sex. Height, weight, sex and age are used solely as coefficients for an approximate estimate of energy expenditure and distance, are entered once, and are never used to assess body composition.
• Performance data from the sensor: step count, derived distance, workload (GRIND), an approximate estimate of energy expenditure, the number and power of shots (GAVIAL Score), and the distribution of load between the left and right leg. Data is transferred to the phone in bulk after play, not live.
• App usage records (optional): technical records of how the app is used — that it was launched, which screens were shown, whether a data transfer from the sensor succeeded. Used only to find out what does not work during the pilot. They contain no name, no e-mail and nothing the player types. Collection can be turned off in the app at any time (Settings → Privacy and data) and the setting is bound to the account, so it survives reinstalling.
• Crash records: when the app crashes, a technical record of the crash is stored so we can find the bug.

What we do not collect: the sensor has no GPS and does not track the player's location; we do not collect heart rate or any other health data; the app stores no profile photo and no social media links.

In the Apple declaration the performance data is filed under „Health & Fitness", because Apple places purely sporting metrics in that category. This is an acknowledgement that sports data is collected, not a health claim: GAVIAL is not a medical device, the data serves no diagnostic or health assessment purpose, and it is not a special category of personal data under Article 9 GDPR.

Purposes and legal basis

• Showing the player their own sporting performance in the app (statistics, leaderboards, gamification).
• Evaluating and improving the product during the pilot test.
• Finding out what does not work in the app — from usage records only, and only with separate optional consent.

The legal basis in every case is consent (Article 6(1)(a) and Article 8 GDPR; for players aged 15 and over, in relation to the app, also Section 7 of Act No. 110/2019 Coll.), and for minors the consent of a legal guardian as described above.

The data is not used for marketing or advertising. The app converts measurements into scores and game categories automatically, but there is no automated decision-making producing legal or similarly significant effects within the meaning of Article 22 GDPR — it is a game and feedback; team selection always rests with the coach.

No tracking

The app contains no third-party SDKs, no third-party analytics, no advertising, and does not use the device advertising identifier. Nothing is shared with data brokers.

Who receives the data

• Supabase — the database holding the data. Servers in the European Union (Ireland), with a signed data processing agreement. Some of the provider's sub-processors may be based in the USA; any such transfer is covered by the EU Standard Contractual Clauses (Article 46 GDPR), a copy of which is available from the controller.
• Apple — distribution of the test build via TestFlight, limited to tester account data.
• The club and coaches receive only aggregated team results from the controller. They have no access to an individual player's data or to app usage records.
• The data is never sold or passed to anyone else.

A player sees their own data and a leaderboard limited to their own club. That restriction is enforced at the database level, not only in the app.

Retention

For the duration of the pilot test and its evaluation; the final date is stated in the consent form signed by the legal guardian. App usage records are deleted automatically no later than 180 days after they are created.

After that we delete the player's personal data. We keep only aggregate technical figures for the group as a whole (averages, sensor calibration parameters) from which no individual player can be identified; such aggregates are no longer personal data.

Deleting your account and data

You can request deletion of your account and all identifying data at any time by e-mailing the controller — we will complete it within 30 days, including backups in the normal cycle. No reason is required and there are no consequences. For a player under 18, a legal guardian may also make the request.

Your rights

You have the right of access, rectification, erasure, restriction of processing, data portability, and to object; and you may withdraw consent at any time. Write to abcz011@seznam.cz. You may also lodge a complaint with the Czech supervisory authority: Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Prague 7, Czech Republic.