Zásady zpracování osobních údajů

SK KAMIWAZA KARATE z. s. zpracovává osobní údaje v souladu s Nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „GDPR“) a se zákonem č. 110/2019 Sb., o zpracování osobních údajů, ve znění pozdějších předpisů.

Tímto dokumentem plní SK informační povinnost podle čl. 13 a 14 GDPR. Dokument je informativní — nevyžaduje souhlas subjektu údajů a jeho účelem je poskytnout členům, účastníkům aktivit a jejich zákonným zástupcům úplnou informaci o tom, jaké údaje a proč SK zpracovává.

I. Správce osobních údajů a subjekt údajů

Správcem osobních údajů je:

• SK KAMIWAZA KARATE z. s.
• sídlo: se sídlem Bryksova 776/39, Černý Most, 198 00 Praha 9
• IČO: 226 67 288
• zapsán ve spolkovém rejstříku vedeném u příslušného rejstříkového soudu
• kontaktní e-mail: info@spirit-sport.cz

(dále jen „SK“ nebo „správce“).

Správce nejmenoval pověřence pro ochranu osobních údajů, neboť nesplňuje podmínky podle čl. 37 odst. 1 GDPR. Veškerou agendu ochrany osobních údajů vyřizuje statutární orgán správce, resp. jím pověřená osoba, na výše uvedené kontaktní adrese.

Subjektem údajů se rozumí fyzická osoba, k níž se osobní údaje vztahují. V podmínkách SK jde zejména o:

• členy SK a účastníky sportovních aktivit, kurzů a akcí,
• zákonné zástupce nezletilých členů a účastníků,
• uživatele informačního systému SK (osoby s uživatelským účtem),
• trenéry, asistenty, zaměstnance a další osoby podílející se na činnosti SK,
• zájemce o členství a zájemce o účast na akcích.

II. Kategorie zpracovávaných osobních údajů

SK zpracovává pouze údaje nezbytné pro účely uvedené v čl. III těchto Zásad. Podle povahy vztahu jde o tyto kategorie:

a) Identifikační údaje

• jméno a příjmení,
• datum narození,
• rodné číslo,
• pohlaví,
• státní občanství,
• interní identifikátor člena přidělený informačním systémem.

b) Kontaktní údaje

• adresa bydliště, případně doručovací adresa,
• e-mailová adresa (u nezletilých zpravidla adresa zákonného zástupce, a to i více adres),
• telefonní číslo (rovněž i více čísel — zpravidla obou zákonných zástupců),
• název školy, kterou nezletilý člen navštěvuje, je-li to pro organizaci aktivity nezbytné.

c) Údaje o členství a účasti na aktivitách

• vznik, trvání a zánik členství,
• zápis do kurzů, tréninkových skupin a na akce (soustředění, tábory, semináře, soutěže),
• evidence docházky na tréninky a akce, včetně omluv,
• dosažené technické stupně (pásky) a výsledky zkoušek, závodní registrace a výsledky soutěží, evidence členských známek sportovních svazů,
• evidence trenérských a jiných kvalifikací u osob, které vedou aktivity,
• zařazení do evidenčních skupin pro účely dotačních programů a výkaznictví.

d) Platební a fakturační údaje

• předpisy plateb, jejich výše, splatnost a stav úhrady,
• variabilní a specifické symboly plateb,
• číslo bankovního účtu plátce, které je součástí údajů o přijaté platbě,
• fakturační údaje a vystavené doklady,
• evidence slev, kompenzací a prominutí příspěvku.

e) Obrazové záznamy

• profilová fotografie člena, je-li nahrána do informačního systému,
• fotografie a obrazové záznamy pořízené při tréninkové a soutěžní činnosti a při akcích SK.

f) Údaje související s užíváním informačního systému

• přihlašovací e-mail a heslo uložené v nečitelné podobě (hash),
• datum a čas udělení souhlasu s podmínkami a IP adresa, ze které byl souhlas udělen — jako doklad o udělení souhlasu podle čl. 7 odst. 1 GDPR,
• provozní záznamy o přihlášení a o vybraných operacích v systému včetně IP adresy.

g) Údaje o zdravotním stavu — viz čl. IV těchto Zásad.

h) Poznámky správce — sdělení, která člen nebo jeho zákonný zástupce uvede v přihlášce, a záznamy pověřených osob SK vztahující se k organizaci aktivit (například údaj o tom, kdo je oprávněn nezletilého vyzvedávat).

III. Účely zpracování a právní tituly

SK zpracovává osobní údaje výhradně pro níže uvedené účely a na základě uvedených právních titulů podle čl. 6 odst. 1 GDPR:

a) Vedení seznamu členů a správa členského vztahu
Právní titul: splnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR, ve spojení s § 236 zákona č. 89/2012 Sb., občanský zákoník, který spolku ukládá vést seznam členů, a se stanovami SK.
Rozsah: údaje podle čl. II písm. a), b), c).

b) Organizace tréninků, kurzů a akcí, komunikace s členy a zákonnými zástupci
Právní titul: splnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR. Zahrnuje zasílání provozních sdělení (potvrzení přihlášky, informace o změnách termínů, pokyny k akcím, výzvy k platbě). Tato sdělení nejsou obchodním sdělením a nelze je odmítnout, dokud vztah trvá.
Rozsah: údaje podle čl. II písm. a), b), c), h).

c) Vedení účetnictví a plnění daňových povinností
Právní titul: splnění právní povinnosti podle čl. 6 odst. 1 písm. c) GDPR — zejména zákon č. 563/1991 Sb., o účetnictví, zákon č. 586/1992 Sb., o daních z příjmů, a zákon č. 280/2009 Sb., daňový řád.
Rozsah: údaje podle čl. II písm. a), b), d).

d) Evidence pro účely dotací, veřejné podpory a výkaznictví
Právní titul: splnění právní povinnosti podle čl. 6 odst. 1 písm. c) GDPR, zejména podle zákona č. 115/2001 Sb., o podpoře sportu (zápis do Rejstříku sportu vedeného Národní sportovní agenturou), zákona č. 320/2001 Sb., o finanční kontrole, a podle podmínek jednotlivých dotačních programů státu, kraje nebo obce.
Rozsah: údaje podle čl. II písm. a), b), c) — v rozsahu požadovaném poskytovatelem podpory. Pro tento účel je zpracováváno také rodné číslo, a to výhradně tehdy, vyžaduje-li to příslušný právní předpis nebo podmínky dotačního programu.

e) Členství v příslušných sportovních svazech a účast na soutěžích
Právní titul: splnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR — je-li členství ve svazu součástí členského vztahu nebo podmínkou účasti na soutěži, na kterou se člen přihlásil.
Rozsah: údaje podle čl. II písm. a), b), c) v rozsahu požadovaném příslušným svazem nebo pořadatelem soutěže.

f) Ochrana práv a oprávněných zájmů správce
Právní titul: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR. Zahrnuje vymáhání neuhrazených členských příspěvků a jiných pohledávek, uplatnění a obhajobu právních nároků, náhradu způsobené škody a zajištění bezpečnosti informačního systému a jeho dat.
Rozsah: údaje podle čl. II písm. a), b), d), f).

g) Dokumentace a propagace činnosti
Právní titul: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR — doložení a propagace činnosti spolku prostřednictvím fotografií a obrazových záznamů z tréninků, soutěží a akcí. Subjekt údajů má proti tomuto zpracování právo vznést námitku podle čl. 21 GDPR; postačí sdělení na kontaktní e-mail správce nebo pověřené osobě na místě.
Rozsah: údaje podle čl. II písm. e).

h) Zasílání informací o nabídce SK nad rámec probíhajícího vztahu
Právní titul: souhlas podle čl. 6 odst. 1 písm. a) GDPR, popřípadě oprávněný zájem u vlastních obdobných služeb podle § 7 odst. 3 zákona č. 480/2004 Sb. Souhlas je dobrovolný a lze jej kdykoli odvolat; odvoláním není dotčena zákonnost předchozího zpracování.

IV. Údaje o zdravotním stavu

Údaje o zdravotním stavu jsou zvláštní kategorií osobních údajů podle čl. 9 GDPR a SK je zpracovává pouze v nezbytném rozsahu.

Člen, případně jeho zákonný zástupce, je povinen uvést zdravotní omezení, která mohou ovlivnit bezpečnost člena nebo ostatních účastníků při pohybové aktivitě — například alergie, chronická onemocnění, dlouhodobě užívané léky, prodělaná zranění, poruchy autistického spektra, ADHD nebo obdobná omezení. Změny je povinen bez zbytečného odkladu oznámit.

Právním titulem je výslovný souhlas podle čl. 9 odst. 2 písm. a) GDPR, který subjekt údajů (u nezletilého jeho zákonný zástupce) uděluje sdělením těchto údajů v přihlášce; v situaci bezprostředního ohrožení zdraví je jím ochrana životně důležitých zájmů podle čl. 9 odst. 2 písm. c) GDPR.

Tyto údaje jsou zpřístupněny výhradně osobám, které je potřebují k zajištění bezpečnosti aktivity — zejména trenérovi, vedoucímu akce a zdravotníkovi — a poskytovateli zdravotní péče v případě zásahu. Uchovávají se po dobu trvání členství nebo účasti na akci; poté jsou vymazány, není-li jich třeba k obhajobě právních nároků.

Lékařské zprávy a obdobné dokumenty SK nevyžaduje a nezakládá do evidence; jsou-li předloženy k posouzení individuální žádosti (například o vrácení části příspěvku), použijí se výhradně k vyřízení této žádosti.

V. Zdroje osobních údajů

SK získává osobní údaje:

• přímo od subjektu údajů, zpravidla vyplněním online přihlášky nebo registrací uživatelského účtu,
• od zákonného zástupce, jde-li o údaje nezletilého,
• z vlastní činnosti (evidence docházky, výsledky, stav plateb),
• od banky v podobě údajů o přijaté platbě,
• z veřejných rejstříků, jde-li o údaje podnikající fyzické osoby.

VI. Zásady zpracování osobních údajů

Správce postupuje podle zásad uvedených v čl. 5 GDPR. Osobní údaje jsou:

1. ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem („zákonnost, korektnost a transparentnost“);
2. shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nejsou dále zpracovávány způsobem, který je s těmito účely neslučitelný („účelové omezení“);
3. přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány („minimalizace údajů“);
4. přesné a v případě potřeby aktualizované; správce přijímá rozumná opatření, aby nepřesné údaje byly bezodkladně opraveny nebo vymazány („přesnost“);
5. uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány („omezení uložení“);
6. zpracovávány způsobem, který zajistí náležité zabezpečení osobních údajů, včetně jejich ochrany pomocí vhodných technických nebo organizačních opatření před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením („integrita a důvěrnost“).

Správce odpovídá za dodržení těchto zásad a musí být schopen je doložit („odpovědnost“).

VII. Způsob zpracování a zabezpečení

Zpracování probíhá automatizovaně v informačním systému, doplňkově též manuálně u dokumentů v listinné podobě. Informační systém pro SK provozuje na základě smlouvy o zpracování osobních údajů podle čl. 28 GDPR SPORT CLUB SPIRIT z. s., IČO: 034 05 354, se sídlem Bryksova 776/39, Černý Most, 198 00 Praha 9; zpracování probíhá v sídle správce a v prostředí provozovatele informačního systému.

K údajům mají přístup pouze pověřené osoby SK v rozsahu odpovídajícím jejich roli — trenér vidí údaje potřebné k vedení své skupiny, hospodář údaje potřebné k evidenci plateb, správce systému údaje potřebné ke správě. Přístup je chráněn individuálním uživatelským jménem a heslem; hesla jsou ukládána pouze v nečitelné podobě. Pověřené osoby jsou vázány povinností mlčenlivosti, která trvá i po skončení jejich působení u SK.

Přenos dat mezi zařízením uživatele a informačním systémem je šifrován. Data jsou pravidelně zálohována. Správce přijal opatření proti neoprávněnému nebo nahodilému přístupu k osobním údajům, jejich změně, zničení, ztrátě, neoprávněným přenosům a jinému zneužití.

VIII. Příjemci osobních údajů a zpracovatelé

Osobní údaje mohou být zpřístupněny těmto kategoriím příjemců:

• Provozovatel informačního systému — SPORT CLUB SPIRIT z. s., IČO: 034 05 354, se sídlem Bryksova 776/39, Černý Most, 198 00 Praha 9, v postavení zpracovatele podle čl. 28 GDPR.
• Poskytovatel serverového prostředí (hosting), na jehož infrastruktuře je informační systém provozován, v postavení zpracovatele. Servery jsou umístěny na území České republiky.
• Poskytovatel fakturační služby, prostřednictvím které jsou vystavovány doklady, v postavení zpracovatele.
• Banka vedoucí účet správce — v rozsahu údajů o platbách.
• Příslušné sportovní svazy a pořadatelé soutěží — v rozsahu nezbytném pro registraci člena a jeho účast na soutěži.
• Orgány veřejné moci — Národní sportovní agentura, poskytovatelé dotací, finanční správa, kontrolní orgány — v rozsahu a za podmínek stanovených právními předpisy.
• Účetní, daňoví a právní poradci správce v rozsahu nezbytném pro poskytnutí služby.

Se všemi zpracovateli má správce uzavřenu smlouvu o zpracování osobních údajů podle čl. 28 GDPR. Zpracovatelé jsou oprávněni zpracovávat osobní údaje pouze podle pokynů správce a jsou vázáni povinností mlčenlivosti.

SK nepředává osobní údaje do třetích zemí mimo Evropskou unii ani mezinárodním organizacím. SK osobní údaje neprodává a nepředává třetím osobám k jejich vlastním marketingovým účelům.

IX. Doba zpracování osobních údajů

Osobní údaje jsou uchovávány pouze po dobu nezbytnou pro daný účel:

• Členská evidence — po dobu trvání členství a dále do konce kalendářního roku, ve kterém skončil školní rok, v němž členství zaniklo. Tato doba odpovídá pravidlům členství a potřebě doložit evidenci členů státním orgánům a institucím.
• Údaje pro dotační účely a výkaznictví — po dobu stanovenou podmínkami příslušného dotačního programu a lhůtami pro finanční kontrolu, zpravidla 10 let od konce účetního období, jehož se podpora týkala.
• Účetní a daňové doklady — po dobu stanovenou právními předpisy, zpravidla 5 let u účetních záznamů a 10 let u dokladů podléhajících zvláštní úpravě.
• Údaje o zdravotním stavu — po dobu trvání členství nebo účasti na akci.
• Doklady o udělených souhlasech — po dobu platnosti souhlasu a dále po dobu, po kterou je třeba doložit jeho udělení.
• Provozní záznamy informačního systému včetně IP adres — po dobu nezbytnou pro zajištění bezpečnosti a doložení provozních událostí, nejdéle 12 měsíců.
• Údaje zpracovávané na základě souhlasu — do odvolání souhlasu.
• Údaje potřebné k uplatnění a obhajobě právních nároků — po dobu běhu příslušných promlčecích lhůt.

Po uplynutí uvedených dob jsou osobní údaje vymazány nebo anonymizovány tak, aby subjekt údajů nebylo možné identifikovat.

X. Zpracování osobních údajů nezletilých

Členem a účastníkem aktivit SK může být i nezletilá osoba. Její osobní údaje poskytuje a za jejich správnost odpovídá zákonný zástupce, který také za nezletilého uplatňuje práva podle čl. XI těchto Zásad.

Uživatelský účet v informačním systému zakládá zákonný zástupce, nikoli nezletilý. Údaje nezletilých SK nepoužívá k profilování ani k cílené reklamě.

XI. Práva subjektu údajů

Subjekt údajů má ve vztahu ke svým osobním údajům následující práva:

a) Právo na přístup k osobním údajům (čl. 15 GDPR)
Právo získat od správce potvrzení, zda jsou jeho osobní údaje zpracovávány, a pokud ano, získat k nim přístup a informace o účelech zpracování, kategoriích údajů, příjemcích, plánované době uložení, o právu požadovat opravu, výmaz či omezení zpracování, o právu vznést námitku, o právu podat stížnost u dozorového úřadu, o zdroji údajů a o tom, zda dochází k automatizovanému rozhodování. Správce poskytne kopii zpracovávaných údajů; za další kopie může účtovat přiměřený poplatek odpovídající administrativním nákladům. Právem získat kopii nesmějí být nepříznivě dotčena práva a svobody jiných osob.

b) Právo na opravu (čl. 16 GDPR)
Právo na to, aby správce bez zbytečného odkladu opravil nepřesné osobní údaje, a s ohledem na účel zpracování též právo na doplnění neúplných údajů. Aktuální kontaktní a identifikační údaje lze opravit rovněž přímo v uživatelském účtu.

c) Právo na výmaz, tzv. právo být zapomenut (čl. 17 GDPR)
Právo na výmaz osobních údajů, pokud již nejsou potřebné pro účel, pro který byly shromážděny, pokud byl odvolán souhlas a neexistuje jiný právní titul, pokud byla vznesena důvodná námitka, pokud byly údaje zpracovány protiprávně nebo pokud to ukládá právní předpis. Právo na výmaz nelze uplatnit, je-li zpracování nezbytné pro splnění právní povinnosti správce (zejména účetnictví, daně, dotační evidence) nebo pro určení, výkon či obhajobu právních nároků.

d) Právo na omezení zpracování (čl. 18 GDPR)
Právo na to, aby správce omezil zpracování, popírá-li subjekt údajů přesnost údajů, je-li zpracování protiprávní a subjekt údajů odmítá výmaz, nepotřebuje-li již správce údaje, ale subjekt údajů je požaduje pro obhajobu právních nároků, nebo byla-li vznesena námitka, dokud nebude ověřeno, zda oprávněné důvody správce převažují. Před zrušením omezení je subjekt údajů předem upozorněn.

e) Právo na přenositelnost údajů (čl. 20 GDPR)
Právo získat údaje, které správci poskytl, ve strukturovaném, běžně používaném a strojově čitelném formátu a předat je jinému správci, je-li zpracování založeno na souhlasu nebo na smlouvě a provádí-li se automatizovaně.

f) Právo vznést námitku (čl. 21 GDPR)
Právo kdykoli vznést námitku proti zpracování založenému na oprávněném zájmu správce, včetně zpracování fotografií a obrazových záznamů z činnosti. Správce zpracování ukončí, neprokáže-li závažné oprávněné důvody, které převažují nad zájmy, právy a svobodami subjektu údajů. Proti zpracování pro účely přímého marketingu lze vznést námitku vždy a bez dalšího.

g) Právo odvolat souhlas (čl. 7 odst. 3 GDPR)
Je-li zpracování založeno na souhlasu, lze souhlas kdykoli odvolat sdělením na kontaktní e-mail správce. Odvoláním souhlasu není dotčena zákonnost zpracování před jeho odvoláním. Odvolání souhlasu se nedotýká zpracování, které správce provádí z jiného právního titulu.

h) Právo nebýt předmětem automatizovaného rozhodování (čl. 22 GDPR)
U správce nedochází k automatizovanému rozhodování ani k profilování s právními účinky pro subjekt údajů.

i) Právo podat stížnost u dozorového úřadu (čl. 77 GDPR)
Domnívá-li se subjekt údajů, že zpracováním jeho osobních údajů bylo porušeno GDPR, má právo podat stížnost u dozorového úřadu, kterým je pro Českou republiku:

• Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7
• www.uoou.gov.cz

Tím není dotčeno právo na soudní ochranu.

XII. Uplatnění práv

Práva podle čl. XI lze uplatnit písemně na adresu sídla správce nebo elektronicky na e-mail info@spirit-sport.cz. Správce je oprávněn požádat o ověření totožnosti žadatele, aby nesdělil osobní údaje neoprávněné osobě.

Žádost správce vyřídí bez zbytečného odkladu, nejpozději do jednoho měsíce od jejího doručení. Tuto lhůtu lze v odůvodněných případech prodloužit o další dva měsíce; o prodloužení a jeho důvodech je žadatel informován. Informace se poskytují bezplatně; při zjevně nedůvodných nebo nepřiměřených žádostech, zejména opakovaných, může správce účtovat přiměřený poplatek nebo odmítnout žádosti vyhovět.

XIII. Závěrečná ustanovení

SK je oprávněn tyto Zásady jednostranně měnit, zejména v návaznosti na změnu právní úpravy nebo rozsahu zpracování. Aktuální znění je vždy dostupné v informačním systému SK a na jeho internetových stránkách. O podstatné změně budou subjekty údajů informovány.

Tyto Zásady se vztahují na zpracování osobních údajů prováděné SK. Práva a povinnosti členů a účastníků aktivit upravuje samostatně Směrnice k podmínkám členství a vzájemných vztahů.

Tyto Zásady nabývají účinnosti dnem 4. srpna 2026.