For gymsΓια γυμναστήρια

Data processing agreementΣύμβαση επεξεργασίας δεδομένων

αθλ·easy's standard agreement with every gym that runs on it, on how we handle its members' and staff's personal data for it (GDPR article 28). Η τυποποιημένη σύμβαση του αθλ·easy με κάθε γυμναστήριο που το χρησιμοποιεί, για το πώς χειριζόμαστε για λογαριασμό του τα προσωπικά δεδομένα των μελών και του προσωπικού του (άρθρο 28 ΓΚΠΔ).

Version 6, 8 October 2026Έκδοση 6, 8 Οκτωβρίου 2026

What changed from version 5 (7 October 2026): a programme's text, the notes on its exercises and the notes on personal training sessions are treated as health data, kept and read only with the member's explicit agreement and only by the coaches who see their measurements, and deleted when the agreement is withdrawn (sections 2, 3, 9 and 11); what a member's own "under 15" answer does at every gym, and what the desk's under-15 mark does at its own (section 3); a gym keeps a former member's data at most 5 years, no longer "never anonymised" (section 4); for a request an app may send twice, the server keeps only whether it succeeded and a reference to what it made, never the answer itself (section 6); a class a person added to their phone's calendar stays there after signing out (section 6). The health notes have been handled this way since 7 October 2026, before this version said so: this is our notice of it. Like versions 2 to 5, this one comes before αθλ·easy launched. Τι άλλαξε από την έκδοση 5 (7 Οκτωβρίου 2026): το κείμενο ενός προγράμματος, οι σημειώσεις των ασκήσεών του και οι σημειώσεις των συνεδριών προσωπικής προπόνησης αντιμετωπίζονται ως δεδομένα υγείας, κρατιούνται και διαβάζονται μόνο με τη ρητή συμφωνία του μέλους και μόνο από τους προπονητές που βλέπουν τις μετρήσεις του, και διαγράφονται όταν ανακληθεί η συμφωνία (ενότητες 2, 3, 9 και 11)· τι κάνει η απάντηση «κάτω των 15» του ίδιου του μέλους σε κάθε γυμναστήριο, και τι κάνει η σήμανση κάτω των 15 της γραμματείας στο δικό της (ενότητα 3)· ένα γυμναστήριο κρατά τα δεδομένα ενός πρώην μέλους το πολύ 5 χρόνια, όχι πια «χωρίς ανωνυμοποίηση» (ενότητα 4)· για ένα αίτημα που μια εφαρμογή μπορεί να στείλει δύο φορές, ο διακομιστής κρατά μόνο αν πέτυχε και μια αναφορά σε ό,τι δημιούργησε, ποτέ την ίδια την απάντηση (ενότητα 6)· ένα μάθημα που κάποιος πρόσθεσε στο ημερολόγιο του κινητού του μένει εκεί μετά την αποσύνδεση (ενότητα 6). Οι σημειώσεις υγείας αντιμετωπίζονται έτσι από τις 7 Οκτωβρίου 2026, πριν το πει αυτή η έκδοση: αυτή είναι η ενημέρωσή μας γι' αυτό. Όπως οι εκδόσεις 2 έως 5, και αυτή έρχεται πριν ξεκινήσει το αθλ·easy.

What changed from version 4 (7 October 2026): the gym's public page also shows its trainers' roles, the links to their social pages and website that they enter themselves as public, and, for personal training, how to book it, the area they cover and their places (sections 2, 3 and 7); the gym's staff see when a member's own account says they're under 15, and how a parent's agreement was confirmed must be recorded before the parent agrees to measurements (section 3); what the gym's full export holds, and the little it leaves out (section 11). Versions 2 to 4 came within three days, each saying of a sub-processor's role that had already grown: that was before αθλ·easy launched, while no gym was live on it. From launch, every change is announced at least 30 days ahead, as sections 7 and 13 say. Τι άλλαξε από την έκδοση 4 (7 Οκτωβρίου 2026): η δημόσια σελίδα του γυμναστηρίου δείχνει και τους ρόλους των προπονητών του, τους συνδέσμους για τα κοινωνικά τους δίκτυα και τον ιστότοπό τους που καταχωρούν οι ίδιοι ως δημόσιους, και, για την προσωπική προπόνηση, πώς κλείνεται, την περιοχή που καλύπτουν και τους χώρους τους (ενότητες 2, 3 και 7)· το προσωπικό του γυμναστηρίου βλέπει όταν ο δικός του λογαριασμός ενός μέλους λέει ότι είναι κάτω των 15, και το πώς επιβεβαιώθηκε η συμφωνία του γονέα πρέπει να καταγραφεί πριν ο γονέας συμφωνήσει σε μετρήσεις (ενότητα 3)· τι περιέχει η πλήρης εξαγωγή του γυμναστηρίου, και τα λίγα που αφήνει έξω (ενότητα 11). Οι εκδόσεις 2 έως 4 ήρθαν μέσα σε τρεις ημέρες, καθεμία για ρόλο υπεργολάβου που είχε ήδη μεγαλώσει: αυτό έγινε πριν ξεκινήσει το αθλ·easy, όταν κανένα γυμναστήριο δεν ήταν σε κανονική λειτουργία. Από την έναρξη, κάθε αλλαγή ανακοινώνεται τουλάχιστον 30 ημέρες πριν, όπως λένε οι ενότητες 7 και 13.

What changed from version 3 (7 October 2026): Mailgun also sends the emails about changes coming soon (a class or session in the next two days cancelled or moved, a place freed from the waiting list), only for live gyms and only to people with an account (sections 2 and 7); members under 15, including those with an account of their own, and how a parent's agreement was confirmed (section 3); the gym's head coach can close the gym in the app and download all its data first, and the gym can be reopened within the 30 days before its data is deleted (sections 9 and 11); the server keeps the answer to a request an app may repeat for 24 to 48 hours (section 6). The change emails started before this version said so: this is our notice of it, and a gym may object as section 7 says, within 30 days. Τι άλλαξε από την έκδοση 3 (7 Οκτωβρίου 2026): η Mailgun στέλνει και τα email για αλλαγές που έρχονται σύντομα (ένα μάθημα ή μια συνεδρία των επόμενων δύο ημερών που ακυρώθηκε ή μετακινήθηκε, μια θέση που ελευθερώθηκε από τη λίστα αναμονής), μόνο για γυμναστήρια σε κανονική λειτουργία και μόνο σε όσους έχουν λογαριασμό (ενότητες 2 και 7)· τα μέλη κάτω των 15, και όσα έχουν δικό τους λογαριασμό, και πώς επιβεβαιώθηκε η συμφωνία του γονέα (ενότητα 3)· ο υπεύθυνος του γυμναστηρίου μπορεί να κλείσει το γυμναστήριο από την εφαρμογή και να κατεβάσει πρώτα όλα τα δεδομένα του, και το γυμναστήριο μπορεί να ξανανοίξει μέσα στις 30 ημέρες πριν διαγραφούν τα δεδομένα του (ενότητες 9 και 11)· ο διακομιστής κρατά την απάντηση σε ένα αίτημα που μπορεί να επαναλάβει μια εφαρμογή για 24 έως 48 ώρες (ενότητα 6). Τα email για τις αλλαγές ξεκίνησαν πριν το πει αυτή η έκδοση: αυτή είναι η ενημέρωσή μας γι' αυτό, και ένα γυμναστήριο μπορεί να αντιταχθεί όπως λέει η ενότητα 7, μέσα σε 30 ημέρες.

What changed from version 2 (6 October 2026): Sentry also receives reports of the server's errors (section 7), which may carry what an error said about the request that failed, never who made it; the calendar links (sections 2 and 7) and how long blocked people and staff who left are kept (section 3) are written down. The server's error reports started on 6 October 2026, before this version said so: this is our notice of it, and a gym may object as section 7 says, within 30 days. Τι άλλαξε από την έκδοση 2 (6 Οκτωβρίου 2026): η Sentry λαμβάνει και αναφορές για τα σφάλματα του διακομιστή (ενότητα 7), που μπορεί να περιέχουν ό,τι έλεγε ένα σφάλμα για το αίτημα που απέτυχε, ποτέ ποιος το έκανε· καταγράφονται οι σύνδεσμοι ημερολογίου (ενότητες 2 και 7) και πόσο κρατιούνται όσοι αποκλείστηκαν και το προσωπικό που αποχώρησε (ενότητα 3). Οι αναφορές σφαλμάτων του διακομιστή ξεκίνησαν στις 6 Οκτωβρίου 2026, πριν το πει αυτή η έκδοση: αυτή είναι η ενημέρωσή μας γι' αυτό, και ένα γυμναστήριο μπορεί να αντιταχθεί όπως λέει η ενότητα 7, μέσα σε 30 ημέρες.

What changed from version 1 (5 October 2026): Cloudflare is listed as a sub-processor (section 7); a member may let a gym's trainers see the measurements they carry from other gyms and their own (sections 2 and 3); backups are erased within about six weeks (sections 6 and 11); our legal details (section 1). Cloudflare already hosted the website and ran the sign-in check before this version named it: this is our notice of it, and a gym may object as section 7 says, within 30 days. Τι άλλαξε από την έκδοση 1 (5 Οκτωβρίου 2026): η Cloudflare αναφέρεται ως υπεκτελούσα (ενότητα 7)· ένα μέλος μπορεί να επιτρέψει στους προπονητές ενός γυμναστηρίου να βλέπουν τις μετρήσεις που έχει από άλλα γυμναστήρια και τις δικές του (ενότητες 2 και 3)· τα αντίγραφα ασφαλείας διαγράφονται μέσα σε περίπου έξι εβδομάδες (ενότητες 6 και 11)· τα νομικά μας στοιχεία (ενότητα 1). Η Cloudflare φιλοξενούσε ήδη τον ιστότοπο και έκανε τον έλεγχο σύνδεσης πριν την αναφέρει αυτή η έκδοση: αυτή είναι η ενημέρωσή μας γι' αυτό, και ένα γυμναστήριο μπορεί να αντιταχθεί όπως λέει η ενότητα 7, μέσα σε 30 ημέρες.

1. Who, and what this is1. Ποιοι, και τι είναι αυτή η σύμβαση

This agreement is between the gym or trainer's business that runs on αθλ·easy ("the gym", the controller: it decides what is kept about its people and why) and αθλ·easy (Athleasy), run by Konstantinos Tsopanakis (sole trader), Chalkokondyli 35, 104 32 Athens, Greece, ΑΦΜ 105774777, Greece, hello@athleasy.gr ("we", the processor: we handle that data for the gym). The gym's head coach accepts it in the app together with the terms for gyms, when asking to go live; the app records when, and which version of each. Η σύμβαση αυτή ισχύει μεταξύ του γυμναστηρίου ή της επιχείρησης προπονητή που χρησιμοποιεί το αθλ·easy («το γυμναστήριο», ο υπεύθυνος επεξεργασίας: αποφασίζει τι κρατιέται για τους ανθρώπους του και γιατί) και του αθλ·easy (Athleasy), που λειτουργεί ο Κωνσταντίνος Τσοπανάκης (ατομική επιχείρηση), Χαλκοκονδύλη 35, 104 32 Αθήνα, ΑΦΜ 105774777, Ελλάδα, hello@athleasy.gr («εμείς», ο εκτελών την επεξεργασία: χειριζόμαστε αυτά τα δεδομένα για λογαριασμό του γυμναστηρίου). Την αποδέχεται ο υπεύθυνος του γυμναστηρίου στην εφαρμογή, μαζί με τους όρους για γυμναστήρια, όταν ζητά κανονική λειτουργία· η εφαρμογή καταγράφει πότε, και ποια έκδοση του καθενός.

It follows the European Commission's standard contractual clauses between controllers and processors (Implementing Decision (EU) 2021/915, under article 28(7) GDPR), written in plain language and fitted to how αθλ·easy actually works. It covers all personal data we process for the gym, from the day the gym started on αθλ·easy. Nothing here lessens what the GDPR requires of either of us; on data protection, this agreement comes before the terms for gyms. Ακολουθεί τις τυποποιημένες συμβατικές ρήτρες της Ευρωπαϊκής Επιτροπής μεταξύ υπευθύνων και εκτελούντων την επεξεργασία (Εκτελεστική Απόφαση (ΕΕ) 2021/915, βάσει του άρθρου 28(7) ΓΚΠΔ), γραμμένες σε απλή γλώσσα και προσαρμοσμένες στο πώς πραγματικά λειτουργεί το αθλ·easy. Καλύπτει όλα τα προσωπικά δεδομένα που επεξεργαζόμαστε για το γυμναστήριο, από την ημέρα που ξεκίνησε στο αθλ·easy. Τίποτα εδώ δεν περιορίζει όσα απαιτεί ο ΓΚΠΔ από τον καθένα μας· για την προστασία δεδομένων, η σύμβαση αυτή υπερισχύει των όρων για γυμναστήρια.

2. What we do with the data, and why2. Τι κάνουμε με τα δεδομένα, και γιατί

Subject matter and purpose: providing the app to the gym, and nothing else. That is: running its members (details, joining requests, access for its team), the class timetable, bookings and waiting lists, subscriptions and freezes, check-ins at the door, messages between the gym and its members (and an email to the member when a class or session in the next two days is cancelled or moved, or a place on a waiting list becomes theirs), body measurements (only with the member's consent), personal training (appointments, programmes, whether a session happened, and the health notes in programmes and sessions, only with the member's consent), feedback after classes, weekly goals, the gym's reports and its full export, the record of changes, calendar links (a person's own classes and sessions, fetched through a private link by the calendar service that person subscribes with; a trainer's include their clients' names and the address of a session at a client's home), and the gym's public page (which shows only its trainers' names, photos, roles, bios and classes, the links to their social pages and website that they enter themselves as public, and, for those who take personal training, how to book it, the area they cover and their places, never a client's address; never members). Αντικείμενο και σκοπός: η παροχή της εφαρμογής στο γυμναστήριο, και τίποτα άλλο. Δηλαδή: η διαχείριση των μελών του (στοιχεία, αιτήματα εγγραφής, πρόσβαση της ομάδας του), το πρόγραμμα μαθημάτων, οι κρατήσεις και οι λίστες αναμονής, οι συνδρομές και οι παύσεις τους, οι είσοδοι στην πόρτα, τα μηνύματα μεταξύ γυμναστηρίου και μελών (και ένα email στο μέλος όταν ένα μάθημα ή μια συνεδρία των επόμενων δύο ημερών ακυρώνεται ή μετακινείται, ή όταν μια θέση από τη λίστα αναμονής γίνεται δική του), οι σωματικές μετρήσεις (μόνο με τη συγκατάθεση του μέλους), η προσωπική προπόνηση (ραντεβού, προγράμματα, αν έγινε μια συνεδρία, και οι σημειώσεις υγείας σε προγράμματα και συνεδρίες, μόνο με τη συγκατάθεση του μέλους), τα σχόλια μετά από μαθήματα, οι εβδομαδιαίοι στόχοι, οι αναφορές του γυμναστηρίου και η πλήρης εξαγωγή του, το ιστορικό αλλαγών, οι σύνδεσμοι ημερολογίου (τα μαθήματα και οι συνεδρίες ενός προσώπου, που τα παίρνει μέσω ιδιωτικού συνδέσμου η υπηρεσία ημερολογίου στην οποία τον προσθέτει το ίδιο· ενός προπονητή περιέχουν τα ονόματα των πελατών του και τη διεύθυνση μιας συνεδρίας στο σπίτι πελάτη), και η δημόσια σελίδα του γυμναστηρίου (που δείχνει μόνο τα ονόματα, τις φωτογραφίες, τους ρόλους, τα βιογραφικά και τα μαθήματα των προπονητών του, τους συνδέσμους για τα κοινωνικά τους δίκτυα και τον ιστότοπό τους που καταχωρούν οι ίδιοι ως δημόσιους, και, για όσους κάνουν προσωπική προπόνηση, πώς κλείνεται, την περιοχή που καλύπτουν και τους χώρους τους, ποτέ τη διεύθυνση πελάτη· ποτέ μέλη).

Nature: storing, organising, showing to the right people, sending between the apps and the server, backing up, and deleting or anonymising on schedule. We don't sell the data, use it for ads, profile people, or combine it with another gym's, with one exception the member alone decides: a member's own agreement to measurements at this gym also lets the trainers they allow here see the measurements they carry from other gyms (taken there on their own agreement, never on a parent's) and those they entered themselves; it's part of that one agreement, not a separate choice (and this gym's measurements of them go with them in the same way, to their own profile and to another gym where they agree). Φύση: αποθήκευση, οργάνωση, εμφάνιση στους σωστούς ανθρώπους, μετάδοση μεταξύ εφαρμογών και διακομιστή, αντίγραφα ασφαλείας, και διαγραφή ή ανωνυμοποίηση στην ώρα τους. Δεν πουλάμε τα δεδομένα, δεν τα χρησιμοποιούμε για διαφημίσεις, δεν φτιάχνουμε προφίλ ανθρώπων και δεν τα συνδυάζουμε με δεδομένα άλλου γυμναστηρίου, με μία εξαίρεση που αποφασίζει μόνο το μέλος: η δική του συμφωνία για μετρήσεις σε αυτό το γυμναστήριο επιτρέπει και στους προπονητές που επιλέγει εδώ να βλέπουν τις μετρήσεις που έχει από άλλα γυμναστήρια (που πάρθηκαν εκεί με τη δική του συμφωνία, ποτέ με του γονέα) και όσες καταχώρισε μόνο του· είναι μέρος αυτής της μίας συμφωνίας, όχι χωριστή επιλογή (και οι μετρήσεις του από αυτό το γυμναστήριο το ακολουθούν με τον ίδιο τρόπο, στο δικό του προφίλ και σε άλλο γυμναστήριο όπου συμφωνεί).

Duration: as long as the gym uses αθλ·easy, and then until its data is deleted (section 11). Διάρκεια: όσο το γυμναστήριο χρησιμοποιεί το αθλ·easy, και μετά μέχρι να διαγραφούν τα δεδομένα του (ενότητα 11).

3. Whose data, and which3. Ποιανών τα δεδομένα, και ποια

People: the gym's members (and former members until anonymised), people asking to join (those the gym blocks from asking again: only their name, email and sign-in id, while the block stands, at most the gym's period for members long gone from when it was made), its trainers, secretaries and head coach (those who left: only their name, on the classes and sessions they led, until that same period has passed since they left), and, for a member under 15, the parent or guardian who agreed. Πρόσωπα: τα μέλη του γυμναστηρίου (και πρώην μέλη μέχρι να γίνουν ανώνυμα), όσοι ζητούν να γίνουν μέλη (όσοι αποκλείονται από νέο αίτημα: μόνο όνομα, email και αναγνωριστικό σύνδεσης, όσο ισχύει ο αποκλεισμός, το πολύ για το διάστημα που το γυμναστήριο κρατά τα μέλη που έχουν φύγει από τότε που έγινε), οι προπονητές, η γραμματεία και ο υπεύθυνός του (όσοι αποχώρησαν: μόνο το όνομά τους, στα μαθήματα και τις συνεδρίες που έκαναν, ώσπου να περάσει το ίδιο διάστημα από την αποχώρησή τους), και, για μέλος κάτω των 15, ο γονέας ή κηδεμόνας που συμφώνησε.

Identity and contact: name (in Latin and Greek letters), email, phone, city, member since; optionally a photo and the body figure measurements are drawn on.Ταυτότητα και επικοινωνία: όνομα (με λατινικούς και ελληνικούς χαρακτήρες), email, τηλέφωνο, πόλη, από πότε είναι μέλος· προαιρετικά φωτογραφία και η φιγούρα όπου σχεδιάζονται οι μετρήσεις.
Training: bookings (and the late cancels counted, where the gym sets a late-cancel rule for classes), waiting lists, check-ins (time), subscriptions (package, dates, freezes; no payment details), appointments and programmes (the address of a session at a client's home seen only by that client and the session's trainer), whether a session happened, a weekly goal, feedback after a class (shown to the gym without the name).Προπόνηση: κρατήσεις (και οι καθυστερημένες ακυρώσεις που μετρούν, όπου το γυμναστήριο ορίζει κανόνα γι' αυτές στα μαθήματα), λίστες αναμονής, είσοδοι (ώρα), συνδρομές (πακέτο, ημερομηνίες, παύσεις· όχι στοιχεία πληρωμής), ραντεβού και προγράμματα (τη διεύθυνση μιας συνεδρίας στο σπίτι πελάτη τη βλέπουν μόνο αυτός ο πελάτης και ο προπονητής της συνεδρίας), αν έγινε μια συνεδρία, εβδομαδιαίος στόχος, σχόλια μετά από μάθημα (το γυμναστήριο τα βλέπει χωρίς όνομα).
Health notes: the text of a member's programme and the notes on its exercises, the trainer's notes on a personal training session and for the next one, and the note a client adds when asking for or cancelling a session (see special category data, below).Σημειώσεις υγείας: το κείμενο του προγράμματος ενός μέλους και οι σημειώσεις των ασκήσεών του, οι σημειώσεις του προπονητή για μια συνεδρία προσωπικής προπόνησης και για την επόμενη, και η σημείωση που προσθέτει ένας πελάτης όταν ζητά ή ακυρώνει μια συνεδρία (βλ. ειδικές κατηγορίες δεδομένων, παρακάτω).
Messages between the gym and its members, and whether they were read.Μηνύματα μεταξύ γυμναστηρίου και μελών, και αν διαβάστηκαν.
Team: trainers' bio, links to their social pages and website (those they enter themselves as public appear on the gym's public page), working hours and days off, and for personal training their places and the area they cover; each person's role in the gym.Ομάδα: βιογραφικό προπονητών, σύνδεσμοι στα κοινωνικά τους δίκτυα και στον ιστότοπό τους (όσοι καταχωρούνται από τους ίδιους ως δημόσιοι εμφανίζονται στη δημόσια σελίδα του γυμναστηρίου), ωράριο και ρεπό, και για την προσωπική προπόνηση οι χώροι τους και η περιοχή που καλύπτουν· ο ρόλος κάθε προσώπου στο γυμναστήριο.
Minors: that a member is under 15, the name of the parent who agreed, and how the desk confirmed it (a signed form, or in person: recorded before the parent's agreement to measurements can be); and, shown to the gym's staff, that a member's or applicant's own account says they're under 15 (their own answer in the app).Ανήλικοι: ότι ένα μέλος είναι κάτω των 15, το όνομα του γονέα που συμφώνησε, και πώς το επιβεβαίωσε η γραμματεία (υπογεγραμμένο έντυπο, ή αυτοπροσώπως: καταγράφεται πριν μπορέσει να καταγραφεί η συμφωνία του γονέα για μετρήσεις)· και, όπως το βλέπει το προσωπικό του γυμναστηρίου, ότι ο δικός του λογαριασμός ενός μέλους ή ενός αιτούντος λέει ότι είναι κάτω των 15 (η δική του απάντηση στην εφαρμογή).
Record of changes: who changed whose data, when and what kind of change, never the values.Ιστορικό αλλαγών: ποιος άλλαξε τα δεδομένα ποιου, πότε και τι είδους αλλαγή, ποτέ οι τιμές.

Special category data: two kinds, both health data (article 9 GDPR), both kept only on one explicit agreement the member gives in the app, to "measurements and health notes" (for a member under 15, a parent's, given at the gym's desk). Agreeing, withdrawing and who may see them are recorded in the record of changes. Ειδικές κατηγορίες δεδομένων: δύο είδη, και τα δύο δεδομένα υγείας (άρθρο 9 ΓΚΠΔ), και τα δύο κρατιούνται μόνο με μία ρητή συμφωνία που δίνει το μέλος στην εφαρμογή, σε «μετρήσεις και σημειώσεις υγείας» (για μέλος κάτω των 15, του γονέα, στη γραμματεία του γυμναστηρίου). Η συμφωνία, η ανάκλησή της και ποιος τα βλέπει καταγράφονται στο ιστορικό αλλαγών.

Body measurements (weight, body fat, circumferences): seen only by the member and the trainers the member allows (every trainer and the head coach, or only those the member chooses), and deleted as soon as the agreement is withdrawn. Measurements the member carries from other gyms or entered themselves are shown to this gym's trainers only on the member's own agreement here, never on a parent's word given at the desk; they aren't the gym's data and the gym doesn't keep them.Σωματικές μετρήσεις (βάρος, λίπος, περιφέρειες): τις βλέπουν μόνο το μέλος και οι προπονητές που επιτρέπει (όλοι οι προπονητές και ο υπεύθυνος, ή μόνο όσοι επιλέξει), και διαγράφονται μόλις ανακληθεί η συμφωνία. Οι μετρήσεις που το μέλος έχει από άλλα γυμναστήρια ή καταχώρισε μόνο του εμφανίζονται στους προπονητές αυτού του γυμναστηρίου μόνο με τη δική του συμφωνία εδώ, ποτέ με τη συμφωνία γονέα στη γραμματεία· δεν είναι δεδομένα του γυμναστηρίου και το γυμναστήριο δεν τις κρατά.
Health notes (the programme's text and its exercise notes, the notes on personal training sessions: section 3's list): they may tell of an injury, a rehabilitation or another health matter, so we treat them as health data whatever they say (the app doesn't guess from the words). They're written and read only while the member's agreement stands; an agreement given to earlier words, which named only measurements, doesn't cover them, and the app asks again. They're read only by the member and the coaches who may see the member's measurements, never by the gym's desk (secretaries); the notes of a session shared by several clients only by those coaches, only while every client in it agrees, and never by the other clients. The exercises themselves (name, sets, repetitions, weight) aren't health notes, and stay usable without the agreement. They're in the member's own download of their data, and in the head coach's exports only where the head coach may read them. Withdrawing the agreement (or its ending, below) deletes them at once: the programme's text and exercise notes, and the notes on every personal training session the member is in, shared ones too; the exercises and the record of the sessions stay. Otherwise a session's notes are deleted 2 years after it.Σημειώσεις υγείας (το κείμενο του προγράμματος και οι σημειώσεις των ασκήσεών του, οι σημειώσεις των συνεδριών προσωπικής προπόνησης: ο κατάλογος της ενότητας 3): μπορεί να αναφέρουν έναν τραυματισμό, μια αποκατάσταση ή άλλο θέμα υγείας, γι' αυτό τις αντιμετωπίζουμε ως δεδομένα υγείας ό,τι κι αν λένε (η εφαρμογή δεν μαντεύει από τις λέξεις). Γράφονται και διαβάζονται μόνο όσο ισχύει η συμφωνία του μέλους· μια συμφωνία που δόθηκε σε παλαιότερο κείμενο, που ανέφερε μόνο μετρήσεις, δεν τις καλύπτει, και η εφαρμογή ζητά ξανά. Τις διαβάζουν μόνο το μέλος και οι προπονητές που μπορούν να βλέπουν τις μετρήσεις του, ποτέ η γραμματεία του γυμναστηρίου· τις σημειώσεις μιας συνεδρίας με πολλούς πελάτες μόνο αυτοί οι προπονητές, μόνο όσο συμφωνεί κάθε πελάτης της, και ποτέ οι άλλοι πελάτες. Οι ίδιες οι ασκήσεις (όνομα, σετ, επαναλήψεις, βάρος) δεν είναι σημειώσεις υγείας και χρησιμοποιούνται και χωρίς τη συμφωνία. Περιλαμβάνονται όταν το μέλος κατεβάζει τα δεδομένα του, και στις εξαγωγές του υπευθύνου μόνο όπου ο υπεύθυνος μπορεί να τις διαβάσει. Η ανάκληση της συμφωνίας (ή η λήξη της, παρακάτω) τις διαγράφει αμέσως: το κείμενο του προγράμματος και τις σημειώσεις των ασκήσεων, και τις σημειώσεις κάθε συνεδρίας προσωπικής προπόνησης στην οποία συμμετέχει το μέλος, και των κοινών· οι ασκήσεις και το αρχείο των συνεδριών μένουν. Αλλιώς οι σημειώσεις μιας συνεδρίας διαγράφονται 2 χρόνια μετά από αυτήν.

We process no other special category data. The gym shouldn't put health information anywhere else (class notes, messages, a request to join, a public bio): those aren't protected as health data are. Άλλα δεδομένα ειδικών κατηγοριών δεν επεξεργαζόμαστε. Το γυμναστήριο δεν πρέπει να καταχωρίζει πληροφορίες υγείας αλλού (σημειώσεις μαθημάτων, μηνύματα, ένα αίτημα εγγραφής, ένα δημόσιο βιογραφικό): εκεί δεν προστατεύονται όπως τα δεδομένα υγείας.

Members under 15. Two things can say that a member is under 15, and they act differently: Μέλη κάτω των 15. Δύο πράγματα μπορεί να λένε ότι ένα μέλος είναι κάτω των 15, και λειτουργούν διαφορετικά:

Their own answer. Every αθλ·easy account is asked once whether it's 15 or older. An account that answers "under 15" ends, at once and at every gym, the agreements to measurements and health notes it gave itself (never a parent's given at a desk): the health notes are deleted at once, and the measurements taken on that agreement are hidden from everyone at the gym (the member still sees them) and deleted 30 days later, unless a parent agrees at that gym's desk in the meantime. The measurements the account kept on its own profile are deleted at once. The gyms the member belongs to or asks to join see the answer.Η δική του απάντηση. Κάθε λογαριασμός στο αθλ·easy ερωτάται μία φορά αν είναι 15 ετών ή άνω. Ένας λογαριασμός που απαντά «κάτω των 15» τερματίζει, αμέσως και σε κάθε γυμναστήριο, τις συμφωνίες για μετρήσεις και σημειώσεις υγείας που έδωσε ο ίδιος (ποτέ αυτή ενός γονέα στη γραμματεία): οι σημειώσεις υγείας διαγράφονται αμέσως, και οι μετρήσεις που πάρθηκαν με αυτή τη συμφωνία κρύβονται από όλους στο γυμναστήριο (το μέλος τις βλέπει ακόμα) και διαγράφονται 30 ημέρες μετά, εκτός αν στο μεταξύ συμφωνήσει γονέας στη γραμματεία εκείνου του γυμναστηρίου. Οι μετρήσεις που κρατούσε ο λογαριασμός στο δικό του προφίλ διαγράφονται αμέσως. Τα γυμναστήρια στα οποία το μέλος ανήκει ή ζητά να εγγραφεί βλέπουν την απάντηση.
The desk's mark. A gym's desk marks a member as under 15, with the parent's name and how the parent's agreement was confirmed, whether or not the member has an account of their own. It acts at that gym only: the member's own agreement there ends (the health notes are deleted at once; the measurements are hidden and deleted after 30 days unless a parent agrees), and from then on only a parent agrees there, at the desk; for a member who signs in themselves, only once their own account also says they're under 15 (so a gym's mark alone never lets it agree for an adult). What is kept on a parent's agreement is seen only at that gym, never carried to the member's profile or another gym. The mark never deletes what the member's account recorded itself, and one gym's mark changes nothing at another.Η σήμανση της γραμματείας. Η γραμματεία ενός γυμναστηρίου σημειώνει ένα μέλος ως κάτω των 15, με το όνομα του γονέα και το πώς επιβεβαιώθηκε η συμφωνία του, είτε το μέλος έχει δικό του λογαριασμό είτε όχι. Ισχύει μόνο σε εκείνο το γυμναστήριο: η δική του συμφωνία εκεί λήγει (οι σημειώσεις υγείας διαγράφονται αμέσως· οι μετρήσεις κρύβονται και διαγράφονται μετά από 30 ημέρες, εκτός αν συμφωνήσει γονέας), και από τότε εκεί συμφωνεί μόνο γονέας, στη γραμματεία· για μέλος που συνδέεται το ίδιο, μόνο αφού και ο δικός του λογαριασμός πει ότι είναι κάτω των 15 (ώστε η σήμανση ενός γυμναστηρίου να μην του επιτρέπει ποτέ να συμφωνήσει για έναν ενήλικα). Ό,τι κρατιέται με τη συμφωνία γονέα φαίνεται μόνο σε εκείνο το γυμναστήριο, χωρίς να μεταφέρεται ποτέ στο προφίλ του μέλους ή σε άλλο γυμναστήριο. Η σήμανση δεν διαγράφει ποτέ όσα κατέγραψε ο ίδιος ο λογαριασμός του, και η σήμανση ενός γυμναστηρίου δεν αλλάζει τίποτα σε άλλο.
When the mark is taken off, the parent's agreement ends: the health notes are deleted at once, and the measurements taken on it are hidden from everyone at the gym for 30 days and deleted then, unless the member agrees themselves in that time.Όταν η σήμανση αφαιρείται, η συμφωνία του γονέα λήγει: οι σημειώσεις υγείας διαγράφονται αμέσως, και οι μετρήσεις που πάρθηκαν με αυτήν κρύβονται από όλους στο γυμναστήριο για 30 ημέρες και διαγράφονται τότε, εκτός αν το μέλος συμφωνήσει το ίδιο μέσα σε αυτό το διάστημα.

Not covered here, because for them we are the controller (see the privacy policy): people's sign-in accounts, their own αθλ·easy profile that they take from gym to gym, our server's technical records, and the gym's own business details (legal name, ΑΦΜ, ΔΟΥ, address). Δεν καλύπτονται εδώ, γιατί για αυτά υπεύθυνοι είμαστε εμείς (βλ. την πολιτική απορρήτου): οι λογαριασμοί σύνδεσης των προσώπων, το δικό τους προφίλ στο αθλ·easy που παίρνουν από γυμναστήριο σε γυμναστήριο, τα τεχνικά αρχεία του διακομιστή μας, και τα στοιχεία της επιχείρησης του γυμναστηρίου (επωνυμία, ΑΦΜ, ΔΟΥ, διεύθυνση).

4. Only on the gym's instructions4. Μόνο με τις οδηγίες του γυμναστηρίου

We process the data only on the gym's documented instructions. Using the app is the gym's instruction: what its team enters, changes and deletes, the settings it chooses (who in the team sees what, how members join, how long members long gone are kept: 2, 3 or 5 years, and never longer than 5, as the GDPR's storage limitation asks: a gym needs a former member's data only for a limited time, for a member who comes back, a dispute or its accounts, and five years covers that; after it their personal data is deleted, and their past bookings and subscriptions stay only anonymously), and this agreement with the terms. Other instructions the gym can send in writing to hello@athleasy.gr; if one costs work beyond the service, we say so first. If we think an instruction breaks the GDPR, we tell the gym at once and may wait before following it. If a law requires us to process the data otherwise, we tell the gym first, unless that law forbids it. Επεξεργαζόμαστε τα δεδομένα μόνο με τις καταγεγραμμένες οδηγίες του γυμναστηρίου. Η χρήση της εφαρμογής είναι η οδηγία του γυμναστηρίου: ό,τι καταχωρίζει, αλλάζει και διαγράφει η ομάδα του, οι ρυθμίσεις που επιλέγει (ποιος στην ομάδα βλέπει τι, πώς γίνονται εγγραφές, πόσο κρατιούνται μέλη που έχουν φύγει καιρό: 2, 3 ή 5 χρόνια, και ποτέ πάνω από 5, όπως ζητά η αρχή του περιορισμού της αποθήκευσης του ΓΚΠΔ: ένα γυμναστήριο χρειάζεται τα δεδομένα ενός πρώην μέλους μόνο για περιορισμένο χρόνο, για ένα μέλος που επιστρέφει, μια διαφορά ή τα λογιστικά του, και τα πέντε χρόνια το καλύπτουν· μετά τα προσωπικά του δεδομένα διαγράφονται, και οι παλιές κρατήσεις και συνδρομές του μένουν μόνο ανώνυμα), και η σύμβαση αυτή μαζί με τους όρους. Άλλες οδηγίες το γυμναστήριο μπορεί να τις στείλει γραπτώς στο hello@athleasy.gr· αν κάποια απαιτεί δουλειά πέρα από την υπηρεσία, το λέμε πρώτα. Αν πιστεύουμε ότι μια οδηγία παραβιάζει τον ΓΚΠΔ, ενημερώνουμε αμέσως το γυμναστήριο και μπορούμε να περιμένουμε πριν την εκτελέσουμε. Αν κάποιος νόμος μας υποχρεώνει σε άλλη επεξεργασία, ενημερώνουμε πρώτα το γυμναστήριο, εκτός αν ο νόμος αυτός το απαγορεύει.

The gym, for its part, is responsible for having a lawful basis for what it keeps, for telling its members and team (pointing them to our privacy policy covers how αθλ·easy handles it), and for keeping its team's sign-ins to themselves. Το γυμναστήριο, από την πλευρά του, είναι υπεύθυνο να έχει νόμιμη βάση για ό,τι κρατά, να ενημερώνει τα μέλη και την ομάδα του (η παραπομπή στην πολιτική απορρήτου μας καλύπτει το πώς τα χειρίζεται το αθλ·easy), και να μην μοιράζονται τους λογαριασμούς τους τα μέλη της ομάδας του.

5. Confidentiality5. Εμπιστευτικότητα

Only the people who run αθλ·easy can reach the gym's data, only as far as needed to run, fix and support the service, and they are bound to keep it confidential. Today that is one person, the developer. When we act in the app as someone of the gym's to test or fix something, every change made that way is written in the gym's record of changes, saying who really made it. Πρόσβαση στα δεδομένα του γυμναστηρίου έχουν μόνο όσοι λειτουργούν το αθλ·easy, μόνο όσο χρειάζεται για τη λειτουργία, τις διορθώσεις και την υποστήριξη της υπηρεσίας, και δεσμεύονται να τα κρατούν εμπιστευτικά. Σήμερα είναι ένα πρόσωπο, ο προγραμματιστής. Όταν ενεργούμε στην εφαρμογή ως κάποιος του γυμναστηρίου για να δοκιμάσουμε ή να διορθώσουμε κάτι, κάθε αλλαγή που γίνεται έτσι γράφεται στο ιστορικό αλλαγών του γυμναστηρίου, με το ποιος πραγματικά την έκανε.

6. Security6. Ασφάλεια

We protect the data with measures fitting the risk (article 32 GDPR). In short: Προστατεύουμε τα δεδομένα με μέτρα ανάλογα με τον κίνδυνο (άρθρο 32 ΓΚΠΔ). Συνοπτικά:

In the EU: the database and the server in Frankfurt, Germany; the database isn't published to the internet, and passwords and keys are kept in a secrets store, never in the code.Στην ΕΕ: η βάση δεδομένων και ο διακομιστής στη Φρανκφούρτη της Γερμανίας· η βάση δεν είναι δημοσιευμένη στο διαδίκτυο, και κωδικοί και κλειδιά φυλάσσονται σε χώρο μυστικών, ποτέ στον κώδικα.
Encrypted in transit: the apps talk to the server over HTTPS only.Κρυπτογράφηση κατά τη μεταφορά: οι εφαρμογές επικοινωνούν με τον διακομιστή μόνο μέσω HTTPS.
Access rules on every request: each request is checked against who is signed in and their role; every query is limited to that one gym; members see only their own things, trainers their gym's members, the head coach the gym's settings; every part of the server must have an access rule or it doesn't start.Κανόνες πρόσβασης σε κάθε αίτημα: κάθε αίτημα ελέγχεται με βάση το ποιος έχει συνδεθεί και τον ρόλο του· κάθε ερώτημα περιορίζεται σε εκείνο το γυμναστήριο· τα μέλη βλέπουν μόνο τα δικά τους, οι προπονητές τα μέλη του γυμναστηρίου τους, ο υπεύθυνος τις ρυθμίσεις· κάθε σημείο του διακομιστή πρέπει να έχει κανόνα πρόσβασης, αλλιώς δεν ξεκινά.
Record of changes: changes to someone's data by the staff or by us, and consent to measurements, are recorded (when, who, what kind), kept 2 years, visible to the person and the head coach.Ιστορικό αλλαγών: οι αλλαγές στα δεδομένα κάποιου από το προσωπικό ή από εμάς, και η συγκατάθεση για μετρήσεις, καταγράφονται (πότε, ποιος, τι είδους), κρατιούνται 2 χρόνια και τις βλέπουν το πρόσωπο και ο υπεύθυνος.
Backups: a copy of the database every night, encrypted, in a private store in Frankfurt, each erased for good within about six weeks (deleted after 30 days, then up to 14 more in the store's recovery); restoring is tested.Αντίγραφα ασφαλείας: αντίγραφο της βάσης κάθε βράδυ, κρυπτογραφημένο, σε ιδιωτικό χώρο στη Φρανκφούρτη, που διαγράφεται οριστικά μέσα σε περίπου έξι εβδομάδες (διαγράφεται μετά από 30 ημέρες, και κρατιέται έως 14 ακόμα στην ανάκτηση του χώρου)· η επαναφορά έχει δοκιμαστεί.
Less data, less time: what's no longer needed is deleted or anonymised every day (periods in the privacy policy); the server logs no names or door passes, and its logs are kept 30 days; when an app may send a request twice (a weak connection), the server keeps, for 24 to 48 hours, only a fingerprint of what was sent, whether it succeeded and a reference to what it made, so it isn't done twice: never the request or the answer itself (a repeat is told it was done, and the app reads the result again through the usual access checks); limits on how much any one client can ask.Λιγότερα δεδομένα, λιγότερο χρόνο: ό,τι δεν χρειάζεται πια διαγράφεται ή γίνεται ανώνυμο κάθε μέρα (διαστήματα στην πολιτική απορρήτου)· ο διακομιστής δεν καταγράφει ονόματα ή κάρτες εισόδου, και τα αρχεία του κρατιούνται 30 ημέρες· όταν μια εφαρμογή μπορεί να στείλει ένα αίτημα δύο φορές (αδύναμη σύνδεση), ο διακομιστής κρατά, για 24 έως 48 ώρες, μόνο ένα αποτύπωμα όσων στάλθηκαν, αν πέτυχε και μια αναφορά σε ό,τι δημιούργησε, ώστε να μη γίνει δύο φορές: ποτέ το ίδιο το αίτημα ή την απάντηση (η επανάληψη μαθαίνει ότι έγινε, και η εφαρμογή διαβάζει ξανά το αποτέλεσμα με τους συνήθεις ελέγχους πρόσβασης)· όρια στο πόσα αιτήματα κάνει κάθε χρήστης.
On phones: the sign-in is kept in the phone's secure storage, left out of the phone's backups, and signing out deletes what the app saved (a class the person added to the phone's own calendar stays there, as the person's own entry: the app forgets only which booking it was for).Στα κινητά: η σύνδεση φυλάσσεται στον ασφαλή χώρο του κινητού, εκτός των αντιγράφων ασφαλείας του, και η αποσύνδεση διαγράφει ό,τι έχει αποθηκεύσει η εφαρμογή (ένα μάθημα που πρόσθεσε κάποιος στο ημερολόγιο του κινητού του μένει εκεί, ως δική του καταχώριση: η εφαρμογή ξεχνά μόνο σε ποια κράτηση αντιστοιχούσε).
Checked: automated tests, security tests among them, run before every release, which stops if one fails.Έλεγχος: αυτοματοποιημένοι έλεγχοι, μεταξύ τους και έλεγχοι ασφαλείας, τρέχουν πριν από κάθε έκδοση, η οποία σταματά αν κάποιος αποτύχει.

The full list of measures is in our security measures document, which we send to the gym on request. We may improve the measures over time, never lowering the protection. Ο πλήρης κατάλογος μέτρων βρίσκεται στο έγγραφο μέτρων ασφαλείας μας, που στέλνουμε στο γυμναστήριο αν το ζητήσει. Μπορούμε να βελτιώνουμε τα μέτρα με τον καιρό, χωρίς ποτέ να μειώνουμε την προστασία.

7. Sub-processors7. Υπεκτελούντες την επεξεργασία

The gym gives us general permission to use these sub-processors: Το γυμναστήριο μας δίνει γενική άδεια να χρησιμοποιούμε αυτούς τους υπεκτελούντες:

Supabase Inc.: the database and signing in; servers in Frankfurt, Germany.Supabase Inc.: η βάση δεδομένων και η σύνδεση· διακομιστές στη Φρανκφούρτη της Γερμανίας.
Mailgun Technologies, Inc. (Sinch): sends the app's emails: the sign-in codes, the code that confirms a gym's email, the notice to a gym's members and team that it is closing, the note to a person that the deletion of their own account they asked for was called off because they're in a gym again (the same words in their inbox at that gym), and the emails about changes coming soon (a class or session in the next two days cancelled or moved, a place freed from the waiting list), these to the member's own address, only from gyms that are live, only to people with an account, at most 200 a gym a day (the address and the email itself); its EU region.Mailgun Technologies, Inc. (Sinch): στέλνει τα email της εφαρμογής: τους κωδικούς σύνδεσης, τον κωδικό που επιβεβαιώνει το email ενός γυμναστηρίου, την ειδοποίηση προς τα μέλη και την ομάδα ενός γυμναστηρίου ότι κλείνει, την ενημέρωση προς ένα πρόσωπο ότι η διαγραφή του δικού του λογαριασμού που ζήτησε δεν έγινε, επειδή είναι ξανά σε γυμναστήριο (το ίδιο κείμενο στα εισερχόμενά του σε εκείνο το γυμναστήριο), και τα email για αλλαγές που έρχονται σύντομα (ένα μάθημα ή μια συνεδρία των επόμενων δύο ημερών που ακυρώθηκε ή μετακινήθηκε, μια θέση που ελευθερώθηκε από τη λίστα αναμονής), αυτά στη διεύθυνση του ίδιου του μέλους, μόνο από γυμναστήρια σε κανονική λειτουργία, μόνο σε όσους έχουν λογαριασμό, έως 200 ανά γυμναστήριο την ημέρα (τη διεύθυνση και το ίδιο το email)· η περιοχή της στην ΕΕ.
Functional Software, Inc. (Sentry): reports of the apps' crashes and errors (the device, the app's version, what failed; no names, emails or accounts), and of the server's errors (which kind of request failed, as its address's shape without ids, and the error's text, any email address in it masked; no user, IP address, request body or query); its EU region, Frankfurt, Germany.Functional Software, Inc. (Sentry): αναφορές για κολλήματα και σφάλματα των εφαρμογών (η συσκευή, η έκδοση της εφαρμογής, τι απέτυχε· χωρίς ονόματα, email ή λογαριασμούς), και για τα σφάλματα του διακομιστή (ποιο είδος αιτήματος απέτυχε, ως το σχήμα της διεύθυνσής του χωρίς αναγνωριστικά, και το κείμενο του σφάλματος, με κάθε διεύθυνση email σε αυτό κρυμμένη· χωρίς χρήστη, διεύθυνση IP, περιεχόμενο ή παραμέτρους του αιτήματος)· η περιοχή της στην ΕΕ, Φρανκφούρτη Γερμανίας.
Cloudflare, Inc.: hosts the website and keeps the gym's public page for a minute (only what the gym publishes: its details, timetable, packages, and its trainers' names, photos, roles, bios, public links and personal training places; never members); runs the invisible Turnstile check when people sign in (technical signals from their browser or app, their IP address). Its network is worldwide.Cloudflare, Inc.: φιλοξενεί τον ιστότοπο και κρατά για ένα λεπτό τη δημόσια σελίδα του γυμναστηρίου (μόνο ό,τι δημοσιεύει το γυμναστήριο: τα στοιχεία του, το πρόγραμμα, τα πακέτα, και τα ονόματα, τις φωτογραφίες, τους ρόλους, τα βιογραφικά, τους δημόσιους συνδέσμους και τους χώρους προσωπικής προπόνησης των προπονητών του· ποτέ μέλη)· κάνει τον αόρατο έλεγχο Turnstile όταν συνδέονται οι χρήστες (τεχνικά στοιχεία του browser ή της εφαρμογής τους, η διεύθυνση IP τους). Το δίκτυό της είναι παγκόσμιο.
Google Cloud (Google): the server the apps talk to, its logs, and the nightly backups; in Frankfurt, Germany.Google Cloud (Google): ο διακομιστής με τον οποίο μιλούν οι εφαρμογές, τα αρχεία του και τα νυχτερινά αντίγραφα ασφαλείας· στη Φρανκφούρτη της Γερμανίας.

Not sub-processors of members' data: the European Commission's VIES, where only the gym's own ΑΦΜ is looked up when it asks to go live; Google sign-in, used only when a person chooses "Continue with Google", for their own account; Google's ML Kit, the QR reader in the Android app the gym's staff scan passes with, which sends Google usage and performance statistics about the app and the device, never the codes it reads; and the calendar service a person subscribes to their own calendar link with (Google, Apple, Microsoft or another), chosen by that person. Δεν είναι υπεκτελούντες για δεδομένα μελών: το VIES της Ευρωπαϊκής Επιτροπής, όπου ελέγχεται μόνο ο ΑΦΜ του ίδιου του γυμναστηρίου όταν ζητά κανονική λειτουργία· η σύνδεση με Google, μόνο όταν ένα πρόσωπο επιλέγει «Συνέχεια με Google», για τον δικό του λογαριασμό· το ML Kit της Google, ο αναγνώστης QR της εφαρμογής Android με τον οποίο το προσωπικό σαρώνει τις κάρτες, που στέλνει στη Google στατιστικά χρήσης και απόδοσης για την εφαρμογή και τη συσκευή, ποτέ τους κωδικούς που διαβάζει· και η υπηρεσία ημερολογίου στην οποία ένα πρόσωπο προσθέτει τον δικό του σύνδεσμο ημερολογίου (Google, Apple, Microsoft ή άλλη), που την επιλέγει το ίδιο.

Before adding or replacing a sub-processor we tell the gym, in the app or by email, at least 30 days ahead. The gym may object for a reason to do with data protection; if we can't meet it, the gym may leave without any charge before the change applies. Each sub-processor is bound by a written contract with the same data protection duties as ours, and we remain responsible to the gym for it. Πριν προσθέσουμε ή αντικαταστήσουμε υπεκτελούντα, ενημερώνουμε το γυμναστήριο, στην εφαρμογή ή με email, τουλάχιστον 30 ημέρες νωρίτερα. Το γυμναστήριο μπορεί να αντιταχθεί για λόγο που αφορά την προστασία δεδομένων· αν δεν μπορούμε να τον ικανοποιήσουμε, μπορεί να αποχωρήσει χωρίς καμία χρέωση πριν ισχύσει η αλλαγή. Κάθε υπεκτελών δεσμεύεται με γραπτή σύμβαση με τις ίδιες υποχρεώσεις προστασίας δεδομένων με τις δικές μας, και παραμένουμε υπεύθυνοι απέναντι στο γυμναστήριο γι' αυτόν.

8. Outside the EU8. Εκτός ΕΕ

The data is stored in the EU, and we don't move it out. Supabase, Google, Mailgun, Sentry and Cloudflare are US companies: any access from outside the EU (for example their support, or Cloudflare serving the public page or checking a sign-in from outside the EU) is covered by the EU's standard contractual clauses and the EU–US Data Privacy Framework. We'd move data out of the EU only on the gym's instruction and under chapter V of the GDPR. Τα δεδομένα αποθηκεύονται στην ΕΕ και δεν τα μεταφέρουμε εκτός. Η Supabase, η Google, η Mailgun, η Sentry και η Cloudflare είναι αμερικανικές εταιρείες: κάθε πρόσβαση εκτός ΕΕ (για παράδειγμα από την υποστήριξή τους, ή όταν η Cloudflare σερβίρει τη δημόσια σελίδα ή ελέγχει μια σύνδεση εκτός ΕΕ) καλύπτεται από τις τυποποιημένες συμβατικές ρήτρες της ΕΕ και το Πλαίσιο Προστασίας Δεδομένων ΕΕ–ΗΠΑ. Θα μεταφέραμε δεδομένα εκτός ΕΕ μόνο με οδηγία του γυμναστηρίου και σύμφωνα με το κεφάλαιο V του ΓΚΠΔ.

9. Helping the gym9. Βοήθεια προς το γυμναστήριο

People's rights. The app does most of it: a person can download their data (as a file, or a PDF to read), correct their details, give or withdraw consent to measurements and health notes, and close their account; the gym's team can correct a member's details, and the head coach can download a member's data, close their account, see the record of changes, and download all of the gym's data at once. Anything the tools don't cover, we help with on request. A request that reaches us about a gym's data we pass to the gym, without answering it ourselves unless the gym asks us to. Δικαιώματα των προσώπων. Τα περισσότερα τα κάνει η εφαρμογή: ένα πρόσωπο μπορεί να κατεβάσει τα δεδομένα του (ως αρχείο ή ως PDF για ανάγνωση), να διορθώσει τα στοιχεία του, να δώσει ή να ανακαλέσει τη συγκατάθεση για μετρήσεις και σημειώσεις υγείας, και να κλείσει τον λογαριασμό του· η ομάδα του γυμναστηρίου μπορεί να διορθώσει τα στοιχεία ενός μέλους, και ο υπεύθυνος να κατεβάσει τα δεδομένα του, να κλείσει τον λογαριασμό του, να δει το ιστορικό αλλαγών, και να κατεβάσει όλα τα δεδομένα του γυμναστηρίου μαζί. Ό,τι δεν καλύπτουν τα εργαλεία, το κάνουμε κατόπιν αιτήματος. Ένα αίτημα που φτάνει σε εμάς για δεδομένα γυμναστηρίου το διαβιβάζουμε στο γυμναστήριο, χωρίς να το απαντήσουμε εμείς εκτός αν μας το ζητήσει.

Its own duties. We give the gym the information we have that it needs for its security, a data protection impact assessment, consulting the Hellenic Data Protection Authority, or answering it (articles 32 to 36 GDPR). Οι δικές του υποχρεώσεις. Δίνουμε στο γυμναστήριο όσες πληροφορίες έχουμε και χρειάζεται για την ασφάλειά του, για εκτίμηση αντικτύπου, για διαβούλευση με την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα ή για να της απαντήσει (άρθρα 32 έως 36 ΓΚΠΔ).

10. If something goes wrong (a data breach)10. Αν κάτι πάει στραβά (παραβίαση δεδομένων)

If personal data we process for the gym is lost, leaked, changed or reached by someone who shouldn't, we tell the gym's head coach without undue delay, and within 48 hours of becoming aware, by email and in the app, so the gym can tell the Hellenic Data Protection Authority within its 72 hours (article 33) and, where needed, the people affected (article 34). We say what happened, which data and roughly how many people, the likely consequences, what we've done and propose to do, and whom to contact; what we don't know yet, we send as soon as we do. We act at once to stop it and limit the harm, and keep a record of every breach. If the gym learns of a breach on its side (a lost phone, a shared sign-in), it tells us so we can help. Αν προσωπικά δεδομένα που επεξεργαζόμαστε για το γυμναστήριο χαθούν, διαρρεύσουν, αλλοιωθούν ή αποκτήσει πρόσβαση σε αυτά κάποιος που δεν πρέπει, ενημερώνουμε τον υπεύθυνο του γυμναστηρίου χωρίς αδικαιολόγητη καθυστέρηση, και εντός 48 ωρών από τη στιγμή που το αντιληφθούμε, με email και στην εφαρμογή, ώστε το γυμναστήριο να ενημερώσει την Αρχή Προστασίας Δεδομένων μέσα στις 72 ώρες του (άρθρο 33) και, όπου χρειάζεται, τα πρόσωπα που επηρεάζονται (άρθρο 34). Λέμε τι συνέβη, ποια δεδομένα και περίπου πόσα πρόσωπα αφορά, τις πιθανές συνέπειες, τι κάναμε και τι προτείνουμε, και με ποιον να επικοινωνήσει· ό,τι δεν ξέρουμε ακόμα, το στέλνουμε μόλις το μάθουμε. Ενεργούμε αμέσως για να τη σταματήσουμε και να περιορίσουμε τη ζημιά, και κρατάμε αρχείο κάθε παραβίασης. Αν το γυμναστήριο μάθει για παραβίαση από τη δική του πλευρά (ένα κινητό που χάθηκε, ένας κοινός λογαριασμός), μας ενημερώνει ώστε να βοηθήσουμε.

11. When the gym leaves11. Όταν το γυμναστήριο αποχωρεί

The gym may leave at any time: its head coach closes it in the app (the gym's settings → Close this gym), or the gym tells us at hello@athleasy.gr and we close it the same way. Before it goes, it can take its data with it: all of it at once from the app, as a file in a common machine-readable format (JSON; the head coach, in the gym's settings), each person's data, and its reports as files. The full export holds the gym's details and settings, its people (members, people asking to join or blocked, its team), what it offers (class kinds, rooms, packages and package requests), the timetable with its one-off changes and closed days, working hours and days off, subscriptions and freezes, bookings, waiting lists and check-ins, personal training (sessions, programmes, trainers' places), measurements, messages and their conversations, feedback after classes and the record of changes; each as the head coach may see it (measurements and health notes only of members who agree to them there and whom the head coach may see, no conversation between a member and a trainer that the head coach can't read, no client's home address, feedback without whose it was). Left out are only keys and links that open something (sign-in, calendar links, door passes, kiosk devices' keys) and the server's short-lived records of repeated requests. Closing stops the gym at once, and its members and team are told in the app and by email. Then all of the gym's data is deleted 30 days after it closed; until then its head coach may reopen it, and nothing is lost. The nightly backups are erased within about six weeks after that, so nothing of it remains anywhere. We confirm the deletion in writing on request. A test gym nobody opens for 60 days is deleted by itself, with a message a week before. Το γυμναστήριο μπορεί να αποχωρήσει οποτεδήποτε: ο υπεύθυνός του το κλείνει από την εφαρμογή (ρυθμίσεις γυμναστηρίου → Κλείσιμο γυμναστηρίου), ή το γυμναστήριο μας ενημερώνει στο hello@athleasy.gr και το κλείνουμε εμείς με τον ίδιο τρόπο. Πριν φύγει, μπορεί να πάρει τα δεδομένα του: όλα μαζί από την εφαρμογή, ως αρχείο σε κοινή μηχαναγνώσιμη μορφή (JSON· ο υπεύθυνος, στις ρυθμίσεις του γυμναστηρίου), τα δεδομένα κάθε προσώπου, και τις αναφορές του ως αρχεία. Η πλήρης εξαγωγή περιέχει τα στοιχεία και τις ρυθμίσεις του γυμναστηρίου, τα πρόσωπά του (μέλη, όσους ζητούν να εγγραφούν ή έχουν αποκλειστεί, την ομάδα του), ό,τι προσφέρει (είδη μαθημάτων, αίθουσες, πακέτα και αιτήματα για πακέτα), το πρόγραμμα με τις μεμονωμένες αλλαγές του και τις ημέρες που είναι κλειστό, ωράρια και ρεπό, συνδρομές και παύσεις, κρατήσεις, λίστες αναμονής και εισόδους, την προσωπική προπόνηση (συνεδρίες, προγράμματα, χώρους των προπονητών), μετρήσεις, μηνύματα και τις συζητήσεις τους, σχόλια μετά από μαθήματα και το ιστορικό αλλαγών· το καθένα όπως επιτρέπεται να το βλέπει ο υπεύθυνος (μετρήσεις και σημειώσεις υγείας μόνο μελών που συμφωνούν σε αυτές εκεί και που ο υπεύθυνος μπορεί να βλέπει, καμία συζήτηση μέλους με προπονητή που ο υπεύθυνος δεν μπορεί να διαβάσει, καμία διεύθυνση σπιτιού πελάτη, σχόλια χωρίς το ποιος τα έγραψε). Μένουν έξω μόνο κλειδιά και σύνδεσμοι που ανοίγουν κάτι (σύνδεση, σύνδεσμοι ημερολογίου, κάρτες εισόδου, κλειδιά συσκευών kiosk) και οι βραχύβιες καταγραφές του διακομιστή για επαναλαμβανόμενα αιτήματα. Με το κλείσιμο το γυμναστήριο σταματά αμέσως, και τα μέλη και η ομάδα του ενημερώνονται στην εφαρμογή και με email. Έπειτα όλα τα δεδομένα του γυμναστηρίου διαγράφονται 30 ημέρες μετά το κλείσιμο· ως τότε ο υπεύθυνος μπορεί να το ξανανοίξει, χωρίς να χαθεί τίποτα. Τα νυχτερινά αντίγραφα ασφαλείας διαγράφονται μέσα σε περίπου έξι εβδομάδες μετά, ώστε να μη μείνει τίποτα πουθενά. Επιβεβαιώνουμε τη διαγραφή γραπτώς αν μας ζητηθεί. Ένα γυμναστήριο σε δοκιμή που δεν ανοίγει κανείς για 60 ημέρες διαγράφεται μόνο του, με μήνυμα μια εβδομάδα πριν.

Members' and trainers' own αθλ·easy profiles and sign-in accounts are theirs, not the gym's: they stay, no longer linked to the gym, until their owners delete them. We keep something of the gym's only where a law requires it, and only for as long. Τα δικά τους προφίλ στο αθλ·easy και οι λογαριασμοί σύνδεσης μελών και προπονητών ανήκουν σε αυτούς, όχι στο γυμναστήριο: παραμένουν, χωρίς σύνδεση με το γυμναστήριο, μέχρι να τα διαγράψουν οι ίδιοι. Κρατάμε κάτι του γυμναστηρίου μόνο όπου το απαιτεί νόμος, και μόνο για όσο.

12. Showing that we comply (audits)12. Απόδειξη συμμόρφωσης (έλεγχοι)

On request, within 30 days, we give the gym what it needs to see that we keep this agreement: our record of processing, our security measures, the list of sub-processors and their own certifications, and answers to its questions. If that isn't enough, or the data protection authority asks, the gym may audit us, itself or through an independent auditor bound to confidentiality, with 30 days' notice, at its own cost, about once a year (more often after a breach), without seeing other gyms' data. Αν μας ζητηθεί, εντός 30 ημερών, δίνουμε στο γυμναστήριο ό,τι χρειάζεται για να διαπιστώσει ότι τηρούμε αυτή τη σύμβαση: το αρχείο δραστηριοτήτων επεξεργασίας, τα μέτρα ασφαλείας μας, τον κατάλογο υπεκτελούντων και τις πιστοποιήσεις τους, και απαντήσεις στις ερωτήσεις του. Αν αυτά δεν αρκούν, ή αν το ζητήσει η Αρχή Προστασίας Δεδομένων, το γυμναστήριο μπορεί να μας ελέγξει, το ίδιο ή μέσω ανεξάρτητου ελεγκτή που δεσμεύεται σε εμπιστευτικότητα, με προειδοποίηση 30 ημερών, με δικό του κόστος, περίπου μία φορά τον χρόνο (συχνότερα μετά από παραβίαση), χωρίς να βλέπει δεδομένα άλλων γυμναστηρίων.

13. Liability, changes, ending, law13. Ευθύνη, αλλαγές, λήξη, δίκαιο

Liability: each of us answers for its own part, as article 82 GDPR sets out; otherwise, liability is as in the terms for gyms.Ευθύνη: ο καθένας μας ευθύνεται για το δικό του μέρος, όπως ορίζει το άρθρο 82 ΓΚΠΔ· κατά τα λοιπά, η ευθύνη ορίζεται στους όρους για γυμναστήρια.
Changes: a new version is published here with a new number and date, and the app asks the gym to accept it, at least 30 days before it applies (sooner only if a law requires it). Until then the version accepted stays in force.Αλλαγές: μια νέα έκδοση δημοσιεύεται εδώ με νέο αριθμό και ημερομηνία, και η εφαρμογή ζητά από το γυμναστήριο να την αποδεχτεί, τουλάχιστον 30 ημέρες πριν ισχύσει (νωρίτερα μόνο αν το απαιτεί νόμος). Ως τότε ισχύει η έκδοση που έχει γίνει αποδεκτή.
Breaking it: if we can't keep this agreement, we tell the gym, and it may stop us processing its data until we do, or leave. If either of us seriously or repeatedly breaks it, the other may end it, and with it the terms.Παραβίαση: αν δεν μπορούμε να τηρήσουμε αυτή τη σύμβαση, ενημερώνουμε το γυμναστήριο, το οποίο μπορεί να σταματήσει την επεξεργασία των δεδομένων του μέχρι να το κάνουμε, ή να αποχωρήσει. Αν ένας από εμάς την παραβιάζει σοβαρά ή επανειλημμένα, ο άλλος μπορεί να τη λύσει, και μαζί της τους όρους.
Law: Greek law applies; the courts of Athens decide disputes.Δίκαιο: εφαρμόζεται το ελληνικό δίκαιο· αρμόδια τα δικαστήρια της Αθήνας.