本隐私政策说明了由 Inovitus 9 d.o.o. 运营的 Sport99 如何收集、使用和保护运动员、教练、俱乐部管理员及其他用户的个人数据——包括来自连接的可穿戴设备和第三方健身服务的数据。Sport99 设计符合 GDPR 要求，特别关注 GDPR 第9条下的健康数据保护。
1. 数据控制者
通过 Sport99 处理的个人数据的数据控制者为：
Sport99 是 Inovitus 9 d.o.o. 的产品，全部运营在欧盟境内。我们的监管机构是斯洛文尼亚共和国信息专员办公室。 ip-rs.si
2. 我们收集的个人数据
账户与档案数据
姓名、电子邮件地址、可选电话号码、出生日期、运动类型、俱乐部归属、角色及头像。
使用数据
日志文件、会话后匿名化的IP地址、浏览器类型及平台内操作，用于安全、调试和服务优化。
训练与表现数据
出勤记录、教练训练笔记、经同意的AI生成表现总结、伤病记录及基准测试结果。
支付与账单数据
俱乐部账单信息，包括法人名称、增值税号及通过 Stripe 的支付方式。我们不存储完整卡号。
3. 可穿戴设备与活动数据
经你明确同意，Sport99 可连接第三方健身平台及可穿戴设备供应商，导入运动员健康与活动数据：
禁止用于广告： 我们绝不将可穿戴或健康数据用于广告、营销画像或商业定位。
禁止用于AI训练： 我们不会使用你的可穿戴数据训练AI或机器学习模型供俱乐部外的其他用户使用。
禁止出售或披露： 我们不出售、出租或与数据经纪人、广告商、保险商或未经授权的第三方共享可穿戴数据。
AI访问范围受限： 当AI功能使用可穿戴数据时，系统仅限访问请求运动员的个人数据。
断开连接： 你可以在仪表盘断开任何可穿戴设备的集成。Sport99 会撤销 OAuth 令牌并停止接收新数据。
4. 我们如何使用个人数据
提供服务
用于管理运动员档案，计算准备度和恢复评分，生成训练记录，并支持教练工具。
AI辅助洞察（需同意）
经明确同意，AI 可处理可穿戴设备和健康数据，为授权教练团队生成训练洞察、伤害风险指标和恢复建议。
安全与平台完整性
用于检测滥用、执行速率限制、防止未授权访问及维护审计日志。
通讯
用于发送安全警报、多因素认证提醒、账单通知及重要政策变更通知。未经单独同意，我们不会向运动员发送营销邮件。
法律与监管义务
为遵守欧盟及斯洛文尼亚法律，响应合法请求及处理争议。
5. 处理的法律依据
| 处理活动 | 法律依据（GDPR） |
|---|---|
| 账户注册与服务提供 | 第6条第1款(b)项 — 合同 |
| 账单与开票 | 第6条第1款(b)项 — 合同；第6条第1款(c)项 — 法律义务 |
| 安全日志与防欺诈 | 第6条第1款(f)项 — 合法利益 |
| 健康数据、伤病记录、可穿戴设备数据及心理健康 | 第6条第1款(b)项 — 合同 + 第9条第2款(a)项 — 明确同意（所有健康数据处理必需） |
| 教练笔记与训练记录（非健康类） | 第6条第1款(b)项 — 合同（俱乐部服务） |
| 多因素认证与安全通知 | 第6条第1款(f)项 — 合法利益 |
| 符合法律要求 | 第6条第1款(c)项 — 法律义务 |
6. 谁可以访问你的数据
在你的俱乐部内
根据俱乐部配置的基于角色的访问控制，你的运动俱乐部授权成员可查看你的数据。
18岁以上运动员隐私
未选择家长访问控制的成年运动员，家长或监护人无法访问训练笔记或AI总结。
Sport99员工
Sport99工程及支持团队仅访问匿名化平台数据以支持运营。健康及医疗记录受字段级控制保护，任何访问均需高级授权并记录审计。
可穿戴设备API提供商
当你连接可穿戴设备时，Sport99代表你接收该提供商的数据。我们不会将你的个人数据回传给这些提供商。
基础设施子处理方
我们使用符合GDPR数据处理协议的审核基础设施合作伙伴。
7. 数据保留
| 数据类别 | 保留期限 |
|---|---|
| 账户及档案数据 | 账户存在期间 + 删除请求后30天恢复期 |
| 可穿戴设备及活动数据 | 活跃同步期间 + 30天软删除期；应请求永久删除 |
| 训练笔记及AI总结 | 俱乐部订阅期间；账户删除时一并清除 |
| 账单记录 | 7年（符合斯洛文尼亚及欧盟会计法规要求） |
| 安全及审计日志 | 保留最长12个月；之后匿名处理 |
| 撤销同意记录 | 保留5年以证明合规（符合适用法律的时效限制） |
8. 子处理方及数据存储位置
所有个人数据均存储并处理于欧盟境内。我们使用以下子处理方：
| 供应商 | 用途 | 位置 |
|---|---|---|
| Microsoft Azure | 云基础设施，数据库托管，AI推理 | 欧盟 |
| Stripe | 支付处理与开票 | 欧盟服务器（支持数据驻留）；任何非欧盟传输均采用标准合同条款和/或欧盟-美国数据隐私框架 |
| Azure通信服务 | 多因素认证邮箱验证码发送 | 欧盟 |
未经适当保障措施（标准合同条款或GDPR第V章批准的等效传输机制），个人数据不会传输至欧洲经济区外。
9. 你的隐私权利
作为GDPR下的数据主体，你可以通过仪表盘设置或联系我们行使你的权利。
请求导出我们持有的关于你的所有个人数据。
随时更正你资料中的不准确信息。
请求永久删除你的账户及所有相关数据。
请求暂停处理你的数据，直至争议解决。
以机器可读格式（如 CSV 或 JSON）接收你的数据。
随时基于合法利益提出处理异议。
随时立即撤回健康数据或可穿戴设备的同意。
我们致力于在30天内响应所有权利请求。你也有权向斯洛文尼亚信息专员投诉。 ip-rs.si
10. 儿童与未成年人
Sport99 被各年龄段运动员在组织化体育俱乐部中使用。未满18岁的运动员适用额外保护：
- 俱乐部管理员必须在未成年运动员注册时确认父母或监护人的同意。
- 与运动员档案关联的父母或监护人可根据俱乐部设置访问训练和出勤记录。
- 自主管理的 Sport99 账户最低年龄为13岁。低于此年龄的运动员仅作为俱乐部运动员存在，其训练计划由教练拥有。
- 16岁以下运动员在启用 AI 训练计划和健康功能前需获得监护人同意。GDPR 第8条允许各成员国设定13至16岁之间的年龄（斯洛文尼亚在 ZVOP-2 中设为15岁）；我们统一采用16岁作为最严格标准。
- 可穿戴设备集成及其他基于同意的健康功能同样遵循16岁门槛。
监护人同意绝不由运动员本人声明获得。我们会向指定监护人发送邀请邮件，只有在其响应后才记录同意——在此之前，依赖同意的功能保持关闭。
11. 自动化处理与画像
Sport99 使用自动化处理计算运动员准备度评分、恢复指标和伤病风险信号。这些结果仅供教练和授权人员参考——不会用于作出具有法律或类似重大影响的全自动决策（不适用 GDPR 第22条）。所有 AI 生成的洞察必须由合格人员审核后方可采取行动。你有权要求对影响你的任何 AI 评估进行人工复核，联系方式：privacy@sport99.ai。
12. 政策更新
随着平台发展或法律要求变化，我们可能更新本政策。重大变更将至少提前14天通过邮件和应用内通知告知账户持有人。
13. 联系方式及数据保护官
如对本政策有疑问、行使你的权利或提出隐私问题，请通过以下方式联系我们：