本隱私權政策說明 Sport99（由 Inovitus 9 d.o.o. 營運）如何收集、使用及保護運動員、教練、俱樂部管理員及其他用戶的個人資料——包括連接的穿戴裝置及第三方健身服務的資料。Sport99 遵循 GDPR 規範，特別重視 GDPR 第九條規範的健康資料保護。
1. 資料控制者
透過 Sport99 處理個人資料的資料控制者為：
Sport99 為 Inovitus 9 d.o.o. 產品，且完全在歐盟境內營運。我們的監管機關為斯洛維尼亞共和國資訊專員辦公室。 ip-rs.si
2. 我們收集的個人資料
帳戶與個人資料
姓名、電子郵件地址、選填電話號碼、出生日期、運動類型、所屬俱樂部、角色及個人頭像。
使用資料
日誌檔案、會話後匿名化 IP 位址、瀏覽器類型及平台內操作，用於安全、除錯及服務優化。
訓練與表現資料
出席紀錄、教練訓練筆記、經同意的 AI 生成表現摘要、傷病紀錄及基準測試結果。
付款與帳單資料
俱樂部帳單資訊，包括法人名稱、增值稅號碼及透過 Stripe 的付款方式。我們不儲存完整卡號。
3. 穿戴裝置與活動資料
經你明確同意，Sport99 可連接第三方健身平台及穿戴裝置供應商，匯入運動員健康與活動資料：
禁止用於廣告： 我們絕不將穿戴裝置或健康資料用於廣告、行銷分析或商業定向。
禁止用於 AI 訓練： 我們不會使用你的穿戴資料來訓練 AI 或機器學習模型，供其他俱樂部或用戶使用。
禁止販售或揭露： 我們不會販售、出租或與資料經紀、廣告商、保險商或未授權第三方分享穿戴資料。
AI 存取範圍限制： 當 AI 功能使用穿戴資料時，系統僅限存取該運動員本人資料。
斷線： 你可以從儀表板中斷任何穿戴裝置整合。Sport99 將撤銷 OAuth 權杖並停止接收新資料。
4. 我們如何使用個人資料
提供服務
運作運動員資料、計算準備度與恢復分數、生成訓練紀錄，並啟用執教工具。
AI 輔助洞察（需同意）
在明確同意下，穿戴裝置與健康資料可由 AI 處理，為授權教練團隊產生訓練洞察、傷害風險指標及恢復建議。
安全與平台完整性
偵測濫用、執行速率限制、防止未授權存取，並維護稽核紀錄。
通訊
發送安全警示、多重驗證提醒、帳單通知及重要政策變更通知。我們不會在未另行同意下寄送行銷郵件給運動員。
法律與法規義務
遵守歐盟及斯洛維尼亞法律、回應合法請求及處理爭議。
5. 處理的法律依據
| 處理活動 | 法律依據（GDPR） |
|---|---|
| 帳號註冊與服務提供 | 第 6 條第 1 款(b) — 合約 |
| 帳單與開立發票 | 第 6 條第 1 款(b) — 合約；第 6 條第 1 款(c) — 法律義務 |
| 安全記錄與防詐欺 | 第6條第1款(f) — 合法利益 |
| 健康資料、傷害紀錄、穿戴裝置資料與心理健康 | 第6條第1款(b) — 合約 + 第9條第2款(a) — 明確同意（所有健康資料處理必須） |
| 教練筆記與訓練紀錄（非健康） | 第6條第1款(b) — 合約（俱樂部服務） |
| 多重驗證與安全通知 | 第6條第1款(f) — 合法利益 |
| 符合法律要求 | 第6條第1款(c) — 法律義務 |
6. 誰可以存取你的資料
在你的俱樂部內
你的資料依照俱樂部設定的角色存取控制，僅對授權的運動俱樂部成員可見。
18歲以上運動員隱私
未選擇家長存取控制的成年運動員，家長或監護人無法存取訓練筆記或AI摘要。
Sport99 員工
Sport99 的工程與支援人員僅能存取匿名化平台資料以維運。健康與醫療紀錄受欄位層級控管，任何存取皆需提升授權並記錄審計。
穿戴裝置API供應商
當你連結穿戴裝置時，Sport99 代表你接收該供應商的資料。我們不會將你的個人資料回傳給這些供應商。
基礎架構次處理者
我們使用符合 GDPR 規範的資料處理協議之審核基礎設施合作夥伴。
7. 資料保存期限
| 資料類別 | 保存期限 |
|---|---|
| 帳號與個人資料 | 帳號存在期間 + 刪除請求後 30 天恢復期 |
| 穿戴裝置與活動資料 | 同步期間 + 30 天軟刪除期；依請求永久刪除 |
| 訓練筆記與 AI 摘要 | 俱樂部訂閱期間；刪除帳號時一併清除 |
| 帳務紀錄 | 7 年（依斯洛維尼亞及歐盟會計法規定） |
| 安全與稽核日誌 | 保存最多 12 個月；之後匿名化處理 |
| 撤銷同意紀錄 | 保存 5 年作為合規證明（符合適用法律之客觀時效限制） |
8. 次級處理者與資料所在地
所有個人資料皆儲存及處理於歐盟境內。我們使用以下次級處理者：
| 服務提供者 | 用途 | 地點 |
|---|---|---|
| Microsoft Azure | 雲端基礎架構、資料庫託管、AI 推論 | 歐盟 |
| Stripe | 付款處理與開立發票 | 歐盟伺服器（啟用資料駐留）；非歐盟資料轉移採用標準合約條款及／或歐盟－美國資料隱私框架 |
| Azure 通訊服務 | 多重驗證（MFA）電子郵件驗證碼傳送 | 歐盟 |
未經適當保障措施（標準合約條款或 GDPR 第五章核准的等效轉移機制），不會將個人資料轉移至歐洲經濟區外。
9. 你的隱私權利
作為 GDPR 下的資料當事人，你可以從儀表板設定或聯絡我們行使權利。
請求匯出我們持有的所有個人資料。
隨時修正你個人資料中的錯誤。
請求永久刪除你的帳號及所有相關資料。
要求我們暫停處理你的資料，直到爭議解決。
以機器可讀格式（如 CSV 或 JSON）接收你的資料。
隨時基於合法利益提出處理異議。
隨時立即撤回健康資料或穿戴裝置同意。
我們目標於 30 天內回應所有權利請求。你也有權向斯洛維尼亞資訊專員投訴。 ip-rs.si
10. 兒童與未成年者
Sport99 供各年齡層運動員於組織化運動俱樂部使用。未滿 18 歲運動員適用額外保護：
- 俱樂部管理員須於未成年運動員註冊時確認家長或監護人同意。
- 與運動員檔案連結的家長或監護人可依俱樂部設定存取訓練與出席紀錄。
- 自主管理的 Sport99 帳號最低年齡為 13 歲。低於此年齡者僅為俱樂部運動員，由教練擁有訓練計畫。
- 未滿 16 歲運動員須取得監護人同意，方可使用 AI 訓練計畫與健康功能。GDPR 第 8 條允許各成員國設定 13 至 16 歲間的年齡（斯洛維尼亞 ZVOP-2 設定為 15 歲）；我們統一採用最嚴格的 16 歲規定。
- 穿戴裝置整合及其他需同意的健康功能同樣遵守 16 歲門檻。
監護人同意絕不由運動員自行聲明取得。我們會寄送邀請信至指定監護人，僅在其回應後記錄同意 — 之前同意依賴功能皆保持關閉。
11. 自動化處理與檔案建立
Sport99 使用自動化處理計算運動員準備度分數、恢復指標及傷害風險訊號。這些結果提供教練及授權人員參考，並非用於作出具法律或類似重大影響的全自動決策（不適用 GDPR 第 22 條）。所有 AI 產生的洞察必須經合格人員審核後方可採取行動。你有權要求對影響你的 AI 評估進行人工審查，請聯絡 privacy@sport99.ai。
12. 政策更新
隨著平台發展或法律變更，我們可能更新本政策。重大變更將於生效前至少 14 天透過電子郵件及應用內通知帳號持有人。
13. 聯絡與資料保護專員
如對本政策有疑問、行使你的權利或提出隱私問題，請聯絡我們：