Polityka prywatności

Administratorem Twoich danych osobowych jest [NAZWA SP. Z O.O.] (spółka w organizacji) z siedzibą w [ADRES SIEDZIBY]. Po rejestracji w KRS uzupełnimy tutaj numery KRS, NIP i REGON. We wszystkich sprawach dotyczących danych osobowych skontaktujesz się z nami pod adresem [E-MAIL KONTAKTOWY]. Nie powołaliśmy inspektora ochrony danych (IOD); jeśli to się zmieni, podamy tutaj jego dane kontaktowe.

• Dane konta — adres e-mail oraz imię lub nazwa wyświetlana. Podajesz je przy rejestracji; przy logowaniu przez Google lub Apple otrzymujemy je od tych dostawców.
• Dane profilu i rozgrywki — miasto (Gdańsk lub Warszawa), Gry, w których brałeś udział, Twój Skład (Roster) oraz oceny od innych Graczy zasilające SkillRating i TrustScore.
• Dane płatnicze — kwota i historia Twoich płatności Wpisowego. Numery kart obsługuje Stripe; my ich nie przechowujemy. Zasady płatności i zwrotów opisuje Regulamin.
• Dane o aktywności fizycznej (opcjonalnie) — jeśli połączysz konto Strava, pobieramy wyłącznie zagregowane, tygodniowe metryki (np. łączny dystans i czas treningów). Nie pobieramy surowych tras GPS. Dane te otrzymujemy od Stravy na podstawie Twojej zgody.

Przetwarzamy Twoje dane w następujących celach i na następujących podstawach:

Zgoda na przetwarzanie danych o aktywności fizycznej (art. 9) jest dodatkową, odrębną podstawą — nie zastępuje pozostałych, lecz je uzupełnia.

Połączenie konta Strava jest dobrowolne i nie jest potrzebne do rejestracji, korzystania z mapy, dołączania do Gier bez progu formy ani do płatności.

Po połączeniu pobieramy wyłącznie zagregowane metryki (dystans, czas) i wyliczamy z nich FitnessScore — indeks 0–100. Dane o Twojej aktywności fizycznej oraz FitnessScore traktujemy jako dane dotyczące zdrowia (szczególna kategoria danych, art. 9 RODO) i obejmujemy je podwyższoną ochroną. Przetwarzamy je wyłącznie na podstawie Twojej wyraźnej zgody (art. 9 ust. 2 lit. a RODO), o którą prosimy osobno — nigdy nie łączymy jej z akceptacją Regulaminu ani z zakładaniem konta.

FitnessScore służy wyłącznie do dopasowywania i kwalifikacji do Gier. Nie sprzedajemy tych danych, nie udostępniamy ich reklamodawcom ani nie wykorzystujemy do innych celów. Zgodę możesz wycofać w każdej chwili, odłączając konto Strava w ustawieniach (art. 7 ust. 3 RODO) — usuwamy wtedy zapisane tokeny i zaimportowane dane, a Twój FitnessScore wraca do stanu „niezweryfikowany”. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.

Dla Przejazdów rowerowych z progiem tempa wyliczamy z tych samych zagregowanych danych ze Stravy dodatkowo CruiseBand — szacunkowy przedział tempa (mediana prędkości z płaskich przejazdów z ostatnich 90 dni). CruiseBand traktujemy tak samo jak FitnessScore (dane dotyczące zdrowia, art. 9 RODO) i nigdy nie pokazujemy go innym użytkownikom. Do użycia CruiseBand przy zapisie na taki Przejazd wymagamy osobnej wyraźnej zgody („dopasowywanie na podstawie kondycji”) — bez niej system traktuje Cię jak osobę bez zweryfikowanego tempa, a o dopuszczeniu decyduje ustawienie Organizatora. Tę zgodę możesz wycofać w każdej chwili w ustawieniach; wycofanie zgody na wyliczanie wyniku usuwa też zapisany CruiseBand.

Treść zgody: „Wyrażam wyraźną zgodę na przetwarzanie przez [NAZWA SP. Z O.O.] danych o mojej aktywności fizycznej ze Stravy oraz na wyliczenie mojego FitnessScore (art. 9 ust. 2 lit. a RODO). Zgodę mogę w każdej chwili wycofać, odłączając konto Strava — co usunie zaimportowane dane i cofnie FitnessScore.”

Korzystamy z zaufanych dostawców, którzy przetwarzają dane w naszym imieniu:

• Supabase — uwierzytelnianie i baza danych (region UE, Frankfurt).
• Stripe — obsługa płatności.
• Strava — import danych o aktywności (tylko po połączeniu konta).
• Google, Apple — logowanie.
• Resend — wysyłka wiadomości e-mail.
• Vercel — hosting aplikacji.
• PostHog (serwery w UE) — analityka produktowa w trybie bez plików cookies; szczegóły w sekcji 11.

Organizatorzy otrzymują wyłącznie zakres danych ze Składu niezbędny do przeprowadzenia Gry. Nie sprzedajemy Twoich danych i nie korzystamy z narzędzi reklamowych ani śledzenia międzywitrynowego.

Naszą infrastrukturę utrzymujemy w Unii Europejskiej (Supabase, Frankfurt). Niektórzy dostawcy — w szczególności Stripe, a w przypadku połączenia konta także Strava — mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym, m.in. w USA. W takich przypadkach przekazywanie odbywa się na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską lub decyzji o adekwatności (np. EU–US Data Privacy Framework). Kopię zabezpieczeń udostępnimy na żądanie pod adresem [E-MAIL KONTAKTOWY].

• Dane konta i profilu — do czasu usunięcia konta.
• Dane płatnicze i dokumenty księgowe — przez okres wymagany przepisami podatkowymi (co do zasady 5 lat od końca roku, w którym dokonano płatności).
• Dane o aktywności ze Stravy i powiązane tokeny — do odłączenia konta Strava lub wycofania zgody; następnie je usuwamy.
• Dane związane z bezpieczeństwem (logi) — przez ograniczony czas niezbędny do wykrywania nadużyć.

Po upływie tych okresów dane usuwamy lub anonimizujemy.

Masz prawo do: dostępu do danych, ich sprostowania, usunięcia („prawo do bycia zapomnianym”), ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, a także do wycofania zgody w każdej chwili (bez wpływu na zgodność przetwarzania sprzed wycofania).

Konto usuniesz samodzielnie w ustawieniach — jednym kliknięciem. Usuwamy wtedy Twoje dane osobowe bez zbędnej zwłoki, najpóźniej w ciągu 30 dni; odłączamy konto Strava i zwracamy Wpisowe za przyszłe, opłacone Gry. Wyjątkiem są dane, które musimy zachować na podstawie przepisów podatkowych (zob. sekcja 7) — przechowujemy je wówczas pod osobnym, pseudonimowym identyfikatorem.

Przysługuje Ci prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa. Zanim to zrobisz, zachęcamy do kontaktu z nami — postaramy się pomóc.

Podanie danych konta i danych płatniczych jest dobrowolne, ale niezbędne do korzystania z aplikacji i dołączania do płatnych Gier — bez nich nie zawrzemy umowy. Połączenie ze Stravą oraz wyliczanie i pokazywanie FitnessScore są w pełni dobrowolne, a odmowa nie blokuje podstawowych funkcji: zakładania konta, przeglądania mapy, dołączania do Gier bez progu formy, płatności ani usunięcia konta.

FitnessScore oraz SkillRating pomagają dopasować Cię do odpowiednich Gier i mogą działać jak filtr (np. próg formy ustawiony przez Organizatora). Nie podejmujemy jednak wobec Ciebie decyzji wywołujących skutki prawne lub podobnie istotnych wyłącznie w sposób zautomatyzowany: jeśli filtr Cię wyklucza, możesz złożyć prośbę o dołączenie, którą rozpatruje Organizator (człowiek). Masz prawo poznać powody zmian w swoich wskaźnikach oraz je zakwestionować, pisząc do nas.

Używamy wyłącznie niezbędnych plików cookies i pamięci lokalnej — do utrzymania sesji logowania i bezpieczeństwa konta. Dla danych niezbędnych do działania usługi zgoda nie jest wymagana (art. 399 Prawa komunikacji elektronicznej); realizujemy natomiast obowiązek informacyjny z art. 13 RODO. Do analityki produktowej — mierzenia, jak korzystasz z aplikacji, aby ją ulepszać — używamy narzędzia PostHog z serwerami w Unii Europejskiej (Frankfurt), skonfigurowanego bez plików cookies i bez trwałego zapisu identyfikatora analitycznego na Twoim urządzeniu (dane analityczne są utrzymywane wyłącznie w pamięci sesji przeglądarki). Przy wylogowaniu lub usunięciu konta zapisujemy i natychmiast usuwamy z pamięci lokalnej wyłącznie krótkotrwały, pozbawiony identyfikatora sygnał bezpieczeństwa, aby inne otwarte karty również wyczyściły tożsamość analityczną; nie służy on do pomiaru ani śledzenia. Nie stosujemy śledzenia międzywitrynowego, nagrywania sesji, plików marketingowych ani reklamowych. Podstawą przetwarzania danych analitycznych jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO); w każdej chwili możesz wnieść sprzeciw. Plikami możesz zarządzać w ustawieniach przeglądarki lub urządzenia, ale wyłączenie niezbędnych plików uniemożliwi logowanie.

Stosujemy odpowiednie środki techniczne i organizacyjne: szyfrowane połączenia, ograniczony dostęp do danych oraz dostawców płatności zgodnych ze standardem PCI-DSS. Żaden system nie jest jednak całkowicie odporny na zagrożenia — jeśli dojdzie do naruszenia ochrony Twoich danych, postąpimy zgodnie z obowiązkami wynikającymi z RODO.

Możemy aktualizować tę politykę, np. gdy zmienimy funkcje aplikacji lub dostawców. O istotnych zmianach poinformujemy Cię w aplikacji lub e-mailem. Aktualna wersja i data jej obowiązywania są zawsze wskazane na górze tego dokumentu.

W sprawach dotyczących prywatności i danych osobowych pisz na [E-MAIL KONTAKTOWY].