POLITYKA PRYWATNOŚCI APLIKACJI EASY-TRACKLY

1. Wprowadzenie

Niniejsza Polityka Prywatności określa zasady przetwarzania i ochrony danych osobowych użytkowników aplikacji „easy-trackly” (dalej: „Aplikacja”) zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej: „RODO”).

2. Administrator danych osobowych

Administratorem Twoich danych osobowych jest Marcin Milewicz IT Consulting, prowadzący działalność pod firmą Marcin Milewicz IT Consulting (adres: Prawocińska 23c/2, Siechnice 55-011), NIP: 8982259501, REGON: 386752577 (dalej: „Administrator”).

W sprawach związanych z ochroną danych osobowych możesz skontaktować się z Administratorem:

• e-mailowo: contact@easytrackly.app
• pisemnie: Prawocińska 23c/2, Siechnice 55-011

3. Cele i podstawy prawne przetwarzania danych

Twoje dane osobowe przetwarzamy w następujących celach:

3.1. Świadczenie usług (art. 6 ust. 1 lit. b RODO)

• rejestracja i prowadzenie Konta użytkownika (Trenera lub Sportowca),
• umożliwienie korzystania z funkcjonalności Aplikacji (planowanie treningów, śledzenie aktywności, komunikacja),
• obsługa płatności i fakturowanie,
• synchronizacja danych z zewnętrznymi serwisami (np. Strava, Garmin, Polar, COROS, ROUVY, Suunto) – na Twoje życzenie.

3.2. Marketing bezpośredni (art. 6 ust. 1 lit. a RODO)

• wysyłanie newslettera i informacji o nowościach – wyłącznie za Twoją zgodą,
• informowanie o promocjach i nowych funkcjonalnościach Aplikacji.

3.3. Realizacja obowiązków prawnych (art. 6 ust. 1 lit. c RODO)

• wystawianie i przechowywanie faktur,
• rozpatrywanie reklamacji,
• odpowiadanie na żądania organów publicznych.

3.4. Prawnie uzasadnione interesy Administratora (art. 6 ust. 1 lit. f RODO)

• analiza sposobu korzystania z Aplikacji w celu jej ulepszania,
• zapewnienie bezpieczeństwa i zapobieganie nadużyciom,
• dochodzenie lub obrona przed roszczeniami prawnymi.

3.5. Przetwarzanie danych Sportowców w imieniu Trenera (powierzenie przetwarzania)

W przypadku danych osobowych Sportowców wprowadzanych do Aplikacji przez Trenerów, Administrator działa jako podmiot przetwarzający (procesor) w rozumieniu art. 28 RODO. Administratorem tych danych w rozumieniu RODO jest Trener, który zdecydował o wprowadzeniu danych Sportowca do Aplikacji.

Szczegółowe warunki powierzenia przetwarzania danych osobowych Sportowców, w tym zakres powierzenia, obowiązki procesora, lista podprzetwarzających oraz procedury usuwania danych, określa § 14 Regulaminu Aplikacji, dostępnego pod adresem: easytrackly.app/pl/legal/terms.

3.6. Dane dotyczące zdrowia (art. 9 ust. 2 lit. a RODO)

Tętno, sen, zmienność rytmu serca (HRV), saturacja, skład ciała i podobne pomiary z urządzeń sportowych, a także samoocena samopoczucia, bólu i zmęczenia, są danymi dotyczącymi zdrowia w rozumieniu art. 4 pkt 15 RODO. Przetwarzamy je wyłącznie na podstawie Twojej wyraźnej, odrębnej zgody, którą wyrażasz, włączając import danych z urządzenia w Aplikacji lub wprowadzając te dane samodzielnie. Zgodę możesz wycofać w każdej chwili, wyłączając import w ustawieniach integracji lub usuwając dane zdrowotne w ustawieniach Aplikacji.

W odniesieniu do danych dotyczących zdrowia Administratorem jest wyłącznie Administrator wskazany w pkt 2 – decyzję o połączeniu urządzenia podejmuje sam Sportowiec, a nie Trener. Trener otrzymuje wgląd w te dane tylko wtedy, gdy Sportowiec włączy udostępnianie trenerowi, i traci go z chwilą wyłączenia udostępniania. Trener może o udostępnienie poprosić, ale odmowa nie ogranicza korzystania z Aplikacji. Powierzenie przetwarzania opisane w pkt 3.5 nie obejmuje danych dotyczących zdrowia.

4. Kategorie przetwarzanych danych

W zależności od sposobu korzystania z Aplikacji, przetwarzamy:

4.1. Dane konta użytkownika

• imię i nazwisko,
• adres e-mail,
• hasło (przechowywane w formie zaszyfrowanej),
• numer telefonu (opcjonalnie),
• zdjęcie profilowe (opcjonalnie),
• preferencje językowe.

4.2. Dane sportowców (wprowadzane przez Trenerów)

• imię i nazwisko sportowca,
• adres e-mail sportowca,
• dyscyplina sportowa, poziom zaawansowania,
• wiek, waga, wzrost,
• data dołączenia, status współpracy.

4.3. Dane aktywności treningowych

• typ aktywności (bieganie, kolarstwo, pływanie, siłownia, spacer),
• data, czas trwania, dystans,
• dla treningów z urządzeń: tętno, moc, kadencja, tempo, przebieg trasy (GPS), kalorie oraz surowy plik treningu (FIT),
• subiektywna ocena wysiłku (RPE) i waga w dniu treningu,
• komentarze i notatki,
• źródło danych (wpis ręczny, Strava, Garmin, Polar, COROS, ROUVY, Suunto, inne).

4.4. Dane płatności

• dane rozliczeniowe (nie przechowujemy danych kart płatniczych),
• historia transakcji,
• status subskrypcji.

4.5. Dane techniczne

• adres IP,
• typ przeglądarki i urządzenia,
• dane o sesji i logowaniu.

4.6. Dane analityczne (telemetria produktowa)

Prowadzimy własne, podstawowe pomiary korzystania z Aplikacji – zapisywane w naszej bazie danych, a nie u zewnętrznego dostawcy analityki. Zapisujemy:

• nazwę zdarzenia (np. wejście na stronę, rozpoczęcie rejestracji, utworzenie konta) i moment jego wystąpienia,
• ścieżkę w Aplikacji, na której zdarzenie nastąpiło (bez parametrów zapytania),
• źródło wejścia: parametry kampanii (utm_source, utm_medium, utm_campaign) oraz nazwę hosta strony odsyłającej (bez pełnego adresu),
• identyfikator Twojego Konta – jeżeli zdarzenie nastąpiło po zalogowaniu,
• losowy identyfikator przeglądarki, pozwalający powiązać kolejne wizyty tej samej osoby – wyłącznie za Twoją zgodą (art. 6 ust. 1 lit. a RODO). Identyfikator jest przechowywany w pamięci lokalnej Twojej przeglądarki i usuwamy go z niej natychmiast po wycofaniu zgody.

Bez Twojej zgody zdarzenie zapisujemy bez jakiegokolwiek identyfikatora i bez zapamiętanego źródła wejścia – wiadomo wtedy jedynie, że zdarzenie nastąpiło, bez możliwości powiązania go z osobą ani z inną wizytą. Podstawą takiego pomiaru jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO – pkt 3.4 powyżej).

W zdarzeniach nie zapisujemy adresu e-mail, imienia i nazwiska ani danych treningowych.

4.7. Dane dotyczące zdrowia z urządzeń

Po połączeniu zegarka lub innego urządzenia (Garmin, Polar, COROS, Suunto) i włączeniu importu danych zdrowotnych przetwarzamy, w zakresie udostępnianym przez danego producenta:

• sen: czas trwania, fazy (głęboki, lekki, REM, czuwanie), godzinę zaśnięcia, ocenę snu i drzemki,
• tętno spoczynkowe, nocną zmienność rytmu serca (HRV), ciągły zapis tętna w ciągu doby, minimalne i maksymalne tętno dnia,
• saturację krwi (SpO2), częstość oddechów we śnie, odchylenie temperatury skóry,
• kroki, kalorie, minuty intensywne, szacowane VO2max, wskaźniki regeneracji i stresu producenta (np. Garmin Body Battery, Polar Nightly Recharge i SleepWise, Suunto Balance),
• skład ciała: wagę, procent tkanki tłuszczowej, masę mięśniową i kostną, procent wody, BMI,
• pomiary punktowe wykonane na urządzeniu, w tym ciśnienie krwi i migawkę zdrowia (Garmin Health Snapshot),
• wprowadzane ręcznie w Aplikacji: samoocenę snu, motywacji, nawodnienia, bólu i zmęczenia.

Nie pobieramy danych o cyklu menstruacyjnym ani ciąży, zapisu EKG ani bieżącej lokalizacji urządzenia. Na podstawie powyższych danych Aplikacja wylicza wskaźnik gotowości do treningu według stałych, opisanych w Aplikacji reguł – bez użycia systemów sztucznej inteligencji.

5. Odbiorcy danych osobowych

Twoje dane osobowe mogą być przekazywane następującym kategoriom odbiorców:

5.1. Integracje zewnętrzne (na Twoje życzenie)

• Strava (Strava, Inc.) – synchronizacja aktywności sportowych po połączeniu konta.
• Garmin (Garmin Ltd.) – synchronizacja aktywności sportowych i przesyłanie planów treningowych na urządzenie po połączeniu konta; za osobnym uprawnieniem w Garmin Connect także import danych zdrowotnych z zegarka (Garmin Health API) opisanych w pkt 4.7.
• Polar (Polar Electro Oy, Finlandia) – import aktywności sportowych z Polar Flow (AccessLink API) po połączeniu konta; dane pochodzą wyłącznie z treningów wgranych po połączeniu. Za osobną zgodą na koncie Polar także import danych zdrowotnych (sen, Nightly Recharge, SleepWise, temperatura skóry, skład ciała) opisanych w pkt 4.7.
• COROS (COROS Wearables Inc., USA) – import ukończonych treningów (wraz z plikiem FIT) i przesyłanie zaplanowanych treningów na zegarek po połączeniu konta; po włączeniu w Aplikacji także import dziennych danych zdrowotnych opisanych w pkt 4.7.
• ROUVY (VirtualTraining s.r.o., Czechy) – wymiana danych w obie strony po połączeniu konta: import ukończonych jazd na trenażerze (wraz z plikiem FIT) oraz przesyłanie zaplanowanych treningów kolarskich do kalendarza ROUVY.
• Suunto (Suunto Oy, Finlandia) – wymiana danych w obie strony po połączeniu konta: import ukończonych treningów (wraz z plikiem FIT) z aplikacji Suunto oraz przesyłanie zaplanowanych treningów na zegarek jako SuuntoPlus Guide; po włączeniu w Aplikacji także import całodobowych danych zdrowotnych (sen, regeneracja, HRV, aktywność dnia) opisanych w pkt 4.7.

5.2. Usługi komunikacyjne

• Resend (Resend, Inc.) – wysyłka e-maili transakcyjnych (potwierdzenia rejestracji, resetowanie hasła) oraz newslettera (za zgodą).

5.3. Usługi hostingowe i infrastrukturalne

• Supabase – hosting bazy danych i uwierzytelnianie.
• Vercel – hosting aplikacji webowej oraz analityka (Vercel Analytics).

5.4. Usługi analityczne

Telemetria produktowa opisana w pkt 4.6 jest naszą własną – zostaje w naszej infrastrukturze i nie przekazujemy jej żadnemu z dostawców poniżej. Poza nią korzystamy z:

• Vercel Analytics – zbieranie anonimowych danych o odwiedzinach strony (liczba odwiedzin, najpopularniejsze strony, źródła ruchu). Vercel Analytics nie wykorzystuje plików cookies i nie śledzi użytkowników między sesjami.
• Microsoft Clarity – analiza zachowań użytkowników (mapy ciepła, nagrania sesji) – wyłącznie za Twoją zgodą.

5.5. Organy publiczne

W przypadkach wymaganych przez prawo, dane mogą zostać udostępnione właściwym organom administracji publicznej, sądom lub organom ścigania.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Niektórzy z naszych dostawców usług mogą przetwarzać dane poza EOG, w szczególności w USA:

• Supabase (USA) – baza danych i uwierzytelnianie. Dane przechowywane w regionie EU (Frankfurt, eu-central-1). Dostęp serwisowy z USA odbywa się na podstawie standardowych klauzul umownych (SCC) oraz Data Processing Agreement.
• Strava (USA) – przekazywanie danych odbywa się na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską,
• Garmin (USA/Szwajcaria) – przekazywanie danych odbywa się na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską,
• Polar (Polar Electro Oy, Finlandia) – podmiot z siedzibą w EOG; przekazywanie danych nie wymaga dodatkowych mechanizmów transferu poza EOG,
• COROS (COROS Wearables Inc., USA) – przekazywanie danych odbywa się na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską,
• ROUVY (VirtualTraining s.r.o., Czechy) – podmiot z siedzibą w EOG; przekazywanie danych nie wymaga dodatkowych mechanizmów transferu poza EOG,
• Suunto (Suunto Oy, Finlandia) – podmiot z siedzibą w EOG; przekazywanie danych nie wymaga dodatkowych mechanizmów transferu poza EOG,
• Vercel (USA) – dane przetwarzane w regionie EU (Frankfurt), ale pewne operacje mogą odbywać się w USA na podstawie SCC.

W każdym przypadku przekazywania danych poza EOG stosujemy odpowiednie zabezpieczenia przewidziane w RODO.

7. Okres przechowywania danych

Twoje dane osobowe przechowujemy przez okres:

• Dane konta – przez cały okres korzystania z Aplikacji, a po usunięciu konta – przez 30 dni w celach archiwizacyjnych (możliwość odzyskania),
• Dane dotyczące zdrowia z urządzeń (pkt 4.7) – dzienne podsumowania i sesje snu przechowujemy do czasu usunięcia ich przez Ciebie w ustawieniach Aplikacji lub usunięcia Konta. Ciągły zapis tętna i fazy snu z poszczególnych nocy przechowujemy przez 13 miesięcy; po tym czasie fazy snu usuwamy, a zapis tętna uśredniamy do odcinków 5-minutowych. Odłączenie urządzenia lub cofnięcie uprawnienia u producenta zatrzymuje import, ale nie usuwa danych już pobranych – usuwasz je osobno, w ustawieniach Aplikacji,
• Surowe pliki treningów (FIT) – 30 dni od importu; przetworzone dane treningu pozostają w historii aktywności,
• Dane rozliczeniowe – przez okres wymagany przepisami prawa podatkowego (5 lat od końca roku podatkowego),
• Dane marketingowe – do czasu wycofania zgody lub złożenia skutecznego sprzeciwu,
• Dane analityczne w naszej bazie (zdarzenia opisane w pkt 4.6) – nie dłużej niż 13 miesięcy od zarejestrowania zdarzenia; starsze zdarzenia usuwa automatyczne zadanie uruchamiane codziennie,
• Dane analityczne w narzędziach zewnętrznych (Vercel Analytics, Microsoft Clarity) – zgodnie z okresami retencji stosowanymi przez tych dostawców, na które nie mamy wpływu,
• Dane służące dochodzeniu roszczeń – przez okres przedawnienia roszczeń (co do zasady 3 lata).

8. Twoje prawa

Na podstawie RODO przysługują Ci następujące prawa w związku z przetwarzaniem Twoich danych osobowych:

8.1. Prawo dostępu do danych (art. 15 RODO)

Masz prawo uzyskać potwierdzenie, czy przetwarzamy Twoje dane, oraz uzyskać do nich dostęp.

8.2. Prawo do sprostowania danych (art. 16 RODO)

Możesz żądać sprostowania nieprawidłowych danych lub uzupełnienia niekompletnych danych.

8.3. Prawo do usunięcia danych – „prawo do bycia zapomnianym” (art. 17 RODO)

W określonych przypadkach możesz żądać usunięcia swoich danych osobowych.

8.4. Prawo do ograniczenia przetwarzania (art. 18 RODO)

Możesz żądać ograniczenia przetwarzania danych w określonych sytuacjach.

8.5. Prawo do przenoszenia danych (art. 20 RODO)

Masz prawo otrzymać swoje dane w ustrukturyzowanym, powszechnie używanym formacie (JSON/CSV) oraz przesłać je innemu administratorowi.

8.6. Prawo do sprzeciwu (art. 21 RODO)

Możesz wnieść sprzeciw wobec przetwarzania danych opartego na prawnie uzasadnionym interesie Administratora, w tym wobec profilowania.

8.7. Prawo do wycofania zgody

Jeśli przetwarzanie odbywa się na podstawie zgody, możesz ją wycofać w dowolnym momencie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

8.8. Prawo do wniesienia skargi

Masz prawo wnieść skargę do organu nadzorczego – w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

9. Pliki cookies i podobne technologie

Aplikacja wykorzystuje następujące rodzaje plików cookies:

9.1. Cookies niezbędne

Niezbędne do prawidłowego działania Aplikacji (np. utrzymanie sesji logowania). Nie wymagają zgody.

9.2. Cookies analityczne

Służą do analizy sposobu korzystania z Aplikacji w celu jej ulepszania. Wykorzystujemy je na podstawie Twojej zgody.

Za Twoją zgodą przechowujemy również w pamięci lokalnej przeglądarki (localStorage) losowy identyfikator oraz zapamiętane źródło wejścia, wykorzystywane przez naszą własną telemetrię opisaną w pkt 4.6. Nie są to pliki cookies, ale technologia o podobnym działaniu – dlatego wymaga tej samej zgody. Po jej wycofaniu usuwamy oba wpisy z przeglądarki natychmiast.

Uwaga: Vercel Analytics, którego używamy do podstawowej analityki ruchu, nie wykorzystuje plików cookies i działa w sposób przyjazny dla prywatności (privacy-first). Dane są anonimizowane i nie pozwalają na identyfikację poszczególnych użytkowników.

9.3. Cookies marketingowe

Służą do personalizacji treści marketingowych. Wykorzystujemy je wyłącznie za Twoją zgodą.

10. Bezpieczeństwo danych

Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony Twoich danych osobowych, w tym:

• szyfrowanie transmisji danych (SSL/TLS),
• przechowywanie haseł w formie zaszyfrowanej (bcrypt),
• kontrola dostępu – dostęp do danych mają wyłącznie upoważnione osoby,
• regularne kopie zapasowe,
• monitorowanie i audyt bezpieczeństwa.

11. Zmiany Polityki Prywatności

1. Administrator zastrzega sobie prawo do zmiany niniejszej Polityki Prywatności w przypadku zmian technicznych, prawnych lub organizacyjnych.
2. O istotnych zmianach poinformujemy Cię za pośrednictwem poczty elektronicznej oraz komunikatu w Aplikacji.
3. Aktualna wersja Polityki Prywatności jest zawsze dostępna pod adresem: easytrackly.app/pl/legal/privacy.

12. Kontakt

W sprawach związanych z przetwarzaniem danych osobowych prosimy o kontakt:

• E-mail: contact@easytrackly.app
• Adres korespondencyjny: Prawocińska 23c/2, Siechnice 55-011