Polityka prywatności GymAnvil

Administrator i kontakt

Administratorem danych jest Paweł Grzeszczak, adres: Kazimierza Pułaskiego 3/33, 05-400 Otwock, Polska, e-mail: [email protected]. Dokument obejmuje PWA, iOS i wspólny backend GymAnvil.

Dane i cele

Przechowujemy nazwę użytkownika, bezpieczny skrót hasła, sesje, potwierdzony adres e-mail do odzyskiwania konta oraz potwierdzenie akceptacji dokumentów: wersję, ich treść, język, kanał i datę serwera. Jednorazowe linki weryfikacji i zmiany hasła zapisujemy jako skróty z terminem ważności. Przy Google otrzymujemy identyfikator konta i adres e-mail, a przy skonfigurowanym Cloudflare Access weryfikujemy tożsamość dostępu. Nie zapisujemy hasła do Google.

Dane profilu obejmują masę i wzrost, wiek, płeć używaną do obliczeń, poziom aktywności, doświadczenie i cel treningowy. Dane treningowe obejmują plany, serie, ciężary, powtórzenia, czas, dystans, RPE, notatki, własne ćwiczenia i przesłane grafiki. Używamy ich do zapisu, synchronizacji, statystyk i szacunków. Pomiary i wyliczenia mogą ujawniać informacje dotyczące zdrowia.

Do obsługi usługi i bezpieczeństwa wykorzystujemy dane techniczne, np. identyfikator urządzenia, adres IP, czas żądania i dane przeglądarki. Nie zbieraj w notatkach informacji o zdrowiu innych osób. Nie sprzedajemy danych treningowych, nie używamy ich do reklamy i nie wysyłamy ich do usług AI.

Podstawy i wybór użytkownika

Obsługa konta i funkcji opiera się na wykonaniu umowy; bezpieczeństwo i dochodzenie roszczeń na uzasadnionym interesie, a wymagane obowiązki na przepisach prawa. W zakresie danych dotyczących zdrowia przetwarzanie wymaga odrębnej, wyraźnej zgody, niezależnej od akceptacji regulaminu.

Zgodę na dane dotyczące zdrowia możesz wycofać przez kontakt na [email protected]. Nie wpływa to na wcześniejsze zgodne z prawem przetwarzanie. Operator uzgodni usunięcie tych danych oraz zakończenie funkcji, które ich wymagają; wycofanie zgody nie oznacza zgody na dalsze obliczenia. Informacje o przetwarzaniu nie są zgodą marketingową.

Szacunki są prostymi obliczeniami na danych użytkownika. Nie podejmujemy wyłącznie automatycznych decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na użytkownika.

Urządzenie, cookies i odbiorcy

Niezbędne cookies przechowują sesję, token CSRF i jednorazową wartość weryfikującą logowanie Google. Sesja serwera nie wygasa automatycznie i pozostaje aktywna do wylogowania lub unieważnienia. Cookie sesji PWA odnawia się automatycznie podczas korzystania z aplikacji. PWA używa pamięci przeglądarki i cache do ustawień, danych offline oraz kolejki zmian. iOS używa chronionych plików aplikacji, ustawień urządzenia i pęku kluczy dla sesji. Wylogowanie może zachować niewysłane dane konta.

Dane konta i treningów przechowujemy w zarządzanej bazie PostgreSQL w Render we Frankfurcie; Render uruchamia również API aplikacji. Cloudflare R2 przechowuje prywatne ilustracje oraz zaszyfrowane kopie zapasowe bazy. Dostęp jest ograniczony do operatora i uprawnionych dostawców infrastruktury w niezbędnym zakresie. Cloudflare obsługuje ruch sieciowy i ochronę dostępu. Jeśli przycisk Google jest dostępny, jego skrypt kontaktuje się z Google już na ekranie logowania. Wybranie filmu uruchamia odtwarzacz YouTube i połączenie z jego dostawcą. Eksport przekazujesz wybranemu przez siebie odbiorcy.

Google, YouTube, Cloudflare i Apple mają własne zasady prywatności i mogą przetwarzać dane infrastruktury także poza Europejskim Obszarem Gospodarczym. Google i Cloudflare opisują korzystanie z EU–US Data Privacy Framework oraz standardowych klauzul umownych w swoich zasadach transferów. Informacje o odbiorcach, właściwych zabezpieczeniach i sposobie uzyskania ich kopii możesz uzyskać pod adresem [email protected]. Zasady dostawców: https://policies.google.com/privacy/frameworks oraz https://www.cloudflare.com/privacypolicy/. Render: https://render.com/privacy; Resend: https://resend.com/legal/privacy-policy; Zoho: https://www.zoho.com/privacy.html.

Wiadomości z linkami potwierdzenia adresu i zmiany hasła oraz powiadomienia o zmianach konta wysyłamy przez Resend. Obejmują adres odbiorcy i treść linku lub powiadomienia, bez danych treningowych. Korespondencja wysyłana na kontaktowy adres operatora jest obsługiwana przez Zoho Mail. Przetwarzamy jej nadawcę, treść i załączniki w zakresie potrzebnym do odpowiedzi i realizacji żądania. Nie wysyłaj hasła ani zbędnych informacji medycznych.

Przechowywanie i prawa

Dane konta i treningów są przechowywane przez okres korzystania oraz do realizacji żądania usunięcia, chyba że określone dane muszą być zachowane z obowiązku prawnego lub dla niezbędnych roszczeń. Ślad akceptacji przechowujemy tylko tak długo, jak jest niezbędny do wykazania zasad umowy.

Operator wykonuje szyfrowane kopie przed migracjami. Aplikacja nie ustala automatycznej czasowej rotacji tych kopii. Przy żądaniu usunięcia operator musi objąć nim również kopie albo odizolować dane od dalszego użycia i zapewnić ich usunięcie; odtworzenie kopii nie może przywracać usuniętego konta do zwykłego użycia. Lokalną kopię możesz usunąć w ustawieniach PWA lub przez usunięcie danych aplikacji; wcześniej zachowaj potrzebny eksport.

Możesz żądać dostępu, sprostowania, usunięcia, ograniczenia, przeniesienia danych w odpowiednim zakresie oraz zgłosić sprzeciw wobec przetwarzania opartego na uzasadnionym interesie. Napisz na [email protected]; nie podawaj hasła. Co do zasady odpowiadamy w ciągu miesiąca, a o uzasadnionym przedłużeniu informujemy. Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.