Polityka prywatności

2.1. Administrator

Administratorem danych osobowych jest:

MACH Studio Mariusz Chmiest

ul. Olkuska 191

32-045 Sułoszowa

NIP 677-125-53-10

REGON 544743429

Kontakt w sprawach danych osobowych:

kontakt@trenaio.pl

Administrator nie wskazuje Inspektora Ochrony Danych, ponieważ w niniejszej wersji dokumentacji nie został wskazany jako wyznaczony.

2.2. Dane Konta i podstawowej Usługi

W celu utworzenia Konta, uwierzytelnienia Użytkownika oraz świadczenia funkcji Trenaio Administrator przetwarza dane niezbędne do wykonania umowy, w szczególności:

adres e-mail;

skrót hasła;

identyfikator Konta;

status Konta;

język i ustawienia;

dane sportowe i treningowe niezakwalifikowane w danym procesie jako dane szczególnej kategorii;

informacje techniczne niezbędne do utrzymania sesji.

Podstawą tego przetwarzania jest art. 6 ust. 1 lit. b RODO w zakresie niezbędnym do zawarcia i wykonania umowy.

2.3. Dane dotyczące zdrowia

Dla celów Trenaio jako dane dotyczące zdrowia traktowane są konserwatywnie w szczególności informacje wykorzystywane do wnioskowania o stanie fizycznym lub gotowości Użytkownika, obejmujące odpowiednio do używanych funkcji:

ból;

informacje o urazach;

informacje o lekach wpływających na trening lub tętno;

HRV;

tętno spoczynkowe;

dane dotyczące tętna i progów fizjologicznych;

informacje dotyczące snu;

zmęczenie;

bolesność mięśni;

stres;

samopoczucie;

inne informacje, które w połączeniu z celem ich wykorzystania ujawniają stan zdrowia Użytkownika.

Dane te są funkcjonalnie oddzielone od podstawowej funkcji Konta.

Ich przetwarzanie w opcjonalnych funkcjach personalizacji i gotowości odbywa się po uzyskaniu wyraźnej zgody Użytkownika.

Dla procesu opartego na zgodzie stosowane są:

art. 6 ust. 1 lit. a RODO oraz art. 9 ust. 2 lit. a RODO.

Brak zgody nie uniemożliwia prowadzenia podstawowego Konta i ręcznego dziennika treningowego, lecz wyłącza funkcje wymagające danych dotyczących zdrowia.

2.4. Wycofanie zgody zdrowotnej

Użytkownik może wycofać zgodę w każdym momencie w ustawieniach Konta albo przez kontakt@trenaio.pl.

Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania wykonanego przed jej wycofaniem.

Po wycofaniu zgody dane objęte zgodą:

• przestają być używane do nowych obliczeń i rekomendacji;
• nie są dalej udostępniane funkcjom wymagającym tej zgody;
• są usuwane z aktywnego środowiska, jeżeli nie istnieje inna podstawa prawna ich przechowywania.

Dowód udzielenia i wycofania zgody może być przechowywany oddzielnie od danych zdrowotnych w zakresie potrzebnym do wykazania zgodności przetwarzania.

2.5. Bezpieczeństwo Serwisu

Administrator może przetwarzać:

adres IP;

user-agent;

identyfikatory techniczne;

dane o sesji;

zdarzenia bezpieczeństwa;

informacje o próbach logowania i resetu hasła

w celu zabezpieczenia Kont, wykrywania nadużyć i ochrony infrastruktury.

Podstawą jest art. 6 ust. 1 lit. f RODO w zakresie, w którym Administrator opiera ten proces na swoim prawnie uzasadnionym interesie polegającym na ochronie Serwisu, danych i Użytkowników.

Administrator dokumentuje ocenę równowagi tego interesu.

2.6. Reklamacje, kontakt i roszczenia

Dane przekazane w ramach zapytania lub reklamacji są przetwarzane w celu:

obsługi sprawy;

wykonania obowiązków prawnych;

ustalenia, dochodzenia albo obrony roszczeń.

Podstawa zależy od charakteru sprawy i może wynikać odpowiednio z art. 6 ust. 1 lit. b, c albo f RODO.

2.7. Automatyczne rekomendacje

Trenaio wykorzystuje reguły i obliczenia do:

obliczania obciążenia;

oceny gotowości;

określania stref;

tworzenia rekomendacji treningowych.

W bieżącej wersji dane nie są przekazywane zewnętrznemu dostawcy AI/LLM.

Bieżąca funkcja nie jest przedstawiana jako podejmowanie decyzji wywołujących skutki prawne wobec Użytkownika.

2.8. Odbiorcy danych

W zakresie niezbędnym do działania Trenaio dane mogą być powierzane kategoriom dostawców obejmującym:

dostawcę infrastruktury hostingowej;

dostawcę poczty transakcyjnej;

Google Ireland Limited jako dostawcę opcjonalnej analityki GA4 — wyłącznie po zgodzie opisanej w części 2.13;

podmioty świadczące niezbędne usługi techniczne lub bezpieczeństwa.

Administrator utrzymuje wewnętrzny rejestr dostawców i umów.

Przed uruchomieniem rejestracji należy zweryfikować dokładne role, regiony przetwarzania i umowy z dostawcami.

2.9. Transfery poza EOG

Przed rozpoczęciem przekazywania danych poza Europejski Obszar Gospodarczy Administrator zapewnia właściwą podstawę przewidzianą w rozdziale V RODO oraz przekazuje wymagane informacje osobom, których dane dotyczą.

Bramka publikacyjna: przed otwarciem rejestracji musi zostać potwierdzone, czy obecni dostawcy lub ich podprocesorzy powodują taki transfer.

2.10. Retencja

Przyjmuje się następujący model docelowy, który musi odpowiadać rzeczywistej implementacji przed otwarciem rejestracji:

Konto i podstawowe dane treningowe

Dane są przechowywane przez czas trwania umowy.

Po skutecznym żądaniu usunięcia Konta dane, dla których nie istnieje inna podstawa dalszego przechowywania, są usuwane lub nieodwracalnie anonimizowane z aktywnego środowiska w terminie nie dłuższym niż 30 dni.

Dane dotyczące zdrowia

Dane są przechowywane do wcześniejszego z następujących zdarzeń:

wycofania zgody;

usunięcia Konta;

ustania celu, dla którego zgoda została udzielona.

Jeżeli po wycofaniu zgody nie istnieje inna zgodna z prawem podstawa dalszego przetwarzania, dane są usuwane bez zbędnej zwłoki.

Kopie zapasowe

Dane usunięte z aktywnego środowiska mogą pozostawać w istniejących kopiach zapasowych do końca cyklu ich rotacji, nie dłużej niż 30 dni od utworzenia danej kopii, pod warunkiem że kopia nie jest wykorzystywana do bieżącego przetwarzania.

Po odtworzeniu kopii administrator ponownie stosuje obowiązujące dyspozycje usunięcia.

Tokeny

token dostępu: zgodnie z technicznym czasem ważności, obecnie projektowanym na 15 minut;

refresh token: maksymalnie zgodnie z okresem sesji, obecnie 30 dni;

token resetu hasła: zgodnie z technicznym terminem ważności, obecnie 60 minut.

Niepotrzebne rekordy techniczne są okresowo usuwane.

Bezpieczeństwo i audyt

Dane są przechowywane przez okres niezbędny do realizacji celu bezpieczeństwa, według zatwierdzonego harmonogramu retencji.

Reklamacje i korespondencja

Dane są przechowywane przez czas niezbędny do obsługi sprawy, a następnie przez okres wymagany do realizacji obowiązków prawnych lub ustalenia, dochodzenia albo obrony roszczeń.

Dowody zgód i wersji dokumentów

Dowody mogą być przechowywane przez okres niezbędny do wykazania prawidłowości przetwarzania i obrony związanych z tym roszczeń.

2.11. Prawa osoby

Na warunkach określonych w RODO osobie mogą przysługiwać prawa do:

dostępu;

sprostowania;

usunięcia;

ograniczenia przetwarzania;

przenoszenia danych;

sprzeciwu;

wycofania zgody.

Żądanie można wysłać na:

kontakt@trenaio.pl

Brak samoobsługowego przycisku eksportu nie ogranicza prawa osoby. Administrator zapewnia operacyjną procedurę przygotowania danych w formacie odpowiadającym wymaganiom RODO, jeżeli prawo do przenoszenia znajduje zastosowanie.

2.12. Skarga

Osoba może wnieść skargę do właściwego organu nadzorczego.

W Polsce organem tym jest Prezes Urzędu Ochrony Danych Osobowych.

2.13. Opcjonalna analityka publicznych stron

Po udzieleniu odrębnej zgody w panelu cookies Administrator korzysta z Google Analytics 4, aby mierzyć odwiedziny publicznych stron i poprawiać serwis. Podstawą przetwarzania w tym celu jest zgoda użytkownika (art. 6 ust. 1 lit. a RODO). Odmowa albo wycofanie zgody nie ogranicza podstawowych funkcji Trenaio. Zgoda na analitykę nie jest zgodą na przetwarzanie danych zdrowotnych.

Odbiorcą danych pomiarowych jest Google Ireland Limited, dostawca Google Analytics 4, oraz jego podprocesorzy wskazani w [wykazie Google](https://business.safety.google/adssubprocessors/). Pomiar obejmuje odsłony znanych publicznych stron, adresy bez parametrów i fragmentów, pseudonimowe identyfikatory przeglądarki i sesji, czas zdarzeń oraz dane techniczne urządzenia i przybliżone informacje geograficzne. Adres IP jest wykorzystywany przez Google przy obsłudze połączenia i ustalaniu przybliżonej lokalizacji; nie deklarujemy, że nie dociera do Google. [Google opisuje sposób obsługi IP użytkowników z EOG](https://support.google.com/analytics/answer/12017362?hl=pl).

Nie wysyłamy do GA4 danych konta, adresu e-mail, identyfikatora użytkownika Trenaio, danych zdrowotnych, danych treningowych, wartości formularzy, prywatnych adresów ani parametrów URL. Automatyczny pomiar interakcji jest wyłączony. Nie korzystamy z Google Signals ani personalizacji reklam w tej instalacji.

Google może przetwarzać dane poza EOG, w tym w Stanach Zjednoczonych. Warunki powierzenia i mechanizmy zabezpieczające transfery wynikają z obowiązujących [warunków przetwarzania danych Google](https://business.safety.google/adsprocessorterms/) oraz [informacji Google o transferach](https://business.safety.google/adsdatatransfers/). Informacje o stosowanych zabezpieczeniach można uzyskać od Administratora przez kontakt@trenaio.pl.

W usłudze GA4 ustawiamy retencję danych użytkowników i zdarzeń na 2 miesiące, bez odnawiania okresu przy kolejnej aktywności. Ustawienie to nie obejmuje większości standardowych raportów zbiorczych. Cookies GA4 mają skonfigurowany czas życia 60 dni, bez przedłużania przy kolejnych wizytach. Wybór zgody w przeglądarce jest pamiętany przez 180 dni.

Zgodę można wycofać przez „Ustawienia cookies” na publicznych stronach. Wycofanie zatrzymuje przyszły pomiar i odświeża stronę, aby usunąć tag. Nie wpływa na zgodność z prawem wcześniejszego przetwarzania ani nie usuwa automatycznie wcześniej zebranych danych. Prawa i kontakt opisane w części 2.11 mają zastosowanie również do tego przetwarzania.