Status dokumentu: wersja robocza dla testów alfa/beta ATP System.
Dokument wymaga weryfikacji i zatwierdzenia przez prawnika lub inspektora ochrony danych przed produkcyjnym udostępnieniem usługi.

Polityka prywatności

1. Status alfa/beta i review prawne

Polityka obowiązuje w fazie testów alfa/beta. Treść wymaga formalnej weryfikacji prawnej (RODO, ustawa o ochronie danych osobowych) przed produkcją.

2. Administrator danych

DO UZUPEŁNIENIA: pełna nazwa administratora danych
DO UZUPEŁNIENIA: adres siedziby / korespondencyjny

3. Kontakt w sprawach prywatności

DO UZUPEŁNIENIA: e-mail privacy/IOD
Kontakt przez formularz w aplikacji lub ustawienia konta.

4. Kategorie osób

Przetwarzamy dane: użytkowników konta, zawodników, trenerów, administratorów oraz osób kontaktowych w ramach wsparcia.

5. Kategorie danych

Dane konta — e-mail, nazwa użytkownika, hasło (hash), status weryfikacji.
Dane profilu — imię, avatar, preferencje, rola.
Dane treningowe — plany, wykonanie, RPE, cele, harmonogram, notatki operacyjne.
Dane zdrowotne / szczególne kategorie — wyłącznie po wyraźnej zgodzie (patrz §8).
Dane komunikacyjne — wiadomości w module współpracy, powiadomienia operacyjne.
Dane techniczne — logi bezpieczeństwa, identyfikatory sesji, typ urządzenia/przeglądarki (bez biznesowego IP w module zgód).
Dane integracji — np. synchronizacja kalendarza Google, jeśli użytkownik ją włączy.
Dane marketingowe — wyłącznie po dobrowolnej zgodzie marketingowej.

6. Cele przetwarzania

utworzenie i obsługa konta,
świadczenie usług treningowych i komunikacji,
bezpieczeństwo, rozliczalność i diagnostyka techniczna,
realizacja obowiązków prawnych,
marketing — wyłącznie na podstawie zgody.

7. Podstawy prawne

art. 6 ust. 1 lit. b RODO — wykonanie umowy / świadczenie usługi (konto, dane treningowe operacyjne).
art. 6 ust. 1 lit. c RODO — obowiązki prawne, jeśli dotyczy.
art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes (bezpieczeństwo, dochodzenie roszczeń, diagnostyka techniczna) — wymaga review prawnika.
art. 6 ust. 1 lit. a RODO — zgoda (marketing).
art. 9 ust. 2 lit. a RODO — wyraźna zgoda na dane zdrowotne.

Po wyraźnej zgodzie mogą być przetwarzane m.in.: urazy, ból, przeciwwskazania, leki, regeneracja, sen, zmęczenie, readiness, wyniki testów mogące ujawniać informacje o zdrowiu, odpowiedzi Formularza ATP i check-iny zdrowotne.

9. Dobrowolność danych zdrowotnych i skutki braku zgody

Zgoda zdrowotna jest dobrowolna. Brak zgody nie blokuje konta, ale ogranicza funkcje wymagające danych zdrowotnych (Formularz ATP, check-ins zdrowotne, monitoring health-gated).

10. Odbiorcy danych / dostawcy

hosting i infrastruktura serwerowa,
baza danych (PostgreSQL),
dostawca e-mail/SMTP,
Google Calendar — jeśli integracja aktywna,
monitoring błędów — jeśli wdrożony w środowisku,
repozytorium kodu / CI — wyłącznie w zakresie technicznym operacji developerskich.

11. Transfer poza EOG

DO UZUPEŁNIENIA / DO WERYFIKACJI — jeśli dostawca przetwarza dane poza EOG, wymagane są odpowiednie mechanizmy prawne (np. SCC).

12. Retencja

konto — czas korzystania + okres rozliczeniowy/przedawnienia roszczeń,
dane treningowe — czas współpracy i realizacji usługi,
dane zdrowotne — do wycofania zgody lub zakończenia celu, z zastrzeżeniem obowiązków archiwizacyjnych,
eventy zgód — przez okres wymagany do wykazania zgodności,
logi techniczne — ograniczony okres operacyjny,
backupy — cykl rotacji zgodny z polityką infrastruktury.

13. Prawa użytkownika

Przysługuje prawo: dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia, sprzeciwu, wycofania zgody oraz skargi do Prezesa UODO.

14. Wycofanie zgody zdrowotnej

Wycofanie nie wpływa na legalność wcześniejszego przetwarzania. Blokuje dalsze funkcje zdrowotne. Nie usuwa automatycznie konta ani danych — żądanie usunięcia będzie obsługiwane osobnym procesem (planowane PR.3+).

15. Małoletni

W fazie testów alfa/beta aplikacja jest przeznaczona dla osób 18+. Brak dedykowanego procesu dla osób niepełnoletnich bez zgody opiekuna.

16. Cookies, localStorage i analityka

Aplikacja wykorzystuje mechanizmy sesji i — w UI — banner zgody na cookies (cookieControl), jeśli włączony w konfiguracji. Nie deklarujemy analityki marketingowej third-party bez osobnej informacji. Szczegóły techniczne wymagają weryfikacji wdrożenia.