Polityka prywatności

Administratorem Twoich danych osobowych jest Michał Zych, zamieszkały pod adresem ul. Józefa Wybickiego 5C, 31-261 Kraków, adres e-mail: comfycoaching.eu@gmail.com (dalej: „Administrator”, „my”).

Kontakt w sprawach danych osobowych: contact@comfycoaching.com.

W zależności od roli i sposobu korzystania z aplikacji przetwarzamy:

• Dane konta: imię i nazwisko, adres e-mail, rola (trener / podopieczny), zaszyfrowane hasło (obsługiwane przez dostawcę uwierzytelniania), opcjonalne zdjęcie profilowe.
• Dane treningowe: plany treningowe, wykonane serie (ciężar, powtórzenia, notatki), historia sesji, terminarz.
• Dane żywieniowe: jadłospis, logowane posiłki i produkty, cele kaloryczne i makroskładniki.
• Dane dotyczące zdrowia (kategoria szczególna, art. 9 RODO): pomiary ciała i obwody, waga, cel sylwetkowy, zdjęcia sylwetki (progresu), notatki trenera mogące dotyczyć stanu zdrowia (np. kontuzje). Te dane przetwarzamy wyłącznie na podstawie Twojej wyraźnej zgody.
• Aktywność: dzienna liczba kroków i wypita woda. Kroki wpisujesz ręcznie albo — jeśli włączysz to w aplikacji mobilnej — pobieramy je z Apple Zdrowie (iPhone) lub Health Connect (Android). Z tych usług odczytujemy wyłącznie dzienną liczbę kroków z ostatnich 7 dni i tylko po Twojej zgodzie udzielonej w systemie telefonu; nie odczytujemy innych danych zdrowotnych i niczego do nich nie zapisujemy. Kroki widzi Twój trener. Nie używamy ich do reklam, nie sprzedajemy ich i nie przekazujemy innym podmiotom niż wymienione w punkcie 4. Pobieranie wyłączysz w aplikacji (okno kroków w Jadłospisie), tam też usuniesz pobrane kroki; zgodę cofniesz w ustawieniach Zdrowia albo Health Connect.
• Komunikacja: treść wiadomości oraz załączniki wymieniane między trenerem a podopiecznym.
• Logowanie przez Google lub Apple: jeśli wybierzesz tę metodę, dostawca przekazuje nam imię i nazwisko, adres e-mail i identyfikator konta. Przy logowaniu przez Apple możesz ukryć swój adres, wtedy otrzymujemy adres przekierowujący od Apple. Hasła do konta Google ani Apple nie otrzymujemy.
• Zgłoszenia błędów i pomysły na funkcje: treść zgłoszenia, adres e-mail konta oraz dane techniczne potrzebne do odtworzenia problemu (rodzaj urządzenia i przeglądarki, język aplikacji).
• Zgłoszenia z karty trenera: gdy wysyłasz zgłoszenie przez publiczną stronę trenera (bez zakładania konta) — imię i nazwisko, adres e-mail, opcjonalnie numer telefonu, wybrana pozycja oferty, cel oraz treść wiadomości.
• Rozmowa mailowa w sprawie zgłoszenia: treść wiadomości, które trener wysyła Ci z aplikacji na podany adres e-mail, oraz treść Twoich odpowiedzi na te wiadomości. Odpowiedź na takiego maila trafia do aplikacji, gdzie zapisujemy ją przy zgłoszeniu i pokazujemy trenerowi. Załączników z Twoich odpowiedzi nie przechowujemy — zapisujemy wyłącznie ich liczbę.
• Dane subskrypcji trenera: wybrany plan, stan subskrypcji oraz identyfikatory klienta i subskrypcji u operatora płatności. Danych karty nie otrzymujemy.
• Rozliczenia trenera z podopiecznymi: należności, które trener wystawia w aplikacji (kwota, tytuł, termin, status), oraz dane do przelewu podane przez trenera (numer rachunku, nazwa odbiorcy, opcjonalnie NIP). Sama płatność odbywa się poza aplikacją.
• Dane techniczne: niezbędne pliki cookie (sesja logowania, wybrany język); adres IP i ustalona na jego podstawie przybliżona lokalizacja (kraj, region, miasto) przy zakładaniu konta i logowaniu; adres IP przy ograniczaniu liczby prób (np. logowania); a jeśli włączysz powiadomienia — techniczny identyfikator subskrypcji push przeglądarki albo urządzenia.

Podanie danych jest dobrowolne, ale bez danych konta nie da się korzystać z aplikacji.

• Świadczenie usługi (prowadzenie konta, plany, dziennik, progres, komunikacja, rozliczenia z podopiecznymi, subskrypcja trenera) — art. 6 ust. 1 lit. b RODO (wykonanie umowy).
• Przetwarzanie danych dotyczących zdrowia (pomiary, zdjęcia, cel) — art. 9 ust. 2 lit. a RODO (wyraźna zgoda, którą możesz w każdej chwili wycofać).
• Odczyt kroków z Apple Zdrowie / Health Connect — art. 9 ust. 2 lit. a RODO (wyraźna zgoda: włącznik w aplikacji i zgoda w systemie telefonu; możesz ją w każdej chwili wycofać).
• Bezpieczeństwo i zapobieganie nadużyciom (w tym zapis adresu IP i przybliżonej lokalizacji przy rejestracji i logowaniu, limity prób, ochrona formularzy przed botami), rozpatrywanie reklamacji — art. 6 ust. 1 lit. f RODO (uzasadniony interes).
• Wysyłka powiadomień push — art. 6 ust. 1 lit. a RODO (zgoda udzielana w przeglądarce, odwoływalna).
• Rozpatrywanie zgłoszeń błędów i pomysłów na funkcje oraz odpowiedź na nie — art. 6 ust. 1 lit. f RODO (uzasadniony interes: rozwój i poprawa aplikacji).
• Obsługa zgłoszenia wysłanego przez kartę trenera i kontakt w jego sprawie, w tym rozmowa mailowa z trenerem — art. 6 ust. 1 lit. a RODO (zgoda wyrażona w formularzu zgłoszenia, odwoływalna).

Nie sprzedajemy Twoich danych. Powierzamy je zaufanym dostawcom niezbędnym do działania usługi:

• Supabase — hosting bazy danych, uwierzytelnianie i przechowywanie plików (serwery w Londynie, Wielka Brytania).
• Vercel — hosting aplikacji (serwery w Londynie, Wielka Brytania).
• Cloudflare (Turnstile) — ochrona formularzy rejestracji i logowania przed botami; przetwarza adres IP i techniczne dane przeglądarki.
• Sentry (sentry.io) — monitoring błędów aplikacji (region UE). Zbiera komunikaty o błędach i techniczne dane diagnostyczne (np. adres strony, typ przeglądarki) w celu zapewnienia stabilności usługi; nie zbieramy przez nie celowo Twoich danych osobowych ani adresu IP.
• Resend (resend.com) — wysyłka wiadomości e-mail związanych z kontem (np. link do resetu hasła) i ze zgłoszeniami (potwierdzenie zgłoszenia, wiadomości od trenera) oraz odbiór odpowiedzi na wiadomości od trenera. Przetwarza Twój adres e-mail i treść takich wiadomości, także tych, które odsyłasz; wysyłka odbywa się z regionu UE (Irlandia), a dane konta dostawcy są przechowywane w USA.
• Operator płatności — obsługa płatności i subskrypcji jako sprzedawca (merchant of record). W zakresie płatności, podatków i fakturowania operator występuje jako niezależny administrator i przetwarza dane rozliczeniowe (m.in. metoda płatności, adres i kraj rozliczenia). Nie przechowujemy pełnych danych kart płatniczych — obsługuje je operator. Jego nazwę zobaczysz w oknie płatności przed zakupem. Dotyczy kont z aktywną płatnością/subskrypcją.
• Apple (usługa powiadomień APNs) oraz dostawcy powiadomień przeglądarek (np. Google, Mozilla, Apple) — doręczanie powiadomień, jeśli je włączysz. Otrzymują identyfikator urządzenia albo subskrypcji i treść powiadomienia.
• Google i Apple — logowanie na konto, jeśli wybierzesz tę metodę. Dostawca dowiaduje się wtedy, że logujesz się do ComfyCoaching.
• Open Food Facts — publiczna baza produktów spożywczych; wysyłamy do niej wyłącznie zapytania o produkty (kod / nazwa), bez Twoich danych osobowych.

W niezbędnym zakresie dane mogą też trafić do naszych doradców (np. księgowych, prawnych), a w szczególnych przypadkach do uprawnionych organów, gdy wymaga tego prawo.

Część dostawców przetwarza dane poza Europejskim Obszarem Gospodarczym:

• Wielka Brytania (Supabase, Vercel) — na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony danych w tym kraju.
• USA (Resend, a także Cloudflare i dostawcy powiadomień, o ile przetwarzają dane w USA) — na podstawie standardowych klauzul umownych Komisji Europejskiej lub certyfikacji w programie EU-U.S. Data Privacy Framework.

Dane przechowujemy przez czas posiadania konta i korzystania z usługi. Po usunięciu konta dane są usuwane bez zbędnej zwłoki, z zastrzeżeniem danych, których dłuższe przechowywanie wymagane jest przepisami (np. rozliczeniowymi) lub niezbędne do ustalenia/dochodzenia roszczeń.

Adresy IP i lokalizację z rejestracji i logowania przechowujemy 90 dni, a wpisy służące do ograniczania liczby prób — najwyżej 2 dni.

Zgłoszenia z karty trenera i rozmowy mailowe w ich sprawie przechowujemy do czasu usunięcia konta trenera albo wcześniejszego żądania usunięcia. Osoba, która wysłała zgłoszenie bez zakładania konta, może zażądać usunięcia swoich danych lub wycofać zgodę, pisząc do trenera albo na adres contact@comfycoaching.com.

Masz prawo do:

• dostępu do danych i uzyskania ich kopii,
• sprostowania (poprawienia) danych,
• usunięcia danych („prawo do bycia zapomnianym”),
• ograniczenia przetwarzania,
• przenoszenia danych (eksport),
• sprzeciwu wobec przetwarzania,
• wycofania zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania sprzed wycofania).

Część praw zrealizujesz samodzielnie w aplikacji (Profil → eksport i usunięcie konta). Pozostałe żądania wyślij na contact@comfycoaching.com — odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Przysługuje Ci też skarga do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu.

Używamy wyłącznie niezbędnych plików cookie: do utrzymania zalogowanej sesji i zapamiętania wybranego języka. W pamięci przeglądarki zapisujemy też ustawienia interfejsu (np. jasny lub ciemny motyw) i niewysłane szkice wiadomości. Formularze rejestracji i logowania chroni Cloudflare Turnstile, a okno płatności obsługuje operator płatności — oba mogą używać własnych plików technicznych potrzebnych do działania i zapobiegania oszustwom. Nie stosujemy plików cookie marketingowych ani narzędzi śledzących/analitycznych, dlatego nie wyświetlamy banera zgody na cookie.

Stosujemy zabezpieczenia adekwatne do ryzyka: szyfrowanie transmisji (HTTPS/HSTS), izolację danych między użytkownikami na poziomie bazy (Row Level Security), prywatne zasobniki na zdjęcia i załączniki dostępne wyłącznie dla uprawnionych osób oraz nagłówki bezpieczeństwa przeglądarki.

Możemy aktualizować niniejszą politykę. O istotnych zmianach poinformujemy w aplikacji. Data ostatniej aktualizacji widnieje na górze strony.