POLITYKA PRYWATNOŚCI PALMARO

W Palmaro przetwarzamy tylko dane potrzebne do prowadzenia konta, tworzenia historii startów, działania publicznego profilu, bezpieczeństwa usługi i jej rozwoju. Poniżej wyjaśniamy, jakie są to dane i co się z nimi dzieje.

1. Kto jest administratorem danych

Administratorem danych osobowych użytkowników Palmaro jest:

Judyta Gwóźdź, prowadząca działalność gospodarczą pod firmą
PRO-CLIP JUDYTA GWÓŹDŹ
ul. Rynek 17
42-600 Tarnowskie Góry
NIP: 6452520586
REGON: 382077251

Kontakt w sprawach dotyczących prywatności i danych osobowych:

palmaro.cc@gmail.com

2. Jakie dane przetwarzamy

W zależności od sposobu korzystania z Palmaro możemy przetwarzać następujące dane.

Dane konta

• adres e-mail,
• identyfikator konta,
• informacje dotyczące logowania i sesji,
• data utworzenia konta,
• informacje o zaakceptowanej wersji Regulaminu i potwierdzeniu zapoznania się z Polityką Prywatności.

Logowanie odbywa się przy użyciu jednorazowego kodu OTP. Palmaro nie przechowuje klasycznego hasła użytkownika.

Dane profilu

• imię,
• nazwisko,
• kraj,
• rok urodzenia,
• płeć klasyfikacyjna używana przy wynikach zawodów,
• wybrane dyscypliny kolarskie,
• zdjęcie profilowe, jeżeli użytkownik je doda,
• publiczny adres profilu,
• ustawienia widoczności profilu i linków do aktywności.

Dane dotyczące startów

Możemy przetwarzać m.in.:

• informację o udziale w zawodach,
• nazwę i wariant zawodów,
• datę,
• dyscyplinę,
• wynik użytkownika,
• miejsce OPEN,
• miejsce w kategorii,
• nazwę kategorii,
• liczbę sklasyfikowanych zawodników,
• statystyki wyliczane na podstawie wyników,
• informację o wyróżnieniu startu na profilu.

Dane prywatne dotyczące startu

Użytkownik może również zapisać:

• link do aktywności,
• prywatną notatkę.

Prywatna notatka nie jest publicznie udostępniana.

Link do aktywności może być widoczny na profilu publicznym zgodnie z aktualnym ustawieniem widoczności linków. Użytkownik może zmienić to ustawienie w koncie.

Dane przekazywane w zgłoszeniach

Jeżeli korzystasz z formularza kontaktowego, zgłoszenia korekty albo kontaktujesz się z nami e-mailem, możemy przetwarzać:

• adres e-mail,
• treść wiadomości,
• informacje dotyczące eventu lub profilu,
• link do źródła,
• inne dane dobrowolnie przekazane w zgłoszeniu.

Dane techniczne i bezpieczeństwa

Podczas korzystania z Palmaro mogą być przetwarzane dane techniczne, takie jak:

• adres IP,
• data i czas połączenia,
• informacje o urządzeniu, systemie i przeglądarce,
• dane dotyczące sesji i logowania,
• logi techniczne,
• informacje o błędach i zdarzeniach związanych z bezpieczeństwem.

Nie wykorzystujemy tych informacji do tworzenia komercyjnego profilu użytkownika.

3. Skąd mamy dane

Większość danych otrzymujemy bezpośrednio od użytkownika.

Nie tworzymy profili zawodników, którzy nie posiadają konta Palmaro, ani nie importujemy masowo profili osób z innych serwisów.

Informacje dotyczące samych zawodów mogą pochodzić również:

• od innych użytkowników Palmaro,
• od administratora Palmaro,
• z publicznie dostępnych informacji organizatora,
• z oficjalnych systemów pomiaru czasu,
• z oficjalnych dokumentów i list wynikowych,
• z innych wiarygodnych źródeł pozwalających zweryfikować informacje o zawodach.

Takie informacje służą do tworzenia wspólnej warstwy danych o wydarzeniach, z którą użytkownik może powiązać własny start.

4. Dlaczego przetwarzamy dane i na jakiej podstawie

Prowadzenie konta i świadczenie usługi

Dane konta, profilu, startów i wyników przetwarzamy, aby:

• utworzyć i prowadzić konto,
• umożliwić logowanie,
• zapisywać historię startów,
• obliczać statystyki,
• tworzyć profil zawodnika,
• udostępniać funkcje Palmaro.

Podstawą jest wykonanie umowy o korzystanie z Palmaro — art. 6 ust. 1 lit. b RODO.

Publiczny profil

Jedną z podstawowych funkcji Palmaro jest możliwość prezentowania historii sportowej użytkownika innym osobom.

Profil jest domyślnie publiczny, o czym użytkownik jest informowany przy jego tworzeniu. Widoczność można później zmienić w ustawieniach.

W zakresie, w którym publikacja danych wynika z funkcji Palmaro oraz ustawień widoczności profilu, przetwarzanie odbywa się w celu świadczenia wybranej usługi — art. 6 ust. 1 lit. b RODO.

Utrzymywanie i poprawianie wspólnej bazy zawodów

Możemy analizować, poprawiać, scalać i porządkować dane zawodów oraz zgłoszenia użytkowników, aby baza była użyteczna i nie zawierała celowych duplikatów, spamu lub oczywistych błędów.

Podstawą jest nasz prawnie uzasadniony interes polegający na utrzymaniu jakości i wiarygodności usługi — art. 6 ust. 1 lit. f RODO.

Bezpieczeństwo i przeciwdziałanie nadużyciom

Dane techniczne, logi, adres IP lub minimalne dane dotyczące konta możemy przetwarzać w celu:

• zabezpieczenia kont,
• wykrywania prób nieuprawnionego dostępu,
• przeciwdziałania spamowi,
• przeciwdziałania celowemu zaśmiecaniu bazy,
• egzekwowania blokad wobec użytkowników poważnie nadużywających usługi,
• ochrony Palmaro i innych użytkowników.

Podstawą jest nasz prawnie uzasadniony interes — art. 6 ust. 1 lit. f RODO.

Obsługa kontaktu, korekt i reklamacji

Dane z formularzy i wiadomości przetwarzamy, aby odpowiedzieć na zgłoszenie, przeanalizować korektę albo rozpatrzyć reklamację.

W zależności od sprawy podstawą może być wykonanie umowy, obowiązek prawny albo nasz prawnie uzasadniony interes związany z obsługą użytkowników.

Rozwój i analiza działania Palmaro

Palmaro prowadzi prostą wewnętrzną analitykę produktową, np. mierzy:

• liczbę utworzonych kont,
• ukończenie onboardingu,
• dodanie pierwszego startu,
• liczbę startów,
• korzystanie z podstawowych funkcji.

Dane te służą do sprawdzania, czy aplikacja działa poprawnie i które elementy wymagają ulepszenia.

Podstawą jest nasz prawnie uzasadniony interes polegający na rozwijaniu i ulepszaniu własnej usługi — art. 6 ust. 1 lit. f RODO.

W miarę możliwości wykorzystujemy do analiz dane zagregowane.

Przyszły newsletter lub komunikacja marketingowa

Na obecnym etapie założenie konta nie oznacza zapisania użytkownika do newslettera.

Palmaro może w przyszłości umożliwić osobne zapisanie się na informacje o nowych funkcjach lub rozwoju produktu, np. podczas onboardingu lub w ustawieniach.

Jeżeli taka funkcja zostanie uruchomiona, komunikacja wymagająca zgody będzie wysyłana dopiero po jej dobrowolnym wyrażeniu. Zgodę będzie można wycofać.

5. Co jest publiczne

Jeżeli profil jest publiczny, osoba korzystająca z Internetu może zobaczyć dane przeznaczone do publicznej prezentacji profilu, w szczególności:

• imię i nazwisko,
• zdjęcie profilowe, jeżeli zostało dodane,
• kraj,
• dyscypliny,
• historię startów,
• wyniki,
• miejsca OPEN i w kategoriach,
• statystyki wynikające ze startów,
• wyróżnione starty,
• linki do aktywności, jeżeli ich publiczna widoczność jest włączona.

Adres e-mail i prywatne notatki nie są elementem profilu publicznego.

Profil publiczny może być dostępny pod indywidualnym adresem, np.:

palmaro.cc/rider/... lub odpowiednim adresem aplikacji.

Może być otwierany przez osoby niezalogowane i udostępniany za pomocą linku.

Profil pojawia się w wyszukiwarce zawodników Palmaro dopiero po dodaniu przez użytkownika co najmniej jednego startu.

6. Indeksowanie przez Google i inne wyszukiwarki

Publiczne profile mogą być indeksowane przez wyszukiwarki internetowe, takie jak Google lub Bing.

Oznacza to, że publiczny profil lub jego fragment może pojawić się w wynikach wyszukiwania poza Palmaro.

Jeżeli użytkownik później ustawi profil jako prywatny albo usunie konto, Palmaro przestaje udostępniać te dane zgodnie z aktualnymi ustawieniami. Nie mamy jednak bezpośredniej kontroli nad tym, jak szybko zewnętrzna wyszukiwarka zaktualizuje swoją pamięć podręczną lub usunie wcześniej zindeksowany wynik.

7. Komu powierzamy dane

Do działania Palmaro korzystamy z wyspecjalizowanych dostawców technologicznych.

Supabase

Supabase zapewnia m.in.:

• bazę danych,
• uwierzytelnianie użytkowników,
• API,
• przechowywanie zdjęć profilowych,
• mechanizmy bezpieczeństwa i logi techniczne.

Główna baza Palmaro znajduje się w regionie:

West EU (Ireland), eu-west-1.

Oznacza to, że podstawowe dane projektu są przechowywane w regionie AWS w Irlandii. Supabase przewiduje w swoim DPA korzystanie z podprocesorów oraz mechanizmy zabezpieczające ewentualne transfery międzynarodowe, w tym standardowe klauzule umowne.

Resend

Resend jest wykorzystywany do wysyłania wiadomości niezbędnych do logowania, przede wszystkim kodów OTP.

W związku z wysyłką może otrzymać m.in.:

• adres e-mail odbiorcy,
• treść technicznej wiadomości,
• dane dotyczące dostarczenia wiadomości.

Resend jest podmiotem amerykańskim. Jego aktualne DPA przewiduje mechanizmy transferu danych zgodne z RODO, w tym standardowe klauzule umowne oraz EU–US Data Privacy Framework.

FlutterFlow

FlutterFlow jest wykorzystywany do budowy i dostarczania warstwy aplikacji użytkownika.

Dane aplikacyjne Palmaro są przechowywane w Supabase, a nie w bazie FlutterFlow. Zgodnie z aktualną dokumentacją FlutterFlow aplikacje mobilne działają niezależnie od infrastruktury FlutterFlow, a przy hostingu webowym FlutterFlow dostarcza skompilowany frontend i deklaruje, że przez tę warstwę nie przechowuje ani nie zbiera danych użytkowników końcowych aplikacji.

OVHcloud

OVHcloud jest wykorzystywany przede wszystkim do infrastruktury domeny oraz hostowania strony marketingowej palmaro.cc.

Landing page nie zawiera bazy kont użytkowników Palmaro. OVHcloud może jednak przetwarzać typowe techniczne dane związane z obsługą strony, np. informacje potrzebne do dostarczenia połączenia lub logi serwera. OVHcloud udostępnia umowę powierzenia przetwarzania danych dla usług, w których działa jako podmiot przetwarzający.

Inni odbiorcy

Dane możemy również udostępnić:

• organom publicznym, jeżeli istnieje odpowiednia podstawa prawna,
• profesjonalnym doradcom, jeżeli jest to konieczne np. do ochrony praw lub dochodzenia roszczeń,
• innemu podmiotowi w przypadku zgodnego z prawem przeniesienia działalności lub części usługi, z zachowaniem wymagań dotyczących ochrony danych.

Nie sprzedajemy danych osobowych użytkowników reklamodawcom.

8. Transfery poza Europejski Obszar Gospodarczy

Główna baza danych Palmaro w Supabase znajduje się w Irlandii.

Niektórzy dostawcy lub ich podwykonawcy mogą jednak przetwarzać określone dane poza Europejskim Obszarem Gospodarczym.

Dotyczy to w szczególności usług takich jak Resend.

W takich przypadkach korzystamy z dostawców przewidujących wymagane prawem mechanizmy transferu, np.:

• decyzję Komisji Europejskiej stwierdzającą odpowiedni poziom ochrony,
• EU–US Data Privacy Framework, jeżeli ma zastosowanie,
• standardowe klauzule umowne zatwierdzone przez Komisję Europejską,
• inne mechanizmy dopuszczone przez RODO.

9. Jak długo przechowujemy dane

Nie przechowujemy danych dłużej, niż jest to potrzebne do celu, dla którego są przetwarzane.

Konto i profil

Co do zasady przechowujemy dane przez okres posiadania konta Palmaro.

Po usunięciu konta dane związane wyłącznie z użytkownikiem są usuwane z aktywnej bazy zgodnie z funkcją usunięcia konta.

Wspólne dane zawodów

Informacje o zawodach lub klasyfikacjach utworzone pierwotnie przez użytkownika mogą pozostać po usunięciu jego konta, jeżeli są używane również przez innych użytkowników albo są potrzebne do zachowania spójności wspólnej bazy.

W takim przypadku powiązanie rekordu z usuniętym użytkownikiem może zostać usunięte.

Kopie zapasowe

Usunięte dane mogą przez ograniczony czas pozostawać w istniejących kopiach zapasowych.

Nie przywracamy ich do aktywnego użycia poza sytuacjami wymagającymi odtworzenia systemu. Dane znikają wraz z normalnym cyklem rotacji i nadpisywania backupów.

Logi i bezpieczeństwo

Dane techniczne i logi przechowujemy przez okres potrzebny do bezpieczeństwa, diagnozowania problemów i przeciwdziałania nadużyciom.

Jeżeli konto zostało zablokowane z powodu poważnego naruszenia, możemy zachować minimalne informacje — np. adres e-mail lub dane dotyczące blokady — przez okres potrzebny do zapobiegania ponownemu nadużyciu oraz ochrony naszych praw.

Wiadomości OTP

Retencja danych technicznych po stronie Resend zależy również od wykorzystywanego planu i zasad tego dostawcy. Według aktualnej dokumentacji Resend dla standardowych planów dane e-mailowe i logi są co do zasady przechowywane przez 30 dni, a kopie zapasowe przez 7 dni.

Zgłoszenia i reklamacje

Korespondencję i zgłoszenia przechowujemy przez czas potrzebny do ich rozpatrzenia, a następnie przez okres uzasadniony możliwością wykazania sposobu rozwiązania sprawy lub ochroną przed roszczeniami.

10. Zdjęcia profilowe

Dodanie zdjęcia jest dobrowolne.

Zdjęcia profilowe są przechowywane w prywatnej przestrzeni Supabase Storage.

W bazie Palmaro przechowywana jest ścieżka prowadząca do pliku, a nie stały publiczny adres pliku.

Jeżeli profil jest publiczny, zdjęcie może być wyświetlane jako część profilu.

Nie wykorzystujemy zdjęć do biometrycznej identyfikacji użytkownika ani rozpoznawania twarzy.

11. Cookies i podobne technologie

Palmaro może korzystać z technicznie niezbędnych mechanizmów przeglądarki lub urządzenia potrzebnych m.in. do:

• utrzymania sesji,
• logowania,
• bezpieczeństwa,
• działania PWA lub aplikacji.

Na obecnym etapie nie wykorzystujemy Google Analytics, Meta Pixel, Hotjar ani podobnych narzędzi marketingowego śledzenia użytkowników.

Landing page palmaro.cc może być podłączony do Google Search Console w celu monitorowania obecności strony w wynikach wyszukiwania. Nie wymaga to instalowania w przeglądarce użytkownika marketingowego trackera.

Jeżeli w przyszłości uruchomimy narzędzia analityczne lub marketingowe wymagające zgody na cookies albo podobne technologie, odpowiedni mechanizm zgody zostanie wdrożony przed ich uruchomieniem, a Polityka Prywatności zostanie zaktualizowana.

12. Linki do innych serwisów

Palmaro może zawierać linki prowadzące do zewnętrznych serwisów, np.:

• stron organizatorów zawodów,
• oficjalnych wyników,
• systemów pomiaru czasu,
• Stravy lub innych serwisów z aktywnościami.

Po przejściu do takiego serwisu jego operator samodzielnie odpowiada za przetwarzanie danych zgodnie z własnymi zasadami prywatności.

13. Jak chronimy dane

Stosujemy rozwiązania techniczne i organizacyjne odpowiednie do charakteru Palmaro, w tym m.in.:

• logowanie za pomocą jednorazowych kodów OTP,
• ograniczanie dostępu do danych na poziomie backendu,
• Row Level Security w Supabase,
• oddzielenie danych publicznych od prywatnych,
• prywatne przechowywanie zdjęć,
• ograniczenie dostępu do prywatnych notatek,
• kontrolę dostępu do danych użytkownika,
• możliwość usunięcia konta.

Żaden system internetowy nie może zagwarantować absolutnego bezpieczeństwa, ale projektujemy Palmaro tak, aby dostęp do danych był ograniczony do zakresu potrzebnego do działania usługi.

14. Jakie prawa ma użytkownik

Na zasadach określonych w RODO użytkownik może żądać:

• dostępu do swoich danych,
• otrzymania ich kopii,
• sprostowania danych,
• usunięcia danych,
• ograniczenia przetwarzania,
• przeniesienia danych, jeżeli przepisy przewidują takie prawo,
• wniesienia sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie.

Jeżeli przetwarzanie odbywa się na podstawie zgody, użytkownik może ją w dowolnym momencie wycofać. Wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

Wnioski można przesyłać na:

palmaro.cc@gmail.com

Możemy poprosić o potwierdzenie tożsamości, jeżeli będzie to potrzebne, aby nie udostępnić danych niewłaściwej osobie.

15. Skarga do organu nadzorczego

Jeżeli użytkownik uważa, że jego dane są przetwarzane niezgodnie z prawem, ma prawo złożyć skargę do właściwego organu nadzorczego.

W Polsce jest nim:

Prezes Urzędu Ochrony Danych Osobowych

Użytkownik może również korzystać z uprawnień przysługujących mu przed właściwym organem nadzorczym w innym państwie UE, jeżeli przepisy przewidują taką możliwość.

16. Osoby poniżej 18 roku życia

Palmaro jest przeznaczone dla osób, które ukończyły 18 lat.

Podczas tworzenia profilu wymagany jest rok urodzenia, a aplikacja nie umożliwia ukończenia profilu osobie, która nie spełnia wymogu wieku.

Jeżeli dowiemy się, że konto zostało utworzone z wykorzystaniem nieprawdziwych danych w celu obejścia tego ograniczenia, możemy je usunąć.

17. Zautomatyzowane decyzje

Palmaro może automatycznie obliczać statystyki sportowe, procentowe pozycje i inne informacje wynikające z danych o startach.

Nie podejmujemy jednak wobec użytkownika decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec niego skutki prawne lub w podobny sposób istotnie na niego wpływały.

18. Zmiany Polityki Prywatności

Polityka Prywatności może być aktualizowana w szczególności w przypadku:

• dodania nowych funkcji,
• zmiany sposobu przetwarzania danych,
• dodania nowych dostawców,
• uruchomienia Premium,
• uruchomienia newslettera, powiadomień lub nowych narzędzi analitycznych,
• zmian prawa.

Jeżeli zmiana będzie istotna dla użytkowników, poinformujemy o niej w aplikacji, e-mailem lub w inny odpowiedni sposób.