DOKUMENT PRAWNY
POLITYKA
PRYWATNOŚCI
Ostatnia aktualizacja: 24 sierpnia 2026 r.
1. Administrator danych
Administratorem Twoich danych osobowych jest operator platformy forma na lato:
- Firma: PATRYK JASTRZĘBSKI FORMA NA LATO
- Przedsiębiorca: Patryk Jastrzębski, jednoosobowa działalność gospodarcza
- Adres: ul. Wspólna 10, 41-200 Sosnowiec
- NIP: 6443557756
- REGON: 387690275
- E-mail kontaktowy:formanalato.app@gmail.com
2. Jakie dane zbieramy
W ramach korzystania z aplikacji i strony internetowej przetwarzamy następujące kategorie danych:
Dane kontaktowe i konta
Adres e-mail — wymagany do rejestracji, logowania i komunikacji transakcyjnej. Opcjonalnie imię, nazwisko lub pseudonim oraz zdjęcie profilowe, jeśli je uzupełnisz. Trener podaje dodatkowo nazwę wyświetlaną, a opcjonalnie opis, miasto i numer telefonu, które widzą jego podopieczni.
Dane zdrowotne i fitness
Plany treningowe, wyniki ćwiczeń, ciężary, liczba serii i powtórzeń, notatki treningowe. Dane te stanowią dane dotyczące zdrowia w rozumieniu art. 9 RODO i są przetwarzane wyłącznie na podstawie wyraźnej zgody.
Pomiary ciała i skład sylwetkiart. 9 RODO
Data urodzenia, płeć, waga, wzrost, cel treningowy i waga docelowa, poziom aktywności i staż treningowy, a przy pomiarach składu ciała także BMI, procent tkanki tłuszczowej, masa mięśniowa i kostna, poziom nawodnienia, tłuszcz trzewny, podstawowa przemiana materii i wiek metaboliczny. Wraz z historią tych pomiarów oraz notatkami o stanie zdrowia, które możesz do nich dopisać.
Zdjęcia sylwetkiart. 9 RODO
Zdjęcia kontrolne wykonywane w aplikacji w celu śledzenia postępów. Przechowujemy je w pamięci obiektowej, a dostęp do nich wymaga każdorazowo wygenerowanego, krótko ważnego odnośnika — nie są publicznie dostępne pod stałym adresem. Widzisz je Ty oraz trener, z którym współpracujesz.
Cele żywienioweart. 9 RODO
Dobowe zapotrzebowanie kaloryczne oraz rozkład białka, tłuszczów i węglowodanów, ustalane przez trenera albo przez Ciebie. Powiązane ze stanem zdrowia, dlatego traktujemy je z tą samą ostrożnością co pomiary.
Wiadomości w czacie
Treść korespondencji między Tobą a trenerem, wraz z datą wysłania. Przechowujemy ją, żeby rozmowa była dostępna po ponownym zalogowaniu. Nie analizujemy jej treści i nie wykorzystujemy do innych celów.
Tokeny powiadomień push
Unikalny identyfikator urządzenia (Expo push token) — przechowywany w celu dostarczania powiadomień o treningach i aktualizacjach od trenera. Token jest usuwany przy odinstalowaniu aplikacji lub na żądanie usunięcia konta.
Dane o płatnościach
Płatność za subskrypcję przyjmuje Google Play. Numery kart, adresy rozliczeniowe ani dane Twojego konta Google nigdy nie trafiają na nasze serwery — na naszej stronie zostaje wyłącznie status subskrypcji przypisany do konta. Zakup potwierdza RevenueCat, który rozpoznaje Cię po naszym wewnętrznym identyfikatorze konta, a nie po adresie e-mail.
Pliki mediów (ćwiczenia)
Zdjęcia i filmy ćwiczeń przesyłane przez trenerów, przechowywane w zabezpieczonej pamięci obiektowej. Pliki są usuwane przy usunięciu ćwiczenia lub konta.
Dane techniczne (diagnostyczne)
Stack traces błędów aplikacji, adresy URL żądań, identyfikator użytkownika — przesyłane do Sentry wyłącznie w celu naprawy błędów i monitorowania wydajności.
Dane zabezpieczeń logowania
Rejestrujemy nieudane próby logowania i resetu hasła, żeby blokować ataki na konta. Zapisujemy wyłącznie nieodwracalny skrót adresu IP oraz skrót identyfikatora konta — nie przechowujemy samego adresu IP.
Zapis na listę oczekujących
Jeśli zapisałeś się przez formularz na stronie: adres e-mail, opcjonalnie imię, wybrany segment (trener lub podopieczny), zgoda marketingowa oraz źródło wejścia na stronę. Dane te są niezależne od konta w aplikacji i możesz wycofać zgodę w każdej chwili.
3. Podstawy prawne przetwarzania
Wszystkie dane dotyczące zdrowia: dziennik treningowy, pomiary ciała i skład sylwetki, zdjęcia sylwetki, cele żywieniowe oraz notatki o stanie zdrowia. Zgody udzielasz przy zakładaniu konta, a osobno przy pierwszym dodaniu zdjęcia sylwetki. Możesz ją wycofać w każdej chwili — wtedy usuwamy dane, których dotyczyła. Na tej samej podstawie wysyłamy powiadomienia push oraz — jeśli jej udzielisz — wiadomości marketingowe do osób zapisanych na listę oczekujących.
Przetwarzanie adresu e-mail i danych konta jest niezbędne do świadczenia usługi — rejestracji, logowania i obsługi subskrypcji.
Monitorowanie błędów aplikacji (Sentry) w celu zapewnienia stabilności platformy oraz ochrona kont przed atakami — rejestrujemy nieudane próby logowania w postaci nieodwracalnych skrótów, żeby móc je czasowo blokować.
Rozpatrywanie reklamacji i obsługa Twoich żądań wynikających z RODO, w zakresie, w jakim musimy udokumentować ich wykonanie.
4. Okresy przechowywania danych
| Kategoria danych | Okres przechowywania |
|---|---|
| Dane konta (e-mail, rola) | Do usunięcia konta lub cofnięcia zgody |
| Dane treningowe i fitness | Do usunięcia konta lub cofnięcia zgody |
| Pomiary ciała i historia postępów | Do usunięcia konta lub cofnięcia zgody |
| Zdjęcia sylwetki | Do usunięcia zdjęcia, konta lub cofnięcia zgody |
| Cele żywieniowe | Do usunięcia konta lub zakończenia współpracy z trenerem |
| Wiadomości w czacie | Do usunięcia konta jednej ze stron rozmowy |
| Tokeny push | Do odinstalowania aplikacji lub usunięcia konta |
| Logi dostarczania e-mail (Resend) | 30 dni (po stronie Resend) |
| Zdarzenia błędów (Sentry) | 90 dni (domyślna retencja Sentry) |
| Dane transakcji płatniczych (Google Play) | 7 lat po stronie Google (wymogi przepisów finansowych) |
| Pliki mediów ćwiczeń | Do usunięcia ćwiczenia lub konta |
| Skróty nieudanych prób logowania | Skróty powiązane z kontem — do najbliższego udanego logowania. Skróty adresów IP przechowujemy dłużej, na potrzeby ochrony przed atakami |
| Zapis na listę oczekujących | Do wycofania zgody lub wypisania się z listy |
5. Komu udostępniamy dane
Twoje dane trafiają do dwóch różnych kręgów odbiorców. Pierwszy to dostawcy techniczni, którzy przetwarzają je wyłącznie na nasze polecenie, na podstawie umów powierzenia (DPA). Drugi to trener, z którym sam zdecydowałeś się współpracować — jego opisujemy osobno na końcu tej sekcji, bo nie działa na nasze polecenie i odpowiada za Twoje dane samodzielnie.
Resend
E-mail transakcyjnyDostarcza wiadomości e-mail: potwierdzenia konta, powiadomienia, potwierdzenia usunięcia danych.
- Dane przekazywane: adres e-mail, treść wiadomości
- Siedziba: Stany Zjednoczone — transfer do UE objęty Standardowymi Klauzulami Umownymi (SCC)
- DPA:resend.com/legal/dpa
Expo (Push Service)
Powiadomienia pushDostarcza powiadomienia push na urządzenia iOS i Android za pośrednictwem Expo Push Service.
- Dane przekazywane: token push urządzenia, tytuł i treść powiadomienia
- Siedziba: Stany Zjednoczone — przekazanie na podstawie Standardowych Klauzul Umownych (SCC)
- Polityka prywatności:expo.dev/privacy
Sentry
Śledzenie błędówMonitoruje błędy aplikacji i wydajność w celu zapewnienia stabilności platformy.
- Dane przekazywane: stack traces, adresy URL żądań, identyfikator użytkownika (gdy dołączony do kontekstu Sentry)
- Siedziba: Stany Zjednoczone — przekazanie na podstawie Standardowych Klauzul Umownych (SCC)
- DPA:sentry.io/legal/dpa
Google Play
PłatnościPrzyjmuje płatności za subskrypcję w aplikacji na Androida i jest sprzedawcą tej subskrypcji. Dane karty przetwarza wyłącznie Google — my otrzymujemy jedynie potwierdzenie zakupu.
- Dane przekazywane: nie przekazujemy Google żadnych danych — to Ty rozliczasz się bezpośrednio ze sklepem
- Siedziba: Google Ireland Limited (UE)
- Anulowanie: subskrypcję możesz anulować wyłącznie w Google Play. Usunięcie konta w Forma na Lato nie zatrzymuje odnowień
RevenueCat
Status subskrypcjiWeryfikuje zakup w sklepie i przechowuje stan subskrypcji. Nie otrzymuje ani danych karty, ani Twojego imienia czy adresu e-mail.
- Dane przekazywane: wewnętrzny identyfikator konta, identyfikator zakupu ze sklepu, dane techniczne urządzenia i platformy
- Siedziba: USA — przekazanie na zasadzie standardowych klauzul umownych (SCC)
- DPA:revenuecat.com/dpa
OVH
HostingUdostępnia serwer, na którym działa aplikacja i baza danych. Fizycznie przechowuje wszystkie dane, które opisuje ta polityka, ale nie ma dostępu do ich treści na potrzeby własne.
- Dane przekazywane: wszystkie dane przechowywane w aplikacji — jako zawartość serwera
- Siedziba: Francja (Unia Europejska) — dane nie opuszczają EOG
- Umowa powierzenia: ovhcloud.com — DPA w warunkach świadczenia usług
Cloudflare R2
Magazyn plikówPrzechowuje pliki graficzne: zdjęcia sylwetki, zdjęcia profilowe oraz materiały ćwiczeń. Pliki nie mają stałych publicznych adresów — dostęp wymaga każdorazowo wygenerowanego, krótko ważnego odnośnika.
- Dane przekazywane: zawartość plików oraz ich techniczne identyfikatory
- Siedziba: Stany Zjednoczone — przekazanie na podstawie Standardowych Klauzul Umownych (SCC)
- RODO: cloudflare.com/trust-hub/gdpr
Twój trener
Odrębny administratorJeśli nawiążesz współpracę z trenerem, uzyskuje on wgląd w Twoje dane treningowe i zdrowotne: dziennik treningowy, pomiary ciała i historię postępów, zdjęcia sylwetki, cele żywieniowe, notatki o stanie zdrowia oraz korespondencję z nim. Bez tego nie mógłby ułożyć Ci planu.
Trener nie jest naszym podwykonawcą. Prowadzi własną działalność i wobec Twoich danych występuje jako niezależny administrator — sam odpowiada za to, jak ich używa, jak długo je przechowuje i jak je zabezpiecza. My udostępniamy mu wyłącznie narzędzie i widok na dane tych podopiecznych, którzy sami się z nim połączyli.
- Kiedy uzyskuje dostęp: dopiero w chwili, gdy wyślesz prośbę o współpracę kodem trenera, a on ją przyjmie
- Jak go odciąć: zakończ współpracę w aplikacji — trener natychmiast traci wgląd w Twoje dane, a Twoje konto i historia zostają nienaruszone
- Roszczenia wobec trenera: żądania z RODO dotyczące tego, co trener zrobił z danymi po swojej stronie, kierujesz bezpośrednio do niego — my nie mamy wglądu w jego własne zbiory i notatki poza aplikacją
6. Twoje prawa (RODO)
Przysługują Ci następujące prawa:
Prawo dostępu
Możesz zażądać kopii przechowywanych przez nas danych.
Prawo do sprostowania
Możesz poprawić nieprawidłowe dane w ustawieniach konta.
Prawo do usunięcia (prawo do bycia zapomnianym)
Możesz trwale usunąć swoje konto i wszystkie powiązane dane.
Prawo do przenoszalności
Możesz zażądać eksportu danych w formacie nadającym się do odczytu maszynowego.
Prawo do sprzeciwu
Możesz sprzeciwić się przetwarzaniu opartemu na uzasadnionym interesie.
Prawo do cofnięcia zgody
Możesz cofnąć zgodę w dowolnym momencie — nie wpłynie to na wcześniejsze przetwarzanie.
7. Jak usunąć swoje dane
Masz prawo do trwałego usunięcia swojego konta i wszystkich powiązanych danych osobowych. Usunięcie jest nieodwracalne i obejmuje:
Pełną instrukcję — razem z listą tego, co zostaje i dlaczego — znajdziesz na stronie usunięcie konta.
- Dane konta (e-mail, rola)
- Plany treningowe i wyniki ćwiczeń
- Token powiadomień push
- Przesłane pliki mediów
Opcja 1 — przez aplikację
Ustawienia → Konto → Usuń konto
Opcja 2 — przez API (zalogowani użytkownicy)
DELETE https://api.forma-na-lato.app/users/meWymaga tokenu JWT w nagłówku Authorization: Bearer <token>
Opcja 3 — przez e-mail
Wyślij wiadomość na formanalato.app@gmail.com z tematem „Żądanie usunięcia danych". Potwierdzimy usunięcie w ciągu 30 dni.
8. Bezpieczeństwo danych
Stosujemy następujące środki techniczne i organizacyjne w celu ochrony danych:
- Szyfrowanie transmisji danych za pomocą TLS/HTTPS
- Hasła przechowywane w formie skrótów kryptograficznych (bcrypt)
- Dostęp do API chroniony tokenami JWT z krótkim czasem ważności
- Wstępnie podpisane URL do plików multimedialnych (wygasają po 5 minutach przy przesyłaniu)
- Monitoring błędów i anomalii przez Sentry
10. Zmiany polityki prywatności
O istotnych zmianach niniejszej polityki będziemy informować e-mailem lub komunikatem w aplikacji z co najmniej 14-dniowym wyprzedzeniem. Data ostatniej aktualizacji jest widoczna na górze dokumentu.
11. Kontakt
W sprawach dotyczących ochrony danych osobowych skontaktuj się z nami:
formanalato.app@gmail.comMasz również prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO) — uodo.gov.pl.