Polityka prywatności
Wersja uzupełniona 25 października 2026 r.
1. Administrator
Administratorem danych jest Mateusz Blicharz, ul. Jana Kazimierza 51/7, 01-267 Warszawa, prowadzący działalność nierejestrowaną. Kontakt w sprawach danych: metiouzmc@gmail.com, telefon: 539 057 827. Polityka dotyczy aplikacji i sklepu MB Training oraz związanej z nimi obsługi klientów.
2. Dane, cele i podstawy
| Cel | Zakres danych | Podstawa |
|---|---|---|
| Konto i udostępnienie planów | E-mail, identyfikator konta, dane profilu, uprawnienia do planów | Wykonanie umowy, art. 6 ust. 1 lit. b RODO |
| Zakup i realizacja usługi | Dane kontaktowe, produkt, cena, status płatności, identyfikatory zamówienia, oświadczenia zakupowe | Umowa; wymagane obowiązki prawne, art. 6 ust. 1 lit. b i c |
| Dobrowolne uzupełnienie profilu po aktywacji konta | Numer telefonu, data urodzenia, wzrost, masa ciała i wybór modelu sylwetki. Klient może pominąć formularz i później zmienić lub usunąć te wartości w profilu. Trener może odczytać udostępnione informacje w karcie klienta i zobaczyć wiek wyliczony z daty urodzenia. | Personalizacja i prowadzenie współpracy treningowej — art. 6 ust. 1 lit. b RODO w zakresie niezbędnym do usługi; pozostałe dobrowolne wykorzystanie zgodnie z właściwą podstawą, z uwzględnieniem art. 9 RODO, jeśli dane ujawniają informacje o zdrowiu. |
| Dziennik i dobór treningu | Cel, doświadczenie, sprzęt, zapisane ćwiczenia i wyniki, odpowiedzi w ankiecie | Umowa, art. 6 ust. 1 lit. b |
| Kontakt i reklamacje | Dane kontaktowe, treść korespondencji, informacje o zakupie | Działania przed zawarciem umowy lub jej wykonanie; obowiązki prawne, art. 6 ust. 1 lit. b i c |
| Ewidencja i rozliczenia | Dane i dokumenty niezbędne do rozliczenia sprzedaży | Obowiązek prawny, art. 6 ust. 1 lit. c |
| Bezpieczeństwo i roszczenia | Logi techniczne, IP, zdarzenia konta, dowody zawarcia i wykonania umowy | Prawnie uzasadniony interes ochrony serwisu i dochodzenia lub obrony roszczeń, art. 6 ust. 1 lit. f |
Klient otrzymujący zaproszenie od trenera jest informowany o przygotowaniu konta na podany adres e-mail i sam ustala hasło. Dane z opcjonalnego formularza służą kontaktowi w ramach współpracy, prowadzeniu profilu i dopasowaniu treningów; nie są zbierane do nieokreślonych badań ani automatycznie publikowane. Datę urodzenia trener może wykorzystać także do pamiętania o urodzinach. Zapisanie numeru telefonu nie oznacza zgody na marketing ani aktywowania wiadomości SMS. Jeśli w przyszłości zostaną uruchomione SMS-y lub automatyczne rekomendacje żywieniowe, przed ich użyciem zostaną podane odpowiednie informacje i zapewnione wymagane prawem podstawy oraz wybory.
Dane podaje użytkownik; informacje o statusie transakcji pochodzą również od operatora płatności. Nie należy wpisywać danych zdrowotnych w zwykłe pola sklepu. Jeżeli indywidualna współpraca wymaga informacji o urazach, chorobach lub innych danych o zdrowiu, administrator przed ich zebraniem uzyskuje odrębną wyraźną zgodę na określony cel, zgodnie z art. 9 ust. 2 lit. a RODO. Odmowa może uniemożliwić zakres personalizacji wymagający tych informacji, ale nie powinna blokować niezależnego zakupu gotowego planu.
Zdjęcia i filmy do analizy treningu są wykorzystywane wyłącznie w uzgodnionym celu współpracy. Ich publikacja, w tym jako przemiana lub materiał promocyjny, wymaga osobnego upoważnienia; nie wynika z akceptacji regulaminu.
3. Odbiorcy i usługi zewnętrzne
Dane w niezbędnym zakresie otrzymują dostawcy obsługujący aplikację i komunikację: Cloudflare (hosting, infrastruktura i baza aplikacji), Supabase (uwierzytelnianie kont), Stripe (płatności) oraz Google (korespondencja przez wskazany adres Gmail). Resend może obsługiwać wiadomości transakcyjne, w tym zaproszenia do kont i potwierdzenia zakupów, jeśli dana wysyłka jest aktywna. Dane mogą otrzymać również upoważnione osoby wspierające obsługę, doradcy lub organy publiczne, gdy istnieje właściwa podstawa.
Stripe przetwarza również dane do własnych celów wynikających z obsługi płatności, bezpieczeństwa i prawa, zgodnie z własną polityką prywatności. Aplikacja nie zapisuje pełnych numerów kart ani kodów zabezpieczających; dane płatnicze klient podaje operatorowi.
Korzystanie z międzynarodowych dostawców może wiązać się z przetwarzaniem poza EOG. Takie przekazanie wymaga właściwej podstawy, np. decyzji o odpowiednim poziomie ochrony albo standardowych klauzul umownych wraz z potrzebnymi zabezpieczeniami. Informację o zastosowanej podstawie i kopię zabezpieczeń można uzyskać od administratora. Dostawcy opisują stosowane mechanizmy przekazywania danych w swoich dokumentach: Cloudflare — https://www.cloudflare.com/cloudflare-customer-dpa/; Supabase — https://supabase.com/legal/privacy-resources/data-residency-and-transfers-faq; Stripe — https://stripe.com/legal/privacy-center; Google — https://policies.google.com/privacy/frameworks; Resend — https://resend.com/legal/dpa. Mogą one obejmować przetwarzanie w USA, a w przypadku Supabase również w Singapurze. Szczegółową informację o przetwarzaniu dotyczącym swojego konta można uzyskać przez kontakt z administratorem.
4. Przechowywanie
Dane konta i dziennika są przechowywane podczas korzystania z konta i realizacji praw do zakupionych planów. Po zakończeniu relacji lub usunięciu konta zbędne dane są usuwane; dane konieczne do rozliczeń i roszczeń pozostają przez właściwy okres. Nie utrzymuje się całego dziennika wyłącznie dlatego, że trzeba zachować dowód zakupu.
Dokumentację podatkową przechowuje się przez okres wymagany prawem, zasadniczo 5 lat od końca roku, w którym upłynął termin płatności podatku. Dowody umów i reklamacji przechowuje się do upływu właściwego terminu przedawnienia, z uwzględnieniem jego zawieszenia lub przerwania. Korespondencję bez umowy usuwa się po zakończeniu sprawy, chyba że dalsze przechowanie ma konkretną uzasadnioną podstawę. Dane zdrowotne i materiały do analizy treningu usuwa się po zakończeniu celu ich wykorzystania lub cofnięciu zgody, poza zakresem niezbędnym do ochrony roszczeń na właściwej podstawie. Kopie zapasowe są wycofywane zgodnie z ustalonym cyklem ich rotacji; nie służą dalszemu aktywnemu wykorzystaniu usuniętych danych.
5. Prawa użytkownika
W granicach przewidzianych RODO użytkownik może żądać dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia oraz przeniesienia danych. Może wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie z przyczyn związanych ze swoją sytuacją; wobec marketingu bezpośredniego sprzeciw można wnieść w każdej chwili. Zgodę można cofnąć bez wpływu na legalność wcześniejszego przetwarzania. Żądania należy kierować na metiouzmc@gmail.com. Administrator może zweryfikować tożsamość w niezbędnym zakresie.
Użytkownik może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych; informacje i aktualne dane kontaktowe dostępne są na https://uodo.gov.pl. Odpowiedź na żądanie dotyczące danych następuje co do zasady w ciągu miesiąca; ewentualne przedłużenie odbywa się zgodnie z RODO i wymaga poinformowania użytkownika.
6. Dobrowolność, sesja i automatyzacja
Podanie danych jest dobrowolne, lecz dane oznaczone jako niezbędne są potrzebne do konta, zakupu lub wybranej usługi. Bez nich administrator nie może zrealizować właściwego świadczenia. Dodatkowe dane do personalizacji należy ograniczać do rzeczywiście potrzebnych.
Aplikacja wykorzystuje niezbędne pliki cookies lub podobne mechanizmy do utrzymania logowania i bezpieczeństwa. Ich zablokowanie może uniemożliwić korzystanie z konta. Przed ewentualnym uruchomieniem analityki, reklamy lub innych mechanizmów wymagających zgody zostaną podane informacje i udostępniony wybór. Zakup ani konto nie stanowią zgody na newsletter. Uruchomienie newslettera wymaga osobnego zapisu i możliwości rezygnacji.
Ankieta może automatycznie wskazywać pasujące plany, a potwierdzenie płatności automatycznie odblokowuje dostęp. Nie jest to podejmowanie decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na użytkownika w rozumieniu art. 22 RODO.