Polityka prywatności

Ta polityka prywatności informuje Cię, zgodnie z art. 13 i 14 ogólnego rozporządzenia o ochronie danych (RODO), jakie dane osobowe przetwarzamy, gdy korzystasz z naszej strony gympli.com, aplikacji internetowej pod adresem https://test-app.gympli.com oraz aplikacji mobilnej „Gympli” na iOS i Androida (razem „Gympli” lub „usługa”).

1. Administrator i kontakt

Administratorem w rozumieniu RODO jest:

[Vor- und Nachname]
[Straße und Hausnummer]
[PLZ] [Ort]
Deutschland
E-mail: [E-Mail-Adresse]
Telefon: [Telefonnummer]

Nie wyznaczyliśmy inspektora ochrony danych, ponieważ nie mamy takiego obowiązku. W sprawach ochrony danych napisz do nas na podany wyżej adres e-mail.

2. Kto odpowiada za jakie dane

Gympli to oprogramowanie, z którego trenerzy i studia („organizacja”) korzystają, prowadząc swoich podopiecznych. Każda organizacja ma właściciela, który płaci za Gympli; zatrudnieni lub współpracujący trenerzy („zespół”) i podopieczni korzystają z Gympli bezpłatnie w ramach organizacji. Wynikają z tego dwie role:

• Jesteśmy administratorem danych, których sami potrzebujemy do prowadzenia usługi: Twojego konta, danych logowania i bezpieczeństwa, rozliczeń subskrypcji, korespondencji z nami (wsparcie) i odwiedzin naszej strony. Do tych danych ta polityka prywatności ma zastosowanie w całości.
• Organizacja jest administratorem treści treningowych, które prowadzi w Gympli o swoich podopiecznych: planów treningowych, sesji treningowych, pomiarów i celów, ankiet i raportów wraz ze zdjęciami, notatek, wiadomości, wpisów w kalendarzu, karnetów i obecności. Przetwarzamy te dane wyłącznie w jej imieniu i na jej polecenie (art. 28 RODO, zob. naszą umowę powierzenia). O celach tego przetwarzania, jego podstawie prawnej i okresie przechowywania decyduje Twój trener lub Twoja organizacja; zapytania dotyczące tych danych kieruj do nich. Jeśli takie zapytanie trafi do nas, przekażemy je organizacji.

Mimo to punkt 5 opisuje, jakie treści treningowe Gympli technicznie przechowuje, abyś wiedział, co dzieje się z Twoimi danymi.

3. Odwiedziny strony

Gdy otwierasz gympli.com, nasz serwer przetwarza technicznie niezbędne informacje przesyłane przez przeglądarkę: adres IP, datę i godzinę, otwierany adres, stronę odsyłającą, przeglądarkę i system operacyjny. Potrzebujemy ich, aby dostarczyć stronę i chronić ją przed nadużyciami i atakami. Podstawą prawną jest nasz prawnie uzasadniony interes w bezpiecznej i działającej stronie (art. 6 ust. 1 lit. f RODO). Logi serwera są na bieżąco nadpisywane i usuwane najpóźniej po [[liczba]] dniach.

Strona nie ustawia plików cookies, niczego nie zapisuje w Twojej przeglądarce, nie wczytuje skryptów, czcionek ani obrazów od podmiotów trzecich i nie używa narzędzi analitycznych, reklamowych ani śledzących.

4. Konto i korzystanie z usługi

4.1 Rejestracja i konto

Na potrzeby konta przetwarzamy imię i nazwisko, adres e-mail, hasło (przechowywane wyłącznie jako skrót bcrypt), język, strefę czasową, a jeśli je podasz – płeć i zdjęcie profilowe, moment potwierdzenia adresu e-mail, Twój status (np. „online”) i Twoją rolę w organizacji (właściciel, zespół lub podopieczny). Przy rejestracji potwierdzasz, że masz ukończone 16 lat, i akceptujesz nasz regulamin; zapisujemy wersję zaakceptowanego regulaminu i polityki prywatności wraz z datą.

Jeśli trener zakłada konto dla Ciebie, początkowo zna ono tylko Twoje imię i nazwisko. Staje się Twoim kontem dopiero, gdy otworzysz link z zaproszeniem, ustawisz własny adres e-mail i hasło oraz zaakceptujesz regulamin. Do tego czasu nikt nie może się na nie zalogować i nie są na nie wysyłane żadne e-maile.

Podstawą prawną jest umowa o korzystanie z usługi zawarta z Tobą (art. 6 ust. 1 lit. b RODO); zapisy akceptacji regulaminu przechowujemy na podstawie naszego prawnie uzasadnionego interesu w możliwości wykazania zawarcia umowy (art. 6 ust. 1 lit. f RODO).

Pomniejszona wersja Twojego zdjęcia profilowego (256 × 256 pikseli) jest dostępna bez logowania pod adresem, którego nie da się odgadnąć, aby szybko ładowała się w e-mailach i aplikacjach; adres nie jest nigdzie publicznie wymieniony. Oryginalne zdjęcie jest dostępne tylko po zalogowaniu.

4.2 Bezpieczeństwo

Aby chronić Twoje konto, przetwarzamy:

• Sesje w aplikacji internetowej z identyfikatorem sesji, adresem IP, identyfikatorem przeglądarki (user agent) i ostatnią aktywnością. Widzisz swoje zalogowane urządzenia i możesz je wylogować.
• Tokeny logowania aplikacji mobilnej z nazwą urządzenia, ostatnim użyciem i datą wygaśnięcia.
• Uwierzytelnianie dwuskładnikowe (opcjonalne): sekret TOTP i kody odzyskiwania, przechowywane w postaci zaszyfrowanej.
• Dziennik bezpieczeństwa ważnych zdarzeń (np. logowania i nieudane próby z użytym adresem e-mail, wylogowania, zmiany hasła i uwierzytelniania dwuskładnikowego, dodanie lub usunięcie członków, eksporty danych, operacje rozliczeniowe). W tym dzienniku nie zapisujemy adresów IP ani identyfikatorów przeglądarki. Właściciel organizacji widzi dziennik swojej organizacji.
• Techniczne logi błędów z identyfikatorem użytkownika i organizacji, bez treści wiadomości.

Podstawą prawną jest wykonanie umowy (art. 6 ust. 1 lit. b RODO) oraz nasz prawnie uzasadniony interes w bezpiecznej usłudze i zapobieganiu nadużyciom (art. 6 ust. 1 lit. f RODO).

4.3 E-maile i powiadomienia

Wysyłamy Ci e-maile potrzebne do korzystania z usługi: potwierdzenie adresu e-mail, reset hasła, zaproszenia, powiadomienia o bezpieczeństwie, informacje rozliczeniowe oraz – zależnie od Twoich ustawień – powiadomienia o zdarzeniach w Twojej organizacji. W aplikacji wyświetlamy powiadomienia; w tym celu zapisujemy ich rodzaj, autora zdarzenia, odnośnik oraz – przy nowych wiadomościach – podgląd do 120 znaków. Nowe wiadomości nie są wysyłane e-mailem. Nie wysyłamy e-maili reklamowych ani newslettera. Podstawą prawną jest art. 6 ust. 1 lit. b RODO.

4.4 Aplikacja mobilna

Aplikacja przechowuje swój token logowania w bezpiecznym magazynie urządzenia (pęk kluczy iOS lub Android Keystore), dostępnym tylko przy odblokowanym urządzeniu. Dla każdej instalacji zapisujemy platformę, język aplikacji i czas ostatniego użycia.

Powiadomienia push otrzymujesz tylko wtedy, gdy zezwolisz na nie w swoim urządzeniu. Zapisujemy wtedy token push urządzenia oraz czas ostatniego udanego lub nieudanego doręczenia. Aby doręczyć powiadomienie, przekazujemy token oraz tytuł i treść powiadomienia w Twoim języku do usługi push firmy Expo, która przekazuje je na Twoje urządzenie za pośrednictwem Apple lub Google. Powiadomienia push możesz w każdej chwili wyłączyć w ustawieniach urządzenia; po wylogowaniu usuwamy token. Podstawą prawną jest art. 6 ust. 1 lit. b RODO; dostęp do Twojego urządzenia następuje za Twoim zezwoleniem lub dlatego, że jest bezwzględnie niezbędny do świadczenia usługi, o którą prosisz (§ 25 TDDDG).

Aplikacja nie prosi o uprawnienia do danych zdrowotnych (Apple Health, Health Connect) i nie odczytuje takich danych.

Gdy pobierasz aplikację z App Store lub Google Play, Apple lub Google przetwarzają dane jako odrębni administratorzy według własnych zasad prywatności; nie mamy na to wpływu.

4.5 Subskrypcja i płatności

Właściciele zawierają płatną subskrypcję na stronie płatności Stripe i zarządzają nią w portalu klienta Stripe. Dane karty i adres rozliczeniowy podajesz bezpośrednio w Stripe; nie otrzymujemy ich. Zapisujemy identyfikator klienta w Stripe, rodzaj i cztery ostatnie cyfry metody płatności, koniec okresu próbnego, plan, liczbę i status subskrypcji oraz identyfikatory zdarzeń płatności, które zgłasza nam Stripe. Faktury tworzy i przechowuje Stripe.

Podstawą prawną jest umowa (art. 6 ust. 1 lit. b RODO) oraz nasz obowiązek prawny przechowywania dowodów księgowych (art. 6 ust. 1 lit. c RODO w związku z § 147 AO i § 257 HGB).

4.6 Zamówienie i wypowiedzenie

Zamawiając subskrypcję, potwierdzasz, że nabywasz Gympli w związku ze swoją działalnością gospodarczą, zawodową lub samozatrudnieniem. Przechowujemy czas tego potwierdzenia, plan, identyfikator klienta w Stripe, wersje regulaminu i niniejszej polityki prywatności oraz dokładny tekst zaakceptowanego regulaminu jako dowód zawarcia umowy (art. 6 ust. 1 lit. b i f RODO). Umowę możesz wypowiedzieć na swoim koncie w Konto → Rozliczenia albo w formie tekstowej, np. e-mailem; wypowiedzenie przesłane e-mailem przetwarzamy, aby je wykonać i udokumentować (art. 6 ust. 1 lit. b RODO).

4.7 Kontakt i wsparcie

Gdy do nas piszesz, przetwarzamy Twoje dane, aby odpowiedzieć na zapytanie (art. 6 ust. 1 lit. b RODO, a przy zapytaniach spoza umowy art. 6 ust. 1 lit. f RODO). Korespondencję usuwamy, gdy sprawa zostanie zakończona i nie obowiązuje nas obowiązek jej przechowywania.

4.8 Eksport danych

Możesz zamówić kopię swoich danych. Tworzymy wtedy zaszyfrowane archiwum ZIP z danymi Twojego konta i korzystania z usługi oraz Twoimi własnymi plikami; pliki innych osób nigdy nie są w nim zawarte. Link do niego wysyłamy e-mailem; archiwum można pobrać jeden raz, tylko po zalogowaniu na Twoje konto, i jest ono usuwane po 48 godzinach.

5. Treści treningowe i dane o zdrowiu

Zależnie od tego, jak Twój trener korzysta z Gympli, przechowywane są następujące treści treningowe: profil podopiecznego (status, przypisany trener, cele), plany treningowe i treningi, sesje treningowe z seriami, powtórzeniami, ciężarem, odczuwalnym wysiłkiem (RPE) i notatkami, pomiary ciała, waga i kroki, ankiety i raporty z odpowiedziami, zdjęciami i uwagami trenera, notatki trenera, wiadomości z załącznikami, wpisy w kalendarzu, karnety z ceną i obecności oraz historia aktywności dla trenera.

Administratorem tych danych jest Twoja organizacja (punkt 2); przetwarzamy je w jej imieniu. To, kto ma do nich dostęp, jest ustalone technicznie: podopieczni widzą tylko własne dane, trenerzy tylko przypisanych im podopiecznych, właściciel wszystkich podopiecznych swojej organizacji. Wiadomości mogą czytać tylko uczestnicy rozmowy i przypisany trener – nie właściciel, jeśli sam w niej nie uczestniczy. Jako operator nie mamy panelu administracyjnego, w którym moglibyśmy czytać treści treningowe.

Dane o zdrowiu. Pomiary ciała, zdjęcia postępów, odpowiedzi w raportach, odczuwalny wysiłek i notatki mogą być danymi dotyczącymi zdrowia w rozumieniu art. 9 RODO. Za ich przetwarzanie odpowiada Twoja organizacja: określa podstawę prawną i w razie potrzeby uzyskuje Twoją wyraźną zgodę (art. 9 ust. 2 lit. a RODO). Przetwarzamy te dane wyłącznie w jej imieniu. Pytania o dane o zdrowiu, wycofanie zgody i żądania usunięcia kieruj do swojego trenera.

6. Odbiorcy i podmioty przetwarzające

Udostępniamy Twoje dane tylko wtedy, gdy wymaga tego usługa, i korzystamy z następujących usługodawców, którzy przetwarzają dane w naszym imieniu na podstawie art. 28 RODO:

Stripe przetwarza część danych płatniczych jako odrębny administrator, w szczególności w celu zapobiegania oszustwom i wypełniania własnych obowiązków prawnych (np. przeciwdziałania praniu pieniędzy); w tym zakresie obowiązuje polityka prywatności Stripe.

Członkowie Twojej organizacji widzą dane przewidziane dla ich roli (punkt 5). Organy publiczne otrzymują dane tylko wtedy, gdy wymaga tego prawo. Nie sprzedajemy danych i nie udostępniamy ich w celach reklamowych.

7. Przekazywanie do państw trzecich

Nasze serwery znajdują się w Niemczech. Jeśli Resend, Expo lub Stripe przetwarzają dane w USA lub innym państwie spoza UE/EOG, przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony – dla USA w ramach EU-US Data Privacy Framework, jeśli usługodawca posiada certyfikację – lub, w stosownych przypadkach, standardowych klauzul umownych Komisji Europejskiej (art. 45 i art. 46 ust. 2 lit. c RODO). Na życzenie przekażemy Ci kopię zabezpieczeń.

8. Okres przechowywania

Dane osobowe przechowujemy tylko tak długo, jak to konieczne do danego celu lub wymagane przez prawo:

Usunięcie konta. Konto możesz usunąć w ustawieniach konta, podając hasło. Trwająca subskrypcja kończy się wtedy natychmiast, wszystkie logowania zostają unieważnione, a Twoje zdjęcie profilowe, zdjęcia z raportów i eksporty są usuwane. Jeśli właściciel usuwa konto, jego organizacja zostaje usunięta wraz ze wszystkimi danymi. Treści, które napisałeś dla innych (np. wysłane wiadomości, notatki, wpisy w kalendarzu, pomiary), pozostają u pozostałych uczestników, ale bez powiązania z Tobą. Wpisy w dzienniku bezpieczeństwa są usuwane po upływie 365 dni. Dowody tego, którą wersję regulaminu i polityki prywatności zaakceptowałeś i jakie zamówienia złożyłeś, przechowujemy bez Twojego adresu e-mail – tylko z kluczowaną wartością kontrolną, dzięki której możemy je przypisać do Ciebie na żądanie – i usuwamy je trzy lata po końcu roku usunięcia konta. Dane, które musimy przechowywać, ograniczamy do czasu upływu terminu.

9. Twoje prawa

Masz prawo dostępu do danych (art. 15 RODO), ich sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia (art. 20) i wycofania zgody ze skutkiem na przyszłość (art. 7 ust. 3). Wiele z tych praw możesz wykonać bezpośrednio w Gympli: edytować profil, wyeksportować dane, usunąć konto. W pozostałych sprawach wystarczy e-mail na [E-Mail-Adresse]. Jeśli Twoje żądanie dotyczy treści treningowych, zwróć się do swojego trenera; wspieramy go w jego obsłudze.

Prawo sprzeciwu (art. 21 RODO). Jeśli przetwarzamy dane na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), możesz w każdej chwili wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją. Przestaniemy wtedy przetwarzać dane, chyba że wykażemy ważne prawnie uzasadnione podstawy albo przetwarzanie służy ustaleniu, dochodzeniu lub obronie roszczeń.

Prawo do skargi (art. 77 RODO). Możesz wnieść skargę do organu nadzorczego ds. ochrony danych, w szczególności w państwie członkowskim swojego zwykłego pobytu, miejsca pracy lub miejsca domniemanego naruszenia (w Polsce: Prezes Urzędu Ochrony Danych Osobowych). Organem właściwym dla nas jest: [Datenschutz-Aufsichtsbehörde des Bundeslandes des Betreibers, mit Anschrift].

10. Pliki cookies i pamięć lokalna

Strona gympli.com nie ustawia plików cookies. Aplikacja internetowa ustawia tylko pliki cookies bezwzględnie niezbędne do świadczenia usługi, o którą prosisz (§ 25 ust. 2 pkt 2 TDDDG):

W pamięci lokalnej przeglądarki aplikacja internetowa zapisuje tylko wybrany motyw kolorystyczny i język. Ponieważ nie używamy technologii analitycznych, reklamowych ani śledzących i nie wczytujemy treści podmiotów trzecich, nie potrzebujemy zgody i nie wyświetlamy banera cookies.

11. Obowiązek podania danych i zautomatyzowane decyzje

Imię i nazwisko, adres e-mail i hasło są potrzebne do założenia konta; właściciele muszą też podać dane płatnicze w Stripe. Bez nich nie możesz korzystać z Gympli. Wszystkie pozostałe dane są dobrowolne. Nie podejmujemy zautomatyzowanych decyzji i nie profilujemy w rozumieniu art. 22 RODO.

12. Minimalny wiek

Gympli nie jest przeznaczone dla osób poniżej 16 roku życia. Przy rejestracji oraz przy przejęciu konta założonego przez trenera potwierdzasz, że masz ukończone 16 lat. Jeśli dowiemy się, że konto należy do młodszej osoby, usuniemy je.

13. Bezpieczeństwo

Wszystkie połączenia są szyfrowane protokołem TLS. Hasła przechowujemy wyłącznie jako skróty, sekrety uwierzytelniania dwuskładnikowego w postaci zaszyfrowanej, zdjęcia i załączniki w niepublicznym magazynie udostępniającym je tylko po zalogowaniu, a eksporty danych w postaci zaszyfrowanej. Dostęp w ramach organizacji wynika ze stałych ról. Więcej szczegółów zawiera nasza umowa powierzenia.

14. Zmiany

Aktualizujemy tę politykę prywatności, gdy zmienia się usługa lub prawo. Obowiązuje wersja opublikowana na tej stronie; o istotnych zmianach informujemy zarejestrowanych użytkowników z wyprzedzeniem e-mailem lub w aplikacji.