Polityka prywatności Athlety

1. Administrator danych i role stron

1. Administratorem danych osobowych wskazanych w pkt 1 ust. 2 jest Dawid Dudzik, Męcina 757, 34-654 Męcina, prowadzący projekt Athlety w ramach działalności nierejestrowanej (dalej: „Administrator”).
2. Administrator występuje jako administrator danych w odniesieniu do: danych osób zakładających Konto Klubu i korzystających z Aplikacji w imieniu Klubu (np. Trenerów), danych służących do logowania Opiekunów do Portalu Rodzica i utrzymania ich sesji, danych technicznych związanych z logowaniem, bezpieczeństwem i działaniem Aplikacji (w tym aplikacji mobilnej), danych kontaktowych i rozliczeniowych Klubów, danych osób kontaktujących się z Administratorem oraz danych odwiedzających Serwis.
3. W odniesieniu do danych Zawodników i ich Opiekunów (rodziców, opiekunów prawnych, innych osób kontaktowych) wprowadzanych przez Kluby, zbieranych za pomocą formularza zgłoszeniowego Klubu lub przekazywanych przez Opiekunów w Portalu Rodzica, a także danych o Składkach i płatnościach, Klub pełni rolę administratora tych danych, a Administrator przetwarza je jako podmiot przetwarzający na zlecenie Klubu – zasady te opisano w pkt 4.
4. Pojęcia pisane wielką literą (np. Klub, Opiekun, Płatnik, Składka, Portal Rodzica, Płatności online, Operator płatności) mają znaczenie nadane im w Regulaminie.
5. Kontakt w sprawach ochrony danych osobowych: kontakt@athlety.pl. Administrator nie powołał inspektora ochrony danych.

2. Jakie dane zbieramy

Dane Zawodników i Opiekunów wprowadzane są do Aplikacji przez Klub albo – jeżeli Klub korzysta z formularza zgłoszeniowego Athlety umieszczonego na swojej stronie internetowej – podawane przez pełnoletniego Zawodnika lub rodzica/opiekuna prawnego małoletniego Zawodnika. Numer telefonu i zgłoszenia nieobecności może przekazać sam Opiekun w Portalu Rodzica. Aplikacja nie jest przeznaczona do przetwarzania numerów PESEL, danych dotyczących zdrowia ani innych danych szczególnych kategorii (art. 9 RODO) – Kluby zobowiązują się ich nie wprowadzać, a Opiekunowie są proszeni, by nie podawali informacji o zdrowiu w zgłoszeniu nieobecności. Dane osoby zakładającej Konto Klubu pochodzą od niej samej. Dane innych Użytkowników (np. Trenerów), którym dostęp do Aplikacji nadaje Klub, mogą pochodzić od Klubu – w zakresie imienia i nazwiska oraz adresu e-mail. Podanie danych jest dobrowolne, ale niezbędne do założenia Konta Klubu, korzystania z Aplikacji i Portalu Rodzica.

Administrator nie podejmuje wobec użytkowników zautomatyzowanych decyzji wywołujących skutki prawne ani nie dokonuje profilowania.

3. Cele i podstawy przetwarzania danych

Dane, w odniesieniu do których Administrator jest administratorem:

Dane Zawodników i Opiekunów wprowadzone przez Klub, zebrane za pomocą jego formularza zgłoszeniowego lub przekazane przez Opiekuna w Portalu Rodzica Administrator przetwarza wyłącznie w celu świadczenia Klubowi usługi Aplikacji, na podstawie jego polecenia (art. 28 RODO) – w tym w celu wysyłania wiadomości o Składkach i przypomnień, udostępniania danych w Portalu Rodzica i przekazania danych Operatorowi płatności. Administrator nie wykorzystuje tych danych do własnych celów, w tym do statystyk, rozwoju produktu ani marketingu. Wyjątkiem są dane opisane w tabeli powyżej, które Administrator przetwarza jako administrator: adres IP osoby wysyłającej formularz zgłoszeniowy, dane logowania do Portalu Rodzica oraz dane techniczne służące bezpieczeństwu i usuwaniu błędów.

4. Dane małoletnich Zawodników i ich Opiekunów

1. Znaczna część Zawodników, których dane przetwarzane są w Aplikacji, to osoby małoletnie (dzieci i młodzież trenujące w Klubach).
2. Dane małoletnich Zawodników i ich Opiekunów wprowadza Klub albo rodzic/opiekun prawny za pośrednictwem formularza zgłoszeniowego Klubu – formularz może wysłać wyłącznie osoba pełnoletnia. Małoletni Zawodnicy nie logują się do Aplikacji. Do Aplikacji logują się pracownicy Klubu, a – jeżeli Klub udostępni Portal Rodzica – także pełnoletni Opiekunowie (w tym pełnoletni Zawodnicy zapisani jako swoi własni Opiekunowie), którzy widzą wyłącznie dane Zawodników, przy których Klub ich zapisał.
3. To Klub, jako podmiot bezpośrednio współpracujący z Zawodnikami i Opiekunami, odpowiada za: posiadanie odpowiedniej podstawy prawnej do przetwarzania danych dziecka i Opiekuna (np. zgody rodzica/opiekuna lub realizacji umowy zawartej z rodzicem), zapisanie jako Opiekuna wyłącznie osoby uprawnionej do informacji o dziecku oraz poinformowanie Zawodników i Opiekunów o przetwarzaniu ich danych w Aplikacji Athlety (art. 13 i 14 RODO). Jeżeli Klub korzysta z formularza zgłoszeniowego, odpowiada również za przekazanie osobom go wypełniającym informacji wymaganych przez art. 13 RODO. Zaproszenie do Portalu Rodzica zawiera informację, który Klub przekazał dane Opiekuna i że Athlety przetwarza je na jego zlecenie.
4. Administrator przetwarza dane małoletnich Zawodników i ich Opiekunów wyłącznie w zakresie przekazanym przez Klub lub Opiekuna i w celu świadczenia usługi Aplikacji, działając jako podmiot przetwarzający na zlecenie Klubu, na podstawie umowy powierzenia przetwarzania danych zawieranej w ramach Regulaminu (akceptowanego przez Klub przy rejestracji).
5. Jeżeli Opiekun jest zapisany w kilku Klubach, Administrator łączy jego powiązania na podstawie adresu e-mail wyłącznie po to, by po zalogowaniu pokazać mu w Portalu Rodzica dane jego Zawodników ze wszystkich tych Klubów. Żaden Klub nie widzi danych zapisanych przez inny Klub.
6. Rodzic/opiekun prawny małoletniego Zawodnika, który chce zrealizować swoje prawa dotyczące danych dziecka lub własnych (np. wgląd, poprawienie, usunięcie), powinien w pierwszej kolejności skontaktować się z Klubem. Numer telefonu może sam poprawić w Portalu Rodzica, a wgląd w dane dziecka (plan zajęć, obecności, Składki) ma w Portalu Rodzica, jeżeli Klub go udostępnił. Możliwy jest też kontakt z Administratorem pod adresem kontakt@athlety.pl – Administrator przekaże sprawę Klubowi lub pomoże ją zrealizować na jego polecenie.

5. Odbiorcy danych i przekazywanie poza EOG

Dane nie są przekazywane innym podmiotom trzecim poza wskazanymi powyżej, chyba że wynika to z obowiązku prawnego. Dane Zawodników i Opiekunów mogą trafić do Zoho tylko wtedy, gdy Klub lub Opiekun sam przekaże je w wiadomości e-mail (np. w zgłoszeniu reklamacji). Powiadomienia push nie zawierają danych o zdrowiu ani innych danych szczególnych kategorii.

Dane przetwarzane w Aplikacji przechowywane są na serwerach we Francji, w Europejskim Obszarze Gospodarczym. Dostawcy powiadomień push (Google, Apple) i raportów błędów (Google, Sentry) mogą przetwarzać dane w USA. Przekazanie danych poza EOG przez któregokolwiek z wymienionych dostawców odbywa się wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) lub standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.

6. Okres przechowywania danych

1. Dane Klubu, jego Użytkowników, Zawodników i Opiekunów (w tym Składki, transakcje Płatności online i zgłoszenia nieobecności) przetwarzane są przez cały okres korzystania przez Klub z Aplikacji, chyba że Klub usunie je wcześniej.
2. Po dezaktywacji Konta Klubu (np. w wyniku braku płatności lub rezygnacji) dane przestają być widoczne i dostępne w Aplikacji i w Portalu Rodzica (tzw. „soft delete”) i przechowywane są jeszcze przez 90 dni, aby umożliwić reaktywację Konta. Po upływie tego okresu dane są trwale usuwane z bazy danych.
3. Klub może w dowolnym momencie zażądać wcześniejszego trwałego usunięcia danych, pisząc na adres kontakt@athlety.pl. Żądania usunięcia danych Zawodnika lub Opiekuna zgłaszane przez te osoby Administrator przekazuje Klubowi i realizuje na jego polecenie, zgodnie z pkt 4. Osoba korzystająca z Aplikacji w imieniu Klubu może żądać usunięcia swoich danych bezpośrednio od Administratora.
4. Kopie zapasowe wykonywane są codziennie i przechowywane przez 14 dni, po czym są automatycznie usuwane. Dane usunięte z bazy zostają więc usunięte z kopii zapasowych nie później niż po 14 dniach.
5. Kody jednorazowe do logowania w Portalu Rodzica są ważne 15 minut i po użyciu tracą ważność. Sesje (tokeny odświeżania) wygasają po 7 dniach dla pracowników Klubu i po 90 dniach dla Opiekunów, a wcześniej – przy wylogowaniu.
6. Dane konta Opiekuna w Portalu Rodzica (adres e-mail i data ostatniego logowania) przechowywane są, dopóki adres jest powiązany z co najmniej jednym Klubem, i usuwane nie później niż 90 dni po usunięciu ostatniego powiązania.
7. Linki do strony płatności wygasają po opłaceniu Składki albo po wysłaniu przypomnienia z nowym linkiem.
8. Tokeny urządzeń do powiadomień push przechowywane są do wylogowania, odinstalowania aplikacji lub utraty ważności tokenu. Raporty awarii i błędów przechowywane są nie dłużej niż 90 dni.
9. Dane dotyczące rozliczeń Abonamentu i dokumenty księgowe przechowywane są przez 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 70 Ordynacji podatkowej).
10. Korespondencja z Administratorem, w tym reklamacje i zgłoszenia, przechowywana jest przez czas niezbędny do ich obsługi, a następnie do upływu okresu przedawnienia ewentualnych roszczeń.
11. Zgłoszenia przesłane przez formularz zgłoszeniowy (również odrzucone i przyjęte) przechowywane są do czasu ich usunięcia przez Klub. Usunięte zgłoszenie przestaje być widoczne w Aplikacji, a po 30 dniach jest trwale usuwane z bazy danych (z kopii zapasowych – nie później niż po kolejnych 14 dniach). Po przyjęciu zgłoszenia dane Zawodnika i Opiekuna zostają zapisane w kartotece Zawodnika i podlegają zasadom z ust. 1.
12. Adres IP osoby wysyłającej formularz zgłoszeniowy przechowywany jest w mechanizmie ograniczania liczby zgłoszeń nie dłużej niż 1 godzinę, a w logach serwera – na zasadach z ust. 13.
13. Logi systemowe i dane dotyczące logowań przechowywane są nie dłużej niż 90 dni, chyba że są niezbędne do wyjaśnienia incydentu bezpieczeństwa lub dochodzenia roszczeń.

7. Bezpieczeństwo danych

1. Połączenie z Aplikacją, Portalem Rodzica, stroną płatności i Serwisem jest szyfrowane protokołem HTTPS.
2. Hasła użytkowników, kody jednorazowe, tokeny sesji i tokeny linków do płatności przechowywane są wyłącznie w postaci skrótów kryptograficznych. Kod logowania można wpisać błędnie najwyżej 5 razy, a liczba prób logowania jest ograniczona dla adresu e-mail i adresu IP.
3. Sesje pracowników Klubu i Opiekunów są od siebie oddzielone – token sesji Opiekuna nie daje dostępu do funkcji Klubu i odwrotnie. Opiekun ma dostęp wyłącznie do danych Zawodników, przy których Klub go zapisał, a odpięcie przez Klub działa od razu.
4. Dane dostępowe Klubów do kont Operatora płatności przechowywane są w postaci zaszyfrowanej (AES-GCM) i nie są wyświetlane po zapisaniu. Administrator nie otrzymuje danych kart płatniczych ani danych logowania do banku.
5. Spośród osób dostęp do danych po stronie Administratora ma wyłącznie Administrator. Podmioty przetwarzające wskazane w pkt 5 mają dostęp do danych wyłącznie w zakresie niezbędnym do świadczenia swoich usług.
6. Dostęp do serwerów możliwy jest wyłącznie za pomocą kluczy SSH – logowanie hasłem jest wyłączone.
7. Konta Administratora u dostawców usług (hosting, poczta, wysyłka e-mail, powiadomienia, raporty błędów) zabezpieczone są uwierzytelnianiem dwuskładnikowym (2FA).
8. Oprogramowanie serwerów i Aplikacji jest regularnie aktualizowane, w tym o poprawki bezpieczeństwa.
9. Dane przechowywane są na serwerach we Francji. Kopie zapasowe wykonywane są codziennie i przechowywane w postaci zaszyfrowanej.

8. Prawa osób, których dane dotyczą

Osobie, której dane dotyczą (w tym rodzicowi/opiekunowi prawnemu małoletniego Zawodnika, działającemu w jego imieniu), przysługuje prawo do:

• dostępu do swoich danych oraz otrzymania ich kopii,
• sprostowania (poprawienia) danych,
• usunięcia danych („prawo do bycia zapomnianym”),
• ograniczenia przetwarzania,
• przenoszenia danych,
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• cofnięcia zgody w dowolnym momencie, jeżeli przetwarzanie opiera się na zgodzie – bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO).

W celu realizacji powyższych praw należy skontaktować się z Klubem (w przypadku danych Zawodnika lub Opiekuna zapisanych przez Klub) lub bezpośrednio z Administratorem pod adresem kontakt@athlety.pl. W sprawie danych przetwarzanych przez Operatora płatności należy kontaktować się z Operatorem płatności.

9. Cookies i pamięć przeglądarki lub urządzenia

1. Serwis athlety.pl nie zapisuje plików cookies i nie korzysta z narzędzi analitycznych ani reklamowych. W pamięci przeglądarki (localStorage i sessionStorage) zapisuje wyłącznie wybrany przez odwiedzającego motyw strony (jasny lub ciemny) oraz znacznik, że animacja logo została już wyświetlona w danej sesji. Dane te nie opuszczają urządzenia, są niezbędne do działania funkcji, o które prosi odwiedzający, i nie wymagają zgody (art. 399 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej).
2. Serwis korzysta z Google Search Console, które służy Administratorowi do monitorowania indeksacji strony i nie zapisuje cookies na urządzeniach odwiedzających.
3. Po zalogowaniu Aplikacja i Portal Rodzica zapisują w pamięci przeglądarki (localStorage) albo w pamięci aplikacji mobilnej na urządzeniu tokeny sesji (JWT i token odświeżania), które są niezbędne do utrzymania zalogowania. Nie służą one do celów analitycznych ani marketingowych i są usuwane przy wylogowaniu.
4. Aplikacja nie korzysta z narzędzi analitycznych ani reklamowych podmiotów trzecich. Aplikacja mobilna wysyła raporty awarii i błędów oraz – jeżeli użytkownik zezwoli na powiadomienia w ustawieniach urządzenia – rejestruje token do powiadomień push (pkt 5). Zgodę na powiadomienia można w każdej chwili wycofać w ustawieniach urządzenia.

10. Zmiany Polityki prywatności

1. Administrator może zmienić Politykę, w szczególności po zarejestrowaniu działalności gospodarczej, zmianie dostawców lub uruchomieniu nowych funkcji. O istotnych zmianach Kluby zostaną poinformowane za pośrednictwem Aplikacji lub e-mailem, a Opiekunowie – w Portalu Rodzica. Aktualna wersja jest zawsze dostępna na stronie athlety.pl.