Polityka prywatności

1. Prywatność w skrócie

Poniższe informacje zawierają prosty przegląd tego, co dzieje się z Twoimi danymi osobowymi, gdy odwiedzasz tę stronę internetową lub korzystasz z aplikacji hitPR.

2. Podmiot odpowiedzialny

Podmiotem odpowiedzialnym za przetwarzanie danych na tej stronie internetowej i w aplikacji hitPR jest:

3. Hosting

Ta strona internetowa jest hostowana przez Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA). Cloudflare jest dostawcą CDN i bezpieczeństwa. Korzystanie opiera się na art. 6 ust. 1 lit. f RODO. Mamy uzasadniony interes w jak najbardziej niezawodnej prezentacji naszej strony internetowej. Z Cloudflare zawarto umowę o przetwarzanie danych (DPA). W tym celu Cloudflare przetwarza technicznie niezbędne dane połączenia (m.in. adres IP, datę/godzinę żądania, żądany zasób, user-agent) w celu dostarczenia i zabezpieczenia strony (art. 6 ust. 1 lit. f RODO). Dane te nie są łączone z innymi źródłami danych.

4. Analityka

Ta strona internetowa korzysta z Cloudflare Web Analytics, narzędzia analitycznego przyjaznego prywatności. Nie są ustawiane żadne pliki cookie i nie są przechowywane żadne dane osobowe. Zbierane są jedynie zagregowane metryki, takie jak odsłony stron, kraje odwiedzających, odsyłacz (referrer), typ przeglądarki/urządzenia oraz wartości wydajności (czasy ładowania). Przetwarzanie opiera się na art. 6 ust. 1 lit. f RODO.

5. Pliki cookie i pamięć lokalna

Ta strona internetowa nie zapisuje plików cookie i nie wykorzystuje technologii śledzących. Gdy aktywnie korzystasz z określonych funkcji, strona zapisuje ustawienia lokalnie w Twojej przeglądarce (localStorage): wybrany kolor akcentu oraz jednostkę wagi (kg/lbs) w narzędziach treningowych. Dane te pozostają wyłącznie na Twoim urządzeniu, nie są przekazywane nam ani podmiotom trzecim i możesz je w każdej chwili usunąć w ustawieniach przeglądarki. Przechowywanie to jest niezbędne do działania funkcji, której wyraźnie zażądałeś/aś (§ 25 ust. 2 pkt 2 niemieckiej ustawy TDDDG); baner zgody nie jest zatem wymagany.

Lista oczekujących (powiadomienie o premierze)

Gdy zapisujesz się na listę oczekujących na naszej stronie, przetwarzamy Twój adres e-mail oraz — jako dowód Twojej zgody (double opt-in) — moment zapisu i potwierdzenia wraz z użytym adresem IP. Jedynym celem jest jednorazowe powiadomienie Cię, gdy tylko aplikacja będzie dostępna. Podstawą prawną jest Twoja zgoda (art. 6 ust. 1 lit. a RODO), którą możesz w każdej chwili wycofać ze skutkiem na przyszłość — na przykład poprzez link do wypisania się w wiadomości e-mail lub dane kontaktowe podane powyżej w sekcji „Administrator”. Do przechowywania danych korzystamy z Supabase (Supabase Inc.); dane są przechowywane w centrum danych w UE (Frankfurt). Do wysyłki e-maila potwierdzającego i powiadamiającego korzystamy z Resend (Plus Five Five, Inc.); oba podmioty przetwarzają dane jako podmioty przetwarzające na nasze zlecenie. W zakresie, w jakim dane są przekazywane do USA — w szczególności przy wysyłce e-maila — opieramy się na standardowych klauzulach umownych UE. Niepotwierdzone zapisy usuwamy najpóźniej 30 dni po zapisie; potwierdzone wpisy usuwamy po wysłaniu powiadomienia o premierze lub gdy się wypiszesz. Formularz zapisu jest chroniony przed automatycznym nadużyciem przez Cloudflare Turnstile (Cloudflare, Inc.); przetwarzane są przy tym dane techniczne, takie jak Twój adres IP. Podstawą prawną jest nasz prawnie uzasadniony interes w zapobieganiu spamowi i automatycznym zapisom (art. 6 ust. 1 lit. f RODO).

6. Aplikacja hitPR — przetwarzanie danych

Aplikacja hitPR działa całkowicie offline (offline-first). Wszystkie dane treningowe (ćwiczenia, serie, wagi, rekordy osobiste) są przechowywane wyłącznie na Twoim urządzeniu. Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy). Żadne dane treningowe nie są przesyłane na serwery, chyba że aktywujesz kopię zapasową w chmurze. Konto nie jest wymagane.

Kopia zapasowa w chmurze (opcjonalna)

Jeśli dobrowolnie zarejestrujesz się na kopię zapasową w chmurze, Twoje dane treningowe będą przechowywane zaszyfrowane na serwerach Supabase (region UE Frankfurt). Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy). Możesz w dowolnym momencie usunąć swoje konto i wszystkie dane w chmurze. W przypadku danych dotyczących zdrowia (danych o ciele) dodatkowo obowiązuje art. 9 ust. 2 lit. a RODO (wyraźna zgoda, patrz „Dane dotyczące zdrowia“).

Logowanie i usługi firm trzecich

Podczas logowania przez Google Sign-In, Google udostępnia hitPR Twoje imię i adres e-mail. Nie ma udostępniania partnerom reklamowym ani profilowania. Anonimowe statystyki użycia i raporty awarii w aplikacji są opcjonalne i domyślnie wyłączone. Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy). Alternatywnie możliwa jest rejestracja i logowanie za pomocą adresu e-mail i hasła (podstawa prawna również Art. 6 ust. 1 lit. b RODO). Podczas rejestracji oraz resetowania hasła wysyłamy e-maile transakcyjne (np. linki potwierdzające i resetujące) za pośrednictwem naszego dostawcy poczty Resend (Plus Five Five, Inc., USA); przetwarzany jest przy tym Twój adres e-mail. Transfery do USA opierają się na Standardowych Klauzulach Umownych (SCC).

Raporty o awariach (Firebase Crashlytics)

Gdy włączysz raporty o awariach w aplikacji (opt-in, domyślnie wyłączone), w przypadku awarii do Google Firebase (Google Ireland Ltd.) wysyłane są następujące dane: identyfikator instalacji (pseudonimowy), model urządzenia, wersja systemu operacyjnego, adres IP (nieprzechowywany trwale przez Google) i logi błędów. Podstawa prawna: zgoda (art. 6 ust. 1 lit. a RODO). Zgodę można wycofać w dowolnym momencie w ustawieniach aplikacji. Dane są przechowywane przez 90 dni.

Dane związane ze zdrowiem (Art. 9 RODO)

Aplikacja przetwarza dane związane ze zdrowiem w rozumieniu Art. 9 RODO: wyniki treningowe (wagi, powtórzenia, dystanse), masa ciała, procent tkanki tłuszczowej i pomiary ciała. Te dane są przechowywane lokalnie na Twoim urządzeniu i przesyłane tylko w formie zaszyfrowanej, jeśli aktywujesz backup w chmurze (opcjonalnie). Podstawa prawna: wyraźna zgoda (Art. 9(2)(a) RODO). Żadne dane nie są udostępniane stronom trzecim.

Zdjęcia postępów

Zdjęcia postępów są przechowywane wyłącznie na Twoim urządzeniu i szyfrowane za pomocą AES-256-GCM. Klucz szyfrowania jest przechowywany w magazynie kluczy systemu operacyjnego (iOS Keychain / Android EncryptedSharedPreferences). Dane GPS i metadane urządzenia (EXIF) są usuwane przed zapisem. Zdjęcia nie są uwzględniane w backupie w chmurze i nigdy nie opuszczają Twojego urządzenia.

Zarządzanie subskrypcjami (RevenueCat)

Do zarządzania zakupami premium (subskrypcje i zakup jednorazowy) używamy RevenueCat, Inc. (USA). RevenueCat przetwarza potwierdzenia zakupu, status zakupu/subskrypcji i pseudonimowy identyfikator użytkownika. Żadne dane treningowe ani osobiste treści nie są udostępniane RevenueCat. Podstawa prawna: Art. 6(1)(b) RODO (wykonanie umowy). Transfer danych do USA opiera się na standardowych klauzulach umownych (SCC).

Funkcja feedbacku

Gdy korzystasz z funkcji feedbacku w aplikacji, Twoja wiadomość, pseudonimowy identyfikator urządzenia (UUID), informacje o urządzeniu i wersja aplikacji są przesyłane do Supabase (region UE Frankfurt). Identyfikator urządzenia służy wyłącznie do zapobiegania spamowi (limitowanie częstotliwości). Konto użytkownika nie jest wymagane. Podstawa prawna: uzasadniony interes w ulepszaniu produktu (art. 6 ust. 1 lit. f RODO). Opcjonalnie możesz podać adres e-mail, jeśli chcesz otrzymać odpowiedź na swoją opinię. Jest to dobrowolne; adres jest wykorzystywany wyłącznie do udzielenia odpowiedzi na Twoją wiadomość, nie jest udostępniany i jest usuwany najpóźniej po 12 miesiącach. Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a RODO), którą możesz wycofać w dowolnym momencie.

Anonimowe sygnały użytkowania

W celu ulepszenia aplikacji i katalogu programów zbieramy anonimowe, zagregowane sygnały użytkowania — np. które ekrany są otwierane, czy trening został rozpoczęty/zakończony, które programy katalogowe są importowane, a także ogólne ustawienia aplikacji (język, system jednostek, schemat kolorów). Nie są przesyłane żadne treści treningowe, dane o ciele ani dane osobowe, ani nie są tworzone profile behawioralne. Zdarzenia są wysyłane bez żadnego stałego identyfikatora urządzenia lub użytkownika, nie można ich połączyć w historię ani powiązać z osobą, są agregowane dziennie na naszej instancji Supabase (UE, Frankfurt) i usuwane najpóźniej po 12 miesiącach. Zbieranie odbywa się wyłącznie za wyraźną zgodą — można je włączyć podczas wprowadzenia lub w dowolnym momencie w ustawieniach (domyślnie: wyłączone). Adresy IP nie są przechowywane.

Sklepy z aplikacjami (Apple / Google)

Podczas pobierania i instalacji aplikacji za pośrednictwem Apple App Store lub Google Play Store operator danego sklepu zbiera własne dane (np. identyfikator użytkownika sklepu, moment pobrania, identyfikator urządzenia oraz, przy zakupach płatnych, dane płatnicze). Nie mamy wpływu na to przetwarzanie; odbywa się ono na wyłączną odpowiedzialność Apple Inc. lub Google LLC zgodnie z ich odpowiednimi politykami prywatności.

7. Czcionki

Ta strona internetowa używa czcionek hostowanych lokalnie (DM Sans, DM Mono). Nie ma połączenia z zewnętrznymi serwerami, takimi jak Google Fonts. Czcionki są ładowane bezpośrednio z naszego serwera.

8. Twoje prawa

Masz prawo w dowolnym momencie do:

• Dostępu do przechowywanych danych (art. 15 RODO)
• Sprostowania nieprawidłowych danych (art. 16 RODO)
• Usunięcia Twoich danych (art. 17 RODO)
• Ograniczenia przetwarzania (art. 18 RODO)
• Przenoszenia danych (art. 20 RODO)
• Sprzeciwu wobec przetwarzania (art. 21 RODO)
• Wycofania udzielonej zgody ze skutkiem na przyszłość (art. 7 ust. 3 RODO)

Skontaktuj się z nami pod adresem: [email protected]

Masz prawo złożyć skargę do właściwego organu nadzorczego: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, Niemcy (https://datenschutz.hessen.de).

9. Umowy o przetwarzanie danych

Zawarliśmy umowy o przetwarzanie danych (DPA) z naszymi dostawcami usług (Cloudflare, Supabase, Resend, Google Firebase, RevenueCat) w celu zapewnienia ochrony Twoich danych. Transfery do USA opierają się na EU-US Data Privacy Framework w przypadku Cloudflare i Google, z dodatkowym zabezpieczeniem w postaci Standardowych Klauzul Umownych (SCC); w przypadku Supabase, Resend i RevenueCat opierają się na Standardowych Klauzulach Umownych (SCC). Na żądanie udostępniamy kopię SCC.

10. Zautomatyzowane podejmowanie decyzji

Nie ma zautomatyzowanego podejmowania decyzji ani profilowania w rozumieniu art. 22 RODO. Sugestie treningowe i obliczone wartości w aplikacji (np. Training Max, szacowane 1RM) są ogólnymi szacunkami, a nie indywidualnymi rekomendacjami.

11. Minimalny wiek

Korzystanie z hitPR jest dozwolone od 16 roku życia (art. 8 RODO). Osoby poniżej 16 lat wymagają zgody rodzica lub opiekuna prawnego.

12. Zmiany

Zastrzegamy sobie prawo do aktualizacji niniejszej polityki prywatności w celu dostosowania do aktualnych wymogów prawnych. Aktualna wersja jest zawsze dostępna na tej stronie.