Wersja beta — szkic
Polityka prywatności Swimsy
Wersja beta-1 · obowiązuje od 27 kwietnia 2026 r.
Zastrzeżenie Niniejszy dokument jest wersją roboczą przygotowaną na potrzeby zamkniętej bety. Pełna polityka prywatności zostanie zweryfikowana przez kancelarię prawną przed uruchomieniem płatnej wersji platformy.
1. Administrator danych
Administratorem Twoich danych jest podmiot świadczący usługi platformy Swimsy. Z administratorem skontaktujesz się pisząc na rodo@swimsy.pl .
2. Kategorie przetwarzanych danych
- Dane konta: adres e-mail, hash hasła, imię, nazwisko, telefon, miasto, data urodzenia.
- Dane zatrudnienia (instruktorzy/koordynatorzy): certyfikaty, specjalizacje, dostępność, oferty.
- Dane uczestników (w tym małoletnich): imię, nazwisko, data urodzenia, poziom umiejętności, obecności, oceny postępu, opiekunowie prawni.
- Dane operacyjne: grupy, zapisy, harmonogramy, lekcje, makeup'y, umowy.
- Dane techniczne: identyfikatory sesji (JWT), tokeny odświeżania, logi audytu, identyfikatory żądań HTTP.
3. Cele i podstawy prawne
| Cel | Podstawa |
|---|---|
| Świadczenie usług platformy | art. 6 ust. 1 lit. b RODO (umowa) |
| Wystawianie dokumentów księgowych | art. 6 ust. 1 lit. c RODO (obowiązek prawny) |
| Zapewnienie bezpieczeństwa (logi audytu, anti-fraud) | art. 6 ust. 1 lit. f RODO (uzasadniony interes) |
| Komunikacja produktowa | art. 6 ust. 1 lit. a RODO (zgoda — opt-in) |
4. Okres przechowywania
- Dokumenty księgowe i umowy: 5 lat od końca roku obrotowego.
- Dane konta: do momentu jego usunięcia (anonimizacja, nie hard-delete).
- Logi audytu: 12 miesięcy.
- Tokeny odświeżania: 30 dni od wystawienia.
5. Odbiorcy danych (procesorzy)
Korzystamy z następujących podmiotów przetwarzających, każdy posiada zawartą umowę powierzenia przetwarzania (DPA):
- Supabase (PostgreSQL, hosting bazy danych) — region UE.
- Vercel (hosting frontu) — region UE.
- Google Cloud Run (hosting backendu) — region UE.
- Sentry (monitorowanie błędów) — region UE.
- Resend (transakcyjne wiadomości e-mail) — region UE / USA (DPF).
6. Twoje prawa
W każdej chwili możesz:
- uzyskać kopię swoich danych w formacie JSON (panel konta → „Twoje dane"),
- usunąć konto (anonimizacja danych osobowych przy zachowaniu zapisów ewidencyjnych),
- poprosić o sprostowanie danych (edycja profilu lub kontakt z RODO),
- cofnąć zgodę na komunikację produktową (link rezygnacji w każdej wiadomości),
- wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, Warszawa).
7. Bezpieczeństwo
- Szyfrowanie połączeń TLS 1.2+ na wszystkich endpointach.
- Hasła hashowane bcrypt (cost 12), nigdy w postaci jawnej.
- Sekrety TOTP szyfrowane AES-256-GCM, kody odzyskiwania hashowane bcrypt.
- Izolacja tenantów w bazie danych przez Postgres Row-Level Security.
- Codzienne backupy bazy + Point-in-Time Recovery.
8. Pliki cookie
Używamy wyłącznie plików cookie niezbędnych do działania serwisu (sesja, JWT, wybrana szkoła). Nie używamy cookies marketingowych ani analitycznych firm trzecich w okresie zamkniętej bety.
9. Kontakt RODO
We wszystkich sprawach związanych z ochroną danych osobowych prosimy o kontakt: rodo@swimsy.pl . Odpowiedź otrzymasz w ciągu 30 dni.