Wersja beta — szkic

Polityka prywatności Swimsy

Wersja beta-1 · obowiązuje od 27 kwietnia 2026 r.

Ostatnia zmiana: 7 listopada 2026 r. — listy z poradami w pierwszych dwóch tygodniach po założeniu konta instruktora

Zastrzeżenie Niniejszy dokument jest wersją roboczą przygotowaną na potrzeby zamkniętej bety. Pełna polityka prywatności zostanie zweryfikowana przez kancelarię prawną przed uruchomieniem płatnej wersji platformy.

1. Administrator danych

Administratorem Twoich danych jest Tomasz Lempart, osoba fizyczna prowadząca platformę Swimsy (działalność niezarejestrowana — bez NIP i REGON). Kontakt w sprawach danych osobowych: rodo@swimsy.pl . Adres korespondencyjny udostępnimy na żądanie wysłane na ten adres — a na stałe pojawi się tutaj wraz z rejestracją działalności.

Dane ucznia i jego opiekuna związane z zajęciami (imię i nazwisko, data urodzenia, terminy, obecność, notatki po zajęciach) administruje instruktor albo szkoła, która prowadzi zajęcia — to ten podmiot decyduje, po co i jak są wykorzystywane. Swimsy przechowuje je i obsługuje w imieniu administratora, na podstawie umowy powierzenia (art. 28 RODO). Ta umowa pozwala nam też tworzyć z nich anonimowe, zbiorcze statystyki korzystania z aplikacji — tylko po to, żeby ją ulepszać; statystyki nie wskazują żadnej osoby. W sprawach tych danych możesz pisać do prowadzącego zajęcia albo do nas — przekażemy wiadomość. Dane Twojego konta w aplikacji (adres e-mail, hasło, logowanie) administruje Tomasz Lempart.

2. Kategorie przetwarzanych danych

Dane konta: adres e-mail, hash hasła, imię, nazwisko, telefon, miasto, data urodzenia.
Skąd wiesz o Swimsy: jeśli instruktor przy zakładaniu konta odpowie na to nieobowiązkowe pytanie, zapisujemy wybraną odpowiedź z listy (np. „Od innego instruktora”) — tylko po to, żeby wiedzieć, skąd przychodzą nowi użytkownicy.
Zgłoszenie szkoły na pilotaż: jeśli szkoła wypełni formularz na stronie „Dla szkół”, dostajemy imię i nazwisko osoby kontaktowej, adres e-mail, nieobowiązkowo telefon, nazwę szkoły, miasto, przybliżoną liczbę uczniów i nieobowiązkową wiadomość. Zgłoszenie trafia jako jedna wiadomość e-mail na skrzynkę Swimsy; nie zakłada konta i nic nie wysyłamy na wpisany adres poza odpowiedzią na to zgłoszenie.
Dane zatrudnienia (instruktorzy/koordynatorzy): certyfikaty, specjalizacje, dostępność, oferty.
Dane uczestników (w tym małoletnich): imię, nazwisko, data urodzenia, poziom umiejętności, obecności, oceny postępu, opiekunowie prawni.
Dane operacyjne: grupy, zapisy, harmonogramy, lekcje, makeup'y, umowy.
Dane techniczne: identyfikatory sesji (JWT), tokeny odświeżania, logi audytu, identyfikatory żądań HTTP.

3. Cele i podstawy prawne

Cel	Podstawa
Świadczenie usług platformy	art. 6 ust. 1 lit. b RODO (umowa)
Wystawianie dokumentów księgowych	art. 6 ust. 1 lit. c RODO (obowiązek prawny)
Zapewnienie bezpieczeństwa (logi audytu, anti-fraud)	art. 6 ust. 1 lit. f RODO (uzasadniony interes)
Anonimowe statystyki korzystania z aplikacji (żeby ją ulepszać; nie wskazują żadnej osoby)	art. 6 ust. 1 lit. f RODO (uzasadniony interes)
Statystyki odwiedzin stron publicznych (ile osób odwiedza stronę główną, strony dla szkół i instruktorów, poradnik, opisy „Jak to działa”, cennik, dokumenty, logowanie i rejestrację, skąd przychodzą — także z jakiej kampanii, gdy link ją oznacza — ile z tych odwiedzin kończy się założeniem konta instruktora i jak szybko te strony się u nich wczytują)	art. 6 ust. 1 lit. f RODO (uzasadniony interes)
Kilka listów z poradami, jak zacząć korzystać ze Swimsy, w pierwszych dwóch tygodniach po założeniu konta instruktora (najwyżej jeden dziennie, tylko na potwierdzony adres; w każdym liście link „Wypisz się”) — bez reklam i ofert	art. 6 ust. 1 lit. f RODO (uzasadniony interes)
Odpowiedź na zgłoszenie szkoły na pilotaż i rozmowa o pilotażu	art. 6 ust. 1 lit. f RODO (uzasadniony interes)

4. Okres przechowywania

Dokumenty księgowe i umowy: do 6 lat od końca roku obrotowego.
Dane konta: do momentu jego usunięcia (anonimizacja, nie hard-delete).
Sesje: token odświeżania wygasa po 30 dniach dla konta rodzinnego i po 7 dniach dla konta personelu; po wygaśnięciu przestaje działać.
Logi bezpieczeństwa (logowania, zmiany ról, wnioski RODO, podpisy): po 12 miesiącach usuwamy z nich, kto działał, kogo wpis dotyczył, adres IP i przeglądarkę; sam zapis zdarzenia zostaje.
Dziennik zdarzeń biznesowych (oferty, zapisy, obecności, odrabiania) i ślady przeglądania przez wsparcie: po 24 miesiącach (dwa sezony — okres rozliczeniowych reklamacji) usuwamy z nich te same dane; zostaje, co się zmieniło i kiedy.
Nieudane próby zmian odrzucone przez serwer: usuwamy po 30 dniach.
Zgłoszenie szkoły na pilotaż: do końca rozmowy o pilotażu, najwyżej 12 miesięcy od zgłoszenia; dłużej tylko wtedy, gdy zgłoszenie przejdzie w umowę — wtedy dane obsługuje ta umowa.
Powiadomienia: usuwamy po 12 miesiącach.
Zaproszenia do rodziny, z których nikt nie skorzystał (wygasłe lub anulowane), razem z adresem e-mail zaproszonej osoby: usuwamy po 30 dniach od wygaśnięcia lub anulowania.
Zaproszenia do współwłasności szkoły, na które nikt nie odpowiedział, razem z adresem e-mail zaproszonej osoby: usuwamy po 30 dniach od wygaśnięcia.
Akceptacja umowy powierzenia przez szkołę lub instruktora: adres IP i przeglądarkę, z których ją złożono, przechowujemy, dopóki umowa obowiązuje, i usuwamy 6 lat po odejściu szkoły lub instruktora ze Swimsy (ogólny termin przedawnienia roszczeń z umowy). Kto, którą wersję umowy i kiedy zaakceptował, zostaje.

5. Odbiorcy danych (procesorzy)

Korzystamy z następujących podmiotów przetwarzających. Warunki powierzenia opieramy na regulaminach i klauzulach tych dostawców; dedykowane umowy powierzenia domykamy przed uruchomieniem wersji płatnej.

Supabase (PostgreSQL, hosting bazy danych) — dane w regionie UE (Frankfurt, Niemcy); dostawca z USA, SCC.
Vercel (hosting frontu) — USA (funkcje serwerowe w Waszyngtonie); transfer na podstawie standardowych klauzul umownych (SCC).
Google Cloud Run (hosting backendu) — region UE (Belgia).
Google Cloud Storage (kopie zapasowe bazy) — region UE (Belgia); codzienna kopia przechowywana 30 dni.
dhosting.pl (skrzynki pocztowe @swimsy.pl — tu trafiają Twoje wiadomości do nas, także wnioski o dane i reklamacje) — Polska.
Sentry (monitorowanie błędów) — dane w regionie UE (Niemcy); dostawca z USA, SCC.
Umami (statystyki odwiedzin stron publicznych) — dane w regionie UE; dostawca z USA, SCC. Liczymy wyłącznie strony dostępne bez logowania, razem z czasem ich wczytywania, oznaczeniem kampanii z linku i tym, że z danej wizyty założono konto instruktora — bez wskazania, kto je założył; ekrany po zalogowaniu nie są wysyłane. Umami nie zapisuje plików cookie i nie przechowuje adresu IP w statystykach.
Resend (transakcyjne wiadomości e-mail) — wysyłka z regionu UE (Irlandia); dostawca z USA — standardowe klauzule umowne (SCC).
Google (logowanie kontem Google, jeśli z niego korzystasz) — otrzymuje informację o próbie logowania; my otrzymujemy Twój adres e-mail i imię.

Powiadomienia push. Jeśli włączysz powiadomienia w przeglądarce, dostarcza je usługa powiadomień Twojej przeglądarki (np. Google, Apple lub Mozilla). Treść powiadomienia jest zaszyfrowana i ta usługa jej nie odczyta; widzi tylko, że do Twojego urządzenia coś przyszło, kiedy i jakiej wielkości. Powiadomienia możesz w każdej chwili wyłączyć w ustawieniach przeglądarki lub konta.

6. Twoje prawa

W każdej chwili możesz:

uzyskać kopię swoich danych w formacie JSON (panel konta → „Twoje dane"),
usunąć konto (anonimizacja danych osobowych przy zachowaniu zapisów ewidencyjnych),
poprosić o sprostowanie danych (edycja profilu lub kontakt z RODO),
wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, Warszawa).

7. Bezpieczeństwo

Połączenia szyfrowane (HTTPS/TLS).
Hasła hashowane bcrypt (cost 12), nigdy w postaci jawnej.
Sekrety TOTP szyfrowane AES-256-GCM, kody odzyskiwania hashowane bcrypt.
Izolacja tenantów w bazie danych przez Postgres Row-Level Security.
Codzienna kopia zapasowa bazy, przechowywana 30 dni.

8. Pliki cookie

Używamy wyłącznie plików cookie niezbędnych do działania serwisu (sesja, JWT, wybrana szkoła). Nie używamy cookies marketingowych ani analitycznych. Odwiedziny stron publicznych liczymy narzędziem Umami, które działa bez plików cookie (punkt 5).

9. Kontakt RODO

We wszystkich sprawach związanych z ochroną danych osobowych prosimy o kontakt: rodo@swimsy.pl . Odpowiedź otrzymasz w ciągu 30 dni.