Polityka prywatności

§ 1. Administrator danych osobowych

1. Administratorem danych osobowych przetwarzanych za pośrednictwem serwisu lapajaguara.pl (dalej: "Serwis"), w tym aplikacji mobilnej lapajaguara na systemy iOS i Android oraz panelu prowadzenia na stronie (dalej łącznie: "Aplikacja"), jest Bartosz Lewangowski, działający w sieci pod pseudonimem lapajaguara93 (dalej: "Administrator").
2. Kontakt z Administratorem w sprawach ochrony danych osobowych:
   • e-mail: kontakt@lapajaguara.pl
   • formularz kontaktowy: lapajaguara.pl/kontakt
3. Administrator przetwarza dane osobowe zgodnie z RODO oraz Ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych.
4. Jeżeli Podopiecznego prowadzi niezależny trener, działający we własnym imieniu i na własny rachunek, administratorem danych prowadzenia tego Podopiecznego (plany, posiłki, treningi, pomiary, wiadomości) jest ten trener, a Administrator przetwarza je w jego imieniu na podstawie umowy powierzenia zawartej w Regulaminie (§ 12). Administratorem danych konta pozostaje Administrator. W sprawach danych prowadzenia można kontaktować się z trenerem lub z Administratorem, który przekaże żądanie trenerowi.

§ 2. Zakres przetwarzanych danych

Administrator przetwarza następujące kategorie danych osobowych:

2.1. Dane podawane dobrowolnie przez Użytkownika

• Formularz kontaktowy: adres e-mail, imię lub nick (opcjonalnie), temat/kategoria wiadomości, treść wiadomości oraz dane zawarte w treści wiadomości.
• Korespondencja bezpośrednia: dane przekazywane w wiadomościach e-mail lub przez profile w Platformach zewnętrznych (Twitch, Kick, TikTok, Instagram, Discord itd.).

2.2. Dane zbierane automatycznie

• adres IP urządzenia,
• rodzaj i wersja przeglądarki internetowej,
• system operacyjny urządzenia,
• data i godzina wizyty,
• adresy URL odwiedzanych podstron oraz adres strony odsyłającej (referer),
• dane zapisywane w plikach cookies (szczegóły w Polityce Cookies).

2.3. Dane osób prezentowanych w galerii przemian

W podstronie "Przemiany" publikowane są zdjęcia "przed i po" oraz wybrane dane metryczne osób, które korzystały z usług treningowych Administratora. Publikacja odbywa się wyłącznie za ich uprzednią, wyraźną i dobrowolną zgodą (patrz § 8).

2.4. Konto w Aplikacji i prowadzenie

• Dane konta: login (nazwa użytkownika), imię lub opis nadany przez trenera, hasło (przechowywane wyłącznie w postaci skrótu kryptograficznego, bez możliwości odczytania), zdjęcie profilowe (jeśli dodane), płeć (wybiera sylwetkę mapy mięśni), ustawienia powiadomień, własne godziny posiłków i treningów.

• Dane prowadzenia treningowego i żywieniowego: wzrost, rok urodzenia, masa ciała i masa docelowa, cel, obwody ciała, plany żywieniowe i treningowe, zjedzone i wybrane posiłki, jedzenie spoza planu (produkt, ilość lub porcja, wartości odżywcze), wypita woda, wykonane serie, czasy i przerwy treningów, odpowiedzi na prośby trenera (np. pomiary, samopoczucie), uwagi trenera oraz wiadomości wymieniane z trenerem.

• Dane o zdrowiu i sylwetce (masa ciała, obwody, tętno z treningu, sen, tętno spoczynkowe, treningi z zegarka, posiłki, wyniki treningów i odpowiedzi dla trenera) stanowią szczególną kategorię danych (art. 9 RODO) i są przetwarzane wyłącznie na podstawie wyraźnej zgody Użytkownika, udzielanej w Aplikacji.

• Zgody: rodzaj i wersja zaakceptowanego dokumentu lub zgody, data oraz platforma, na której ją udzielono.

• Dane urządzenia i bezpieczeństwa: nazwa i system urządzenia, na którym Użytkownik jest zalogowany, token do wysyłania powiadomień push, daty logowań oraz wpisy dziennika bezpieczeństwa (np. logowanie, zmiana hasła, zlecenie usunięcia konta) wraz z adresem IP.

• Ranking tygodnia (dobrowolny): pseudonim wybrany przez Użytkownika przy dołączeniu oraz punkty za dany tydzień, liczone z danych prowadzenia (ukończone treningi i serie, zjedzone posiłki, wykonane nawyki, wysłane raporty tygodniowe, pobite rekordy). Masa ciała i pomiary nie wpływają na punkty i nie są pokazywane.

• Zdjęcia potraw: zdjęcia dodane przez trenera do przepisów z jego biblioteki.

• Zgłoszone produkty (dobrowolne): nazwa, marka, kod kreskowy, wartości odżywcze, opakowanie i porcja produktu zgłoszonego do bazy produktów lapajaguara oraz informacja, kto go zgłosił (widoczna tylko dla administratora). Zatwierdzony produkt jest dostępny dla wszystkich Użytkowników bez informacji o zgłaszającym.

• Dane z urządzeń (dobrowolne): jeśli Podopieczny połączy zegarek lub telefon przez Health Connect (Android) albo Zdrowie (iPhone), aplikacja odczytuje z ostatnich 7 dni: liczbę kroków, czas snu, tętno spoczynkowe, aktywne kalorie, masę ciała, procent tkanki tłuszczowej oraz treningi zapisane przez zegarek lub inne aplikacje (rodzaj, czas, dystans, tętno, kalorie, nazwa aplikacji). Dane te trafiają do Serwisu i są widoczne dla trenera; kroki zapisują się też w nawyku „Kroki”. Masa ciała jest tylko podpowiadana w formularzu pomiarów i trafia do Serwisu dopiero po jego wysłaniu. Jeśli Podopieczny połączy opaskę tętna lub czujniki rowerowe przez Bluetooth, aplikacja odczytuje je w czasie treningu, a do Serwisu trafia tylko podsumowanie treningu (średnie i maksymalne tętno, czas w pięciu strefach, średnia i maksymalna moc oraz kadencja). Aplikacja niczego nie zapisuje w Health Connect ani w Zdrowiu. Połączenie można w każdej chwili odłączyć w aplikacji, razem z usunięciem przesłanych danych, a dostęp odebrać w ustawieniach telefonu.

Przypomnienia o posiłkach i treningach planowane są lokalnie na urządzeniu Użytkownika. Aparat i galeria zdjęć są używane wyłącznie wtedy, gdy trener doda zdjęcie potrawy do przepisu albo gdy Użytkownik zeskanuje kod kreskowy produktu. Przy skanowaniu obraz z aparatu nie jest zapisywany ani wysyłany – do serwera trafia tylko odczytany numer kodu. Bluetooth służy wyłącznie do połączenia z opaską tętna i czujnikami rowerowymi. Na Androidzie 11 i starszym system wymaga do wyszukania tych urządzeń zgody na lokalizację, ale samo wyszukiwanie urządzeń Bluetooth nie odczytuje położenia. Opcjonalny pomiar aktywności GPS opisano poniżej. Aplikacja nie korzysta z kontaktów, nie zawiera reklam ani narzędzi śledzących. Dane z Health Connect i Zdrowia nie są sprzedawane, przekazywane reklamodawcom ani używane do reklam.

Dodatkowe aktywności i GPS (dobrowolne): Podopieczny może zapisać aktywność poza planem wraz z czasem aktywnym, całym czasem pobytu, dystansem, podaną przez siebie kaloryką, ćwiczeniami, wykonanymi seriami i uwagami. Po wybraniu pomiaru GPS aplikacja prosi o systemową zgodę na lokalizację; pomiar po wygaszeniu ekranu wymaga dodatkowej zgody na lokalizację w tle. Pomiar dotyczy wyłącznie aktywności uruchomionej przez Użytkownika i zatrzymuje się po pauzie, zakończeniu, odrzuceniu zapisu lub wylogowaniu. Aplikacja przechowuje na urządzeniu tylko ostatni punkt potrzebny do obliczenia kolejnego odcinka, łączny dystans i liczbę przerw w sygnale, a nie historię trasy. Punkt jest usuwany przy pauzie lub zakończeniu pomiaru. Do Serwisu i trenera trafiają wyłącznie podsumowania aktywności i serie, bez współrzędnych i trasy. Można wybrać sam stoper, nie udzielić zgody lub odebrać ją w ustawieniach telefonu. Zapis dodatkowej aktywności nie oznacza ukończenia treningu z planu; Użytkownik może usunąć go w historii aktywności.

Podanie danych w formularzu kontaktowym jest dobrowolne, lecz niezbędne do udzielenia odpowiedzi. Podanie danych konta i danych prowadzenia jest dobrowolne, lecz niezbędne do korzystania z Aplikacji.

§ 3. Cele i podstawy prawne przetwarzania

Dane osobowe są przetwarzane w następujących celach i na następujących podstawach:

Cel przetwarzania	Podstawa prawna (RODO)
Udzielenie odpowiedzi na wiadomość z formularza kontaktowego oraz prowadzenie korespondencji	Art. 6 ust. 1 lit. a (zgoda wyrażona przez przesłanie wiadomości) oraz art. 6 ust. 1 lit. f (prawnie uzasadniony interes Administratora polegający na prowadzeniu korespondencji)
Zapewnienie prawidłowego i bezpiecznego działania Serwisu, ochrona przed nadużyciami, analiza logów serwera	Art. 6 ust. 1 lit. f - prawnie uzasadniony interes Administratora
Ustalenie, dochodzenie lub obrona przed roszczeniami	Art. 6 ust. 1 lit. f - prawnie uzasadniony interes Administratora
Założenie i prowadzenie konta w Aplikacji, prowadzenie treningowe i żywieniowe, wiadomości z trenerem	Art. 6 ust. 1 lit. b - wykonanie umowy (regulaminu)
Przetwarzanie danych o zdrowiu i sylwetce w ramach prowadzenia	Art. 9 ust. 2 lit. a - wyraźna zgoda, którą można wycofać w zakładce Konto
Powiadomienia push o planie, prośbach trenera i wiadomościach	Art. 6 ust. 1 lit. b - wykonanie umowy; każdą kategorię można wyłączyć w Aplikacji lub w ustawieniach telefonu
Bezpieczeństwo konta: dziennik logowań, ochrona przed zgadywaniem hasła	Art. 6 ust. 1 lit. f - prawnie uzasadniony interes Administratora
Baza produktów: sprawdzenie zgłoszonego produktu i ochrona przed nadużyciami (powiązanie zgłoszenia z kontem zgłaszającego)	Art. 6 ust. 1 lit. f - prawnie uzasadniony interes Administratora polegający na utrzymaniu rzetelnej bazy produktów
Ranking tygodnia: pokazanie pseudonimu i punktów innym uczestnikom	Art. 6 ust. 1 lit. a - zgoda wyrażona przez dołączenie do rankingu; można ją wycofać, wypisując się z rankingu w Aplikacji
Publikacja wizerunku i danych podopiecznych w galerii przemian	Art. 6 ust. 1 lit. a (zgoda) oraz art. 81 ust. 1 ustawy o prawie autorskim i prawach pokrewnych
Wypełnienie obowiązków wynikających z przepisów prawa	Art. 6 ust. 1 lit. c

§ 4. Okres przechowywania danych

1. Dane z formularza kontaktowego - przez okres niezbędny do prowadzenia korespondencji, nie dłużej niż 24 miesiące od ostatniego kontaktu, chyba że dłuższy okres jest niezbędny dla celów dowodowych lub ustalenia, dochodzenia albo obrony przed roszczeniami.
2. Dane z logów serwera (dane techniczne) - do 12 miesięcy.
3. Pliki cookies - zgodnie z okresem ważności każdego pliku (szczegóły w Polityce Cookies), maksymalnie 12 miesięcy.
4. Dane z galerii przemian - do czasu cofnięcia zgody przez osobę, której dane dotyczą. Po cofnięciu zgody materiały są bezzwłocznie usuwane.
5. Dane przetwarzane w celu ustalenia, dochodzenia lub obrony przed roszczeniami - przez okres przedawnienia tych roszczeń zgodnie z przepisami prawa.
6. Dane konta i dane prowadzenia (w tym plany, posiłki, treningi, pomiary i wiadomości z trenerem) - do czasu usunięcia konta albo usunięcia profilu prowadzenia przez trenera po zakończeniu współpracy. Użytkownik może w każdej chwili zlecić usunięcie konta w Aplikacji lub na stronie (Konto → Usuń konto), potwierdzając je hasłem. Przez 30 dni od zlecenia konto działa jak dotąd i usunięcie można anulować. Po tym czasie konto oraz dane prowadzenia są trwale usuwane. Trener prowadzący Użytkownika widzi datę planowanego usunięcia.
7. Sesje i tokeny powiadomień - do wylogowania, wygaśnięcia sesji lub usunięcia konta.
8. Dziennik bezpieczeństwa - przez okres niezbędny do ochrony konta; po usunięciu konta wpisy są odłączane od Użytkownika.
9. Kopie zapasowe bazy danych - dane usunięte z Aplikacji mogą przez ograniczony czas pozostawać w kopiach zapasowych, które służą wyłącznie odtworzeniu Serwisu po awarii, i znikają z nich wraz z usuwaniem starszych kopii.
10. Pseudonim w rankingu tygodnia - do wypisania się z rankingu albo usunięcia konta. Punkty nie są przechowywane osobno: są liczone na bieżąco z danych prowadzenia.
11. Zgłoszone produkty - powiązanie zgłoszenia z kontem do usunięcia konta; sam produkt (bez danych osobowych) może pozostać w bazie produktów.

Po upływie wskazanych okresów dane są trwale usuwane lub anonimizowane.

§ 5. Prawa Użytkownika

W związku z przetwarzaniem danych osobowych Użytkownikowi przysługują następujące prawa:

1. Prawo dostępu (art. 15 RODO) - prawo uzyskania informacji o tym, jakie dane są przetwarzane oraz prawo do otrzymania ich kopii.
2. Prawo do sprostowania (art. 16 RODO) - prawo do poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.
3. Prawo do usunięcia (art. 17 RODO) - "prawo do bycia zapomnianym", w zakresie określonym w RODO. Konto wraz z jego danymi można usunąć samodzielnie w Aplikacji lub na stronie (Konto → Usuń konto), z 30 dniami na anulowanie (szczegóły w § 4).
4. Prawo do ograniczenia przetwarzania (art. 18 RODO) - prawo do żądania wstrzymania przetwarzania w określonych przypadkach.
5. Prawo do przenoszenia danych (art. 20 RODO) - prawo do otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego.
6. Prawo do sprzeciwu (art. 21 RODO) - prawo do wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora.
7. Prawo do cofnięcia zgody - w przypadku przetwarzania opartego na zgodzie, prawo do jej cofnięcia w dowolnym momencie. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem. Zgodę na przetwarzanie danych o zdrowiu i sylwetce można wycofać w zakładce Konto; bez niej prowadzenie w Aplikacji nie jest możliwe.
8. Prawo do skargi - prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl), jeżeli Użytkownik uzna, że przetwarzanie jego danych narusza przepisy RODO.

Realizacja praw: pod adresem e-mail kontakt@lapajaguara.pl lub poprzez formularz kontaktowy. Administrator odpowiada na żądania zwykle w terminie 30 dni.

§ 6. Odbiorcy danych

1. Dane osobowe Użytkowników mogą być udostępniane następującym kategoriom odbiorców:
   • dostawcy usług hostingowych i infrastruktury informatycznej (m.in. Vercel Inc. - hosting aplikacji, Neon Inc. - baza danych),
   • dostawcy usług poczty elektronicznej (obsługa skrzynki kontaktowej),
   • dostawcy usług powiadomień push: Expo (650 Industries, Inc.) - przekazanie powiadomienia do telefonu, Apple Inc. (Apple Push Notification service) oraz Google LLC (Firebase Cloud Messaging) - dostarczenie go na urządzenie; powiadomienie zawiera tytuł i krótką treść (np. początek wiadomości od trenera lub podsumowanie odpowiedzi); podgląd treści na zablokowanym ekranie można wyłączyć w ustawieniach telefonu,
   • Open Food Facts (otwarta baza produktów spożywczych) - przy wyszukiwaniu produktu lub skanowaniu kodu serwer Usługodawcy przesyła tam wyłącznie wpisaną nazwę albo numer kodu, bez danych pozwalających zidentyfikować Użytkownika,
   • inni uczestnicy rankingu tygodnia i trenerzy - wyłącznie pseudonim i punkty Użytkownika, który dołączył do rankingu,
   • trener prowadzący Użytkownika - w zakresie danych prowadzenia i wiadomości, wyłącznie w celu prowadzenia; niezależny trener jest administratorem tych danych (§ 1 ust. 4),
   • osoby upoważnione przez Administratora do obsługi Serwisu, zobowiązane do zachowania poufności,
   • organy państwowe i organy ścigania - wyłącznie w przypadkach, gdy obowiązek przekazania danych wynika z przepisów prawa.
2. Administrator nie sprzedaje danych osobowych Użytkowników oraz nie udostępnia ich podmiotom w celach marketingowych bez odrębnej zgody.

§ 7. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Niektórzy dostawcy usług informatycznych (m.in. Vercel Inc., Neon Inc., 650 Industries, Inc. (Expo), Apple Inc., Google LLC) mają siedzibę w Stanach Zjednoczonych.
2. Przekazanie danych do państwa trzeciego odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (SCC) oraz - w stosownych przypadkach - na podstawie decyzji wykonawczej Komisji Europejskiej w sprawie stwierdzenia odpowiedniego stopnia ochrony danych osobowych przez USA (EU-US Data Privacy Framework).
3. Kopię zabezpieczeń zastosowanych przy przekazaniu można uzyskać pod adresem kontakt@lapajaguara.pl.

§ 8. Galeria przemian - wizerunek i dane podopiecznych

1. Podstrona "Przemiany" prezentuje efekty współpracy treningowej z podopiecznymi Administratora w formie zdjęć "przed i po" oraz danych metrycznych (np. waga, obwody, czas trwania procesu).
2. Publikacja wizerunku i danych konkretnej osoby odbywa się wyłącznie za jej uprzednią, wyraźną i dobrowolną zgodą, udzieloną na podstawie:
   • art. 6 ust. 1 lit. a RODO (zgoda na przetwarzanie danych),
   • art. 81 ust. 1 Ustawy o prawie autorskim i prawach pokrewnych (zgoda na rozpowszechnianie wizerunku).
3. Dane identyfikujące (imię i nazwisko) nie są publikowane bez odrębnej zgody. Widoczne są wyłącznie pseudonimy lub nicki wybrane przez daną osobę, z zachowaniem anonimowości.
4. Osoba, której wizerunek lub dane są prezentowane, może cofnąć zgodę w każdej chwili - po otrzymaniu takiego żądania Administrator bezzwłocznie, nie później niż w terminie 14 dni, usuwa jej materiały z Serwisu.

§ 9. Treści osadzone z Platform zewnętrznych (Twitch, Kick, TikTok)

1. Podstrona "Na żywo" oraz inne podstrony Serwisu osadzają treści z zewnętrznych platform streamingowych i społecznościowych:
   • Twitch (Twitch Interactive, Inc.),
   • Kick (Kick Streaming Pty Ltd),
   • TikTok (TikTok Information Technologies UK Limited / ByteDance Ltd.).
2. Po załadowaniu treści osadzonej (odtwarzacza transmisji, widgetu czatu) odpowiednia platforma może samodzielnie zbierać dane o urządzeniu Użytkownika i jego aktywności, w tym ustawiać własne pliki cookies, zgodnie z jej polityką prywatności. Administrator Serwisu nie ma kontroli nad tym procesem.
3. Interakcja z czatem (wysłanie wiadomości) wymaga zalogowania do konta na danej platformie i podlega jej regulaminowi. Administrator Serwisu nie przetwarza danych Użytkownika związanych z taką interakcją na Platformie zewnętrznej.
4. Zachęcamy do zapoznania się z politykami prywatności Platform zewnętrznych:
   • Twitch: https://www.twitch.tv/p/pl-pl/legal/privacy-notice/
   • Kick: https://kick.com/privacy-policy
   • TikTok: https://www.tiktok.com/legal/privacy-policy

§ 10. Bezpieczeństwo danych

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne dla ochrony danych osobowych przed nieuprawnionym dostępem, utratą, zniszczeniem lub ujawnieniem, w tym:
   • szyfrowanie transmisji protokołem HTTPS (TLS),
   • uwierzytelnianie dostępu do panelu administracyjnego i Aplikacji, przechowywanie haseł wyłącznie w postaci skrótu kryptograficznego, ograniczenie liczby prób logowania,
   • przechowywanie danych logowania w Aplikacji w bezpiecznym magazynie systemu (Keychain / Keystore),
   • kopie zapasowe danych,
   • ograniczenie dostępu do danych wyłącznie do osób upoważnionych.
2. Dostęp do danych osobowych mają wyłącznie osoby upoważnione, zobowiązane do zachowania ich poufności.
3. Administrator nie stosuje profilowania ani zautomatyzowanego podejmowania decyzji wywołującego skutki prawne wobec Użytkowników.

§ 11. Pliki cookies

Szczegółowe informacje o wykorzystywanych plikach cookies znajdują się w odrębnej Polityce Cookies.

§ 12. Zmiany Polityki Prywatności

1. Administrator zastrzega prawo aktualizacji niniejszej Polityki Prywatności w razie zmiany zakresu, celu lub sposobu przetwarzania danych oraz w razie zmiany przepisów prawa.
2. Aktualna wersja Polityki wraz z numerem wersji i datą publikacji jest zawsze dostępna pod adresem lapajaguara.pl/prawne/polityka-prywatnosci.
3. O istotnych zmianach Administrator może poinformować Użytkowników poprzez komunikat w Serwisie. Po zmianie Polityki Aplikacja prosi o zapoznanie się z jej nową wersją.

§ 13. Kontakt

W sprawach dotyczących przetwarzania danych osobowych prosimy o kontakt:

• e-mail: kontakt@lapajaguara.pl
• formularz kontaktowy: lapajaguara.pl/kontakt