Wersja beta — szkic
Polityka prywatności Swimsy
Wersja beta-1 · obowiązuje od 27 kwietnia 2026 r.
1. Administrator danych
Administratorem Twoich danych jest Tomasz Lempart, osoba fizyczna prowadząca platformę Swimsy (działalność niezarejestrowana — bez NIP i REGON). Kontakt w sprawach danych osobowych: rodo@swimsy.pl . Adres korespondencyjny udostępnimy na żądanie wysłane na ten adres — a na stałe pojawi się tutaj wraz z rejestracją działalności.
Dane ucznia i jego opiekuna związane z zajęciami (imię i nazwisko, data urodzenia, terminy, obecność, notatki po zajęciach) administruje instruktor albo szkoła, która prowadzi zajęcia — to ten podmiot decyduje, po co i jak są wykorzystywane. Swimsy przechowuje je i obsługuje w imieniu administratora, na podstawie umowy powierzenia (art. 28 RODO). Ta umowa pozwala nam też tworzyć z nich anonimowe, zbiorcze statystyki korzystania z aplikacji — tylko po to, żeby ją ulepszać; statystyki nie wskazują żadnej osoby. W sprawach tych danych możesz pisać do prowadzącego zajęcia albo do nas — przekażemy wiadomość. Dane Twojego konta w aplikacji (adres e-mail, hasło, logowanie) administruje Tomasz Lempart.
2. Kategorie przetwarzanych danych
- Dane konta: adres e-mail, hash hasła, imię, nazwisko, telefon, miasto, data urodzenia.
- Dane zatrudnienia (instruktorzy/koordynatorzy): certyfikaty, specjalizacje, dostępność, oferty.
- Dane uczestników (w tym małoletnich): imię, nazwisko, data urodzenia, poziom umiejętności, obecności, oceny postępu, opiekunowie prawni.
- Dane operacyjne: grupy, zapisy, harmonogramy, lekcje, makeup'y, umowy.
- Dane techniczne: identyfikatory sesji (JWT), tokeny odświeżania, logi audytu, identyfikatory żądań HTTP.
3. Cele i podstawy prawne
| Cel | Podstawa |
|---|---|
| Świadczenie usług platformy | art. 6 ust. 1 lit. b RODO (umowa) |
| Wystawianie dokumentów księgowych | art. 6 ust. 1 lit. c RODO (obowiązek prawny) |
| Zapewnienie bezpieczeństwa (logi audytu, anti-fraud) | art. 6 ust. 1 lit. f RODO (uzasadniony interes) |
| Anonimowe statystyki korzystania z aplikacji (żeby ją ulepszać; nie wskazują żadnej osoby) | art. 6 ust. 1 lit. f RODO (uzasadniony interes) |
4. Okres przechowywania
- Dokumenty księgowe i umowy: 5 lat od końca roku obrotowego.
- Dane konta: do momentu jego usunięcia (anonimizacja, nie hard-delete).
- Sesje: token odświeżania wygasa po 30 dniach dla konta rodzinnego i po 7 dniach dla konta personelu; po wygaśnięciu przestaje działać.
- Logi bezpieczeństwa (logowania, zmiany ról, wnioski RODO, podpisy): po 12 miesiącach usuwamy z nich, kto działał, kogo wpis dotyczył, adres IP i przeglądarkę; sam zapis zdarzenia zostaje.
- Dziennik zdarzeń biznesowych (oferty, zapisy, obecności, odrabiania) i ślady przeglądania przez wsparcie: po 24 miesiącach (dwa sezony — okres rozliczeniowych reklamacji) usuwamy z nich te same dane; zostaje, co się zmieniło i kiedy.
- Nieudane próby zmian odrzucone przez serwer: usuwamy po 30 dniach.
- Powiadomienia: usuwamy po 12 miesiącach.
5. Odbiorcy danych (procesorzy)
Korzystamy z następujących podmiotów przetwarzających. Warunki powierzenia opieramy na regulaminach i klauzulach tych dostawców; dedykowane umowy powierzenia domykamy przed uruchomieniem wersji płatnej.
- Supabase (PostgreSQL, hosting bazy danych) — dane w regionie UE (Frankfurt, Niemcy); dostawca z USA, SCC.
- Vercel (hosting frontu) — USA (funkcje serwerowe w Waszyngtonie); transfer na podstawie standardowych klauzul umownych (SCC).
- Google Cloud Run (hosting backendu) — region UE (Belgia).
- Google Cloud Storage (kopie zapasowe bazy) — region UE (Belgia); codzienna kopia przechowywana 30 dni.
- dhosting.pl (skrzynki pocztowe @swimsy.pl — tu trafiają Twoje wiadomości do nas, także wnioski o dane i reklamacje) — Polska.
- Sentry (monitorowanie błędów) — dane w regionie UE (Niemcy); dostawca z USA, SCC.
- Resend (transakcyjne wiadomości e-mail) — wysyłka z regionu UE (Irlandia); dostawca z USA — standardowe klauzule umowne (SCC).
- Google (logowanie kontem Google, jeśli z niego korzystasz) — otrzymuje informację o próbie logowania; my otrzymujemy Twój adres e-mail i imię.
Powiadomienia push. Jeśli włączysz powiadomienia w przeglądarce, dostarcza je usługa powiadomień Twojej przeglądarki (np. Google, Apple lub Mozilla). Treść powiadomienia jest zaszyfrowana i ta usługa jej nie odczyta; widzi tylko, że do Twojego urządzenia coś przyszło, kiedy i jakiej wielkości. Powiadomienia możesz w każdej chwili wyłączyć w ustawieniach przeglądarki lub konta.
6. Twoje prawa
W każdej chwili możesz:
- uzyskać kopię swoich danych w formacie JSON (panel konta → „Twoje dane"),
- usunąć konto (anonimizacja danych osobowych przy zachowaniu zapisów ewidencyjnych),
- poprosić o sprostowanie danych (edycja profilu lub kontakt z RODO),
- wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, Warszawa).
7. Bezpieczeństwo
- Połączenia szyfrowane (HTTPS/TLS).
- Hasła hashowane bcrypt (cost 12), nigdy w postaci jawnej.
- Sekrety TOTP szyfrowane AES-256-GCM, kody odzyskiwania hashowane bcrypt.
- Izolacja tenantów w bazie danych przez Postgres Row-Level Security.
- Codzienna kopia zapasowa bazy, przechowywana 30 dni.
8. Pliki cookie
Używamy wyłącznie plików cookie niezbędnych do działania serwisu (sesja, JWT, wybrana szkoła). Nie używamy cookies marketingowych ani analitycznych firm trzecich w okresie zamkniętej bety.
9. Kontakt RODO
We wszystkich sprawach związanych z ochroną danych osobowych prosimy o kontakt: rodo@swimsy.pl . Odpowiedź otrzymasz w ciągu 30 dni.