Polityka Prywatności

Niniejsze tłumaczenie ma charakter wyłącznie informacyjny. W przypadku rozbieżności obowiązuje wersja angielska.

Niniejsza Polityka Prywatności wyjaśnia, w jaki sposób SyzUp („my”, „nas”, „nasze”, „aplikacja”) zbiera, wykorzystuje, przechowuje i chroni dane osobowe użytkowników. SyzUp jest prowadzony przez Syzygy Axon LLC, spółkę zarejestrowaną w stanie Wyoming w USA, i obsługuje użytkowników na całym świecie. Polityka obowiązuje niezależnie od miejsca, z którego korzysta się z aplikacji.

Korzystanie z SyzUp oznacza potwierdzenie zapoznania się z niniejszą Polityką Prywatności i jej zrozumienia. W razie braku zgody z jej treścią nie należy korzystać z aplikacji.

1. Administrator danych

Dla celów RODO administratorem danych jest Syzygy Axon LLC, z którą można skontaktować się pod powyższym adresem e-mail.

2. Jakie dane zbieramy

2.1 Dane konta

• Adres e-mail oraz — przy logowaniu hasłem — hasło (przechowywane wyłącznie przez Firebase Authentication w postaci skrótu; nie mamy do niego wglądu)
• Identyfikator konta nadawany przez aplikację
• Nazwa wyświetlana (pseudonim), motto i awatar profilu (jeśli został przesłany)
• Potwierdzenie tożsamości i adres e-mail przekazywane przez logowanie Google lub Apple
• Data założenia konta i ostatniego logowania

2.2 Dane fitness i dane związane ze zdrowiem

• Sesje treningowe (ćwiczenia, serie, powtórzenia, podnoszony ciężar)
• Plany treningowe i preferencje, w tym okolice ciała, które plany mają oszczędzać
• Rekordy osobiste (PR)
• Wzrost, rok urodzenia, płeć i deklarowany poziom zaawansowania
• Historia masy ciała
• Postępy w ćwiczeniach, dane XP i poziomu
• Statystyki i historia treningów
• Szacunki regeneracji mięśni
• Własne ćwiczenia utworzone w aplikacji

Treningi, plany, własne ćwiczenia i wpisy masy ciała mają kopię zapasową na naszych serwerach, dzięki czemu przetrwają reinstalację aplikacji lub zmianę telefonu.

2.3 Dane o urządzeniu, diagnostyka i analityka

• Model urządzenia, wersja systemu operacyjnego, wersja i numer kompilacji aplikacji
• Kraj, miasto, język interfejsu i strefa czasowa (wpisane w profilu lub pobrane z ustawień urządzenia)
• Token powiadomień push (osobny dla każdego urządzenia)
• Raporty o awariach i dane wydajności (Firebase Crashlytics) — zbierane na podstawie prawnie uzasadnionego interesu, bez osobnej zgody
• Analityka produktowa (Firebase Analytics i Amplitude): otwierane ekrany, używane funkcje, metadane sesji i urządzenia oraz właściwości profilu, np. poziom, ranga, poziom zaawansowania, status subskrypcji i język. Zdarzenia są powiązane z identyfikatorem konta, więc nie są anonimowe. Wysyłane wyłącznie przy włączonej analityce (ekran zgód lub Ustawienia → Statystyki użycia)
• Przybliżona lokalizacja (kraj, region, miasto) wyprowadzana przez Google i Amplitude z adresu IP, z którego łączy się urządzenie. Aplikacja nie prosi o uprawnienie lokalizacji i nie zbiera danych GPS

2.4 Media i treści użytkowników

• Zdjęcia profilowe (aparat lub galeria)
• Nagrania rekordów osobistych do Areny (opcjonalnie)
• Posty i komentarze w feedzie społecznościowym
• Wiadomości między użytkownikami, jeśli czat jest włączony w danej wersji aplikacji

2.5 Dane społecznościowe

• Relacje obserwowania (obserwujący/obserwowani) i zablokowani użytkownicy
• Interakcje z publicznymi profilami (polubienia, komentarze)

2.6 Dane moderacyjne i bezpieczeństwa

Aby zapewnić bezpieczeństwo usługi, przetwarzamy dane moderacyjne na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO):

• Zgłoszenia dotyczące treści lub innych użytkowników oraz zgłoszenia dotyczące treści danego użytkownika
• Decyzje moderacyjne dotyczące konta lub treści (ostrzeżenia, bany w Arenie)
• Logi bezpieczeństwa służące wykrywaniu nadużyć i zapobieganiu im, w tym adres IP i identyfikator przeglądarki/aplikacji (user agent)

2.7 Zakupy, polecenia i panel trenera

• Zakupy: status subskrypcji, zakupy jednorazowe (kosmetyki, ładunki Tarczy Ateny) oraz identyfikatory transakcji sklepu. Dane płatnicze obsługuje Google Play; nie mamy do nich dostępu.
• Program poleceń: użyty kod polecający, data i przyznana korzyść, a w przypadku partnerów — zapisy prowizji. Aby darmowy miesiąc nie był pobierany wielokrotnie z jednego telefonu, przechowujemy skrót SHA-256 identyfikatora urządzenia; surowy identyfikator nie opuszcza urządzenia.
• Panel trenera: po przyjęciu zaproszenia od trenera trener widzi historię treningów oraz masę ciała, wzrost, rok urodzenia, płeć i poziom zaawansowania, a także może zapisywać pomiary (w tym szacunki tkanki tłuszczowej, obwody i zdjęcia), cele, check-iny, sesje i notatki. Ekran zaproszenia wyświetla ten zakres przed akceptacją. Współpracę można zakończyć w każdej chwili; wszystko, co trener zapisał, jest wtedy natychmiast usuwane.

2.8 Strona internetowa

Strona syzup.app mierzy wyświetlenia stron, kliknięcia przycisków (w tym czas od otwarcia strony do kliknięcia przycisku sklepu), głębokość przewinięcia strony, otwierane pytania FAQ i zmiany języka. To anonimowe liczniki: nie zapisujemy adresu IP, identyfikatora urządzenia ani żadnej innej informacji pozwalającej zidentyfikować osobę, a sam pomiar nie używa plików cookie. Przeglądarka wysyłająca sygnał Global Privacy Control nie jest mierzona wcale.

Strona zapisuje jeden plik cookie, syzup-lang, który przez rok pamięta wybrany język i zawiera wyłącznie kod języka. Jeśli język nie został wybrany, strona dobiera go na podstawie ustawień języka przeglądarki, a gdy to nie wystarcza — na podstawie kraju, z którego przychodzi żądanie; kraj służy tylko tej jednej decyzji i nie jest zapisywany.

3. Podstawy prawne przetwarzania

W przypadku użytkowników z Europejskiego Obszaru Gospodarczego (EOG), Wielkiej Brytanii i Szwajcarii przetwarzamy dane na podstawie RODO:

W przypadku użytkowników spoza EOG przetwarzamy dane zgodnie z niniejszą polityką i obowiązującymi przepisami lokalnymi.

4. Jak wykorzystujemy dane

4.1 Statystyki zbiorcze

Obliczamy statystyki zbiorcze z danych użytkowników — na przykład pozycje i percentyle w rankingach czy średnie wyniki w ćwiczeniach. Publikowane statystyki nie ujawniają o nikim więcej, niż rankingi pokazują już zalogowanym użytkownikom.

SyzUp nie zawiera reklam. Nie wykorzystujemy danych fitness, historii treningów ani pomiarów ciała do celów reklamowych, nie udostępniamy danych sieciom reklamowym, a aplikacja nie korzysta z identyfikatora reklamowego urządzenia.

5. Treści użytkowników

Przesłanie do SyzUp nagrań rekordów lub innych mediów oznacza udzielenie licencji opisanej w Regulaminie, wyłącznie w celu wyświetlania treści w aplikacji. Nie wykorzystujemy nagrań, zdjęć ani postów do trenowania modeli uczenia maszynowego.

Nigdy nie wykorzystamy nagrań, zdjęć ani innych mediów pozwalających zidentyfikować osobę w materiałach marketingowych, nie sprzedamy ich osobom trzecim ani nie udostępnimy poza SyzUp bez wyraźnej, odrębnej zgody.

6. Usługi podmiotów trzecich

Każdy z poniższych dostawców przetwarza dane na nasze polecenie na podstawie umowy powierzenia, a wszyscy przetwarzają dane w Stanach Zjednoczonych.

Google i Apple działają we własnym imieniu przy logowaniu za ich pośrednictwem i przy zakupach w ich sklepach, zgodnie z własnymi politykami prywatności. Stronę internetową hostuje Cloudflare.

7. Przechowywanie danych i bezpieczeństwo

Podstawowe miejsce przechowywania danych: Google Cloud, Stany Zjednoczone (Firestore nam5, Cloud Storage US, Cloud Functions us-central1).

• Reguły bezpieczeństwa Firebase — dostęp ograniczony do właścicieli danych
• Firebase App Check — ochrona przed nieautoryzowanym dostępem do API
• Szyfrowana (AES) pamięć lokalna (Hive z kluczami w systemowym magazynie kluczy)
• Limity żądań i logi bezpieczeństwa po stronie serwera
• HTTPS/TLS dla całej komunikacji sieciowej
• Brak przechowywania haseł w postaci jawnej

Przekazywanie danych poza EOG

Wszyscy dostawcy z sekcji 6 przetwarzają dane w Stanach Zjednoczonych. W przypadku użytkowników z EOG, Wielkiej Brytanii i Szwajcarii podstawą przekazania są standardowe klauzule umowne Komisji Europejskiej zawarte w umowach powierzenia z dostawcami (z aneksem brytyjskim i wariantem szwajcarskim, gdzie mają zastosowanie) oraz — u dostawców posiadających certyfikację — EU–US Data Privacy Framework. Dane są szyfrowane w tranzycie i w spoczynku, a każdy dostawca otrzymuje tylko to, co wymienia sekcja 6. Kopia zabezpieczeń jest dostępna na wniosek.

8. Okresy przechowywania danych

9. Udostępnianie danych

Nie sprzedajemy danych osobowych. Nie udostępniamy danych osobowych podmiotom trzecim do ich własnych celów marketingowych.

• Inni użytkownicy: pseudonim, awatar, ranga, kraj, płeć, zatwierdzone rekordy Areny z nagraniami, posty i komentarze są widoczne dla każdego zalogowanego użytkownika. Rankingi obejmują wszystkich użytkowników i udziału w nich nie da się wyłączyć; tryb prywatności lite ukrywa szczegółowe statystyki treningowe.
• Trener: wyłącznie po przyjęciu zaproszenia i wyłącznie w zakresie opisanym w sekcji 2.7.
• Dostawcy usług: podmioty przetwarzające z sekcji 6, wyłącznie w celu świadczenia usługi, na podstawie umów powierzenia.
• Wymogi prawne: jeśli wymagają tego przepisy, postępowanie prawne lub żądanie organu publicznego.

10. Prawa użytkowników

10.1 Wszyscy użytkownicy

Niezależnie od miejsca zamieszkania można:

• Przeglądać swoje dane osobowe w aplikacji
• Pobrać kopię danych konta (Ustawienia → Eksport danych; link przychodzi e-mailem). Plik obejmuje profil, posty, komentarze, polubienia, obserwowania, blokady, rekordy Areny, zgłoszenia i historię subskrypcji; treningi, plany i historia masy ciała są dostępne w aplikacji, a na wniosek — e-mailem
• Poprawiać dane profilu w dowolnym momencie
• Usunąć konto wraz ze wszystkimi powiązanymi danymi (Ustawienia → Usuń konto)
• Wyłączyć analitykę (Ustawienia → Statystyki użycia) i powiadomienia push w ustawieniach
• Ukryć szczegółowe statystyki w trybie prywatności lite
• Skontaktować się z nami w dowolnej sprawie dotyczącej danych

10.2 Europejski Obszar Gospodarczy, Wielka Brytania i Szwajcaria (RODO)

Dodatkowo przysługuje prawo do:

• Dostępu (art. 15): żądania pełnej kopii danych osobowych.
• Sprostowania (art. 16): poprawienia nieprawidłowych danych.
• Usunięcia (art. 17): żądania całkowitego usunięcia danych.
• Ograniczenia (art. 18): ograniczenia przetwarzania w określonych przypadkach.
• Przenoszenia (art. 20): otrzymania danych w formacie nadającym się do odczytu maszynowego.
• Sprzeciwu (art. 21): wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.
• Wycofania zgody (art. 7 ust. 3): w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania.

10.3 Mieszkańcy Kalifornii (CCPA/CPRA)

Mieszkańcom Kalifornii przysługują dodatkowe prawa na podstawie California Consumer Privacy Act (CCPA) i California Privacy Rights Act (CPRA):

• Prawo do informacji: jakie dane osobowe zbieramy, wykorzystujemy i ujawniamy.
• Prawo do usunięcia: żądania usunięcia danych osobowych.
• Prawo do sprzeciwu wobec sprzedaży: nie sprzedajemy danych osobowych i nie udostępniamy ich do reklamy behawioralnej.
• Prawo do niedyskryminacji: korzystanie z praw nie wiąże się z gorszym traktowaniem.
• Prawo do sprostowania: poprawienia nieprawidłowych danych osobowych.
• Prawo do ograniczenia wykorzystania danych wrażliwych: wykorzystanie danych fitness związanych ze zdrowiem można ograniczyć do tego, co niezbędne do świadczenia usługi.

Aby skorzystać z tych praw, należy skontaktować się z nami pod adresem e-mail z sekcji 1. Po weryfikacji tożsamości odpowiadamy w ciągu 45 dni.

Kategorie zbieranych danych osobowych (zgodnie z CCPA §1798.110): identyfikatory (e-mail, pseudonim, identyfikator konta, skrót urządzenia), dane związane ze zdrowiem (dane fitness, masa ciała, wzrost), informacje handlowe (zakupy), aktywność elektroniczna (analityka użycia, dane o awariach), przybliżona lokalizacja (kraj, region i miasto wyprowadzane z adresu IP oraz wpisane kraj i miasto) oraz informacje audiowizualne (zdjęcia profilowe, nagrania rekordów, zdjęcia pomiarów w panelu trenera).

10.4 Inne jurysdykcje

Mieszkańcom jurysdykcji z przepisami o ochronie danych (w tym m.in. brazylijskiej LGPD, kanadyjskiej PIPEDA, australijskiej Privacy Act, japońskiej APPI i południowokoreańskiej PIPA) na wniosek zapewniamy wykonanie przysługujących im praw. Kontakt: adres e-mail z sekcji 1.

11. Usunięcie konta

• W aplikacji: Ustawienia → Usuń konto (na dole ekranu)
• E-mailem: temat „Account Deletion Request”

Usunięcie w aplikacji następuje natychmiast; żądania wysłane e-mailem realizujemy w ciągu 30 dni. Usuwane są profil, treningi, plany, rekordy, nagrania, posty, komentarze, wiadomości, powiązania z trenerem i tokeny push. Zapisy wskazane w sekcji 8 jako zachowywane po usunięciu konta pozostają przez podane tam okresy.

Dane analityczne przechowywane już przez Google i Amplitude oraz raporty o awariach wygasają zgodnie z okresami z sekcji 8; nie wysyłamy do tych dostawców osobnych żądań usunięcia. Rekord klienta w RevenueCat zostaje odłączony od aplikacji i zachowany do celów rozliczeniowych. Usunięcie konta nie anuluje subskrypcji — subskrypcję anuluje się w Google Play.

12. Prywatność dzieci

SyzUp nie jest przeznaczony dla osób poniżej 16. roku życia (lub wieku zgody cyfrowej obowiązującego w danej jurysdykcji). Nie zbieramy świadomie danych dzieci. Po uzyskaniu informacji, że dziecko przekazało dane osobowe, niezwłocznie je usuwamy. Rodzice mogą zwrócić się do nas z żądaniem usunięcia danych.

13. Sygnał „Do Not Track”

SyzUp jest aplikacją mobilną i nie reaguje na przeglądarkowe sygnały „Do Not Track”. Zbieraniem danych w aplikacji steruje się ustawieniami opisanymi w niniejszej polityce (analityka, powiadomienia push, tryb prywatności).

14. Zmiany polityki

Przy istotnych zmianach aplikacja prosi o zapoznanie się z nową wersją i jej akceptację przed dalszym korzystaniem z SyzUp, a polityka podaje datę ostatniej aktualizacji. W razie braku akceptacji nowej wersji można zaprzestać korzystania z SyzUp i usunąć konto.

15. Kontakt

Staramy się odpowiadać na wszystkie wnioski w ciągu 30 dni (45 dni w przypadku wniosków na podstawie CCPA).