Polityka prywatności — Tempo

1. Administrator danych

Administratorem danych konta, treningowych i zdrowotnych przetwarzanych w usłudze Tempo jest MeetCreatives SZYMON ROŻEK, ul. Karola Lewakowskiego 1A lok. 27, 35-119 Rzeszów, Polska, NIP 8133870916, REGON 520660567. Kontakt w sprawach konta, wsparcia i prywatności: rozek1szymon@gmail.com.

Administrator jest wspólny dla wszystkich zespołów i treningów indywidualnych w Tempo. Nie trzeba wpisywać go osobno przy nowej drużynie lub podopiecznym. Moduł zdrowia służy monitorowaniu samopoczucia i obsłudze planowania treningów w wybranym przez zawodnika zespole lub u wskazanego trenera. Dostęp do tych danych mają wyłącznie osoby uprawnione w tym miejscu i objęte zgodą zawodnika.

Nazwę administratora Tempo, kontakt i aktualny skład uprawnionego sztabu zobaczysz przed udzieleniem zgody oraz w ustawieniach swojego konta. Każdy zespół i trening indywidualny nadal wymagają osobnej decyzji. Wspólny administrator nie daje trenerom ani kontu właściciela aplikacji dostępu do danych o zdrowiu wszystkich zawodników. Zmiana administratora lub zakresu informacji wymaga ponownej zgody.

Trener lub klub odpowiada za własne wykorzystanie otrzymanych danych, w tym prowadzenie odrębnej dokumentacji poza Tempo. Jeżeli wykorzystuje je do własnych celów, może mieć odrębne obowiązki administratora. Ta polityka nie zastępuje informacji, które powinien przekazać zawodnikowi w związku z takim wykorzystaniem.

2. Jakie dane przetwarzamy

Kategoria	Dane
Konto i wiek	Adres e-mail, imię i nazwisko (nazwa wyświetlana), nick, data utworzenia konta. Własna, zadeklarowana data urodzenia zawodnika lub opiekuna służy ustaleniu dostępu do modułu zdrowia: brak daty, 13–17 lat albo co najmniej 18 lat. Jest prywatna; nie pokazujemy jej zespołowi ani odbiorcy zaproszenia opiekuna. Nie weryfikujemy jej urzędowo.
Zgoda opiekuna	Id konta zawodnika i zespołu, adres e-mail podany do zaproszenia opiekuna, id konta zalogowanego odbiorcy po udzieleniu zgody, skrót kryptograficzny linku zaproszenia, daty zaproszenia, wygaśnięcia, wykorzystania, udzielenia i wycofania zgody oraz wersje informacji i dane administratora Tempo. Zapisujemy decyzję po potwierdzeniu pełnoletności i uprawnienia do działania jako rodzic lub opiekun prawny. Osobno zapisujemy dobrowolne pozwolenie opiekuna na opcjonalne załączniki zdrowotne: wersję informacji, zakres pozwolenia i datę decyzji. Pozwolenie ma dwa zakresy: pierwszy obejmuje własne pliki zawodnika widoczne tylko dla niego albo dla wskazanych przez niego osób; drugi także pliki widoczne dla całego sztabu z uprawnieniem do modułu zdrowia i pliki dodane przez sztab (w treningu indywidualnym — przez trenera). Rozszerzenie pozwolenia niczego nie usuwa. Zwykła zgoda na ankiety nie włącza dokumentów automatycznie. Cofnięcie pozwolenia usuwa tylko pliki, pozostawiając zwykłą historię zdrowotną objętą nadal ważną zgodą. Kod e-mail potwierdza dostęp do skrzynki; nie potwierdza pokrewieństwa ani opieki prawnej. Tempo nie zbiera dokumentów tożsamości lub opieki w tym procesie.
Logowanie i bezpieczeństwo	Jednorazowe kody logowania — dla zwykłych kont przechowujemy wyłącznie ich skrót kryptograficzny, liczbę prób i czas ważności. Liczniki dla adresu e-mail — ile kodów wysłano i ile było błędnych prób w bieżącej godzinie oraz kiedy wysłano ostatni kod. Liczniki nowych zaproszeń i zespołów utworzonych z konta w bieżącej dobie (do ograniczania nadużyć; usuwane razem z kontem). Sesje — skrót tokenu, rodzaj klienta (przeglądarka lub aplikacja), daty utworzenia, ostatniego użycia i wygaśnięcia. Adres IP — do ograniczania liczby prób logowania w pamięci usługi; nie dodajemy go do własnej telemetrii Application Insights.
Współpraca indywidualna i prywatne plany	Powiązanie trenera z pojedynczym podopiecznym po przyjęciu zaproszenia, osobna przestrzeń współpracy, prywatna biblioteka planów trenera. Kopia planu przenosi opis ćwiczeń i wskazówki, bez historii zawodnika. Nie umieszczaj nazwisk ani danych zdrowotnych w planach przeznaczonych do ponownego wykorzystania.
Zespoły	Przynależność do zespołów, rola (Sztab lub Zawodnik), samodzielnie wpisana funkcja, prawo zarządzania, oddzielne uprawnienie do modułu zdrowia, grupa, data dołączenia. Zaproszenia: nick lub adres e-mail odbiorcy, rola, proponowana funkcja, osoba zapraszająca, status i daty.
Treningi	Plany i przypisane treningi, wykonane serie (powtórzenia, ciężar, RIR, czas, dystans, notatki, linki do nagrań), rzeczywisty czas i RPE sesji, obciążenie (AU), dodatkowe sesje, potwierdzenia dnia i dni odpoczynku.
Samopoczucie i zdrowie	Ankieta (sen, wypoczęcie, bolesność mięśni, spokój i koncentracja, samopoczucie, gotowość), gotowość drużynowa, zgłoszenia bólu (okolica ciała, strona, natężenie przed, w trakcie i po treningu, notatka), odpowiedzi sztabu (z datą odpowiedzi) i zgłoszenia w kolejce sztabu „Wymaga uwagi”. Część tych informacji to dane dotyczące zdrowia (szczególna kategoria danych).
Prywatne załączniki zdrowotne	Opcjonalne zdjęcia urazów i wyniki badań (JPEG, PNG lub PDF), nazwa nadana plikowi, rozmiar, typ, skrót kontrolny, data dodania, osoba, która dodała plik (zawodnik albo członek sztabu), powiązanie z urazem albo zgłoszeniem bólu oraz wybór „Kto widzi” („Tylko ja”, „Wybrane” albo „Sztab”) z listą wskazanych osób. Plik dodaje zawodnik albo członek sztabu z uprawnieniem do modułu zdrowia, zawsze przy aktualnej zgodzie zawodnika (13–17 lat: także pozwoleniu opiekuna na pliki). Kto widzi pliki, opisuje punkt 4. Osoba zarządzająca zespołem nie otrzymuje ich automatycznie. Tempo nie interpretuje badań. W danych demonstracyjnych pliki są fikcyjne, a dodawanie nowych jest wyłączone. Podgląd na iPhonie korzysta z prywatnego pliku tymczasowego aplikacji; usuwamy go po zamknięciu podglądu, przejściu w tło, wylogowaniu i przy kolejnym uruchomieniu. Wybrana kopia do wysyłki jest usuwana po zakończeniu operacji. Oryginał wybrany przez Ciebie w Zdjęciach lub Plikach pozostaje w miejscu, z którego go wybrałeś.
Urazy i dyspozycyjność	Urazy zapisane przez sztab zespołu: nazwa urazu (np. „Skręcenie stawu skokowego”), okolica ciała i strona, data urazu, planowany powrót i dzień powrotu, powiązanie ze zgłoszeniem bólu i kolejne zgłoszenia bólu przypisane do urazu (historia urazu), osoba, która dodała uraz, i czas dodania. Etapy powrotu, każdy z datą: etap („Wyłączony”, „Rehabilitacja”, „Trening ograniczony” albo „Pełna dyspozycyjność”), procent dyspozycyjności (0–100 %), notatka sztabu (do 500 znaków), osoba, która zapisała etap, i czas zapisu. Z tych danych Tempo wylicza dyspozycyjność zawodnika w danym dniu i podsumowanie zespołu. To dane dotyczące zdrowia (szczególna kategoria danych).
Treści sztabu dla zespołu	Ogłoszenia „Od sztabu” (treść do 600 znaków, autor, grupa odbiorców, data i czas widoczności) oraz szablony planów (nazwa, ćwiczenia, opis, autor).
Zgłoszenia treści i blokady	Id zespołu, zgłaszającego, treści i jej autora (jeśli jest znany), rodzaj i powód zgłoszenia, dobrowolny opis wpisany przez zgłaszającego, status i sposób rozpatrzenia oraz daty. Dla odpowiedzi sztabu także identyfikator zawodnika, którego wpis dotyczy, i czas odpowiedzi. Osobno zapisujemy prywatną blokadę autora w danym zespole, ograniczenia nakładane przez operatora oraz historię działań operatora (identyfikator, działanie, czas). Zgłoszenie nie kopiuje automatycznie ankiety, opisu bólu ani historii zdrowotnej.
Dziennik operatora Tempo	Wpis o każdym wejściu operatora Tempo do panelu operatora i o każdej zmianie, której tam dokonał: identyfikator konta operatora, czas, rodzaj działania, zespół, a przy zmianie także identyfikator osoby, której dotyczyła, oraz krótki szczegół techniczny (np. nowe ustawienie prawa zarządzania, wynik ponownej wysyłki zaproszenia albo przy wyszukiwaniu konta liczba wyników i długość wpisanej frazy — bez samej frazy). Dziennik nie zawiera danych o zdrowiu. Wpisy przechowujemy przez 24 miesiące (punkt 6).
Pomiary i notatki sztabu	Wyniki testów i pomiarów wpisane przez sztab (np. masa ciała, wzrost, skoki, sprinty, 1RM, fałdy skórne) oraz notatki trenerów o zawodniku, niewidoczne dla zawodnika.
Potwierdzenia operacji	Kopia odpowiedzi serwera na zapis wykonany w aplikacji lub panelu (np. zapisana seria, ankieta, odpowiedź sztabu na zgłoszenie bólu, dodany pomiar, dodany uraz albo zapisany etap powrotu). Dzięki niej ponowienie tej samej operacji po utracie połączenia nie zapisze jej drugi raz. Może zawierać dane z pozostałych kategorii, w tym dane dotyczące zdrowia.
Wiadomości e-mail	Adres odbiorcy i treść wiadomości przekazywanych do wysyłki: kodów logowania i powiadomień o zaproszeniach. Zaproszenie opiekuna zawiera nazwę zawodnika i zespołu, cel zaproszenia oraz jednorazowy link; nie zawiera wyników ani historii zdrowotnej. Tempo nie przechowuje kopii wysłanych wiadomości w bazie danych. Przechowuje opisane wyżej dane zaproszenia i techniczne potwierdzenie jego utworzenia.
Telemetria techniczna	Zapis działania usługi w Application Insights (Azure Monitor), służący wykrywaniu błędów i mierzeniu, jak szybko działają ekrany i zapytania. Serwer Tempo zapisuje każde żądanie panelu i aplikacji iOS: szablon trasy API (bez identyfikatorów i parametrów z adresu), metodę, status, czas i czas trwania oraz aplikację i jej wersję. W zespole dochodzi nazwa i pseudonim zespołu, rola osoby (sztab albo zawodnik) i, tylko dla osoby ze sztabu, pseudonim jej konta. Trening indywidualny ma zamiast nazwy pseudonim (np. „Indywidualny 3f9a0c1e”), a jego zawodnik — tylko rolę. Panel trenera zapisuje też nazwy ekranów i działań ze stałej listy (np. „Plany — tydzień”, „przeniesienie planu”) z czasem trwania, wynikiem i liczbą żądań. Dla części żądań zapisujemy nazwy tabel bazy danych, których dotyczyły zapytania, i ich czasy. Aplikacja iOS nie wysyła nazw ekranów ani czasów działań — z niej serwer zapisuje tylko jej żądania (trasę, czas, status, zespół i rolę). Pseudonim to 8-znakowy skrót jednokierunkowy (HMAC z kluczem usługi), z którego nie da się odczytać konta ani zespołu; przypisać go do zespołu albo osoby ze sztabu może tylko operator Tempo w panelu operatora. Nigdy nie zapisujemy imion i nazwisk, adresów e-mail, identyfikatorów kont ani zawodników, treści (planów, notatek, ankiet, wiadomości, plików), danych o zdrowiu ani zapytań SQL i ich wartości. Zawodnik nie ma w telemetrii imienia, identyfikatora ani pseudonimu — zapisujemy tylko jego rolę. Przy funkcjach zdrowotnych (ankieta i gotowość, ból, urazy i etapy powrotu, pliki zdrowotne, zgody zdrowotne i zgody opiekuna, pomiary i notatki sztabu, dziennik) zapisujemy tylko, że funkcja zadziałała i jak szybko — bez zespołu, roli i pseudonimu. Przechowywanie: 30 dni (punkt 6).

Tempo nie korzysta z narzędzi reklamowych, nie śledzi lokalizacji i nie odczytuje kontaktów ani danych z aplikacji Zdrowie. Opcjonalne zdjęcia i dokumenty wybierasz samodzielnie w systemowym oknie; aplikacja nie przegląda całej biblioteki. Telemetria techniczna (ostatni wiersz tabeli) służy wykrywaniu błędów i poprawie działania usługi; nie służy reklamie ani profilowaniu zawodników. Wybór wyglądu („Jak w systemie”, „Jasny” albo „Ciemny”) jest zapisany wyłącznie na Twoim urządzeniu.

3. Cele i podstawy prawne

Cel	Podstawa prawna
Założenie i prowadzenie konta, logowanie kodem z e-maila	Art. 6 ust. 1 lit. b RODO — świadczenie usługi.
Praca zespołu: plany, raporty treningowe i zaproszenia	Art. 6 ust. 1 lit. b RODO — świadczenie usługi planowania, zapisu i udostępniania treningów w ramach członkostw wybranych przez użytkownika. Dane dotyczące zdrowia wymagają osobnej zgody opisanej poniżej.
Ankieta samopoczucia, zgłoszenia bólu, urazy z etapami powrotu i pomiary (dane dotyczące zdrowia)	Art. 6 ust. 1 lit. a oraz art. 9 ust. 2 lit. a RODO — dobrowolna, wyraźna zgoda dla wskazanego zespołu i celu. W wieku 13–17 lat Tempo wymaga decyzji zawodnika oraz osobnej zgody rodzica lub opiekuna prawnego; od 18 lat własnej zgody zawodnika. Administratorem jest wskazane wyżej MeetCreatives SZYMON ROŻEK, prowadzące Tempo.
Ustalenie ścieżki wieku i obsługa decyzji opiekuna	Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes polegający na ochronie małoletnich i kontrolowaniu dostępu do opcjonalnego modułu zdrowia. Zapis decyzji o zdrowiu służy wykazaniu zgody i jej wycofania; nie służy reklamom ani profilowaniu.
Bezpieczeństwo: limity prób, zgłoszenia treści, prywatne blokady, działania operatora i logi techniczne	Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes (ochrona usługi, kont i użytkowników przed nadużyciami). W opisie zgłoszenia nie podawaj danych zdrowotnych; operator nie potrzebuje pełnej historii zawodnika do obsługi niewłaściwej wiadomości.
Działanie i wydajność usługi: telemetria techniczna (błędy, czasy ekranów, działań, żądań i zapytań do bazy)	Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes polegający na utrzymaniu, naprawianiu i ulepszaniu usługi. Zakres jest ograniczony do opisanego w punkcie 2: bez imion, adresów e-mail, danych o zdrowiu i treści; zawodnik nie ma imienia, identyfikatora ani pseudonimu. Telemetria nie służy reklamie ani profilowaniu. Możesz wnieść sprzeciw (punkt 8).
Obsługa zgłoszeń i kontakt	Art. 6 ust. 1 lit. b i f RODO.

Jak udzielić i wycofać zgodę

Przed włączeniem ankiety, bólu, urazów, pomiarów i notatek sztabu pokazujemy administratora Tempo, cel, zakres danych i osoby ze sztabu, które uzyskają do nich dostęp. Zgoda wymaga Twojego działania; nie jest zaznaczona domyślnie ani połączona z założeniem konta.

W koncie otwórz listę zgód — w przeglądarce Konto → Prywatność i zgody, w aplikacji na iPhone’a Konto → Dane o zdrowiu i zgody — wybierz zespół i wycofaj zgodę. Zablokujemy kolejne zapisy i dostęp do danych zdrowotnych w tym zespole oraz usuniemy dotychczasowe ankiety, ból, urazy, etapy powrotu, pomiary, notatki sztabu, gotowość i notatki dnia, alerty, zdjęcia urazów i wyniki badań oraz kopie odpowiedzi zawierające te dane. Pozostaną plany, treningi i serie, czas/RPE sesji, ogólne uwagi o wykonaniu treningu oraz potwierdzenia dnia. Tempo nie rozpoznaje automatycznie informacji o zdrowiu w dowolnym wolnym tekście. Ból i informacje zdrowotne zapisuj w przeznaczonym do tego module; jeżeli wcześniej umieściłeś je w ogólnych uwagach treningowych, popraw te uwagi lub zwróć się do administratora Tempo o usunięcie także tej treści. Wycofanie nie wpływa na zgodność z prawem przetwarzania przed jego wycofaniem. Pierwsze włączenie modułu po tej zmianie zasad również usuwa wcześniejszą historię zdrowotną zapisaną bez aktualnej zgody. Informujemy o tym przed zatwierdzeniem; nowa zgoda uruchamia zbieranie danych od nowa. Ponowne udzielenie zgody nie przywraca usuniętej historii.

Zmiana decyzji jest dostępna również po opuszczeniu zespołu. Jeśli masz problem z dostępem do konta, napisz do administratora Tempo pod adresem rozek1szymon@gmail.com. Minimalne potwierdzenie udzielenia lub wycofania zgody przechowujemy bez wyników ankiet i innych wartości zdrowotnych, do usunięcia konta albo zespołu, aby wykazać obsłużenie Twojej decyzji.

W wieku 13–17 lat obie decyzje muszą być aktualne w tym samym zespole. Opiekun może odrzucić zaproszenie albo wycofać zgodę w Konto → Prywatność i zgody → Zgody opiekuna (w aplikacji na iPhone’a: Konto → Dane o zdrowiu i zgody → Zgody opiekuna). Wycofanie przez którąkolwiek stronę wyłącza moduł i usuwa jego historię. Nowe zaproszenie opiekuna zastępuje poprzedni link i zgodę oraz usuwa dotychczasowe dane zdrowotne — także gdy dostarczenie wiadomości e-mail się nie powiedzie. Zawsze wymagamy potwierdzenia tego skutku przed wysłaniem. Po ukończeniu 18 lat wcześniejsza decyzja opiekuna przestaje dawać uprawnienia; zawodnik udziela nowej własnej zgody, a nowa historia zaczyna się od tego momentu.

Nie wykorzystujemy danych do marketingu ani profilowania. Wskaźniki obciążenia są opisowe — nie podejmujemy na ich podstawie automatycznych decyzji wywołujących skutki prawne. Etap powrotu po urazie i procent dyspozycyjności ustala sztab zespołu; Tempo je zapisuje i pokazuje, ale ich nie wylicza, nie ocenia ryzyka urazu i nie zmienia na ich podstawie planów treningowych.

4. Kto widzi Twoje dane w aplikacji

Członkowie Twoich zespołów — imię, nick i funkcję. Zawodnik w arkuszu zespołu widzi sztab z funkcjami i liczbę zawodników.
Sztab zespołu — plany, treningi, serie, raporty wysiłku i potwierdzenia dnia zapisane w tym zespole. Dopiero przy aktywnej zgodzie na zdrowie oraz osobno nadanym uprawnieniu do tego modułu (przełącznik „Zdrowie” na stronie Zespół) także ankiety, gotowość, ból, urazy, pomiary, notatki zdrowotne i pliki opisane niżej. Wpisana nazwa funkcji, np. „fizjoterapeuta”, sama nie nadaje uprawnień. „Ostatni zapis” i rzetelność z 7 dni wynikają z dostępnych zapisów, nigdy z czasu logowania. Wewnętrzne notatki trenerów widzi wyłącznie sztab z uprawnieniem do modułu zdrowia; zawodnik ich nie widzi.
Kto ze sztabu ma uprawnienie do modułu zdrowia — zawodnik widzi to w arkuszu zespołu, np. „Twoje dane o zdrowiu widzi cały sztab (3 osoby)” albo „Dane o zdrowiu widzą: …”, a sztab — na stronie Zespół.
Zdjęcia urazów i wyniki badań — plik widzi zawodnik, którego dotyczy, oraz osoba ze sztabu, która go dodała, dopóki ma uprawnienie do modułu zdrowia. Dalej decyduje wybór „Kto widzi” przy pliku: „Tylko ja” (w panelu „Zawodnik”) — nikt więcej; „Wybrane” — wskazani członkowie sztabu z uprawnieniem do modułu zdrowia; „Sztab” — każdy członek sztabu tego zespołu, który w chwili otwarcia pliku ma uprawnienie do modułu zdrowia, także osoby, które dostaną je później. Przy własnym pliku wybiera zawodnik. Przy pliku dodanym przez sztab wybiera i zmienia go autor, a także osoba zarządzająca z uprawnieniem do modułu zdrowia; zawodnik zawsze widzi taki plik razem z imieniem autora, ale nie zmienia wyboru. Osoba zarządzająca bez uprawnienia do modułu zdrowia nie widzi żadnego pliku. Odebranie uprawnienia usuwa osobę ze wszystkich list „Wybrane” w zespole; ponowne nadanie ich nie przywraca. W treningu indywidualnym zawodnik wybiera „Tylko ja” albo swojego trenera, a plik dodany przez trenera widzą tylko zawodnik i trener. Liczniki plików, np. „1 plik” przy zgłoszeniu bólu, obejmują tylko pliki, które dana osoba może otworzyć.
Urazy i dyspozycyjność — sztab zespołu z uprawnieniem do modułu zdrowia widzi je w profilu zawodnika, a etap i procent także przy nazwisku na listach zawodników, w monitoringu i w kolejce „Wymaga uwagi”. Zawodnik widzi własne urazy, etapy i notatki sztabu do etapów w aplikacji na iPhone’a i w przeglądarce, tylko do odczytu. Inni zawodnicy ich nie widzą. Dane o urazach nie trafiają do e-maili, ogłoszeń „Od sztabu”, tekstów przypomnień ani tytułów kart przeglądarki.
Nikt z zespołu nie widzi Twojego adresu e-mail. Wyjątek: przy zaproszeniu wysłanym na adres e-mail osoby z prawem zarządzania zespołem widzą ten adres na liście oczekujących zaproszeń, a pozostali członkowie sztabu — tylko jego skrót (pierwsza litera i domena). Zawodnicy nie widzą zaproszeń.
Dane każdego zespołu są oddzielone — osoby z innych zespołów ich nie widzą.
Zaproszony opiekun widzi nazwę zawodnika i zespołu, administratora, skład sztabu, zakres oraz stan decyzji. Samo zaproszenie, zgoda ani pozwolenie na pliki nie dają mu członkostwa w zespole ani dostępu do ankiet, bólu, plików i innych danych zdrowotnych zawodnika. Data urodzenia nie jest mu wyświetlana.
Upoważniony operator Tempo obsługuje zgłoszenia treści: widzi opis zgłoszenia, dane potrzebne do jego rozpatrzenia i wskazaną wiadomość, jeżeli nadal istnieje i jest dostępna. Przy odpowiedzi sztabu nie otrzymuje pełnego wpisu bólu, wyników ani historii zawodnika. Prywatna blokada autora nie jest publikowana zespołowi. Blokada nie odbiera sztabowi uprawnień do danych zespołu; dostęp zdrowotny wyłączasz przez wycofanie zgody.
Operator Tempo (administrator usługi) — aby udzielać wsparcia i utrzymywać usługę, widzi w panelu operatora wszystkie konta i zespoły w zakresie: dane konta (imię i nazwisko, adres e-mail, nick, data założenia konta; w składzie zespołu adres e-mail mają tylko osoby ze sztabu); skład zespołów (role, funkcje, daty dołączenia, prawo zarządzania i to, kto ze sztabu ma uprawnienie do modułu zdrowia — sama informacja o uprawnieniu); zaproszenia (odbiorca: adres e-mail, nick albo nazwa konta; rola, daty i stan); aktywność treningową każdego zawodnika (liczba treningów: wszystkich, ukończonych, częściowo ukończonych, w toku i ukończonych w ostatnich 7 dniach, data ostatniego ukończonego treningu i suma minut). Widzi też pseudonimy zespołów i osób ze sztabu używane w telemetrii technicznej (punkt 2; zawodnicy pseudonimu nie mają). Może nadać lub odebrać osobie ze sztabu prawo zarządzania i ponownie wysłać zaproszenie. Nie widzi danych o zdrowiu: ankiet, gotowości, bólu, urazów, pomiarów, plików zdrowotnych, zgód, dat urodzenia ani notatek sztabu, a także treści planów i treningów. Każde jego wejście i każda zmiana są zapisywane w dzienniku operatora (kto, kiedy, co, którego zespołu i której osoby dotyczyło), przechowywanym przez 24 miesiące.

Szczegółowa tabela: Kto co widzi.

5. Podmioty przetwarzające i odbiorcy

Dostawca	Zakres
Microsoft Azure Microsoft Ireland Operations Ltd.	Hosting aplikacji i API (Azure App Service), baza danych (Azure SQL Database), prywatne załączniki (Azure Blob Storage) i techniczne monitorowanie działania (Application Insights / Azure Monitor). Region: Polska Centralna (Poland Central, Warszawa). Strona pomocy (Azure Static Web Apps) nie zawiera danych konta; jej pliki są dostarczane z globalnej sieci serwerów Microsoft, więc adres IP i informacje o przeglądarce odwiedzającego może przetwarzać serwer najbliższy odwiedzającemu, także poza Europą. Panel i strona pomocy korzystają z kroju pisma Manrope dostarczanego z serwerów Tempo; nie łączą się z Google Fonts.
Azure Communication Services — e-mail Microsoft	Wysyłka kodów logowania i powiadomień o zaproszeniach, gdy administrator korzysta z tego dostawcy. Lokalizacja danych usługi: Europa.
Mailjet — e-mail Sinch Email	Wysyłka kodów logowania oraz zaproszeń do zespołu, treningu indywidualnego i zgód opiekuna, gdy administrator korzysta z Mailjet. Do dostawcy trafia adres odbiorcy, temat i treść wiadomości, w tym kod lub link potrzebny do wykonania danej czynności. Nie wysyłamy wyników ankiet, historii zdrowotnej ani załączników. W wiadomościach Tempo wyłączone jest śledzenie otwarć i kliknięć; adresy nie są zapisywane do newslettera. Dostawca przetwarza dane potrzebne do dostarczenia wiadomości i obsługi błędów wysyłki.
Brevo — e-mail Sendinblue SAS	Opcjonalna wysyłka kodów logowania oraz zaproszeń do zespołu, treningu indywidualnego i zgód opiekuna, jeśli administrator skonfiguruje Brevo jako dostawcę. Do Brevo trafia adres odbiorcy, temat i treść wiadomości, w tym kod lub link potrzebny do wykonania danej czynności. Nie wysyłamy wyników ankiet, historii zdrowotnej ani załączników. Wiadomości mają wersję graficzną i tekstową; Tempo nie zapisuje adresów do newslettera. Brevo rejestruje informacje o wysyłce i doręczeniu oraz może rejestrować otwarcia wiadomości i kliknięcia w linki. Integracja prosi Brevo o anonimizację informacji o otwarciach; nie wyłącza to rejestrowania zdarzeń i nie potwierdza anonimizacji kliknięć ani pełnej anonimowości danych u dostawcy. Tempo nie pobiera ani nie wykorzystuje analityki otwarć i kliknięć. Dostawca przetwarza również dane potrzebne do obsługi błędów wysyłki.
Apple App Store i TestFlight Apple Distribution International Ltd.	Dystrybucja aplikacji na iPhone’a i wersji testowych. Apple przetwarza dane pobrania, urządzenia, raporty awarii i ewentualne opinie testerów zgodnie z własną polityką prywatności. Nie przekazujemy Apple dziennika ani danych zdrowotnych zawodników. Konto do recenzji aplikacji zawiera wyłącznie fikcyjne dane demonstracyjne.

Dostawcy mogą przetwarzać dane także poza Europejskim Obszarem Gospodarczym. Warunki usług Microsoft obejmują dodatek dotyczący ochrony danych (DPA) i standardowe klauzule umowne dla objętych nimi transferów. Informacje o przetwarzaniu danych przez Sinch Email zawiera polityka prywatności Mailjet. Informacje o przetwarzaniu danych przez Brevo zawiera polityka prywatności Brevo. Informacje o transferach realizowanych przez Apple znajdują się w polityce Apple. O kopię lub informacje o zabezpieczeniach dotyczących danych w Tempo możesz wystąpić do nas. Nie sprzedajemy danych; udostępniamy je uprawnionym osobom i dostawcom w zakresie opisanym w tej polityce, a właściwym organom wtedy, gdy wymagają tego przepisy prawa.

6. Jak długo przechowujemy dane

Decyzje o zgodzie — wersja informacji, wskazany administrator i kontakt, daty udzielenia i wycofania oraz techniczne potwierdzenie obsłużenia decyzji; bez wartości zdrowotnych. Do usunięcia konta albo zespołu.
Konto i dane treningowe — do czasu usunięcia konta albo zespołu.
Data urodzenia — do usunięcia konta. Nie przechowujemy dokumentu potwierdzającego wiek. Błąd w jednorazowej deklaracji zgłoś do wsparcia.
Zaproszenie i decyzja opiekuna — jeden bieżący rekord dla zawodnika i zespołu. Link jest ważny 7 dni; wygaśnięcie nie usuwa automatycznie rekordu. Pozostaje do zastąpienia nowym zaproszeniem, usunięcia konta zawodnika lub opiekuna albo usunięcia zespołu. Nie przechowujemy pełnej historii zastąpionych zaproszeń. Techniczne potwierdzenia operacji obowiązuje wskazany niżej okres 7 dni.
Zgłoszenia treści i historia ich obsługi — bez osobnego automatycznego terminu wygaszania: do usunięcia zespołu albo konta zgłaszającego, autora lub zawodnika, którego dotyczy zgłoszona odpowiedź. Usunięcie danych zdrowotnych zawodnika usuwa także zgłoszenia jego odpowiedzi sztabu i ich historię obsługi. Usunięcie konta operatora usuwa jego identyfikator z pozostałych wpisów historii. Samo rozpatrzenie zgłoszenia lub usunięcie zgłoszonej wiadomości nie usuwa rekordu zgłoszenia.
Dziennik operatora Tempo — 24 miesiące od wpisu; starsze wpisy usuwamy automatycznie (przy kolejnym wpisie do dziennika). Usunięcie konta wcześniej usuwa z wpisów jego identyfikator, jak opisuje punkt 7.
Blokady i ograniczenia autorów — prywatna blokada do jej cofnięcia, usunięcia konta blokującego lub autora albo zespołu; ograniczenie operatora do jego cofnięcia, usunięcia konta autora albo zespołu.
Urazy i etapy powrotu — do wycofania zgody na dane zdrowotne w danym zespole, usunięcia urazu (może to zrobić osoba ze sztabu, która go dodała, albo osoba zarządzająca zespołem; uraz znika razem z historią etapów, a przypisane do niego pliki nie są usuwane — przechodzą do „Inne dokumenty” z dotychczasowym wyborem „Kto widzi”), usunięcia konta zawodnika albo usunięcia zespołu.
Po opuszczeniu lub usunięciu z zespołu — historia treningów pozostaje w zespole do usunięcia konta albo zespołu. Zdjęcia urazów i wyniki badań zawodnika z tego zespołu (także dodane przez sztab) usuwamy w chwili odejścia, usunięcia z zespołu albo zakończenia treningu indywidualnego; potwierdzenie podaje ich liczbę. Pozostałe dane zdrowotne są dostępne dla sztabu wyłącznie przy aktywnej zgodzie; możesz ją wycofać także po opuszczeniu zespołu. Urazy byłego członka są tylko do odczytu.
Kody logowania — ważne 10 minut; zapisy (skróty kodów) oraz liczniki kodów i błędnych prób dla adresu usuwamy automatycznie po około dobie (przy kolejnej prośbie o kod logowania w Tempo), a przy usunięciu konta — od razu.
Potwierdzenia operacji — służą wyłącznie do bezpiecznego ponowienia zapisu, dlatego usuwamy je automatycznie po 7 dniach (przy kolejnym zapisie w tym zespole). Przy usunięciu konta usuwamy od razu Twoje potwierdzenia oraz potwierdzenia sztabu zawierające Twoje dane.
Sesje — wygasają najpóźniej 60 dni po ostatnim przedłużeniu; wylogowanie usuwa sesję od razu.
Zaproszenia do zespołu — ważne 14 dni; zapis zaproszenia przechowujemy do usunięcia zespołu albo konta odbiorcy. Zaproszenia opiekuna mają osobny termin 7 dni opisany wyżej.
Załączniki zdrowotne — do usunięcia pliku, wycofania zgody zdrowotnej, cofnięcia pozwolenia opiekuna na pliki, odejścia lub usunięcia zawodnika z zespołu, zakończenia treningu indywidualnego, usunięcia konta zawodnika, zespołu albo danych demonstracyjnych. Plik dodany przez członka sztabu, który odszedł albo stracił uprawnienie do modułu zdrowia, zostaje przy zawodniku; zawodnik może go wtedy sam usunąć. Cofnięcie udostępnienia lub zgody natychmiast blokuje nowe pobrania. Usuwanie plików obsługuje trwała kolejka, która ponawia próbę po awarii magazynu. Magazyn nie zachowuje wersji ani kosza usuniętych plików. Nie możemy cofnąć kopii wcześniej pobranych przez uprawnionego odbiorcę.
Kopie zapasowe bazy — w obecnej konfiguracji umożliwiają przywrócenie stanu z ostatnich 7 dni; usunięte dane znikają z kopii po tym okresie.
Logi techniczne — bieżący strumień logów usługi oraz do 30 dni telemetrii technicznej Application Insights; starsze wpisy Azure Monitor usuwa automatycznie. Telemetria (zakres w punkcie 2) zawiera szablon trasy API (bez identyfikatorów i parametrów z adresu), metodę, status, czas wykonania, aplikację i jej wersję, nazwę zespołu albo pseudonim treningu indywidualnego, pseudonim zespołu, rolę (zawodnik treningu indywidualnego — tylko rolę), pseudonim osoby ze sztabu, nazwy ekranów i działań panelu ze stałej listy, nazwy tabel bazy danych i czasy zapytań, a przy błędzie typ błędu i miejsce w kodzie. Przy błędzie wysyłki e-maila zapisujemy także nazwę dostawcy, techniczny kod błędu i informację, czy wyczerpał się limit aplikacji. Pomija treść żądań, odpowiedzi i plików, wiadomości wyjątków, zapytania SQL i ich wartości, imiona, e-maile, identyfikatory kont i zawodników, dane o zdrowiu, kody i tokeny. Zapisujemy każde żądanie; nazwy tabel i czasy zapytań — dla około co piątego działania oraz dla błędów i wolnych żądań. Alert e-mail dla operatora zawiera techniczną informację o błędzie, bez dokumentów zawodników.

7. Usunięcie konta

Konto usuniesz samodzielnie w aplikacji lub panelu (Usuń konto). Usuwamy wtedy konto, wszystkie sesje, kody logowania, zaproszenia skierowane do Ciebie oraz — w zespołach, w których jesteś zawodnikiem — Twoje treningi, serie, ankiety, dziennik, zgłoszenia bólu, urazy z historią etapów i notatkami sztabu, pomiary, notatki sztabu o Tobie, zdjęcia urazów i wyniki badań o Tobie (także dodane przez sztab), alerty i plany przygotowane tylko dla Ciebie, a także potwierdzenia operacji (Twoje i sztabu), które zawierają kopie tych danych. Zespoły, w których jesteś jedyną osobą, usuwamy w całości. Jeśli jesteś jedyną osobą zarządzającą zwykłym zespołem z innymi członkami, najpierw przekaż prawo zarządzania albo usuń zespół. Plany i materiały, które jako sztab przygotowałeś dla zespołu — także ogłoszenia i szablony planów — pozostają w zespole i są podpisane „Sztab”. Tak samo podpisane zostają urazy i etapy powrotu, które zapisałeś zawodnikom jako sztab — to dane tych zawodników. Pliki, które jako sztab dodałeś zawodnikom, również zostają przy nich; zawodnik może je usunąć, a Ty znikasz z list „Wybrane”.

W treningach indywidualnych usunięcie konta trenera albo podopiecznego usuwa całą ich współpracę i zapisane w niej dane obu stron, także po wcześniejszym zakończeniu prowadzenia. Usunięcie konta trenera usuwa również jego prywatną bibliotekę Moje plany; kopie planów w innych zespołach pozostają.

Usunięcie konta obejmuje także datę urodzenia, powiązane zaproszenia i decyzje opiekuna oraz opisane wyżej zgłoszenia i blokady. Z dziennika operatora Tempo usuwamy identyfikator Twojego konta: wpis o tym, co operator zrobił, kiedy i w którym zespole, zostaje bez powiązania z Twoim kontem do upływu 24 miesięcy od wpisu. Usunięcie konta opiekuna wycofuje jego udział w zgodach i usuwa dane zdrowotne nadal małoletnich zawodników w objętych nimi zespołach. Nie usuwa zdrowotnych danych osoby, która ukończyła 18 lat i decyduje już samodzielnie.

8. Twoje prawa

Masz prawo do:

dostępu do swoich danych i otrzymania ich kopii,
sprostowania danych (imię i nick zmienisz sam w ustawieniach konta),
usunięcia danych (samodzielnie, przez usunięcie konta),
ograniczenia przetwarzania i wniesienia sprzeciwu,
przenoszenia danych,
wycofania zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem,
wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stanisława Moniuszki 1A, 00-014 Warszawa).

W sprawach danych konta, zespołu i treningów indywidualnych oraz wykonywania swoich praw napisz bezpośrednio do administratora Tempo na rozek1szymon@gmail.com. Samodzielny eksport danych w aplikacji jest planowany.

9. Bezpieczeństwo

Połączenia są szyfrowane (HTTPS). Nie używamy haseł — logowanie odbywa się jednorazowym kodem ważnym 10 minut, z limitem prób: 5 na kod i 10 błędnych na godzinę dla jednego adresu, niezależnie od liczby kodów i urządzeń.
Kody i tokeny sesji przechowujemy wyłącznie jako skróty kryptograficzne. W przeglądarce sesję przechowuje ciasteczko niedostępne dla skryptów, w aplikacji iOS — pęk kluczy urządzenia.
Dane zespołów są oddzielone w bazie danych, a każdy dostęp jest sprawdzany według roli w zespole. Wyjątkiem jest operator Tempo (punkt 4): jego dostęp wynika z uprawnienia nadanego w konfiguracji usługi, a nie z roli w zespole, obejmuje tylko dane opisane w punkcie 4, nigdy dane o zdrowiu, działa wyłącznie w panelu operatora i każde jego użycie jest zapisywane w dzienniku.

10. Wiek użytkowników

Na obsługiwanym iPhonie sprawdzamy wymagania regionalne Apple i, gdy kontrola jest wymagana lub nie można ustalić jej wymogu, prosimy o przedział wieku przez systemowe okno Apple. Nie otrzymujemy w ten sposób dokładnej daty urodzenia. Wynik pozostaje tylko w pamięci aplikacji: nie zapisujemy go na urządzeniu ani nie wysyłamy do serwera Tempo lub analityki. Sprawdzamy go ponownie po powrocie z tła i zmianie konta. Przedział poniżej 13 lat blokuje wejście; przedział poniżej 18 lat nie pozwala używać konta Tempo deklarującego pełnoletność. Brak wymaganej odpowiedzi umożliwia ponowienie kontroli lub kontakt ze wsparciem.

Tempo jest przeznaczone dla osób, które ukończyły 13 lat. Nie zakładaj konta, jeśli masz mniej niż 13 lat. Data urodzenia jest deklarowana jednorazowo; brak daty nie włącza funkcji zdrowotnych. Plany i zwykłe zapisy treningów nie wymagają zgody na dane zdrowotne.

Dla zawodników w wieku 13–17 lat opcjonalny moduł zdrowia wymaga aktualnej decyzji zawodnika i osobnej zgody pełnoletniego rodzica lub opiekuna prawnego dla każdego zespołu. Osoba zaproszona loguje się na własny, inny adres e-mail i potwierdza swoje uprawnienie. Ten proces potwierdza dostęp do skrzynki i zapisuje oświadczenia; nie jest urzędową weryfikacją wieku ani opieki prawnej.

Próg 18 lat dla samodzielnego włączenia modułu zdrowia jest zasadą Tempo. Nie oznacza, że każdy rodzaj przetwarzania danych dziecka wymaga zgody rodzica aż do 18 lat. Art. 8 RODO dotyczy usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku, gdy podstawą jest zgoda; UODO opisuje w Polsce próg 16 lat. Informacja UODO o danych dzieci. Administrator Tempo odpowiada za podstawę przetwarzania w usłudze i obowiązki właściwe dla oferowanej usługi oraz kraju użytkownika.

11. Pliki cookie i pamięć urządzenia

tempo.session — niezbędne ciasteczko sesji panelu (HttpOnly, SameSite=Lax), ważne do 60 dni.
tempo.csrf — niezbędne ciasteczko ochrony formularzy przed atakami CSRF.
tempo.theme — wybór wyglądu („Jak w systemie”, „Jasny” albo „Ciemny”) zapisany w pamięci przeglądarki (localStorage), a w aplikacji iOS — w pęku kluczy urządzenia; nie jest wysyłany na serwer.
tempo.intro.v1.…, tempo.setup.hidden.…, tempo.announcements.seen.v1.…, tempo.painReplies.seen.v1.… — informacje dla danego zespołu, czy wprowadzenie było już pokazane, czy karta „Pierwsze kroki” jest ukryta oraz kiedy ostatnio widziałeś ogłoszenia i odpowiedzi sztabu (do oznaczeń „nowe”). Zapisane w pamięci przeglądarki, a w aplikacji iOS — w pęku kluczy urządzenia; nie są wysyłane na serwer.
tempo.search.recent.v1:… — do 10 identyfikatorów zawodników, planów i ćwiczeń ostatnio otwartych z wyszukiwarki panelu (⌘K), osobno dla konta i zespołu, bez imion i nazw. Zapisane w pamięci przeglądarki (localStorage); usuwamy je przy wylogowaniu, usunięciu konta i wygaśnięciu sesji. Nie są wysyłane na serwer.
tempo.dayLegendSeen.v1 (przeglądarka), tempo.journalLegendSeen.v1 i tempo.lockScreenTipSeen.v1 (aplikacja iOS, pęk kluczy urządzenia) — jednorazowe znaczniki, czy legenda oznaczeń dnia i Dziennika oraz wskazówka o ekranie blokady były już pokazane. Zapisane dla urządzenia, nie dla zespołu; zawierają tylko znacznik i nie są wysyłane na serwer.

Danych o urazach nie zapisujemy w pamięci przeglądarki ani telefonu — panel i aplikacja pobierają je z serwera i trzymają tylko w pamięci otwartej karty lub aplikacji.

Po rozpoczęciu treningu w aplikacji iPhone systemowa Live Activity może pokazać na ekranie blokady nazwę bieżącego ćwiczenia, numer serii, postęp oraz czas przerwy. Nie przekazujemy do tej karty danych o bólu, urazach, ankiet, ciężarów ani notatek. Kartę możesz wyłączyć w treningu; zamykamy ją przy podsumowaniu, zmianie konta lub zespołu i wylogowaniu. Po zgodzie na powiadomienia możesz osobno włączyć lokalne przypomnienie końca przerwy. Jest zaplanowane na urządzeniu, nie korzysta z rejestracji tokenu APNs ani zdalnej wysyłki push. Te funkcje nie wysyłają dodatkowych danych do backendu Tempo.

Nie używamy ciasteczek analitycznych ani reklamowych, dlatego nie wyświetlamy banera zgody na cookies.

12. Zmiany polityki

O istotnych zmianach poinformujemy w aplikacji lub e-mailem. Aktualna wersja jest zawsze dostępna na tej stronie.

Pytania dotyczące prywatności: rozek1szymon@gmail.com · Kontakt i wsparcie