Polityka prywatności 3FAST

1. Zakres Polityki

Polityka dotyczy aplikacji 3FAST pod adresem app.3fast.pl, panelu trenera, panelu klienta, publicznego formularza zgłoszenia oraz komunikacji i powiadomień generowanych przez System. Opisuje aktualny model obsługujący wyłącznie klientów administratora: 1:1, hybrydowych i online. Przed udostępnieniem Systemu niezależnym trenerom role administratora i podmiotu przetwarzającego wymagają ponownej oceny.

2. Administrator i kontakt

Administratorem danych jest Krystian Kamiński, operator 3FAST/System 3F. Kontakt w sprawach prywatności: krystiankaminski1984@gmail.com.

Administrator ustala cele i sposoby przetwarzania danych klientów, potencjalnych klientów oraz użytkownika konta trenerskiego. Administrator nie powołał inspektora ochrony danych.

3. Jakie dane są przetwarzane

Dane identyfikacyjne i kontaktowe

Imię, nazwisko lub identyfikator klienta, e-mail, podany numer telefonu oraz identyfikatory konta i dane potrzebne do logowania.

Dane związane ze współpracą i treningiem

Forma współpracy, cele, plany i jednostki, ćwiczenia, serie, powtórzenia, ciężary, RIR/RPE, tempo, wykonanie, aktywność, raporty, zadania, statystyki, kalendarz, frekwencja, pakiety, rozliczenia, leady oraz historia współpracy.

Dane dotyczące zdrowia i samopoczucia

Do informacji dotyczących zdrowia mogą należeć w szczególności informacje o bólu, urazach, historii urazów, przeciwwskazaniach, ograniczeniach ruchowych, samopoczuciu, regeneracji i gotowości do treningu oraz inne informacje zdrowotne przekazane w formularzach, obserwacjach lub monitoringu. Są to dane szczególnej kategorii.

Komunikacja, materiały i dane techniczne

Wiadomości, komentarze, feedback, zdjęcia oraz nagrania obrazu i dźwięku związane z wykonywaniem ćwiczeń, zgłoszenia problemów, IP, typ urządzenia i przeglądarki, identyfikatory sesji, znaczniki czasu, zdarzenia bezpieczeństwa oraz zanonimizowane lub ograniczone dane diagnostyczne błędów. Push obejmuje endpoint subskrypcji, klucze urządzenia, preferencje kategorii i dane deduplikacji. System nie deklaruje zbierania GPS, danych kart, Apple Health, Garmin ani Fitbit.

4. Cele i podstawy prawne

• konto, plan, kalendarz, komunikacja i rozliczenia: art. 6 ust. 1 lit. b RODO;
• kontakt z leadem przed zawarciem umowy na jego żądanie: art. 6 ust. 1 lit. b RODO;
• obowiązki prawne, w tym rachunkowe i podatkowe, gdy mają zastosowanie: art. 6 ust. 1 lit. c RODO;
• bezpieczeństwo, nadużycia, diagnostyka, ciągłość usługi i obrona roszczeń: art. 6 ust. 1 lit. f RODO;
• zwykłe dane związane z realizacją współpracy są wykorzystywane w zakresie niezbędnym do tej współpracy; dane dotyczące zdrowia wymagają dodatkowo wyraźnej, odrębnej zgody z art. 9 ust. 2 lit. a RODO, składanej w mechanizmie „Zgoda na dane dotyczące zdrowia”;
• marketing opcjonalny: osobna zgoda z art. 6 ust. 1 lit. a RODO i właściwe przepisy Prawa komunikacji elektronicznej.

Operacyjne pushy dotyczące treningu, kalendarza, raportu, pakietu lub feedbacku służą realizacji usługi albo prawnie uzasadnionemu interesowi; ich wyświetlenie wymaga też technicznej zgody urządzenia. Nie są marketingiem ani celem zgody na dane dotyczące zdrowia.

5. Dobrowolność podania danych

Dane potrzebne do konta i współpracy są konieczne do korzystania z Systemu. Brak danych podstawowych może to uniemożliwić. Zgoda na dane dotyczące zdrowia jest odrębną, dobrowolną decyzją. Możesz jej nie udzielić; odmowa nie blokuje automatycznie całej aplikacji, ale brak aktywnej zgody może ograniczyć funkcje wymagające nowego podania lub zapisu danych dotyczących zdrowia. Pozostałe funkcje 3FAST pozostają dostępne zgodnie z ich przeznaczeniem. Nie przekazuj danych medycznych szerszych niż potrzebne do współpracy.

6. Odbiorcy danych

Dostęp do materiałów treningowych może mieć klient, prowadzący lub uprawniony trener w zakresie danej współpracy oraz administrator 3FAST wyłącznie w zakresie niezbędnym do administracji, bezpieczeństwa i obsługi systemu. Dostawcy techniczni działający na polecenie administratora mogą przetwarzać dane w zakresie potrzebnym do świadczenia usługi: Supabase (PostgreSQL i uwierzytelnianie), Vercel (hosting, CDN i funkcje), Sentry (diagnostyka błędów z ograniczeniem PII), Cloudflare, Inc. / podmioty z grupy Cloudflare — dostawca infrastruktury Cloudflare Stream wykorzystywanej do bezpiecznego przechowywania, przetwarzania i dostarczania prywatnych nagrań treningowych. Cloudflare przetwarza dane w zakresie niezbędnym do świadczenia usług infrastrukturalnych na rzecz Administratora. Dostawca Web Push i OpenAI obsługują wyłącznie aktywne funkcje wymagające ich usług. Dane mogą otrzymać księgowość, doradcy lub organy publiczne, gdy jest to konieczne. Dane nie są sprzedawane ani używane do reklamy behawioralnej; dane zdrowotne nie służą reklamie.

7. Transfery poza EOG

Dostawcy lub ich podprocesorzy mogą przetwarzać dane poza EOG. Transfer odbywa się na podstawie decyzji o odpowiednim stopniu ochrony, standardowych klauzul umownych albo innego dopuszczalnego mechanizmu z zabezpieczeniami. Nie deklarujemy, że wszystkie dane pozostają wyłącznie w Polsce lub EOG.

8. Okres przechowywania

Dane są przechowywane przez aktywną współpracę i konto, a potem przez czas potrzebny do rozliczeń, roszczeń i obowiązków prawnych. Leady: do zakończenia kontaktu, rozpoczęcia współpracy albo upływu uzasadnionego czasu. Nagrania treningowe są przechowywane przez okres potrzebny do realizacji współpracy, oceny wykonania i uzasadnionej analizy progresji techniki, a następnie zgodnie z aktywną polityką retencji 3FAST. Jeżeli polityka dla filmów gotowych do oceny nie określa terminu automatycznego usunięcia, sam upływ czasu nie powoduje automatycznego usunięcia takiego filmu. Logi diagnostyczne, subskrypcje push i backupy: odpowiednio przez ograniczony okres konfiguracji, do wycofania/unieważnienia oraz do rotacji kopii.

9. Prawa użytkownika

Przysługuje prawo dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia danych, sprzeciwu wobec art. 6 ust. 1 lit. f, wycofania zgody bez wpływu na wcześniejsze przetwarzanie oraz skargi do Prezesa UODO. Zgodę na dane dotyczące zdrowia możesz wycofać w Panelu Klienta, w sekcji Dokumenty i zgody. Wycofanie nie zmienia automatycznie historii wcześniejszych decyzji ani nie usuwa automatycznie wcześniejszych danych; nowe chronione zapisy zdrowotne są od tego momentu ograniczane. Ponowne udzielenie zgody jest możliwe. Administrator może poprosić o potwierdzenie tożsamości.

10. Dane dotyczące zdrowia

Informacje dotyczące zdrowia są wykorzystywane w zakresie potrzebnym do indywidualnego dostosowania współpracy treningowej, planowania treningu i monitorowania jej przebiegu. Nie zastępują lekarza, diagnozy ani świadczenia medycznego; niepokojące objawy należy konsultować ze specjalistą. Dostęp jest ograniczony do administratora i niezbędnych dostawców technicznych. Nie są wykorzystywane reklamowo.

Informacje dotyczące zdrowia mogą być przekazywane również w komentarzach, nagraniach lub innych materiałach związanych z realizacją współpracy. W zakresie, w jakim materiał zawiera dane dotyczące zdrowia, stosuje się zasady i podstawę prawną właściwe dla tej kategorii danych.

3FAST posiada osobny mechanizm „Zgoda na dane dotyczące zdrowia”, wersja 1.0. Osoba otrzymuje treść tej zgody przed podjęciem decyzji. Zgoda może zostać udzielona jeszcze przed powstaniem konta Clienta, gdy Lead wypełnia publiczny Wywiad wprowadzający wymagający danych zdrowotnych.

Po utworzeniu Clienta status zgody jest dostępny w sekcji Dokumenty i zgody. W przypadku osób już znajdujących się w systemie wcześniejsze korzystanie z usługi nie oznacza automatycznego udzielenia tej nowej, wyraźnej zgody; osoby bez zapisu decyzji mogą podjąć ją w aplikacji.

Odmowa zgody albo jej wycofanie ogranicza nowe chronione zapisy danych dotyczących zdrowia, ale nie blokuje automatycznie zwykłych funkcji Panelu Klienta. Zgodę można udzielić ponownie. Samo wycofanie nie kasuje automatycznie wcześniejszych danych i nie zmienia historii podjętych decyzji. Jeżeli zgoda została wyrażona przed rozpoczęciem współpracy, jej zapis pozostaje powiązany z tą samą osobą po rozpoczęciu współpracy.

3FAST zapisuje informację o podjętej decyzji, jej dacie i wersji treści zgody, aby zachować historię decyzji i ustalić, której treści dotyczyła. Wycofanie zgody jest odrębne od żądania usunięcia danych; prawa dotyczące usunięcia i innych operacji na danych opisane są w tej Polityce.

11. Nagrania treningowe

• W ramach funkcji treningów własnych Klient może dobrowolnie przesłać nagranie przedstawiające wykonanie jednej serii konkretnego ćwiczenia. Nagranie może zawierać obraz oraz dźwięk.
• Nagrania treningowe są przetwarzane w celu realizacji współpracy treningowej, w szczególności umożliwienia oceny sposobu wykonania ćwiczenia, przekazania informacji zwrotnej oraz porównania techniki i postępu w toku prowadzenia treningowego.
• Podstawą przetwarzania nagrania w zakresie zwykłych danych osobowych jest art. 6 ust. 1 lit. b RODO — przetwarzanie jest związane z wykonaniem usługi świadczonej Klientowi lub działaniami podejmowanymi na jego żądanie w ramach współpracy treningowej.
• Nagranie może ujawniać informacje pozostające w kontekście zdrowia, bólu, urazów, ograniczeń ruchowych lub innych danych dotyczących zdrowia. W zakresie, w jakim materiał zawiera dane dotyczące zdrowia w rozumieniu RODO, ich przetwarzanie odbywa się zgodnie z zasadami dotyczącymi danych zdrowotnych określonymi w niniejszej Polityce oraz na podstawie obowiązującej w 3FAST odrębnej zgody na przetwarzanie danych dotyczących zdrowia, jeżeli jest ona wymagana dla danego zakresu danych.
• Dostęp do nagrania może mieć Klient, prowadzący lub upoważniony trener oraz Administrator w zakresie niezbędnym do zapewnienia działania, bezpieczeństwa, diagnostyki i obsługi 3FAST. Administrator nie wykorzystuje dostępu administracyjnego do rutynowego przeglądania nagrań klientów.
• Nagrania są przechowywane przy wykorzystaniu Cloudflare Stream, świadczącego infrastrukturę przechowywania, przetwarzania i bezpiecznego dostarczania materiałów wideo. Dostęp do nagrań odbywa się za pośrednictwem mechanizmów kontrolowanego dostępu stosowanych przez 3FAST.
• Nagranie może zawierać wypowiedź głosową Klienta, jeżeli Klient chce przekazać trenerowi dodatkową informację dotyczącą wykonanej serii. Klient powinien ustawić urządzenie w taki sposób, aby nagranie dotyczyło przede wszystkim jego osoby i wykonywanego ćwiczenia oraz, w miarę możliwości, nie obejmowało rozmów, wizerunku ani innych danych osób postronnych.
• Nagrania są przechowywane przez okres, w którym pozostają potrzebne do realizacji współpracy treningowej, oceny wykonania ćwiczeń oraz uzasadnionego porównania postępu w ramach prowadzenia. Co do zasady obejmuje to okres aktywnego planu treningowego, którego materiał dotyczy. Po ustaniu celu dalszego przechowywania nagrania są usuwane zgodnie z obowiązującą w 3FAST polityką retencji danych. Niedokończone, błędne, zastąpione lub technicznie oznaczone do usunięcia nagrania mogą zostać usunięte wcześniej w ramach automatycznych procesów porządkowania danych.
• Przed wysłaniem całego treningu do oceny Klient może usunąć załączone nagranie w zakresie udostępnionym przez aplikację. Po wysłaniu treningu nagranie staje się częścią materiału przekazanego trenerowi w ramach realizacji współpracy i możliwość jego samodzielnej edycji lub usunięcia w aplikacji może zostać ograniczona. Ograniczenie funkcjonalne interfejsu nie narusza praw osoby, której dane dotyczą, wynikających z RODO. Żądanie dotyczące dostępu, usunięcia lub innego sposobu realizacji praw może zostać skierowane do Administratora zgodnie z zasadami opisanymi w niniejszej Polityce.
• Przesłanie nagrania w ramach prowadzenia treningowego nie oznacza zgody na jego publiczne rozpowszechnianie, publikację w mediach społecznościowych, wykorzystanie reklamowe, promocyjne ani publikację w formie case study. Takie wykorzystanie wymagałoby odrębnej podstawy prawnej i — tam, gdzie jest to wymagane — odrębnego zezwolenia osoby przedstawionej na nagraniu.
• Nagrania treningowe przesyłane przez Klientów nie są obecnie przekazywane do OpenAI ani innych zewnętrznych systemów sztucznej inteligencji, nie są automatycznie analizowane przez AI oraz nie są wykorzystywane do trenowania modeli sztucznej inteligencji.
• Jeżeli w przyszłości 3FAST wprowadzi analizę nagrań przez systemy AI albo inny nowy cel wykorzystania materiałów, wymaga to odrębnej oceny prawnej, aktualizacji informacji przekazywanych użytkownikom oraz zastosowania odpowiedniej podstawy prawnej przed uruchomieniem takiej funkcji.

12. Powiadomienia push

Push jest dobrowolny i wymaga zgody przeglądarki lub systemu. Klient zarządza kategoriami w profilu i może wyłączyć powiadomienia w urządzeniu. Kategorie obejmują m.in. wiadomości, zadania, raport tygodniowy, trening na dziś, pakiet, uwagi trenera i przypomnienia o wysłaniu wykonania. Brak push nie usuwa informacji z aplikacji. Treść może być widoczna na ekranie blokady i nie powinna ujawniać szczegółów zdrowotnych. Ewentualny marketing będzie osobną kategorią z odrębną zgodą.

13. Cookies, sesja i pamięć urządzenia

System używa technicznie niezbędnej sesji i uwierzytelniania, ustawień interfejsu, mechanizmów bezpieczeństwa i service workera dla Web Push. Nie używa wdrożonych cookies marketingowych ani niekoniecznej analityki reklamowej. Dla niezbędnych cookies nie stosujemy osobnego banera zgody.

14. Diagnostyka i bezpieczeństwo

Stosujemy kontrolę dostępu, uwierzytelnianie, scope danych klienta, szyfrowane połączenia, backupy i monitoring. Sentry służy wyłącznie diagnostyce błędów w konfiguracji Developer z sanitacją PII, bez Session Replay, tracingu, profilowania i pełnych logów. Środki ograniczają ryzyko, ale nie stanowią absolutnej gwarancji bezpieczeństwa.

15. Funkcje wspomagane AI

Aktywne funkcje AI wykorzystują OpenAI do przygotowania analiz i sugestii na podstawie danych przekazanych do danego narzędzia. Dane są ograniczane do potrzeb funkcji. Sugestie wymagają oceny trenera; System nie podejmuje wyłącznie automatycznych decyzji wywołujących skutki prawne lub podobnie istotne. AI nie zastępuje trenera ani specjalisty medycznego.

16. Formularz zgłoszeniowy i ochrona przed botami

Formularz zbiera dane podane przez leada, aby skontaktować się i przygotować ofertę. Cloudflare Turnstile chroni go przed automatycznymi zgłoszeniami. Lead nie jest automatycznie dodawany do Kalendarza; może zostać przekształcony w klienta dopiero po decyzji administratora.

17. Osoby małoletnie

System nie jest przeznaczony do samodzielnego korzystania przez dzieci. Współpraca z osobą małoletnią powinna odbywać się przy udziale i za zgodą przedstawiciela ustawowego, zgodnie z przepisami.

18. Zmiany Polityki

Polityka może być aktualizowana wraz z prawem, Systemem lub integracjami. Istotne zmiany mogą być komunikowane w aplikacji. Aktualizacja nie oznacza zgody na nowy cel wymagający osobnej zgody.

19. Kontakt

Żądania dotyczące danych i pytania o prywatność prześlij na krystiankaminski1984@gmail.com.