Polityka prywatności
Ostatnia aktualizacja: 1 listopada 2026 r.
We wszystkich sprawach dotyczących przetwarzania danych osobowych można kontaktować się pod powyższym adresem e-mail.
2. Jakie dane przetwarzamy
W związku z korzystaniem z Aplikacji przetwarzane są następujące kategorie danych:
| Kategoria danych | Przykłady |
|---|---|
| Dane konta | imię, adres e-mail, hasło (przechowywane w formie zahaszowanej), rola w systemie (klient / trener) |
| Dane programu | data rozpoczęcia programu, wybrany tryb kalendarza |
| Dane aktywności w aplikacji | codzienne odznaczenia („jedzenie z kartki", „ruch", „tylko minimum"), notatki dzienne wpisywane w trackerze, historia wykonanych treningów wraz z oceną trudności i datą |
| Współpraca i postępy | ankieta, przypisane plany i jadłospisy, wyniki i oceny treningów, pomiary, dobrowolne zdjęcia, raporty oraz postępy edukacyjne |
| M2K Biznes | dane kontaktowe klientów, terminy, pakiety, wpłaty i ewidencja rozliczeń, role członków działalności; dane Google Calendar i SMSAPI opisane w punktach 10–11 |
| Dane techniczne | dane związane z sesją logowania, niezbędne do utrzymania konta zalogowanego |
Ankieta dla trenera może zawierać dobrowolne informacje o ograniczeniach treningowych, urazach i stanie zdrowia. Mogą one stanowić szczególne kategorie danych. Nie wpisuj informacji zbędnych do współpracy. Ich przetwarzanie wymaga odpowiedniej podstawy z art. 9 RODO, odrębnej od samej umowy o korzystanie z aplikacji. Trener odpowiada za ustalenie tej podstawy w prowadzonej przez siebie współpracy; samo wypełnienie pola nie zastępuje wymaganej wyraźnej zgody.
Dokumenty opublikowane w aplikacji i sklepie wskazują ten sam podmiot powyżej. Niezależny trener lub studio samodzielnie decyduje o celach prowadzonej współpracy i danych swoich klientów; zasady tej współpracy oraz dostęp zespołu ustala z klientem. Nie każdy trener korzystający z M2K jest członkiem zespołu operatora aplikacji.
3. Cele i podstawy prawne przetwarzania
- Świadczenie usługi (założenie i obsługa konta, udostępnianie treści Programu M2K) — art. 6 ust. 1 lit. b RODO (niezbędność do wykonania umowy).
- Analiza postępów przez trenera/zespół M2K (wgląd w tracker i historię treningów Użytkownika w panelu trenera) — art. 6 ust. 1 lit. b i f RODO (wykonanie umowy oraz prawnie uzasadniony interes administratora polegający na możliwości prowadzenia i monitorowania programu coachingowego).
- Obsługa reklamacji i korespondencji — art. 6 ust. 1 lit. b i f RODO.
- Ewentualne dochodzenie lub obrona przed roszczeniami — art. 6 ust. 1 lit. f RODO.
4. Odbiorcy danych i podmioty przetwarzające
Dane osobowe Użytkowników są powierzane następującym podmiotom, wyłącznie w celu realizacji usługi:
- Supabase — dostawca usług bazy danych i uwierzytelniania, na którym oparta jest Aplikacja. Dane przechowywane są na serwerach zlokalizowanych w regionie Londyn (Wielka Brytania). Wielka Brytania nie jest członkiem Europejskiego Obszaru Gospodarczego, jednak Komisja Europejska wydała decyzję stwierdzającą odpowiedni stopień ochrony danych osobowych w Wielkiej Brytanii (decyzja o adekwatności), co stanowi podstawę prawną transferu.
- Netlify — dostawca usługi hostingu strony i aplikacji internetowej (firma z siedzibą w USA). W zakresie, w jakim przetwarzanie wiąże się z transferem danych do USA, opiera się ono na mechanizmach zgodności uznanych przez Komisję Europejską (np. standardowe klauzule umowne lub udział dostawcy w programie EU-U.S. Data Privacy Framework — zależnie od aktualnej certyfikacji dostawcy).
- Google Fonts (Google LLC) — czcionki wykorzystywane na stronie ładowane są z serwerów Google, co wiąże się z przekazaniem adresu IP przeglądarki Użytkownika do Google w momencie wczytania strony.
Dane nie są sprzedawane ani udostępniane podmiotom trzecim w celach marketingowych.
5. Okres przechowywania danych
Dane osobowe przechowywane są przez okres posiadania aktywnego konta w Aplikacji, a po jego usunięciu — przez okres niezbędny do wypełnienia obowiązków prawnych administratora (np. rozliczeniowych) lub do czasu przedawnienia ewentualnych roszczeń.
6. Prawa Użytkownika
Każdemu Użytkownikowi przysługuje prawo do:
- dostępu do swoich danych osobowych,
- sprostowania (poprawiania) danych,
- usunięcia danych („prawo do bycia zapomnianym"),
- ograniczenia przetwarzania,
- przenoszenia danych,
- wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO,
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO), jeśli Użytkownik uzna, że przetwarzanie narusza przepisy RODO.
W celu realizacji powyższych praw należy skontaktować się z administratorem pod adresem e-mail podanym w punkcie 1. Część danych (np. imię, data rozpoczęcia programu) Użytkownik może samodzielnie zmienić w ustawieniach konta w Aplikacji.
7. Pliki cookies i przechowywanie lokalne
Aplikacja nie wykorzystuje plików cookies w celach marketingowych lub analitycznych. Do utrzymania sesji zalogowanego Użytkownika wykorzystywany jest mechanizm localStorage przeglądarki, w którym przechowywany jest token sesji niezbędny do działania Aplikacji — jest to element techniczny, bez którego zalogowanie się w Aplikacji nie byłoby możliwe.
Strona główna (landing) nie korzysta z narzędzi analitycznych ani reklamowych innych niż wskazane w punkcie 4.
8. Bezpieczeństwo danych
Administrator stosuje techniczne i organizacyjne środki bezpieczeństwa adekwatne do zidentyfikowanego ryzyka, w tym szyfrowane połączenie (HTTPS) oraz mechanizmy uwierzytelniania i haszowania haseł zapewniane przez dostawcę Supabase.
10. Integracja M2K z Google Calendar
Integracja jest opcjonalna i służy trenerom oraz właścicielom studiów do prowadzenia grafiku w M2K. Konto Google łączysz samodzielnie przez ekran zgody Google. M2K nie otrzymuje hasła do Twojego konta Google.
Zakres dostępu i cel
- Lista kalendarzy —
calendar.calendarlist.readonly: odczyt identyfikatorów, nazw, oznaczenia kalendarza głównego i uprawnień. Pozwala pokazać kalendarze, do których masz prawo zapisu, i wybrać kalendarz do synchronizacji. Identyfikator kalendarza głównego służy też do rozpoznania podłączonego konta. - Wydarzenia —
calendar.events: odczytywanie, tworzenie, aktualizowanie i odwoływanie terminów w wybranym kalendarzu, aby zmiany były dostępne w Google Calendar i w M2K. Uprawnienie Google może obejmować wydarzenia we wszystkich kalendarzach dostępnych dla konta; działanie integracji M2K ograniczamy do kalendarza wskazanego przez Ciebie.
Dostęp do zapisu jest potrzebny, ponieważ możesz dodawać, przesuwać i odwoływać terminy w M2K. Użycie istniejącego kalendarza, również współdzielonego z prawem zapisu, wymaga szerszego zakresu niż dostęp wyłącznie do kalendarzy utworzonych przez aplikację.
Jakie dane pobieramy i zapisujemy
Przetwarzamy identyfikator podłączonego konta i wybranego kalendarza, udzielone zakresy dostępu, ustawienia synchronizacji oraz dane wydarzeń: identyfikatory, tytuły, daty i godziny, kolory, statusy i informacje o aktualizacji. Zapisana kopia odpowiedzi Google dotyczącej wydarzenia może zawierać także opis, lokalizację, organizatora, uczestników i inne pola zwrócone przez API. Do synchronizacji wybierz kalendarz służbowy przeznaczony do treningów; nie umieszczaj w nim informacji zbędnych do obsługi terminów.
Bieżący odczyt obejmuje okno od 45 dni wstecz do 90 dni naprzód. To zakres odczytu, a nie termin automatycznego usunięcia wcześniej zapisanych danych. Powtarzalne wydarzenia mogą być pobierane jako pojedyncze wystąpienia.
Wykorzystanie danych i automatyzacja
Dane służą do wyświetlania grafiku, synchronizacji terminów, obsługi konfliktów zmian i — po osobnym skonfigurowaniu — przypisania zakończonych treningów do klientów i cykli pakietów. Samo połączenie Google nie uruchamia automatycznego naliczania historycznych sesji ani wysyłania SMS. Rozliczenia wymagają potwierdzenia sald, przypisania klientów i uruchomienia konfiguracji. Nie używamy danych Google do reklamy, profilowania reklamowego, sprzedaży danych ani trenowania ogólnych modeli sztucznej inteligencji.
Przechowywanie, dostęp i udostępnianie
Dane integracji są przechowywane w bazie aplikacji obsługiwanej przez Supabase. Token odświeżania Google jest przechowywany w szyfrowanym magazynie Supabase Vault, a operacje wymagające tego tokenu wykonuje serwer. Token Google nie jest zwracany do przeglądarki. Połączenia używają HTTPS, a dostęp do danych aplikacji podlega uwierzytelnianiu i uprawnieniom działalności. Terminy i powiązane informacje mogą być widoczne dla uprawnionych członków tej działalności, zgodnie z ich rolą.
Dane przekazujemy Google w celu realizacji zleconych zmian w kalendarzu, a dostawcom infrastruktury w zakresie koniecznym do działania i zabezpieczenia usługi. Po skonfigurowaniu powiadomień SMSAPI otrzymuje numer odbiorcy, treść wiadomości i dane techniczne doręczenia; treść może zawierać imię i informację o wykorzystaniu pakietu. Nie przekazujemy SMSAPI tokenu Google ani całej odpowiedzi API kalendarza. Dostęp człowieka do danych Google jest ograniczony do przypadków dopuszczonych zasadami Google, np. za Twoją zgodą przy pomocy technicznej, dla bezpieczeństwa lub wykonania obowiązku prawnego.
Wykorzystanie i przekazywanie informacji otrzymanych z interfejsów API Google przez M2K jest zgodne z Google API Services User Data Policy, w tym z wymaganiami Limited Use. Ta deklaracja opisuje zasady korzystania z danych; nie jest informacją o uzyskaniu przez aplikację certyfikatu ani akceptacji Google.
Odłączenie, cofnięcie zgody i usunięcie danych
- W M2K otwórz M2K Biznes → Kalendarz → Połączenie Google → Odłącz. Wyłącza to synchronizację, zapis do Google i automatyczne rozliczanie tego połączenia oraz usuwa zapisany w M2K token odświeżania Google.
- Aby cofnąć uprawnienia po stronie Google, usuń dostęp M2K w połączeniach na swoim koncie Google. Odłączenie w M2K samo w sobie nie usuwa zgody zapisanej na koncie Google.
- Aby usunąć zachowane w M2K kopie wydarzeń i dane połączenia, napisz na przedsiebiorczytrener@gmail.com, podając adres swojego konta M2K i nazwę działalności. Nie przesyłaj haseł ani tokenów. Po zweryfikowaniu uprawnienia do żądania usuniemy dane w zakresie objętym żądaniem i przepisami; poinformujemy o ewentualnej konieczności zachowania dokumentacji rozliczeniowej lub danych niezbędnych do roszczeń. Usunięcie kopii w M2K nie usuwa Twoich wydarzeń w Google.
Odłączenie Google nie usuwa automatycznie historii terminów, rozliczeń ani danych SMSAPI. Te dane podlegają zasadom retencji i żądaniom usunięcia opisanym w tej polityce. Zatrzymanie dostępu po stronie Google nie jest równoznaczne z usunięciem danych wcześniej zapisanych w M2K.
11. Własne konto SMSAPI trenera
Powiadomienia wymagają własnego konta SMSAPI, tokenu, aktywnego nadawcy, potwierdzonego doręczenia testu i odpowiednich ustawień odbiorców. Koszt wiadomości obciąża bezpośrednio konto trenera w SMSAPI na warunkach tego dostawcy. Zapisujemy konfigurację, token w magazynie Vault, numery i treść zleconych wiadomości, identyfikatory dostawcy oraz statusy doręczenia. Starszy token po zmianie konta może być zachowany w szyfrowanym magazynie jako element historii zleconych wysyłek; zmiana tokenu nie oznacza automatycznego usunięcia poprzedniego. W sprawie usunięcia danych integracji skontaktuj się z administratorem.
12. Zmiany polityki prywatności
Niniejsza polityka może być okresowo aktualizowana, w szczególności w związku ze zmianami przepisów prawa lub zakresu funkcjonalności Aplikacji. Aktualna wersja zawsze dostępna jest pod adresem appm2k.pl/polityka-prywatnosci/.