Polityka Prywatności serwisu RunByMe

1. Administrator danych

Administratorem danych osobowych jest Adrian Drabiński prowadzący działalność gospodarczą pod firmą ADSOFT, ul. Jana Kazimierza 29, 01-248 Warszawa, NIP 5252096864, REGON 142493290. Kontakt w sprawach ochrony danych: kontakt@runbyme.pl.

2. Jakie dane przetwarzamy

Dane konta: imię i nazwisko, adres e-mail, hasło (w postaci zahashowanej), język interfejsu.
Dane treningowe: aktywności z serwisu Strava lub z wgranych plików (dystans, czas, tempo, przewyższenie, trasa GPS), a także dane profilu treningowego.
Dane dotyczące zdrowia (art. 9 RODO): tętno (średnie i maksymalne, strefy), podane przez Użytkownika informacje o kontuzjach i ograniczeniach, dane o mocy biegowej.
Dane techniczne: adres IP i informacja o przeglądarce zapisywane przy udzielaniu zgód, logi żądań, dane o zużyciu AI (liczba tokenów, model).

3. Cele i podstawy prawne

• Świadczenie usługi (konto, generowanie planów i analiz) — art. 6 ust. 1 lit. b RODO (wykonanie umowy).
• Przetwarzanie danych dotyczących zdrowia w celu generowania planów i analiz przez zautomatyzowany system AI — art. 9 ust. 2 lit. a RODO (wyraźna zgoda). Cofnięcie tej zgody uniemożliwia generowanie planu i analizę sesji, nie powoduje jednak automatycznego usunięcia dotychczas zebranych danych.
• Marketing (newsletter) — art. 6 ust. 1 lit. a RODO (zgoda), o ile została udzielona.
• Bezpieczeństwo, wykrywanie nadużyć, rozliczenia z dostawcami — art. 6 ust. 1 lit. f RODO (uzasadniony interes).
• Obowiązki podatkowe/księgowe przy płatnościach — art. 6 ust. 1 lit. c RODO.

4. Odbiorcy danych i podmioty przetwarzające

Dane powierzamy podmiotom przetwarzającym na podstawie umów powierzenia (DPA):

• Dostawcy modeli AI (generowanie planów, analiz, czat): Anthropic, PBC (Stany Zjednoczone), OpenAI, L.L.C. (Stany Zjednoczone) oraz OpenRouter, Inc. (Stany Zjednoczone), na podstawie warunków powierzenia przetwarzania danych (DPA) udostępnianych przez tych dostawców. Do modelu przekazujemy wyłącznie pochodne dane treningowe (dystans, czas, tempo/odcinki, tętno, kadencja, moc, przewyższenie, nachylenie, temperatura, typ treningu, teren opisowo, daty względne).Nie przekazujemy imienia i nazwiska, adresu e-mail, identyfikatora Strava, nazw aktywności ani surowych danych GPS (śladu trasy, współrzędnych, dokładnej lokalizacji startu). Kontrolę wymusza automatyczna warstwa filtrująca po stronie serwera. Ścieżki dotykające danych o zdrowiu (plan, analiza) korzystają wyłącznie z modeli Anthropic.
• Hosting i infrastruktura: usługa Mikr.us (mikr.us); serwery utrzymywane są w infrastrukturze Hetzner Online GmbH, w centrum danych na terenie Unii Europejskiej (Finlandia).
• Płatności: Stripe (Stripe Payments Europe, Limited), na podstawie warunków powierzenia przetwarzania danych tego dostawcy — moduł płatności jest obecnie wyłączony.
• Strava — na podstawie autoryzacji OAuth udzielonej przez Użytkownika.

5. Transfer poza Europejski Obszar Gospodarczy

Część dostawców (w szczególności dostawcy modeli AI) przetwarza dane w Stanach Zjednoczonych, poza EOG. Transfer odbywa się na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską, a w przypadku dostawców certyfikowanych w ramach EU–U.S. Data Privacy Framework — na podstawie decyzji wykonawczej Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony.

6. Okres przechowywania

Dane konta i dane treningowe przechowujemy przez czas istnienia Konta. Po usunięciu Konta są one niezwłocznie usuwane, z wyjątkiem danych, które Usługodawca jest zobowiązany zachować na podstawie przepisów prawa. Logi techniczne przechowujemy do 12 miesięcy. Rejestr zgód przechowujemy przez 3 lata od cofnięcia zgody lub zakończenia przetwarzania (rozliczalność). Dane rozliczeniowe związane z płatnościami przechowujemy przez 5 lat, licząc od końca roku kalendarzowego, w którym powstał obowiązek podatkowy.

7. Prawa Użytkownika

Przysługuje prawo dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu oraz cofnięcia zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania przed cofnięciem). Zgody można wycofać w sekcji „Prywatność i zgody” w ustawieniach. Przysługuje też prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

8. Zautomatyzowane podejmowanie decyzji

Plany i analizy są generowane automatycznie przez modele AI. Nie wywołują one skutków prawnych ani nie wpływają w podobnie istotny sposób na sytuację Użytkownika w rozumieniu art. 22 RODO; mają charakter niewiążącej rekomendacji treningowej. Decyzje dotyczące treningu Użytkownik podejmuje samodzielnie — może zignorować wygenerowaną treść, a w razie wątpliwości skontaktować się z nami pod adresem kontakt@runbyme.pl.

9. Pliki cookies i podobne technologie

Serwis wykorzystuje wyłącznie niezbędne pliki cookies oraz pamięć lokalną przeglądarki (localStorage): cookie sesji logowania utrzymujące zalogowanie (mechanizm NextAuth) oraz localStorage na preferencje interfejsu (m.in. wybór języka, wygląd, filtry wykresów, zwinięte sekcje). Nie stosujemy plików cookies marketingowych, nie korzystamy z narzędzi analitycznych ani śledzących i nie profilujemy Użytkowników do celów reklamowych.

10. Zmiany polityki

O istotnych zmianach Użytkownik zostanie poinformowany, a dalsze korzystanie z Serwisu może wymagać potwierdzenia zapoznania się z nową wersją.