Polityka prywatności

Administratorem Twoich danych osobowych w rozumieniu RODO (rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679) jest Piotr Harasymczuk, prowadzący serwis SMC Basketball pod adresem www.smcbasket.com.

Kontakt w sprawach dotyczących danych osobowych: piotr@harasymczuk.pl.

W zależności od tego, jak korzystasz z serwisu, zbieramy:

• Dane konta — adres e-mail, imię i nazwisko (wyświetlane), data urodzenia, opcjonalnie numer telefonu.
• Dane logowania Google — jeśli logujesz się przez Google, otrzymujemy Twój adres e-mail i imię (nie otrzymujemy Twojego hasła).
• Historia uczestnictwa — wydarzenia, na które się zapisałeś, status płatności, ewentualne zwroty.
• Dane płatności — przetwarzane bezpośrednio przez Stripe (zob. punkt 4). My otrzymujemy jedynie identyfikator transakcji i jej status, nie mamy dostępu do danych karty.
• Token urządzenia (FCM) — jeśli włączysz powiadomienia push, zapisujemy techniczny identyfikator Twojej przeglądarki/urządzenia, żeby móc je dostarczyć.
• Dane techniczne — adres IP, typ przeglądarki, logi błędów (Sentry) — wykorzystywane wyłącznie do zapewnienia bezpieczeństwa i diagnozowania problemów.

• Świadczenie usługi (zapisy na wydarzenia, obsługa konta, kontakt) — art. 6 ust. 1 lit. b RODO (umowa).
• Obsługa płatności i ewentualnych zwrotów — art. 6 ust. 1 lit. b oraz c RODO (umowa i obowiązki prawne, w tym rachunkowe).
• Powiadomienia push — art. 6 ust. 1 lit. a RODO (zgoda — możesz ją wycofać w ustawieniach profilu).
• Bezpieczeństwo i diagnostyka — art. 6 ust. 1 lit. f RODO (uzasadniony interes administratora).

Korzystamy z następujących dostawców, którzy działają w naszym imieniu na podstawie umów powierzenia przetwarzania:

• Supabase (Supabase Inc., USA / region UE) — hosting bazy danych i obsługa logowania.
• Vercel (Vercel Inc., USA / region UE) — hosting aplikacji webowej.
• Stripe (Stripe Payments Europe Ltd., Irlandia) — operator płatności online.
• Firebase Cloud Messaging (Google Ireland Ltd.) — dostarczanie powiadomień push.
• Resend (Resend Inc., USA) — wysyłka e-maili transakcyjnych (zaproszenia, linki logowania).
• Sentry (Functional Software Inc., USA) — monitorowanie błędów aplikacji.
• Google — w przypadku logowania przez Google Sign-In.

Część dostawców przetwarza dane poza Europejskim Obszarem Gospodarczym. Transfer odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.

• Dane konta — przez czas korzystania z serwisu. Po usunięciu konta dane są zachowywane przez 3 miesiące (okres karencji na przywrócenie konta), a następnie trwale usuwane.
• Dane rozliczeniowe (potwierdzenia płatności) — 5 lat, zgodnie z wymogami ustawy o rachunkowości.
• Tokeny push — do momentu wyłączenia powiadomień lub odinstalowania aplikacji.
• Logi błędów — do 90 dni.

W każdej chwili możesz:

• uzyskać dostęp do swoich danych i kopię tych danych,
• żądać sprostowania nieprawidłowych danych,
• żądać usunięcia danych („prawo do bycia zapomnianym”),
• żądać ograniczenia przetwarzania,
• żądać przeniesienia danych do innego administratora,
• wycofać zgodę (jeśli przetwarzanie odbywa się na podstawie zgody),
• wnieść sprzeciw wobec przetwarzania,
• wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl), jeśli uważasz, że Twoje dane są przetwarzane niezgodnie z prawem.

Aby skorzystać z powyższych praw, napisz do nas na piotr@harasymczuk.pl. Odpowiadamy w ciągu 30 dni.

Używamy wyłącznie plików cookie niezbędnych do działania serwisu (sesja logowania Supabase). Nie używamy plików cookie do śledzenia ani profilowania reklamowego.

Po zainstalowaniu aplikacji jako PWA (Progressive Web App) przechowujemy lokalnie dane potrzebne do działania offline (cache, manifest, service worker). Możesz je usunąć w dowolnej chwili w ustawieniach przeglądarki.

Powiadomienia push są opcjonalne i wymagają wyrażenia zgody w przeglądarce. Możesz wyłączyć je w dowolnej chwili w sekcji „Powiadomienia push” na stronie profilu lub w ustawieniach przeglądarki/systemu.

Możemy aktualizować tę politykę — istotne zmiany ogłosimy na stronie serwisu z odpowiednim wyprzedzeniem. Data ostatniej aktualizacji widnieje na początku dokumentu.

Zawodnicy poniżej 18 lat grają za zgodą rodzica lub opiekuna prawnego (Regulamin rozgrywek, sekcja 19). Aby ją uzyskać, zawodnik podaje imię i nazwisko oraz adres e-mail rodzica, a my wysyłamy na ten adres link do formularza zgody. Organizator może też zapisać zgodę przekazaną SMS-em lub na piśmie.

Przechowujemy: imię i nazwisko oraz datę urodzenia zawodnika, imię i nazwisko i kontakt rodzica, treść potwierdzenia, a przy zgodzie przez formularz także datę, adres IP i przeglądarkę, z której jej udzielono. Celem jest udokumentowanie zgody wymaganej regulaminem; podstawą jest art. 6 ust. 1 lit. c i f RODO (obowiązek i prawnie uzasadniony interes organizatora w wykazaniu zgody).

Dane zgody przechowujemy przez czas trwania sezonu, a następnie przez okres przedawnienia ewentualnych roszczeń związanych z udziałem w spotkaniach. Po usunięciu konta zawodnika zapis zgody pozostaje jako dowód, bez powiązania z kontem. Rodzic może w każdej chwili wycofać zgodę i skorzystać z praw opisanych w sekcji 6.