Polityka prywatności
Co zbieramy, dlaczego i co z tym robimy.
Słowo wstępne
Poniżej znajdziesz pełne informacje o tym, jakie dane zbieramy, na jakiej podstawie prawnej, jak długo je przechowujemy i komu je przekazujemy. Jeśli masz pytanie, którego tu nie ma - napisz, odpiszemy.
Nie zbieramy niczego, czego nie potrzebujemy.
Administrator danych
Administratorem Twoich danych osobowych jest:
Administrator
Igor Górski Digital
NIP: 6112853774
Operator serwisu Orienteerly (orienteerly.com)
Email: kontakt@gorskidigital.pl
W sprawach dotyczących Twoich danych osobowych - dostęp, sprostowanie, usunięcie, sprzeciw - pisz na kontakt@gorskidigital.pl. W sprawach bieżących dotyczących zawodów, wyników i kont najszybciej odpowiemy pod igorgorski@paulinumevents.pl.
Jakie dane zbieramy
Zbieramy trzy różne rodzaje danych w trzech zupełnie różnych sytuacjach.
Blok A - Konto użytkownika
Gdy zakładasz konto, zbieramy:
Zawodnik - obowiązkowe
- Imię i nazwisko
- Adres email
- Hasło (przechowywane w postaci zaszyfrowanej - nie mamy dostępu do Twojego hasła w czystej postaci)
Zawodnik - opcjonalne (pomaga nam trafniej dopasować Twój profil sportowy)
- Klub
- Rok urodzenia
- Numer chipa SI
Opiekun klubu - obowiązkowe
- Imię i nazwisko
- Adres email
- Hasło
- Numer telefonu (do weryfikacji wniosku przez administratora)
- Nazwa klubu
- Rola w klubie
Jeśli rejestrujesz się przez Google - otrzymujemy tylko to, co Google przekazuje: zazwyczaj email i imię.
Blok B - Dane sportowe z zawodów
Jeśli startowałeś w zawodach zintegrowanych z Orienteerly, Twoje dane mogą trafić na platformę przez import z systemu organizatora (standard IOF XML 3.0). Nie musisz mieć konta, żeby Twoje wyniki były widoczne.
Dane sportowe obejmują
- Imię i nazwisko
- Klub
- Kategoria (np. M21, W18, H60)
- Numer startowy
- Numer chipa SI
- Czas wyniku i czasy pośrednie na kontrolach (splity)
- Miejsce na mecie i status (OK, DNF, DNS, Disqualified i inne)
Dane te nie trafiają od Ciebie bezpośrednio - importujemy je z systemów zarządzania zawodami prowadzonych przez organizatora.
Blok C - Ścieżki GPS (replay)
Jeśli korzystasz z GPS Replay i wgrywasz własną ścieżkę GPS z zawodów, zbieramy plik GPX zawierający sekwencję współrzędnych (szerokość, długość, wysokość, czas) przez cały czas Twojego wyścigu.
Wgrywa wyłącznie właściciel ścieżki. Uploadując swój track, wyrażasz zgodę na jego publiczne wyświetlenie w replayer w ramach danego etapu zawodów. Możesz go usunąć w każdej chwili.
Blok D - Zgłoszenie na zawody przez formularz
Jeśli zapisujesz się na zawody formularzem na Orienteerly, dane trafiają do nas wprost od Ciebie - inaczej niż wyniki z Bloku B, które importujemy od organizatora. Konto nie jest potrzebne.
Dane zgłaszającego
- Adres email - jedyne pole wymagane zawsze, bo bez niego nie ma jak wysłać potwierdzenia ani linku do poprawienia zgłoszenia
- Imię i nazwisko oraz telefon - jeśli organizator o nie pyta
Dane każdego zgłaszanego uczestnika
- Imię i nazwisko
- Klub, rok urodzenia, płeć, numer chipa SI - o które z nich pyta formularz, decyduje organizator
- Wybrana trasa lub kategoria oraz etapy
- Wariant opłaty, dodatki, kwota, tytuł przelewu i status płatności odznaczany ręcznie przez organizatora
- Odpowiedzi na pola dodane przez organizatora (np. rozmiar koszulki, nazwa jednostki)
Dane techniczne przeciw nadużyciom
- Skrót (hash) adresu IP, nie sam adres - do limitu zgłoszeń wystarczy móc porównać, czy to ten sam nadawca; surowego adresu nie przechowujemy w ogóle
- Identyfikator przeglądarki (user agent)
Co z tego widzi publiczność
Na publicznej liście zapisanych pokazujemy wyłącznie imię, nazwisko, klub i kategorię. Adres email, telefon, kwota, status płatności, odpowiedzi na pola organizatora i dane techniczne nie są publikowane nigdy - żadną drogą, w żadnym widoku, także po zalogowaniu.
Organizator może wyłączyć publikowanie personaliów dla całego formularza - stosuje się to tam, gdzie sama jawność jest problemem, na przykład przy zgłoszeniach służb mundurowych. Zgłoszeni takim formularzem nie pojawiają się wtedy ani na liście, ani w jej liczniku. Ich dane są nadal normalnie przetwarzane: widzi je organizator i trafiają do systemu pomiaru czasu, bo bez tego nie da się przeprowadzić zawodów. To wyłącznik publikacji, nie przetwarzania. Ustawieniem dysponuje organizator - jeśli Ci na nim zależy, to z nim trzeba je ustalić.
Link do poprawienia lub wycofania zgłoszenia wysyłamy mailem i istnieje on wyłącznie w Twojej skrzynce. My zapisujemy tylko jego jednokierunkowy skrót, z którego nie da się odtworzyć samego linku - nawet my nie jesteśmy w stanie wejść tą drogą w cudze zgłoszenie.
Kto ma dostęp do danych ze zgłoszeń i dlaczego lista nie jest udostępniana na prośbę - patrz sekcja 07. Kto ma dostęp do danych ze zgłoszeń.
Podstawy prawne przetwarzania
Dane rejestracyjne konta
Niezbędność do wykonania umowy - świadczymy usługę konta na podstawie warunków tego regulaminu. Bez tych danych konto nie może działać.
Dane sportowe z zawodów
Prawnie uzasadniony interes. Publikacja wyników zawodów wyczynowych jest standardową praktyką sportową od dekad - drukowano je, wieszano na tablicach, publikowały je federacje na długo przed RODO. Orienteerly jest cyfrowym odpowiednikiem tej tablicy. Interes ten jest proporcjonalny i nie nadużywa Twoich praw.
Zgłoszenie na zawody
Niezbędność do wykonania umowy. Wysyłając formularz, zawierasz z organizatorem umowę o udział w zawodach - bez imienia, nazwiska i kategorii nie ma kogo wpisać na listę startową, a bez adresu email nie ma jak potwierdzić zgłoszenia. Publikacja imienia, nazwiska, klubu i kategorii na liście zapisanych opiera się dodatkowo na prawnie uzasadnionym interesie (art. 6(1)(f)) - jawna lista zgłoszonych jest w tym sporcie standardem, a organizator może ją dla danego formularza wyłączyć.
Ścieżki GPS
Zgoda. Wgranie ścieżki GPS to działanie dobrowolne, które traktujemy jako wyraźną zgodę na jej publiczne wyświetlenie. Możesz wycofać tę zgodę usuwając track.
Jak długo przechowujemy dane
| Kategoria danych | Czas przechowywania |
|---|---|
| Dane konta (email, hasło, metadane) | Do momentu usunięcia konta + 30 dni |
| Opcjonalne dane profilu (klub, rok urodzenia, numer SI) | Jak wyżej |
| Wyniki i dane sportowe z zawodów | Bezterminowo - publiczny rekord zawodów |
| Profil zawodnika (bez powiązanego konta) | Bezterminowo - publiczny rekord |
| Ścieżki GPS | Do momentu usunięcia przez użytkownika |
| Zgłoszenia na zawody (uczestnicy, kontakt, opłaty) | Do usunięcia przez organizatora lub na Twoje żądanie |
| Skrót adresu IP i user agent (antyspam) | Razem ze zgłoszeniem, którego dotyczą |
| Logi techniczne i analytics | 90 dni (Vercel Analytics) |
Bezterminowe przechowywanie wyników sportowych jest uzasadnione ich charakterem - wyniki zawodów wyczynowych mają wartość historyczną i archiwalną dla całego środowiska biegu na orientację. Możesz jednak poprosić o anonimizację - patrz sekcja 8.
Komu przekazujemy dane
Korzystamy z kilku zewnętrznych dostawców. Wszyscy są związani umowami o przetwarzaniu danych (Data Processing Agreement).
| Dostawca | Rola | Region | Podstawa transferu |
|---|---|---|---|
| Supabase | Baza danych i autentykacja | Irlandia (UE) | Brak transferu poza EOG |
| Vercel | Hosting aplikacji i CDN | USA + globalny CDN | Standardowe Klauzule Umowne (SCC) |
| Google LLC | OAuth - logowanie przez Google | USA | Standardowe Klauzule Umowne (SCC) |
| Hetzner Online GmbH | Serwer transmisji live (video) | Falkenstein (Niemcy, UE) | Brak transferu poza EOG |
| Anthropic PBC | AI asystent Rubezahl | USA | SCC |
Ważne dot. Rubezahl: treść wiadomości wysyłanych do AI asystenta trafia do API Anthropic. Nie przesyłamy tam Twoich danych osobowych. Korzystamy z API Anthropic, a zgodnie z warunkami tej usługi Anthropic nie wykorzystuje treści przesyłanych przez API do trenowania swoich modeli. Mimo to traktuj rozmowy z Rubezahl jak rozmowę z publicznym chatbotem i nie wpisuj wrażliwych informacji.
Nie sprzedajemy danych nikomu. Nie udostępniamy ich firmom reklamowym ani brokerom danych.
Powyższe firmy to podmioty przetwarzające - dostawcy infrastruktury, którzy przechowują dane w naszym imieniu i nie mogą użyć ich do własnych celów. To co innego niż osoby, które mogą Twoje dane zobaczyć. Tych drugich dotyczy sekcja 07. Kto ma dostęp do danych ze zgłoszeń - i jest ich znacznie mniej, niż większość osób zakłada.
Kto ma dostęp do danych ze zgłoszeń
Sekcja 06 mówi, komu powierzamy dane technicznie. Ta mówi, kto może je zobaczyć - a to zupełnie inne pytanie i najczęściej zadawane nam ze wszystkich.
Zakres dostępu nie zależy od niczyjej uprzejmości ani od tego, kto kogo zna. Jest zapisany jako reguła w samej bazie danych (Row Level Security) i obowiązuje każde zapytanie, także wysłane przez nas. Nie jest to ukryty przycisk, który da się komuś odsłonić.
| Kto | Co widzi ze zgłoszeń | Jak to uzyskuje |
|---|---|---|
| Superadministrator | Wszystkie zgłoszenia na platformie, z danymi kontaktowymi i płatnościami | Rola nadawana ręcznie przez operatora. Nie da się o nią wystąpić |
| Osoba zgłaszająca | Wyłącznie własne zgłoszenie | Automatycznie, jeśli była zalogowana w chwili wysyłki |
| Opiekun klubu | Zgłoszenia złożone dla jego klubu - również przez drugiego opiekuna. Cudzych klubów nie widzi | Automatycznie po zatwierdzeniu roli opiekuna |
| Wszyscy pozostali | Tylko to, co publiczne: imię, nazwisko, klub, kategoria | Bez logowania |
Nie istnieje konto organizatora
W obecnej wersji platformy nie ma roli pośredniej między opiekunem klubu a superadministratorem. Oznacza to, że także działacze klubu organizującego zawody nie mają wglądu w komplet zgłoszeń - chyba że któryś z nich jest jednocześnie superadministratorem operatora. Rolę organizatora zbudujemy w przyszłości i będzie ograniczona do jednych zawodów. Do tego czasu pośredniego szczebla po prostu nie ma i nie da się go przyznać, bo nie istnieje.
Pytania, które i tak padną
„Jestem w zarządzie klubu / trenerem / od lat w tym środowisku.”
Funkcja w klubie, staż i zasługi nie są uprawnieniem dostępowym. Baza danych nie zna pojęcia zasłużonego działacza - zna rolę przypisaną do konta. To nie jest ocena osoby, tylko konstrukcja systemu.
„Przecież to jedno kliknięcie.”
Nie ma czegoś takiego jak dostęp do jednej listy. Jedyna rola, która widzi cudze zgłoszenia, to superadministrator - a ta widzi WSZYSTKIE zawody na platformie, wraz z mailami, telefonami i płatnościami wszystkich zapisanych. Prośba o jedną listę jest w praktyce prośbą o klucz do całości.
„Nikomu tego nie przekażę, obiecuję.”
Zapewnienie o dobrych intencjach nie jest podstawą przetwarzania danych. RODO wymaga wskazania podstawy z art. 6 i - gdy dane mają być przetwarzane w naszym imieniu - pisemnej umowy powierzenia z art. 28. Zaufanie do konkretnej osoby żadnego z tych dwóch dokumentów nie zastępuje.
„Organizator się zgodził.”
Organizator nie dysponuje rolami w systemie i nie może przyznać dostępu do danych, których administratorem jest operator platformy. Może natomiast udostępnić własne dane własnymi kanałami - to jego decyzja i jego odpowiedzialność, poza Orienteerly.
„To dane z zawodów, w których startuję.”
Startowanie w zawodach daje prawo do własnych danych - i to prawo realizujemy w każdej chwili, patrz sekcja 08. Nie daje prawa do danych pozostałych uczestników. Tu przebiega granica.
Co faktycznie musiałoby się wydarzyć
Żeby ktokolwiek spoza powyższej tabeli otrzymał dostęp do danych ze zgłoszeń, musiałby łącznie: wskazać podstawę prawną z art. 6 RODO, określić cel węższy niż „chcę mieć wgląd”, zawrzeć z operatorem pisemną umowę powierzenia przetwarzania z art. 28 RODO i uzyskać zgodę operatora jako administratora danych. Każdy z tych warunków jest konieczny; żaden sam nie wystarcza.
Nie prowadzimy wyjątków indywidualnych. Jeżeli odpowiedź na powyższe brzmi „nie”, brzmi tak samo dla każdego pytającego - niezależnie od funkcji, stażu, tego, jak dobrze się znamy, i od tego, po raz który pytanie zostało zadane. Ponowienie prośby nie jest nową okolicznością i nie zmienia odpowiedzi. Nie jest to wyraz nieufności wobec kogokolwiek - po prostu opisany wyżej mechanizm nie ma trybu, w którym dałoby się zrobić komuś uprzejmość kosztem danych kilkuset innych osób.
Jeśli uważasz, że Twój przypadek spełnia wszystkie cztery warunki - napisz na kontakt@orienteerly.com i opisz je po kolei. Wnioski bez wskazanej podstawy prawnej zostawiamy bez rozpoznania.
Twoje prawa
Na mocy RODO przysługują Ci następujące prawa. Żeby skorzystać z któregokolwiek, wystarczy napisać na kontakt@gorskidigital.pl - odpowiadamy w ciągu 30 dni (wymóg RODO).
Prawo dostępu
Możesz poprosić o kopię danych które o Tobie mamy - wyślemy je w czytelnym formacie.
Prawo do sprostowania
Twoje dane są błędne? Poprawiamy - wystarczy jedno zgłoszenie.
Prawo do usunięcia
Możesz usunąć swoje konto i dane rejestracyjne. Dane sportowe (wyniki zawodów) mogą zostać zanonimizowane - patrz sekcja poniżej.
Prawo do ograniczenia przetwarzania
Możesz poprosić o wstrzymanie przetwarzania Twoich danych w konkretnym celu - np. na czas rozpatrywania sprzeciwu.
Prawo do przenoszenia danych
Możesz poprosić o export danych Twojego konta w formacie JSON - gotowy do pobrania i użycia w innym serwisie.
Prawo do sprzeciwu
Możesz sprzeciwić się przetwarzaniu Twoich danych opartemu na uzasadnionym interesie - dotyczy to w szczególności danych sportowych. Rozpatrzymy Twoje żądanie i odpiszemy.
Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO) jeśli uważasz że przetwarzamy Twoje dane niezgodnie z prawem. Więcej informacji na uodo.gov.pl.
Anonimizacja wyników sportowych
Rozumiemy że nie każdy chce żeby jego wyniki były w Internecie na zawsze. Jednocześnie usunięcie jednego rekordu z listy wyników burzy spójność całego protokołu zawodów - każdy kto startował ma prawo do pełnych, porównywalnych wyników.
Przyjęliśmy następujące podejście: na żądanie anonimizujemy Twoje dane w wynikach. Twoje imię i nazwisko zostaje zastąpione przez „Zawodnik anonimowy”, inne identyfikatory są usuwane. Czas wyniku i miejsce pozostają jako część rekordu zawodów.
Żeby złożyć wniosek o anonimizację - napisz na kontakt@gorskidigital.pl z informacją: zawody, etap i Twoje dane (żebyśmy wiedzieli który rekord anonimizować). Realizujemy w ciągu 14 dni.
Pliki cookie sesji (Supabase Auth)
Jeśli jesteś zalogowany, w Twojej przeglądarce są zapisane sesyjne pliki cookie Supabase (sb-*). Służą wyłącznie do utrzymania sesji logowania i są niezbędne do działania konta - nie możesz ich wyłączyć jeśli chcesz być zalogowany.
Session storage
Jednorazowo zapisujemy w session storage przeglądarki informację czy widziałeś już intro animację platformy. Znika automatycznie przy zamknięciu przeglądarki.
Vercel Analytics
Korzystamy z Vercel Analytics do pomiaru ruchu - odwiedzane podstrony, urządzenie i przeglądarka, czas ładowania. Nie używamy Google Analytics ani żadnych trackerów reklamowych. Dane Analytics są przechowywane przez 90 dni.
Nie używamy ciasteczek reklamowych ani śledzących. Nie ma tu żadnego remarketingu, pikseli Facebooka ani podobnych mechanizmów.
Zmiany polityki
Możemy aktualizować tę politykę - na przykład gdy zmieniamy dostawców, dodajemy nowe funkcje albo formalnie rejestrujemy podmiot prawny. O istotnych zmianach poinformujemy zarejestrowanych użytkowników emailem.
Data ostatniej aktualizacji jest zawsze widoczna na górze tej strony. Aktualna wersja jest dostępna pod adresem orienteerly.com/polityka-prywatnosci.
Kontakt
Wszelkie pytania, żądania i wnioski dotyczące danych osobowych - pisz tutaj:
kontakt@gorskidigital.plOdpowiadamy w ciągu 48 godzin w dni robocze, w sprawach RODO - w ciągu 30 dni (wymóg ustawowy).
Jeśli szukasz zasad korzystania z platformy - przeczytaj Regulamin.