Polityka prywatności
Administrator: Spareya s. r. o. Obowiązuje od: 13 października 2026
Niniejsza Polityka wyjaśnia, jakie dane osobowe o Państwu przetwarzamy, dlaczego, na jakiej podstawie prawnej, komu je udostępniamy, jak długo je przechowujemy i jakie mają Państwo prawa. Dotyczy Usługi Spareya — zarówno Aplikacji, jak i Serwisu (spareya.eu).
Użytkownicy w Zjednoczonym Królestwie (UK). Wobec użytkowników mających miejsce pobytu w Wielkiej Brytanii niniejsza Polityka stosuje się w zakresie UK GDPR oraz Data Protection Act 2018; odniesienia do „RODO” i „organu nadzorczego” wykłada się wobec nich jako UK GDPR oraz Information Commissioner's Office (ICO).
1. Administrator i kontakt
Administratorem danych osobowych w rozumieniu rozporządzenia (UE) 2016/679 („RODO”) jest:
- Spareya s. r. o., Lermontovova 911/3, 811 05 Bratislava-Staré Mesto, Słowacja
- IČO: 57 718 768; wpisana do Rejestru handlowego Sądu Miejskiego Bratislava III, dział Sro, wkładka nr 201128/B
- Osoba reprezentująca spółkę: Marek Jankech · Strona internetowa: https://spareya.eu
- Kontakt w sprawach ochrony danych: support@spareya.eu
Inspektor ochrony danych (IOD): Oceniliśmy obowiązek wyznaczenia inspektora ochrony danych zgodnie z art. 37 RODO; przy naszej obecnej skali obowiązek ten nas nie dotyczy. Jeżeli to się zmieni, wyznaczymy inspektora i uzupełnimy jego dane kontaktowe.
Użytkownicy z Wielkiej Brytanii: W sprawach ochrony danych mogą Państwo skontaktować się z nami bezpośrednio na support@spareya.eu albo zwrócić się do ICO (art. 13). Przedstawiciela dla Wielkiej Brytanii zgodnie z art. 27 UK GDPR wyznaczymy przed udostępnieniem Aplikacji użytkownikom z Wielkiej Brytanii.
2. Jakie dane przetwarzamy
Poniżej znajduje się przegląd kategorii danych osobowych, które przetwarzamy, każdorazowo wraz z celem, podstawą prawną według art. 6 RODO i okresem przechowywania. Dane Konta (e-mail, hasło, pseudonim, rok urodzenia) są niezbędne do zawarcia i wykonania umowy o świadczenie Usługi — bez nich nie możemy założyć Państwu Konta. Dane oznaczone jako nieobowiązkowe podają Państwo dobrowolnie.
2.1 Dane Konta (Aplikacja)
| Dane | Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Założenie Konta i zarządzanie nim, logowanie, wiadomości transakcyjne | Wykonanie umowy (art. 6 ust. 1 lit. b) | Przez czas istnienia Konta; po usunięciu Konta do 30 dni | |
| Hasło (zahaszowane, Supabase Auth) | Zabezpieczenie dostępu | Wykonanie umowy (art. 6 ust. 1 lit. b) | Przez czas istnienia Konta |
| Pseudonim | Identyfikacja wobec innych użytkowników | Wykonanie umowy (art. 6 ust. 1 lit. b) | Przez czas istnienia Konta |
| Rok urodzenia | Weryfikacja warunku 18+ | Wykonanie umowy (art. 6 ust. 1 lit. b); prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Przez czas istnienia Konta |
| Płeć (nieobowiązkowo) | Preferencje przy dobieraniu partnerów; Spotkania tylko dla kobiet albo tylko dla mężczyzn | Wykonanie umowy (art. 6 ust. 1 lit. b) | Przez czas istnienia Konta albo do usunięcia |
| Historia zmian płci (wartość pierwotna i nowa, czas) | Ochrona Spotkań tylko dla kobiet albo tylko dla mężczyzn przed nadużyciami | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Przez czas istnienia Konta |
| Język | Lokalizacja Usługi | Wykonanie umowy (art. 6 ust. 1 lit. b) | Przez czas istnienia Konta |
2.2 Dane Profilu (Aplikacja)
| Dane | Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Sporty i poziom | Dobieranie partnerów i wyszukiwanie Spotkań | Wykonanie umowy (art. 6 ust. 1 lit. b) | Przez czas istnienia Konta |
| Opis profilu | Przedstawienie się pozostałym | Wykonanie umowy (art. 6 ust. 1 lit. b) | Przez czas istnienia Konta |
| Narodowość (nieobowiązkowo) i języki, którymi Państwo mówią | Przedstawienie się pozostałym, porozumiewanie się na Spotkaniu | Wykonanie umowy (art. 6 ust. 1 lit. b) | Przez czas istnienia Konta albo do usunięcia |
| Awatar (ikona i kolor) oraz odznaki (np. Członek założyciel, ambasador, poziom) | Przedstawienie się pozostałym, docenienie aktywności | Wykonanie umowy (art. 6 ust. 1 lit. b) | Przez czas istnienia Konta |
| Dostępność (dni i godziny, w których mogą Państwo uprawiać sport) | Propozycje partnerów i Spotkań | Wykonanie umowy (art. 6 ust. 1 lit. b) | Przez czas istnienia Konta albo do usunięcia |
| Dom: wyszukana przez Państwa miejscowość (ewentualnie kod pocztowy), jej punkt centralny, wyprowadzony z niego rejon lub obszar oraz przybliżona strefa (około 5 × 5 km) | Wyświetlanie odpowiednich Spotkań, klubów i miejsc w okolicy; zaliczenie do progu rejonu lub obszaru | Wykonanie umowy (art. 6 ust. 1 lit. b) | Przez czas istnienia Konta |
| Rzetelność (ocena) | Wiarygodność i bezpieczeństwo społeczności | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Przez czas istnienia Konta |
2.3 Weryfikacja prawdziwej osoby i wieku (Aplikacja)
| Dane | Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Wynik weryfikacji prawdziwej osoby (tak/nie oraz data) | Bezpieczeństwo Spotkań: każda osoba, z którą się Państwo spotykają, to zweryfikowana, prawdziwa osoba | Wykonanie umowy (art. 6 ust. 1 lit. b); prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Przez czas istnienia Konta |
| Zapis próby weryfikacji (rodzaj kontroli, status, godziny, numer zapisu w Didit) | Przebieg weryfikacji, limit prób, sprawdzenie, że zapis w Didit został usunięty | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Przez czas istnienia Konta |
| Weryfikacja wieku, gdy jest ku temu powód (status, powód, kto zdecydował) | Przestrzeganie warunku 18+ | Wykonanie umowy (art. 6 ust. 1 lit. b); prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Przez czas istnienia Konta |
Zdjęcia, filmu ani oszacowanego wieku NIE PRZECHOWUJEMY. Z weryfikacji zachowujemy tylko dane z powyższej tabeli. Szczegóły w artykule 3.
Przejściowo: Weryfikację przed kamerą przez Didit włączymy przed odblokowaniem pierwszego rejonu lub obszaru. Do tego czasu Spotkania z ludźmi się nie odbywają; wyjątkiem są treningi tylko dla członków zweryfikowanego Klubu, w których Klub zna swoich członków.
2.4 Dane o aktywności (Aplikacja)
| Dane | Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Spotkania i wydarzenia (udział, organizacja, potwierdzenie, że Spotkanie się odbyło, zainteresowanie wydarzeniem) | Główna funkcja Usługi | Wykonanie umowy (art. 6 ust. 1 lit. b) | Przez czas istnienia Konta; zagregowane dłużej |
| Zapytania „szukam partnera” (sport, przedział czasowy, przybliżona strefa) | Propozycje partnerów i zastępstwo przy odwołaniu | Wykonanie umowy (art. 6 ust. 1 lit. b) | Do wygaśnięcia zapytania; zapytania wygasłe do usunięcia w Aplikacji albo usunięcia Konta |
| Wiadomości na czacie (w ramach Spotkania, Klubu lub rozmowy) | Komunikacja uczestników; bezpieczeństwo i moderacja | Wykonanie umowy (art. 6 ust. 1 lit. b); prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | 90 dni od wysłania; wiadomości automatycznie oznaczone do kontroli najwyżej 365 dni, a wiadomości, których dotyczy zgłoszenie, do czasu jego rozstrzygnięcia |
| Oceny | Wiarygodność i jakość społeczności | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Przez czas istnienia Konta |
| Zgłoszenia i blokady | Bezpieczeństwo, moderacja, ochrona przed nadużyciami (DSA) | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f); obowiązek prawny (art. 6 ust. 1 lit. c) | Przez czas rozpatrywania, a następnie z reguły 12 miesięcy |
| Kluby: członkostwo (rola, status, data dołączenia), obecność na treningach klubowych, wniosek o administrowanie Klubem wraz z dowodem (np. link do strony internetowej lub mediów społecznościowych) | Działanie Klubów, weryfikacja Klubu | Wykonanie umowy (art. 6 ust. 1 lit. b); prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Do odejścia z Klubu albo usunięcia Konta; po usunięciu Konta na liście obecności Klubu pozostaje tylko wpis bez powiązania z Państwem |
| Profil trenera (opis, sporty, rejon lub obszar działalności, obiekty sportowe, link do strony internetowej, udokumentowane kwalifikacje) oraz oceny trenerów (gwiazdki, komentarz, odpowiedź trenera) | Lista trenerów i jej wiarygodność | Wykonanie umowy (art. 6 ust. 1 lit. b); prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Do usunięcia profilu trenera, usunięcia oceny albo usunięcia Konta |
| Propozycje nowych obiektów sportowych (nazwa, uwaga, lokalizacja proponowanego miejsca) | Uzupełnianie mapy obiektów sportowych | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Przez czas istnienia Konta; nierozpatrzona propozycja wygasa po 90 dniach |
| Zgłoszenia problemów (Państwa tekst, nasza odpowiedź, kontekst techniczny: wersja, język, platforma, ekran) | Wsparcie i naprawa błędów | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Przez czas istnienia Konta |
| Zaproszenia (Państwa kod polecający, kto kogo zaprosił) | Zapraszanie znajomych, kredyty i odznaka ambasadora | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Przez czas istnienia Konta; kredyty nie są zapisywane, lecz na bieżąco wyliczane |
| Powiadomienia w Aplikacji (rodzaj, treść, czas, odczytanie) | Informowanie o tym, co dzieje się w Usłudze | Wykonanie umowy (art. 6 ust. 1 lit. b) | 180 dni |
| Token urządzenia do doręczania powiadomień (push) | Doręczanie powiadomień na telefon lub do przeglądarki | Wykonanie umowy (art. 6 ust. 1 lit. b) | Do wyłączenia powiadomień, wylogowania urządzenia albo usunięcia Konta |
| Link „Udostępnij bliskiej osobie” dla konkretnego Spotkania | Bezpieczeństwo: bliska osoba wie, gdzie i kiedy uprawiają Państwo sport | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Ważny do 6 godzin po rozpoczęciu Spotkania albo do jego odwołania |
2.4a Zdjęcia ze Spotkań (nieobowiązkowe, Aplikacja)
| Dane | Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Zdjęcia z odbytego Spotkania (nieobowiązkowe) | Dzielenie się przeżyciem; publikacja przez Spareyę wyłącznie za zgodą | Zgoda (art. 6 ust. 1 lit. a) wszystkich przedstawionych osób — na publikację przez Spareyę | Do odwołania zgody albo usunięcia Konta |
Zdjęcia a zgoda. Zdjęcia są nieobowiązkowe i dostępne dopiero po odbytym Spotkaniu. Przechowuje je Supabase Storage, a przed zapisaniem usuwamy z nich metadane lokalizacji (EXIF). Abyśmy mogli zdjęcie opublikować my (np. w mediach społecznościowych Spareya), muszą się na to zgodzić wszystkie przedstawione osoby; każda z nich może zgodę w dowolnej chwili odwołać. To, czy zdjęcie udostępnią Państwo sami, jest Państwa własną decyzją, niezwiązaną z tym przetwarzaniem. Zdjęcia podlegają Zasadom społeczności i moderacji (mogą je Państwo zgłosić).
2.4b Kontakt alarmowy (nieobowiązkowy, Aplikacja)
| Dane | Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Kontakt alarmowy — imię oraz e-mail lub telefon osoby trzeciej | Bezpieczeństwo przy Spotkaniach; kontakt wyłącznie w sytuacji nagłej lub zagrożenia | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) — ochrona życia, zdrowia i bezpieczeństwa | Do usunięcia kontaktu albo usunięcia Konta |
Kontakt alarmowy (dane osoby trzeciej). Podając kontakt alarmowy, oświadczają Państwo, że są uprawnieni przekazać nam dane tej osoby. Wykorzystamy je wyłącznie w sytuacji nagłej lub zagrożenia bezpieczeństwa, nie do zwykłej komunikacji ani marketingu. Podstawą prawną jest nasz prawnie uzasadniony interes w ochronie życia i bezpieczeństwa, a nie zgoda osoby kontaktowanej. Osoba ta może w każdej chwili zażądać usunięcia swoich danych, pisząc na support@spareya.eu.
2.4c Zdjęcie profilowe (nieobowiązkowe, Aplikacja)
| Dane | Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Zdjęcie profilowe (nieobowiązkowe) | Aby pozostali uczestnicy mogli Państwa rozpoznać na Spotkaniu | Wykonanie umowy (art. 6 ust. 1 lit. b) | Do usunięcia zdjęcia albo usunięcia Konta |
| Kontrola zdjęcia pod kątem nieodpowiednich treści (obecnie przez człowieka, po włączeniu także automatycznie) | Bezpieczeństwo społeczności — ochrona przed nagością i przemocą | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Wynik kontroli razem ze zdjęciem; w przypadku odrzuconego zdjęcia 30 dni |
Kto widzi zdjęcie profilowe. Wyłącznie potwierdzeni uczestnicy tego samego Spotkania, i to najdłużej do dwóch dni od jego rozpoczęcia. Zdjęcie nie jest wyświetlane na mapie, na listach, w propozycjach partnerów ani w publicznym profilu — tam widoczny jest Państwa awatar. Przed zapisaniem usuwamy ze zdjęcia metadane, w tym lokalizację. Po włączeniu automatycznej kontroli zdjęcie sprawdzi usługa Microsoft Azure AI Content Safety w UE; usługa nie przechowuje zdjęcia i nie wykorzystuje go do trenowania. Obecnie automatyczna kontrola jest wyłączona, a każde zdjęcie przed wyświetleniem ocenia człowiek. Zdjęcie musi przedstawiać Państwa i musi być na nim widać Państwa twarz; pozostali uczestnicy mogą je zgłosić, a moderator może je ukryć. Nie rozpoznajemy Państwa twarzy ani nie porównujemy jej z dokumentem tożsamości — nie jest to przetwarzanie danych biometrycznych.
2.4d Dziennik „Mój sport” (nieobowiązkowy, Aplikacja)
| Dane | Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Wpisy dotyczące własnej aktywności sportowej: data, sport, rodzaj (czas wolny, trening, zawody), czas trwania, dystans, czas, wynik i rezultat, miejsce w klasyfikacji, ćwiczenia (nazwa, ciężar, powtórzenia), notatka, informacja, czy ćwiczyli Państwo sami, ewentualnie przejęta obecność z treningu klubowego | Państwa prywatny przegląd własnej aktywności sportowej | Wykonanie umowy (art. 6 ust. 1 lit. b) | Do usunięcia wpisu albo usunięcia Konta |
Dziennik widzą wyłącznie Państwo. Wpisów nikomu nie pokazujemy, nie wykorzystujemy ich do dobierania partnerów ani do reklamy. Dziennik działa w każdym rejonie lub obszarze także przed jego aktywacją.
2.5 Dane z Serwisu i Kampanii „Wielkie odblokowanie” (Serwis)
| Dane | Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Lista oczekujących: e-mail, rejon lub obszar, czas, stan weryfikacji (double opt-in), kod polecający i informacja, kto Państwa zaprosił | Udział w kampanii, odblokowywanie rejonów i obszarów, potwierdzenie adresu e-mail, przesłanie Państwa linku polecającego, informowanie o odblokowaniu | Zgoda (art. 6 ust. 1 lit. a) / działania przed zawarciem umowy (art. 6 ust. 1 lit. b) | Do uruchomienia lub zakończenia kampanii albo odwołania zgody |
| Zgłoszenie zainteresowania klubu: nazwa klubu, sport, miasto, e-mail | Nabór i aktywacja klubów | Zgoda (art. 6 ust. 1 lit. a) / działania przed zawarciem umowy (art. 6 ust. 1 lit. b) | Do rozpatrzenia zgłoszenia albo odwołania zgody |
| Galeria Sław (Wall of Fame): imię lub pseudonim, grupa, link do wpisu, kraj lub miasto (nieobowiązkowo), e-mail, zdjęcie (nieobowiązkowo) | Podziękowanie osobom, które rozpowszechniają Spareyę; publikacja w Serwisie i w mediach społecznościowych Spareya | Zgoda (art. 6 ust. 1 lit. a) | Niezatwierdzone zgłoszenie najwyżej 48 godzin; odrzucone usuwamy od razu; zatwierdzone do odwołania zgody |
2.6 Dane techniczne
| Dane | Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Adres IP (tymczasowo; przy zapisie na Listę oczekujących i rejestracji przechowujemy tylko skrócony adres: IPv4 bez ostatniej liczby, IPv6 tylko pierwszą połowę) | Ograniczanie liczby żądań, bezpieczeństwo, ochrona przed botami (Cloudflare Turnstile) | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Najwyżej 30 dni |
| Urządzenie i przeglądarka (logi) | Diagnostyka, bezpieczeństwo, działanie Usługi | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Najwyżej 90 dni |
| Analityka produktowa (Vercel Analytics — bez plików cookie, zanonimizowana) | Ulepszanie Usługi | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | W postaci zagregowanej |
3. Weryfikacja prawdziwej osoby i wieku (Didit)
Spareya jest platformą służącą osobistym, fizycznym Spotkaniom i jest przeznaczona wyłącznie dla osób 18+. Weryfikację przeprowadza dostawca Didit (Didit Identity Spain, S.L., Barcelona, Hiszpania) jako nasz podmiot przetwarzający. Nigdy nie prosimy o dokument tożsamości.
Przejściowo: Weryfikację przed kamerą przez Didit włączymy przed odblokowaniem pierwszego rejonu lub obszaru. Do tego czasu Spotkania z ludźmi się nie odbywają; wyjątkiem są treningi tylko dla członków zweryfikowanego Klubu, w których Klub zna swoich członków.
- Weryfikacja prawdziwej osoby. Przed pierwszym Spotkaniem przechodzą Państwo jeden raz weryfikację: przez chwilę patrzą Państwo w przednią kamerę, poruszając głową. Automatyczna kontrola żywotności (liveness) na podstawie krótkiego filmu potwierdza, że przed kamerą jest żywa osoba, a nie zdjęcie ani nagranie. Wiek nie jest przy tym szacowany. Kto nie bierze udziału w Spotkaniach, nigdy nie przechodzi tej weryfikacji.
- Warunek 18+. Przy rejestracji podają Państwo rok urodzenia. O oszacowanie wieku na podstawie twarzy prosimy tylko wtedy, gdy jest ku temu powód: wiek od 18 do 20 lat w Profilu, zgłoszenie, że mogą Państwo mieć mniej niż 18 lat, albo prośba moderatora. Dopóki weryfikacja wieku nie zostanie zaliczona, nowe Spotkania nie są możliwe; wszystkie pozostałe funkcje działają dalej.
- Oszacowanie wieku to automatyczne szacowanie na podstawie twarzy. Informujemy o tym w Aplikacji, zanim włączy się kamera. System nie decyduje sam na Państwa niekorzyść: jeśli oszacowanie wypadnie nisko, człowiek z naszego zespołu przegląda zapis w Didit, łącznie z obrazem twarzy, i podejmuje decyzję.
- Co jest przetwarzane i gdzie. Kontrola żywotności i oszacowanie wieku korzystają z obrazu Państwa twarzy (zdjęcie i krótki film). Didit przetwarza je na swoich serwerach, według swojej dokumentacji w UE. Kamera włącza się dopiero po wyrażeniu przez Państwa wyraźnej zgody w Aplikacji.
- Co przechowujemy my. Zdjęcie i film nie są przekazywane do naszych systemów. Wraca do nas tylko wynik (tak/nie) i data; oszacowanego wieku nie przechowujemy.
- Jak długo. Po otrzymaniu wyniku prosimy Didit o usunięcie zapisu (przy ocenie przez człowieka zaraz po decyzji). Ponadto w Didit zostanie ustawiony okres przechowywania wynoszący najwyżej 1 miesiąc.
Zapasowym dostawcą weryfikacji jest Persona; obecnie nie jest używana. Gdybyśmy ją włączyli, wcześniej zaktualizujemy niniejszą Politykę.
4. Lokalizacja i mapa
- Aplikacja nie prosi o lokalizację Państwa urządzenia (GPS) ani jej nie przechowuje. Dokładna lokalizacja osoby nie jest zbierana ani przechowywana nigdzie w systemie.
- Jako dom wyszukują Państwo miejscowość (ewentualnie kod pocztowy). Zapisujemy jej nazwę i punkt centralny miejscowości (nie Państwa adres), wyprowadzony z niego rejon lub obszar oraz przybliżoną strefę (geohash o dokładności około 5 × 5 km), na podstawie której proponujemy Państwu Spotkania w okolicy.
- Pozostali użytkownicy widzą z Państwa domu tylko rejon lub obszar.
- Mapa nigdy nie pokazuje osób — wyłącznie miejsca i Spotkania. (Kluby i obiekty sportowe jako podmioty i miejsca publiczne mogą mieć opublikowany dokładny adres — nie jest to lokalizacja użytkownika. Trenerzy mają na mapie tylko rejon lub obszar, w którym działają, ewentualnie obiekt sportowy, na którym trenują; ich adresu domowego nigdy nie publikujemy.)
Renderowanie mapy, wyszukiwanie miejscowości i prognozę pogody dla miejsca Spotkania zapewniają dostawcy zewnętrzni (zob. art. 6.1a), którym przy wczytywaniu może zostać przekazany Państwa adres IP. Podejście to jest częścią projektu Usługi (privacy by design, art. 25 RODO).
5. Podstawy prawne przetwarzania (art. 6 RODO)
- Wykonanie umowy (art. 6 ust. 1 lit. b): założenie Konta i zarządzanie nim, główne funkcje Usługi (Profil, dobieranie partnerów, Spotkania, czat).
- Zgoda (art. 6 ust. 1 lit. a): dane nieobowiązkowe, Lista oczekujących i Kampania, marketing. Zgodę mogą Państwo w każdej chwili odwołać, bez wpływu na zgodność z prawem przetwarzania dokonanego przed odwołaniem.
- Prawnie uzasadniony interes (art. 6 ust. 1 lit. f): bezpieczeństwo społeczności i Usługi, zapobieganie oszustwom i nadużyciom, moderacja, oceny i rzetelność, diagnostyka. Wobec przetwarzania na tej podstawie mogą Państwo wnieść sprzeciw.
- Obowiązek prawny (art. 6 ust. 1 lit. c): przestrzeganie warunku 18+, obowiązki wynikające z DSA, współdziałanie z organami, obowiązki księgowe (jeżeli powstaną).
6. Komu udostępniamy dane
6.1 Podmioty przetwarzające (sub-processorzy)
Korzystamy z zaufanych dostawców, którzy przetwarzają dane w naszym imieniu na podstawie umowy powierzenia (DPA) i wyłącznie zgodnie z naszymi poleceniami:
| Podmiot przetwarzający | Cel | Lokalizacja / przekazywanie |
|---|---|---|
| Supabase | Baza danych, uwierzytelnianie, magazyn, realtime | UE (Frankfurt) |
| Vercel | Hosting Serwisu i Aplikacji, analityka bez plików cookie | USA/UE (SCC/DPF) |
| Didit (Didit Identity Spain, S.L.) | Weryfikacja prawdziwej osoby (liveness) oraz, gdy jest ku temu powód, oszacowanie wieku na podstawie twarzy | UE (Hiszpania) |
| Persona | Zapasowy dostawca weryfikacji (obecnie nieużywany) | USA (SCC/DPF) |
| Resend | Wiadomości transakcyjne | USA (SCC/DPF) |
| Microsoft (Azure AI Content Safety) | Automatyczna kontrola zdjęć profilowych pod kątem nieodpowiednich treści (po jej włączeniu; obecnie nieużywana) | UE |
| Cloudflare | Turnstile, ochrona przed botami (ochrona formularzy) | Globalnie (SCC) |
| Sentry | Monitorowanie błędów (IP, diagnostyka) | UE |
| Google (Firebase Cloud Messaging) | Doręczanie powiadomień do Aplikacji na Androidzie i iPhonie (na iPhonie dalej przez Apple) | USA (SCC/DPF) |
| Apple (APNs) | Doręczanie powiadomień do Aplikacji na iPhonie | USA (SCC/DPF) |
| Usługa push Państwa przeglądarki (np. Google, Mozilla, Apple) | Doręczanie powiadomień do Aplikacji w przeglądarce | zależnie od przeglądarki, także USA |
| GitHub (Microsoft) | Zaszyfrowane kopie zapasowe bazy danych (najwyżej 30 dni) | USA (SCC/DPF) |
| Websupport | DNS domen i skrzynka e-mail support@spareya.eu | UE (Słowacja) |
6.1a Usługi zewnętrzne, z którymi łączy się Państwa urządzenie
Podczas korzystania z Aplikacji lub Serwisu Państwa urządzenie łączy się także z poniższymi usługami; otrzymują one przy tym przede wszystkim Państwa adres IP i treść żądania (np. wycinek mapy, wyszukiwany tekst, współrzędne miejsca Spotkania). Nie są w nich przechowywane dane Państwa Konta.
| Usługa | Cel | Lokalizacja / przekazywanie |
|---|---|---|
| OpenFreeMap | Renderowanie mapy | UE |
| Photon (komoot GmbH) | Wyszukiwanie miejsc i miejscowości (geokodowanie) | UE (Niemcy) |
| Open-Meteo | Prognoza pogody dla miejsca i czasu Spotkania | Europa |
| Google Fonts (Google) | Wczytywanie czcionki w Aplikacji | USA (SCC/DPF) |
6.2 Inni użytkownicy
Niektóre dane są ze swojej natury widoczne dla pozostałych użytkowników: z Profilu pseudonim, awatar i odznaki, sporty i poziom, opis profilu, wiek (wyliczony z roku urodzenia), narodowość, języki, domowy rejon lub obszar, wskaźnik rzetelności i stan weryfikacji; zdjęcie profilowe zgodnie z art. 2.4c; przy Spotkaniu Państwa udział w nim lub jego organizowanie oraz wiadomości na czacie w ramach danego Spotkania; przy Klubie Państwa członkostwo w nim; przy trenerze jego profil i oceny. Bez logowania odwiedzający mapę widzi przy Spotkaniu pseudonim i awatar organizatora, a osoba, której wyślą Państwo link „Udostępnij bliskiej osobie”, widzi sport, miejsce, czas Spotkania i Państwa pseudonim (do 6 godzin po rozpoczęciu). Pozostałym nie pokazujemy Państwa adresu e-mail, roku urodzenia, dziennika Mój sport ani dokładnej lokalizacji.
6.3 Organy władzy publicznej
Dane udostępnimy organom (sąd, policja, organ nadzorczy) wyłącznie wtedy, gdy nakazuje nam to prawo albo gdy jest to niezbędne do ochrony praw, bezpieczeństwa i wypełnienia obowiązków (w tym wynikających z DSA).
7. Przekazywanie danych poza UE
Część podmiotów przetwarzających przetwarza dane również poza EOG (przede wszystkim w USA). Przy takim przekazywaniu zapewniamy odpowiednie zabezpieczenia zgodnie z rozdziałem V RODO — albo na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework, DPF, w przypadku odbiorców certyfikowanych), albo standardowych klauzul umownych (SCC) uzupełnionych o środki techniczne i organizacyjne. Podmioty przetwarzające i usługi, przy których może dojść do przekazania poza UE: Vercel, Persona, Resend, Cloudflare, Google (Firebase Cloud Messaging, Google Fonts), Apple, usługi push przeglądarek oraz GitHub. Informację o zabezpieczeniach mogą Państwo uzyskać, pisząc na support@spareya.eu.
8. Okres przechowywania
Dane przechowujemy wyłącznie przez czas niezbędny do wskazanych celów:
- Konto i Profil: przez czas istnienia Konta; po usunięciu Konta wykasowanie albo anonimizacja z reguły w ciągu 30 dni.
- Aktywność (Spotkania, oceny): przez czas istnienia Konta; następnie w postaci zagregowanej lub zanonimizowanej.
- Wiadomości na czacie: 90 dni od wysłania; wiadomości automatycznie oznaczone do kontroli najwyżej 365 dni, a wiadomości, których dotyczy zgłoszenie, do czasu jego rozstrzygnięcia. Treść swoich wiadomości mogą Państwo usunąć również wcześniej, bezpośrednio w Aplikacji (art. 9).
- Dziennik Mój sport: do usunięcia wpisu albo usunięcia Konta.
- Powiadomienia w Aplikacji: 180 dni.
- Zdjęcia ze Spotkań: do odwołania zgody albo usunięcia Konta.
- Zdjęcie profilowe: do jego usunięcia albo usunięcia Konta. Zdjęcie ukryte przez moderatora przechowujemy jeszcze przez 30 dni na wypadek zastrzeżeń, a następnie je usuwamy. Zdjęcie odrzucone przez automatyczną kontrolę jest usuwane od razu; informację o odrzuceniu (bez zdjęcia) przechowujemy przez 30 dni.
- Kontakt alarmowy: do usunięcia kontaktu albo usunięcia Konta.
- Zgłoszenia i blokady: przez czas rozpatrywania, a następnie z reguły 12 miesięcy (dłużej wyłącznie wtedy, gdy toczy się postępowanie).
- Weryfikacja: wynik i zapisy weryfikacji przez czas istnienia Konta; obraz twarzy (zdjęcie i film) w Didit do usunięcia po wyniku, najwyżej 1 miesiąc (po włączeniu weryfikacji przez Didit, art. 3).
- Dane techniczne: IP (przy Liście oczekujących i rejestracji skrócony) najwyżej 30 dni, logi najwyżej 90 dni.
- Galeria Sław: niezatwierdzone zgłoszenie najwyżej 48 godzin, odrzucone usuwamy od razu, zatwierdzone do odwołania zgody.
- Kopie zapasowe: zaszyfrowane kopie zapasowe bazy danych przechowujemy najwyżej 30 dni; dane usunięte z Usługi znikają więc z kopii zapasowych najpóźniej w ciągu 30 dni.
- Lista oczekujących / Kampania / Zgłoszenie zainteresowania klubu: do uruchomienia lub zakończenia kampanii, rozpatrzenia zgłoszenia albo odwołania zgody.
9. Państwa prawa
Jako osobie, której dane dotyczą, przysługuje Państwu prawo do: dostępu (art. 15), sprostowania (art. 16), usunięcia (art. 17), ograniczenia (art. 18), przenoszenia (art. 20), wniesienia sprzeciwu (art. 21), odwołania zgody (art. 7 ust. 3) oraz prawo szczególne z art. 22 (zautomatyzowane podejmowanie decyzji — zob. art. 12).
W Aplikacji mają Państwo bezpośrednio dostępne usunięcie Konta, usunięcie części danych bez usuwania Konta oraz eksport swoich danych. Usuwanie częściowe (Profil → Ustawienia konta → Usuń część danych) obejmuje treść Państwa wiadomości na czacie, Państwa zdjęcie profilowe i zdjęcia ze Spotkań wraz z odwołaniem zgody na zdjęcia, na których Państwo są, historię Spotkań, które się nie potwierdziły, oraz dane nieobowiązkowe w Profilu (opis profilu, płeć, narodowość). Treść wiadomości zostaje usunięta, a w rozmowie pozostaje jedynie adnotacja o usunięciu, aby druga strona zachowała kontekst; wiadomości automatycznie oznaczone do kontroli i wiadomości powiązane z otwartym zgłoszeniem przechowujemy zgodnie z art. 8, najdłużej do rozstrzygnięcia sprawy (art. 17 ust. 3 lit. e RODO), a potwierdzone Spotkania pozostają, ponieważ są wspólnym zapisem obojga uczestników i podstawą wskaźnika rzetelności. Pozostałe wnioski prosimy kierować na support@spareya.eu — rozpatrzymy je w ciągu jednego miesiąca (w uzasadnionych przypadkach przedłużymy najwyżej o dwa miesiące, o czym Państwa poinformujemy). Realizacja praw jest z reguły bezpłatna. W celu weryfikacji tożsamości wnioskodawcy możemy poprosić o dodatkowe informacje.
10. Osoby małoletnie
Usługa przeznaczona jest wyłącznie dla osób powyżej 18. roku życia. Dzieci i młodzież nigdy nie mają Konta; spełnienie warunku 18+ weryfikujemy (art. 3). Włączanie młodzieży w sport odbywa się wyłącznie przez zweryfikowane kluby i kierowane jest do rodziców — dzieci same nie zakładają Konta ani nie podają swoich danych w Aplikacji. Jeżeli wykryjemy Konto osoby poniżej 18. roku życia, usuniemy je wraz z danymi.
11. Zabezpieczenie danych
Stosujemy odpowiednie środki techniczne i organizacyjne, w szczególności:
- Row-Level Security (RLS) na każdej tabeli — dostęp egzekwuje baza danych, a nie sama logika aplikacji.
- Szyfrowanie w trakcie przesyłania i w spoczynku, hasła zahaszowane (Supabase Auth).
- Minimalizacja danych (privacy by design) — nie przechowujemy dokładnej lokalizacji ani danych biometrycznych.
- Środki przeciwdziałające oszustwom i botom (ograniczanie liczby żądań, Cloudflare Turnstile).
Ze względu na charakter przetwarzania (weryfikacja wieku, uogólniona lokalizacja, moderacja treści, ochrona dzieci) oceniliśmy skutki dla ochrony danych i przyjęliśmy odpowiadające im środki; ocenę na bieżąco aktualizujemy. W razie naruszenia ochrony danych wiążącego się z ryzykiem dla Państwa praw zgłosimy je organowi nadzorczemu w ciągu 72 godzin (art. 33), a przy wysokim ryzyku również Państwu (art. 34).
12. Przetwarzanie zautomatyzowane i profilowanie
- (a) Dobieranie partnerów (profilowanie). Aby proponować odpowiednie Spotkania i partnerów, porównujemy dane Profilu (sporty i poziom, uogólniony rejon lub obszar, preferencje). Każda propozycja jest uzupełniona o zrozumiałe powody dopasowania, aby widzieli Państwo, dlaczego ją wyświetlamy. O udziale w Spotkaniu decydują Państwo, a nie system.
- (b) Wykrywanie prób wymiany danych kontaktowych. Na czacie w sposób zautomatyzowany oceniamy, czy wiadomości nie zawierają prób obejścia zasad bezpieczeństwa. Służy to oznaczeniu sprawy dla moderatora będącego człowiekiem — samo oznaczenie nie wywołuje wobec Państwa automatycznego skutku prawnego.
- (c) Żadnych decyzji wyłącznie zautomatyzowanych. Decyzje o poważnych skutkach (w szczególności ograniczenie albo usunięcie Konta) podejmuje zawsze człowiek. Mają Państwo prawo do interwencji ludzkiej, do wyrażenia stanowiska i do zakwestionowania decyzji (art. 21 i 22 RODO); realizują je Państwo na support@spareya.eu.
- (d) Kontrola zdjęć profilowych. Obecnie każde zdjęcie profilowe przed wyświetleniem ocenia człowiek. Po włączeniu automatycznej kontroli będzie je najpierw sprawdzać usługa Microsoft Azure AI Content Safety. Usługa ta odrzuci zdjęcie wyraźnie nieodpowiednie (nagość, przemoc); przy wyniku granicznym albo niedostępności usługi zdjęcie ocenia człowiek. Odrzucenie dotyczy wyłącznie zdjęcia, a nie Konta — mogą Państwo dodać inne zdjęcie albo napisać na support@spareya.eu.
- (e) Weryfikacja prawdziwej osoby i oszacowanie wieku. (Obowiązuje po włączeniu weryfikacji przez Didit, art. 3.) Kontrola żywotności jest automatyczna; jeśli się nie powiedzie, mogą Państwo spróbować ponownie. Przy oszacowaniu wieku system nie decyduje sam na Państwa niekorzyść — niskie oszacowanie ocenia człowiek z naszego zespołu (artykuł 3).
13. Pliki cookie i pamięć lokalna
W Serwisie i w Aplikacji stosujemy niezbędne pliki cookie i podobne technologie (pamięć lokalna) potrzebne do działania Usługi. Analityka produktowa została zaprojektowana jako działająca bez plików cookie i zanonimizowana, dlatego w Serwisie nie stosujemy śledzących plików cookie ani banera cookie. Gdybyśmy w przyszłości wprowadzili technologie wymagające zgody, poprosimy o nią.
14. Skarga do organu nadzorczego
Jeżeli uważają Państwo, że przetwarzaniem naruszamy RODO, mają Państwo prawo wnieść skargę do organu nadzorczego.
Słowacja: Urząd Ochrony Danych Osobowych Republiki Słowackiej, Galvaniho 7/B, 821 04 Bratislava; e-mail: statny.dozor@pdp.gov.sk; strona: https://pdp.gov.sk. Jako użytkownik z UE mogą się Państwo zwrócić również do organu nadzorczego w kraju swojego pobytu.
Zjednoczone Królestwo: Information Commissioner's Office (ICO), https://ico.org.uk.
Będziemy wdzięczni, jeżeli skontaktują się Państwo najpierw z nami na support@spareya.eu — większość spraw rozwiążemy bezpośrednio i szybko.
15. Zmiany, wejście w życie i wersja
Niniejszą Politykę możemy na bieżąco aktualizować (np. przy zmianie funkcji, podmiotów przetwarzających albo wymogów prawnych). O istotnych zmianach poinformujemy Państwa w odpowiedni sposób (w Aplikacji albo e-mailem). Aktualne brzmienie jest zawsze dostępne w Serwisie.
Obowiązuje od: 13 października 2026