Polityka Prywatności Mativate | Mativate

1. Administrator danych

Administratorem Twoich danych osobowych w zakresie opisanym w niniejszej Polityce jest Mativate, operator platformy Mativate (mativate.app) (dalej: „Administrator” lub „Mativate”).

Dane rejestrowe Administratora:

• Operator: Mativate (platforma mativate.app)
• Forma prawna oraz pełne dane rejestrowe (NIP, REGON, KRS - o ile dotyczy): udostępniane na żądanie pod [contact@mativate.app](mailto:contact@mativate.app)

Kontakt z Administratorem:

• E-mail: [contact@mativate.app](mailto:contact@mativate.app)
• Adres korespondencyjny: Wojska Polskiego 93, 63-200 Jarocin, Polska

Administrator nie wyznaczył formalnie Inspektora Ochrony Danych (IOD) w rozumieniu art. 37 RODO, ponieważ aktualna skala i charakter przetwarzania nie rodzą takiego obowiązku. W sprawach ochrony danych możesz kontaktować się pod adresem [contact@mativate.app](mailto:contact@mativate.app).

2. Podział ról RODO

Serwis Mativate obsługuje dwa rodzaje relacji z osobami, których dane dotyczą:

• Mativate jako Administrator (B2C / B2B) - w zakresie danych osób korzystających z platformy jako zarejestrowani użytkownicy (zawodnicy, członkowie), właściciele kont klubów oraz osób kontaktowych klubu (dane logowania, profil, fakturowanie, korespondencja).
• Mativate jako Podmiot Przetwarzający (procesor) - w zakresie danych członków klubów, opiekunów i kadry, które zostały wprowadzone do Serwisu przez administratorów klubów. W tych przypadkach administratorem jest *Klub*, a Mativate działa na jego zlecenie na podstawie art. 28 RODO oraz [Umowy Powierzenia Przetwarzania Danych (DPA)](/dpa).

Osoby, których dane zostały wprowadzone do Serwisu przez Klub, w celu realizacji praw z art. 15-22 RODO powinny kontaktować się w pierwszej kolejności z Klubem jako Administratorem. Mativate wspiera Klub technicznie (eksport danych, anonimizacja na żądanie, reagowanie na naruszenia).

3. Jakie dane zbieramy

Zbieramy wyłącznie dane niezbędne do realizacji celu (zasada minimalizacji - art. 5 ust. 1 lit. c RODO). Zakres zależy od Twojej roli.

Dane zarejestrowanych użytkowników (Mativate jako Administrator):

• Dane identyfikacyjne i kontaktowe: imię, nazwisko, adres e-mail, opcjonalnie numer telefonu, zdjęcie profilowe;
• Dane konta i uwierzytelniania: identyfikator u dostawcy logowania (Clerk), preferencje językowe, role, ustawienia powiadomień;
• Dane treningowe wprowadzane przez Ciebie: sesje treningowe, czas trwania, intensywność, notatki, oznaczone techniki (Skill Compass), historia obecności;
• Dane dotyczące członkostwa: pasy/stopnie, daty promocji, wybrane kluby, role w klubach (członek, trener, administrator);
• Dane techniczne: adres IP, identyfikator urządzenia, typ przeglądarki, system operacyjny, logi logowań i działań w aplikacji, identyfikatory urządzeń push;
• Dane marketingowe (wyłącznie za zgodą): zgody na newsletter / komunikację, dane z formularzy kontaktowych.

Dane powierzane przez Kluby (Mativate jako procesor):

• Członkowie klubu: imię, nazwisko, e-mail kontaktowy, telefon, status członkostwa, historia obecności, składki, zdjęcie profilowe (opcjonalnie), pas/stopień, notatki trenera;
• Opiekunowie / rodzice (jeżeli klub wprowadza): imię, nazwisko, e-mail, telefon, powiązanie z członkiem małoletnim;
• Kadra klubu (trenerzy, instruktorzy): imię, nazwisko, e-mail, telefon, dyscypliny, uprawnienia w panelu;
• Dane zdrowotne (art. 9 RODO) - szczególne kategorie: informacje o przeciwwskazaniach, urazach, alergiach - *jeżeli* klub zdecyduje się je zbierać dla bezpieczeństwa zajęć. Podstawą jest wyraźna zgoda (art. 9 ust. 2 lit. a RODO) lub ochrona żywotnych interesów (art. 9 ust. 2 lit. c RODO). Administratorem tych danych jest Klub;
• Wizerunek: zdjęcia z zajęć, zawodów, wydarzeń - przetwarzane na podstawie zgody (art. 81 ustawy o prawie autorskim i prawach pokrewnych; art. 6 ust. 1 lit. a RODO) lub uzasadnionego interesu klubu. Administratorem jest Klub;
• Dane z incydentów bezpieczeństwa małoletnich (jeżeli klub wdraża moduł Standardów Ochrony Małoletnich - Ustawa Kamilka): opis zdarzenia, data, osoby zaangażowane;
• Dane z integracji - np. wiadomości push (Expo / WebPush), powiadomienia e-mail (EmailLabs), SMS (Twilio), jeżeli klub korzysta z tych kanałów.

Płatności: Klub może opcjonalnie podłączyć bramkę Espago, aby przyjmować składki członkowskie online. W takiej transakcji stroną (merchant of record) jest Klub, a nie Mativate; pełne dane kart nie są przechowywane przez Mativate - tokenizacja odbywa się u Espago (PCI-DSS). Mativate obecnie nie pobiera własnych opłat abonamentowych (SaaS) kartą ani innym kanałem płatności. Jeśli taki model zostanie uruchomiony, niniejsza Polityka oraz lista sub-procesorów zostaną zaktualizowane przed rozpoczęciem pobierania opłat.

Źródło danych. Większość danych otrzymujemy bezpośrednio od osoby, której dane dotyczą, lub od upoważnionego Klubu (w przypadku członków/opiekunów - od Klubu, który zebrał je w trakcie zapisu).

4. Cele i podstawy przetwarzania

• Świadczenie usługi i wykonanie umowy (art. 6 ust. 1 lit. b RODO) - prowadzenie konta, rejestracja treningów, członkostwo w klubach, funkcje aplikacji związane z Twoją aktywnością.
• Komunikacja (art. 6 ust. 1 lit. b i f RODO) - odpowiedzi na zapytania, powiadomienia operacyjne (potwierdzenia, alerty bezpieczeństwa).
• Bezpieczeństwo Serwisu (art. 6 ust. 1 lit. f RODO) - ochrona przed nadużyciami, atakami, oszustwami, monitorowanie działań w panelu.
• Obsługa reklamacji, dochodzenie i obrona przed roszczeniami (art. 6 ust. 1 lit. b, c i f RODO).
• Obowiązki prawne (art. 6 ust. 1 lit. c RODO) - m.in. obowiązki księgowe (w razie wystawienia faktur), wynikające z RODO, DSA, Ustawy Kamilka.
• Marketing własnych usług - wyłącznie za zgodą (art. 6 ust. 1 lit. a RODO; art. 10 u.ś.u.d.e.; art. 172 Prawa telekomunikacyjnego).
• Analityka i rozwój produktu (art. 6 ust. 1 lit. f RODO) - agregowane statystyki użycia, bez identyfikacji konkretnych osób.
• Obsługa procesu rekrutacji / dołączania do klubu (jako procesor na zlecenie Klubu) - obsługa wniosków o członkostwo, komunikacja z kandydatami (art. 6 ust. 1 lit. b, f RODO - podstawa po stronie Klubu).
• Przetwarzanie danych szczególnych kategorii (art. 9 RODO) - wyłącznie na podstawie wyraźnej zgody osoby/opiekuna (art. 9 ust. 2 lit. a) lub w celu ochrony żywotnych interesów (art. 9 ust. 2 lit. c).
• Ochrona małoletnich (art. 6 ust. 1 lit. c RODO) - wsparcie wdrożenia Standardów Ochrony Małoletnich wynikających z Ustawy Kamilka.

5. Dane dzieci (art. 8 RODO + Ustawa Kamilka)

Serwis jest wykorzystywany przez kluby sportowe, których część członków stanowią osoby małoletnie (dzieci i młodzież). Stosujemy wzmożone standardy ochrony tej grupy.

• Poniżej 16 r.ż.: zgodnie z art. 8 ust. 1 RODO zgoda na przetwarzanie danych jest zgodna z prawem wyłącznie pod warunkiem wyrażenia lub zatwierdzenia jej przez osobę sprawującą władzę rodzicielską lub opiekę nad dzieckiem.
• 16+ r.ż.: dziecko może wyrazić zgodę samodzielnie; kluby mogą nadal angażować opiekunów ze względu na umowne aspekty członkostwa.

Odpowiedzialność za prawidłową weryfikację tożsamości opiekuna spoczywa na Klubie jako administratorze danych. Mativate udostępnia Klubom narzędzia do elektronicznej rejestracji akceptacji dokumentów prawnych w ramach Platformy.

Ustawa Kamilka. Zgodnie z ustawą z dnia 13 maja 2016 r. o przeciwdziałaniu zagrożeniom przestępczością na tle seksualnym i ochronie małoletnich (tekst jedn. Dz.U. 2024 poz. 560, ze zm.), kluby prowadzące zajęcia z udziałem małoletnich są zobowiązane wdrożyć Standardy Ochrony Małoletnich. Mativate może udostępnić klubom narzędzia wspierające ten obowiązek w ramach Platformy; zakres funkcji zależy od aktualnej wersji produktu.

Brak profilowania dzieci. Mativate nie prowadzi automatycznego podejmowania decyzji ani profilowania dotyczącego dzieci (art. 22 RODO) wywołującego skutki prawne lub istotnie wpływającego na dziecko.

6. Okres przechowywania danych

Twoje dane przechowujemy nie dłużej, niż jest to niezbędne do realizacji celów przetwarzania (art. 5 ust. 1 lit. e RODO). Orientacyjne terminy:

• Dane konta i profilu - przez okres posiadania konta + 30 dni po usunięciu (okno odzyskania);
• Dane treningowe - przez okres posiadania konta; po usunięciu konta dane są usuwane lub anonimizowane do celów statystycznych;
• Dane fakturowe (jeśli dotyczy) - 5 lat od końca roku, w którym powstał obowiązek podatkowy (ustawa o rachunkowości);
• Logi logowania i audytu - do 13 miesięcy; logi bezpieczeństwa w przypadku incydentów - do zakończenia postępowania;
• Dane do marketingu - do wycofania zgody lub wniesienia sprzeciwu;
• Dane z formularzy kontaktowych - 12 miesięcy od ostatniej korespondencji;
• Reklamacje i zapytania obsługi - 3 lata od rozstrzygnięcia;
• Roszczenia cywilnoprawne - do upływu terminu przedawnienia (co do zasady 3 lub 6 lat - art. 118 KC);
• Dane członków w Klubie (jako procesor) - przez okres członkostwa + okres wynikający z decyzji Klubu jako administratora;
• Zdjęcia / wizerunek - do wycofania zgody, nie dłużej niż wymagają tego cele, dla których zgoda została udzielona;
• Dane zdrowotne - przez okres członkostwa + maksymalnie 12 miesięcy po zakończeniu, chyba że Klub ustali inaczej;
• Dane z incydentów bezpieczeństwa małoletnich - zgodnie ze Standardami Ochrony Małoletnich Klubu; co najmniej 5 lat (cele dowodowe);
• Kopie zapasowe - do 30 dni rotacji.

Po upływie okresu przechowywania dane są usuwane lub anonimizowane (agregacja do statystyk, które nie pozwalają na identyfikację osoby).

7. Cookies i technologie podobne

Szczegółowe zasady korzystania z plików cookies opisane są w odrębnej [Polityce Cookies](/cookies). Podstawą prawną wykorzystania cookies innych niż niezbędne jest Twoja zgoda (art. 6 ust. 1 lit. a RODO oraz art. 173 Prawa telekomunikacyjnego).

8. Twoje prawa (RODO art. 15-22)

• Prawo dostępu (art. 15) - potwierdzenie przetwarzania, informacje o celach, kategoriach danych, odbiorcach, okresie przechowywania oraz bezpłatna kopia danych.
• Prawo do sprostowania (art. 16) - żądanie poprawienia nieprawidłowych danych lub uzupełnienia niekompletnych.
• Prawo do usunięcia (art. 17) - „prawo do bycia zapomnianym”; nie stosuje się, gdy przetwarzanie jest niezbędne do wywiązania się z obowiązków prawnych (np. faktur) lub do dochodzenia/obrony roszczeń.
• Prawo do ograniczenia przetwarzania (art. 18).
• Prawo do przenoszenia danych (art. 20) - w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (CSV/JSON).
• Prawo do sprzeciwu (art. 21) - wobec przetwarzania opartego na prawnie uzasadnionym interesie; w przypadku marketingu bezpośredniego sprzeciw jest bezwarunkowy.
• Prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu (art. 22) - Mativate nie stosuje takich decyzji.
• Prawo do cofnięcia zgody (art. 7 ust. 3) - w każdej chwili, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem.
• Prawo do skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, [ uodo.gov.pl ](https://www.uodo.gov.pl) .

Jak zrealizować prawa?

• E-mail: [contact@mativate.app](mailto:contact@mativate.app).
• W aplikacji: w ustawieniach konta (profil) możesz przeglądać historię akceptacji dokumentów prawnych oraz eksportować ich podsumowanie; pełną kopię danych, żądanie usunięcia lub wycofanie zgód zrealizujesz także przez e-mail podany powyżej.
• Forma pisemna na adres korespondencyjny Administratora.

Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca (art. 12 ust. 3 RODO). W skomplikowanych przypadkach termin może zostać przedłużony o 2 miesiące - z informacją o przyczynach. Realizacja praw jest bezpłatna; w przypadku żądań ewidentnie nieuzasadnionych lub nadmiernych możemy pobrać rozsądną opłatę albo odmówić realizacji (art. 12 ust. 5 RODO). Przed realizacją żądania możemy zweryfikować Twoją tożsamość, aby chronić dane przed nieuprawnionym dostępem.

9. Obowiązek podania danych

Podanie danych osobowych jest dobrowolne, jednak w zakresie niezbędnym do:

• zawarcia umowy i świadczenia usługi (imię, e-mail) - brak danych uniemożliwi założenie konta;
• wypełnienia obowiązków prawnych (jeżeli dotyczy - np. księgowość, ochrona małoletnich) - podanie jest wymogiem ustawowym.

Podanie danych marketingowych (zgoda na newsletter) jest w pełni dobrowolne i nie wpływa na możliwość korzystania z Serwisu.

Podanie danych zdrowotnych (szczególne kategorie) jest zawsze dobrowolne - ich przetwarzanie odbywa się wyłącznie na podstawie wyraźnej zgody. Odmowa nie może skutkować pozbawieniem członka zajęć; w uzasadnionych przypadkach Klub może jednak wymagać oświadczenia o braku przeciwwskazań.

10. Profilowanie i decyzje zautomatyzowane

Mativate nie podejmuje decyzji wywołujących skutki prawne wobec osób fizycznych w sposób oparty wyłącznie na zautomatyzowanym przetwarzaniu (w rozumieniu art. 22 ust. 1 RODO), w tym nie stosuje profilowania, które mogłoby w istotny sposób wpływać na osobę.

Funkcje analityczne w panelu (statystyki frekwencji, raporty obecności, agregaty treningowe) służą wyłącznie użytkownikom i administratorom klubu do celów operacyjnych i nie podejmują samodzielnie decyzji dotyczących konkretnych osób.

11. Odbiorcy danych i sub-procesorzy

Twoje dane mogą być udostępniane następującym kategoriom odbiorców:

• Podmioty przetwarzające na zlecenie Mativate (sub-procesorzy) - pełna, aktualna lista z lokalizacją i podstawą transferu dostępna jest na stronie [Lista sub-procesorów](/sub-processors). Obejmuje m.in. dostawców uwierzytelniania (Clerk), hostingu (Vercel), bazy danych (hostowana PostgreSQL - obecnie Railway, region UE), monitoringu błędów (Sentry), poczty transakcyjnej (EmailLabs), SMS (Twilio), plików/zdjęć (Cloudinary), powiadomień push (Expo, WebPush) oraz - gdy klub podłączy bramkę - płatności składek (Espago).
• Niezależni administratorzy - w szczególności *Kluby* jako administratorzy danych swoich członków, opiekunów i kadry (Mativate jest procesorem działającym w imieniu Klubu), a także biura rachunkowe, kancelarie prawne (na podstawie osobnych umów powierzenia).
• Organy państwowe i wymiar sprawiedliwości - wyłącznie na podstawie przepisów prawa (sądy, prokuratura, organy podatkowe, UODO, Policja, ZUS, KAS).

12. Transfer poza EOG

Część sub-procesorów (m.in. Clerk, Sentry, Twilio, Cloudinary, Expo) ma siedziby lub infrastrukturę poza Europejskim Obszarem Gospodarczym (głównie w USA). Transfer danych do tych podmiotów odbywa się na podstawie:

• Standardowych Klauzul Umownych (SCC) przyjętych przez Komisję Europejską decyzją wykonawczą 2021/914;
• w odpowiednich przypadkach - EU-US Data Privacy Framework (decyzja KE 2023/1795) dla podmiotów certyfikowanych;
• wewnętrznych DPA z każdym sub-procesorem.

Na żądanie ([contact@mativate.app](mailto:contact@mativate.app)) udostępniamy kopie stosownych zabezpieczeń. Szczegóły transferów i ocena ryzyka znajdują się w sekcji [Lista sub-procesorów](/sub-processors).

Mechanizm powiadamiania o zmianach sub-procesorów: nowy sub-procesor jest zgłaszany właścicielom kont klubów z 30-dniowym wyprzedzeniem (e-mail + notyfikacja w panelu). Klub ma prawo sprzeciwu i wypowiedzenia umowy, jeżeli nie akceptuje nowego podmiotu. Brak sprzeciwu = akceptacja (art. 28 ust. 2 RODO - zezwolenie ogólne).

13. Bezpieczeństwo danych

Wdrożyliśmy środki techniczne i organizacyjne odpowiednie do ryzyk związanych z przetwarzaniem (art. 32 RODO).

Środki techniczne:

• Szyfrowanie w tranzycie (TLS 1.3); szyfrowanie „at rest” w bazie danych (AES-256);
• Uwierzytelnianie obsługiwane przez certyfikowanego dostawcę (Clerk) - haszowanie haseł, MFA dostępne dla użytkowników;
• Izolacja danych per-klub na poziomie aplikacji i bazy;
• Monitoring infrastruktury, automatyczne wykrywanie anomalii;
• Regularne kopie zapasowe (do 30 dni rotacji);
• Segregacja środowisk (production / staging / development).

Środki organizacyjne:

• Polityka kontroli dostępu (zasada najmniejszych uprawnień, okresowe przeglądy);
• Umowy powierzenia (DPA) z każdym sub-procesorem;
• Rejestr czynności przetwarzania (art. 30 RODO);
• Procedura reagowania na naruszenia (incident response);
• Okresowe przeglądy bezpieczeństwa.

Procedura reagowania na naruszenia. W przypadku stwierdzenia naruszenia ochrony danych:

• w ciągu 72 godzin - zgłoszenie do Prezesa UODO (art. 33 RODO), jeżeli Mativate jest administratorem;
• bez zbędnej zwłoki - powiadomienie Klubów (jako administratorów) w przypadku naruszeń dotyczących danych powierzonych (art. 33 ust. 2 RODO);
• bez zbędnej zwłoki - powiadomienie osób, których dane dotyczą, jeżeli naruszenie może powodować wysokie ryzyko dla ich praw lub wolności (art. 34 RODO).

Jak zgłosić podejrzenie naruszenia? E-mail: [contact@mativate.app](mailto:contact@mativate.app) (z dopiskiem „NARUSZENIE”).

14. Zmiany Polityki

Niniejsza Polityka Prywatności może być aktualizowana w celu uwzględnienia zmian przepisów prawa, nowych funkcji Serwisu lub zmian organizacyjnych. O istotnych zmianach informujemy z co najmniej 14-dniowym wyprzedzeniem drogą e-mail oraz poprzez powiadomienie w panelu. Aktualna wersja Polityki jest zawsze dostępna pod adresem [mativate.app/privacy](https://www.mativate.app/privacy) z podaną datą ostatniej aktualizacji.

15. Powiązane dokumenty

• [Regulamin Platformy](/terms)
• [Polityka Cookies](/cookies)
• [Informacja o RODO](/rodo)
• [Umowa Powierzenia Przetwarzania Danych (DPA)](/dpa) - dla właścicieli klubów
• [Lista sub-procesorów](/sub-processors)