Polityka
prywatności.

1. Administrator danych i kontakt

Administratorem danych jest ArchAlex Aleksandra Lewandowska, ul. Ignacego Łyskowskiego 11a/14, 87-100 Toruń, NIP 8792758359. W sprawach dotyczących aplikacji i prywatności napisz na kontakt@wcsbydgoszcz.pl.

2. Dla kogo jest aplikacja

Kalifornia jest aplikacją dla kursantów i administratorów Kalifornia Dance Studio Bydgoszcz. Nie udostępniamy publicznej rejestracji. Konto zakłada szkoła, a użytkownik loguje się przekazanym adresem e-mail i hasłem.

3. Jakie dane przetwarzamy

Zakres zależy od roli użytkownika i funkcji udostępnionych na jego koncie. Może obejmować:

• dane konta i uwierzytelniania: identyfikator konta, adres e-mail oraz informacje o sesji; hasło obsługuje Supabase Auth i nie jest widoczne dla szkoły;
• dane profilu: imię i nazwisko, rola w aplikacji, forma gramatyczna używana w polskich komunikatach oraz opcjonalnie telefon, kontaktowy adres e-mail, zdjęcie profilowe i ustawiona przez użytkownika data urodzin;
• dane organizacyjne szkoły: przypisanie do grupy, rola taneczna, harmonogram, historia zmian przypisania, obecności, zgłoszenia i anulowania nieobecności;
• dane członkostwa: cykle dostępu, liczba zajęć, chronione nieobecności, ręcznie zarejestrowane wpłaty i ich korekty; aplikacja nie przyjmuje obecnie płatności online;
• treści i aktywność w czacie: wiadomości, czas wysłania, wskaźnik odczytu, akceptacja zasad społeczności, zgłoszenia, wyciszenia i działania moderatora;
• oceny zajęć: liczba gwiazdek, opcjonalny komentarz, autor, termin zajęć oraz czas zapisu i edycji; opinie te widzi autor i administracja szkoły. Zapisujemy też preferencję zaproszeń do opinii w Google. Prywatnej oceny nie przekazujemy do Google ani sklepów z aplikacjami; publiczną opinię użytkownik może dobrowolnie wystawić bezpośrednio w wybranej usłudze;
• materiały z zajęć: tytuł, opis i link do opublikowanego filmu lub innego zewnętrznego materiału;
• żądania dotyczące konta i danych: adres e-mail, wybrany zakres, opis, numer sprawy, status oraz skrót techniczny używany do krótkiego ograniczania spamu;
• dane techniczne potrzebne do bezpieczeństwa i działania usługi, takie jak adres IP, typ urządzenia, znaczniki czasu, diagnostyka błędów i logi dostępu;
• ostatnie znane logowanie, otwarcie aplikacji i stan zgody na powiadomienia, także przy wyłączonych powiadomieniach; administracja szkoły widzi te informacje oraz informację, czy profil ma zdjęcie, bio i urodziny, aby pomagać w korzystaniu z aplikacji. Nie zapisujemy historii odwiedzanych ekranów ani czasu spędzonego w aplikacji;
• dane powiadomień push: identyfikator instalacji, token FCM, platforma, wersja aplikacji, stan zgody, ostatnia aktywność i ustawienia wyciszeń; w celu dostarczenia powiadomienia o nowej wiadomości przetwarzamy też imię autora, fragment wiadomości oraz identyfikatory czatu i wiadomości;
• dane techniczne sprawdzania i instalowania poprawek aplikacji: identyfikator aplikacji, wersja wydania i poprawki, kanał, platforma, architektura urządzenia oraz anonimowy identyfikator instalacji danej aplikacji.

Aplikacja nie korzysta obecnie z reklam, śledzenia reklamowego, analityki marketingowej, lokalizacji, książki adresowej ani płatności online. Powiadomienia push są opcjonalne i można je wyłączyć w systemowych ustawieniach urządzenia. Nie sprzedajemy danych i nie używamy ich do śledzenia użytkownika w innych aplikacjach.

4. Cele i podstawy przetwarzania

Dane przetwarzamy, aby utworzyć i zabezpieczyć konto, potwierdzić dostęp do właściwej szkoły, obsługiwać zajęcia i członkostwo, odpowiadać na prośby użytkownika oraz zapewnić bezpieczeństwo i diagnostykę aplikacji. Moderujemy czat, aby chronić zamkniętą społeczność szkoły i reagować na zgłoszenia. Podstawą jest wykonanie umowy lub działania na żądanie użytkownika (art. 6 ust. 1 lit. b RODO), obowiązki prawne (lit. c) oraz prawnie uzasadniony interes administratora polegający na bezpiecznej organizacji zajęć i ochronie przed nadużyciami (lit. f).

5. Dostawcy i miejsce przetwarzania

Uwierzytelnianie, baza danych, prywatne avatary i komunikacja Realtime korzystają z Supabase. Powiadomienia push dostarcza Firebase Cloud Messaging; Firebase otrzymuje wyłącznie dane potrzebne do skierowania i pokazania konkretnego powiadomienia. Publiczne strony pomocy, prywatności i usunięcia konta działają na Vercel. Shorebird sprawdza dostępność podpisanych poprawek kodu aplikacji, dostarcza je i raportuje techniczny wynik instalacji. Nie przekazujemy mu profilu kursanta, wiadomości, obecności ani danych członkostwa; jego serwery mogą jednak przetwarzać techniczne metadane opisane powyżej oraz adres IP w logach bezpieczeństwa. Szczegóły opisuje polityka prywatności Shorebird ↗.

Po otwarciu materiału aplikacja może przekazać użytkownika do zewnętrznego hostingu filmu, np. YouTube, który przetwarza dane zgodnie ze swoją polityką. Dostawcy otrzymują dane tylko w zakresie potrzebnym do działania usługi. Przy transferze poza Europejski Obszar Gospodarczy stosujemy mechanizmy wymagane przez RODO, takie jak decyzja stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule umowne.

Publiczna strona internetowa może uruchomić Google Analytics dopiero po osobnej zgodzie cookies. Nie oznacza to włączenia analityki w aplikacji mobilnej. Szczegóły strony opisuje jej polityka prywatności i cookies.

6. Jak długo przechowujemy dane

Aktywne dane konta i profilu przechowujemy przez okres korzystania z aplikacji i uczestnictwa w szkole. Historię zajęć, rozliczeń i moderacji przechowujemy tak długo, jak jest potrzebna do obsługi członkostwa, bezpieczeństwa, obowiązków prawnych i obrony przed roszczeniami. Żądanie usunięcia przechowujemy do jego rozpatrzenia, a później zachowujemy tylko ograniczony dowód wykonania przez niezbędny okres.

Po zweryfikowanym żądaniu konto Auth usuwamy, a dane profilu, wiadomości i pozostałe dane osobowe usuwamy albo anonimizujemy bez zbędnej zwłoki, co do zasady w ciągu 30 dni. Dane wymagane przez przepisy, rozliczenia, bezpieczeństwo lub obronę przed roszczeniami ograniczamy i usuwamy po upływie właściwego okresu.

7. Bezpieczeństwo i decyzje automatyczne

Dostęp do danych wymaga zalogowania i jest ograniczony rolą oraz przypisaniem do szkoły. Stosujemy RLS i kontrolowane funkcje bazy, prywatny bucket avatarów, podpisane adresy plików oraz szyfrowane połączenia HTTPS. Publiczny formularz usunięcia konta nie sprawdza, czy wpisany adres istnieje, a surowy adres IP nie jest zapisywany. Nie podejmujemy wobec użytkowników decyzji wyłącznie automatycznie i nie profilujemy ich reklamowo.

8. Twoje prawa

W zależności od podstawy i okoliczności masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz wniesienia sprzeciwu. Aby skorzystać z praw, napisz na kontakt@wcsbydgoszcz.pl lub skorzystaj z bezpośredniego formularza usunięcia konta i danych.

Możesz też złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych — uodo.gov.pl ↗.

9. Zmiany polityki

Politykę aktualizujemy wraz ze zmianami funkcji aplikacji i używanych usług. Aktualna wersja jest zawsze dostępna pod tym adresem.