§1 Administrator danych
Administratorem Twoich danych osobowych jest Fortnight AI LTD, spółka zarejestrowana w Wielkiej Brytanii pod numerem 17085717, operująca pod marką „Coachlog”. Kontakt w sprawach ochrony danych: support@coachlog.app Jako podmiot z siedzibą poza UE, ale świadczący usługi dla użytkowników w UE, przestrzegamy Rozporządzenia o Ochronie Danych Osobowych (RODO / GDPR) oraz UK GDPR.
§2 Jakie dane przetwarzamy
Dane konta: adres email, imię, nazwisko, zdjęcie profilowe, język interfejsu, strefa czasowa. Dane subskrypcji: status planu (Free/Pro), data rozpoczęcia okresu, limity wykorzystania (minuty nagrań, liczba raportów). Dane treningowe: nazwy drużyn, dane zawodników (imię, numer, pozycja, kategorie wiekowe), notatki głosowe, transkrypcje, analizy AI, statystyki, raporty PDF. Dane techniczne: adres IP, identyfikator urządzenia, typ przeglądarki, logi błędów (Sentry), zdarzenia analityczne (PostHog - anonimizowane). Dane płatności: obsługiwane przez Paddle.com Market Ltd. Coachlog NIE przechowuje numerów kart płatniczych ani danych CVV. Otrzymujemy jedynie token transakcji oraz status subskrypcji.
§3 Cele i podstawy prawne przetwarzania
Świadczenie usługi (art. 6 ust. 1 lit. b RODO): założenie konta, dostęp do aplikacji, przechowywanie nagrań, generowanie analiz AI, wystawianie faktur. Rozliczenia finansowe (art. 6 ust. 1 lit. c RODO): obowiązki podatkowe i księgowe Operatora oraz Paddle.com Market Ltd jako Merchant of Record. Marketing własny i obsługa klienta (art. 6 ust. 1 lit. f RODO): wysyłka email transakcyjnych (potwierdzenie rejestracji, reset hasła, powiadomienia), reaktywacja konta, badanie satysfakcji. Bezpieczeństwo i wykrywanie nadużyć (art. 6 ust. 1 lit. f RODO): logi dostępu, rate limiting, wykrywanie podejrzanych zachowań.
§4 Sub-procesorzy danych
W realizacji usług Coachlog korzystamy z następujących zaufanych dostawców (sub-procesorów), z którymi zawarliśmy Data Processing Agreements (DPA): * Supabase Inc. (USA, hosting bazy danych i autoryzacji, region eu-central-1 dla danych UE) - DPA + Standard Contractual Clauses * Paddle.com Market Ltd (UK, Merchant of Record dla płatności web) - DPA + UK adequacy decision * OpenAI Inc. (USA, AI analiza transkrypcji) - DPA + SCC * Anthropic PBC (USA, AI Chat „Asystent”) - DPA + SCC * Deepgram Inc. (USA, transkrypcja audio) - DPA + SCC * Resend (USA, wysyłka email transakcyjnych) - DPA + SCC * Sentry (USA, monitoring błędów aplikacji) - DPA + SCC, dane zanonimizowane * PostHog Inc. (USA, analityka produktowa) - DPA + SCC, dane zagregowane * Apple Inc. / Google LLC (App Store / Google Play - wyłącznie dla użytkowników mobilnych) Pełna lista subprocesorów jest dostępna na żądanie pod adresem support@coachlog.app.
§5 Okres przechowywania danych
Dane konta i treningowe: przez cały okres aktywności konta + 30 dni po jego usunięciu (okres bezpieczeństwa, możliwość odzyskania). Dane rozliczeniowe: 5 lat od końca roku kalendarzowego, w którym wystąpiła transakcja (obowiązek księgowy UK / UE). Logi błędów (Sentry): 90 dni. Dane analityczne (PostHog): 13 miesięcy (zagregowane, bez możliwości identyfikacji indywidualnego użytkownika).
§6 Twoje prawa (RODO / GDPR)
Masz pełne prawo do: dostępu do swoich danych (art. 15), sprostowania (art. 16), usunięcia („prawo do bycia zapomnianym” - art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20), sprzeciwu wobec przetwarzania (art. 21). Eksport danych: pełen eksport JSON dostępny w Ustawieniach konta -> „Dane i prywatność” -> „Pobierz moje dane” (zawiera profile, drużyny, zawodników, notatki, transkrypcje, analizy; nie zawiera plików audio z powodu rozmiaru). Usunięcie konta: dostępne w Ustawieniach konta -> „Strefa niebezpieczna” -> „Usuń konto”. Operacja jest nieodwracalna, anuluje aktywne subskrypcje i usuwa wszystkie dane w ciągu 30 dni. Skarga do organu nadzorczego: użytkownicy w Polsce mogą złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO, ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl). Użytkownicy w innych krajach UE - do odpowiedniego organu krajowego. Użytkownicy w UK - do ICO (www.ico.org.uk).
§7 Cookies i tracking
Coachlog używa wyłącznie niezbędnych cookies (session, auth, preferencje języka). Nie używamy cookies marketingowych ani trackingowych stron trzecich. Analityka produktowa (PostHog) działa po stronie serwera w zagregowanej formie. Możesz wyłączyć analitykę w Ustawieniach konta -> „Dane i prywatność” -> „Analytics opt-out” (zapisywane w cookie `analytics_optout=1`).
§8 Bezpieczeństwo danych
Wszystkie dane są szyfrowane w transmisji (TLS 1.3) oraz w spoczynku (AES-256, Supabase Postgres + AWS S3). Dostęp do bazy danych jest ograniczony przez Row Level Security (RLS) - każdy użytkownik widzi wyłącznie swoje dane. Autoryzacja: hasła hashowane (bcrypt), MFA opcjonalne, sesje JWT z 1-godzinnym TTL i automatycznym refresh. Pliki audio przechowywane są w prywatnych bucketach AWS S3 - dostęp wyłącznie przez krótkotrwałe (5 minut) Signed URLs. Aplikacja jest w trakcie procesu certyfikacji SOC 2 Type II (planowane zakończenie Q3 2026).
§9 Międzynarodowy transfer danych
Niektóre dane mogą być przekazywane poza Europejski Obszar Gospodarczy (EOG), w szczególności do USA (sub-procesorzy: Supabase, OpenAI, Anthropic, Deepgram, Resend, Sentry, PostHog). Transfery odbywają się na podstawie Standard Contractual Clauses (SCC) zatwierdzonych przez Komisję Europejską, w połączeniu z dodatkowymi środkami technicznymi (szyfrowanie end-to-end). UK - adequacy decision uznająca brytyjski poziom ochrony za równoważny z UE (czerwiec 2021).
§10 Zmiany polityki prywatności
O istotnych zmianach (np. nowych sub-procesorach, nowych celach przetwarzania) poinformujemy Cię emailem z 30-dniowym wyprzedzeniem. Drobne zmiany redakcyjne publikujemy bez powiadomienia z aktualizacją daty „Ostatnia aktualizacja” na górze tej strony.