Polityka prywatności aplikacji Privacy policy for the app

1. Zakres polityki i role podmiotów

Niniejsza polityka dotyczy osób korzystających z aplikacji RENTSPORTS w celu wyszukania, rezerwacji, opłacenia i wykorzystania usług oferowanych przez kluby i operatorów obiektów sportowych („Obiekty”). Operatorem technicznym systemu jest [NAZWA FIRMY], z siedzibą w [ADRES], NIP [NIP], REGON [REGON, JEŻELI DOTYCZY], e-mail: contact@rentsports.app.

Role w zakresie RODO są ustalane według konkretnego procesu przetwarzania, a nie według jednej ogólnej zasady:

• RENTSPORTS jako administrator: co do zasady w zakresie prowadzenia konta użytkownika w systemie, uwierzytelniania, bezpieczeństwa, utrzymania i rozwoju własnej usługi, obsługi zgłoszeń kierowanych do RENTSPORTS oraz własnych obowiązków prawnych.
• Obiekt jako administrator: w zakresie, w którym samodzielnie określa cele i sposoby przetwarzania danych związanych z konkretną rezerwacją, świadczeniem usługi sportowej, zasadami wejścia na obiekt, rozliczeniami i reklamacjami dotyczącymi usługi sportowej.
• RENTSPORTS jako podmiot przetwarzający dla Obiektu: jeżeli RENTSPORTS przetwarza dane klientów Obiektu wyłącznie w imieniu Obiektu i zgodnie z jego udokumentowanymi instrukcjami, np. w ramach prowadzenia rezerwacji, kalendarza, obsługi wejść lub udostępniania danych w panelu Obiektu. W takim przypadku podstawą współpracy powinny być odpowiednie postanowienia powierzenia przetwarzania danych (art. 28 RODO).
• Współadministratorzy: tylko jeżeli RENTSPORTS i Obiekt wspólnie ustalają cele i sposoby danego przetwarzania. W takim przypadku strony powinny zawrzeć uzgodnienie z art. 26 RODO i udostępnić użytkownikom jego istotę.

Ostateczny podział ról musi odpowiadać faktycznemu modelowi działania systemu i umowom z Obiektami. Nie należy automatycznie kwalifikować całej bazy użytkowników jako danych, których administratorem jest wyłącznie RENTSPORTS.

2. Jakie dane możemy przetwarzać

Dane podane przez Ciebie

• numer telefonu używany do weryfikacji konta;
• imię i nazwisko;
• adres e-mail;
• zdjęcie profilowe, jeżeli dobrowolnie je dodasz;
• liczba osób objętych rezerwacją, jeżeli jest wymagana przez Obiekt;
• dane podane w treści zgłoszenia, reklamacji lub korespondencji.

Dane związane z korzystaniem z systemu

• dane rezerwacji: Obiekt, rodzaj usługi, kort/stół/sala, termin, godziny, cena, status;
• dane transakcji: identyfikator zamówienia/transakcji/płatności, kwota, waluta i status płatności; RENTSPORTS nie przechowuje pełnych danych karty płatniczej;
• dane karnetów, jeżeli Obiekt udostępnia tę funkcję;
• kod dostępu lub identyfikator uprawnienia do wejścia, w zakresie niezbędnym do obsługi zamka;
• zdarzenia związane z dostępem do Obiektu, jeżeli system danego Obiektu je rejestruje, np. czas wygenerowania, użycia lub wygaśnięcia kodu;
• ustawienia powiadomień, język aplikacji, daty utworzenia konta i logowań;
• historia akceptacji regulaminu, polityki prywatności i innych oświadczeń;
• dane techniczne i bezpieczeństwa, w zakresie, w jakim są zbierane: adres IP, identyfikatory urządzenia lub sesji, informacje o aplikacji/przeglądarce, systemie operacyjnym, błędach i logach bezpieczeństwa.

Nie zakładamy, że dane o stanie zdrowia, kontuzjach lub innych szczególnych kategoriach danych są potrzebne do korzystania z RENTSPORTS. Nie należy wpisywać takich danych do pól formularzy ani zgłoszeń, chyba że system wyraźnie przewiduje ich przetwarzanie na podstawie właściwej podstawy prawnej.

3. Cele i podstawy prawne

Jeżeli Obiekt jest administratorem danych dotyczących konkretnej usługi sportowej, jego własna polityka prywatności może określać dodatkowe cele, podstawy prawne i okresy przechowywania. Użytkownik powinien otrzymać tę informację najpóźniej w chwili pozyskania danych przez Obiekt lub RENTSPORTS działający w jego imieniu.

4. PayU i przepływ pieniędzy

Płatność za rezerwację jest dokonywana przez użytkownika na rzecz Obiektu za pośrednictwem PayU. Zgodnie z modelem opisanym w Regulaminie RENTSPORTS nie przyjmuje ceny najmu we własnym imieniu ani nie staje się stroną umowy dotyczącej wynajmu kortu, stołu lub sali. W systemie mogą być przechowywane identyfikatory płatności, kwota, waluta i status transakcji, ale nie pełne dane instrumentu płatniczego.

PayU przetwarza dane zgodnie z własną dokumentacją i polityką prywatności oraz rolą wynikającą z konkretnego modelu płatności. Nie należy opisywać PayU jako „procesora” w polityce RENTSPORTS bez potwierdzenia tej kwalifikacji w umowie i dokumentacji PayU.

5. Odbiorcy i dostawcy danych

Dane mogą być udostępniane lub powierzane podmiotom niezbędnym do działania systemu, w szczególności:

Wymóg wdrożeniowy: przed publikacją dokumentu należy uzupełnić faktyczną listę dostawców i sprawdzić, czy dla każdego dostawcy istnieje właściwa umowa powierzenia, mechanizm dalszego powierzenia i podstawa transferu danych poza EOG.

6. Transfery poza EOG

System może korzystać z usług dostawców mających infrastrukturę, personel lub podwykonawców poza Europejskim Obszarem Gospodarczym. Jeżeli dochodzi do transferu danych poza EOG, odbywa się on wyłącznie na zasadach określonych w rozdziale V RODO, np. na podstawie decyzji stwierdzającej odpowiedni stopień ochrony albo odpowiednich zabezpieczeń, w tym standardowych klauzul umownych, wraz z wymaganymi ocenami i dodatkowymi środkami, jeżeli są potrzebne.

7. Okres przechowywania

• konto i dane profilu: co do zasady do usunięcia konta, z zastrzeżeniem danych, które muszą być zachowane dłużej na podstawie prawa albo dla ustalenia, dochodzenia lub obrony roszczeń;
• dane rezerwacji i transakcji: przez okres wynikający z celu, obowiązków prawnych oraz przedawnienia potencjalnych roszczeń; w przypadku danych pozostających administratorem Obiektu, zgodnie z polityką Obiektu;
• kody/uprawnienia dostępu: przez okres niezbędny do wejścia i krótki okres techniczny potrzebny do bezpieczeństwa i rozliczalności, po czym powinny zostać usunięte lub zanonimizowane;
• logi bezpieczeństwa: przez okres niezbędny do wykrywania incydentów, zapewnienia bezpieczeństwa i obrony roszczeń, zgodnie z wewnętrzną polityką retencji;
• korespondencja i reklamacje: przez czas potrzebny do obsługi sprawy, a następnie przez okres przedawnienia roszczeń, jeżeli jest to uzasadnione;
• dane objęte obowiązkiem podatkowym lub rachunkowym: przez okres wynikający z właściwych przepisów.

Nie należy deklarować w polityce, że usunięcie konta zawsze powoduje nieodwracalne usunięcie wszystkich danych, część danych może być przechowywana dłużej z przyczyn prawnych, bezpieczeństwa lub roszczeń.

8. Prawa użytkownika

W zależności od podstawy prawnej i roli administratora przysługują Ci prawa dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie oraz wycofania zgody w dowolnym momencie, jeżeli przetwarzanie odbywa się na podstawie zgody. Możesz również wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych.

Żądanie możesz skierować na contact@rentsports.app. Jeżeli dana sprawa dotyczy wyłącznie Obiektu jako administratora, RENTSPORTS może przekazać żądanie Obiektowi lub wskazać właściwy kontakt, bez pozbawiania Cię prawa do skierowania żądania do administratora.

9. Zautomatyzowane decyzje i profilowanie

RENTSPORTS nie wykorzystuje profilowania ani zautomatyzowanego podejmowania decyzji wywołującego wobec użytkownika skutki prawne lub podobnie istotne skutki, chyba że odrębna informacja wyraźnie wskaże takie działanie, jego podstawę, logikę i przysługujące prawa. Automatyczne sprawdzanie dostępności terminu, wyliczenie ceny zgodnie z regułami Obiektu lub wygenerowanie kodu dostępu nie jest samo w sobie decyzją z art. 22 RODO.

10. Powiadomienia i komunikacja marketingowa

Wiadomości konieczne do realizacji rezerwacji, płatności, zwrotu, zmiany terminu lub wejścia na Obiekt mogą być wysyłane niezależnie od wyłączenia komunikacji marketingowej. Komunikacja marketingowa RENTSPORTS jest odrębną kategorią i jest prowadzona wyłącznie w zakresie zgodnym z właściwymi przepisami oraz udzielonymi zgodami, jeżeli zgoda jest wymagana.

11. Cookies, local storage i podobne technologie

Jeżeli strona lub panel używa wyłącznie technicznie niezbędnych mechanizmów utrzymania sesji oraz local storage do zapamiętania ustawień języka lub wyglądu, należy opisać je w informacji cookie i nie wykorzystywać do śledzenia bez odpowiedniej podstawy.

Jeżeli zostaną wdrożone analityka, reklamy, remarketing, SDK marketingowe lub inne technologie niekonieczne do świadczenia usługi, przed ich użyciem należy wdrożyć odpowiedni mechanizm zgody oraz tabelę dostawców, celów, okresów przechowywania i możliwości wycofania zgody. Nie należy publikować ogólnego stwierdzenia, że „banner zgody będzie kiedyś potrzebny”, dokument powinien odpowiadać faktycznej konfiguracji.

12. Bezpieczeństwo

Stosujemy odpowiednie środki techniczne i organizacyjne adekwatne do ryzyka, w szczególności kontrolę dostępu, uwierzytelnianie, ograniczanie uprawnień, szyfrowanie w zakresie właściwym dla danej warstwy systemu, kopie zapasowe, monitoring oraz procedury reagowania na incydenty. Szczegółów zabezpieczeń nie publikujemy, jeżeli ich ujawnienie mogłoby obniżyć bezpieczeństwo systemu.

13. Zmiany polityki

Polityka może być aktualizowana, jeżeli zmieni się prawo, model działania systemu, dostawcy lub zakres przetwarzania. O istotnych zmianach poinformujemy odpowiednim kanałem, a w przypadkach wymaganych prawem zapewnimy wymagane uprzednie informacje. Data aktualizacji jest wskazana na początku dokumentu.

14. Dane administratora i kontakt

[NAZWA FIRMY]
[ADRES]
NIP: [NIP]
e-mail: contact@rentsports.app
Inspektor ochrony danych: [DANE IOD, JEŻELI WYZNACZONO].

PRZED PUBLIKACJĄ: uzupełnić dane administratora, faktyczne role RODO dla każdego procesu, pełną listę dostawców, lokalizacje przetwarzania, transfery poza EOG, retencję oraz sposób realizacji żądań dotyczących danych Obiektu.

1. Scope and roles

This policy applies to people using RENTSPORTS to find, book, pay for and use services offered by sports clubs and venue operators (“Venues”). The technical operator of the system is [COMPANY NAME], registered at [ADDRESS], tax ID [TAX ID], email: contact@rentsports.app.

GDPR roles depend on the actual processing activity:

• RENTSPORTS as controller: generally for user accounts, authentication, security, operation of its own service, support and its own legal obligations.
• The Venue as controller: where the Venue independently determines the purposes and means of processing connected with a specific booking, the sports service, access rules, settlement and complaints about the sports service.
• RENTSPORTS as processor for the Venue: where RENTSPORTS processes Venue customer data only on the Venue’s documented instructions, for example for bookings, calendars or access management. An Article 28 GDPR processing agreement should apply.
• Joint controllers: only where RENTSPORTS and the Venue jointly determine the purposes and means of a processing activity. An Article 26 GDPR arrangement should then apply.

The final allocation of roles must reflect the actual system and contracts. It should not be assumed that RENTSPORTS is the sole controller for the entire user database.

2. Data we may process

• phone number, first and last name, email address and optional profile photo;
• number of people covered by a booking, where required by the Venue;
• booking data: Venue, service, court/table/hall, date, time, price and status;
• payment identifiers, amount, currency and status; RENTSPORTS does not store full payment card details;
• passes, access permissions and access codes, where applicable;
• access events, where the Venue’s system records them;
• notification settings, app language, account creation and login dates, and acceptance records;
• technical and security data, where collected, such as IP address, session/device identifiers, app/browser and OS information, error and security logs;
• information included in support requests and complaints.

Do not enter health information or other special categories of personal data into ordinary forms unless the system expressly provides for such processing.

3. Purposes and legal bases

4. PayU and the flow of funds

Booking payments are made by the user to the Venue through PayU. Under the model described in the Terms, RENTSPORTS does not accept the rental price in its own name and is not a party to the venue rental contract. RENTSPORTS may receive payment identifiers, amount, currency and status, but not full payment card details.

PayU processes personal data under its own documentation and according to its role in the payment model. RENTSPORTS should not describe PayU as a processor without confirming that qualification in the relevant PayU documentation.

5. Recipients and providers

Before publication, confirm the actual provider list, processing agreements, subprocessors and international transfer mechanisms.

6. Transfers outside the EEA

Where data is transferred outside the EEA, the transfer must comply with Chapter V GDPR, including an adequacy decision or appropriate safeguards such as Standard Contractual Clauses where applicable, together with any necessary supplementary measures.

7. Retention

• account data: generally until account deletion, subject to legal, security and claims-related retention;
• booking and transaction data: for the period required by the purpose, legal obligations and limitation periods; Venue-controlled data follows the Venue’s policy;
• access codes/permissions: only for the period necessary for access and a limited technical/security period;
• security logs: for the period necessary for security, incident handling and claims;
• complaints and correspondence: for handling the matter and, where justified, limitation periods;
• tax/accounting data: for periods required by applicable law.

8. Your rights

Depending on the legal basis and controller role, you may have rights of access, rectification, erasure, restriction, portability, objection to legitimate-interest processing and withdrawal of consent. You may complain to the competent supervisory authority, in Poland the President of the Personal Data Protection Office. Requests can be sent to contact@rentsports.app.

9. Automated decisions and profiling

RENTSPORTS does not use profiling or solely automated decision-making producing legal or similarly significant effects unless separately disclosed. Availability checks, rule-based pricing by a Venue or automatic generation of an access code are not, by themselves, Article 22 GDPR decisions.

10. Notifications and marketing

Messages necessary for bookings, payments, refunds, changes or access may be sent regardless of marketing preferences. Marketing communications are a separate category and are sent only as permitted by applicable law and consent requirements.

11. Cookies and similar technologies

If the website uses only necessary session mechanisms and local storage for language/theme settings, describe them in the cookie information. If analytics, advertising, remarketing or other non-essential technologies are introduced, implement the required consent mechanism and update the provider/retention information before deployment.

12. Security

We apply technical and organisational measures appropriate to risk, including access controls, authentication, least-privilege permissions, appropriate encryption, backups, monitoring and incident-response procedures.

13. Changes

This policy may be updated following changes in law, the service, providers or processing. Material changes will be communicated through an appropriate channel where required. The latest update date appears at the top.

14. Controller contact

[COMPANY NAME]
[ADDRESS]
Tax ID: [TAX ID]
Email: contact@rentsports.app
Data Protection Officer: [DPO DETAILS, IF APPOINTED].

BEFORE PUBLICATION: complete controller details, processing roles, provider list, processing locations, international transfers, retention periods and the handling of Venue-specific data requests.