# POLITYKA PRYWATNOŚCI SPORTAKI

obowiązująca od dnia 23 sierpnia 2026 r.

## 1. Administrator danych

Administratorem danych osobowych przetwarzanych przez Sportaki we własnych celach jest:

**Codegnity sp. z o.o.**
adres: ul. Hetmańska 5/35, 82-300 Elbląg
NIP: 5783182065
REGON: 543322789
KRS: 0001207245
Sąd rejestrowy: Sąd Rejonowy w Olsztynie, VIII Wydział Gospodarczy Krajowego Rejestru Sądowego
Kapitał zakładowy: 5 000,00 zł
e-mail dotyczący prywatności: contact@codegnity.com

We wszystkich sprawach dotyczących prywatności i realizacji praw można skontaktować się pod adresem contact@codegnity.com.

## 2. Role Sportaki i Szkółki

W zależności od rodzaju danych Sportaki może występować w dwóch różnych rolach.

### 2.1. Sportaki jako administrator

Sportaki jest administratorem danych przetwarzanych dla własnych celów, w szczególności danych:

- właścicieli i administratorów kont Szkółek,
- osób kontaktujących się ze Sportaki,
- wykorzystywanych do bezpieczeństwa Platformy,
- niezbędnych do rozliczeń ze Szkółkami,
- dotyczących korzystania z Platformy,
- związanych z obsługą zgłoszeń i reklamacji,
- związanych z opłatami aplikacyjnymi,
- wymaganych do wykonania obowiązków prawnych Sportaki.

### 2.2. Sportaki jako podmiot przetwarzający

Jeżeli Szkółka wprowadza do Platformy dane Rodziców, Dzieci, trenerów, pracowników albo uczestników zajęć, administratorem tych danych jest co do zasady Szkółka.

Sportaki przetwarza takie dane na zlecenie Szkółki jako podmiot przetwarzający.

Szczegółowe zasady tego przetwarzania powinny zostać określone w umowie powierzenia przetwarzania danych zawartej pomiędzy Sportaki a Szkółką.

Jeżeli osoba chce zrealizować prawa dotyczące danych wprowadzonych przez Szkółkę, może skontaktować się bezpośrednio ze Szkółką. Sportaki będzie wspierać Szkółkę w obsłudze takiego żądania.

## 3. Kategorie przetwarzanych danych

W zależności od sposobu korzystania z Platformy możemy przetwarzać następujące dane.

### 3.1. Dane kont i użytkowników

- imię i nazwisko,
- adres e-mail,
- numer telefonu,
- identyfikator użytkownika,
- rola i zakres uprawnień,
- zaszyfrowane lub zahashowane dane uwierzytelniające,
- historia logowania i aktywności,
- dane Szkółki, z którą powiązany jest Użytkownik.

### 3.2. Dane Szkółek

- nazwa i dane rejestrowe,
- NIP, REGON lub KRS,
- adres prowadzenia działalności,
- dane osób reprezentujących,
- dane kontaktowe,
- informacje o lokalizacjach, grupach, trenerach i zajęciach,
- dane rozliczeniowe,
- identyfikator Konta połączonego Stripe,
- status weryfikacji płatności.

### 3.3. Dane Rodziców i Opiekunów

- imię i nazwisko,
- dane kontaktowe,
- adres,
- relacja z Dzieckiem,
- zakres uprawnień wobec Dziecka,
- informacje o zgodach,
- historia zapisów, komunikacji i płatności.

### 3.4. Dane Dzieci i uczestników

- imię i nazwisko,
- data urodzenia,
- płeć, jeżeli jest potrzebna do organizacji zajęć,
- informacje o grupie i zajęciach,
- historia zapisów i obecności,
- dane Opiekunów,
- zgody i dokumenty,
- informacje potrzebne do organizacji bezpiecznego udziału w zajęciach.

### 3.5. Dane medyczne i awaryjne

Jeżeli jest to potrzebne i zgodne z prawem, Szkółka może przetwarzać w Platformie:

- informacje o alergiach,
- informacje o chorobach i ograniczeniach zdrowotnych,
- informacje o przyjmowanych lekach,
- zalecenia dotyczące bezpieczeństwa podczas zajęć,
- dane kontaktów alarmowych,
- inne informacje przekazane przez Rodzica.

Dane dotyczące zdrowia stanowią szczególną kategorię danych. Szkółka odpowiada za ustalenie odpowiedniej podstawy prawnej ich przetwarzania oraz ograniczenie dostępu wyłącznie do uprawnionych osób.

Sportaki przetwarza takie dane na udokumentowane polecenie Szkółki i stosuje podwyższone środki ochrony, takie jak kontrola dostępu, rejestrowanie operacji oraz szyfrowanie odpowiednich danych.

### 3.6. Dane dotyczące płatności

Możemy przetwarzać:

- identyfikator transakcji lub sesji Stripe,
- kwotę i walutę,
- status płatności,
- datę transakcji,
- identyfikator Szkółki i zobowiązania,
- ograniczone informacje o metodzie płatności,
- informacje o zwrotach, sporach i chargebackach,
- wysokość opłaty aplikacyjnej.

Sportaki nie otrzymuje pełnego numeru karty płatniczej ani kodu CVC. Dane te są wprowadzane bezpośrednio w formularzu Stripe.

### 3.7. Dane techniczne

- adres IP,
- informacje o urządzeniu i przeglądarce,
- identyfikatory sesji,
- czas logowania,
- logi bezpieczeństwa i błędów,
- informacje o wykonanych operacjach,
- niezbędne pliki cookies.

## 4. Cele i podstawy przetwarzania

Sportaki może przetwarzać dane jako administrator w następujących celach:

| Cel | Podstawa |
|---|---|
| Utworzenie konta i świadczenie usług | wykonanie umowy lub działania przed zawarciem umowy |
| Obsługa Szkółki i Użytkowników | wykonanie umowy |
| Uwierzytelnianie i utrzymanie sesji | wykonanie umowy oraz prawnie uzasadniony interes polegający na zabezpieczeniu Platformy |
| Obsługa płatności i opłat aplikacyjnych | wykonanie umowy ze Szkółką |
| Prowadzenie rozliczeń i dokumentacji księgowej | obowiązek prawny |
| Zapobieganie nadużyciom i zapewnienie bezpieczeństwa | prawnie uzasadniony interes Sportaki |
| Obsługa zgłoszeń, reklamacji i dochodzenie roszczeń | wykonanie umowy, obowiązek prawny lub prawnie uzasadniony interes |
| Informowanie o zmianach w usłudze | wykonanie umowy |
| Marketing usług Sportaki | zgoda albo prawnie uzasadniony interes – zależnie od kanału i obowiązujących przepisów |
| Analiza działania Platformy | prawnie uzasadniony interes, a w przypadku narzędzi wymagających zgody – zgoda |
| Wykonywanie obowiązków wobec organów | obowiązek prawny |

Jeżeli Sportaki działa jako podmiot przetwarzający, cele i podstawy prawne określa Szkółka jako administrator.

### 4.1. Źródła danych i obowiązek ich podania

Dane otrzymujemy bezpośrednio od Użytkownika, od Organizacji, która tworzy konto lub wprowadza dane do Platformy, od uprawnionego Rodzica lub Opiekuna, a w zakresie płatności i bezpieczeństwa także od Stripe i innych dostawców obsługujących daną operację.

Podanie danych oznaczonych jako wymagane jest niezbędne do utworzenia konta, wykonania wybranej funkcji, realizacji płatności albo obsługi zgłoszenia. Niepodanie takich danych może uniemożliwić wykonanie tej czynności.

## 5. Stripe Connect Express i weryfikacja KYC

1. Szkółki korzystające z płatności mogą zostać skierowane do formularza Stripe-hosted onboarding.

2. Formularz jest obsługiwany przez Stripe. Stripe może zbierać między innymi:

   - dane przedsiębiorstwa,
   - dane osób reprezentujących,
   - informacje o właścicielach,
   - dokumenty tożsamości,
   - dane rachunku bankowego,
   - dane wymagane do weryfikacji KYC i AML.

3. Dane i dokumenty weryfikacyjne są przekazywane bezpośrednio do Stripe.

4. Sportaki może otrzymywać od Stripe informacje potrzebne do integracji, w szczególności:

   - identyfikator konta Stripe,
   - status weryfikacji,
   - status `charges_enabled`,
   - status `payouts_enabled`,
   - informację o brakujących wymaganiach,
   - informacje o ograniczeniu lub zawieszeniu konta.

5. Stripe przetwarza dane zgodnie ze swoimi warunkami, polityką prywatności i obowiązkami wynikającymi z przepisów dotyczących usług płatniczych, zapobiegania oszustwom, KYC i AML.

6. Szkółka zawiera ze Stripe odrębną umowę dotyczącą Konta połączonego.

## 6. Płatności Rodziców

1. Płatność Rodzica jest realizowana za pośrednictwem Stripe Checkout.

2. Sesja płatnicza tworzona jest na Koncie połączonym Szkółki jako direct charge.

3. Szkółka jest odbiorcą płatności i sprzedawcą zajęć.

4. Stripe pobiera od Szkółki opłatę za obsługę płatności.

5. Sportaki może otrzymywać od Szkółki opłatę aplikacyjną zgodną z Cennikiem lub indywidualną umową. W obecnej konfiguracji opłata aplikacyjna wynosi 1,00 PLN od skutecznej płatności i jest pobierana ze środków należnych Szkółce. Informacja o sposobie opodatkowania i rozliczenia wynika z właściwego Cennika, umowy i dokumentu rozliczeniowego.

6. Sportaki przetwarza tylko informacje potrzebne do:

   - powiązania płatności z właściwym zobowiązaniem,
   - wyświetlenia statusu płatności,
   - rozliczenia opłaty aplikacyjnej,
   - obsługi zwrotów i sporów,
   - prowadzenia dokumentacji i zapewnienia bezpieczeństwa.

7. Pełne dane karty i kod CVC pozostają w środowisku płatniczym Stripe.

## 7. Odbiorcy danych

Dane mogą być ujawniane:

1. upoważnionym pracownikom i współpracownikom Sportaki,

2. Szkółce, z którą powiązany jest Użytkownik,

3. Stripe – w zakresie związanym z płatnościami, weryfikacją i zapobieganiem oszustwom,

4. dostawcom infrastruktury hostingowej i przechowywania danych, w szczególności Hetzner Online GmbH,

5. Mailgun i innym dostawcom poczty elektronicznej, wiadomości SMS i powiadomień,

6. OpenAI w zakresie funkcji „Zapytaj Sportaki”,

7. dostawcom narzędzi bezpieczeństwa, monitoringu i obsługi błędów,

8. dostawcom obsługi księgowej, prawnej i technicznej,

9. organom publicznym, jeżeli obowiązek udostępnienia wynika z prawa.

Dostawcy przetwarzający dane na zlecenie Sportaki są zobowiązywani do zachowania poufności i odpowiedniego zabezpieczenia danych.

Aktualna lista kluczowych podmiotów przetwarzających może zostać udostępniona po kontakcie na adres contact@codegnity.com.

### 7.1. Funkcja „Zapytaj Sportaki”

Funkcja jest dostępna wyłącznie dla właściciela i administratora Organizacji. W celu wygenerowania odpowiedzi dotyczącej obsługi systemu do OpenAI możemy przekazać treść pytania, adres aktualnego ekranu, ograniczoną historię rozmowy z bieżącej sesji przeglądarki oraz pseudonimowy identyfikator bezpieczeństwa.

Nie należy wpisywać w rozmowie danych dzieci, opiekunów, płatników, danych medycznych, haseł, kluczy ani innych sekretów. Funkcja nie podejmuje decyzji w imieniu Organizacji i nie wykonuje zmian w systemie.

## 8. Przekazywanie danych poza Europejski Obszar Gospodarczy

Niektórzy dostawcy, w szczególności Stripe, OpenAI lub dostawcy usług komunikacyjnych, mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym.

W takich przypadkach przekazywanie danych odbywa się na podstawie mechanizmów przewidzianych przez RODO, takich jak:

- decyzja Komisji Europejskiej stwierdzająca odpowiedni poziom ochrony,
- standardowe klauzule umowne,
- inne prawnie dopuszczalne zabezpieczenia.

Informacje o mechanizmach stosowanych przez Stripe są dostępne w dokumentach prywatności Stripe.

## 9. Okres przechowywania danych

Dane przechowujemy przez okres zależny od celu ich przetwarzania:

1. dane konta – przez czas korzystania z Platformy oraz okres potrzebny do rozliczenia umowy i zabezpieczenia roszczeń,

2. dane księgowe i transakcyjne – przez okres wymagany przepisami podatkowymi i rachunkowymi,

3. dane bezpieczeństwa i logi – przez okres uzasadniony ochroną Platformy, wykrywaniem nadużyć i wyjaśnianiem incydentów,

4. dane przetwarzane na zlecenie Szkółki – zgodnie z instrukcjami Szkółki i umową powierzenia,

5. dane marketingowe – do wycofania zgody, wniesienia sprzeciwu albo ustania celu marketingowego,

6. dane dotyczące reklamacji i sporów – do zakończenia sprawy i upływu właściwych terminów dochodzenia roszczeń.

Po zakończeniu okresu przechowywania dane są usuwane, anonimizowane lub zabezpieczane przed dalszym użyciem, chyba że prawo wymaga ich dalszego przechowywania.

## 10. Prawa osób

W przypadkach przewidzianych przez RODO osoba, której dane dotyczą, ma prawo do:

- uzyskania informacji o przetwarzaniu,
- dostępu do danych,
- sprostowania danych,
- usunięcia danych,
- ograniczenia przetwarzania,
- przenoszenia danych,
- wniesienia sprzeciwu,
- wycofania zgody,
- otrzymania informacji o zautomatyzowanym podejmowaniu decyzji,
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Żądania dotyczące danych przetwarzanych przez Sportaki jako administrator można kierować na adres: contact@codegnity.com.

Jeżeli żądanie dotyczy danych wprowadzonych przez Szkółkę, Sportaki może przekazać je właściwej Szkółce albo poinformować osobę, z kim powinna się skontaktować.

## 11. Dane dzieci

1. Dane Dzieci są przetwarzane przede wszystkim w celu organizacji zajęć przez Szkółkę.

2. Rodzic lub Opiekun przekazujący dane Dziecka powinien być uprawniony do działania w jego imieniu.

3. Szkółka powinna zbierać wyłącznie dane potrzebne do organizacji i bezpiecznego prowadzenia zajęć.

4. Dostęp pracowników i trenerów do danych Dzieci powinien być ograniczony do zakresu wynikającego z ich obowiązków.

5. Dane medyczne i kontakty awaryjne powinny mieć bardziej restrykcyjne uprawnienia niż zwykłe dane kontaktowe.

6. Sportaki nie wykorzystuje danych Dzieci do własnego marketingu ani tworzenia profili reklamowych.

## 12. Zautomatyzowane podejmowanie decyzji

Sportaki nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały, chyba że osoba zostanie o takim procesie odrębnie poinformowana.

Stripe może stosować automatyczne mechanizmy oceny ryzyka i zapobiegania oszustwom zgodnie ze swoją polityką prywatności.

## 13. Pliki cookies

1. Platforma wykorzystuje niezbędne pliki cookies i podobne technologie potrzebne do:

   - utrzymania sesji Użytkownika,
   - uwierzytelniania,
   - zapewnienia bezpieczeństwa,
   - zapamiętania podstawowych ustawień,
   - ochrony przed nadużyciami.

2. Niezbędne pliki cookies mogą być zapisywane bez dodatkowej zgody, ponieważ bez nich Platforma nie może działać prawidłowo.

3. Platforma może wykorzystywać między innymi sesyjny plik cookie `sportaki_session`.

4. Jeżeli zostaną wdrożone analityczne albo marketingowe pliki cookies, będą one uruchamiane zgodnie z wymaganiami prawa, w szczególności po uzyskaniu zgody, gdy jest ona wymagana.

5. Użytkownik może zarządzać plikami cookies w ustawieniach przeglądarki. Zablokowanie niezbędnych cookies może uniemożliwić zalogowanie lub korzystanie z części funkcji.

## 14. Bezpieczeństwo

Sportaki stosuje środki techniczne i organizacyjne odpowiednie do rodzaju danych i ryzyka, w szczególności:

- kontrolę dostępu opartą na rolach i powiązaniach ze Szkółką,
- izolację danych poszczególnych Szkółek,
- szyfrowanie transmisji,
- bezpieczne przechowywanie haseł,
- ochronę sesji,
- rejestrowanie istotnych operacji,
- kopie zapasowe,
- ograniczenie dostępu do danych medycznych,
- procedury obsługi incydentów bezpieczeństwa.

Żaden system nie gwarantuje całkowitego wyeliminowania ryzyka. W razie naruszenia Sportaki podejmie działania wymagane przez RODO i poinformuje właściwe podmioty, jeżeli będzie to konieczne.

## 15. Zmiany Polityki prywatności

Polityka może być aktualizowana w związku ze zmianą prawa, rozwojem Platformy, zmianą dostawców lub sposobu przetwarzania danych.

O istotnych zmianach Użytkownicy zostaną poinformowani w Platformie, pocztą elektroniczną albo poprzez komunikat na stronie.

## 16. Kontakt i skargi

W sprawach związanych z prywatnością można kontaktować się pod adresem:

contact@codegnity.com

Osoba ma również prawo złożyć skargę do:

**Prezesa Urzędu Ochrony Danych Osobowych**  
ul. Stanisława Moniuszki 1A  
00-014 Warszawa  
https://uodo.gov.pl/