UltraFlow

Polityka Prywatności

Ostatnia aktualizacja: 17 lipca 2026

1. Administrator danych

Administratorem Twoich danych osobowych jest:

2. Jakie dane zbieramy

W celu świadczenia usługi UltraFlow zbieramy następujące kategorie danych:

Kategoria	Dane	Źródło
Dane konta / profil	Imię i nazwisko, e-mail (logowanie / konto), płeć, strefa czasowa	Rejestracja / logowanie / profil
Dane o zdrowiu (art. 9)	HRV, tętno spoczynkowe, sen (długość, fazy, score), Body Battery, masa ciała; historia kontuzji, nietolerancje/dieta (FODMAP), historia startów; subiektywne oceny samopoczucia (poranne check-iny) oraz zgłaszane flagi (ból, choroba, słaby sen, spożycie alkoholu); wnioski systemu o Twojej regeneracji, gotowości i ryzyku przeciążenia	Urządzenia/konta (Garmin, Runalyze, Suunto), profil, check-iny
Dane treningowe	Moc (Stryd), tempo, dystans, przewyższenie, kadencja, tętno treningowe, TRIMP, VO2max; wskaźniki pochodne (A:C, monotonia, CTL/ATL/TSB, baseline'y)	Urządzenia/konta
Dane o lokalizacji	Ślady GPS aktywności (trasy — z nich może wynikać okolica miejsca zamieszkania), GPX tras w plannerze, przybliżona lokalizacja do prognozy pogody. Nie śledzimy telefonu na żywo — tylko pliki aktywności. Aplikacja mobilna nie odczytuje lokalizacji (GPS) urządzenia — dane te pochodzą wyłącznie z podłączonych kont i plików aktywności	Urządzenia/konta
Rozliczeniowe (planowane)	E-mail + dane płatności — po stronie operatora (Paddle); numeru karty nie widzimy. Zero danych zdrowotnych	Paddle
Techniczne	Adres IP, znaczniki czasu (logi bezpieczeństwa)	Automatycznie

Przy podłączeniu konta pobieramy również dane historyczne wstecz — do 12 miesięcy (zdrowotne i treningowe), w zakresie niezbędnym do personalizacji.

3. Cel i podstawa prawna przetwarzania

• Wykonanie usługi (art. 6 ust. 1 lit. b RODO) — generowanie spersonalizowanego raportu treningowego
• Zgoda (art. 9 ust. 2 lit. a RODO) — przetwarzanie danych dotyczących zdrowia (HRV, sen, tętno)
• Uzasadniony interes (art. 6 ust. 1 lit. f RODO) — bezpieczeństwo i stabilność systemu
• Zgoda (art. 6 ust. 1 lit. a RODO) — zapis na listę oczekujących i związana komunikacja (Brevo)

Przetwarzamy dane zdrowotne wyłącznie za Twoją wyraźną zgodą wyrażoną przy rejestracji.

4. Jak używamy Twoich danych

• Generowanie codziennego raportu treningowego przez AI
• Udostępnianie raportów w aplikacji UltraFlow (dostęp po zalogowaniu; dane o zdrowiu pobierane bezpośrednio z serwera, nie zapisywane w pamięci podręcznej urządzenia); raport poranny generowany po porannej synchronizacji Twojego zegarka
• Budowanie historii pomiarów niezbędnej do personalizacji zaleceń
• Doskonalenie jakości analiz na podstawie Twojego feedbacku

Nie używamy Twoich danych do reklamy, profilowania komercyjnego ani nie sprzedajemy ich osobom trzecim.

4a. Lista oczekujących

Jeśli zapiszesz się na listę oczekujących, Twój adres e-mail przetwarzamy w celu poinformowania Cię o starcie usługi oraz wysyłki powiązanych wiadomości — na podstawie Twojej zgody (double opt-in). Adresy przechowujemy w systemie Brevo (Sendinblue SAS, Francja). Zgodę możesz wycofać w każdej chwili, klikając odnośnik „wypisz się" w każdej wiadomości lub pisząc na [email protected]. Dane z listy usuwamy po wycofaniu zgody lub gdy przestaną być potrzebne.

5. Podmioty przetwarzające dane (podwykonawcy)

Podmiot	Rola	Kraj
Hetzner Online GmbH	Hosting serwera aplikacji	Niemcy (EU)
Anthropic, PBC	Generowanie języka raportów (Claude API) — trafia tam zminimalizowany kontekst bez Twoich danych identyfikacyjnych	USA — patrz nota niżej
Cloudflare, Inc.	Front strony/aplikacji i ochrona antybotowa (Turnstile)	EU / globalnie
Cloudflare R2	Szyfrowana kopia zapasowa danych — przechowywana wyłącznie w postaci zaszyfrowanej (dostawca nie ma klucza)	UE
Garmin / Runalyze / Suunto	Źródła danych zdrowotnych i treningowych (za Twoją autoryzacją w tych kontach)	UE / Szwajcaria
Paddle (planowane)	Operator płatności (Merchant of Record) — wyłącznie dane rozliczeniowe, zero danych zdrowotnych	UE/UK
Brevo (Sendinblue SAS)	Lista oczekujących (za zgodą) oraz e-maile transakcyjne logowania (magic-link)	Francja (EU)
Sentry	Monitorowanie błędów i stabilności aplikacji — dane techniczne; dane osobowe usuwamy przed wysłaniem	UE (region Frankfurt)
Open-Meteo	Prognoza pogody do raportu treningowego — otrzymuje współrzędne na poziomie miasta (nie dokładny adres ani ślad GPS)	UE
Thryve (mHealth Pioneers GmbH) (planowane)	Agregator danych z urządzeń noszonych (jedna autoryzacja → wiele wearables, np. Suunto/Polar/COROS) — pośredniczy w pobraniu danych zdrowotnych i treningowych za Twoją zgodą	Niemcy (EU)

Przekazanie do Anthropic (USA) odbywa się na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską (art. 46 RODO) — zawartych w umowie powierzenia danych (DPA) Anthropic (Moduł 2 i 3 decyzji 2021/914, wraz z UK Addendum). Dodatkowo minimalizujemy zakres wysyłanych danych — do Anthropic trafia zminimalizowany kontekst bez danych identyfikacyjnych i bez danych o zdrowiu.

6. Bezpieczeństwo danych

• Komunikacja szyfrowana (HTTPS/TLS)
• Dane przechowywane na serwerach w Unii Europejskiej (Niemcy)
• Dane i tokeny dostępu szyfrowane na dysku serwera (at-rest, LUKS)
• Rozdzielenie danych identyfikacyjnych (imię, e-mail) od strumieni pomiarowych o zdrowiu (pseudonimizacja)
• Do analizy AI wysyłamy zminimalizowany zakres danych — bez Twojego imienia, nazwiska i adresu e-mail
• Tokeny dostępu do Twoich kont (Garmin/Runalyze) traktujemy jak sekrety najwyższej wagi; nie przechowujemy Twoich haseł
• Dostęp do danych chroniony uwierzytelnianiem (indywidualny token dostępu)
• Regularne, szyfrowane kopie zapasowe (GPG) — lokalnie oraz w niezależnej lokalizacji w UE (ochrona przed utratą serwera)

7. Czas przechowywania danych

• Dane konta i profil atlety: do usunięcia konta przez użytkownika
• Dane zdrowotne i treningowe: przez czas korzystania z usługi (utrzymujemy do 12 miesięcy historii do personalizacji)
• Po zamknięciu konta lub wycofaniu zgody: dane o zdrowiu i raporty usuwane w ciągu 7 dni. Usunięcie propaguje się do kopii zapasowych w cyklu rotacji: lokalnej do 7 dni, szyfrowanej kopii poza serwerem (UE) do 30 dni (kopie te są celowo niezmienialne przez 30 dni jako ochrona przed złośliwym oprogramowaniem)
• Dane rozliczeniowe/faktury: 5 lat (obowiązek podatkowy) — nawet po żądaniu usunięcia
• Logi techniczne: 90 dni

8. Twoje prawa

Na podstawie RODO przysługują Ci następujące prawa:

• Dostęp — możesz zażądać kopii wszystkich swoich danych
• Sprostowanie — możesz poprawić nieprawidłowe dane
• Usunięcie — możesz zażądać usunięcia wszystkich danych bez podania przyczyny
• Przenoszenie — możesz otrzymać dane w formacie JSON do użycia w innej usłudze
• Sprzeciw — możesz sprzeciwić się przetwarzaniu opartemu na uzasadnionym interesie
• Wycofanie zgody — na przetwarzanie danych zdrowotnych w dowolnym momencie

W celu realizacji praw wyślij e-mail na adres [email protected]. Odpowiadamy w ciągu 30 dni.

Usunięcie konta i danych: instrukcja krok po kroku (w aplikacji oraz e-mailem, bez logowania) znajduje się na stronie Usunięcie konta.

Masz również prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa.

9. Pliki cookie

Strona internetowa UltraFlow używa wyłącznie plików cookie i technologii niezbędnych technicznie — m.in. zapamiętanie wyboru języka oraz ochrona antybotowa Cloudflare Turnstile w formularzach. Nie wymagają one zgody i nie służą do śledzenia.

Nie używamy analitycznych, reklamowych ani śledzących plików cookie (w szczególności nie korzystamy z Google Analytics ani podobnych narzędzi), nie profilujemy marketingowo i nie udostępniamy danych o ruchu podmiotom trzecim w celach reklamowych.

10. Zmiany Polityki Prywatności

O istotnych zmianach w Polityce Prywatności poinformujemy Cię e-mailem z co najmniej 14-dniowym wyprzedzeniem. Ponieważ przetwarzanie Twoich danych o zdrowiu odbywa się na podstawie Twojej wyraźnej zgody, istotna zmiana zakresu lub celu przetwarzania wymaga Twojej ponownej zgody — nie następuje przez milczącą akceptację ani samo dalsze korzystanie z usługi. Zmiany porządkowe (redakcyjne, aktualizacja danych kontaktowych) obowiązują od publikacji.

11. Kontakt