Polityka prywatności SKYTTE

Wersja 1.1 — obowiązuje od: 21 września 2026

Niniejsza Polityka prywatności opisuje, w jaki sposób przetwarzane są dane osobowe użytkowników aplikacji mobilnej SKYTTE — dziennika treningowego dla strzelectwa sportowego — oraz odwiedzających stronę internetową skytte.app (dalej łącznie: „Usługa").

1. Administrator danych

Administratorem danych osobowych jest Jakub Wlekły, ul. Augustyna Szamarzewskiego 21/2, 60-514 Poznań, e-mail kontaktowy w sprawach danych osobowych: [email protected] (dalej: „Administrator").

Administrator nie wyznaczył inspektora ochrony danych. We wszystkich sprawach dotyczących danych osobowych można kontaktować się bezpośrednio z Administratorem pod powyższym adresem e-mail.

2. Jakie dane przetwarzamy i w jakim celu

2.1. Konto użytkownika

W ramach konta przetwarzamy:

• dane obowiązkowe: adres e-mail,
• dane opcjonalne: nazwa wyświetlana (podawana dobrowolnie, możesz ją w każdej chwili zmienić lub usunąć),
• status konta: rodzaj planu (bezpłatny lub premium) oraz data jego wygaśnięcia.

Aplikacja nie używa haseł. Konto powstaje automatycznie przy pierwszym logowaniu — nie ma osobnej rejestracji ani hasła, które można byłoby utracić lub ujawnić.

Cel i podstawa prawna: prowadzenie konta i świadczenie usług aplikacji — art. 6 ust. 1 lit. b RODO (wykonanie umowy).

2.2. Logowanie kodem jednorazowym

Logowanie polega na podaniu adresu e-mail i przepisaniu sześciocyfrowego kodu, który wysyłamy na ten adres. W tym celu przetwarzamy:

• skrót kryptograficzny kodu (algorytm Argon2id) — samego kodu nigdy nie przechowujemy w postaci jawnej,
• datę ważności kodu oraz liczbę nieudanych prób jego użycia.

Kod jest jednorazowy i krótkotrwały: po użyciu albo po upływie terminu ważności przestaje działać, a jego skrót jest usuwany.

Cel i podstawa prawna: uwierzytelnienie użytkownika i ochrona konta — art. 6 ust. 1 lit. b oraz art. 6 ust. 1 lit. f RODO.

2.3. Bezpieczeństwo sesji

W celu ochrony kont przetwarzamy:

• identyfikator urządzenia przekazywany przez aplikację przy logowaniu — służy do zarządzania sesjami i ich wygaszania,
• token odświeżania sesji przechowywany wyłącznie jako skrót kryptograficzny (SHA-256), wraz z datą ważności i ewentualnego unieważnienia,
• adres IP — wykorzystywany wyłącznie do ograniczania liczby prób logowania (ochrona przed atakami automatycznymi). Adres IP nie jest łączony z Twoim kontem i jest usuwany po 1 godzinie.

Cel i podstawa prawna: bezpieczeństwo kont i ochrona przed nadużyciami — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) oraz art. 6 ust. 1 lit. b RODO.

2.4. Treningi strzeleckie

Jeżeli rejestrujesz treningi strzeleckie, przetwarzamy wprowadzane przez Ciebie dane:

• datę, nazwę i opis treningu,
• miejsce treningu (pole tekstowe wypełniane samodzielnie — aplikacja nie pobiera lokalizacji GPS Twojego urządzenia),
• tryb sesji (trening, start kontrolny, zawody),
• w treningu karabinowym: postawy strzeleckie (leżąc, klęcząc, stojąc, karabin pneumatyczny) wraz z liczbą złożeń bezstrzałowych, strzałów i czasem trwania,
• w treningu pistoletowym: konkurencje, przebiegi i etapy wraz z liczbą strzałów i czasem,
• wyniki punktowe poszczególnych serii oraz przyjęty sposób punktacji.

Cel i podstawa prawna: prowadzenie dziennika treningowego — art. 6 ust. 1 lit. b RODO.

2.5. Treningi ogólnorozwojowe

Przetwarzamy wprowadzane przez Ciebie dane treningów ogólnych: datę, nazwę, opis, miejsce, tryb sesji oraz kategorie ćwiczeń (gimnastyka, siła, bieganie, gry sportowe, inne) wraz z czasem ich trwania.

Cel i podstawa prawna: świadczenie usługi — art. 6 ust. 1 lit. b RODO.

2.6. Profile broni

Przetwarzamy dane sprzętu, który samodzielnie dodajesz do aplikacji. Ze względu na szczególny charakter tych informacji poświęcamy im osobną sekcję 3 niniejszej Polityki.

2.7. Preferencje aplikacji

Przetwarzamy wybrany przez Ciebie sposób punktacji (całkowity lub dziesiętny). Cel i podstawa prawna: świadczenie usługi — art. 6 ust. 1 lit. b RODO.

2.8. Zgłoszenia błędów i pomysłów

Jeżeli wysyłasz zgłoszenie z poziomu aplikacji, przetwarzamy jego rodzaj (błąd albo pomysł), treść, którą wpiszesz, oraz powiązanie z Twoim kontem. Wraz ze zgłoszeniem zapisujemy kontekst techniczny opisany w pkt 2.9 — bez niego odtworzenie problemu zwykle nie jest możliwe.

Cel i podstawa prawna: obsługa zgłoszenia i poprawa działania aplikacji — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).

2.9. Kontekst techniczny zapytań

Aplikacja przy każdym zapytaniu do serwera przekazuje trzy informacje techniczne: wersję aplikacji, platformę wraz z wersją systemu (np. „ios/18.2") oraz identyfikator modelu urządzenia (np. „iPhone15,3"). Zapisujemy je w rejestrze zapytań razem z identyfikatorem konta, metodą, ścieżką, kodem odpowiedzi i czasem jej wygenerowania.

Identyfikator modelu wskazuje typ sprzętu, a nie konkretny egzemplarz — nie jest identyfikatorem urządzenia ani identyfikatorem reklamowym. Rejestr usuwamy po 30 dniach.

Cel i podstawa prawna: bezpieczeństwo usługi, diagnozowanie awarii i obsługa zgłoszeń — art. 6 ust. 1 lit. f RODO.

2.10. Korespondencja e-mail

Wysyłamy wyłącznie wiadomości niezbędne do obsługi konta, czyli kody logowania. W tym celu przetwarzamy Twój adres e-mail. Treści wysłanych wiadomości nie przechowujemy na naszych serwerach.

Cel i podstawa prawna: wykonanie umowy — art. 6 ust. 1 lit. b RODO. Nie wysyłamy wiadomości marketingowych.

2.11. Program poleceń

Każde konto ma własny kod polecający. Jeżeli korzystasz z programu, przetwarzamy ten kod, informację o tym, które konto zostało polecone przez które, oraz liczbę skutecznych poleceń. Na tej podstawie przyznajemy plan premium — zasady opisuje Regulamin.

Kod polecający możesz udostępnić samodzielnie, wybranym przez siebie kanałem. Nie mamy dostępu do Twojej listy kontaktów i nie wysyłamy zaproszeń w Twoim imieniu.

Cel i podstawa prawna: wykonanie umowy w zakresie programu poleceń — art. 6 ust. 1 lit. b RODO.

2.12. Krótkie adresy go.skytte.app

Kody polecające udostępniamy w postaci krótkich adresów go.skytte.app/<kod>. Wejście pod taki adres przekierowuje do sklepu z aplikacją — na Androidzie do Google Play z kodem przekazanym jako parametr instalacji, na iOS do App Store — a na komputerze pokazuje stronę z kodem QR prowadzącym pod ten sam adres.

Każde wejście zapisujemy w dzienniku przekierowań. Zapisujemy wyłącznie:

• kod z adresu,
• adres IP,
• rodzaj systemu operacyjnego rozpoznany z nagłówka przeglądarki,
• datę i godzinę wejścia.

Nie zapisujemy pełnego nagłówka przeglądarki, rozdzielczości ekranu, języka ani żadnego identyfikatora odwiedzającego. Usługa nie używa plików cookies ani pamięci przeglądarki i nie śledzi odwiedzających pomiędzy stronami. Dziennik przekierowań usuwamy po 12 miesiącach.

Wejście pod krótki adres nie wymaga posiadania konta i zwykle następuje, zanim ktokolwiek zainstaluje aplikację — dlatego wpisu w dzienniku nie da się powiązać z kontem użytkownika.

Cel i podstawa prawna: przeciwdziałanie nadużyciom w Programie poleceń oraz sprawdzenie, czy przekierowania działają poprawnie — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).

2.13. Eksport danych

Eksport do plików CSV i PDF powstaje na Twoim urządzeniu z danych pobranych z konta. Gotowych plików nie przechowujemy ani nie wysyłamy nigdzie poza Twoje urządzenie — to, komu je przekażesz, zależy wyłącznie od Ciebie.

2.14. Odwiedziny na stronie skytte.app

Strona internetowa nie korzysta z narzędzi analitycznych ani reklamowych i nie profiluje odwiedzających. Podczas wizyty serwery obsługujące stronę oraz zewnętrzna sieć CDN (patrz pkt 5) otrzymują standardowe dane połączenia, w tym adres IP — jest to technicznie niezbędne do wyświetlenia strony.

Podstawa prawna: art. 6 ust. 1 lit. f RODO (dostarczenie i utrzymanie strony internetowej).

3. Dane o broni — szczególne zasady

Rozumiemy, że informacje o posiadanym sprzęcie strzeleckim są dla użytkowników wrażliwe. Traktujemy je z odpowiednią starannością i opisujemy tutaj wprost, co się z nimi dzieje.

3.1. Jakie dane dotyczące sprzętu przetwarzamy

W ramach profili broni przetwarzamy wyłącznie dane, które sam wprowadzisz:

• nazwę własną profilu (dowolną, nadaną przez Ciebie),
• kategorię sprzętu (karabin, pistolet, strzelba, inne) oraz rodzaj amunicji,
• kaliber i rodzaj przyrządów celowniczych,
• ustawienia techniczne karabinu: wysokość stopki, wysokość poduszki policzkowej, długość wyciągu, rozmiar irysa i muszki oraz siłę spustu,
• notatki własne,
• oznaczenie, czy profil jest aktywny.

3.2. Czego NIE przetwarzamy

Aplikacja nie zbiera i nie przechowuje:

• numerów seryjnych broni,
• numerów pozwoleń na broń ani danych z legitymacji posiadacza broni,
• informacji o miejscu przechowywania broni,
• danych z rejestrów urzędowych.

Prosimy, aby nie wpisywać takich informacji w polach opisowych i notatkach.

3.3. Zdjęcia sprzętu

Do profilu broni możesz dodać zdjęcia. Przetwarzamy wówczas sam plik graficzny, jego typ i rozmiar oraz powiązanie ze wskazanym profilem i Twoim kontem.

Pliki przechowujemy w usłudze Amazon S3 w regionie UE — Frankfurt (eu-central-1). Dostęp do nich odbywa się przez adresy podpisywane na czas ograniczony i wystawiane wyłącznie właścicielowi konta — zdjęcia nie są publicznie dostępne ani indeksowane.

Zdjęcie usuwasz w aplikacji w każdej chwili. Usunięcie profilu broni albo konta powoduje usunięcie powiązanych z nimi plików.

Cel i podstawa prawna: świadczenie usługi — art. 6 ust. 1 lit. b RODO.

3.4. Kto ma dostęp do tych danych

Dane o sprzęcie są widoczne wyłącznie dla Ciebie, po zalogowaniu na Twoje konto. Nie udostępniamy ich innym użytkownikom, nie publikujemy, nie wykorzystujemy w statystykach zbiorczych ani nie przekazujemy podmiotom trzecim w celach innych niż techniczne utrzymanie usługi (hosting, baza danych, magazyn plików — patrz pkt 5).

Dane te są przechowywane wyłącznie na serwerach zlokalizowanych na terenie Unii Europejskiej.

3.5. Udostępnianie organom państwowym

Podobnie jak wszystkie pozostałe dane, informacje o sprzęcie mogą zostać udostępnione organom publicznym wyłącznie wtedy, gdy obowiązek taki wynika z powszechnie obowiązujących przepisów prawa — na przykład na podstawie prawidłowo umocowanego żądania sądu lub prokuratury. Nie przekazujemy takich danych z własnej inicjatywy.

3.6. Twoja kontrola

Każdy profil broni możesz w dowolnej chwili edytować lub usunąć w aplikacji. Usunięcie konta powoduje usunięcie wszystkich profili sprzętu — zasady opisano w pkt 8.

4. Czy podanie danych jest obowiązkowe?

Podanie adresu e-mail jest niezbędne do założenia konta i zalogowania się. Wszystkie pozostałe dane — nazwa wyświetlana, treningi, profile sprzętu, zdjęcia, notatki — są całkowicie dobrowolne i zależą wyłącznie od tego, co zdecydujesz się wprowadzić.

5. Odbiorcy danych (podmioty przetwarzające)

Dane przetwarzamy z pomocą starannie dobranych dostawców usług, działających na nasze polecenie na podstawie umów powierzenia przetwarzania (art. 28 RODO):

Dane mogą zostać udostępnione również organom publicznym, jeżeli obowiązek taki wynika z przepisów prawa.

Nie sprzedajemy danych osobowych i nie udostępniamy ich podmiotom trzecim do ich własnych celów marketingowych.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Wszystkie dane rdzeniowe (konta, treningi, profile sprzętu, zdjęcia, baza danych oraz wysyłka wiadomości e-mail) są przetwarzane na terenie Unii Europejskiej — w regionach AWS Frankfurt (eu-central-1) oraz Irlandia (eu-west-1).

Wiadomości e-mail obsługuje Resend Inc., spółka zarejestrowana w USA, jednak przetwarzanie odbywa się w regionie UE (Irlandia). Ponieważ usługodawca jest podmiotem amerykańskim, dla ewentualnego dostępu z USA podstawą jest certyfikacja Resend Inc. w ramach decyzji w sprawie ram ochrony danych UE–USA (EU–U.S. Data Privacy Framework).

Cloudflare oraz jsDelivr działają w oparciu o globalne sieci serwerów, co może wiązać się z przekazaniem adresu IP poza EOG w oparciu o standardowe klauzule umowne stosowane przez tych dostawców.

7. Pliki cookies i pamięć urządzenia

Strona skytte.app nie używa plików cookies ani pamięci przeglądarki (localStorage, sessionStorage). Nie zapisujemy niczego na Twoim urządzeniu podczas przeglądania strony i nie stosujemy żadnych mechanizmów śledzących. Z tego względu strona nie wyświetla banera zgody na cookies — nie ma na co wyrażać zgody.

Serwis go.skytte.app obsługujący krótkie adresy również nie używa cookies ani pamięci przeglądarki — zapisuje wyłącznie dziennik przekierowań opisany w pkt 2.12.

Strona pobiera bibliotekę wyglądu (Bootstrap) z zewnętrznej sieci CDN jsDelivr. Dostawca ten nie zapisuje cookies w ramach naszej strony, jednak w momencie pobrania zasobu otrzymuje standardowe dane połączenia, w tym Twój adres IP.

Aplikacja mobilna nie korzysta z plików cookies. Przechowuje na urządzeniu wyłącznie dane niezbędne do działania: token sesji w magazynie chronionym przez system operacyjny (Keychain na iOS, szyfrowany magazyn na Androidzie) oraz Twoje treningi w pamięci lokalnej — to ostatnie umożliwia pracę bez połączenia z internetem.

8. Okresy przechowywania danych

• dane konta, treningi, profile sprzętu i zdjęcia: przez czas posiadania konta. Po usunięciu konta wszystkie powiązane dane są usuwane natychmiast (kaskadowo, wraz z kontem),
• treningi i profile usunięte pojedynczo w aplikacji: oznaczane jako usunięte i trwale kasowane po 90 dniach (okres ten umożliwia synchronizację między urządzeniami i cofnięcie przypadkowego usunięcia),
• skrót kodu logowania: usuwany po użyciu kodu lub po upływie jego ważności,
• tokeny sesji: usuwane niezwłocznie po wygaśnięciu; tokeny unieważnione — po 30 dniach,
• rejestr zapytań (pkt 2.9): 30 dni,
• adresy IP w rejestrze ograniczania zapytań: maksymalnie 1 godzina,
• dziennik przekierowań go.skytte.app (pkt 2.12), w tym adres IP: 12 miesięcy,
• zgłoszenia błędów i pomysłów: przez czas niezbędny do ich rozpatrzenia i wprowadzenia zmian, nie dłużej niż przez czas posiadania konta,
• dane mogą być przechowywane dłużej wyłącznie wtedy, gdy jest to niezbędne do ustalenia, dochodzenia lub obrony roszczeń albo wynika z przepisów prawa.

9. Twoje prawa

Przysługuje Ci prawo do:

• dostępu do danych oraz otrzymania ich kopii (art. 15 RODO),
• sprostowania danych (art. 16 RODO) — większość danych możesz poprawić samodzielnie w aplikacji,
• usunięcia danych (art. 17 RODO) — konto możesz usunąć samodzielnie w aplikacji; usunięcie jest natychmiastowe i nieodwracalne,
• ograniczenia przetwarzania (art. 18 RODO),
• przenoszenia danych (art. 20 RODO) — swoje treningi możesz też w każdej chwili wyeksportować do pliku CSV lub PDF bezpośrednio w aplikacji,
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO),
• cofnięcia zgody w zakresie, w jakim przetwarzanie odbywa się na jej podstawie (art. 7 ust. 3 RODO).

Aby skorzystać z tych praw, napisz na adres: [email protected]. Odpowiemy najpóźniej w ciągu miesiąca.

Masz również prawo wniesienia skargi do organu nadzorczego — w Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

10. Zautomatyzowane podejmowanie decyzji i profilowanie

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Statystyki i zestawienia treningowe prezentowane w aplikacji służą wyłącznie Twojej własnej analizie postępów.

11. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

• szyfrowanie transmisji (TLS) na wszystkich połączeniach z serwerem,
• logowanie bez hasła — nie przechowujemy sekretu, który mógłby wyciec i zostać użyty w innych serwisach,
• przechowywanie kodów logowania wyłącznie w postaci skrótów kryptograficznych (Argon2id), z krótkim terminem ważności i limitem prób,
• tokeny sesji przechowywane wyłącznie jako skróty, z rotacją przy każdym odświeżeniu,
• ograniczanie liczby prób logowania,
• ścisłą kontrolę dostępu — każde zapytanie do bazy weryfikuje, czy dane należą do zalogowanego użytkownika,
• dostęp do plików zdjęć wyłącznie przez adresy podpisywane na czas ograniczony,
• ochronę przed atakami sieciowymi na poziomie warstwy brzegowej (Cloudflare).

12. Dzieci

Usługa jest przeznaczona dla osób, które ukończyły 16 lat. Nie kierujemy usług do dzieci i nie przetwarzamy świadomie ich danych. Jeżeli dowiesz się, że dziecko poniżej 16 roku życia założyło konto, skontaktuj się z nami — konto zostanie usunięte.

13. Zmiany Polityki

O istotnych zmianach Polityki poinformujemy z wyprzedzeniem w aplikacji lub e-mailem na adres przypisany do konta. Archiwalne wersje udostępniamy na żądanie; poprzednia wersja 1.0 pozostaje dostępna pod adresem /policy/privacy/1.0/.