Polityka Prywatności

Usługa GymVox jest prowadzona przez NEXLY LAB sp. z o.o. z siedzibą przy ul. Juliana Smulikowskiego 4A/21, 00-389 Warszawa, wpisaną do Krajowego Rejestru Sądowego pod numerem 0001190628, NIP 5253058699, REGON 542557020. NEXLY LAB sp. z o.o. jest administratorem danych osobowych opisanych w niniejszej polityce; kontakt: [email protected]. GymVox to aplikacja i serwis gymvox.app oferujące trening personalny prowadzony przez sztuczną inteligencję. Niniejsza Polityka Prywatności dotyczy zarówno aplikacji mobilnej GymVox, jak i serwisu gymvox.app, w tym formularza listy oczekujących i formularza kontaktowego.

Szanujemy Twoją prywatność i przetwarzamy dane osobowe w sposób odpowiedzialny. Ze względu na charakter usługi przetwarzamy informacje o zdrowiu i sprawności fizycznej, co wiąże się z dodatkowymi obowiązkami wynikającymi z przepisów. Prosimy o uważne zapoznanie się z tą polityką.

Dane konta i dane kontaktowe: - Adres e-mail i nazwa wyświetlana - Data urodzenia i płeć (wykorzystywane do personalizacji planów treningowych i żywieniowych) - Tożsamość z dostawcy OAuth (jeśli logujesz się przez Google lub Apple)

Informacje o zdrowiu i sprawności fizycznej (dane szczególnych kategorii w rozumieniu art. 9 RODO): - Historia kontuzji, ocena dolegliwości bólowych i ograniczeń ruchowych - Check-iny samopoczucia, w tym masa ciała, jakość snu i ocena regeneracji - Dane treningowe: dobór ćwiczeń, serie, powtórzenia, obciążenie i odczuwany wysiłek (RPE) - Dane żywieniowe: dzienne wpisy posiłków, cele kaloryczne i makroskładniki - Szacunki składu ciała wyliczone z opcjonalnych zdjęć sylwetki (procent tkanki tłuszczowej, szacunkowa masa mięśniowa) - Dobrowolnie podane informacje o zdrowiu w rozmowach z trenerem AI (w tym wspomniane przez Ciebie schorzenia, leki lub objawy)

Treść rozmów: - Wiadomości tekstowe wymieniane z trenerem AI, w tym dobrowolnie podane okoliczności osobiste - Podsumowania sesji oraz pamięć trenerska wygenerowana przez AI (uporządkowany profil Twoich celów, trudności i postępów) - Odpowiedzi z kwestionariusza wdrożeniowego, w tym doświadczenie treningowe i preferencje żywieniowe

Dane głosowe: - W trybie głosowym dźwięk jest przesyłany na żywo z Twojego urządzenia do OpenAI przez WebRTC. GymVox nie przechowuje surowego strumienia audio. Transkrypcje sesji głosowych są zapisywane jako część historii rozmów.

Zdjęcia sylwetki i materiały treningowe: - Zdjęcia sylwetki (opcjonalne): przechowywane w sposób zabezpieczony i automatycznie usuwane po 30 dniach - Zdjęcia posiłków i sprzętu: przesyłane przejściowo do dostawcy AI w celu analizy, nieprzechowywane przez GymVox - Zdjęcia lub nagrania do oceny techniki: przesyłane do dostawcy AI w celu analizy; zapisywane są oceny, ale same pliki nie są przez GymVox przechowywane

Dane o korzystaniu z aplikacji i analityka: - Zdarzenia w aplikacji, interakcje i właściwości urządzenia zbierane przez PostHog (analityka) wyłącznie po wyrażeniu przez Ciebie zgody - Informacja, skąd wiesz o GymVox, jeśli zdecydujesz się odpowiedzieć na jedno opcjonalne pytanie wyświetlane po rejestracji, wykorzystywana wyłącznie przez nas do oceny, które kanały marketingowe działają - Na Androidzie znaczniki kampanii (utm_source, utm_medium, utm_campaign, utm_term, utm_content) z linku Google Play, z którego zainstalowano aplikację, odczytywane jednorazowo z Play Install Referrer i zapisywane przy Twoim koncie, wykorzystywane wyłącznie przez nas do oceny, które kanały marketingowe działają. Nie są przekazywane dostawcom analityki ani reklam

Dane o zakupach i subskrypcji: - Rodzaj subskrypcji, jej status i historia zakupów, obsługiwane przez RevenueCat

Powiadomienia push: - Tokeny urządzeń wykorzystywane do dostarczania przypomnień o treningach i powiadomień o seriach, przez Expo, Google Firebase (FCM) lub Apple APNs

Komunikacja e-mail: - Adres e-mail i preferencje komunikacyjne obsługiwane przez Resend - Dane o dostarczeniu i interakcji (otwarcia i kliknięcia) dla wysyłanych przez nas wiadomości

Dane serwisu i dane sieciowe: - Adres IP, typ przeglądarki, informacje o urządzeniu, odwiedzone strony i witryna odsyłająca - Zgłoszenia do listy oczekujących zawierają adres e-mail, adres IP, user agent i adres odsyłający

Zebrane informacje wykorzystujemy, aby:

• Świadczyć i personalizować usługę trenera AI, w tym planowanie treningów i żywienia, śledzenie postępów oraz sesje głosowe
• Analizować opcjonalne zdjęcia sylwetki w celu oszacowania składu ciała, na Twoje żądanie
• Zachowywać ciągłość pracy trenerskiej przez budowanie i aktualizowanie profilu pamięci trenerskiej pomiędzy sesjami
• Analizować materiały do oceny techniki i przekazywać informację zwrotną
• Wysyłać przypomnienia o treningach, powiadomienia o osiągnięciach oraz wiadomości serwisowe
• Obsługiwać Twoją subskrypcję i realizować płatności
• Prowadzić listę oczekujących, odpowiadać na zapytania i wysyłać informacje o produkcie (za Twoją zgodą)
• Mierzyć wydajność aplikacji i rozumieć sposób korzystania z funkcji (analityka, za Twoją zgodą)
• Wykrywać i zapobiegać oszustwom, nadużyciom i incydentom bezpieczeństwa
• Wypełniać obowiązki prawne

Jeżeli przebywasz w Europejskim Obszarze Gospodarczym (EOG) lub w Wielkiej Brytanii, przetwarzamy Twoje dane w oparciu o następujące podstawy prawne:

Umowa (art. 6 ust. 1 lit. b): Przetwarzanie danych konta, informacji o sprawności i zdrowiu, treści rozmów, danych treningowych oraz informacji o subskrypcji jest niezbędne do świadczenia usługi trenerskiej, z której korzystasz.

Zgoda (art. 6 ust. 1 lit. a): Zbieranie danych analitycznych przez PostHog wymaga Twojej zgody, wyrażanej w aplikacji. Wiadomości marketingowe wymagają odrębnej zgody. Analiza zdjęć sylwetki wymaga Twojego wyraźnego potwierdzenia przed każdym przesłaniem.

Prawnie uzasadniony interes (art. 6 ust. 1 lit. f): Monitorowanie bezpieczeństwa, przeciwdziałanie oszustwom, logowanie zdarzeń systemowych, kierowanie ruchem przez Cloudflare oraz weryfikacja przeciwdziałająca nadużyciom, o ile nasz interes nie jest nadrzędny wobec Twoich praw.

Obowiązek prawny (art. 6 ust. 1 lit. c): Dokumentacja podatkowa, potwierdzenia subskrypcji i inne wymogi zgodności z przepisami.

Dane dotyczące zdrowia (art. 9): GymVox przetwarza informacje o zdrowiu i sprawności fizycznej, które mogą stanowić dane szczególnych kategorii w rozumieniu art. 9 RODO, w tym historię kontuzji, dane o składzie ciała, informacje żywieniowe oraz informacje o zdrowiu ujawnione w rozmowach. W przypadku analizy zdjęć sylwetki opieramy się na art. 9 ust. 2 lit. a (zgoda wyraźna), a w zakresie szerszej usługi trenerskiej na art. 9 ust. 2 lit. h (świadczenie usług w zakresie zdrowia lub zarządzania sprawnością fizyczną na Twoje żądanie). Jeżeli przebywasz w EOG i masz pytania o podstawę prawną konkretnej czynności przetwarzania, skontaktuj się z nami.

Udostępniamy dane następującym dostawcom usług, którzy przetwarzają je w naszym imieniu:

OpenAI: Zasila trenera AI w zakresie rozmów tekstowych, sesji głosowych, analizy wdrożenia, analizy zdjęć posiłków, analizy zdjęć sylwetki oraz oceny techniki. Do OpenAI przesyłane są treści rozmów, ujawnione informacje o zdrowiu, zdjęcia sylwetki i dźwięk. Domyślnie OpenAI nie wykorzystuje danych przesyłanych przez API do trenowania ani ulepszania swoich modeli. Użytkownicy z EOG zawierają umowę z OpenAI Ireland Ltd; transfer regulują standardowe klauzule umowne (SCC).

Google Gemini: Wykorzystywany do analizy nagrań oceny techniki. Materiały (zdjęcia i klatki wideo) są przesyłane do Gemini i usuwane po analizie. Zastosowanie ma umowa powierzenia Google Cloud.

DigitalOcean Spaces: Zdjęcia sylwetki są przechowywane w postaci zaszyfrowanej w magazynie obiektowym DigitalOcean i automatycznie usuwane po 30 dniach. DigitalOcean posiada certyfikację w ramach EU-US Data Privacy Framework (DPF).

PostHog: Usługa analityczna zbierająca zdarzenia korzystania z aplikacji przy użyciu identyfikatora pseudonimizowanego, po wyrażeniu przez Ciebie zgody. PostHog działa ze Stanów Zjednoczonych i posiada certyfikację DPF.

RevenueCat: Obsługuje stan subskrypcji, potwierdzenia zakupów i uprawnienia. Transfery z UE reguluje SCC.

Resend: Obsługuje wysyłkę wiadomości transakcyjnych i marketingowych. Zastosowanie mają SCC.

Expo, Google Firebase (FCM), Apple APNs: Dostarczają powiadomienia push. Przez te usługi przesyłane są tokeny urządzeń i treść powiadomień.

Google / Apple: Jeżeli logujesz się przez Google lub Apple, dane tożsamości otrzymujemy z ich usług OAuth na warunkach tych dostawców.

Cloudflare: Kieruje całym ruchem serwisu i API oraz zapewnia ochronę i weryfikację przeciwdziałającą nadużyciom. Cloudflare posiada certyfikację DPF.

Nie sprzedajemy Twoich danych osobowych. Nie udostępniamy Twoich danych reklamodawcom w oparciu o informacje o Twoim zdrowiu lub sprawności fizycznej.

GymVox korzysta z dostawców usług zlokalizowanych w Stanach Zjednoczonych i innych krajach. Gdy Twoje dane są przekazywane poza EOG lub Wielką Brytanię, zapewniamy odpowiednie zabezpieczenia:

• Standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską
• Certyfikacja w ramach EU-US Data Privacy Framework (tam, gdzie ma zastosowanie)
• Umowy powierzenia przetwarzania z każdym podmiotem przetwarzającym

Najważniejsze transfery: przetwarzanie AI do OpenAI (dla użytkowników z EOG OpenAI Ireland Ltd, SCC); analityka do PostHog (USA, certyfikacja DPF); przechowywanie zdjęć sylwetki w DigitalOcean (USA, certyfikacja DPF); dane subskrypcji do RevenueCat (USA, SCC); poczta do Resend (USA, SCC).

Przechowujemy Twoje dane osobowe tak długo, jak Twoje konto pozostaje aktywne lub jak długo jest to niezbędne do świadczenia usług, z następującymi zastrzeżeniami:

• Zdjęcia sylwetki: Automatycznie usuwane z magazynu po 30 dniach
• Wyniki analizy składu ciała: Przechowywane przez czas istnienia konta, na potrzeby analizy trendów
• Historia rozmów i pamięć trenerska: Przechowywane przez czas istnienia konta, dla zachowania ciągłości pracy trenerskiej
• Check-iny samopoczucia, wpisy treningowe i wpisy żywieniowe: Przechowywane przez czas istnienia konta
• Logi zapytań do AI: Przechowywane przez ograniczony czas na potrzeby bezpieczeństwa i monitorowania nadużyć
• Dokumentacja subskrypcji i płatności: Przechowywana zgodnie z obowiązkami podatkowymi i prawnymi (zwykle od 5 do 10 lat)
• Zdarzenia analityczne (PostHog): Zgodnie z ustawieniami retencji projektu w PostHog
• Wpisy z listy oczekujących: Do czasu wypisania się lub żądania usunięcia
• Logi wysyłki e-mail: Przechowywane czasowo na potrzeby dostarczalności i zgodności

W każdej chwili możesz zażądać usunięcia konta i powiązanych z nim danych.

W zależności od miejsca pobytu przysługują Ci następujące prawa dotyczące danych osobowych:

• Dostęp (art. 15 RODO): Żądanie kopii swoich danych osobowych. Dane możesz też wyeksportować w aplikacji, w Ustawieniach.
• Sprostowanie (art. 16): Żądanie poprawienia danych nieprawidłowych lub niekompletnych. Większość informacji profilowych możesz zmienić samodzielnie w aplikacji.
• Usunięcie (art. 17): Żądanie usunięcia konta i danych osobowych. Konto możesz usunąć samodzielnie w aplikacji, w Ustawieniach.
• Przenoszenie danych (art. 20): Otrzymanie danych w formacie nadającym się do odczytu maszynowego.
• Sprzeciw (art. 21): Sprzeciw wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie.
• Wycofanie zgody: Wycofanie zgody na analitykę lub wiadomości marketingowe w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego wcześniej.
• Ograniczenie (art. 18): Żądanie ograniczenia przetwarzania w określonych sytuacjach.
• Skarga: Masz prawo wnieść skargę do właściwego organu nadzorczego. W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych.

Aby skorzystać z któregokolwiek z tych praw, napisz na [email protected]. Odpowiemy w ciągu 30 dni.

Stosujemy odpowiednie środki techniczne i organizacyjne chroniące Twoje dane osobowe:

• Wszystkie dane są szyfrowane w transmisji przy użyciu TLS
• Zdjęcia sylwetki są szyfrowane w spoczynku po stronie serwera
• Kontrola dostępu ogranicza krąg osób mogących zobaczyć dane osobowe i dane o zdrowiu
• Ograniczanie liczby żądań i monitorowanie nadużyć chronią przed nieuprawnionym dostępem

Żadna metoda przesyłania danych przez internet nie jest w pełni bezpieczna. Jeżeli zauważysz zagrożenie dla bezpieczeństwa, napisz na [email protected].

GymVox korzysta z API OpenAI do zasilania trenera AI. Domyślnie OpenAI nie wykorzystuje danych przesyłanych przez API swoich klientów do trenowania ani ulepszania swoich modeli. GymVox nie przystąpił do żadnego rozwiązania polegającego na udostępnianiu danych do trenowania modeli.

OpenAI może przechowywać dane wejściowe i wyjściowe API przez okres do 30 dni na potrzeby monitorowania nadużyć, po czym są one usuwane.

Wszystkie treści generowane przez trenera AI mają charakter wyłącznie informacyjny i motywacyjny i nie stanowią porady medycznej. Jeżeli masz schorzenie, kontuzję lub wątpliwości dotyczące zdrowia, skonsultuj się z wykwalifikowanym pracownikiem ochrony zdrowia, zanim zastosujesz się do jakichkolwiek zaleceń.

GymVox nie jest kierowany do osób poniżej 18 roku życia. Świadomie nie zbieramy danych osobowych osób poniżej 18 roku życia. Jeżeli dowiemy się, że osoba poniżej 18 roku życia przekazała nam dane osobowe, usuniemy je. Jeżeli podejrzewasz, że zarejestrowała się osoba małoletnia, napisz na [email protected].

Niniejsza Polityka Prywatności może być okresowo aktualizowana. W takim przypadku zaktualizujemy datę widoczną na górze tej strony. O istotnych zmianach wpływających na Twoje prawa poinformujemy Cię w aplikacji lub pocztą elektroniczną, zanim zmiany zaczną obowiązywać.

Jeżeli masz pytania dotyczące niniejszej Polityki Prywatności, swoich praw lub naszych praktyk w zakresie prywatności, skontaktuj się z nami:

E-mail: [email protected] Serwis: https://gymvox.app

Dla osób przebywających w EOG: jeżeli nasza odpowiedź nie będzie dla Ciebie satysfakcjonująca, masz prawo wnieść skargę do krajowego organu nadzorczego.