Polityka Prywatności BodyVibes
1. Wprowadzenie
1.1. Polityka prywatności określa metody gromadzenia, wykorzystywania, przetwarzania i ochrony informacji o użytkownikach aplikacji BodyVibes, dostępnej poprzez witrynę www.bodyvibes.pl oraz w sklepach Google Play i App Store.
2. Postanowienia ogólne
2.1. W Polityce prywatności są określone metody, jakimi dane osobowe Użytkowników są zbierane, przetwarzane i przechowywane niezbędne do świadczenia usług drogą elektroniczną za pośrednictwem serwisu internetowego www.bodyvibes.pl oraz aplikacji mobilnej BodyVibes (dalej łącznie: Serwis).
2.2. Zbiór danych osobowych przez Serwis ogranicza się wyłącznie do informacji niezbędnych do świadczenia i rozwoju usług oferowanych w nim, zgodnie z zasadą minimalizacji danych (art. 5 ust. 1 lit. c RODO).
2.3. Dane osobowe gromadzone za pośrednictwem Serwisu są przetwarzane zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz ustawą o ochronie danych osobowych z dnia 10 maja 2018 r.
3. Administrator danych
3.1. BodyVibes Sp. z o.o. z siedzibą w Warszawie przy ul. Raszyńskiej 32/44/103, 02-026 Warszawa, KRS: 0001113689, REGON: 529096832, NIP: 7011213588, e-mail: info@bodyvibes.pl (dalej: Administrator) jest Administratorem danych osobowych zbieranych poprzez Serwis.
3.2. Administrator nie powołał Inspektora Ochrony Danych. We wszelkich sprawach dotyczących przetwarzania danych osobowych prosimy o kontakt pod adresem: info@bodyvibes.pl.
3.3. Część Studiów partnerskich prowadzi zapisy na Zajęcia w zewnętrznych systemach rezerwacyjnych. Dokonanie rezerwacji w takim Studiu wymaga przekazania do tego systemu danych Użytkownika w zakresie wskazanym w pkt 6.1 lit. a. Dostawca systemu rezerwacyjnego przetwarza te dane na zlecenie Studia lub Administratora, na podstawie umowy powierzenia przetwarzania danych (art. 28 RODO).
3.4. Studio partnerskie, w którym Użytkownik rezerwuje Zajęcia, jest — w zakresie danych przekazanych mu w związku z rezerwacją — odrębnym administratorem tych danych i przetwarza je na zasadach określonych we własnej polityce prywatności.
4. Cele i podstawy prawne przetwarzania danych osobowych
4.1. Administrator przetwarza dane osobowe Użytkowników w następujących celach i na następujących podstawach prawnych:
a) Rejestracja konta, logowanie, weryfikacja tożsamości
Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy)
Okres przechowywania: przez czas trwania umowy i okres przedawnienia roszczeń
b) Realizacja umowy o świadczenie usług (subskrypcja, Wejścia, rezerwacje Zajęć)
Podstawa prawna: art. 6 ust. 1 lit. b RODO
Okres przechowywania: przez czas trwania umowy i okres przedawnienia roszczeń
c) Obsługa płatności i wystawianie faktur
Podstawa prawna: art. 6 ust. 1 lit. c RODO (obowiązek prawny — przepisy podatkowe i rachunkowe)
Okres przechowywania: 5 lat od końca roku podatkowego
d) Komunikacja z Użytkownikiem (formularz kontaktowy, live chat, obsługa zapytań)
Podstawa prawna: art. 6 ust. 1 lit. b RODO / art. 6 ust. 1 lit. f RODO (uzasadniony interes — odpowiadanie na zapytania)
Okres przechowywania: przez czas niezbędny do obsługi sprawy
e) Wysyłka newslettera i komunikacji marketingowej
Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda)
Okres przechowywania: do cofnięcia zgody
f) Marketing własnych usług, remarketing
Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes Administratora)
Okres przechowywania: do wniesienia sprzeciwu
g) Personalizacja Serwisu, profilowanie ofert
Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda)
Okres przechowywania: do cofnięcia zgody
h) Analiza i statystyki (analityka korzystania z Serwisu)
Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes)
Okres przechowywania: maksymalnie 36 miesięcy
i) Rozpatrzenie wniosków o zawieszenie Subskrypcji z przyczyn zdrowotnych (dane dotyczące zdrowia)
Podstawa prawna: art. 9 ust. 2 lit. a RODO (wyraźna zgoda Użytkownika)
Okres przechowywania: do zakończenia procedury weryfikacyjnej, następnie niezwłoczne usunięcie
j) Ustalenie, dochodzenie i obrona przed roszczeniami
Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes)
Okres przechowywania: do upływu terminu przedawnienia roszczeń (6-10 lat)
k) Przekazywanie danych podmiotom świadczącym usługi prawne, doradcze i windykacyjne w celu dochodzenia roszczeń
Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes)
Okres przechowywania: do zakończenia postępowania
l) Wykonanie obowiązków wynikających z przepisów prawa (ZUS, US, organy nadzoru)
Podstawa prawna: art. 6 ust. 1 lit. c RODO
Okres przechowywania: zgodnie z wymaganymi okresami przepisów prawa (np. 5 lat dla ZUS)
m) Dokonanie rezerwacji Zajęć w Studiu partnerskim, w tym przekazanie danych Użytkownika do systemu rezerwacyjnego Studia (imię, nazwisko, adres, kod pocztowy, płeć, e-mail, nr telefonu, data urodzenia) — w zakresie wymaganym przez ten system do utworzenia rezerwacji
Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy — bez przekazania tych danych rezerwacja w danym Studiu nie jest możliwa)
Okres przechowywania: przez czas trwania umowy i okres przedawnienia roszczeń
n) Zbiorcza sprawozdawczość dla Studiów partnerskich (statystyki zanonimizowane lub zagregowane, bez możliwości identyfikacji Użytkownika)
Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes Administratora i Studia)
Okres przechowywania: do wniesienia sprzeciwu
4.2. Podanie danych osobowych jest dobrowolne, jednak w niektórych przypadkach niezbędne do zawarcia umowy lub skorzystania z określonych funkcjonalności Serwisu. Brak podania danych niezbędnych do zawarcia umowy uniemożliwia korzystanie z odpowiednich usług. Podanie imienia, nazwiska, adresu, kodu pocztowego, płci i daty urodzenia jest niezbędne do dokonywania rezerwacji w Studiach korzystających z zewnętrznych systemów rezerwacyjnych. Brak podania tych danych nie blokuje korzystania z Aplikacji, ale uniemożliwia rezerwację Zajęć w tych Studiach.
5. Zakres zbieranych danych osobowych
5.1. Administrator zbiera następujące kategorie danych osobowych Użytkowników:
a) Dane identyfikacyjne i kontaktowe: imię, nazwisko, adres e-mail, numer telefonu, NIP, data urodzenia, adres zamieszkania, kod pocztowy oraz płeć
b) Dane logowania: login (e-mail), hasło (zaszyfrowane)
c) Dane rozliczeniowe: dane do faktury (jeśli Użytkownik prosi o fakturę), informacje o płatnościach (bez danych karty płatniczej — te są przechowywane wyłącznie przez operatora płatności)
d) Dane behawioralne i transakcyjne: historia rezerwacji Zajęć, historia subskrypcji, saldo i historia Wejść, w tym Wejść nabytych w drodze doładowania oraz otrzymanych w ramach programu poleceń, preferencje treningowe
e) Dane analityczne: dane techniczne urządzenia, informacje o sesji w Aplikacji, logi systemowe
f) Dane o zdrowiu (szczególna kategoria danych — art. 9 RODO): wyłącznie w przypadku złożenia wniosku o zawieszenie Subskrypcji z przyczyn zdrowotnych — ogólne zaświadczenie lekarskie potwierdzające czasową niezdolność do aktywności fizycznej oraz przewidywany okres tej niezdolności. Administrator nie przetwarza szczegółów diagnozy, jednostek chorobowych ani informacji o przebiegu leczenia.
5.2. Cele zbierania poszczególnych danych:
a) Data urodzenia — weryfikacja pełnoletności Użytkownika (usługi BodyVibes są dostępne dla osób pełnoletnich) oraz utworzenie rezerwacji w systemie rezerwacyjnym Studia.
b) Adres zamieszkania i kod pocztowy — utworzenie rezerwacji w systemie rezerwacyjnym Studia oraz dobór oferty Zajęć i Studiów w okolicy Użytkownika.
c) Płeć — utworzenie rezerwacji w systemie rezerwacyjnym Studia, w tym przypisanie do Zajęć lub stref prowadzonych odrębnie dla kobiet i mężczyzn, jeżeli Studio takie prowadzi.
d) Dane te nie są wykorzystywane do podejmowania decyzji wywołujących wobec Użytkownika skutki prawne.
5.3. Użytkownik może w każdej chwili zmienić te dane w ustawieniach Konta. Dane przekazane wcześniej do systemu rezerwacyjnego Studia w związku z dokonanymi rezerwacjami pozostają u Studia jako odrębnego administratora; żądanie ich usunięcia Użytkownik kieruje bezpośrednio do Studia.
6. Odbiorcy danych
6.1. Dane osobowe Użytkowników mogą być przekazywane następującym kategoriom odbiorców:
a) Studia partnerskie oraz dostawcy ich systemów rezerwacyjnych — w zakresie niezbędnym do utworzenia rezerwacji i udziału w Zajęciach. Zakres przekazywanych danych zależy od systemu rezerwacyjnego danego Studia i obejmuje: imię, nazwisko, nr telefonu, adres email, fakt i termin rezerwacji, a w przypadku Studiów korzystających z zewnętrznych systemów rezerwacyjnych również adres zamieszkania, kod pocztowy, nr telefonu, adres email, płeć oraz datę urodzenia. Dane przekazywane są wyłącznie w związku z rezerwacją dokonaną przez Użytkownika w danym Studiu.
b) Operatorzy płatności — w szczególności Stripe Payments Europe, Ltd. (operator płatności kartowych)
c) Dostawcy usług IT i infrastruktury — na podstawie umów powierzenia przetwarzania danych (art. 28 RODO), w szczególności:
Supabase Inc. — baza danych i infrastruktura backendowa,
OneSignal Inc. — wysyłka powiadomień push i komunikacja w Aplikacji,
MailerLite Limited — wysyłka komunikacji e-mail (transakcyjnej i marketingowej),
FormSpark — obsługa formularzy kontaktowych,
Twilio Inc. — wysyłka wiadomości SMS,
Hetzner Online GmbH (Niemcy) — serwery i infrastruktura hostingowa,
Vercel Inc. — hosting i dostarczanie aplikacji webowej,
PostHog — analityka produktowa i statystyki korzystania z Aplikacji,
w instancji europejskiejCoolify Cloud — panel zarządzania infrastrukturą i wdrożeniami aplikacji
Apple Inc. (App Store) oraz Google LLC (Google Play) — w zakresie dystrybucji Aplikacji oraz obsługi zakupów dokonywanych w ramach tych platform
d) Podmioty świadczące usługi doradcze, prawne oraz windykacyjne — w celu dochodzenia roszczeń, na podstawie uzasadnionego interesu Administratora
e) Organy państwowe — w przypadku obowiązku wynikającego z przepisów prawa (np. US, ZUS, UOKiK, UODO, sądy)
f) Podmioty świadczące usługi badawcze i analityczne (art. 28 RODO)
6.2. Niektórzy dostawcy usług (w szczególności Stripe, Supabase, OneSignal, MailerLite, FormSpark, Twilio, Apple, Google, Vercel, Hetzner) mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym (EOG), w tym w Stanach Zjednoczonych. Transfer odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub innych mechanizmów zgodnych z RODO (np. Data Privacy Framework dla USA).
6.3. Studia partnerskie oraz dostawcy ich systemów rezerwacyjnych, którym przekazywane są dane zgodnie z pkt 6.1 lit. a, mają siedzibę na terytorium Rzeczypospolitej Polskiej i przetwarzają dane na terenie EOG.
7. Bezpieczeństwo danych
7.1. Administrator zobowiązuje się do ochrony danych osobowych i stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych (art. 32 RODO), w tym w szczególności: szyfrowanie połączeń (SSL/TLS), kontrolę dostępu do systemów, regularne kopie zapasowe, monitorowanie bezpieczeństwa systemów, ograniczenie dostępu do danych wyłącznie do upoważnionych osób oraz umowy powierzenia z dostawcami usług IT.
7.2. W przypadku stwierdzenia naruszenia ochrony danych osobowych Administrator powiadomi Prezesa UODO w terminie 72 godzin, a w przypadkach wymaganych przez RODO również osoby, których dane dotyczą, bez zbędnej zwłoki.
8. Prawa Użytkownika
8.1. Użytkownik Serwisu ma prawo do:
a) dostępu do swoich danych osobowych (art. 15 RODO),
b) sprostowania danych (art. 16 RODO),
c) usunięcia danych ("prawo do bycia zapomnianym") (art. 17 RODO),
d) ograniczenia przetwarzania (art. 18 RODO),
e) przenoszenia danych (art. 20 RODO),
f) wniesienia sprzeciwu wobec przetwarzania (art. 21 RODO) — w szczególności wobec marketingu bezpośredniego,
g) cofnięcia zgody w każdej chwili (co nie wpływa na zgodność z prawem przetwarzania dokonanego przed cofnięciem zgody — art. 7 ust. 3 RODO).
8.2. Zgłoszenie żądania realizacji któregokolwiek z wymienionych praw Użytkownik kieruje na adres info@bodyvibes.pl.
8.3. Administrator spełnia lub odmawia spełnienia żądania niezwłocznie — maksymalnie w ciągu miesiąca od jego otrzymania. W szczególnie skomplikowanych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące, o czym Użytkownik zostanie poinformowany.
8.4. Użytkownik ma prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl), jeśli uzna, że przetwarzanie jego danych osobowych narusza przepisy RODO.
8.5. W zakresie danych przetwarzanych przez Studio partnerskie w związku z dokonaną rezerwacją Użytkownik realizuje swoje prawa bezpośrednio wobec Studia jako odrębnego administratora. Na prośbę Użytkownika Administrator wskaże dane kontaktowe właściwego Studia.
9. Profilowanie i zautomatyzowane podejmowanie decyzji
9.1. Administrator może przetwarzać dane Użytkowników w sposób zautomatyzowany, w tym poprzez profilowanie, w następujących celach:
a) Personalizacja komunikacji marketingowej — dostosowanie treści i ofert do zainteresowań Użytkownika, na podstawie zgody Użytkownika (art. 6 ust. 1 lit. a RODO),
b) Personalizacja Serwisu — dostosowanie wyświetlanych treści i rekomendacji Zajęć, na podstawie zgody Użytkownika,
c) Wykrywanie nadużyć — w szczególności wielokrotne korzystanie z okresów próbnych, na podstawie uzasadnionego interesu Administratora.
9.2. Profilowanie nie wywołuje wobec Użytkownika skutków prawnych ani nie wpływa w sposób istotny na jego sytuację. Użytkownik ma prawo wniesienia sprzeciwu wobec profilowania w celach marketingowych (art. 21 ust. 2 RODO) w każdej chwili.
10. Pliki cookies
10.1. Serwis zbiera informacje za pomocą plików cookies — sesyjnych, stałych i podmiotów zewnętrznych.
10.2. Wyróżniamy następujące kategorie cookies:
a) Niezbędne — konieczne do działania Serwisu (np. sesja logowania, koszyk). Nie wymagają zgody.
b) Analityczne — służą do analizy statystyk korzystania z Serwisu (np. Google Analytics). Wymagają zgody.
c) Marketingowe — służą do personalizacji reklam i remarketingu (np. Meta Pixel, Google Ads). Wymagają zgody.
10.3. Zgody na cookies inne niż niezbędne Użytkownik wyraża poprzez panel zgód (cookie banner) wyświetlany przy pierwszym wejściu do Serwisu. Zgody można w każdej chwili zmienić w ustawieniach.
10.4. Użytkownik może określić zakres dostępu plików cookies do swojego urządzenia w ustawieniach przeglądarki.
11. Zmiany w polityce prywatności
11.1. Administrator może wprowadzać zmiany w niniejszej Polityce prywatności wyłącznie z ważnych przyczyn, w szczególności:
a) zmiany przepisów prawa lub wytycznych organów nadzoru,
b) zmiany zakresu lub sposobu świadczenia usług, w tym wprowadzenia nowych funkcjonalności,
c) zmiany warunków technicznych przetwarzania danych,
d) usunięcia niejasności lub błędów w treści Polityki prywatności,
e) zapewnienia bezpieczeństwa danych Użytkowników.
11.2. O planowanej zmianie Administrator informuje Użytkowników z co najmniej 14-dniowym wyprzedzeniem poprzez:
a) wiadomość elektroniczną na adres e-mail Użytkownika,
b) komunikat na stronie internetowej i w Aplikacji,
c) wskazanie wykazu zmian i daty ich wejścia w życie.
11.3. Aktualna treść Polityki prywatności oraz jej historyczne wersje (wraz z datą obowiązywania) są przechowywane przez Administratora i udostępniane na żądanie Użytkownika kierowane na adres info@bodyvibes.pl.
12. Kontakt
12.1. W przypadku jakichkolwiek pytań lub wątpliwości dotyczących przetwarzania danych osobowych, Użytkownicy mogą kontaktować się z Administratorem:
BodyVibes Sp. z o.o., ul. Raszyńska 32/44/103, 02-026 Warszawa, KRS: 0001113689, REGON: 529096832, NIP: 7011213588, e-mail: info@bodyvibes.pl
13. Data wejścia w życie
5.10.2026 r.