Dokumenty prawne
Polityka prywatności
Wyjaśniamy, jakie dane osobowe przetwarzamy w związku z platformą Naszcamp, w jakim celu, komu je powierzamy i jakie prawa Ci przysługują. Dokument dotyczy panelu organizatora, stron obozów, zapisów przez przeglądarkę oraz aplikacji mobilnej.
1.Administrator danych i kontakt
Administratorem danych osobowych w zakresie opisanym w tej polityce jest operator platformy Naszcamp: Sportally Sp. z o.o., ul. ks. Huberta Szymankiewicza 49, 43-190 Mikołów, NIP 6351880136, KRS 0001236870, REGON 544570905 (dalej „Naszcamp”, „my”).
We wszystkich sprawach dotyczących ochrony danych osobowych możesz się z nami skontaktować:
- adres korespondencyjny: ul. ks. Huberta Szymankiewicza 49, 43-190 Mikołów,
- e-mail: kontakt@naszcamp.pl.
Nie powołaliśmy inspektora ochrony danych. Wszystkie zgłoszenia dotyczące danych osobowych obsługujemy pod powyższym adresem e-mail.
Naszcamp jest administratorem wyłącznie w zakresie danych kont użytkowników oraz danych technicznych i rozliczeniowych platformy (punkt 4). W odniesieniu do danych uczestników obozów, ich opiekunów oraz danych wprowadzanych przez organizatorów administratorem jest organizator, czyli klub lub akademia korzystająca z platformy. Naszcamp działa wtedy jako podmiot przetwarzający, na polecenie organizatora i na zasadach określonych w umowie powierzenia przetwarzania. Za poinformowanie uczestników i opiekunów odpowiada organizator.
2.Zakres polityki
Polityka obejmuje całą platformę Naszcamp, opartą na jednym wspólnym zapleczu:
- panel administracyjny organizatora, admin.naszcamp.pl,
- stronę wizytówkę, naszcamp.pl,
- publiczne strony obozów wraz z zapisem przez przeglądarkę, naszcamp.pl/d/<kod>,
- aplikację mobilną iOS oraz Android, identyfikator pakietu pl.naszcamp.participant, opisaną szerzej w punkcie 10,
- wewnętrzny, nieprodukcyjny podgląd web test.naszcamp.pl, dostępny za uwierzytelnieniem HTTP Basic i nieprzeznaczony do przetwarzania danych produkcyjnych.
3.Zaplecze techniczne i lokalizacja przetwarzania
Dane przetwarzamy w infrastrukturze Supabase, obejmującej bazę PostgreSQL, uwierzytelnianie, magazyn plików, funkcje brzegowe i kanał czasu rzeczywistego, w regionie Unii Europejskiej, AWS eu-central-1 (Frankfurt). Dane w spoczynku są szyfrowane, a transmisja odbywa się z użyciem protokołu TLS.
4.Dane, które przetwarzamy jako administrator
4.1. Dane kont i tożsamości
- adres e-mail, zaszyfrowany skrót hasła (hash bcrypt, hasło jawne nie jest nigdy przechowywane), data ostatniego logowania, data utworzenia konta, imię i nazwisko, numer telefonu, preferencja języka,
- dane profilu: typ konta, adres e-mail, imię i nazwisko, ścieżka do awatara, język,
- dane członków zespołu organizatora: imię i nazwisko, telefon, e-mail, rola w firmie, rola w aplikacji, status.
Logowanie przez Google i Apple jest obecnie wyłączone, więc nie zbieramy danych od zewnętrznych dostawców tożsamości.
4.2. Dane urządzenia i powiadomień
- tokeny powiadomień push (identyfikator Expo), typ platformy (iOS, Android, web), wersja aplikacji,
- rejestr wysyłek powiadomień: adresat, kanał, status, ewentualny błąd i czas wysyłki.
4.3. Dane rozliczeń platformy
Rozliczenie między organizatorem a Naszcamp: kwoty, status, data płatności oraz kredyty obozowe organizacji. Nie przetwarzamy danych kart płatniczych, co opisujemy w punkcie 8.
4.4. Adres IP i user-agent przy podpisie dokumentów
Przy elektronicznym podpisaniu umów i zgód utrwalamy adres IP oraz user-agent osoby podpisującej, razem z sumą kontrolną treści dokumentu i znacznikiem czasu. Dane te stanowią materiał dowodowy zawarcia umowy i są danymi osobowymi.
5.Cele i podstawy prawne przetwarzania
Poniższa tabela dotyczy przetwarzania, w którym Naszcamp występuje jako administrator.
| Cel | Podstawa prawna (RODO) |
|---|---|
| Założenie i prowadzenie konta, świadczenie usług platformy | art. 6 ust. 1 lit. b (umowa) |
| Wysyłka powiadomień technicznych i transakcyjnych (e-mail, push) | art. 6 ust. 1 lit. b oraz lit. f (uzasadniony interes) |
| Bezpieczeństwo, zapobieganie nadużyciom, dowód zawarcia umowy (IP i user-agent) | art. 6 ust. 1 lit. f (uzasadniony interes) |
| Rozliczenia oraz obowiązki rachunkowe i podatkowe platformy | art. 6 ust. 1 lit. c (obowiązek prawny) |
| Rozpatrywanie żądań i realizacja praw osób | art. 6 ust. 1 lit. c (obowiązek prawny) |
| Zgody opcjonalne, na przykład marketingowe, jeśli zostaną wdrożone | art. 6 ust. 1 lit. a (zgoda) |
6.Odbiorcy danych i podmioty przetwarzające
Korzystamy z dostawców, którzy przetwarzają dane w naszym imieniu albo w imieniu organizatora. Aktualna lista wygląda następująco.
| Usługa | Zakres | Region |
|---|---|---|
| Supabase (AWS) | baza danych, uwierzytelnianie, magazyn plików, funkcje brzegowe, kanał czasu rzeczywistego oraz wbudowana usługa e-mail obsługująca kody potwierdzające, reset hasła i zaproszenia | Unia Europejska (eu-central-1) |
| Resend | e-mail transakcyjny, czyli powiadomienia wysyłane przez platformę | Stany Zjednoczone |
| Cloudflare Turnstile | zabezpieczenie formularza zapisu przez przeglądarkę przed automatami; usługa otrzymuje adres IP oraz sygnały przeglądarki osoby wypełniającej formularz | Stany Zjednoczone |
| Expo (EAS oraz Expo Push) | budowa i dystrybucja aplikacji, przekaźnik powiadomień push | Stany Zjednoczone |
| Apple APNs, Google FCM | transport powiadomień push do urządzenia | Stany Zjednoczone |
| seohost.pl | hosting statyczny witryn, bez danych osobowych w spoczynku | Polska |
| GitHub oraz GitHub Actions | repozytorium kodu i procesy wdrożeniowe | Stany Zjednoczone |
| Apple App Store, Google Play | dystrybucja aplikacji mobilnej | Stany Zjednoczone |
| Google Fonts | czcionki na stronach web; usługa otrzymuje adres IP i user-agent odwiedzającego | Stany Zjednoczone |
| YouTube w trybie nocookie, Vimeo | osadzone wideo na publicznej stronie obozu, tylko jeśli organizator je doda | Stany Zjednoczone |
| Google Maps | otwarcie nawigacji do adresu obozu, wyłącznie na wyraźną akcję użytkownika | Stany Zjednoczone |
7.Przekazywanie danych poza EOG
- Supabase przetwarza dane w Unii Europejskiej, więc podstawowy zbiór danych platformy nie opuszcza Europejskiego Obszaru Gospodarczego.
- Expo Push, Apple APNs i Google FCM: przy wysyłce powiadomień push następuje transfer poza EOG.
- Cloudflare Turnstile: adres IP osoby wypełniającej formularz zapisu trafia do weryfikacji poza EOG.
- Resend: e-maile transakcyjne wysyłamy przez dostawcę ze Stanów Zjednoczonych.
- Google Fonts, Google Maps, YouTube i Vimeo: transfer dotyczy odwiedzających strony web oraz akcji podejmowanych przez użytkownika.
Podstawą transferów do państw trzecich są standardowe klauzule umowne przewidziane w rozdziale V RODO, zawarte w umowach powierzenia z dostawcami, a w przypadku dostawców certyfikowanych w programie EU-U.S. Data Privacy Framework również ta certyfikacja.
8.Płatności
Platforma nie integruje zewnętrznej bramki płatniczej i nie przechowuje danych kart płatniczych. Płatności uczestników rejestruje ręcznie organizator, a oznaczenia „przelew”, „BLIK”, „gotówka” i „karta” są wyłącznie etykietami metody, a nie integracjami płatniczymi.
9.Okres przechowywania
| Kategoria danych | Okres przechowywania |
|---|---|
| Konto i profil użytkownika | przez czas posiadania konta, do momentu jego usunięcia lub anonimizacji |
| Dane uczestników i opiekunów | zgodnie z poleceniem organizatora jako administratora; usuwamy je na jego polecenie oraz po zakończeniu umowy powierzenia |
| Rozliczenia platformy i dokumenty księgowe | 5 lat licząc od końca roku obrotowego, którego dotyczą (art. 74 ust. 2 ustawy o rachunkowości oraz art. 86 § 1 Ordynacji podatkowej) |
| Umowy, zgody i metadane dowodowe (adres IP, user-agent, suma kontrolna) | do upływu terminu przedawnienia roszczeń, co do zasady 6 lat |
| Rejestr wysyłek powiadomień | 12 miesięcy |
| Tokeny powiadomień push | do wylogowania lub odinstalowania aplikacji, a najpóźniej po 12 miesiącach bez aktywności urządzenia |
| Tokeny techniczne o krótkim czasie życia | token zapisu publicznego 2 godziny, podpisany adres podglądu dokumentu 300 sekund; wygasają automatycznie |
Podpisane umowy i zgody są niezmienne na poziomie bazy danych, ponieważ pełnią funkcję dowodową. Konto uczestnika może zostać zanonimizowane w wyniku wypisu z obozu albo usunięcia danych uczestnika przez organizatora; szczegóły opisuje nota informacyjna organizatora.
10.Aplikacja mobilna
Aplikacja mobilna Naszcamp (pl.naszcamp.participant) korzysta z tego samego zaplecza co platforma web. Dystrybuujemy ją przez App Store oraz Google Play; bezpośrednie odnośniki do sklepów podamy po publikacji aplikacji.
10.1. Uprawnienia urządzenia
- Aparat: skanowanie kodu QR obozu oraz papierowych dokumentów, na przykład umów.
- Galeria zdjęć: dodanie zdjęcia do osi czasu obozu.
- Powiadomienia: dostarczanie powiadomień push.
- Aplikacja nie korzysta z lokalizacji, kontaktów, kalendarza ani mikrofonu; nagrywanie dźwięku jest jawnie wyłączone.
10.2. Przechowywanie danych na urządzeniu
- sesja logowania w bezpiecznym magazynie systemowym, czyli Keychain na iOS i Keystore na Androidzie,
- podręczna pamięć danych, w tym dane uczestników i wersje robocze zapisu zawierające między innymi numer PESEL, adres i dane dziecka, w zaszyfrowanym magazynie, którego klucz trzymamy w keychain; pamięć jest czyszczona przy wylogowaniu,
- wybór języka aplikacji w pamięci lokalnej, bez danych osobowych.
10.3. Brak śledzenia
Aplikacja nie zawiera narzędzi analitycznych, reklamowych ani raportowania awarii i nie używa identyfikatorów reklamowych. Kategorie danych opisane powyżej odpowiadają etykietom Apple App Privacy oraz formularzowi Google Play Data Safety.
11.Cookies i pamięć techniczna
Nie stosujemy plików cookies do śledzenia ani analityki. Nie korzystamy z Google Analytics, Google Tag Managera, pikseli reklamowych ani narzędzi profilujących, dlatego nie wyświetlamy banera zgody na cookies.
Używamy wyłącznie pierwszostronnej pamięci technicznej, niezbędnej do działania serwisu:
nc-lang: wybrany język stron web,naszcamp-authoraznaszcamp-remember: sesja logowania w panelu organizatora,- sesja aplikacji mobilnej w Keychain lub Keystore, opisana w punkcie 10.2.
Otwarcie naszych stron powoduje ponadto połączenia do zewnętrznych usług wymienionych w punkcie 6: Google Fonts przy każdym wejściu, Cloudflare Turnstile na stronie zapisu, a także YouTube w trybie nocookie lub Vimeo, jeśli organizator osadził wideo na stronie obozu. Otwarcie nawigacji do adresu obozu w Google Maps następuje wyłącznie po kliknięciu przez użytkownika. Dostawcy ci mogą otrzymać adres IP i user-agent urządzenia.
12.Twoje prawa
Przysługują Ci prawa: dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu, przenoszenia danych oraz cofnięcia zgody, przy czym cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem. Masz również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.
- Dostęp i egzemplarz dokumentu: w aplikacji dostępny jest ekran „Moje dokumenty”, a egzemplarz umowy udostępniamy na trwałym nośniku, zgodnie z art. 42 ust. 6 ustawy o imprezach turystycznych.
- Sprostowanie: samodzielnie edytowalne są awatar, język i status zapisu; sprostowanie pozostałych danych następuje za pośrednictwem organizatora.
- Usunięcie: realizowane przez samoobsługowy wypis z obozu albo usunięcie danych uczestnika przez organizatora. Pełne usunięcie konta obejmujące wszystkie organizacje wykonujemy ręcznie, na żądanie wysłane na adres kontakt@naszcamp.pl.
Kanał realizacji praw: adres korespondencyjny ul. ks. Huberta Szymankiewicza 49, 43-190 Mikołów oraz e-mail kontakt@naszcamp.pl. Jeżeli żądanie dotyczy danych uczestnika obozu, przekażemy je organizatorowi, który jest w tym zakresie administratorem.
13.Zmiany polityki
Politykę aktualizujemy w związku ze zmianami w systemie lub w zestawie dostawców. Aktualna wersja jest zawsze dostępna pod adresem naszcamp.pl/polityka-prywatnosci, a jej wersja angielska pod adresem naszcamp.pl/en/privacy-policy.
Ostatnia aktualizacja: 12 sierpnia 2026.