MOONROOM spółka z ograniczoną odpowiedzialnością
ul. Spółdzielcza 30/U4, 26-110 Skarżysko-Kamienna
KRS 0001254561 | NIP 6631894777 | REGON 545263980
SPIS TREŚCI
- § 1. Przedmiot i zakres Polityki
- § 2. Administrator danych i kontakt
- § 3. Źródła i kategorie danych
- § 4. Cele i podstawy przetwarzania
- § 5. Komunikacja operacyjna i marketing
- § 6. Rezerwacje gościnne i dane pozyskane od innych osób
- § 7. Monitoring wizyjny
- § 8. Pliki cookies, localStorage i dane techniczne
- § 9. Google Fonts i inne zasoby zewnętrzne
- § 10. Odbiorcy danych i dostawcy usług
- § 11. Przekazywanie danych poza Europejski Obszar Gospodarczy
- § 12. Okresy przechowywania danych
- § 13. Dobrowolność podania danych
- § 14. Prawa osób, których dane dotyczą
- § 15. Zautomatyzowane podejmowanie decyzji i profilowanie
- § 16. Dane dotyczące zdrowia i zdarzeń nagłych
- § 17. Bezpieczeństwo danych
- § 18. Osoby niepełnoletnie
- § 19. Zmiany Polityki
- Załącznik nr 1. Skrócona informacja o monitoringu wizyjnym
§ 1. Przedmiot i zakres Polityki
1. Niniejsza Polityka wyjaśnia, w jaki sposób MOONROOM spółka z ograniczoną odpowiedzialnością przetwarza dane osobowe w związku z prowadzeniem Studia Moon Room, świadczeniem usług pilatesu, korzystaniem z Aplikacji i strony internetowej oraz obsługą Kont, Rezerwacji, płatności, dostępu do Studia i komunikacji z Użytkownikami.
2. Aplikacja, Konto, strona internetowa, system Rezerwacji, system płatności, system dostępu i E-trener są pomocniczymi narzędziami technicznymi i organizacyjnymi służącymi do korzystania z usług Studia. Polityka obejmuje dane przetwarzane przy użyciu tych narzędzi, niezależnie od tego, czy są one dostępne przez przeglądarkę, urządzenie mobilne, Tablet w Studiu czy panel obsługi.
3. Polityka realizuje obowiązki informacyjne wynikające w szczególności z art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Nie stanowi zgody na przetwarzanie danych. Jeżeli dla określonego działania potrzebna jest zgoda, jest ona odbierana odrębnie.
4. Określenia pisane wielką literą mają znaczenie nadane im w Regulaminie korzystania ze Studia Moon Room oraz usług świadczonych drogą elektroniczną, chyba że Polityka wyraźnie stanowi inaczej.
§ 2. Administrator danych i kontakt
1. Administratorem danych osobowych jest MOONROOM spółka z ograniczoną odpowiedzialnością z siedzibą w Skarżysku-Kamiennej, adres: ul. Spółdzielcza 30/U4, 26-110 Skarżysko-Kamienna, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0001254561, NIP 6631894777, REGON 545263980 (Administrator lub Spółka).
2. Kontakt z Administratorem w sprawach dotyczących prywatności i realizacji praw jest możliwy:
a) pocztą elektroniczną: hello@moonroom.app;
b) listownie na adres wskazany w ust. 1;
c) za pomocą formularza lub innego kanału udostępnionego pod adresem: https://moonroom.app/kontakt
3. Kontakt w sprawach ochrony danych odbywa się bezpośrednio z Administratorem. Jeżeli Administrator wyznaczy inspektora ochrony danych, jego dane kontaktowe zostaną opublikowane pod adresem https://moonroom.app/kontakt
§ 3. Źródła i kategorie danych
1. Dane są pozyskiwane przede wszystkim bezpośrednio od osoby, której dotyczą, w szczególności podczas rejestracji Konta, składania Rezerwacji, płatności, kontaktu ze Spółką, zapisu na listę lub wydarzenie, składania reklamacji oraz korzystania ze Studia.
2. Dane mogą być również pozyskiwane:
a) od osoby dokonującej Rezerwacji dla innej osoby albo od obsługi tworzącej Rezerwację gościnną;
b) od Operatora płatności - w zakresie statusu i identyfikatorów transakcji, płatności i zwrotów;
c) od dostawców logowania Google lub Apple - w zakresie danych udostępnionych w procesie logowania;
d) z systemu dostępu, zamka, Tabletu, urządzeń i infrastruktury Studia;
e) z urządzenia, przeglądarki, systemu operacyjnego, plików cookies, localStorage, logów serwerowych i narzędzi bezpieczeństwa;
f) z systemu monitoringu wizyjnego.
3. W zależności od sposobu korzystania z usług Administrator może przetwarzać następujące kategorie danych:
a) dane identyfikacyjne i kontaktowe: imię i nazwisko, adres e-mail, opcjonalny numer telefonu;
b) dane Konta i uwierzytelniania: hash hasła, identyfikator Google lub Apple, informacje o logowaniu, data utworzenia i zmiany Konta oraz ustawienia Konta;
c) dane Rezerwacji i usług: Slot, przypisane miejsce lub urządzenie, status, daty, rodzaj usługi, wykorzystane Wejścia, Karnety, Pakiety, Vouchery i Lista Rezerwowa;
d) dane płatnicze i rozliczeniowe: kwota, metoda płatności, identyfikatory i status transakcji lub zwrotu, dane niezbędne do wystawienia dokumentu sprzedaży; Administrator nie przechowuje pełnych numerów kart ani kodów BLIK;
e) dane dostępu: zaszyfrowany PIN, czas jego ważności, wejścia i nieudane próby wejścia, identyfikator Rezerwacji i dane techniczne zamka;
f) dane sesji treningowej: identyfikacja Użytkownika, czas rozpoczęcia i zakończenia, urządzenie lub stanowisko i techniczny powód zakończenia sesji;
g) dane komunikacji: temat i treść wiadomości, korespondencja, reklamacje, zgłoszenia, zdjęcia, zrzuty ekranu i inne materiały przekazane przez Użytkownika;
h) dane marketingowe: adres e-mail, imię, informacja o zgodzie, jej zmianie lub wycofaniu, źródło zapisu, kod Vouchera, kampania i status dostarczenia wiadomości;
i) dane techniczne: adres IP przetwarzany przez zewnętrzne usługi bezpieczeństwa lub płatności, user-agent, informacje o przeglądarce i systemie, identyfikatory sesji, logi żądań i ustawienia cookies;
j) wizerunek oraz informacje o czasie i miejscu obecności utrwalone przez monitoring;
k) inne dane podane dobrowolnie w związku z konkretnym zgłoszeniem, w tym wyjątkowo dane dotyczące zdrowia, jeżeli są niezbędne do obsługi wypadku, reklamacji lub roszczenia.
§ 4. Cele i podstawy przetwarzania
Dane są przetwarzane wyłącznie w zakresie potrzebnym do określonego celu. Najważniejsze cele i podstawy prawne przedstawia poniższe zestawienie:
| Proces / cel | Zakres i uzasadnienie | Podstawa prawna |
|---|---|---|
| Konto i logowanie | Założenie i prowadzenie Konta, uwierzytelnianie, reset hasła, logowanie przez Google lub Apple, zarządzanie ustawieniami i usunięcie Konta. | art. 6 ust. 1 lit. b RODO; w zakresie bezpieczeństwa także lit. f |
| Rezerwacje i wykonanie usług | Zawarcie i wykonanie Umowy, obsługa Rezerwacji, Listy Rezerwowej, Wejść, Karnetów, Pakietów, Voucherów, E-trenera i dostępu do Studia. | art. 6 ust. 1 lit. b RODO |
| Płatności, zwroty i dokumenty sprzedaży | Realizacja transakcji, przypisanie płatności, zwroty, rozliczenia, wystawianie dokumentów i przeciwdziałanie nadużyciom. | art. 6 ust. 1 lit. b i c RODO; przeciwdziałanie nadużyciom - lit. f |
| PIN i kontrola dostępu | Generowanie PIN-u, otwieranie Studia, rejestrowanie wejść i nieudanych prób, przeciwdziałanie udostępnianiu kodów i wyjaśnianie incydentów. | art. 6 ust. 1 lit. b i f RODO |
| Sesje treningowe | Techniczna obsługa treningu na Tablecie, potwierdzenie wykorzystania usługi, diagnostyka błędów i wyjaśnienie zdarzeń. | art. 6 ust. 1 lit. b i f RODO |
| Komunikacja operacyjna | Potwierdzenia Konta i Rezerwacji, PIN-y, informacje o płatnościach, zmianach i anulowaniu, przypomnienia, ostrzeżenia bezpieczeństwa i odpowiedzi na zgłoszenia. | art. 6 ust. 1 lit. b RODO; pomocniczo lit. f |
| Kontakt i obsługa zapytań | Odpowiedź na formularz lub wiadomość, podjęcie działań przed zawarciem Umowy i dokumentowanie komunikacji. | art. 6 ust. 1 lit. b lub f RODO |
| Reklamacje, wypadki i roszczenia | Rozpatrywanie reklamacji, ustalanie przebiegu zdarzeń, ochrona praw, dochodzenie lub obrona roszczeń oraz wykonanie obowiązków prawnych. | art. 6 ust. 1 lit. b, c i f RODO |
| Marketing e-mail | Przesyłanie informacji o usługach, wydarzeniach, promocjach i ofercie na adres e-mail wyłącznie po uzyskaniu wymaganej zgody. | art. 6 ust. 1 lit. a RODO oraz art. 398 Prawa komunikacji elektronicznej |
| Leady i zapisy na wydarzenia | Obsługa listy przed otwarciem, zapisów na wydarzenia lub sekcje strony oraz przekazanie Vouchera; marketing tylko w zakresie objętym zgodą. | art. 6 ust. 1 lit. b, a lub f RODO - zależnie od celu |
| Monitoring wizyjny | Ochrona życia, zdrowia i mienia, kontrola dostępu, zapobieganie nadużyciom, wyjaśnianie wypadków, szkód i incydentów oraz ochrona roszczeń. | art. 6 ust. 1 lit. f RODO |
| Bezpieczeństwo IT i zapobieganie nadużyciom | Captcha, limity zapytań, logi bezpieczeństwa, wykrywanie ataków, ochrona Kont, systemów, płatności i infrastruktury. | art. 6 ust. 1 lit. f RODO |
| Obowiązki prawne | Rachunkowość, podatki, odpowiedzi organom i wykonywanie innych obowiązków wynikających z prawa. | art. 6 ust. 1 lit. c RODO |
| Cookies i podobne technologie | Zapewnienie działania żądanych funkcji, zapis ustawień oraz - jeżeli zostaną wdrożone - analityka lub marketing po uzyskaniu zgody. | art. 6 ust. 1 lit. b, f lub a RODO oraz art. 399 Prawa komunikacji elektronicznej |
Prawnie uzasadnione interesy Administratora obejmują w szczególności: bezpieczne prowadzenie Studia w modelu samoobsługowym, ochronę osób i mienia, zapewnienie ciągłości działania, przeciwdziałanie nadużyciom, obsługę i rozwój działalności, dokumentowanie wykonania usług oraz ustalanie, dochodzenie i obronę roszczeń.
§ 5. Komunikacja operacyjna i marketing
1. Administrator przesyła bez odrębnej zgody wiadomości niezbędne do obsługi Konta i wykonania Umowy, w szczególności potwierdzenia rejestracji i Rezerwacji, kody PIN, przypomnienia dotyczące Rezerwacji, informacje o zmianie lub anulowaniu usługi, komunikaty o płatnościach, bezpieczeństwie i reklamacjach.
2. Ustawienie dotyczące przypomnień jest preferencją funkcjonalną Użytkownika. Przypomnienie dotyczące istniejącej Rezerwacji ma charakter operacyjny, a nie marketingowy, o ile nie zawiera treści handlowych wykraczających poza obsługę tej Rezerwacji.
3. Zgodnie z aktualną konfiguracją techniczną kampanie marketingowe są prowadzone pocztą elektroniczną. Numer telefonu jest polem opcjonalnym i nie jest wykorzystywany do marketingu telefonicznego lub SMS bez wdrożenia odpowiedniego kanału i uzyskania odrębnej, uprzedniej zgody obejmującej ten kanał.
4. Zgoda marketingowa jest dobrowolna, domyślnie wyłączona, nie jest warunkiem założenia Konta ani zakupu usługi i może zostać wycofana w każdym czasie, w szczególności przez zmianę ustawień Konta, użycie linku rezygnacji w wiadomości lub kontakt z Administratorem.
5. Wycofanie zgody nie wpływa na zgodność z prawem działań podjętych przed jej wycofaniem. Po wycofaniu zgody Administrator może zachować minimalną informację o sprzeciwie lub wycofaniu zgody, aby nie wysyłać kolejnych wiadomości oraz wykazać prawidłowość wcześniejszych działań.
§ 6. Rezerwacje gościnne i dane pozyskane od innych osób
1. Rezerwacja gościnna oznacza Rezerwację utworzoną przez obsługę dla osoby, która nie ma Konta, np. na podstawie kontaktu telefonicznego, wiadomości albo danych przekazanych przez osobę dokonującą Rezerwacji.
2. W takim przypadku Administrator może otrzymać imię i nazwisko, adres e-mail i numer telefonu od osoby innej niż osoba, której dane dotyczą. Dane są wykorzystywane wyłącznie do utworzenia i obsługi Rezerwacji, komunikacji, dostępu do Studia, rozliczenia oraz ochrony roszczeń.
3. Informacje wymagane przez art. 14 RODO są przekazywane osobie, której dane dotyczą, bez nieuzasadnionej zwłoki, co do zasady w wiadomości potwierdzającej Rezerwację lub przy pierwszym kontakcie z tą osobą.
4. Osoba przekazująca dane innej osoby powinna być uprawniona do ich przekazania i poinformować tę osobę, że dane zostaną przekazane Administratorowi. Nie zwalnia to Administratora z własnego obowiązku informacyjnego.
§ 7. Monitoring wizyjny
1. Studio jest objęte systemem monitoringu wizyjnego rejestrującym wyłącznie obraz. Monitoring nie rejestruje dźwięku. Obszar monitorowany jest oznaczony przed wejściem, a skrócona informacja stanowi Załącznik nr 1 do Polityki.
2. Monitoring obejmuje wyłącznie obszary, w których jest to uzasadnione bezpieczeństwem i organizacją Studia, w szczególności wejście, strefy wspólne i strefę ćwiczeń. Monitoring nie obejmuje toalet, przebieralni ani innych miejsc, w których rejestracja nieproporcjonalnie naruszałaby prywatność.
3. Monitoring jest prowadzony w celu ochrony życia i zdrowia, ochrony mienia, kontroli dostępu, zapobiegania nadużyciom, wyjaśniania wypadków, szkód i incydentów oraz ustalania, dochodzenia lub obrony roszczeń. Podstawą przetwarzania jest prawnie uzasadniony interes Administratora - art. 6 ust. 1 lit. f RODO.
4. Monitoring rejestruje wyłącznie obraz. Nie jest wykorzystywany do reklamy, analizy zachowań konsumenckich, oceny wyglądu ani rozpoznawania biometrycznego. Administrator nie stosuje funkcji automatycznego rozpoznawania twarzy ani identyfikacji osoby na podstawie cech biometrycznych.
5. Nagrania są co do zasady przechowywane przez 7 dni, po czym są automatycznie usuwane albo nadpisywane. Nagranie może zostać wyodrębnione i przechowywane dłużej, jeżeli jest potrzebne w związku z wypadkiem, naruszeniem bezpieczeństwa, podejrzeniem przestępstwa, reklamacją, szkodą, roszczeniem albo żądaniem uprawnionego organu - do czasu zakończenia sprawy i upływu właściwych terminów dochodzenia roszczeń.
6. Dostęp do nagrań mają wyłącznie osoby upoważnione, dostawcy obsługujący system na podstawie właściwej umowy oraz uprawnione organy. Udostępnienie innemu Użytkownikowi może nastąpić tylko w zakresie dopuszczonym prawem i z ochroną praw innych osób utrwalonych na nagraniu.
7. Osobie objętej monitoringiem przysługują prawa opisane w § 14, w tym prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Prawo dostępu do nagrania może wymagać wskazania przybliżonej daty, godziny i miejsca oraz może zostać ograniczone w celu ochrony praw innych osób.
§ 8. Pliki cookies, localStorage i dane techniczne
1. Aplikacja i strona internetowa wykorzystują pliki cookies, localStorage i podobne technologie. Są to niewielkie informacje zapisywane lub odczytywane na urządzeniu w celu zapewnienia działania funkcji, utrzymania sesji, zapamiętania ustawień i ochrony systemu.
2. Technologie niezbędne do wykonania transmisji albo dostarczenia usługi wyraźnie żądanej przez Użytkownika mogą być stosowane bez odrębnej zgody. Pozostałe technologie są uruchamiane dopiero po uzyskaniu zgody, jeżeli wymaga tego prawo.
| Nazwa | Rodzaj | Cel | Okres |
|---|---|---|---|
| moon_session | niezbędny | Utrzymanie zalogowanej sesji Konta; cookie httpOnly zawierające ograniczony identyfikator sesji. | 7 dni |
| moon_tablet | niezbędny techniczny | Parowanie i identyfikacja Tabletu należącego do Studia; nie jest instalowany na prywatnym urządzeniu klienta. | 365 dni |
| moon_event_likes | funkcjonalny | Zapamiętanie polubionych wydarzeń bez bezpośredniej identyfikacji osoby. | 1 rok |
| moon-cookie-consent | niezbędny zapis wyboru | Zapis decyzji dotyczącej kategorii cookies i czasu jej podjęcia w localStorage. | do zmiany decyzji lub usunięcia danych przeglądarki |
| Cloudflare Turnstile | bezpieczeństwo | Ochrona formularzy i rejestracji przed botami i nadużyciami; może przetwarzać adres IP i dane techniczne urządzenia. | zgodnie z konfiguracją i zasadami dostawcy |
3. Według aktualnej konfiguracji Aplikacja i strona internetowa nie korzystają z Google Analytics ani Meta Pixel. Jeżeli narzędzia analityczne lub marketingowe zostaną w przyszłości wdrożone, Polityka i mechanizm zgód zostaną odpowiednio zaktualizowane, a takie narzędzia zostaną uruchomione dopiero po uzyskaniu wymaganej zgody.
4. Użytkownik może w każdym czasie zmienić lub wycofać zgodę na opcjonalne technologie za pomocą ustawień przeglądarki. Wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego użycia technologii.
5. Ograniczenie cookies niezbędnych może uniemożliwić zalogowanie, dokonanie Rezerwacji, zapamiętanie ustawień albo korzystanie z innych funkcji wymagających utrzymania sesji.
§ 9. Google Fonts i inne zasoby zewnętrzne
1. Google Fonts jest biblioteką krojów pisma wykorzystywanych do prawidłowego i spójnego wyświetlania tekstu w Aplikacji lub na stronie internetowej. Nie jest narzędziem analitycznym ani systemem reklamowym.
2. Czcionki mogą być:
a) przechowywane lokalnie na infrastrukturze wykorzystywanej przez Administratora - w takim wariancie samo wyświetlenie czcionki nie powoduje połączenia urządzenia Użytkownika z serwerami Google; albo
b) pobierane bezpośrednio z Google Fonts - w takim wariancie przeglądarka łączy się z serwerami Google i przekazuje co najmniej adres IP, żądany zasób, informacje o przeglądarce i systemie oraz adres strony, z której nastąpiło żądanie.
3. Zewnętrzne ładowanie czcionek służy zapewnieniu spójnego wyglądu, kompatybilności i wydajnego dostarczania strony. Podstawą przetwarzania przez Administratora jest art. 6 ust. 1 lit. f RODO. Jeżeli czcionki są hostowane lokalnie, dane nie są z tego tytułu przekazywane Google.
4. Administrator może zmieniać sposób dostarczania czcionek bez zmiany celu ich użycia. Aktualny wariant może zależeć od konfiguracji Aplikacji lub strony.
§ 10. Odbiorcy danych i dostawcy usług
1. Dane mogą być ujawniane wyłącznie w zakresie potrzebnym do realizacji danego celu następującym kategoriom odbiorców:
a) dostawcom hostingu, infrastruktury serwerowej, baz danych, pamięci podręcznej i przechowywania plików, w tym dostawcy usług pod marką OVHcloud lub innemu dostawcy wybranemu przez Administratora;
b) dostawcom oprogramowania, utrzymania Aplikacji, cyberbezpieczeństwa, kopii zapasowych i wsparcia technicznego;
c) PayPro S.A. działającej pod marką Przelewy24 - jako odrębnemu administratorowi w zakresie realizacji płatności;
d) Resend, Inc. lub innemu dostawcy wysyłki wiadomości e-mail - w zakresie adresu e-mail, imienia, treści i statusu wiadomości;
e) Cloudflare, Inc. - w zakresie ochrony formularzy, rejestracji i infrastruktury przed nadużyciami;
f) dostawcom systemu zamka i dostępu, w tym TTLock lub Sciener - w zakresie numeru zamka, PIN-u, czasu ważności i pseudonimowego identyfikatora Rezerwacji;
g) Google i Apple - jeżeli Użytkownik korzysta z logowania zewnętrznego, a także Google w przypadku zewnętrznego ładowania Google Fonts;
h) dostawcom narzędzi księgowych, prawnych, reklamacyjnych i administracyjnych;
i) bankom, dostawcom instrumentów płatniczych, operatorom pocztowym i telekomunikacyjnym;
j) organom publicznym, sądom, służbom i innym uprawnionym podmiotom, jeżeli obowiązek lub uprawnienie do udostępnienia wynika z prawa.
2. Podmioty działające w imieniu Administratora przetwarzają dane na podstawie umowy, regulaminu powierzenia lub innego właściwego instrumentu i wyłącznie zgodnie z udokumentowanymi poleceniami Administratora, chyba że są odrębnymi administratorami.
3. Aktualna lista najważniejszych kategorii dostawców może zostać udostępniona na uzasadnione żądanie, z zastrzeżeniem ochrony informacji poufnych i bezpieczeństwa systemów.
§ 11. Przekazywanie danych poza Europejski Obszar Gospodarczy
1. Część dostawców technologicznych może przetwarzać dane poza Europejskim Obszarem Gospodarczym, w szczególności w Stanach Zjednoczonych albo w państwach, w których działają dostawcy systemu dostępu lub ich podwykonawcy.
2. Jeżeli dane są przekazywane do państwa, wobec którego Komisja Europejska wydała decyzję stwierdzającą odpowiedni stopień ochrony, przekazanie odbywa się na podstawie tej decyzji. W przypadku podmiotu amerykańskiego może to obejmować Ramy Ochrony Danych UE-USA, jeżeli dany odbiorca posiada ważny certyfikat.
3. W pozostałych przypadkach Administrator stosuje odpowiednie zabezpieczenia, w szczególności standardowe klauzule umowne Komisji Europejskiej, ocenę warunków transferu oraz - w razie potrzeby - dodatkowe środki techniczne i organizacyjne.
4. Informację o stosowanym mechanizmie transferu lub kopię właściwych zabezpieczeń można uzyskać, kontaktując się z Administratorem. Niektóre elementy dokumentacji mogą zostać zanonimizowane lub ograniczone ze względu na tajemnicę przedsiębiorstwa i bezpieczeństwo.
§ 12. Okresy przechowywania danych
1. Dane są przechowywane nie dłużej, niż jest to potrzebne do celu przetwarzania, wykonania obowiązków prawnych oraz ustalenia, dochodzenia lub obrony roszczeń. Przyjęte okresy przedstawia poniższe zestawienie:
| Kategoria / proces | Podstawowy okres przechowywania |
|---|---|
| Konto | Do usunięcia Konta albo zakończenia jego prowadzenia. Po potwierdzonym usunięciu dane identyfikacyjne są co do zasady anonimizowane w terminie 30 dni, z wyjątkiem danych niezbędnych do wykonania obowiązku prawnego lub ochrony roszczeń. |
| Rezerwacje, Wejścia, Karnety, Pakiety i Vouchery | Przez okres wykonania Umowy, a następnie do upływu okresu przedawnienia związanych z nią roszczeń. Po anonimizacji Konta historia może pozostać bez bezpośredniego powiązania z osobą. |
| Płatności, zwroty, faktury i dane podatkowe | Przez okres wymagany przepisami rachunkowymi i podatkowymi, co do zasady 5 lat liczonych od końca właściwego roku, a jeżeli jest to potrzebne - dłużej do zakończenia sporu lub kontroli. |
| PIN-y i logi dostępu | Co do zasady 90 dni od zdarzenia. Dane związane z incydentem, nadużyciem, szkodą lub roszczeniem - do zakończenia sprawy i upływu właściwych terminów. |
| Techniczne logi sesji treningowych | 12 miesięcy od sesji, chyba że wcześniejsze usunięcie jest możliwe albo zapis jest potrzebny do wyjaśnienia zdarzenia, reklamacji lub roszczenia. |
| Monitoring wizyjny | 7 dni, a nagrania zabezpieczone w związku z konkretnym zdarzeniem - do zakończenia sprawy i upływu właściwych terminów. |
| Formularz kontaktowy i zwykła korespondencja | Do zakończenia sprawy, a następnie co do zasady przez 12 miesięcy, chyba że wiadomość doprowadziła do zawarcia Umowy, reklamacji, incydentu lub roszczenia. |
| Reklamacje, wypadki i spory | Do ostatecznego zakończenia sprawy, a następnie do upływu właściwego okresu przedawnienia roszczeń lub okresu wymaganego prawem. |
| Leady i zapisy na wydarzenia | Do wycofania zgody lub sprzeciwu, nie dłużej niż 24 miesiące od ostatniej aktywności, chyba że wcześniej zostanie zawarta Umowa albo istnieje inna podstawa dalszego przetwarzania. |
| Marketing e-mail | Do wycofania zgody, sprzeciwu albo stwierdzenia trwałej niedostarczalności adresu. Dowód zgody, jej zmiany lub wycofania oraz minimalna lista blokad mogą być przechowywane przez 3 lata w celu wykazania zgodności i ochrony roszczeń. |
| Logi kampanii e-mail | Co do zasady 3 lata od wysyłki, chyba że krótszy okres wystarcza albo zapis jest potrzebny w związku ze skargą lub postępowaniem. |
| Logi serwerowe i bezpieczeństwa | Co do zasady do 30 dni, a w przypadku incydentu - do jego wyjaśnienia, usunięcia skutków i ochrony roszczeń. |
| Cookies i localStorage | Przez okresy wskazane w § 8 albo do usunięcia danych przez Użytkownika, zmiany ustawień lub wycofania zgody. |
2. Jeżeli kilka okresów może mieć zastosowanie do tych samych danych, stosowany jest okres najdłuższy, który jest niezbędny i zgodny z prawem. Po ustaniu celu dane są usuwane, anonimizowane albo dostęp do nich jest odpowiednio ograniczany.
§ 13. Dobrowolność podania danych
1. Podanie danych oznaczonych jako wymagane jest dobrowolne, ale niezbędne do założenia Konta, dokonania Rezerwacji, zawarcia lub wykonania Umowy, realizacji płatności albo rozpatrzenia zgłoszenia. Brak danych może uniemożliwić wykonanie danej czynności.
2. Numer telefonu jest co do zasady opcjonalny, chyba że przy konkretnej usłudze zostanie wskazany jako niezbędny ze względów bezpieczeństwa lub organizacji.
3. Zgoda marketingowa oraz zgody na opcjonalne cookies są dobrowolne i nie wpływają na możliwość zakupu podstawowych usług Studia.
4. Korzystanie z obszaru objętego monitoringiem wiąże się z przetwarzaniem wizerunku. Osoba, która nie chce znaleźć się w obszarze monitorowanym, nie powinna wchodzić do tego obszaru; może przed zakupem skontaktować się ze Spółką w celu uzyskania informacji o zakresie monitoringu i dostępnych rozwiązaniach.
§ 14. Prawa osób, których dane dotyczą
1. Na zasadach określonych w RODO osobie, której dane dotyczą, może przysługiwać prawo do:
a) dostępu do danych i uzyskania ich kopii;
b) sprostowania danych;
c) usunięcia danych;
d) ograniczenia przetwarzania;
e) przenoszenia danych przetwarzanych w sposób zautomatyzowany na podstawie zgody lub Umowy;
f) wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO z przyczyn związanych ze szczególną sytuacją;
g) wniesienia w każdym czasie sprzeciwu wobec marketingu bezpośredniego;
h) wycofania zgody w każdym czasie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania;
i) złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
2. Sprzeciw wobec marketingu bezpośredniego jest skuteczny bez konieczności uzasadnienia. W przypadku innego sprzeciwu Administrator może nadal przetwarzać dane, jeżeli wykaże istnienie ważnych prawnie uzasadnionych podstaw nadrzędnych wobec praw osoby albo podstaw do ustalenia, dochodzenia lub obrony roszczeń.
3. Żądanie można złożyć na dane kontaktowe wskazane w § 2. Administrator może poprosić o informacje niezbędne do potwierdzenia tożsamości, w szczególności gdy żądanie dotyczy nagrania, danych Konta albo informacji finansowych.
4. Żądania są realizowane bez zbędnej zwłoki, zasadniczo w terminie miesiąca. W przypadkach przewidzianych prawem termin może zostać przedłużony, o czym Administrator informuje wraz z podaniem przyczyny.
5. Realizacja praw jest co do zasady bezpłatna. W przypadku żądań ewidentnie nieuzasadnionych lub nadmiernych Administrator może pobrać rozsądną opłatę albo odmówić działania, zgodnie z RODO.
§ 15. Zautomatyzowane podejmowanie decyzji i profilowanie
1. Administrator nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały, w rozumieniu art. 22 RODO.
2. Wybór poziomu trudności treningu następuje przez Użytkownika. E-trener prezentuje materiały zgodnie z wybranym poziomem i nie dokonuje medycznej, zdrowotnej ani indywidualnej oceny Użytkownika.
3. Administrator nie prowadzi profilowania marketingowego na podstawie danych o zdrowiu, obrazu, zachowania podczas ćwiczeń ani nagrań monitoringu.
§ 16. Dane dotyczące zdrowia i zdarzeń nagłych
1. Administrator nie wymaga podawania informacji o chorobach, urazach, ciąży, lekach, diagnozach ani dokumentacji medycznej. Aplikacja i E-trener nie dobierają ćwiczeń na podstawie takich danych.
2. Użytkownik nie powinien zamieszczać danych dotyczących zdrowia w formularzu kontaktowym lub innych polach, jeżeli nie jest to konieczne do rozpoznania konkretnej sprawy.
3. Jeżeli dane dotyczące zdrowia zostaną przekazane w związku z wypadkiem, nagłym zagrożeniem, reklamacją lub roszczeniem, Administrator przetwarza je wyłącznie w niezbędnym zakresie, w szczególności na podstawie art. 9 ust. 2 lit. c lub f RODO oraz odpowiedniej podstawy z art. 6 RODO.
4. Informacje o stanie zdrowia przypadkowo utrwalone na nagraniu nie są analizowane ani wykorzystywane do profilowania. Mogą zostać wykorzystane wyłącznie, gdy jest to niezbędne do ochrony żywotnych interesów, udzielenia pomocy lub ustalenia, dochodzenia albo obrony roszczeń.
§ 17. Bezpieczeństwo danych
1. Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności kontrolę uprawnień, szyfrowanie wybranych danych, zabezpieczenie transmisji, kopie zapasowe, ograniczenia dostępu, rejestrowanie zdarzeń bezpieczeństwa i procedury reagowania na incydenty.
2. Hasła nie są przechowywane w postaci jawnej. PIN-y do drzwi i wybrane tajne dane systemowe są szyfrowane. Dostęp do danych jest nadawany wyłącznie osobom, które potrzebują go do wykonywania obowiązków.
3. Użytkownik powinien chronić swoje dane logowania, urządzenie, skrzynkę e-mail i PIN oraz nie udostępniać ich innym osobom. Podejrzenie przejęcia Konta lub kodu należy zgłosić niezwłocznie.
4. Żaden sposób przetwarzania danych nie gwarantuje całkowitego braku ryzyka. Administrator regularnie dostosowuje zabezpieczenia do charakteru danych, zagrożeń i rozwoju technologii.
§ 18. Osoby niepełnoletnie
1. Usługi Studia i Konto są przeznaczone dla osób, które ukończyły 18 lat. Administrator nie pozyskuje świadomie danych osób niepełnoletnich w celu świadczenia usług objętych Regulaminem.
2. Jeżeli Administrator stwierdzi, że dane osoby niepełnoletniej zostały przekazane bez właściwej podstawy, może je usunąć, ograniczyć ich przetwarzanie albo skontaktować się w celu wyjaśnienia sprawy.
§ 19. Zmiany Polityki
1. Polityka może zostać zmieniona w szczególności w związku ze zmianą prawa, sposobu działania Studia, Aplikacji, systemu dostępu, monitoringu, dostawców, zakresu danych, celów lub okresów przechowywania.
2. Aktualna wersja jest dostępna w Aplikacji, na stronie internetowej pod adresem https://moonroom.app/polityka-prywatnosci oraz - w zakresie dotyczącym monitoringu - w Studiu.
3. O istotnej zmianie dotyczącej osób posiadających Konto Administrator może poinformować pocztą elektroniczną, w Aplikacji albo w inny odpowiedni sposób. Zmiana podstawy opartej na zgodzie nie zastępuje uzyskania nowej zgody, jeżeli jest ona wymagana.
4. Poprzednie wersje Polityki mogą być przechowywane w celu wykazania zakresu informacji udostępnianych w określonym czasie.
Załącznik nr 1. Skrócona informacja o monitoringu wizyjnym
OBSZAR MONITOROWANY - REJESTRACJA WYŁĄCZNIE OBRAZU
Administrator: MOONROOM spółka z ograniczoną odpowiedzialnością, ul. Spółdzielcza 30/U4, 26-110 Skarżysko-Kamienna.
Cele: ochrona życia i zdrowia, ochrona mienia, kontrola dostępu, zapobieganie nadużyciom, wyjaśnianie wypadków, szkód i incydentów oraz ustalanie, dochodzenie lub obrona roszczeń.
Podstawa prawna: art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes Administratora.
Zakres: monitoring obejmuje oznaczone strefy Studia; nie obejmuje toalet, przebieralni ani innych miejsc wymagających szczególnej ochrony prywatności.
Okres przechowywania: co do zasady 7 dni; nagrania zabezpieczone w związku z konkretnym zdarzeniem mogą być przechowywane dłużej do zakończenia sprawy.
Prawa: dostęp do danych, usunięcie lub ograniczenie - w przypadkach przewidzianych prawem, sprzeciw oraz skarga do Prezesa UODO. Realizacja prawa dostępu może wymagać wskazania daty, godziny i miejsca.
Kontakt: hello@moonroom.app. Pełna Polityka prywatności: https://moonroom.app/polityka-prywatnosci