Polityka prywatności i plików cookies
Ostatnia aktualizacja: 8 października 2026 r.
1. Kto odpowiada za Twoje dane
Niniejszy dokument opisuje, jakie dane przetwarzamy w serwisie biegowe360.pl i w aplikacji Biegowe360 (app.biegowe360.pl), w jakim celu, komu je przekazujemy oraz jak korzystamy z plików cookies i pokrewnych technologii (np. localStorage).
Podstawy prawne: rozporządzenie RODO (w tym art. 26 — współadministrowanie), art. 398 i 399 ustawy Prawo komunikacji elektronicznej (PKE).
Serwis biegowe360.pl i wydarzenia Biegowe 360° prowadzą wspólnie dwa podmioty, jako współadministratorzy w rozumieniu art. 26 RODO:
- Fundacja Aktywny Polak, ul. Marii Curie-Skłodowskiej 50/177, 85-088 Bydgoszcz, NIP 5543011045.
- Stowarzyszenie Promocji Sportu, Rekreacji i Aktywności Fizycznej „FLOW”, ul. Bednarska 2, 00-095 Warszawa, NIP 5252810379.
Oba podmioty wspólnie organizują wydarzenia Biegowe 360° i wspólnie decydują o celach przetwarzania danych uczestników — w tym o zgodach marketingowych, dla których prowadzimy jedną wspólną bazę.
Punkt kontaktowy w sprawach danych osobowych: kontakt@biegowe360.pl. Możesz zgłosić się pod ten adres niezależnie od tego, jak podzieliliśmy obowiązki między sobą — przyjmujemy żądania w imieniu obu podmiotów.
Jak podzieliliśmy obowiązki: oba podmioty wspólnie decydują o celach przetwarzania danych uczestników i prowadzą jedną bazę zgód marketingowych. Serwis biegowe360.pl i aplikację prowadzi technicznie Stowarzyszenie „FLOW” i ono odpowiada za bezpieczeństwo danych w serwisie. Zapisy, sprzedaż biletów i rozliczenia księgowe prowadzą oba podmioty, w zależności od wydarzenia. Za realizację Twoich praw odpowiadamy wspólnie — niezależnie od tego, do którego z nas się zgłosisz i który z nas prowadził dane wydarzenie.
2. Jakie dane przetwarzamy i po co
| Cel | Dane | Podstawa prawna | Jak długo |
|---|---|---|---|
| Konto w serwisie i aplikacji | e-mail, imię i nazwisko, opcjonalnie: zdjęcie, płeć, rok urodzenia, klub, miejscowość | umowa o prowadzenie konta (art. 6 ust. 1 lit. b) | do usunięcia konta; dane mogą jeszcze przez pewien czas pozostać w technicznych kopiach bazy tworzonych przed zmianami w systemie |
| Zapis na wydarzenie i sprzedaż biletu | dane uczestnika i kupującego, wybrany bilet, dane do faktury | umowa sprzedaży (lit. b) | do przedawnienia roszczeń — 6 lat, liczone do końca roku kalendarzowego (art. 118 Kodeksu cywilnego) |
| Faktury i księgowość | dane nabywcy, NIP, kwoty | obowiązek prawny (lit. c) — przepisy podatkowe i o rachunkowości | 5 lat od końca roku podatkowego |
| Płatności online | identyfikator transakcji, kwota, status; danych karty nie otrzymujemy | umowa (lit. b) | jak dla faktur |
| Ulubione biegi, deklaracja startu, numer startowy, własne wyniki | wybrane biegi, dystans, wpisany numer i czas | umowa o prowadzenie konta (lit. b) | do usunięcia wpisu lub konta |
| Opinie o biegach | treść opinii, ocena, nazwa wyświetlana | zgoda wyrażona przez publikację (lit. a) | do usunięcia opinii lub konta |
| Biegomat — dobór butów | odpowiedzi z ankiety, „szafa” butów, lista życzeń | umowa (lit. b) | do usunięcia konta |
| Połączenie ze Stravą (dobrowolne) | aktywności w zakresie read, activity:read_all | zgoda (lit. a) — autoryzacja OAuth | do odłączenia konta Strava |
| Powiadomienia push i e-mail o wybranych biegach i artykułach | identyfikator subskrypcji przeglądarki, wybrane kategorie | zgoda (lit. a, art. 398 PKE) | do wycofania zgody |
| Informacje marketingowe o wydarzeniach | e-mail, telefon | zgoda (lit. a, art. 398 PKE) | do wycofania zgody |
| Statystyki korzystania z aplikacji | zdarzenia (uruchomienie, zakładka, otwarty bieg, artykuł, plan), losowy identyfikator urządzenia i sesji, numer konta jeśli zalogowano | zgoda na kategorię „Analityczne” (lit. a, art. 399 PKE) | 24 miesiące, potem automatyczne usunięcie |
| Rejestr zgód | wybór zgód, data, anonimowy identyfikator | obowiązek wykazania zgody (lit. c i f) | 5 lat od wycofania zgody — tyle potrzebujemy, by wykazać, że wysyłka odbywała się zgodnie z prawem |
| Bezpieczeństwo i dzienniki serwera | adres IP, czas żądania, adres strony | prawnie uzasadniony interes (lit. f) — ochrona przed nadużyciami | krótko — dziennik ma ograniczoną objętość i najstarsze wpisy są automatycznie nadpisywane przez nowe, w praktyce po kilku dniach |
Współadministratorami wszystkich procesów wymienionych wyżej są oba podmioty wskazane w punkcie 1. Niezależnie od tego, którego wydarzenia dotyczą Twoje dane, żądanie możesz złożyć pod jednym adresem: kontakt@biegowe360.pl.
Podanie danych jest dobrowolne, ale bez danych oznaczonych w formularzach jako wymagane nie założysz konta ani nie kupisz biletu.
Wyniki biegów. Statystyki wyników publikowane w serwisie i aplikacji pochodzą z oficjalnych list wyników udostępnianych publicznie przez organizatorów i firmy pomiaru czasu. Publikujemy wyłącznie dane zbiorcze (liczebności, mediany, rozkłady) — bez nazwisk.
Profilowanie. Biegomat dobiera propozycje butów na podstawie Twoich odpowiedzi i zapisanych modeli. To automatyczne dopasowanie treści; nie wywołuje wobec Ciebie skutków prawnych ani w podobny sposób istotnie na Ciebie nie wpływa.
3. Pliki cookies i localStorage
Serwis korzysta z banera zgód z czterema kategoriami. Kategorię „Niezbędne” stosujemy zawsze; pozostałe wyłącznie po wyrażeniu przez Ciebie zgody. Do tego czasu skrypty kategorii opcjonalnych są blokowane.
3.1. Niezbędne (zawsze aktywne)
| Nazwa | Cel | Czas życia |
|---|---|---|
| session_id | Identyfikator sesji (logowanie, koszyk, ochrona CSRF). Flaga HttpOnly. | 7 dni |
| frontend_lang | Zapamiętanie języka interfejsu. | 12 miesięcy |
| website_cookies_bar | Zapamiętanie obsłużenia banera cookies. | 180 dni |
| odoo_cookie_prefs (localStorage) | Zapis Twoich wyborów zgód w serwisie. | 180 dni |
| odoo_visitor_uuid | Anonimowy identyfikator powiązania zgody w rejestrze. | 365 dni |
| sale_order_id | Powiązanie koszyka z sesją (po stronie serwera). | sesja |
| b360_cookie_consent (localStorage, aplikacja) | Zapis Twoich wyborów zgód w aplikacji. | do zmiany wyboru |
| b360_visitor_uuid (localStorage, aplikacja) | Anonimowy identyfikator urządzenia: wiąże zgodę w rejestrze; po zgodzie na kategorię „Analityczne” służy też do zliczania unikalnych odwiedzin. | do wyczyszczenia danych aplikacji |
| pocketbase_auth (localStorage, aplikacja) | Utrzymanie zalogowania w aplikacji. | do wylogowania, najdłużej 5 dni bez odświeżenia |
3.2. Funkcjonalne
[BEZ ZMIAN — tabela b360_welcome_seen, biegomat_welcome_seen, biegomat_onboarding_seen, biegomat_recs_hidden; dopisać: ulubione biegi osoby niezalogowanej w aplikacji (localStorage, do wyczyszczenia danych).]
3.3. Analityczne
Uruchamiane wyłącznie po Twojej zgodzie.
Serwis biegowe360.pl. Korzystamy z Google Tag Manager (Google Ireland Ltd.) — narzędzia, przez które uruchamiamy skrypty pomiarowe opisane w tym dokumencie. Do czasu wyrażenia zgody Google otrzymuje sygnał odmowy (Consent Mode) i nie zapisuje cookies. Nie korzystamy z Google Analytics.
Aplikacja Biegowe360. Prowadzimy własne statystyki korzystania, bez narzędzi zewnętrznych. Zapisujemy zdarzenia: uruchomienie aplikacji, wejście w zakładkę, otwarcie karty biegu, artykułu lub planu treningowego, wyświetlenie i kliknięcie banera. Do zdarzenia dołączamy losowy identyfikator urządzenia (b360_visitor_uuid), losowy identyfikator bieżącego uruchomienia aplikacji (niezapisywany na urządzeniu) oraz — jeśli jesteś zalogowany — numer konta. Dane służą do zliczania odwiedzin i ulepszania aplikacji, przechowujemy je na własnym serwerze przez 24 miesiące, nie przekazujemy podmiotom trzecim i nie łączymy z danymi z innych serwisów. Zgodę wycofasz w aplikacji: Konto → Prywatność i cookies.
3.4. Marketingowe
Uruchamiane wyłącznie po Twojej zgodzie. Korzystamy z Meta Pixel (Meta Platforms Ireland Ltd.) do mierzenia skuteczności naszych kampanii na Facebooku i Instagramie: Pixel odnotowuje odsłony stron oraz zapis na wydarzenie. Cookies: _fbp (90 dni), _fbc (90 dni). Po wyrażeniu zgody przekazujemy też Google sygnały zgody reklamowej (ad_storage, ad_user_data, ad_personalization) Obecnie nie prowadzimy kampanii Google Ads — zgoda na te sygnały nie jest więc wykorzystywana, choć baner o nią pyta.
4. Komu przekazujemy dane
- Płatności — Stripe (Stripe Payments Europe Ltd.). Na stronie płatności Stripe ładuje własny skrypt i ustawia własne cookies (m.in. __stripe_mid, __stripe_sid) w celu realizacji transakcji i przeciwdziałania oszustwom. Danych karty nie przechowujemy.
- Pomiar i kampanie — Google (Tag Manager) oraz Meta (Pixel) — wyłącznie po zgodzie, pkt 3.3–3.4.
- Czcionki — Google Fonts. Czcionki serwisu pobieramy z serwerów Google (fonts.gstatic.com). Następuje to przy każdej odsłonie strony, także przed wyrażeniem zgody na cookies, dlatego Google otrzymuje wtedy Twój adres IP. Pracujemy nad przeniesieniem czcionek na własny serwer, co ten przepływ wyeliminuje.
- Filmy — YouTube (Google Ireland Ltd.). Film osadzony na stronie głównej pochodzi z YouTube; po jego uruchomieniu YouTube może zapisać własne cookies.
- Mapy — OpenStreetMap. Mapa wydarzeń pobiera kafelki z serwerów OpenStreetMap; dostawca widzi adres IP i adres naszej strony niezbędne do pobrania mapy.
- Strava (Strava, Inc.) — tylko jeśli połączysz konto.
- Powiadomienia push — dostarcza je usługa Twojej przeglądarki (Google, Apple lub Mozilla); przekazujemy treść powiadomienia i techniczny identyfikator subskrypcji.
- Artykuły bieganie.pl — otwierane w aplikacji w ramce; serwis bieganie.pl stosuje własną politykę cookies.
- Dostawcy techniczni działający na nasze zlecenie: dostawca serwerów (hosting w Unii Europejskiej), dostawca poczty wychodzącej obsługujący wiadomości transakcyjne i handlowe, biuro rachunkowe prowadzące księgi obu podmiotów oraz dostawca bramki SMS. Z każdym z nich mamy zawartą umowę powierzenia przetwarzania danych.
Przekazywanie danych poza Europejski Obszar Gospodarczy. Google, Meta i Strava mogą przetwarzać dane w Stanach Zjednoczonych. Odbywa się to na podstawie decyzji Komisji Europejskiej z 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony (Data Privacy Framework) albo — gdy decyzja nie obejmuje danego podmiotu — standardowych klauzul umownych zatwierdzonych przez Komisję. Stripe przetwarza dane w Irlandii (Stripe Payments Europe Ltd.) z możliwością wsparcia technicznego spoza EOG na tych samych zasadach.
5. Zarządzanie zgodami
Przy pierwszej wizycie wyświetlamy baner zgód z czterema kategoriami; możesz zaakceptować wszystkie, odrzucić opcjonalne albo wybrać selektywnie. Twój wybór zapisujemy i logujemy w wewnętrznym rejestrze zgód. Zgodę możesz w każdej chwili zmienić, ponownie otwierając ustawienia cookies. Do czasu wyrażenia zgody skrypty kategorii opcjonalnych są blokowane. W aplikacji ustawienia znajdziesz w zakładce Konto → Prywatność i cookies.
Zgody na informacje handlowe (e-mail i SMS) obsługujemy osobno, bo nie są plikami cookies. Zarządzasz nimi na stronie biegowe360.pl/zgody: po podaniu adresu e-mail wyślemy Ci zestawienie udzielonych zgód razem z linkami do ich wycofania. Nie musisz mieć u nas konta — wystarczy dostęp do skrzynki. Ten sam link znajdziesz w stopce każdej wiadomości handlowej, którą od nas otrzymasz. Na tej stronie możesz też poprosić o wpisanie adresu na listę ograniczonego kontaktu, jeśli nie chcesz od nas żadnych wiadomości handlowych.
6. Jak ograniczyć lub usunąć cookies
Cookies możesz zarządzać również w ustawieniach przeglądarki (blokowanie, usuwanie, tryb prywatny). Wyłączenie cookies niezbędnych może uniemożliwić poprawne działanie logowania, koszyka lub zapisu na wydarzenie.
7. Twoje prawa (RODO)
Przysługuje Ci prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz wniesienia sprzeciwu, a także cofnięcia zgody w dowolnym momencie (bez wpływu na zgodność z prawem wcześniejszego przetwarzania) i wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych. Wszystkie żądania — niezależnie od tego, czy dotyczą konta, aplikacji, cookies, biletu, płatności czy faktury — kierujesz pod jeden adres: kontakt@biegowe360.pl. Jako współadministratorzy odpowiadamy za nie wspólnie. Zgodę na informacje handlowe wycofasz samodzielnie i bez logowania na stronie biegowe360.pl/zgody albo linkiem w stopce wiadomości. Konto w aplikacji usuniesz samodzielnie: Konto → Usuń konto. Skargę możesz złożyć do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.