Polityka prywatności

Informacja o przetwarzaniu danych osobowych w aplikacji GPFit (art. 13 RODO) · obowiązuje od 17 października 2026 r. · wersja 1.4

1. Administrator i kontakt

Administratorem Twoich danych osobowych jest NESTARO spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie, ul. Nowogrodzka 50/54/515, 00-695 Warszawa, wpisana do rejestru przedsiębiorców KRS pod numerem 0001257679, NIP 7011325614, REGON 545398012, reprezentowana przez Prezes Zarządu Klaudię Chomicką („my”). We wszystkich sprawach dotyczących danych możesz pisać na adres: kontakt@gpfit.pl.

2. Jakie dane przetwarzamy

Dane konta: imię i nazwisko, adres e-mail, hasło (przechowujemy wyłącznie jego zaszyfrowany skrót – nikt nie zna Twojego hasła), rola (podopieczny / trener), udzielone zgody.
Dane treningowe: treningi, ćwiczenia, serie (ciężar, powtórzenia), notatki, plan treningowy i jego historia, suplementy.
Dane o zdrowiu i sylwetce – tylko jeśli sam je wpiszesz: waga, % tkanki tłuszczowej, obwody ciała, zdjęcia sylwetki, a w raporcie tygodniowym m.in. samopoczucie, sen, stres, dieta oraz – opcjonalnie – ciśnienie krwi i poziom glukozy.
Wiadomości z czatu z trenerem (także wiadomości grupowe trenera do podopiecznych) i raporty tygodniowe PDF.
Wiadomości do GPFit („Napisz do nas”, czat z GPFit): treść zgłoszenia, pytania lub uwagi, dołączone zrzuty ekranu oraz – jeśli korzystasz z „Prześlij nam swój plan” – opis i pliki planu (zdjęcia, PDF, arkusze, dokumenty).
Społeczność (grupa siłowni i tablica „Cały GPFIT”) – jeśli z niej korzystasz: Twoje wpisy, komentarze i reakcje, proponowane przez Ciebie działy, data akceptacji zasad tablicy, zgłoszenia, które wysyłasz, osoby, których wpisy ukryłeś dla siebie, oraz ewentualne blokady pisania nałożone przez moderatorów.
Członkostwo w siłowni: do jakiej siłowni należysz i status członkostwa.
Dane techniczne: adres IP, data ostatniej aktywności, identyfikator sesji, dane do wysyłki powiadomień (adres subskrypcji przeglądarki), dziennik błędów serwera.

Podanie danych jest dobrowolne, ale bez adresu e-mail, imienia i nazwiska oraz hasła nie da się założyć konta. Dane o zdrowiu i zdjęcia podajesz wyłącznie z własnej inicjatywy.

3. Cele i podstawy prawne

Cel	Podstawa prawna (RODO)
Prowadzenie konta i świadczenie usług aplikacji (dziennik, plan, progres, czat, raporty, współpraca z trenerem i siłownią)	art. 6 ust. 1 lit. b – umowa (Regulamin)
Przetwarzanie danych o zdrowiu (pomiary, zdjęcia sylwetki, parametry zdrowotne w raportach)	art. 9 ust. 2 lit. a – Twoja wyraźna zgoda; możesz ją cofnąć, usuwając te dane lub wyłączając zgodę na zdjęcia w Profil → Zgody i prywatność
Udostępnianie zdjęć i pomiarów trenerowi	art. 6 ust. 1 lit. a i art. 9 ust. 2 lit. a – zgoda (przełączniki w Profil → Trener)
Informacje marketingowe o nowościach i ofertach	art. 6 ust. 1 lit. a – zgoda (opcjonalna)
Statystyki korzystania (Google Analytics)	art. 6 ust. 1 lit. a – zgoda wyrażona w banerze cookies
Własne, anonimowe statystyki odwiedzin (liczba wejść, źródło wejścia, rodzaj urządzenia) – bez ciasteczek i bez zapisywania adresu IP	art. 6 ust. 1 lit. f – prawnie uzasadniony interes (rozwój serwisu i ocena skuteczności promocji)
Bezpieczeństwo, ochrona przed nadużyciami i botami, obsługa błędów, rozliczenia z siłowniami (liczba aktywnych członków)	art. 6 ust. 1 lit. f – prawnie uzasadniony interes
Odpowiadanie na wiadomości do GPFit i wgrywanie przesłanego planu do aplikacji	art. 6 ust. 1 lit. b – umowa; w zakresie danych o zdrowiu zawartych w wiadomości – art. 9 ust. 2 lit. a (podajesz je dobrowolnie)
Analiza aktywności kont przez administratora aplikacji (np. data ostatniego korzystania, liczba treningów, kto trenuje w danej chwili, kto ma plan) – w celu wsparcia użytkowników, kontaktu z nieaktywnymi osobami i rozwoju aplikacji. Wyniki widzi wyłącznie administrator; nie podejmujemy na tej podstawie zautomatyzowanych decyzji.	art. 6 ust. 1 lit. f – prawnie uzasadniony interes (możesz wnieść sprzeciw)
Społeczność: publikowanie wpisów członkom siłowni albo – na tablicy „Cały GPFIT” – wszystkim zalogowanym użytkownikom, automatyczne sprawdzanie treści, zgłoszenia i moderacja (ochrona przed obraźliwymi, niebezpiecznymi i bezprawnymi treściami)	art. 6 ust. 1 lit. b – umowa; w zakresie moderacji – art. 6 ust. 1 lit. f (bezpieczeństwo użytkowników)
Rozpatrywanie reklamacji, ustalenie i obrona roszczeń	art. 6 ust. 1 lit. b, c i f

Podpowiedzi w aplikacji (np. zwiększenie ciężaru, rekordy) są wyliczane automatycznie z Twoich wpisów, ale nie wywołują wobec Ciebie skutków prawnych ani nie wpływają na Ciebie w podobnie istotny sposób. Nie profilujemy Cię w celach reklamowych.

4. Kto ma dostęp do danych

Twój trener – tylko jeśli sam się z nim połączysz. Widzi plan, treningi i postępy; zdjęcia i pomiary wyłącznie, gdy na to pozwolisz. Nie może usuwać Twoich danych.
Twoja siłownia – status członkostwa i podstawowe informacje o aktywności (np. daty i liczbę treningów). Nie widzi treści treningów, pomiarów, zdjęć ani wiadomości.
Inni uczestnicy wyzwania siłowni – tylko jeśli sam dołączysz do wyzwania: widzą Twoje imię, pierwszą literę nazwiska i liczbę treningów w okresie wyzwania. Z rankingu możesz się w każdej chwili wypisać.
Uczestnicy rankingu siłowni – tylko jeśli sam zgłosisz wynik i trener go zatwierdzi: członkowie Twojej siłowni widzą Twoje imię, pierwszą literę nazwiska, wynik, punkty, tier oraz podane przy zgłoszeniu wagę, wzrost i obwód bicepsa. Personel siłowni widzi pełne imię i nazwisko. Siłownia może wyświetlać listę rankingu na ekranie w siłowni (np. telewizorze) – wtedy widać tylko imię, pierwszą literę nazwiska, wynik, punkty i tier, bez wagi ciała i innych pomiarów. Zgłoszenie przed zatwierdzeniem możesz wycofać.
Członkowie Twojej siłowni (Społeczność) – tylko jeśli sam coś opublikujesz: widzą treść wpisu lub komentarza, Twoje imię i pierwszą literę nazwiska oraz datę. Trenerzy i administratorzy siłowni (moderatorzy) widzą też pełne imię i nazwisko przy zgłoszonych treściach. Jeśli piszesz na tablicy „Cały GPFIT”, te same dane widzą wszyscy zalogowani użytkownicy GPFit, a moderuje ją wyłącznie GPFit. Nikt nie widzi, kto zgłosił wpis ani kogo ukryłeś dla siebie.
Administrator aplikacji (GPFit) – odpowiada na Twoje wiadomości do GPFit i ma dostęp do przesłanych plików planu oraz do podstawowych informacji o aktywności konta (patrz cele w pkt 3).
Dostawca serwera (hosting): LH.pl sp. z o.o. (Poznań) – przechowuje dane na nasze zlecenie, na podstawie umowy powierzenia.
Dostawcy powiadomień push przeglądarki (np. Google, Apple, Mozilla) – przekazują zaszyfrowane powiadomienia, jeśli je włączysz.
Google Ireland Ltd. (Google Analytics) – tylko jeśli zgodzisz się na statystyki. Dane mogą trafiać do USA na podstawie decyzji Komisji Europejskiej (EU-US Data Privacy Framework).
Organy publiczne – wyłącznie, gdy wymaga tego prawo.

Nie sprzedajemy Twoich danych. Czcionki i pozostałe pliki aplikacji są serwowane z naszego serwera.

5. Jak długo przechowujemy dane

Dane konta i wszystkie dane treningowe – do czasu usunięcia konta. Pojedyncze wpisy (treningi, pomiary, zdjęcia, raporty) możesz usuwać wcześniej.
Wiadomości do GPFit, zrzuty ekranu i przesłane pliki planu – do czasu usunięcia konta (możesz też poprosić o ich wcześniejsze usunięcie).
Wpisy i komentarze w Społeczności – do czasu, aż je usuniesz albo usuniesz konto (treść ukryta przez moderatora też zostaje usunięta razem z kontem).
Po usunięciu konta dane są usuwane od razu z bazy aplikacji, a z kopii zapasowych – najpóźniej po 30 dniach.
Dane techniczne (logi serwera) – do 30 dni; sesja logowania – do 30 dni od ostatniego użycia.
Dane potrzebne do obrony roszczeń lub wymagane przepisami – przez okres przedawnienia lub wymagany prawem.

6. Twoje prawa

Dostęp i kopia danych – wszystko widzisz w aplikacji; kopię danych w formacie do przeniesienia przygotujemy na prośbę e-mail.
Sprostowanie – Profil → Dane konta, dziennik treningów, pomiary.
Usunięcie – Profil → Dane konta → Usuń konto (natychmiast i trwale) albo prośba e-mail – instrukcja: gpfit.pl/usun-konto.
Cofnięcie zgody w dowolnym momencie – Profil → Zgody i prywatność (zdjęcia, marketing, statystyki) oraz Profil → Trener (dostęp trenera do zdjęć i pomiarów). Cofnięcie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania.
Ograniczenie przetwarzania, przenoszenie danych, sprzeciw wobec przetwarzania opartego na uzasadnionym interesie – na prośbę e-mail.
Skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

7. Pliki cookies i pamięć urządzenia

Co	Po co	Czy wymaga zgody
Ciasteczko sesji (connect.sid)	Utrzymanie zalogowania (do 30 dni)	Nie – niezbędne
Pamięć przeglądarki (localStorage) i pamięć podręczna aplikacji	Ustawienia (np. podpowiedzi, timer), szkice wpisów i raportu, działanie aplikacji offline i szybsze ładowanie	Nie – niezbędne do działania funkcji, o które prosisz
Statystyki odwiedzin GPFit (bez ciasteczek)	Liczba wejść, strona, źródło wejścia (np. reklama), język i rodzaj urządzenia. Osoba jest rozpoznawana tylko w obrębie jednego dnia za pomocą anonimowego skrótu, który zmienia się co dobę; adresu IP nie zapisujemy. Źródło wejścia jest pamiętane tylko w otwartej karcie przeglądarki (sessionStorage). Dane przechowujemy do 13 miesięcy. Do licznika „teraz na stronie” otwarta strona co minutę wysyła krótki sygnał; u zalogowanych zapisujemy wtedy zaszyfrowany znacznik (nie numer konta ani e-mail), który usuwamy po godzinie.	Nie – nie zapisujemy identyfikatora na urządzeniu
Google Analytics (_ga, _ga_*)	Anonimowe statystyki odwiedzin ekranów	Tak – ładowane dopiero po kliknięciu „Zgadzam się”; zmienisz to w Profil → Zgody i prywatność

Pliki cookies możesz też usunąć lub zablokować w ustawieniach przeglądarki – zablokowanie ciasteczka sesji uniemożliwi zalogowanie.

8. Bezpieczeństwo

Połączenie z aplikacją jest szyfrowane (HTTPS). Hasła przechowujemy jako skróty kryptograficzne (bcrypt). Zdjęcia sylwetki są dostępne wyłącznie dla Ciebie i – za Twoją zgodą – Twojego trenera. Dostęp do danych w panelach mają tylko uprawnione osoby. Stosujemy limity prób logowania i ochronę przed automatycznymi rejestracjami.

9. Zmiany polityki

O istotnych zmianach tej polityki poinformujemy w aplikacji. Aktualna wersja jest zawsze dostępna pod adresem gpfit.pl/polityka-prywatnosci.

Privacy Policy

Information on the processing of personal data in the GPFit app (Art. 13 GDPR) · effective from 17 October 2026 · version 1.4

This is an English translation provided for convenience. In case of any discrepancy, the Polish version prevails.

1. Controller and contact

The controller of your personal data is NESTARO spółka z ograniczoną odpowiedzialnością (limited liability company) with its registered office in Warsaw, ul. Nowogrodzka 50/54/515, 00-695 Warszawa, Poland, entered in the National Court Register (KRS) under no. 0001257679, NIP (tax ID) 7011325614, REGON 545398012, represented by Klaudia Chomicka, President of the Management Board ("we"). For all data matters you can write to: kontakt@gpfit.pl.

2. What data we process

Account data: first and last name, e-mail address, password (we only store its encrypted hash – nobody knows your password), role (client / trainer), consents given.
Training data: workouts, exercises, sets (weight, reps), notes, training plan and its history, supplements.
Health and physique data – only if you enter it yourself: weight, body fat %, body circumferences, physique photos, and in the weekly report e.g. well-being, sleep, stress, diet and – optionally – blood pressure and glucose level.
Messages from the chat with your trainer (including the trainer's group messages to clients) and weekly PDF reports.
Messages to GPFit ("Contact us", chat with GPFit): the content of your report, question or feedback, attached screenshots and – if you use "Send us your plan" – the plan description and files (photos, PDFs, spreadsheets, documents).
Community (gym group and the “All GPFIT” board) – if you use it: your posts, comments and reactions, sections you suggest, the date you accepted the board rules, reports you send, people whose posts you have hidden for yourself, and any posting blocks applied by moderators.
Gym membership: which gym you belong to and your membership status.
Technical data: IP address, date of last activity, session ID, data for sending notifications (browser subscription address), server error log.

Providing data is voluntary, but an account cannot be created without an e-mail address, first and last name and password. You provide health data and photos only on your own initiative.

3. Purposes and legal bases

Purpose	Legal basis (GDPR)
Running the account and providing the app's services (log, plan, progress, chat, reports, working with a trainer and gym)	Art. 6(1)(b) – contract (Terms of Service)
Processing health data (measurements, physique photos, health parameters in reports)	Art. 9(2)(a) – your explicit consent; you can withdraw it by deleting this data or turning off consent for photos in Profile → Consents & privacy
Sharing photos and measurements with your trainer	Art. 6(1)(a) and Art. 9(2)(a) – consent (switches in Profile → Trainer)
Marketing information about news and offers	Art. 6(1)(a) – consent (optional)
Usage statistics (Google Analytics)	Art. 6(1)(a) – consent given in the cookie banner
Our own anonymous visit statistics (number of visits, traffic source, device type) – no cookies and no IP address stored	Art. 6(1)(f) – legitimate interest (developing the service and measuring promotion)
Security, protection against abuse and bots, error handling, settlements with gyms (number of active members)	Art. 6(1)(f) – legitimate interest
Replying to messages sent to GPFit and uploading a plan you sent us into the app	Art. 6(1)(b) – contract; for any health data included in a message – Art. 9(2)(a) (you provide it voluntarily)
Analysis of account activity by the app administrator (e.g. date of last use, number of workouts, who is training at the moment, who has a plan) – to support users, contact inactive people and develop the app. Only the administrator sees the results; no automated decisions are made on this basis.	Art. 6(1)(f) – legitimate interest (you may object)
Community: publishing posts to gym members or – on the “All GPFIT” board – to all signed-in users, automatic content checks, reports and moderation (protection against offensive, dangerous and unlawful content)	Art. 6(1)(b) – contract; for moderation – Art. 6(1)(f) (users' safety)
Handling complaints, establishing and defending claims	Art. 6(1)(b), (c) and (f)

Hints in the app (e.g. weight increase, records) are calculated automatically from your entries, but they do not produce legal effects for you or affect you in a similarly significant way. We do not profile you for advertising purposes.

4. Who has access to the data

Your trainer – only if you connect with them yourself. They see your plan, workouts and progress; photos and measurements only if you allow it. They cannot delete your data.
Your gym – membership status and basic activity information (e.g. dates and number of workouts). It does not see the content of workouts, measurements, photos or messages.
Other participants of a gym challenge – only if you join the challenge yourself: they see your first name, the first letter of your last name and your number of workouts during the challenge. You can leave the ranking at any time.
Members of your gym (Community) – only if you publish something yourself: they see the content of the post or comment, your first name and the first letter of your last name, and the date. The gym's trainers and administrators (moderators) also see your full name next to reported content. If you post on the “All GPFIT” board, the same data is visible to all signed-in GPFit users, and only GPFit moderates it. Nobody can see who reported a post or whom you have hidden for yourself.
Gym ranking participants – only if you submit a result yourself and a trainer approves it: members of your gym see your first name, the first letter of your last name, result, points, tier and the weight, height and biceps circumference given with the submission. Gym staff see your full name. The gym may show the ranking list on a screen in the gym (e.g. a TV) – it then shows only your first name, last-name initial, result, points and tier, without body weight or other measurements. You can withdraw a submission before it is approved.
The app administrator (GPFit) – replies to your messages to GPFit and has access to the plan files you send and to basic account activity information (see purposes in section 3).
Server provider (hosting): LH.pl sp. z o.o. (Poznań, Poland) – stores data on our behalf under a data processing agreement.
Browser push notification providers (e.g. Google, Apple, Mozilla) – deliver encrypted notifications if you turn them on.
Google Ireland Ltd. (Google Analytics) – only if you agree to statistics. Data may be transferred to the USA on the basis of a European Commission decision (EU-US Data Privacy Framework).
Public authorities – only when required by law.

We do not sell your data. Fonts and the other app files are served from our own server.

5. How long we keep the data

Account data and all training data – until the account is deleted. You can delete individual entries (workouts, measurements, photos, reports) earlier.
Messages to GPFit, screenshots and plan files you send – until the account is deleted (you can also ask us to delete them earlier).
Community posts and comments – until you delete them or delete your account (content hidden by a moderator is also deleted with the account).
After the account is deleted, data is removed from the app database immediately, and from backups – within 30 days at the latest.
Technical data (server logs) – up to 30 days; login session – up to 30 days from last use.
Data needed to defend claims or required by law – for the limitation period or the period required by law.

6. Your rights

Access and a copy of your data – you can see everything in the app; we will prepare a copy in a portable format on request by e-mail.
Rectification – Profile → Account details, workout log, measurements.
Erasure – Profile → Account details → Delete account (immediate and permanent) or a request by e-mail – instructions: gpfit.pl/usun-konto.
Withdrawing consent at any time – Profile → Consents & privacy (photos, marketing, statistics) and Profile → Trainer (trainer access to photos and measurements). Withdrawing consent does not affect the lawfulness of earlier processing.
Restriction of processing, data portability, objection to processing based on legitimate interest – on request by e-mail.
Complaint to the President of the Personal Data Protection Office (UODO, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) or to the data protection authority in your country of residence.

7. Cookies and device storage

What	Why	Requires consent?
Session cookie (connect.sid)	Keeping you logged in (up to 30 days)	No – essential
Browser storage (localStorage) and app cache	Settings (e.g. hints, timer, language), drafts of entries and reports, offline use and faster loading	No – essential for the features you request
GPFit visit statistics (no cookies)	Number of visits, page, traffic source (e.g. an ad), language and device type. A visitor is recognised only within one day using an anonymous hash that changes every day; we do not store the IP address. The traffic source is remembered only in the open browser tab (sessionStorage). Data is kept for up to 13 months. For the "on the site now" counter, an open page sends a short signal every minute; for logged-in users we then store an encrypted marker (not the account number or e-mail), which is deleted after one hour.	No – no identifier is stored on your device
Google Analytics (_ga, _ga_*)	Anonymous statistics of screen visits	Yes – loaded only after you click "I agree"; you can change this in Profile → Consents & privacy

You can also delete or block cookies in your browser settings – blocking the session cookie will make logging in impossible.

8. Security

The connection to the app is encrypted (HTTPS). We store passwords as cryptographic hashes (bcrypt). Physique photos are available only to you and – with your consent – to your trainer. Only authorised people have access to data in the panels. We limit login attempts and protect against automated registrations.

9. Changes to this policy

We will inform you in the app about significant changes to this policy. The current version is always available at gpfit.pl/polityka-prywatnosci.