PROJEKT — do zatwierdzenia przez Zarząd

Wersja robocza z 11.10.2026, przygotowana na podstawie specyfikacji systemu. Miejsca oznaczone [DO UZUPEŁNIENIA: …] lub [DO WERYFIKACJI: …] wymagają decyzji albo sprawdzenia przed publikacją. Po zatwierdzeniu tekst trafia na stronę /prywatnosc. Każda późniejsza zmiana treści oznacza nową wersję zgody privacy_notice (consent_types.version).

Informacja o przetwarzaniu danych osobowych

Na podstawie art. 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO) informujemy, jak przetwarzamy dane osób, które składają deklarację członkowską, członków Polskiego Towarzystwa Saunowego oraz osób polecających kandydatów.

1. Administrator danych

Administratorem danych jest Polskie Towarzystwo Saunowe z siedzibą w Katowicach, ul. Mickiewicza 29, 40-085 Katowice, wpisane do Krajowego Rejestru Sądowego pod numerem KRS 0000512573 (Sąd Rejonowy Katowice-Wschód w Katowicach, VIII Wydział Gospodarczy KRS), NIP 6312653790, REGON 243587250. [DO WERYFIKACJI: adres siedziby w aktualnym odpisie KRS — dawna polityka prywatności strony podawała ul. Kozielska 135, 44-100 Gliwice]

Kontakt we wszystkich sprawach dotyczących danych osobowych: zarzad@polskietowarzystwosaunowe.pl, albo pisemnie na adres siedziby.

Towarzystwo nie wyznaczyło inspektora ochrony danych. [DO POTWIERDZENIA przez Zarząd]

2. Jakie dane przetwarzamy

Kogo dotyczy	Dane
Kandydat — osoba fizyczna	imię, nazwisko, forma zwrotu (Pani/Pan), data i miejsce urodzenia, adres (ulica, kod pocztowy, miejscowość, województwo), adres e-mail, telefon (nieobowiązkowo), wybrany rodzaj członkostwa, informacja, czy prowadzi seanse saunowe lub pracuje w obiekcie saunowym, numery kart członkowskich osób polecających albo prośba o pomoc w ich znalezieniu, udzielone zgody
Kandydat — firma (członek wspierający)	nazwa firmy, NIP, imię i nazwisko osoby reprezentującej, adres, adres e-mail, telefon, udzielone zgody
Członek	dane z deklaracji oraz: numer karty członkowskiej, rodzaj i status członkostwa wraz z historią zmian i numerami uchwał, data przyjęcia, ważność karty i kod QR karty, pełnione funkcje i uprawnienia w Towarzystwie (np. saunamistrz, trener, sędzia), wnioski o zawieszenie lub rezygnację, konto w panelu członka (adres e-mail i hasło przechowywane wyłącznie jako skrót kryptograficzny)
Osoba polecająca (członek)	fakt potwierdzenia lub odmowy polecenia wskazanego kandydata i jego data
Wszyscy korzystający z formularzy i panelu	adres IP i dane przeglądarki potrzebne do ochrony przed botami (Cloudflare Turnstile), skrót adresu IP do ograniczania liczby prób, dziennik logowań do panelu (adres e-mail, adres IP, czas)

3. Cele i podstawy prawne

Cel	Podstawa prawna
Rozpatrzenie deklaracji członkowskiej, w tym uzyskanie potwierdzenia od osób polecających i podjęcie uchwały przez Zarząd	art. 6 ust. 1 lit. b RODO — działania na wniosek kandydata przed przystąpieniem do Towarzystwa oraz członkostwo na zasadach Statutu
Prowadzenie ewidencji członków, wydanie i weryfikacja karty członkowskiej, panel członka, korespondencja e-mail związana z członkostwem	art. 6 ust. 1 lit. b RODO (członkostwo na zasadach Statutu) oraz art. 6 ust. 1 lit. c RODO (obowiązki wynikające z przepisów, w tym prawa o stowarzyszeniach)
Rozliczanie składek członkowskich	art. 6 ust. 1 lit. c RODO — obowiązki wynikające z ustawy o rachunkowości `[DO WERYFIKACJI: dotyczy modułu składek]`
Publikacja imienia, nazwiska i miejscowości w publicznym rejestrze saunamistrzów	art. 6 ust. 1 lit. a RODO — zgoda (dobrowolna)
Informacje o wydarzeniach i szkoleniach PTS	art. 6 ust. 1 lit. a RODO — zgoda (dobrowolna)
Ochrona formularzy przed nadużyciami, bezpieczeństwo kont, dziennik zmian w ewidencji, kopie zapasowe	art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Towarzystwa: bezpieczeństwo i rozliczalność przetwarzania
Ustalenie, dochodzenie lub obrona roszczeń	art. 6 ust. 1 lit. f RODO

Publiczna weryfikacja karty (kod QR) pokazuje tylko numer karty, informację o jej ważności oraz imię i pierwszą literę nazwiska (w przypadku firmy — jej nazwę).

4. Odbiorcy danych

Dostęp do danych mają członkowie Zarządu i osoby upoważnione przez Zarząd, w zakresie potrzebnym do pełnionej funkcji (dostęp do panelu Zarządu wymaga logowania dwuskładnikowego). Osoba polecająca widzi imię i nazwisko (lub nazwę firmy) oraz miejscowość kandydata.

Dane powierzamy dostawcom usług, którzy przetwarzają je na nasze polecenie, na podstawie umów powierzenia:

Dostawca	Zakres
Supabase Inc.	baza danych, konta i logowanie, funkcje serwerowe, codzienne kopie zapasowe; dane przechowywane w centrum danych w UE (Paryż)
`[DO UZUPEŁNIENIA: dostawca hostingu aplikacji — obecnie Lovable]`	udostępnianie aplikacji internetowej (formularza deklaracji i panelu)
Resend Inc.	wysyłka wiadomości e-mail z systemu (region UE — Irlandia)
Cloudflare Inc.	usługa Turnstile chroniąca formularze przed botami
GitHub Inc.	przechowywanie cotygodniowych kopii zapasowych w postaci zaszyfrowanej; dostawca nie ma dostępu do ich treści
`[DO UZUPEŁNIENIA: dostawca skrzynki zarzad@polskietowarzystwosaunowe.pl]`	obsługa korespondencji e-mail Zarządu

Dane możemy też przekazać organom publicznym, jeśli wymaga tego przepis prawa.

5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Supabase, Resend, Cloudflare i GitHub to spółki z siedzibą w USA. Bazę danych przechowujemy w UE, ale dostawcy mogą mieć do niej dostęp, np. przy obsłudze technicznej, a cotygodniowe zaszyfrowane kopie zapasowe są przechowywane w serwisie GitHub, także poza EOG. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU–US Data Privacy Framework) w przypadku dostawców objętych certyfikacją albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską. Informację o tych zabezpieczeniach i ich kopię można uzyskać, pisząc na adres z pkt 1. [DO WERYFIKACJI: podstawa transferu w umowie powierzenia (DPA) każdego dostawcy]

6. Jak długo przechowujemy dane

Dane	Okres
Deklaracja, która nie doprowadziła do przyjęcia (odrzucona, wycofana albo nierozpatrzona)	12 miesięcy od decyzji lub wycofania, a w przypadku deklaracji nierozpatrzonej — od jej złożenia; potem usuwamy ją automatycznie
Deklaracja przyjęta	razem z danymi członka, do ich anonimizacji
Dane członka	przez czas członkostwa. Po ustaniu członkostwa dane są archiwizowane po roku, a po 3 latach anonimizujemy dane identyfikujące i kontaktowe i usuwamy konto w panelu; zostają numer karty, rodzaj członkostwa i daty, bez możliwości ustalenia tożsamości
Dokumentacja rozliczeń składek	5 lat od końca roku, którego dotyczy `[DO WERYFIKACJI: moduł składek]`
Wiadomości e-mail w kolejce wysyłki	90 dni od wysłania
Skrót adresu IP do ograniczania liczby prób	do 24 godzin
Dziennik logowań do panelu	90 dni
Kopie zapasowe	codzienne kopie Supabase `[DO WERYFIKACJI: okres wg planu Supabase, np. 7 dni]`, cotygodniowe zaszyfrowane kopie — 90 dni
Dane przetwarzane na podstawie zgody	do jej wycofania

7. Twoje prawa

Masz prawo:

dostępu do swoich danych i otrzymania ich kopii (członek może pobrać swoje dane w panelu: „Pobierz moje dane”),
sprostowania danych (członek zmienia część danych sam w panelu, pozostałe na prośbę do Zarządu),
usunięcia danych, gdy nie ma już podstawy do ich przetwarzania,
ograniczenia przetwarzania,
przenoszenia danych przetwarzanych na podstawie umowy lub zgody,
sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (pkt 3, lit. f),
wycofania zgody w dowolnym momencie (członek może to zrobić w panelu); wycofanie zgody nie wpływa na zgodność z prawem przetwarzania przed jej wycofaniem,
wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl).

Aby skorzystać z praw, napisz na adres zarzad@polskietowarzystwosaunowe.pl.

8. Czy musisz podać dane

Podanie danych jest dobrowolne, ale bez danych oznaczonych w formularzu jako obowiązkowe nie możemy rozpatrzyć deklaracji ani prowadzić członkostwa — wymaga ich Statut. Zgody na publikację w rejestrze saunamistrzów i na informacje o wydarzeniach są dobrowolne; ich brak nie wpływa na członkostwo.

9. Skąd mamy dane osób polecających

Kandydat podaje tylko numery kart członkowskich osób polecających. Pozostałe dane tych osób (imię, adres e-mail) pochodzą z ewidencji członków Towarzystwa.

10. Zautomatyzowane decyzje

Nie podejmujemy decyzji w sposób zautomatyzowany i nie profilujemy. O przyjęciu w poczet członków decyduje Zarząd uchwałą.

11. Dane w przeglądarce

Aplikacja zapisuje w pamięci przeglądarki tylko to, co jest potrzebne do jej działania: wersję roboczą niewysłanej deklaracji, sesję logowania oraz kartę członkowską do wyświetlenia bez dostępu do internetu. Nie używamy plików cookie do celów reklamowych ani analitycznych. [DO WERYFIKACJI: czy hosting aplikacji zbiera statystyki odwiedzin]