Polityka prywatności Savali
Wersja 1.1 · obowiązuje od 6 października 2026 · ostatnia aktualizacja: 6 października 2026 (pliki cookies, Google Analytics i piksel Meta na savali.pl — pkt 8)
1. Kto odpowiada za Twoje dane
Platforma Savali (savali.app, savali.pl) jest prowadzona przez Tagata spółka z ograniczoną odpowiedzialnością z siedzibą w Rynarzewie (89-203 Rynarzewo), ul. Szubińska 31, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w Bydgoszczy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0001124384, NIP 5581885473, REGON 529518776, kapitał zakładowy 5 000,00 zł (dalej: „Operator”, „my”). Kontakt w sprawach danych osobowych: rodo@savali.pl.
Savali ma dwie role i ważne jest, którą pełni wobec Ciebie:
- Jesteś właścicielem lub pracownikiem studia — szkoły tańca, studia jogi, pole dance, klubu fitness, studia sztuk walki lub innej działalności prowadzącej zajęcia (konto Studia, Personel): Operator jest administratorem Twoich danych.
- Jesteś klientem studia (uczestnikiem zajęć, rodzicem, najemcą sali, nabywcą biletu): administratorem Twoich danych jest studio, w której się zapisałeś, a Operator jest podmiotem przetwarzającym działającym na jej zlecenie. W sprawach Twoich danych w pierwszej kolejności kontaktuj się ze studiem; jej dane znajdziesz na jej stronie w Savali. Operator jest jednak administratorem w zakresie opisanym w pkt 4.
2. Jakie dane przetwarzamy
Konto Studia i Personel: imię i nazwisko, adres e-mail, telefon, rola, dane firmy (nazwa, NIP, adres, rachunek bankowy do faktur), dane logowania (hasło w postaci skrótu, kody drugiego składnika), logi aktywności w panelu, dane rozliczeniowe za Plan (identyfikator klienta u operatora płatności; numer karty nie jest nam znany).
Klienci szkół (przetwarzane na zlecenie studia): imię i nazwisko, e-mail, telefon, rola na zajęciach, historia zapisów, obecności i karnetów, płatności i faktury (dane nabywcy, w tym NIP dla firm), zgody i ich wersje, dane opiekuna i dziecka (imię, data urodzenia) w przypadku osób niepełnoletnich, notatki instruktora, numer karty sportowej wyłącznie w postaci skrótu kryptograficznego i czterech ostatnich cyfr, treść wysłanych wiadomości, subskrypcje powiadomień push, adres IP i przeglądarka przy udzielaniu zgód.
Wszyscy użytkownicy: dane techniczne (adres IP, identyfikator sesji, typ urządzenia i przeglądarki, wersja aplikacji), pliki cookie i podobne technologie (pkt 8), zgłoszenia do wsparcia wraz z załączonymi zrzutami ekranu, dane błędów aplikacji (bez treści formularzy).
Nie przetwarzamy danych szczególnych kategorii (np. o zdrowiu). Jeśli studio zbiera takie informacje w notatkach, robi to na własną odpowiedzialność i jako administrator.
3. Po co i na jakiej podstawie — Operator jako administrator
| Cel | Podstawa prawna | Okres |
|---|---|---|
| Założenie i prowadzenie konta Studia, świadczenie usługi, wsparcie techniczne | wykonanie umowy (art. 6 ust. 1 lit. b RODO) | czas trwania umowy + 30 dni na eksport |
| Rozliczenia, faktury, obowiązki podatkowe | obowiązek prawny (art. 6 ust. 1 lit. c) | 5 lat od końca roku podatkowego |
| Bezpieczeństwo: logi, wykrywanie nadużyć, kopie zapasowe, drugi składnik logowania | prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | logi 12 miesięcy, kopie 90 dni |
| Informowanie o zmianach usługi, regulaminu, przerwach | wykonanie umowy | czas trwania umowy |
| Wiadomości marketingowe o Savali | zgoda (art. 6 ust. 1 lit. a) | do wycofania zgody |
| Dochodzenie i obrona roszczeń | prawnie uzasadniony interes | do przedawnienia roszczeń |
| Statystyki użycia Platformy (dane zagregowane, bez identyfikacji osób) | prawnie uzasadniony interes | bezterminowo w formie zagregowanej |
| Statystyki odwiedzin strony savali.pl (Google Analytics 4) | zgoda (art. 6 ust. 1 lit. a RODO w związku z art. 399 Prawa komunikacji elektronicznej) | do wycofania zgody; dane w Google Analytics najwyżej 14 miesięcy |
| Mierzenie skuteczności reklam Savali (piksel Meta na savali.pl) | zgoda (art. 6 ust. 1 lit. a RODO w związku z art. 399 Prawa komunikacji elektronicznej) | do wycofania zgody; plik _fbp 3 miesiące |
| Niezbędne pliki cookies (sesja, bezpieczeństwo, zapamiętanie wyboru zgody) | prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) | jak w tabeli w pkt 8 |
4. Operator jako administrator danych klientów szkół — w wąskim zakresie
Wobec klientów szkół Operator jest administratorem wyłącznie w zakresie:
- danych technicznych i bezpieczeństwa Platformy (logi, ochrona przed nadużyciami),
- zgłoszeń kierowanych bezpośrednio do Operatora,
- danych logowania do Platformy (konto działa niezależnie od tego, w ilu studioch jesteś klientem).
Podstawą jest prawnie uzasadniony interes Operatora w zapewnieniu bezpieczeństwa i działania usługi.
5. Operator jako podmiot przetwarzający
Dane klientów szkół przetwarzamy wyłącznie na udokumentowane polecenie studia, zgodnie z Umową powierzenia przetwarzania (załącznik do regulaminu). Nie wykorzystujemy tych danych do własnych celów, nie profilujemy klientów szkół i nie sprzedajemy danych. Po zakończeniu umowy ze studiem dane są usuwane lub anonimizowane w terminie 30 dni, z wyjątkiem danych, które studio lub Operator muszą przechowywać na podstawie przepisów (dokumenty księgowe).
6. Komu przekazujemy dane (podprocesorzy i odbiorcy)
Korzystamy z dostawców, którzy przetwarzają dane w naszym imieniu. Aktualna lista jest publikowana pod adresem savali.pl/podprocesorzy i obejmuje w szczególności:
| Dostawca | Cel | Lokalizacja danych |
|---|---|---|
| Supabase (baza danych, uwierzytelnianie, pliki) | przechowywanie danych Platformy | Unia Europejska (Frankfurt) |
| Vercel (hosting aplikacji) | serwowanie aplikacji | UE, z możliwym przetwarzaniem technicznym w USA na podstawie standardowych klauzul umownych |
| Upstash (pamięć podręczna, limity zapytań) | ochrona przed nadużyciami | UE |
| Resend (e-mail) | wysyłka wiadomości e-mail | UE/USA, standardowe klauzule umowne |
| SMSAPI (SMS) | wysyłka SMS | Polska |
| Cloudflare R2 | kopie zapasowe plików | UE |
| Stripe | płatności za Plan; płatności klientów szkół, jeśli studio korzysta ze Stripe | UE/USA, standardowe klauzule umowne |
| Przelewy24 (PayPro S.A.) | płatności klientów szkół, jeśli studio korzysta z P24 | Polska |
| Sentry | monitorowanie błędów aplikacji | UE |
| Google (logowanie Google, synchronizacja kalendarza — tylko po Twojej zgodzie) | uwierzytelnianie, kalendarz | UE/USA, standardowe klauzule umowne |
| Ministerstwo Finansów (KSeF) | faktury ustrukturyzowane, jeśli studio korzysta z KSeF | Polska |
| Google Ireland Ltd. (Google Analytics 4 — tylko savali.pl, tylko po zgodzie) | statystyki odwiedzin strony savali.pl | UE/USA, EU-US Data Privacy Framework |
| Meta Platforms Ireland Ltd. (piksel Meta — tylko savali.pl, tylko po zgodzie) | mierzenie skuteczności reklam Savali | UE/USA, EU-US Data Privacy Framework |
Ponadto dane mogą być ujawnione: operatorom kart sportowych (wyłącznie skrót numeru karty i data wejścia, na potrzeby rozliczenia studia z operatorem), organom publicznym na podstawie przepisów, doradcom prawnym i księgowym Operatora.
Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie do dostawców objętych decyzją Komisji Europejskiej o odpowiednim stopniu ochrony (w tym EU-US Data Privacy Framework) lub na podstawie standardowych klauzul umownych.
7. Twoje prawa
Masz prawo do: dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, wycofania zgody w dowolnym momencie (bez wpływu na zgodność z prawem wcześniejszego przetwarzania) oraz wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
Jak z nich skorzystać:
- Klient studia: w aplikacji, w zakładce Prywatność, możesz pobrać kopię swoich danych i złożyć wniosek o usunięcie; wniosek trafia do studia jako administratora, a Operator wykonuje go w jej imieniu. Możesz też napisać bezpośrednio do studia.
- Studio i Personel: w panelu (Ustawienia → Prywatność) lub na adres rodo@savali.pl.
Odpowiadamy w terminie 30 dni. Eksport danych jest przygotowywany automatycznie i dostępny do pobrania przez 24 godziny.
8. Pliki cookies i podobne technologie
Pliki cookies to małe pliki zapisywane w Twojej przeglądarce; podobnie działa pamięć przeglądarki (localStorage, sessionStorage, IndexedDB). Savali działa pod dwoma adresami i każdy z nich używa ich inaczej:
- savali.app (aplikacja) — wyłącznie pliki niezbędne: sesja logowania, bezpieczeństwo i zapamiętanie ustawień. Nie ma tam narzędzi analitycznych ani marketingowych, dlatego aplikacja nie wyświetla baneru zgody.
- savali.pl (strona informacyjna, w tym /start, /cennik, /help i dokumenty prawne) — pliki niezbędne oraz, wyłącznie po Twojej zgodzie, pliki analityczne (Google Analytics 4) i marketingowe (piksel Meta). Przy pierwszej wizycie pytamy o zgodę w banerze. Do czasu wyboru, a także po odmowie, żadne z tych narzędzi się nie ładuje i nie wysyła żadnych danych.
| Nazwa | Dostawca | Cel | Kategoria | Czas przechowywania |
|---|---|---|---|---|
| sb-* (savali.app) | Savali (uwierzytelnianie Supabase) | sesja logowania | niezbędne | do wylogowania, maks. 7 dni bez aktywności |
| dh_layout (savali.app) | Savali | wybór układu (komputer / telefon) | niezbędne | 12 miesięcy |
| savali-locale (savali.app) | Savali | wybrany język aplikacji | niezbędne | 12 miesięcy |
| dh_hook_warned, dh_impersonated (savali.app) | Savali | bezpieczeństwo: ostrzeżenie o niepełnej konfiguracji sesji, oznaczenie podglądu konta przez wsparcie | niezbędne | do zamknięcia przeglądarki / 8 godzin |
| savali:started (sessionStorage, savali.app) | Savali | jednorazowe wyświetlenie animacji startowej | niezbędne | do zamknięcia karty |
| pamięć aplikacji (IndexedDB, Cache Storage, savali.app) | Savali | praca bez sieci: lista obecności, ostatni kod QR, zasoby aplikacji | niezbędne | do wyczyszczenia danych aplikacji |
| savali_consent (savali.pl) | Savali | zapamiętanie Twojego wyboru: zgody w kategoriach, wersja listy narzędzi, data | niezbędne | 12 miesięcy |
| _ga (savali.pl) | Google Ireland Ltd. (Google Analytics 4) | rozróżnianie odwiedzających w statystykach strony | analityczne | 2 lata |
| ga* (savali.pl) | Google Ireland Ltd. (Google Analytics 4) | utrzymanie sesji odwiedzin w statystykach | analityczne | 2 lata |
| _fbp (savali.pl) | Meta Platforms Ireland Ltd. (piksel Meta) | rozpoznanie przeglądarki przy mierzeniu skuteczności reklam Savali | marketingowe | 3 miesiące |
Podstawy prawne. Pliki niezbędne stosujemy na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO) — bez nich strona i aplikacja nie mogą działać ani być bezpieczne; art. 399 Prawa komunikacji elektronicznej nie wymaga zgody na przechowywanie informacji niezbędne do świadczenia usługi, o którą prosisz. Pliki analityczne i marketingowe stosujemy wyłącznie na podstawie Twojej zgody (art. 6 ust. 1 lit. a RODO w związku z art. 399 Prawa komunikacji elektronicznej).
Niezależnie od zgody savali.pl może liczyć odsłony narzędziem Vercel Web Analytics, które nie zapisuje plików cookies ani nie identyfikuje osób (zagregowane statystyki, prawnie uzasadniony interes).
Jak skonfigurowaliśmy narzędzia. Google Analytics 4 działa w trybie zgody (Consent Mode v2): dopóki się nie zgodzisz, skrypt Google nie jest nawet pobierany. Adres IP nie jest zapisywany w Google Analytics, a Google Signals i personalizacja reklam są wyłączone. Piksel Meta działa bez rozszerzonego dopasowania (Advanced Matching) — nie przekazujemy Meta adresów e-mail, numerów telefonów ani treści formularzy. Liczymy wyłącznie: odsłony stron, rozpoczęcie i zakończenie zakładania konta studia oraz kliknięcia przycisków na stronie.
Odbiorcy i przekazanie poza EOG. Odbiorcami danych z plików analitycznych i marketingowych są Google Ireland Ltd. (Gordon House, Barrow Street, Dublin 4, Irlandia) oraz Meta Platforms Ireland Ltd. (Merrion Road, Dublin 4, Irlandia). Dane mogą być przekazywane do spółek dominujących w USA (Google LLC, Meta Platforms, Inc.) na podstawie decyzji Komisji Europejskiej w sprawie EU-US Data Privacy Framework — obie spółki są w nim certyfikowane. Meta jest dla danych z piksela współadministratorem w zakresie ich zbierania i przekazania (art. 26 RODO); dalsze przetwarzanie przez Meta opisuje polityka prywatności Meta.
Jak zmienić lub wycofać zgodę. Na każdej stronie savali.pl w stopce jest przycisk „Ustawienia cookies”. Otwiera on ustawienia, w których możesz włączyć lub wyłączyć każdą kategorię albo odrzucić wszystkie. Wycofanie zgody usuwa pliki _ga, ga* i _fbp z przeglądarki i zatrzymuje ładowanie narzędzi; nie wpływa na zgodność z prawem przetwarzania sprzed wycofania. Możesz też usunąć pliki cookies w ustawieniach przeglądarki — wtedy przy następnej wizycie zapytamy ponownie. Zgodę zapamiętujemy na 12 miesięcy; po tym czasie albo gdy zmieni się lista narzędzi, pytamy jeszcze raz.
9. Bezpieczeństwo
Stosujemy m.in.: szyfrowanie transmisji (TLS) i danych w spoczynku, izolację danych każdej studia na poziomie bazy danych (Row Level Security), drugi składnik logowania dla kont z dostępem do płatności i ustawień, rotowane kody QR ważne 60 sekund, przechowywanie kluczy integracji w sejfie kluczy, dzienniki zdarzeń, codzienne kopie zapasowe z możliwością odtworzenia do punktu w czasie, regularne audyty uprawnień i testy bezpieczeństwa. Numery kart płatniczych nigdy nie trafiają do Platformy — obsługują je operatorzy płatności.
W razie naruszenia ochrony danych powiadamiamy studio (jako administratora) bez zbędnej zwłoki, nie później niż w 48 godzin od stwierdzenia naruszenia, a organ nadzorczy i osoby, których dane dotyczą — zgodnie z art. 33 i 34 RODO.
10. Osoby niepełnoletnie
Dane dziecka są wprowadzane przez rodzica lub opiekuna prawnego w ramach jego konta i wymagają jego zgody, której wersję, datę, adres IP i przeglądarkę rejestrujemy. Dziecko nie posiada własnego loginu. Studio jest odpowiedzialna za weryfikację, że osoba wyrażająca zgodę jest opiekunem.
11. Zautomatyzowane decyzje i profilowanie
Platforma automatycznie: przydziela miejsca i kolejkę według kolejności zgłoszeń i balansu par, wygasza karnety po terminie, wysyła przypomnienia i oznacza nieobecności według polityki studia. Są to działania wynikające z regulaminu studia i umowy, nie wywołują skutków prawnych w rozumieniu art. 22 RODO, a każdą z nich pracownik studia może ręcznie skorygować. Nie prowadzimy profilowania marketingowego.
12. Zmiany polityki
O zmianach informujemy w panelu i pocztą elektroniczną z 14-dniowym wyprzedzeniem. Archiwalne wersje są dostępne pod adresem savali.pl/prywatnosc/archiwum.