1. Cine prelucrează datele
Ritm24 este denumirea comercială a serviciului disponibil la ritm24.app și subdomeniile sale. Pentru datele de cont, securitatea platformei și mesajele trimise prin formular, operatorul serviciului Ritm24 stabilește scopurile descrise în această politică.
Punct de contact pentru protecția datelor: [email protected], Oradea, Bihor, România.
Pentru datele despre elev pe care un antrenor independent le introduce sau le solicită în cadrul activității sale profesionale, antrenorul stabilește de regulă scopul și mijloacele esențiale ale prelucrării, iar Ritm24 furnizează prelucrarea tehnică în numele acestuia. În informarea afișată odată cu invitația, antrenorul este identificat ca operator pentru relația sa profesională cu elevul, iar Ritm24 ca furnizor tehnic. Rolurile exacte pot depinde de relația concretă și de legea aplicabilă.
2. Ce date prelucrăm
- Date de cont: nume, email, telefon opțional, parola transformată criptografic, tipul inițial de cont și datele acceptării documentelor juridice.
- Date despre activitatea antrenorului: denumirea afacerii, fus orar, monedă, setări, elevi, programări, prezențe, pachete, încasări declarate, planuri, note și istoric de audit.
- Date pentru acordul antrenor–elev: identitatea profesională și datele de contact declarate de antrenor, termenii serviciului, politica de anulare, condițiile comerciale disponibile, copia documentului oferit, versiunile și amprenta sa criptografică.
- Date despre elev: nume, date de contact, program, prezențe, pachet, plăți declarate, planuri publicate și relația cu antrenorul.
- Date din modul Solo: planurile personale și exercițiile selectate, antrenamentele finalizate, activitățile, durata, distanța, efortul, notele și fotografiile meselor încărcate în jurnalul privat.
- Dovada acceptării invitației: declarația 18+, confirmarea acordului, declarația medicală pe proprie răspundere, confirmarea citirii informării de confidențialitate, consimțământul explicit pentru date de sănătate, solicitarea opțională de începere imediată, numele introdus ca semnătură, data și ora, IP-ul și user-agent-ul.
- Jurnal alimentar foto: fotografiile meselor încărcate de elev, denumirea mesei, data și ora declarate, nota elevului și feedbackul antrenorului; dacă există un plan publicat și elevul alege asocierea, păstrăm și versiunea, ziua, masa și starea declarată de respectare a planului.
- Centru de progres: data și sursa înregistrării, greutate, procent de grăsime corporală, circumferințe, note opționale și fotografii de progres din unghiurile alese de elev. Înaintea încărcării fotografiilor, elevul confirmă explicit că dorește să le partajeze cu antrenorul din relația selectată.
- Check-in săptămânal: valori declarate de elev despre energie, recuperare, consecvență, stres, disconfort, ore de somn și greutate, plus note opționale și feedbackul antrenorului.
- Date cu caracter special: răspunsurile din anamneză și orice informații privind sănătatea pe care elevul alege să le transmită, inclusiv prin check-in sau note. Răspunsurile anamnezei sunt criptate la stocare; marcajele tehnice de siguranță nu conțin răspunsurile complete.
- Date tehnice și de securitate: adresă IP, user-agent, identificatori publici, evenimente de audit, jurnal de erori și cookie-ul de sesiune.
- Date pentru notificări push opționale: identificatorul public opac al contului, aplicația folosită, preferințele de notificare, abonamentul tehnic al browserului și starea livrării. Conținutul trimis pe ecranul blocat este generic și nu include răspunsuri de anamneză, motivele absenței, fotografii, note private sau detalii medicale.
- Date de contact: nume, email, subiect, mesaj, IP și user-agent pentru solicitările trimise prin formular.
Nu solicităm și nu stocăm numărul complet al cardului, codul CVV sau acreditări de internet banking. Metoda „card” din evidența încasărilor este doar o etichetă introdusă de antrenor după o plată externă.
3. De unde provin datele
Datele provin direct de la utilizatorul care creează contul sau completează un formular, de la elevul care își compune planul ori își completează jurnalul Solo, de la antrenorul care configurează și administrează relația de antrenament și de la elevul adult care citește și acceptă invitația, completează anamneza sau check-in-ul, adaugă măsurători ori încarcă o fotografie. Datele tehnice sunt generate automat când sunt folosite site-ul, API-ul și aplicațiile.
4. Scopuri și temeiuri
| Scop | Date | Temei utilizat |
|---|---|---|
| Crearea contului, autentificare și furnizarea funcțiilor | Date de cont și date operaționale | Executarea acordului de utilizare |
| Furnizarea modului Solo | Planuri personale, antrenamente, activități, note și fotografii ale meselor | Executarea acordului de utilizare la cererea elevului |
| Formarea și dovedirea acordului dintre antrenor și elev | Copia documentului, identitatea părților, opțiunile confirmate, semnătura introdusă, data, IP-ul, user-agent-ul și amprenta criptografică | Demersuri precontractuale și executarea contractului; obligații legale și interes legitim pentru dovadă și apărarea drepturilor, după caz |
| Informarea elevului despre prelucrarea realizată de antrenor | Versiunea informării și confirmarea citirii | Îndeplinirea obligației de informare; confirmarea citirii nu este un consimțământ general |
| Prelucrarea datelor privind sănătatea în relația de antrenament | Consimțământul separat și datele de sănătate furnizate ulterior | Consimțământ explicit conform art. 9 alin. (2) lit. (a) RGPD, până la retragerea pentru viitor; antrenorul trebuie să stabilească și temeiul art. 6 aplicabil |
| Jurnal alimentar și feedback în relația elev–antrenor | Fotografia și denumirea mesei, context opțional din plan, note și feedback | Executarea acordului de utilizare și prelucrare tehnică potrivit instrucțiunilor antrenorului |
| Urmărirea progresului în relația elev–antrenor | Măsurători, fotografii de progres, note, sursă și dată | Executarea acordului de utilizare și prelucrare tehnică potrivit instrucțiunilor antrenorului; pentru date speciale, temeiul stabilit de antrenor conform art. 6 și 9 RGPD |
| Check-in săptămânal și feedback | Răspunsurile declarate, note, stare de revizuire și feedback | Executarea acordului de utilizare și, când răspunsul include date speciale, temeiul stabilit de antrenor conform art. 6 și 9 RGPD |
| Securitate, prevenirea abuzului, separarea conturilor și audit | IP, sesiune, evenimente și identificatori | Interes legitim și protejarea serviciului |
| Răspuns la întrebări și suport | Datele din formularul de contact | Demersuri solicitate de persoană și interes legitim |
| Obligații legale și apărarea drepturilor | Date strict necesare cazului | Obligație legală sau interes legitim |
| Anamneză și informații despre sănătate | Răspunsuri furnizate de elev | Consimțământul explicit documentat în invitație și temeiul art. 6 stabilit de antrenor; prelucrare tehnică sub instrucțiuni |
| Notificări push solicitate de utilizator | Identificator public, preferințe, abonament tehnic și stare de livrare | Consimțământ explicit, care poate fi retras oricând din aplicație |
Acceptarea Termenilor nu este folosită ca un consimțământ generic pentru orice prelucrare. Atunci când legea cere un consimțământ separat, acesta trebuie solicitat specific și poate fi retras pentru viitor.
5. Cine poate primi datele
- utilizatorul autentificat și, în limitele relației create, antrenorul sau elevul autorizat; datele din modul Solo nu sunt afișate antrenorilor și nu sunt transferate automat într-o relație de coaching;
- personalul și colaboratorii care au nevoie de acces pentru operare, securitate ori suport și au obligații de confidențialitate;
- furnizorii de infrastructură, copii de siguranță și email tranzacțional, inclusiv Brevo atunci când livrarea SMTP este activă;
- OneSignal, numai după activarea notificărilor de către utilizator, pentru asocierea dispozitivului cu identificatorul public opac și livrarea mesajelor push în aplicația pentru antrenor sau elev;
- autorități publice, instanțe sau consultanți, numai când legea ori apărarea unui drept impune acest lucru.
Nu vindem date personale și nu le folosim pentru publicitate comportamentală. Dacă un furnizor prelucrează date în afara Spațiului Economic European, vom utiliza un mecanism legal aplicabil și garanții adecvate.
6. Cât timp păstrăm datele
- Datele contului și ale activității sunt păstrate cât timp contul este activ și ulterior numai atât cât este necesar pentru închiderea serviciului, copii de siguranță cu ciclu limitat, obligații legale, securitate sau apărarea drepturilor.
- Ofertele și acordurile acceptate sunt păstrate ca versiuni nemodificabile împreună cu dovada acceptării, atât cât este necesar executării relației, respectării obligațiilor legale și soluționării unor pretenții. O modificare ulterioară a datelor antrenorului nu rescrie copia acceptată.
- O fotografie din jurnal sau o înregistrare proprie de progres ștearsă de elev devine imediat indisponibilă în aplicații și este eliminată din spațiul activ de stocare. Copiile tehnice de siguranță, dacă există, dispar pe măsura suprascrierii ciclului limitat de backup.
- Un plan Solo care nu are antrenamente asociate poate fi șters. Dacă a fost folosit, este arhivat pentru ca istoricul jurnalului să rămână inteligibil; elevul poate solicita ulterior ștergerea sau exportul contului.
- Mesajele din formularul de contact sunt păstrate cel mult 12 luni, exceptând situațiile în care solicitarea impune o perioadă mai lungă sau există o obligație legală.
- Tokenurile de resetare a parolei expiră după 30 de minute și nu mai pot fi folosite după resetare.
- Jurnalele și evenimentele de audit sunt păstrate în funcție de necesitatea de securitate, trasabilitate și obligațiile profesionale aplicabile contului.
- Preferințele și istoricul tehnic de livrare push sunt păstrate cât timp contul este activ ori cât este necesar pentru depanare și prevenirea duplicatelor. Abonamentul dispozitivului poate fi dezactivat din aplicație și dispare și la ștergerea datelor site-ului din browser, conform mecanismelor browserului și furnizorului.
La o cerere de închidere verificăm și obligațiile antrenorului privind datele elevilor. Ștergerea din copiile de siguranță se produce pe măsura suprascrierii ciclului tehnic, iar datele nu sunt readuse în uz curent.
7. Măsuri de securitate
Folosim conexiuni HTTPS pentru domeniile publice, cookie de sesiune HttpOnly și Secure, parole transformate cu scrypt, control al accesului pe cont și proprietar, identificatori publici opaci, validarea originii cererilor, jurnal de audit și criptare AES-256-GCM pentru răspunsurile din anamneză. Fotografiile relației de coaching sunt accesibile numai elevului și antrenorului autorizat, iar fotografiile Solo numai elevului proprietar. La încărcare, imaginile sunt orientate automat, reduse la maximum 1600 × 1600 px, curățate de metadate și convertite în WebP, fără păstrarea originalului. Containerele de aplicație rulează cu drepturi limitate și sistem de fișiere numai în citire acolo unde este posibil.
Ritm24 nu ia decizii medicale automate și nu deduce diagnostice din check-in-uri, măsurători sau fotografii. Marcajul „Necesită atenție” ordonează informațiile declarate după reguli transparente, pentru revizuirea umană de către antrenor.
Nicio măsură nu elimină complet riscul. Utilizatorii trebuie să folosească parole unice, să își protejeze dispozitivele și să se deconecteze de pe dispozitive partajate.
8. Drepturile persoanei vizate
În condițiile RGPD poți solicita accesul la date, rectificarea, ștergerea, restricționarea, portabilitatea, opoziția la anumite prelucrări și retragerea unui consimțământ pentru viitor. Cererile de export sau ștergere pot fi înregistrate din profilul autentificat; pentru celelalte drepturi ne poți scrie la [email protected]. Putem cere informații suplimentare strict pentru verificarea identității.
Consimțământul explicit pentru date privind sănătatea poate fi retras pentru viitor printr-o cerere către antrenorul care este operator în relația profesională sau la adresa noastră de contact, caz în care o transmitem și sprijinim soluționarea. Retragerea nu afectează legalitatea prelucrării anterioare și poate face indisponibile funcțiile care au nevoie de date de sănătate.
Dacă solicitarea privește datele administrate profesional de antrenor, o putem transmite antrenorului sau putem colabora cu acesta pentru răspuns. Ai dreptul să depui plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal și să te adresezi instanței competente.
9. Serviciu destinat exclusiv adulților
Ritm24 nu acceptă utilizatori elevi minori și nu oferă un mecanism de acord parental sau reprezentare legală. Acceptarea invitației cere declarația expresă că elevul are cel puțin 18 ani, iar o dată de naștere disponibilă care indică o vârstă mai mică blochează fluxul. Dacă aflăm că au fost introduse datele unui minor, accesul este restricționat și datele sunt analizate pentru ștergere ori pentru păstrarea strict impusă de lege.
10. Cookie-uri și stocare locală
În prezent nu folosim cookie-uri de analiză, profilare sau publicitate. Folosim numai mecanisme necesare autentificării și funcțiilor solicitate:
| Nume / mecanism | Scop | Durată |
|---|---|---|
ritm_session (cookie) | Menține autentificarea pe domeniile Ritm24; este HttpOnly, Secure și SameSite=Lax. | 30 de zile sau până la deconectare |
ritm_rel (localStorage) | Reține relația elev–antrenor selectată în aplicația elevului. | Până la deconectare ori ștergerea datelor browserului |
ritm_participant_mode (localStorage) | Reține dacă elevul a ales modul Solo sau spațiul unui antrenor; nu conține date din jurnal. | Până la schimbarea modului, deconectare ori ștergerea datelor browserului |
ritm_cookie_notice_v1 (localStorage) | Reține faptul că informarea despre cookie-uri a fost închisă. | Până la ștergerea datelor browserului |
ritm24_push_consent_trainer / ritm24_push_consent_participant (localStorage) | Reține alegerea explicită de a inițializa notificările în aplicația respectivă. | Până la oprirea notificărilor sau ștergerea datelor browserului |
| Stocare OneSignal și abonament Web Push | Asociază browserul cu identificatorul public opac al contului și permite livrarea notificărilor solicitate. Nu este inițializată înaintea activării din aplicație. | Până la dezactivare ori ștergerea datelor site-ului, sub rezerva perioadelor tehnice ale furnizorului |
| Cache Storage PWA | Păstrează resursele aplicației și, pentru elev, copii limitate ale informațiilor publicate disponibile offline. Fotografiile, măsurătorile, check-in-urile și răspunsurile jurnalului alimentar nu sunt incluse în acest cache offline. | Până la actualizare, deconectare sau ștergerea datelor browserului |
Mecanismele de autentificare și funcționare sunt strict necesare. OneSignal este opțional și se inițializează numai după apăsarea acțiunii „Activează notificările”; oprirea din aplicație retrage alegerea pentru viitor. Bara de informare are rol explicativ, nu solicită acord pentru urmărire. Nu folosim aceste mecanisme pentru analiză sau publicitate comportamentală.
11. Modificări și contact
Actualizăm politica atunci când se schimbă funcțiile, furnizorii sau obligațiile legale. Versiunea și data sunt afișate la început. Pentru o schimbare importantă vom informa utilizatorii prin aplicație, email sau o solicitare de confirmare, după caz.
Întrebări și cereri: [email protected], Oradea, Bihor, România.