Politica de confidențialitate

1. Cine răspunde pentru date

Pentru contul Glypiq, funcționarea platformei, securitate și spațiul personal, responsabilul prelucrării este operatorul platformei Glypiq, stabilit în România și contactabil la office@glypiq.com.

Când o sală, un studio sau un antrenor prelucrează datele tale pentru propriile servicii profesionale — de exemplu, executarea unui abonament, evaluarea antrenamentului ori obligațiile sale fiscale — acea persoană sau organizație poate fi operator separat. Identitatea sa este cea afișată în relația relevantă, iar obligațiile sale nu sunt transferate automat Glypiq.

Glypiq limitează accesul prin relații și acorduri de partajare. Când furnizăm funcționalități unei săli, unui studio ori unui antrenor pentru datele controlate de aceștia, acționăm numai în limitele scopului tehnic și ale instrucțiunilor configurate în platformă.

2. Categoriile de date prelucrate

Cont și identitate

nume, adresă de e-mail, rol, parolă protejată criptografic, stare de verificare, credențial public pentru passkey, preferințe de cont și, la înregistrare, confirmarea vârstei minime, versiunile termenilor și ale politicii acceptate și momentul acceptării.

Profil și date de fitness

data nașterii, sex biologic, înălțime, greutate, compoziție corporală, circumferințe, nivel de activitate, obiective și alte măsurători salvate.

Antrenament, stare și nutriție

planuri, exerciții, serii, repetări, efort perceput, performanță, mese, alimente, ținte, meniul săptămânii cu reglajele lui (cât gătești, gustări, meal prep, ce nu mănânci, bugetul și, dacă gătești și pentru alții, câte persoane sunt, dacă e adult sau copil și câte calorii mănâncă pe zi, fără nume, iar pentru cei din casă care au cont Glypiq și au acceptat invitația ta, numele și ținta lor de calorii pe zi), energie, somn, stres, disconfort, aderență, feedback și notițe.

Relații și activitate profesională

săli, studiouri, locații, afilieri, servicii, abonamente, invitații, clienți, programări, prezențe, acorduri de partajare și evidențe operaționale ori financiare fără date de card.

Locație

coordonatele locațiilor declarate și, când alegi o funcție de proximitate sau check-in, coordonatele dispozitivului, distanța și momentul validării.

Date tehnice și securitate

adresă IP, identificatori de sesiune, informații de bază despre browser și dispozitiv, momente de acces, rate limiting, jurnale de eroare și acțiuni sensibile.

Comunicări

cereri de suport, răspunsuri, mesajele schimbate în aplicație cu antrenorul ori cu clientul tău, notificări de cont și starea livrării e-mailurilor tranzacționale.

3. De unde provin datele

Primim date direct de la tine, din acțiunile realizate în platformă și de la persoanele ori organizațiile cu care accepți o relație. Un antrenor poate introduce un plan, feedback sau meniul săptămânii propus ție (ținta de calorii și proteine pe zi, cum gătești și ce lași deoparte, cu o notă), iar o sală sau un studio poate înregistra un serviciu, abonament ori acces, numai în limitele rolului său.

Unele rezultate despre alimente și localizare provin din surse publice terțe, precum Open Food Facts și OpenStreetMap Nominatim. Nu transformăm aceste surse în profiluri publicitare și nu primim de la ele date de card sau credențiale Glypiq.

4. Scopurile și temeiurile juridice

Furnizarea contului și a funcțiilor solicitate

executarea contractului, conform art. 6 alin. (1) lit. b) GDPR: autentificare, profil, relații, planuri, programări, jurnale, export și închidere.

Date privind sănătatea și condiția fizică

executarea funcției cerute și consimțământul explicit, conform art. 6 alin. (1) lit. b) și art. 9 alin. (2) lit. a) GDPR, atunci când datele dezvăluie informații despre sănătate.

Partajarea cu sala, studioul ori antrenorul ales

executarea solicitării tale și, pentru datele sensibile, consimțământul explicit materializat prin acordurile granulare pe categorii.

Securitate, prevenirea abuzului și apărarea drepturilor

interesul legitim, conform art. 6 alin. (1) lit. f) GDPR, evaluat față de drepturile tale: sesiuni, IP, limitarea cererilor, audit și investigarea incidentelor.

Obligații legale

art. 6 alin. (1) lit. c) GDPR, când trebuie să răspundem unei autorități, să gestionăm o cerere de drepturi ori să păstrăm o evidență cerută de lege.

E-mailuri tranzacționale

executarea contractului și securitatea contului pentru verificare, resetarea parolei, invitații ori notificări esențiale, inclusiv anunțul a ceea ce un antrenor, un client sau o sală a făcut și te privește: un mesaj nou, răspunsul la feedbackul tău, un program, un plan alimentar sau un meniu, o cerere de colaborare sau de afiliere și răspunsul la ea, o invitație acceptată, încheierea unei colaborări, un abonament activat, un loc primit de pe lista de așteptare a unei clase și o clasă anulată. Anunțul spune doar cine și ce, fără conținut, și îl poți opri din contul tău. Versiunea beta nu trimite marketing pe baza acestor date.

5. Date sensibile și retragerea consimțământului

Măsurătorile corporale, informațiile despre disconfort, stare, nutriție și performanță pot constitui date privind sănătatea. Le folosim numai pentru funcțiile activate de tine și pentru accesul pe care îl autorizezi. Nu le folosim pentru publicitate, stabilirea bonității, recrutare sau vânzare către brokeri de date.

Îți cerem acordul explicit o singură dată, printr-o bifă separată de termeni, în momentul în care salvezi prima măsurătoare, masă sau check-in. Fără acord nu salvăm aceste date; restul aplicației, inclusiv antrenamentele, funcționează normal. Păstrăm data acordului și versiunea textului acceptat. Retragi acordul din Profil, la «Datele de sănătate»; la retragere, măsurătorile, jurnalul alimentar și check-in-urile se șterg, iar antrenorii nu le mai văd.

Poți retrage consimțământul și poți revoca un acord de partajare în orice moment, fără a afecta legalitatea prelucrării anterioare. Retragerea poate dezactiva funcția dependentă de acele date. La cerere, ștergem sau restricționăm datele vizate în cel mult 30 de zile, exceptând informațiile pe care trebuie să le păstrăm ori care aparțin legitim evidenței separate a altei părți.

Contul se poate crea numai de persoane care confirmă că au cel puțin 16 ani. Nu colectăm cu bună știință date de la persoane mai tinere; dacă aflăm că un cont aparține unei astfel de persoane, îl închidem și ștergem datele.

Nu folosim imaginea biometrică sau amprenta ta. Dacă alegi passkey, verificarea biometrică, PIN-ul ori modelul de deblocare rămân la dispozitivul și furnizorul tău; Glypiq primește o credențială publică și informațiile tehnice necesare autentificării.

6. Cui îi pot fi divulgate datele

Nu vindem date personale. Nu furnizăm liste pentru marketing și nu permitem sălii, studioului ori antrenorului acces general la contul membrului. Revocarea oprește accesul viitor în Glypiq; o copie exportată sau o evidență păstrată legal de destinatar rămâne sub responsabilitatea acelui destinatar.

• Sălii, studioului ori antrenorului cu care ai o relație verificabilă, numai pentru categoriile pe care le-ai pornit tu și pe durata accesului. La acceptarea unei invitații, nicio categorie nu este pornită dinainte.
• Antrenorului ori clientului cu care colaborezi, mesajele pe care i le scrii în aplicație. Conversația o vedeți doar voi doi; nici sala, nici alt antrenor nu au acces la ea.
• Cuiva din casa ta care are cont Glypiq și te-a invitat în meniul casei, ținta ta de calorii pe zi, ca număr, numai dacă ai acceptat cu o bifă separată. Nu vede altceva. Oprești oricând din Partajare, iar legătura se oprește și când retragi acordul pentru datele de sănătate sau îți ștergi contul.
• Furnizorilor tehnici care găzduiesc, securizează sau livrează serviciul, în baza unor obligații contractuale de confidențialitate și protecție a datelor.
• Autorităților ori instanțelor, numai când divulgarea este impusă legal sau necesară pentru protejarea drepturilor și siguranței.
• Unui succesor al serviciului, dacă are loc o reorganizare, cu informare și menținerea protecțiilor aplicabile.

7. Furnizori, găzduire și transferuri internaționale

Cloudflare

rulează aplicația, baza de date și protecția de rețea. Datele pot fi prelucrate în infrastructura globală Cloudflare potrivit acordului său de prelucrare și clauzelor contractuale standard.

Resend

livrează e-mailurile tranzacționale și primește adresa, conținutul mesajului și metadatele tehnice de livrare, potrivit acordului său de prelucrare și clauzelor contractuale standard.

Open Food Facts

primește interogarea despre produs sau codul de bare pentru rezultatul alimentar; nu îi trimitem intenționat identitatea contului Glypiq. O dată la trei luni, serverul Glypiq citește din Open Prices prețurile publice ale alimentelor, fără nicio dată despre tine; la fel cursul euro de la BNR.

OpenStreetMap Nominatim

primește textul căutării geografice atunci când folosești funcția; coordonatele dispozitivului sunt folosite în Glypiq pentru proximitate ori validarea aleasă.

Când un furnizor prelucrează date în afara Spațiului Economic European, folosim un mecanism recunoscut de GDPR, precum o decizie de adecvare sau clauzele contractuale standard, împreună cu măsuri suplimentare când sunt necesare. Poți cere o descriere a garanțiilor prin e-mail.

8. Cât timp păstrăm datele

Cont și conținut activ

pe durata contului și a relațiilor active; după o cerere verificată de închidere, ștergerea ori anonimizarea operațională se face, de regulă, în cel mult 30 de zile.

Copii de siguranță

pot persista izolat până la 90 de zile și nu sunt restaurate pentru utilizare curentă decât în caz de recuperare legitimă.

Coordonate precise de check-in

de regulă cel mult 90 de zile; momentul, locația declarată și rezultatul operațional pot fi păstrate pe durata relației și a termenului necesar unei contestații.

Jurnale de securitate și IP

de regulă 90 de zile; urmele acțiunilor sensibile și ale acordurilor pot fi păstrate pe durata contului și până la 3 ani pentru demonstrarea accesului și apărarea drepturilor.

Mesaje între antrenor și client

pe durata colaborării și încă 12 luni după încheierea ei, doar pentru citire; se șterg odată cu contul oricăreia dintre cele două părți.

Liste de așteptare la clase

până la 30 de zile după clasă; locul primit de pe listă rămâne în programările tale ca orice rezervare.

Meniul casei

cât timp rămâi în meniul cuiva din casă; la oprire, ținta ta iese imediat din meniul lui. O invitație neacceptată se șterge când expiră, la 14 zile.

Invitații și suport

până la 12 luni de la închidere, dacă nu sunt necesare mai devreme pentru o relație activă ori șterse la cerere.

Evidențe contractuale

până la 3 ani de la încetarea raportului, când sunt necesare pentru constatarea, exercitarea ori apărarea unui drept. Evidențele fiscale vor fi păstrate conform termenului legal numai dacă vor fi activate plăți.

Termenele pot fi scurtate când datele nu mai sunt necesare sau prelungite limitat în cazul unui litigiu, incident ori obligații legale. La expirare, datele sunt șterse sau anonimizate astfel încât să nu mai identifice persoana.

9. Cum protejăm datele

Folosim conexiuni HTTPS, cookie-uri de sesiune HttpOnly și Secure în producție, parole protejate criptografic, verificarea e-mailului, opțiune passkey, control al accesului pe rol și relație, limitarea cererilor și jurnale pentru acțiuni sensibile. Furnizorii sunt aleși și configurați în funcție de rolul lor și de datele strict necesare.

Nicio măsură nu elimină complet riscul. Dacă un incident este susceptibil să creeze un risc pentru drepturile și libertățile tale, vom urma obligațiile de evaluare, notificare a autorității și informare a persoanelor afectate prevăzute de GDPR.

10. Drepturile tale

Trimite cererea la office@glypiq.com și indică suficient contul sau relația vizată. Putem solicita informații proporționale pentru verificarea identității. Răspundem fără întârzieri nejustificate și, de regulă, în cel mult o lună; termenul poate fi prelungit cu până la două luni pentru cereri complexe, cu informarea motivelor în prima lună.

Exercitarea drepturilor este gratuită, cu excepțiile limitate permise de GDPR pentru cereri vădit nefondate sau excesive. Nu vei fi sancționat pentru exercitarea unui drept.

• acces la date și la o copie a acestora;
• rectificarea datelor inexacte și completarea celor incomplete;
• ștergerea datelor în cazurile prevăzute de lege;
• restricționarea prelucrării;
• portabilitatea datelor furnizate, într-un format structurat, când se aplică;
• opoziția la prelucrarea bazată pe interes legitim;
• retragerea consimțământului în orice moment;
• depunerea unei plângeri la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.

11. Recomandări și decizii automate

Glypiq poate calcula obiective, progres, alerte ori recomandări deterministe din profilul și activitatea salvată. Aceste rezultate sprijină utilizatorul și nu produc efecte juridice ori efecte similare semnificative fără intervenția unei persoane.

Nu folosim datele tale pentru profilare publicitară și nu luăm automat decizii privind accesul la muncă, credit, asigurări ori servicii medicale.

12. Cookie-uri și stocare locală

Folosim cookie-uri strict necesare pentru autentificare și securitate. Versiunea descrisă de această politică nu folosește cookie-uri de analiză, publicitate sau marketing și, în consecință, nu afișează un banner de consimțământ pentru cookie-urile esențiale.

13. Modificări și contact

Actualizăm politica atunci când se schimbă datele, scopurile, furnizorii sau legea. Pentru o schimbare materială vom afișa o informare clară înainte ca aceasta să producă efecte și vom cere un nou consimțământ când temeiul juridic o impune.

Pentru orice întrebare privind confidențialitatea, retragerea consimțământului sau exercitarea drepturilor, scrie la office@glypiq.com.