Polityka prywatności

Wersja 1.1 — 12 września 2026 · poprzednia: v1.0, 3 lipca 2026

Cordada to aplikacja wspinaczkowa na iPhone'a i iPada: wspólny przewodnik po rejonach i drogach, dziennik przejść, prognoza warunków, funkcje społecznościowe i narzędzia treningowe. Ta polityka wyjaśnia bez owijania w bawełnę, jakie dane przetwarzamy, po co i jaką masz nad nimi kontrolę. Obejmuje aplikację, a także stronę cordada.eu: to, co dotyczy strony, a jest tego znacznie mniej, znajdziesz na końcu, w punkcie 13.

Podsumowanie w 30 sekund

Bez reklam i bez śledzenia. Aplikacja nie zawiera żadnego SDK śledzącego. Strona korzysta z jednego pomiaru oglądalności, bez ciasteczek i bez profilowania, opisanego w punkcie 13. Nie sprzedajemy ani nie przekazujemy nikomu twoich danych.
To ty decydujesz, co widać. Przejścia i zdjęcia mają trzy poziomy: prywatne, dla znajomych albo publiczne. Dzielenie się pozycją ze znajomymi jest opcjonalne i włącza się osobno dla każdego znajomego.
Twoje dane o zdrowiu nie opuszczają iPhone'a. Tętno i pozostałe odczyty z Apple Zdrowie przetwarzamy wyłącznie na twoim urządzeniu. Tak samo filmy, które analizujesz.
Pełna kontrola z poziomu aplikacji: wszystkie swoje dane możesz wyeksportować (JSON), a konto wraz z całą zawartością usunąć w zakładce Profil, bez pisania do nas maila.

1. Administrator danych

Administratorem twoich danych jest Pawel Kadziolka, twórca aplikacji Cordada (Hiszpania).

Kontakt w każdej sprawie dotyczącej prywatności: privacidad@cordada.eu

2. Jakie dane przetwarzamy i po co

Kategoria	Dane	Po co	Podstawa prawna (RODO)
Konto	Adres e-mail i hasło (przechowywane jako hash, nigdy otwartym tekstem) albo identyfikator «Zaloguj się przez Apple» (jeśli zdecydujesz się ukryć swój adres, Apple daje nam adres przekaźnikowy).	Założenie konta, zalogowanie cię i ochrona konta.	Wykonanie umowy (art. 6.1.b)
Profil publiczny	Nazwa użytkownika, nazwa wyświetlana, opis, zdjęcie profilowe oraz, jeśli je dodasz, linki do serwisów (Instagram, YouTube, TikTok, Strava, 8a.nu, theCrag, własna strona).	Twoja tożsamość w społeczności. Widoczne dla innych użytkowników.	Wykonanie umowy (art. 6.1.b)
Profil prywatny (opcjonalny)	Wzrost, waga, rozpiętość ramion, data urodzenia lub wiek, płeć biologiczna.	Kalibracja analizy biomechanicznej wideo i funkcji treningowych (rzeczywista skala szkieletu, strefy tętna). Nie pokazujemy ich innym użytkownikom. Są całkowicie opcjonalne: bez nich aplikacja liczy na średnich wartościach.	Zgoda (art. 6.1.a) — wpisujesz je sam i możesz je skasować, kiedy chcesz
Dziennik (logbook)	Twoje przejścia: droga, data, styl, wycena, liczba prób, notatki, ocena; opcjonalnie miejsce, w którym zapisałeś przejście.	Twoja historia wspinania, piramida wycen oraz — zależnie od wybranej prywatności — tablica aktywności i kalendarz sezonu każdego rejonu.	Wykonanie umowy (art. 6.1.b)
Lokalizacja	Pozycja urządzenia, tylko przy włączonej aplikacji («podczas używania»).	(a) Wyśrodkowanie mapy i pokazanie ci pobliskich sektorów — tę pozycję przetwarzamy na twoim urządzeniu i nie zapisujemy jej na naszych serwerach. (b) «Mój zespół», jeśli to włączysz: zapisujemy twoją ostatnią pozycję, żeby pokazać ją wyłącznie tym znajomym, których sam wskażesz, jednemu po drugim; aktualizuje się tylko przy otwartej aplikacji i możesz to wyłączyć, kiedy zechcesz. (c) Anonimowa frekwencja, włączona domyślnie i możliwa do wyłączenia w Ustawieniach → «Mój zespół»: kiedy jesteś blisko rejonu wspinaczkowego (mniej niż 1,5 km), zapisujemy wyłącznie zbiorczy, anonimowy licznik dla danego rejonu — nigdy twojej tożsamości, imienia ani dokładnej pozycji. Mapa frekwencji pokazuje rejon dopiero wtedy, gdy są w nim co najmniej 2 osoby naraz, więc nigdy nie zdradzi kogoś, kto jest sam. Sygnał wygasa sam po 90 minutach bez aktywności, a jeśli wyłączysz tę opcję, twoja obecność znika natychmiast z naszych serwerów.	Zgoda (art. 6.1.a)
Zdjęcia	Obrazy, które wgrywasz: zdjęcia dróg i sektorów, topo, twój awatar oraz zdjęcia wysyłane na czatach.	Pokazywanie ich zgodnie z poziomem prywatności, który wybierzesz przy wgrywaniu (prywatne / dla znajomych / publiczne).	Wykonanie umowy (art. 6.1.b)
Społeczność	Znajomości i zaproszenia, wspólne wyjścia z tablicy, które tworzysz albo na które się zapisujesz, wiadomości na czatach wyjść i w Cordada Match, kudosy, oznaczenia na zdjęciach (tylko między znajomymi; możesz zdjąć oznaczenie, które ktoś ci dodał).	Żeby funkcje społecznościowe w ogóle działały.	Wykonanie umowy (art. 6.1.b)
Powiadomienia	Token powiadomień push twojego urządzenia (APNs od Apple).	Informowanie cię o zaproszeniach do znajomych, wiadomościach i ważnej aktywności. Tylko jeśli zgodzisz się na powiadomienia.	Zgoda (art. 6.1.a)
Wkład do katalogu	Rejony, sektory, drogi i poprawki, które proponujesz; twoje głosy na propozycje innych.	Utrzymanie i ulepszanie wspólnego przewodnika.	Wykonanie umowy (art. 6.1.b)
Ścieżki dojścia	Ślad GPS drogi, którą nagrywasz aż pod ścianę: punkty trasy, dystans, czas, sektor i data.	Wspólne budowanie mapy dojść. Jeśli oznaczysz ślad jako publiczny, zlewa się on ze śladami innych, żeby narysować ścieżkę do tego sektora: publikujemy wspólną ścieżkę, a nie twoją trasę z twoim nazwiskiem. Możesz zostawić ją prywatną albo skasować.	Zgoda (art. 6.1.a) — nagrywasz ją sam, za każdym razem
Zaufanie w asekuracji	Rekomendacje, które dajesz i dostajesz: kto kogo poleca oraz etykiety mówiące, jak ta osoba asekuruje.	Żeby w twoim profilu było widać, że ktoś ręczy za twoją asekurację. Są tylko pozytywne, nie ma ocen ani rankingu, a polecić cię mogą wyłącznie znajomi albo ktoś, z kim byłeś umówiony na wspólne wyjście.	Zgoda (art. 6.1.a) — możesz wycofać rekomendację, którą dałeś
Wyposażający drogi	Jeśli prosisz o rolę osoby wyposażającej drogi w danym rejonie: rejon, to, co dołączysz jako potwierdzenie, i twoja notka o roli. A także zgłoszenia stanu sektora, które wysyłasz, wraz z ich kategorią, wagą i komentarzem.	Potwierdzenie, kto wyposaża dany rejon, i ostrzeganie o rzeczywistym stanie wyposażenia. Wniosek sprawdza administrator.	Zgoda (art. 6.1.a) dla wniosku; prawnie uzasadniony interes (art. 6.1.f) w bezpieczeństwie wspinających się, dla zgłoszeń
Ścianki wspinaczkowe	Ścianka, na którą się zapisujesz, i data, a także wiadomości, które piszesz w jej pokoju.	Żeby inni zapisani widzieli, że się wybierasz, i żebyście mogli do siebie napisać. Widoczne dla osób zapisanych na tę ściankę.	Zgoda (art. 6.1.a) — zapisujesz się i wypisujesz sam
Odznaki i postępy	Odznaki, które odblokowujesz, oraz liczba sektorów i regionów, w których się wspinałeś.	Pokazywanie twoich postępów w profilu. Liczymy je z twojego dziennika.	Wykonanie umowy (art. 6.1.b)
Moderacja	Zgłoszenia treści lub użytkowników, które wysyłasz; twoja lista zablokowanych użytkowników.	Sprawdzanie nieodpowiednich treści i utrzymanie bezpiecznej społeczności. Kolejkę zgłoszeń widzą tylko administratorzy.	Prawnie uzasadniony interes (art. 6.1.f): bezpieczeństwo serwisu

3. Dane, które nigdy nie opuszczają twojego urządzenia

Te kategorie przetwarzamy i przechowujemy wyłącznie na twoim iPhonie lub iPadzie. Nie trafiają na nasze serwery:

Apple Zdrowie (HealthKit): aplikacja ma wyłącznie uprawnienia do odczytu (tętno, skład ciała, podstawowe cechy). Te odczyty wykorzystujemy na twoim urządzeniu i nigdzie ich nie wysyłamy. Jeden wyjątek, pod twoją kontrolą: jeśli na to pozwolisz, aplikacja może automatycznie uzupełnić twoją datę urodzenia i płeć biologiczną w profilu prywatnym (punkt 2), który możesz edytować albo skasować w każdej chwili.
Filmy i analiza biomechaniczna (sekcja Beta): filmy, które nagrywasz albo importujesz, analizujemy w całości na urządzeniu, technologią Apple. Ani filmy, ani wyliczone z nich wskaźniki nie trafiają na żaden serwer.
Dziennik treningu: zwisy, podciągnięcia, ukończone sesje, RPE i wygenerowane plany zapisują się lokalnie.

Te dane znikają przy odinstalowaniu aplikacji (dane z Apple Zdrowie zostają w Apple Zdrowie, pod twoją kontrolą i kontrolą Apple).

4. Czego NIE robimy

W aplikacji nie używamy żadnego narzędzia analitycznego ani żadnego SDK śledzącego. Na stronie używamy tylko Cloudflare Web Analytics, bez ciasteczek i bez trwałych identyfikatorów: patrz punkt 13.
Nie wyświetlamy reklam i nie dzielimy się danymi z reklamodawcami.
Nie sprzedajemy ani nie wynajmujemy twoich danych. Nikomu, nigdy.
Nie podejmujemy wobec ciebie zautomatyzowanych decyzji wywołujących skutki prawne (art. 22 RODO). Oceny i podpowiedzi w aplikacji (warunki tarcia, plany treningowe) są orientacyjne i nie wywołują żadnych skutków prawnych.

5. Komu udostępniamy twoje dane

5.1 Innym użytkownikom — zgodnie z twoimi ustawieniami

Cordada to aplikacja społecznościowa: część twoich danych pokazujemy innym użytkownikom dokładnie tak, jak sam ustawisz prywatność:

Twój profil publiczny (nazwa użytkownika, imię, awatar, opis, linki) jest widoczny dla innych użytkowników.
Przejścia i zdjęcia: prywatne (tylko ty), dla znajomych albo publiczne — wybierasz przy każdym wpisie.
Twoja pozycja: tylko jeśli włączysz «Mój zespół» i tylko dla znajomych, których zaznaczysz.
Wspólne wyjścia z tablicy: widoczne dla społeczności, wraz z miejscowością wyjazdu, którą podasz.
Wiadomości z czatu: tylko uczestnicy danego czatu.

5.2 Dostawcom infrastruktury (podmiotom przetwarzającym)

Nie udostępniamy twoich danych nikomu innemu — poza dostawcami ściśle niezbędnymi do tego, żeby aplikacja działała:

Dostawca	Co robi	Gdzie
Supabase	Baza danych i uwierzytelnianie (wszystkie dane z punktu 2).	Serwery w Londynie, Wielka Brytania (region AWS eu-west-2). Wielka Brytania ma decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony danych.
Cloudflare	Przechowywanie i dostarczanie obrazów, które wgrywasz (R2), przez własne proxy z uwierzytelnionym przesyłaniem.	Sieć globalna. Cloudflare ma certyfikat EU-U.S. Data Privacy Framework i stosuje standardowe klauzule umowne.
Apple	«Zaloguj się przez Apple», powiadomienia push (APNs) i dane pogodowe (Apple Weather).	Apple uczestniczy w EU-U.S. Data Privacy Framework.

Na potrzeby prognozy pogody aplikacja wysyła do Apple Weather współrzędne oglądanego sektora wspinaczkowego — nie twoją osobistą pozycję. Tak samo jest z zapytaniami o teren (IGN) i geologię (IGME): to współrzędne sektorów, nie twoje.

Dane ujawnilibyśmy organom władzy tylko wtedy, gdyby wymagał tego od nas obowiązek prawny.

6. Przekazywanie danych za granicę

Twoje dane przechowujemy głównie w Wielkiej Brytanii (Supabase), która ma decyzję Komisji Europejskiej o odpowiednim stopniu ochrony. Obrazy serwujemy przez globalną sieć Cloudflare, a część usług Apple może przetwarzać dane w Stanach Zjednoczonych; w obu przypadkach podstawą przekazania jest EU-U.S. Data Privacy Framework oraz standardowe klauzule umowne zatwierdzone przez Komisję Europejską, które stanowią część umowy powierzenia przetwarzania danych podpisanej z każdym dostawcą. Możesz poprosić nas o kopię tych zabezpieczeń, pisząc na privacidad@cordada.eu — wyślemy ci ją.

7. Jak długo przechowujemy twoje dane

Tak długo, jak istnieje twoje konto. Kiedy je usuniesz (Profil → Usuń konto), z bazy danych znikają twój profil, przejścia, zdjęcia, wiadomości, wspólne wyjścia, znajomości, pozycja, preferencje, tokeny powiadomień, zgłoszenia i blokady.
Kopie zapasowe dostawców mogą przechowywać dane jeszcze przez 30 dni, zanim znikną ostatecznie.
Z twojej pozycji w «Moim zespole» zostaje tylko ostatnia znana; po wyłączeniu funkcji przestajemy ją udostępniać.
Wkład do wspólnego katalogu (rejony, sektory, drogi i poprawki włączone już do przewodnika) zostaje jako dane faktograficzne przewodnika, odłączone od twojej tożsamości.
Zapisy techniczne (logi dostępu z adresem IP w Supabase i Cloudflare) przechowujemy tyle, ile każdy dostawca stosuje domyślnie na potrzeby bezpieczeństwa i diagnostyki, w żadnym razie dłużej niż 30 dni, chyba że konkretny zapis trzeba zachować dłużej, żeby zbadać incydent bezpieczeństwa albo odpowiedzieć na żądanie organów.

8. Twoje prawa

Masz prawo dostępu do danych, ich sprostowania, usunięcia, przeniesienia, ograniczenia przetwarzania i sprzeciwu. Dwa najczęstsze są wbudowane w aplikację:

Eksportuj moje dane (Profil): tworzy plik JSON ze wszystkimi twoimi danymi osobowymi zapisanymi na naszych serwerach. Obejmuje dostęp i przeniesienie danych.
Usuń konto (Profil): kasuje twoje konto i twoje treści natychmiast i nieodwracalnie. Obejmuje usunięcie danych.

W pozostałych sprawach, albo jeśli coś nie działa, napisz na privacidad@cordada.eu. Odpowiadamy najpóźniej w ciągu miesiąca (art. 12.3 RODO).

Jeśli uważasz, że źle obeszliśmy się z twoimi danymi, możesz złożyć skargę do Agencia Española de Protección de Datos, hiszpańskiego organu nadzorczego (aepd.es). Jeśli mieszkasz w innym kraju Unii Europejskiej, możesz złożyć skargę również do organu nadzorczego swojego kraju — w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych.

Wycofanie zgody

Kilka opisanych tu operacji opiera się na twojej zgodzie: dane fizyczne w profilu prywatnym, lokalizacja w «Moim zespole» i frekwencja, powiadomienia, ścieżki dojścia, rekomendacje asekuracji oraz ścianka, na którą się zapisujesz. Możesz ją wycofać, kiedy chcesz i bez tłumaczenia się, w tych samych ustawieniach, w których ją włączyłeś, albo pisząc do nas. Wycofać zgodę jest tak samo łatwo, jak jej udzielić. To, co przetworzyliśmy, zanim ją wycofasz, pozostaje zgodne z prawem, ale od tego momentu przestajemy to przetwarzać.

Prawo sprzeciwu

Możesz wnieść sprzeciw, z przyczyn związanych z twoją szczególną sytuacją, wobec przetwarzania, które opieramy na prawnie uzasadnionym interesie: moderacji i bezpieczeństwa serwisu oraz pomiaru oglądalności strony. Jeśli wniesiesz sprzeciw, przestaniemy je przetwarzać, chyba że będziemy mieli ważne nadrzędne podstawy albo będzie ono potrzebne do obrony roszczeń. Napisz do nas na privacidad@cordada.eu.

9. Minimalny wiek

Cordada wymaga ukończonych 14 lat, czyli minimalnego wieku zgody cyfrowej w Hiszpanii (art. 7 hiszpańskiej ustawy LO 3/2018). Świadomie nie zakładamy kont osobom poniżej 14 lat; jeśli takie wykryjemy, usuniemy je. Jeśli jesteś rodzicem albo opiekunem i sądzisz, że dziecko poniżej 14 lat założyło konto, napisz do nas.

10. Bezpieczeństwo

Cała komunikacja jest szyfrowana (TLS).
Baza danych stosuje zabezpieczenia na poziomie wiersza (RLS): każde zapytanie sprawdzamy na serwerze wobec twojej tożsamości, nie tylko w aplikacji. Twoich danych prywatnych nie odczytają inni użytkownicy, nawet przez bezpośredni dostęp do API.
Hasłami zarządza system uwierzytelniania Supabase, z bezpiecznym hashowaniem; nigdy nie widzimy ich otwartym tekstem.
Wgranie obrazu wymaga zalogowanej sesji. Obrazy serwujemy przez adresy URL, których nie da się wylistować; ich widoczność w aplikacji respektuje prywatność, którą wybierzesz.

11. Zmiany w tej polityce

Jeśli zmienimy tę politykę w istotny sposób (nowe operacje przetwarzania, nowi dostawcy), ogłosimy to w aplikacji, zanim zmiana wejdzie w życie, i zaktualizujemy datę wersji na tej stronie. Obowiązująca wersja zawsze będzie opublikowana pod tym adresem.

12. Kontakt

Pawel Kadziolka — privacidad@cordada.eu

Jeśli napiszesz na hola@cordada.eu albo jakimkolwiek innym kanałem, zajmiemy się twoją sprawą tak samo, a termin biegnie od chwili, w której ją dostaniemy.

13. Strona cordada.eu

Poprzednie punkty mówiły o aplikacji. Ten mówi o tej stronie, która przetwarza znacznie mniej danych i zasługuje na własne wyjaśnienie.

Nie ma ciasteczek. Żadnych.

cordada.eu nie instaluje ciasteczek, nie korzysta z pamięci lokalnej przeglądarki ani z żadnych trwałych identyfikatorów. Nie ma czego zapisywać na twoim urządzeniu ani czego potem kasować. Dlatego nie zobaczysz banera o ciasteczkach: pytanie cię o zgodę na coś, czego nie robimy, byłoby teatrem.

Co przetwarzamy, kiedy odwiedzasz stronę

Co	Po co	Kto to dostaje	Podstawa prawna (RODO)
Pomiar oglądalności — otwarta strona, strona, z której przychodzisz, typ przeglądarki, kraj i adres IP.	Żeby wiedzieć, ile osób wchodzi i które strony się do czegoś przydają. To liczby zbiorcze: nie tworzymy profili, nie śledzimy cię między sesjami ani między stronami i nie rozpoznamy cię przy kolejnej wizycie.	Cloudflare Web Analytics, jako podmiot przetwarzający.	Prawnie uzasadniony interes (art. 6.1.f): zrozumienie, jak używa się naszej własnej strony. Możesz wnieść sprzeciw (punkt 8).
Hosting — adres IP i dane techniczne każdego żądania zostają w logach serwera.	Serwowanie strony, ochrona przed atakami i diagnozowanie awarii. W tym automatyczne raporty o błędach sieci, które wysyła przeglądarka.	Cloudflare, jako podmiot przetwarzający.	Prawnie uzasadniony interes (art. 6.1.f): bezpieczeństwo i działanie.

I tyle: nie ma formularzy, nie zbieramy adresów e-mail, nie ma reklam, nie ma przycisków społecznościowych, które by cię śledziły. Linki do Instagrama i do App Store to zwykłe linki i nie robią nic, dopóki ich nie klikniesz. Liczby katalogu, które widzisz na stronie głównej, są wpisane w stronę, nie pobieramy ich na żywo.

Katalog ścianek wspinaczkowych

Wizytówki na cordada.eu/rocodromos zbierają nazwę i adres obiektów wspinaczkowych na podstawie publicznych danych z OpenStreetMap i zgłoszeń społeczności, a nie informacji przekazanych przez poszczególne ścianki. Czasem mała ścianka bywa działalnością osoby fizycznej i wtedy te dane są jej danymi osobowymi: publikujemy je w oparciu o prawnie uzasadniony interes (art. 6.1.f) polegający na utrzymaniu użytecznego katalogu miejsc, w których można się wspinać. Jeśli to twoja ścianka i chcesz poprawić wizytówkę albo żebyśmy ją zdjęli, napisz na hola@cordada.eu, a zrobimy to.

Przekazywanie danych

Cloudflare to amerykańska firma z globalną siecią: ma certyfikat EU-U.S. Data Privacy Framework, a my mamy z nią podpisane standardowe klauzule umowne. Możesz poprosić o kopię tak, jak opisano w punkcie 6.