Polityka prywatności

1. Administrator danych

Administratorem Twoich danych osobowych jest:

• Supplementation Institute sp. z o.o.
• siedziba: ul. Józefa Ignacego Kraszewskiego 14/14, 82-200 Malbork
• KRS: 0001165383, NIP: 5792300363, REGON: 541340151
• kontakt w sprawach prywatności: kontakt@michalcerapinski.pl

Serwis www.michalcerapinski.pl jest prowadzony przez wyżej wymieniony podmiot. Marka osobista „Michał Cerapiński" stanowi działalność Usługodawcy w ramach tej spółki.

2. Jakie dane zbieram

Zbieram tylko dane, które dobrowolnie mi przekazujesz przez formularze w Serwisie lub przekazujesz w związku z zakupem usługi. W praktyce dotyczy to:

• Adres e-mail - podany w formularzu „Protokół regeneracyjny", formularzu kontaktowym, diagnozie wstępnej („Protokół 60" na stronie głównej), formularzu intake („Zacznij") lub przy zakupie usługi.
• Odpowiedzi z diagnozy wstępnej „Protokół 60" - przedział wiekowy, główny obszar do pracy, częstotliwość treningów, dostępny czas w tygodniu, informacja o tym, kiedy ostatnio robiłeś badania krwi, i planowany termin startu. Do tego imię, adres e-mail i opcjonalnie numer telefonu. Odpowiedzi trafiają wyłącznie na moją skrzynkę i na Twój adres e-mail. Nie zapisuję Cię przy tym na newsletter i nie buduję z tych odpowiedzi profilu marketingowego.
• Imię i wiadomość - opcjonalnie, jeśli wypełnisz formularz kontaktowy lub intake.
• Wybór ścieżki współpracy oraz odpowiedzi na pytania intake - jeśli wypełniłeś formularz „Zacznij" (cel, doświadczenie, sytuacja zdrowotna w zakresie, w jakim sam zdecydujesz się podać). Po ukończeniu pierwszego kroku ankiety zapisuję wersję roboczą zgłoszenia (imię i nazwisko, e-mail, telefon), żeby Twoje zgłoszenie nie przepadło przy przerwaniu wypełniania (art. 6 ust. 1 lit. b RODO - działania na Twoje żądanie przed zawarciem umowy). Wersje robocze usuwam, jeśli nie dojdzie do kontaktu.
• Parametry kampanii (UTM) - jeśli trafiłeś na stronę z reklamy lub linku z social mediów, zapisuję źródło wejścia razem ze zgłoszeniem, żeby wiedzieć, który kanał działa.
• Dane do faktury i dane płatnicze - jeśli kupujesz usługę odpłatną (coaching, subskrypcja Aplikacji). Dane karty płatniczej nie są przechowywane przeze mnie - obsługuje je Stripe (patrz § 5).

Strona korzysta z narzędzi analitycznych i marketingowych: Google Analytics 4 (z anonimizacją IP), Meta Pixel oraz TikTok Pixel. Narzędzia te ładowane są wyłącznie po wyrażeniu zgody w banerze cookie (podstawa prawna: art. 6 ust. 1 lit. a RODO). Bez zgody ładowane są jedynie pliki niezbędne do działania strony. Zgodę możesz wycofać w każdej chwili, usuwając dane witryny w ustawieniach przeglądarki - baner pojawi się ponownie.

3. Cel przetwarzania

• Dostarczenie protokołu regeneracyjnego oraz powiązanych wiadomości edukacyjnych (sekwencja powitalna).
• Wysyłka newslettera z treściami o treningu, anti-agingu, suplementacji i biohackingu - tylko jeśli wyraziłeś odrębną zgodę.
• Odpowiedź na wiadomości przesłane przez formularz kontaktowy oraz obsługa formularza intake („Zacznij").
• Zawarcie i wykonanie umowy o świadczenie usługi odpłatnej (coaching, subskrypcja Aplikacji), w tym rozliczenie płatności, wystawienie faktury i kontakt obsługowy.
• Wypełnienie obowiązków podatkowych i księgowych wynikających z przepisów prawa.

4. Podstawa prawna

• Art. 6 ust. 1 lit. a RODO - Twoja zgoda (newsletter, lead magnet, intake). Zgoda jest dobrowolna i możesz ją wycofać w każdej chwili - link „Wypisz" znajdziesz w stopce każdej wiadomości od nas.
• Art. 6 ust. 1 lit. b RODO - zawarcie i wykonanie umowy o świadczenie usługi odpłatnej (dane do faktury, dane kontaktowe, dane płatnicze).
• Art. 6 ust. 1 lit. c RODO - wypełnienie obowiązku prawnego (przepisy o rachunkowości, ustawa o VAT - przechowywanie faktur).
• Art. 9 ust. 2 lit. a RODO - Twoja wyraźna zgoda na przetwarzanie danych dotyczących zdrowia (kontuzje, choroby przewlekłe, przyjmowane leki, wyniki badań), które podajesz w ankiecie startowej. Podanie tych danych jest dobrowolne, a zgodę zaznaczasz osobnym polem przed wysłaniem ankiety. Bez niej ankiety nie wyślesz, ale możesz skorzystać z pozostałych form kontaktu.

5. Komu udostępniam dane

Twoje dane przekazuję wyłącznie zaufanym dostawcom usług niezbędnym do prowadzenia Serwisu i świadczenia usług:

• MailerLite (MailerLite Limited, Irlandia) - wysyłka wiadomości, zarządzanie listą subskrybentów. Polityka prywatności: mailerlite.com/legal/privacy-policy
• Stripe (Stripe Payments Europe, Ltd., Irlandia) - obsługa płatności i subskrypcji. Dane karty płatniczej trafiają bezpośrednio do Stripe, nigdy nie są przechowywane na serwerach Usługodawcy. Polityka prywatności: stripe.com/privacy
• Supabase (Supabase Inc., USA) - baza danych przechowująca zgłoszenia z formularza intake oraz dane Klientów Aplikacji.
• Resend (Resend, Inc., USA) - wysyłka maili transakcyjnych (potwierdzenia formularzy, powiadomienia).
• Vercel (Vercel Inc., USA) - hosting strony i przyjmowanie zgłoszeń z formularzy.
• Calendly (Calendly LLC, USA) - rezerwacja terminów rozmów. Kalendarz ładuje się dopiero, gdy klikniesz przycisk umówienia rozmowy. Imię i e-mail podajesz w nim sam albo strona wpisuje je za Ciebie z diagnozy wypełnionej w tej samej karcie. Polityka prywatności: calendly.com/privacy
• OVHcloud (OVH SAS, Francja) - skrzynka pocztowa, z której wysyłam korespondencję.
• Biuro księgowe oraz operator faktur - w zakresie niezbędnym do prowadzenia ksiąg rachunkowych i wystawiania faktur (na podstawie powierzenia przetwarzania).

Część procesorów (Stripe, Supabase, Resend, Vercel, Calendly) przetwarza dane poza Europejskim Obszarem Gospodarczym (głównie USA). Transfer odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską oraz dodatkowych zabezpieczeń stosowanych przez tych dostawców.

Nie sprzedaję, nie wymieniam ani nie udostępniam Twoich danych osobom trzecim do celów marketingowych poza wyżej wymienionymi procesorami.

Dostawcy narzędzi analitycznych i reklamowych

Jeżeli wyrazisz zgodę na pliki cookie analityczne i marketingowe, dane o Twojej wizycie trafiają także do:

• Meta Platforms Ireland Limited (piksel Facebooka oraz Conversions API). Przekazywany jest adres IP, identyfikatory z plików cookie _fbp i _fbc, adres odwiedzanej strony oraz nazwa zdarzenia konwersji.
• Google Ireland Limited (Google Analytics 4). Adres IP jest anonimizowany.
• TikTok Technology Limited (piksel TikTok).

Wszystkie trzy narzędzia uruchamiają się dopiero po kliknięciu „Akceptuję" w banerze zgody. Jeżeli wybierzesz „Tylko niezbędne" albo w ogóle nie podejmiesz decyzji, żadne z nich nie wystartuje i żadne dane do nich nie trafią. Zgodę możesz zmienić, czyszcząc dane strony w przeglądarce.

6. Jak długo trzymam dane

• Adres e-mail subskrybenta - tak długo, jak jesteś zapisany do listy. Po wypisaniu z newslettera dane usuwam w ciągu 30 dni z aktywnej bazy.
• Wiadomości z formularza kontaktowego, diagnozy „Protokół 60" i ankiety startowej - maksymalnie 24 miesiące, na wypadek dalszego kontaktu.
• Wersja robocza ankiety w Twojej przeglądarce - zapisuje się lokalnie (localStorage), żebyś mógł wrócić do niedokończonego formularza. Nie trafia na mój serwer i jest automatycznie kasowana po 7 dniach. Możesz ją usunąć od ręki, czyszcząc dane strony w przeglądarce.
• Wynik diagnozy „Protokół 60" w Twojej przeglądarce - po wysłaniu diagnozy zapamiętuję lokalnie (localStorage) sam wynik i imię, bez e-maila i telefonu, żeby przy kolejnej wizycie pokazać Twój wynik zamiast pustego formularza. Nie trafia na mój serwer, znika po 90 dniach, a usuniesz go jednym kliknięciem przy wyniku („Usuń zapisany wynik").
• Dane Klientów (umowy, korespondencja obsługowa) - przez okres obowiązywania umowy oraz dodatkowo przez okres przedawnienia roszczeń (zwykle 3-6 lat).
• Faktury i dane podatkowe - 5 lat licząc od końca roku kalendarzowego, w którym powstał obowiązek podatkowy (zgodnie z Ordynacją podatkową i ustawą o rachunkowości).

7. Twoje prawa

Masz prawo do:

• dostępu do swoich danych,
• sprostowania danych (np. zmiana adresu e-mail),
• usunięcia danych („prawo do bycia zapomnianym"),
• ograniczenia przetwarzania,
• przenoszenia danych do innego administratora,
• sprzeciwu wobec przetwarzania,
• cofnięcia zgody w każdej chwili,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

Z każdego z tych praw skorzystasz wysyłając wiadomość na kontakt@michalcerapinski.pl - odpowiadam w ciągu 14 dni.

8. Bezpieczeństwo

Strona działa po HTTPS. Dostęp do bazy subskrybentów chroniony jest hasłem i 2FA. Nie trzymam danych dłużej niż to konieczne i nie podaję ich osobom postronnym.

9. Zmiany w polityce

Politykę mogę aktualizować - data ostatniej zmiany widnieje na górze tej strony. O istotnych zmianach (zmiana procesora, nowy cel przetwarzania) poinformuję mailem zarejestrowanych subskrybentów.