Polityka prywatności

Wersja 2026-08-03

Dokument publikujemy w języku polskim i angielskim. Wersja polska jest wersją wiążącą; wersja angielska jest tłumaczeniem informacyjnym. W razie rozbieżności rozstrzyga tekst polski.

1. Kim jesteśmy

SendForge Training to aplikacja wspierająca trening wspinaczkowy. Korzystają z niej kluby, trenerzy, partnerzy treningowi oraz wspinacze trenujący samodzielnie — do planowania sesji, zapisywania treningów i śledzenia postępów. Usługa składa się z aplikacji mobilnej na Androida i iOS, aplikacji internetowej, usługi backendowej oraz publicznej strony internetowej.

Administratorem danych osobowych przetwarzanych w ramach SendForge Training (art. 4 pkt 7 RODO) jest:

CSHARK Sp. z o.o.
Wyspa Słodowa 7
50-266 Wrocław, Polska
KRS: 0000524245 · NIP: 8971801698
E-mail: contact@sendforge.training

Konto może założyć każdy — zarówno osoba należąca do klubu, jak i trenująca samodzielnie. Nic, co tworzysz w aplikacji, nie jest jednak publiczne: nie ma publicznego strumienia treści, publicznych profili ani możliwości wyszukania innego użytkownika. To, co wprowadzasz, widzisz Ty oraz osoby z klubów i grup, do których zdecydujesz się dołączyć — zgodnie z §4.

Nie wyznaczyliśmy Inspektora Ochrony Danych. Weryfikujemy tę decyzję wraz ze zmianą skali Usługi i zakresu przetwarzania. Żądania dotyczące prywatności możesz kierować bezpośrednio na adres wskazany w niniejszym punkcie.

Jesteśmy administratorem wszystkich danych przetwarzanych w aplikacji, w tym danych, które klub wprowadza o swoich wspinaczach. Nie działamy jako podmiot przetwarzający na zlecenie poszczególnych klubów.

We wszelkich sprawach dotyczących prywatności, żądań i zgłoszeń bezpieczeństwa napisz na contact@sendforge.training.

2. Co przetwarzamy, w jakim celu i na jakiej podstawie

Przetwarzamy tylko to, co jest potrzebne do działania usługi. Jeśli nie wskazano inaczej, podstawą prawną jest wykonanie umowy z Tobą — art. 6 ust. 1 lit. b RODO.

Twoje konto. Adres e-mail, nazwa wyświetlana, hasło (przechowywane wyłącznie jako skrót, nigdy w postaci czytelnej), preferencje języka i jednostek oraz stan weryfikacji adresu, resetu hasła i zmiany adresu. Adres e-mail jest wymagany, bo służy do logowania i do wysyłki wiadomości serwisowych.

Twój profil. Dla wspinaczy: imię, nazwisko, nazwa wyświetlana oraz maksymalny stopień on-sight i RP. Dla trenerów: te same pola oraz uprawnienia trenerskie i krótki biogram. Nie zbieramy daty urodzenia, płci, numeru telefonu, historii wspinaczkowej, notatek o urazach, kontaktów alarmowych ani notatek trenerskich niewidocznych dla wspinacza.

Dane treningowe i tworzone przez Ciebie treści. Sesje, ćwiczenia planowane i wykonane wraz z parametrami, logi wykonania, obecności, szablony ćwiczeń, wiadomości w czacie grupowym, komentarze do logów wykonania oraz notatki tekstowe przy sesjach i ćwiczeniach. Część tych danych widzi Twój trener i pozostali członkowie Twoich grup — zob. §4. Wersja beta Usługi nie zbiera ocen odczuwanego wysiłku ani odrębnego wskaźnika realizacji planu treningowego.

Notatki a informacje o zdrowiu. Żadne ogólne pole notatki nie prosi o informacje o zdrowiu, a wersja beta Usługi nie ma funkcji przeznaczonej do danych o zdrowiu. Nie wpisuj diagnoz, urazów, objawów, leczenia, leków ani innych informacji o zdrowiu w notatkach, wiadomościach, komentarzach i innych polach tekstowych. Jeżeli dowiemy się, że wpisano tam informacje o zdrowiu, możemy ograniczyć ich widoczność lub je usunąć i poprosić autora o skorzystanie z odpowiedniego kanału poza Usługą. Nie analizujemy tekstu w celu wnioskowania o zdrowiu.

Wiadomości, które do Ciebie wysyłamy. Adres e-mail wykorzystujemy do wiadomości serwisowych: kodów weryfikacyjnych i resetu hasła, powiadomień o zmianach na koncie, zaproszeń do klubów i grup oraz potwierdzenia usunięcia konta. Jeśli zezwolisz na powiadomienia na swoim urządzeniu, przechowujemy też token push i identyfikator urządzenia, aby dostarczać powiadomienia o aktywności w Twoich grupach. Nie wysyłamy wiadomości marketingowych i nie prowadzimy newslettera.

Potwierdzenie zapoznania się z Polityką i akceptacja Regulaminu. Zapisujemy, z którą wersją Polityki się zapoznałaś/zapoznałeś i którą wersję Regulaminu zaakceptowałaś/zaakceptowałeś, kiedy, oraz adres IP i ciąg identyfikujący przeglądarkę lub urządzenie. Potwierdzenie zapoznania się z Polityką nie jest zgodą na wszystkie opisane w niej operacje. Zapis przechowujemy w celu rozliczalności i wykazania zawarcia umowy na podstawie art. 5 ust. 2 i art. 6 ust. 1 lit. f RODO. Zob. §10.

Bezpieczeństwo usługi. Nasza platforma hostingowa zapisuje logi serwera (adres IP, ścieżka żądania, kod odpowiedzi, znacznik czasu). Prowadzimy krótkotrwałe zapisy służące egzekwowaniu limitów zapytań, a logowania z nieznanych urządzeń odnotowujemy w postaci skróconej i zahaszowanej, nie jako pełny adres. Przy usunięciu konta i przy eksporcie danych zachowujemy spseudonimizowany wpis audytowy — identyfikator użytkownika, domenę adresu e-mail, znacznik czasu i zahaszowane dane techniczne, nigdy sam adres ani czytelny adres IP. Podstawą jest nasz prawnie uzasadniony interes w utrzymaniu bezpieczeństwa i dostępności usługi, art. 6 ust. 1 lit. f.

Moderacja. Jeśli otrzymamy zgłoszenie treści, przetwarzamy zgłoszenie i zgłoszoną treść, aby na nie zareagować — na podstawie prawnie uzasadnionego interesu w bezpiecznej usłudze, art. 6 ust. 1 lit. f, oraz naszych obowiązków dotyczących treści bezprawnych, art. 6 ust. 1 lit. c.

Strona internetowa. Strona zapisuje w Twojej przeglądarce wybór dotyczący plików cookie oraz wybór języka (zob. §7). Jeśli poprosisz o usunięcie konta przez formularz na https://sendforge.training/account/delete, przechowujemy wyłącznie spseudonimizowany zapis wniosku — zahaszowany adres e-mail, jego domenę, opcjonalnie zahaszowaną treść uzasadnienia, zahaszowany adres IP, język i wersję Polityki — i przesyłamy potwierdzenie na podany adres. Jeśli na Twoją prośbę przygotujemy środowisko demonstracyjne, przetwarzamy adres e-mail, dane techniczne zgłoszenia i zaakceptowane wersje dokumentów, na podstawie czynności poprzedzających zawarcie umowy, art. 6 ust. 1 lit. b.

Nie wykorzystujemy Twoich danych do reklamy ani do profilowania wywołującego skutki prawne i nie podejmujemy zautomatyzowanych decyzji, o których mowa w art. 22 RODO. Gdybyśmy wprowadzili plan płatny, będziemy prowadzić dokumentację księgową wymaganą polskim prawem podatkowym, art. 6 ust. 1 lit. c.

3. Czego nie zbieramy

Ponieważ jest to aplikacja treningowa, warto wyraźnie wskazać granice. Wersja beta Usługi nie prosi o dane dotyczące zdrowia ani celowo ich nie przetwarza: nie ma integracji z Google Fit, Apple Health ani Health Connect oraz pola na uraz, diagnozę, stan chorobowy, leczenie, leki, ograniczenie treningowe lub kontakt w nagłych wypadkach. Nie zbiera też daty urodzenia ani płci. Stosuj zasadę dotyczącą pól tekstowych z §2. Jeśli chcesz, aby informacje ratunkowe były dostępne dla osób, które faktycznie ich potrzebują, skorzystaj z karty ratunkowej w telefonie — Medical ID w iOS lub Informacje alarmowe w Androidzie — którą ratownik odczyta z zablokowanego ekranu, bez żadnej aplikacji.

Aplikacje nie proszą o dostęp do lokalizacji, aparatu, mikrofonu, zdjęć, kontaktów ani kalendarza, a my nie stosujemy identyfikatorów reklamowych, trackerów marketingowych ani komponentów analitycznych i crash-reportingowych wewnątrz aplikacji. Aplikacje nie odczytują danych biometrycznych. Tokeny logowania są przechowywane przez chroniony magazyn systemu operacyjnego.

4. Kto widzi Twoje dane

W aplikacji zawsze widzisz i możesz edytować własne dane. Poza tym widoczność wynika z klubów i grup, do których dołączysz:

trener w klubie lub grupie trenerskiej, do której dołączyłaś/dołączyłeś, widzi Twój profil wspinacza, plan treningowy i historię wykonania w tym klubie;
menedżer klubu widzi Twój wpis na liście zawodników i zarządza przypisaniem trenerów;
członkowie grupy partnerskiej widzą Twoją nazwę wyświetlaną oraz sesje, ćwiczenia i wiadomości udostępniane w tej grupie;
pozostali wspinacze w grupie trenerskiej widzą Twoją nazwę wyświetlaną i czat grupowy, ale nie szczegóły profilu ani historię treningową;
nasi administratorzy systemu sięgają do danych tylko wtedy, gdy jest to potrzebne do utrzymania usługi, obsługi zgłoszenia serwisowego lub reakcji na zgłoszenie treści.

W każdej chwili możesz opuścić klub lub grupę, co kończy tę widoczność.

Nigdy nie sprzedajemy Twoich danych i nie udostępniamy ich w celach reklamowych, marketingowych ani analitycznych. Możemy ujawnić dane, gdy wymaga tego prawo — na przykład na zgodne z prawem żądanie właściwego organu.

Dostawcy działający na nasze zlecenie. Twoje dane są przechowywane i przesyłane przez poniższych dostawców. Gdy dostawca działa jako podmiot przetwarzający, stosujemy warunki powierzenia wymagane przez art. 28 RODO. Jedynym rutynowym transferem poza Europejski Obszar Gospodarczy jest łańcuch dostarczania powiadomień push, który przebiega przez Expo w Stanach Zjednoczonych; opieramy się w nim na Standardowych Klauzulach Umownych Komisji Europejskiej.

Dostawca	Co robi na nasze zlecenie	Gdzie
Microsoft Azure	Utrzymuje backend, przechowuje bazę danych i jej kopie zapasowe oraz dostarcza nasze wiadomości serwisowe	Unia Europejska — na terenie EOG
Expo	Buduje aplikacje mobilne (bez dostępu do bieżących danych użytkowników) i przekazuje powiadomienia push. Przy wysyłce powiadomienia przez Expo przechodzą token push, treść techniczna powiadomienia i metadane dostarczenia	Stany Zjednoczone
Google Firebase Cloud Messaging / Apple Push Notification service	Końcowe dostarczenie powiadomień push na urządzenia Android / iOS po przekazaniu przez Expo	Lokalizacje i warunki transferu określone przez Google / Apple
OVH	Utrzymuje naszą stronę internetową `sendforge.training`, w tym niniejszą politykę i Regulamin, oraz jest rejestratorem naszej domeny. Jego logi serwera zapisują adres IP, adres strony, identyfikację przeglądarki i czas każdej wizyty	Unia Europejska — na terenie EOG

Google i Apple dystrybuują aplikacje mobilne w swoich sklepach. Występują przy tym jako niezależni administratorzy, nie jako nasze podmioty przetwarzające, a to, co zbierają, określają ich własne polityki prywatności.

Gdzie znajdują się Twoje dane. Wszystko, co przechowujemy, znajduje się w centrach danych Microsoft Azure w Unii Europejskiej — wraz z kopiami zapasowymi — i jest szyfrowane zarówno w spoczynku, jak i w tranzycie. Rutynowe transfery poza EOG występują w łańcuchu dostarczania powiadomień push przez Expo oraz, zależnie od urządzenia, Google lub Apple, jak opisano powyżej.

Na Twoim urządzeniu aplikacja przechowuje token logowania w chronionym magazynie systemu operacyjnego i zapamiętuje preferencje, takie jak język i motyw. Ani aplikacja mobilna, ani internetowa nie przekazuje ich nikomu.

5. Jak długo przechowujemy dane

Dane	Okres przechowywania
Konto, profil, dane treningowe i treści	Tak długo, jak istnieje Twoje konto
Konto, profil i treści prywatne po usunięciu Konta	Usuwane z działającej Usługi natychmiast. Wspólne treści klubowe potrzebne innym Użytkownikom mogą pozostać bez powiązania z usuniętym Kontem, jeżeli jest to zgodne z prawem. Kopie zapasowe są nadpisywane w ciągu 35 dni.
Logi serwera	30 dni
Kody jednorazowe i zapisy limitów zapytań	Od 15 minut do 7 dni
Sesje logowania	Do wylogowania, zmiany hasła lub upływu 30 dni bez użycia
Spseudonimizowana adnotacja o usunięciu konta (bez adresu e-mail, imienia i czytelnego IP)	Do 5 lat
Wnioski o usunięcie złożone przez stronę internetową	30 dni, potem usuwane automatycznie
Środowiska demonstracyjne	7 dni oraz 1 dzień okresu przejściowego, potem usuwane w całości
Wybór dotyczący cookie i języka	W Twojej przeglądarce, do zmiany lub wyczyszczenia przeglądarki

Usługa jest nieodpłatna, więc nie prowadzimy dokumentacji rozliczeniowej. Gdyby wprowadzono plan płatny, polskie prawo podatkowe wymagałoby przechowywania dokumentacji księgowej przez 5 lat od końca danego roku obrotowego.

6. Twoje prawa

Masz prawo dostępu do swoich danych (art. 15), ich sprostowania (art. 16) i usunięcia (art. 17), ograniczenia przetwarzania (art. 18), otrzymania ich w formacie nadającym się do odczytu maszynowego (art. 20), sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21) oraz wycofania zgody, gdy zgoda jest podstawą (art. 7 ust. 3) — wycofanie nie wpływa na przetwarzanie już dokonane.

W aplikacji Ustawienia → Pobierz moje dane udostępniają czytelną maszynowo kopię Twojego konta, profilu, danych treningowych, logów, wiadomości, szablonów i zapisu zgód, a Ustawienia → Strefa zagrożenia → Usuń konto usuwa konto natychmiast po potwierdzeniu hasłem. Obie funkcje można wykorzystać raz na dobę. Profil, ustawienia i adres e-mail poprawisz bezpośrednio w aplikacji. Jeśli nie możesz się zalogować, złóż wniosek o usunięcie na https://sendforge.training/account/delete. W pozostałych sprawach — w tym ograniczenia przetwarzania i sprzeciwu — napisz na contact@sendforge.training.

Samoobsługowy eksport do przenoszenia danych zawiera treści Twojego autorstwa. Nie obejmuje automatycznie wiadomości ani komentarzy napisanych przez inne osoby. Formalny wniosek o dostęp z art. 15 rozpatrujemy odrębnie, uwzględniając dane osobowe dotyczące Ciebie w treściach innych osób oraz konkurujące prawa ich autorów.

Odpowiadamy bez zbędnej zwłoki, co do zasady w ciągu miesiąca. Jeśli żądanie jest skomplikowane, możemy potrzebować do dwóch miesięcy więcej i poinformujemy o przyczynie w pierwszym miesiącu (art. 12 ust. 3). Limit jednego użycia dziennie dla samoobsługowego pobrania i usunięcia nie ogranicza formalnych żądań przesłanych na nasz adres kontaktowy.

Możesz też wnieść skargę do polskiego organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl — albo do organu w kraju Twojego pobytu w UE (art. 77).

7. Pliki cookie i analityka strony

Nasza publiczna strona internetowa nie korzysta obecnie z żadnej analityki ani trackerów marketingowych i nie zapisuje żadnych plików cookie. Korzysta z pamięci lokalnej przeglądarki — podobnej technologii przechowywania — wyłącznie dla wyboru dotyczącego cookie i języka. Żaden zewnętrzny skrypt nie ładuje się bez zgody na odpowiednią kategorię, a zgodę możesz w każdej chwili zmienić lub wycofać przez Ustawienia cookie w stopce strony.

Jeśli w przyszłości wdrożymy analitykę, będzie to usługa bezcookie'owa hostowana w UE, która nie identyfikuje odwiedzających ani nie śledzi ich między witrynami; uruchomi się wyłącznie po zaakceptowaniu kategorii analitycznej, a my napiszemy o tym najpierw w tym miejscu.

Aplikacja internetowa używa dwóch niezbędnych plików cookie, aby utrzymać Cię w zalogowanej sesji. Nie służą one śledzeniu i są zwolnione z obowiązku zgody, bo bez nich usługa nie może działać. Pełna, aktualizowana lista plików cookie i przechowywanych wartości jest publikowana na https://sendforge.training/cookies.

Aplikacja mobilna i aplikacja internetowa nie zawierają żadnego komponentu analitycznego.

8. Dzieci

SendForge Training jest przeznaczona dla osób, które ukończyły 16 lat. Akceptując Regulamin, potwierdzasz spełnienie tego wymagania. Nie zbieramy Twojej daty urodzenia ani nie weryfikujemy wieku niezależnie.

Wersja startowa Usługi nie udostępnia procesu zgody rodzica ani Konta prowadzonego przez opiekuna dla młodszych zawodników. Jeżeli dowiemy się, że osoba poniżej 16. roku życia utworzyła lub prowadzi Konto, zawiesimy je lub usuniemy po przeprowadzeniu weryfikacji odpowiedniej do okoliczności. Prosimy o zgłoszenie na contact@sendforge.training.

9. Bezpieczeństwo

Ruch między aplikacjami a naszymi serwerami jest zawsze szyfrowany aktualnym protokołem TLS, a aplikacja mobilna nie uruchomi się wobec adresu nieszyfrowanego. Hasła przechowujemy wyłącznie jako skróty, a kody jednorazowe w postaci zahaszowanej, z krótkim czasem ważności i limitem prób. Tokeny logowania znajdują się w chronionym magazynie Twojego urządzenia, a wylogowanie lub zmiana hasła natychmiast unieważnia istniejące sesje. Punkty logowania i obsługi haseł mają limity zapytań i są zaprojektowane tak, by nie ujawniać, czy dany adres jest zarejestrowany. Dane aplikacji są wyłączone z automatycznych kopii zapasowych systemu operacyjnego w chmurze. Sprawdzamy nasze zależności pod kątem znanych podatności.

Nie prowadzimy publicznego programu bug bounty, ale przyjmujemy zgłoszenia w trybie odpowiedzialnego ujawnienia na contact@sendforge.training.

W razie naruszenia ochrony danych, które może powodować ryzyko dla Twoich praw, zgłosimy je polskiemu organowi nadzorczemu w ciągu 72 godzin (art. 33) i bez zbędnej zwłoki poinformujemy dotkniętych użytkowników, gdy wymaga tego art. 34.

10. Potwierdzenie zapoznania się i zmiany Polityki

Niniejsza Polityka i Regulamin mają identyfikator wersji — datę wskazaną na początku dokumentu. Zakładając Konto potwierdzasz zapoznanie się z Polityką i akceptujesz Regulamin, a my zapisujemy odpowiednie wersje (zob. §2). Wersjami obowiązującymi są zawsze te opublikowane na naszej stronie.

Jeśli zmienimy Politykę w sposób istotny, opublikujemy tutaj nową wersję z nowym identyfikatorem i datą wejścia w życie, powiadomimy zarejestrowanych Użytkowników e-mailem co najmniej 30 dni wcześniej i poprosimy o potwierdzenie zapoznania się w aplikacji. Jeżeli zmiana wymaga nowej zgody, poprosimy o nią odrębnie. Do czasu potwierdzenia zapoznania się z informacją funkcje tworzenia nowych treści mogą być niedostępne. Drobne sprostowania i wyjaśnienia wchodzą w życie z chwilą publikacji.

11. Kontakt

We wszelkich sprawach dotyczących prywatności, żądań i zgłoszeń bezpieczeństwa:

CSHARK Sp. z o.o.
Wyspa Słodowa 7, 50-266 Wrocław, Polska
KRS: 0000524245 · NIP: 8971801698
contact@sendforge.training

Privacy Policy

Version 2026-08-03

This document is published in Polish and English. The Polish version is the operative text; the English version is a convenience translation. In case of divergence, the Polish text prevails.

1. Who we are

SendForge Training is a climbing-training application. Clubs, coaches, training partners, and individual climbers use it to plan sessions, log workouts, and follow progress over time. It consists of a mobile app for Android and iOS, a web app, a backend service, and a public website.

The controller of the personal data processed through SendForge Training (GDPR Art. 4(7)) is:

CSHARK Sp. z o.o.
Wyspa Słodowa 7
50-266 Wrocław, Poland
KRS: 0000524245 · NIP: 8971801698
Email: contact@sendforge.training

Anyone can open an account, whether they belong to a club or train on their own. Nothing you create in the app is public, however: there is no public feed, no public profile, and no way to search for another user. What you enter is visible to you and to the people in the clubs and groups you choose to join, as set out in §4.

We have not appointed a Data Protection Officer. We review that decision as the service, its scale, and its processing activities change. Privacy requests can be sent directly to the contact in this section.

We are the controller for all data processed in the application, including data that a club enters about its climbers. We do not act as a processor on behalf of individual clubs.

Write to contact@sendforge.training with any privacy question, request, or security report.

2. What we process, why, and on what legal basis

We process only what the service needs. Unless stated otherwise, the legal basis is the performance of our contract with you — Art. 6(1)(b) GDPR.

Your account. Your email address, display name, password (kept only as a hash, never in readable form), your language and unit preferences, and the state of email verification, password reset, and email change. Your email address is required, because it is how you sign in and how we send you service messages.

Your profile. For climbers: first name, surname, display name, and maximum on-sight and red-point grades. For coaches: the same fields, plus certifications and a short biography. We do not collect date of birth, sex, phone number, climbing background, injury notes, emergency contacts, or coach-only notes.

Your training data and the content you write. Sessions, planned and completed exercises and their parameters, execution logs, attendance, exercise templates, group chat messages, comments on execution logs, and free-text notes on sessions and exercises. Some of this is visible to your coach and to other members of your groups — see §4. The beta Service does not collect perceived effort ratings or a separate training-adherence score.

Notes and health information. No general note field asks for health information, and the beta Service has no health-data feature. Do not enter diagnoses, injuries, symptoms, treatment, medication, or other health information in notes, messages, comments, or other free-text fields. If we learn that health information was entered there, we may restrict or remove it and ask the author to use a channel outside the Service that is appropriate for that information. We do not analyse free text to infer health information.

Messages we send you. We use your email address to send service messages: verification and password-reset codes, notices about changes to your account, invitations to clubs and groups, and confirmation that your account was deleted. If you allow notifications on your device, we also store a push token and a device identifier so we can deliver notifications about activity in your groups. We send no marketing email and operate no newsletter.

Your acknowledgement of this policy and acceptance of the Terms of Service. We record which version of each document you acknowledged or accepted, when, and the IP address and browser or device identification string used at that moment. Acknowledging this policy is not consent to all processing described in it. We keep the record for accountability and contract evidence under Art. 5(2) and Art. 6(1)(f) GDPR. See §10.

Keeping the service secure. Our hosting platform records server logs (IP address, request path, response status, timestamp). We keep short-lived records to enforce rate limits, and we note sign-ins from unfamiliar devices in a shortened and hashed form rather than as a full address. When an account is deleted or data is exported, we keep a pseudonymised audit line — the user identifier, the domain part of the email address, a timestamp, and hashed technical details, never the address itself or a readable IP. The legal basis is our legitimate interest in keeping the service secure and available, Art. 6(1)(f).

Moderation. If content is reported to us we process the report and the content in question in order to act on it, on the basis of our legitimate interest in a safe service, Art. 6(1)(f), and of our obligations regarding unlawful content, Art. 6(1)(c).

The website. The website stores your cookie choice and your language choice in your browser (see §7). If you ask us to delete an account through the form at https://sendforge.training/account/delete, we keep only a pseudonymised record of the request — a hashed email address, its domain, an optional hashed copy of your reason, a hashed IP address, your language, and the policy version — and send a confirmation to the address you gave. If we set up a demo environment for you on request, we process your email address, technical details of the request, and the document versions you accepted, on the basis of steps taken before entering a contract, Art. 6(1)(b).

We do not use your data for advertising or for profiling that produces legal effects, and we take no automated decisions of the kind described in Art. 22 GDPR. Should we ever introduce a paid plan, we will keep the accounting records that Polish tax law requires, Art. 6(1)(c).

3. What we do not collect

Because this is a training application, it is worth being explicit about the limits. The beta Service does not ask for or intentionally process health data: there is no integration with Google Fit, Apple Health, or Health Connect, and no field for an injury, diagnosis, medical condition, treatment, medication, training limitation, or emergency contact. It also does not collect date of birth or sex. Please follow the free-text rule in §2. If you want emergency information available to the people who would actually need it, use your phone's own emergency card — Medical ID on iOS or Emergency information on Android — which paramedics can read from a locked screen without any app.

The apps ask for no access to your location, camera, microphone, photos, contacts, or calendar, and we use no advertising identifiers, marketing trackers, or analytics and crash-reporting components inside the apps. The apps do not read biometric data. Sign-in tokens are stored through the operating system's protected storage.

4. Who can see your data

Inside the application, you can always see and edit your own data. Beyond that, visibility follows the clubs and groups you join:

a coach in a club or coaching group you joined sees your climber profile, your training plan, and your execution history in that club;
a club manager sees your entry on the club roster and manages which coaches you are assigned to;
members of a partner group see your display name and the sessions, exercises, and messages shared in that group;
other climbers in a coaching group see your display name and the group chat, but not your profile details or training history;
our system administrators access data only where needed to run the service, answer a support request, or act on a report.

You can leave a club or group at any time, which ends that visibility.

We never sell your data and never share it for advertising, marketing, or analytics. We may disclose data where the law requires it — for example on a lawful order from a competent authority.

Providers acting on our behalf. Your data is stored and transmitted by the providers below. Where a provider acts as our processor, we use the data processing terms required by Art. 28 GDPR. The only routine transfer outside the European Economic Area is the push notification delivery chain, which runs through Expo in the United States; for it we rely on the European Commission's Standard Contractual Clauses.

Provider	What it does for us	Where
Microsoft Azure	Runs the backend, stores the database and its backups, and delivers our service email	European Union — inside the EEA
Expo	Builds the mobile apps (without live end-user data) and forwards push notifications. When a notification is sent, a push token, the notification envelope, and delivery metadata pass through Expo	United States
Google Firebase Cloud Messaging / Apple Push Notification service	Final delivery of push notifications to Android / iOS devices after routing by Expo	Locations and transfer terms specified by Google / Apple
OVH	Hosts our website at `sendforge.training`, including this policy and the Terms, and is our domain registrar. Its server logs record the IP address, page address, browser identification, and time of each visit	European Union — inside the EEA

Google and Apple distribute the mobile apps through their stores. In doing so they act as independent controllers, not as our processors, and their own privacy policies govern what they collect.

Where your data lives. Everything we store is held in Microsoft Azure data centres in the European Union, including backups, and is encrypted both in storage and in transit. Routine transfers outside the EEA occur in the push delivery chain through Expo and, depending on your device, Google or Apple, as described above.

On your own device, the app keeps your sign-in token in the operating system's protected storage and remembers preferences such as language and theme. Neither the app nor the web app sends these to anyone else.

5. How long we keep your data

Data	Retention
Your account, profile, training data, and content	As long as your account exists
Account, profile, and private content after account deletion	Removed from the live service immediately. Shared club content needed by other users may remain without a link to the deleted account where lawful. Backups are overwritten within 35 days.
Server logs	30 days
One-time codes and rate-limit records	From 15 minutes to 7 days
Sign-in sessions	Until you sign out, change your password, or 30 days pass without use
The pseudonymised note that an account was deleted (no email address, name, or readable IP)	Up to 5 years
Deletion requests sent through the website	30 days, then deleted automatically
Demo environments	7 days, plus one day's grace, then deleted in full
Your cookie and language choice	In your browser, until you change it or clear your browser

The service is free of charge, so we hold no billing records. Should a paid plan be introduced, Polish tax law would require accounting records to be kept for five years from the end of the relevant financial year.

6. Your rights

You have the right to access your data (Art. 15), to have it corrected (Art. 16) or erased (Art. 17), to restrict how we process it (Art. 18), to receive it in a portable, machine-readable form (Art. 20), to object to processing based on our legitimate interests (Art. 21), and to withdraw consent where consent is the basis (Art. 7(3)) — withdrawal does not affect processing already carried out.

In the app, Settings → Download my data gives you a machine-readable copy of your account, profile, training data, logs, messages, templates, and consent record, and Settings → Danger zone → Delete account removes your account immediately after you confirm your password. Both are limited to one use a day. You can correct your profile, settings, and email address directly in the app. If you cannot sign in, request deletion at https://sendforge.training/account/delete. For anything else, including restriction and objection, write to contact@sendforge.training.

The self-service portability export contains content you authored. It does not automatically include messages or comments written by other people. A formal Art. 15 access request is reviewed separately, including any personal data about you in content authored by someone else and the competing rights of that author.

We answer without undue delay and normally within one month. If a request is complex we may take up to a further two months and will tell you why within the first month (Art. 12(3)). The once-per-day limit on the self-service download and deletion endpoints does not limit formal requests sent to our contact address.

You can also complain to the Polish supervisory authority — Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl — or to the authority in your EU country of residence (Art. 77).

7. Cookies and website analytics

Our public website currently runs no analytics and no marketing trackers, and sets no cookies. It uses browser local storage — a similar storage technology — only for your cookie choice and language choice. No third-party script loads unless you have consented to the relevant category, and you can change or withdraw that consent at any time through Cookie settings in the website footer.

If we introduce analytics later we will use a cookieless, EU-hosted service that neither identifies visitors nor follows them between sites, it will load only after you accept the analytics category, and we will say so here first.

The web app uses two strictly necessary cookies to keep you signed in. They carry no tracking and are exempt from consent because the service cannot work without them. The complete, maintained list of cookies and stored values is published at https://sendforge.training/cookies.

The mobile app and the web app contain no analytics component at all.

8. Children

SendForge Training is intended for people aged 16 or over, and you confirm that you meet this age requirement when you accept the Terms of Service. We do not collect your date of birth or independently verify your age.

The launch service does not provide a parental-consent or guardian-managed account flow for younger athletes. If we learn that someone under 16 created or operates an account, we suspend or delete it after any verification required in the circumstances. Please tell us at contact@sendforge.training.

9. Security

Traffic between the apps and our servers is always encrypted with current TLS, and the mobile app refuses to run against an unencrypted address. Passwords are stored only as hashes and one-time codes only in hashed form, with a short lifetime and a cap on attempts. Sign-in tokens are held in your device's protected storage, and signing out or changing your password invalidates existing sessions at once. Sign-in and password endpoints are rate-limited and written so that they do not reveal whether an address is registered. App data is excluded from the operating system's automatic cloud backups. We review our dependencies for known vulnerabilities.

We do not run a public bug-bounty programme, but we welcome responsible-disclosure reports at contact@sendforge.training.

If a data breach occurs that is likely to put your rights at risk, we will notify the Polish supervisory authority within 72 hours (Art. 33) and tell affected users without undue delay where Art. 34 requires it.

10. Your acknowledgement, and changes to this policy

This policy and the Terms of Service each carry a version identifier — the date shown at the top of this document. When you create an account you acknowledge this policy and accept the Terms, and we record the relevant versions (see §2). The versions currently in force are always the ones published on our website.

If we change this policy materially, we will publish the new version here with a new identifier and effective date, tell registered users by email at least 30 days beforehand, and ask you to acknowledge it in the app. Where a change requires new consent, we ask for that consent separately. Until you acknowledge the notice, features that create new content may be unavailable. Minor corrections and clarifications take effect on publication.

11. Contact

For any privacy question, request, or security report:

CSHARK Sp. z o.o.
Wyspa Słodowa 7, 50-266 Wrocław, Poland
KRS: 0000524245 · NIP: 8971801698
contact@sendforge.training