Polityka prywatności

1. Dane, które zbieramy

Zbieramy wyłącznie to, co jest niezbędne do świadczenia usługi. Poniższe kategorie obejmują wszystko, co przechowujemy:

• Dane konta — adres e-mail, nazwa wyświetlana, hash hasła. Tworzone przy rejestracji; niezbędne do prowadzenia konta.
• Dane urodzeniowe — data, godzina i miejsce urodzenia. Traktujemy je jako wrażliwe, ponieważ służą do obliczenia Twojej karty urodzeniowej i mogą zostać powiązane z Twoją tożsamością. Są przechowywane tylko tak długo, jak istnieje Twoje konto, nigdy nie są sprzedawane ani udostępniane reklamodawcom.
• Płeć, status związku i podobne pola profilu — tylko jeśli zostały przez Ciebie podane, używane do personalizacji odczytów.
• Opisy snów i pytania w formie wolnego tekstu, które przesyłasz do interpretacji AI.
• Historia rozmów z AI — Twoje zapytania i odpowiedzi AI, abyś mógł(a) wracać do wcześniejszych odczytów.
• Metadane płatności — plan, kwota, waluta, identyfikator transakcji, kraj rozliczenia. Nie przechowujemy pełnych numerów kart; dane karty są obsługiwane bezpośrednio przez naszego dostawcę płatności.
• Dane techniczne — adres IP, user agent, informacje o urządzeniu i przeglądarce, preferencje językowe oraz pliki cookie niezbędne do utrzymania sesji.
• Analityka produktowa — za Twoją zgodą anonimowe zdarzenia dotyczące przeglądanych stron i używanych funkcji, abyśmy mogli ulepszać produkt.

2. Podstawa prawna przetwarzania

Zgodnie z art. 6 RODO przetwarzamy Twoje dane wyłącznie wtedy, gdy mamy ku temu podstawę prawną:

• Wykonanie umowy (art. 6 ust. 1 lit. b RODO) — dane konta, dane urodzeniowe, opisy snów, historia rozmów AI i dane płatnicze są przetwarzane w celu świadczenia usługi, na którą się zapisałeś(-aś).
• Zgoda (art. 6 ust. 1 lit. a oraz art. 9 ust. 2 lit. a RODO dla ewentualnych wrażliwych wniosków z danych urodzeniowych) — analityka, marketingowe pliki cookie i opcjonalne wiadomości marketingowe. Możesz wycofać zgodę w dowolnym momencie poprzez ustawienia cookie lub kontaktując się z nami.
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — bezpieczeństwo, zapobieganie nadużyciom, wykrywanie nieprawidłowości, podstawowe logi serwera oraz ulepszanie usługi. Wyważamy te interesy względem Twoich praw i wstrzymujemy przetwarzanie po sprzeciwie, gdy jest to wymagane.
• Obowiązek prawny (art. 6 ust. 1 lit. c RODO) — dokumentacja podatkowa, księgowa oraz odpowiedzi na zgodne z prawem żądania organów.

3. Jak wykorzystujemy Twoje dane

Wykorzystujemy Twoje dane, aby: (a) generować spersonalizowane horoskopy, karty urodzeniowe, interpretacje snów, raporty numerologiczne i analizy kompatybilności; (b) prowadzić Twoje konto, zapisywać historię i umożliwiać powrót do wcześniejszych odczytów; (c) przetwarzać płatności i zarządzać subskrypcjami; (d) zapewniać bezpieczeństwo usługi, zapobiegać nadużyciom i diagnozować problemy; (e) komunikować się z Tobą w sprawach konta oraz, za Twoją zgodą, w sprawach nowości produktowych. Nie sprzedajemy Twoich danych osobowych i nie wykorzystujemy ich do trenowania modeli AI stron trzecich.

4. Jak przechowujemy i chronimy Twoje dane

Twoje dane są przechowywane w zarządzanej bazie danych PostgreSQL z szyfrowaniem dysku w spoczynku oraz szyfrowaniem TLS w tranzycie. Hasła są przechowywane w postaci hashu z nowoczesnym, solonym algorytmem — nigdy nie widzimy Twojego hasła w postaci jawnej. Dostęp do systemów produkcyjnych jest ograniczony do upoważnionych inżynierów, wymaga indywidualnych poświadczeń i jest logowany. Regularnie wykonujemy kopie zapasowe bazy oraz testujemy procedury odtwarzania, abyśmy mogli odzyskać dane po awarii bez ich utraty.

5. Podmioty przetwarzające i dostawcy usług

Udostępniamy dane następującym podmiotom przetwarzającym wyłącznie w celu świadczenia usługi. Każdy z nich działa na podstawie umowy o powierzeniu przetwarzania danych, która wymaga zabezpieczeń równoważnych RODO:

• Anthropic, PBC (USA) — dostawca modelu Claude AI. Otrzymuje przesyłane przez Ciebie zapytania (opisy snów, pytania i kontekstowe dane karty urodzeniowej potrzebne do personalizacji odczytu) i zwraca wygenerowaną treść. Zgodnie z warunkami API Anthropic, zapytania i odpowiedzi nie są wykorzystywane do trenowania ogólnych modeli Anthropic; mogą być przechowywane przez ograniczony czas w celach monitorowania nadużyć i przeglądu bezpieczeństwa.
• Resend (UE, Frankfurt) — dostawa wiadomości transakcyjnych i lifecycle. Otrzymuje Twój adres e-mail, imię oraz treść wiadomości, które do Ciebie wysyłamy (potwierdzenie konta, reset hasła, codzienny horoskop, powiadomienia o płatnościach).
• Railway (USA) — hosting chmurowy i infrastruktura bazy danych dla API, frontu oraz zarządzanego PostgreSQL. Faktycznie przetwarza wszystkie dane przechowywane lub przesyłane przez usługę.
• PostHog (chmura UE, Frankfurt) — analityka produktowa. Aktywna dopiero po wyrażeniu przez Ciebie zgody w banerze cookie; otrzymuje pseudonimizowane dane o zdarzeniach i ścieżkach stron, abyśmy rozumieli, które funkcje są używane. Nie włączamy nagrywania sesji ani map cieplnych.
• Dla innych regionów (np. Polska, kryptowaluty) mogą zostać dodani kolejni operatorzy płatności. Zaktualizujemy tę listę zanim zaczną działać.

6. Międzynarodowe transfery danych

Niektóre podmioty przetwarzające znajdują się poza Europejskim Obszarem Gospodarczym, w szczególności Anthropic i Railway w Stanach Zjednoczonych. W przypadku takich transferów opieramy się na Standardowych Klauzulach Umownych (SCC) zatwierdzonych przez Komisję Europejską oraz, w stosownych przypadkach, dodatkowych środkach technicznych i organizacyjnych. Kopię odpowiedniego mechanizmu transferu można otrzymać, pisząc na [email protected].

7. Twoje prawa

Jeśli przebywasz w UE, Wielkiej Brytanii lub innej jurysdykcji o podobnych przepisach, przysługują Ci następujące prawa dotyczące Twoich danych osobowych:

• Prawo dostępu — możesz zażądać kopii danych osobowych, które o Tobie przechowujemy.
• Prawo do sprostowania — poprawienia niedokładnych lub niekompletnych danych, w tym danych urodzeniowych.
• Prawo do usunięcia — możesz zażądać usunięcia konta i danych osobowych („prawo do bycia zapomnianym”).
• Prawo do przenoszenia danych — otrzymania danych w ustrukturyzowanym, nadającym się do odczytu maszynowego formacie.
• Prawo do ograniczenia przetwarzania — wstrzymania przetwarzania na czas rozstrzygania sporu lub korekty.
• Prawo do sprzeciwu — wobec przetwarzania opartego na prawnie uzasadnionym interesie, włącznie z profilowaniem.
• Prawo do wycofania zgody — w odniesieniu do wszystkiego, co opiera się na zgodzie (analityka, marketing), możesz wycofać zgodę w dowolnym momencie, co nie wpływa na zgodność z prawem wcześniejszego przetwarzania.
• Prawo do złożenia skargi — do właściwego organu nadzorczego. W Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (UODO). W innych państwach UE — krajowy organ nadzorczy. Dla użytkowników z Ukrainy organem właściwym jest Pełnomocnik Rady Najwyższej Ukrainy ds. Praw Człowieka.

Aby skorzystać z któregokolwiek z tych praw, napisz na [email protected] z adresu powiązanego z Twoim kontem. Odpowiadamy w ciągu 30 dni; w sprawach złożonych termin może zostać przedłużony o kolejne dwa miesiące po uprzednim powiadomieniu.

8. Pliki cookie i analityka

Używamy niewielkiej liczby plików cookie. Ściśle niezbędne pliki cookie (token sesji, preferencje językowe, stan zgody na cookie) są ustawiane automatycznie i nie można ich wyłączyć — bez nich strona nie działa. Analityczne pliki cookie (PostHog) oraz ewentualne przyszłe pliki marketingowe są ustawiane wyłącznie po wybraniu przez Ciebie preferencji w naszym banerze. Możesz w każdej chwili zmienić swój wybór, kasując stan zgody na cookie lub kontaktując się z nami. Odrzucenie analityki nie wpływa na dostęp do żadnej funkcji.

9. Okres przechowywania danych

Przechowujemy dane konta, dane urodzeniowe i historię odczytów tak długo, jak Twoje konto jest aktywne. Jeśli usuniesz konto, usuwamy Twoje dane osobowe w ciągu 30 dni, z wyjątkiem: (a) dokumentów płatniczych i księgowych, przechowywanych do 7 lat zgodnie z prawem podatkowym i księgowym; (b) logów bezpieczeństwa i dostępu, przechowywanych do 90 dni; (c) danych, które jesteśmy zobowiązani przechowywać dłużej z mocy prawa. Logi rozmów z AI są przechowywane przez czas aktywności konta, abyś mógł(a) wracać do wcześniejszych odczytów; przy usunięciu konta są one usuwane razem z pozostałymi danymi.

10. Prywatność dzieci

Zoria nie jest przeznaczona dla użytkowników poniżej 16. roku życia. Nie zbieramy świadomie danych osobowych dzieci. Jeśli jesteś rodzicem lub opiekunem i uważasz, że dziecko przekazało nam dane osobowe, napisz na [email protected] — usuniemy konto.

11. Zmiany niniejszej polityki

Możemy aktualizować niniejszą Politykę prywatności w miarę rozwoju usługi lub zmian w prawie. Data „Ostatnia aktualizacja” u góry odzwierciedla najnowszą wersję. O istotnych zmianach (nowe podmioty przetwarzające dane wrażliwe, szersze wykorzystanie Twoich danych, zmiany Twoich praw) powiadomimy Cię e-mailem przed wejściem zmian w życie. Dalsze korzystanie z Zoria po dacie wejścia w życie oznacza akceptację.