Polityka Prywatności

Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych użytkowników serwisu Wróżby365.pl. Administratorem danych osobowych jest:

Administrator przetwarza dane zgodnie z:

• Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO),
• ustawą o świadczeniu usług drogą elektroniczną,
• ustawą o prawach konsumenta,
• innymi obowiązującymi przepisami prawa.

Dane podawane przez Użytkownika:

• adres e-mail,
• imię (jeżeli zostanie podane przy rejestracji),
• hasło wyłącznie w postaci solonego, jednokierunkowego skrótu kryptograficznego,
• dane uzyskane z profili dostawców OAuth (Google, Facebook), jeżeli Użytkownik wybierze taką metodę logowania — zakres określają polityki tych dostawców,
• historia zakupów,
• historia rozmów,
• zgody marketingowe,
• informacje przekazane podczas kontaktu z obsługą.

Dane techniczne:

• adres IP,
• w przypadku IPv6 — znormalizowany prefiks sieci /64 zamiast pełnego adresu urządzenia,
• skrót device fingerprint wyprowadzony w przeglądarce z jej cech technicznych,
• identyfikatory sesji,
• pseudonimowe identyfikatory limitów bezpieczeństwa tworzone jako HMAC z adresu IP, adresu e-mail lub identyfikatora konta,
• po usunięciu konta — ograniczone czasowo skróty HMAC adresu e-mail, IP i fingerprintu służące wyłącznie ochronie jednorazowego trialu,
• logi systemowe,
• dane analityczne,
• informacje o aktywności w Serwisie.

Dane płatnicze:

Płatności realizowane są przez operatora Stripe Payments Europe Ltd. Administrator nie przechowuje pełnych danych kart płatniczych — dane te przetwarzane są wyłącznie przez Stripe zgodnie ze standardami PCI DSS.

Dane mogą być przetwarzane w celu:

• świadczenia usług elektronicznych,
• prowadzenia konta użytkownika,
• potwierdzenia własności adresu e-mail i odzyskania dostępu,
• realizacji płatności,
• obsługi zakupionych minut,
• utrzymania historii rozmów,
• zapewnienia bezpieczeństwa Serwisu,
• przeciwdziałania oszustwom i nadużyciom,
• wykrywania multi-kont i obchodzenia Triali,
• rozpatrywania reklamacji,
• kontaktu z Użytkownikiem,
• prowadzenia analiz i statystyk,
• ulepszania usług,
• dochodzenia roszczeń,
• realizacji obowiązków prawnych.

Serwis oferuje usługi o charakterze rozrywkowym.

Rozmowy w Serwisie prowadzone są z wykorzystaniem systemów sztucznej inteligencji wspomagających generowanie odpowiedzi. Treści rozmów mogą być przekazywane do zewnętrznych dostawców modeli językowych (procesorów AI) wyłącznie w celu wygenerowania odpowiedzi. Treści te mogą być również analizowane automatycznie w celu:

• poprawy jakości usług,
• zapewnienia bezpieczeństwa,
• wykrywania nadużyć,
• moderacji treści,
• przeciwdziałania fraudom.

Administrator nie podejmuje wobec Użytkownika decyzji wywołujących dla niego skutki prawne wyłącznie w sposób zautomatyzowany w rozumieniu art. 22 RODO — automatyczne mechanizmy bezpieczeństwa podlegają nadzorowi człowieka, a Użytkownik ma prawo do zakwestionowania rozstrzygnięcia poprzez kontakt na adres kontakt@wrozby365.pl.

Dane przetwarzane są na podstawie:

• art. 6 ust. 1 lit. b RODO — wykonanie umowy (świadczenie usług, rejestracja konta, realizacja zakupu minut),
• art. 6 ust. 1 lit. c RODO — obowiązki prawne (np. obowiązki rachunkowe, podatkowe, reklamacje),
• art. 6 ust. 1 lit. f RODO — uzasadniony interes Administratora,
• art. 6 ust. 1 lit. a RODO — zgoda Użytkownika (np. marketing, cookies opcjonalne).

Uzasadniony interes Administratora obejmuje m.in.:

• ochronę przed oszustwami,
• bezpieczeństwo usług,
• analizę jakości usług,
• dochodzenie roszczeń,
• ochronę przed chargebackami.

Serwis przechowuje historię rozmów potrzebną do realizacji usługi. Użytkownik może z poziomu konta pobrać kopię danych lub usunąć całe konto. W sprawie usunięcia konkretnej treści może również napisać na adres kontaktowy Administratora.

Po usunięciu konta:

• profil, dane logowania, pamięć doradcy i historia rozmów są usuwane z aktywnej bazy danych,
• organiczne opinie użytkownika, wraz z ich komentarzami, są usuwane,
• zagregowane dane o użyciu modeli AI są pozbawiane identyfikatora użytkownika i sesji,
• ograniczone logi audytowe mogą zostać zachowane dla bezpieczeństwa i ochrony roszczeń po usunięciu treści oraz zastąpieniu identyfikatora losowym znacznikiem,
• rekordy zamówień, płatności, zwrotów i sporów mogą być przechowywane przez okres wymagany przepisami rachunkowymi i podatkowymi. Bezpośrednia relacja z profilem użytkownika jest odłączana, lecz identyfikatory transakcji Stripe pozostają dla uzgodnień finansowych.
• pseudonimowy znacznik anti-fraud (HMAC adresu e-mail oraz, jeżeli były dostępne, IP i fingerprintu) jest przechowywany przez 365 dni od ostatniego usunięcia konta. Nie zawiera surowych wartości i służy wyłącznie zapobieganiu ponownemu przyznaniu tego samego trialu.
• skróty jednorazowych tokenów weryfikacji e-mail i resetu hasła są usuwane najpóźniej 30 dni po ich wygaśnięciu; surowe tokeny nie są zapisywane w bazie,

Kopie zapasowe są nadpisywane w zwykłym cyklu retencji dostawcy infrastruktury; przez ten czas usunięte dane nie są przywracane do bieżącego użycia poza procedurą odzyskiwania po awarii.

Administrator może przechowywać archiwalne dane przez okres niezbędny do:

• zapewnienia bezpieczeństwa,
• rozpatrywania reklamacji,
• przeciwdziałania nadużyciom,
• ochrony prawnej Administratora,
• realizacji obowiązków prawnych (np. dane rozliczeniowe — 5 lat zgodnie z przepisami podatkowymi).

Konto nieaktywne przez okres 12 miesięcy może zostać usunięte lub zarchiwizowane po uprzednim powiadomieniu Użytkownika.

W celu przeciwdziałania nadużyciom Administrator może stosować:

• analizę adresów IP,
• device fingerprint,
• analizę aktywności,
• porównanie pseudonimowych fingerprintów,
• analizę płatności,
• automatyczne systemy bezpieczeństwa.

Dane mogą być wykorzystywane do:

• wykrywania multi-kont,
• wykrywania prób obchodzenia Triali,
• ograniczania fraudów i chargebacków.

Administrator może automatycznie ograniczyć dostęp do usług w przypadku wykrycia podejrzanej aktywności. Użytkownik ma prawo do odwołania się od takiej decyzji poprzez kontakt z obsługą Serwisu.

Podstawą przechowywania 365-dniowego znacznika po usunięciu konta jest prawnie uzasadniony interes Administratora polegający na ochronie usługi przed wielokrotnym wykorzystaniem jednorazowego świadczenia. HMAC jest pseudonimizacją, a nie szyfrowaniem ani pełną anonimizacją.

Dane mogą być przekazywane podmiotom współpracującym z Administratorem na podstawie umów powierzenia przetwarzania danych (DPA) zgodnie z art. 28 RODO. Aktualna i pełna lista podprocesorów wraz z linkami do ich umów powierzenia, lokalizacją serwerów i mechanizmami transferu danych dostępna jest na stronie:

wrozby365.pl/sub-processors

Główne kategorie podprocesorów obejmują:

• operatora płatności (Stripe),
• dostawcę bazy danych (Neon; region zgodny z bieżącą konfiguracją infrastruktury),
• dostawcę hostingu i infrastruktury (Vercel),
• dostawcę infrastruktury limitów bezpieczeństwa (Upstash), który otrzymuje wyłącznie pseudonimowe identyfikatory HMAC,
• dostawcę modeli sztucznej inteligencji (OpenAI),
• dostawcę poczty transakcyjnej (Resend),
• dostawców OAuth (Google, Meta) — jeżeli Użytkownik wybierze taką metodę logowania,
• kancelarie prawne i podmioty księgowe — w zakresie niezbędnym do obsługi prawnej i rachunkowej.

Niektórzy z podprocesorów mogą mieć siedzibę poza Europejskim Obszarem Gospodarczym. W takich przypadkach przekazanie danych następuje na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską oraz, gdy ma to zastosowanie, EU–US Data Privacy Framework (DPF).

Administrator zobowiązuje się informować Użytkowników o zmianach na liście podprocesorów z co najmniej 30-dniowym wyprzedzeniem.

Użytkownik ma prawo do:

• dostępu do swoich danych,
• sprostowania danych,
• usunięcia danych („prawo do bycia zapomnianym”),
• ograniczenia przetwarzania,
• przenoszenia danych,
• sprzeciwu wobec przetwarzania,
• cofnięcia zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem),
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

W celu realizacji swoich praw prosimy o kontakt na adres kontakt@wrozby365.pl. Odpowiadamy w terminie do 30 dni.

Administrator stosuje środki techniczne i organizacyjne mające na celu ochronę danych — adekwatne do ryzyka, zgodnie z art. 32 RODO.

Dane są chronione przed:

• utratą,
• nieuprawnionym dostępem,
• ujawnieniem,
• zniszczeniem,
• modyfikacją.

Hasła przechowywane są wyłącznie w postaci jednokierunkowo zaszyfrowanej (hash z solą). Transmisja danych odbywa się z wykorzystaniem szyfrowania TLS. Identyfikatory używane przez zewnętrzny mechanizm limitowania żądań są przed wysłaniem pseudonimizowane HMAC, a analityka tego mechanizmu jest wyłączona.

Serwis wykorzystuje pliki cookies oraz podobne technologie.

Cookies mogą być wykorzystywane w celu:

• utrzymania sesji,
• logowania,
• analityki,
• bezpieczeństwa,
• wykrywania nadużyć,
• personalizacji usług.

Użytkownik może zarządzać cookies z poziomu swojej przeglądarki.

Szczegółowe informacje znajdują się w Polityce Cookies.

Administrator może przesyłać informacje marketingowe wyłącznie po uzyskaniu zgody Użytkownika.

Wiadomości transakcyjne (potwierdzenia zakupu, reset hasła, informacje o stanie konta) wysyłane są na podstawie wykonania umowy i nie wymagają osobnej zgody marketingowej.

Użytkownik może wycofać zgodę marketingową w dowolnym momencie.

Serwis przeznaczony jest wyłącznie dla osób pełnoletnich.

Administrator nie zbiera świadomie danych osób poniżej 18. roku życia. W przypadku stwierdzenia założenia konta przez osobę niepełnoletnią konto zostanie zablokowane, a dane usunięte.

Administrator może zmieniać niniejszą Politykę Prywatności.

Aktualna wersja publikowana jest w Serwisie. O istotnych zmianach Administrator poinformuje Użytkowników z 7-dniowym wyprzedzeniem.

W sprawach związanych z ochroną danych osobowych można kontaktować się pod adresem: kontakt@wrozby365.pl.