Polityka prywatności

Kto przetwarza dane

Ten techniczny draft nie zawiera jeszcze pełnej nazwy, adresu ani zatwierdzonych danych kontaktowych administratora. Właściciel musi je uzupełnić i poddać dokument zewnętrznemu przeglądowi prawnemu przed publikacją jako finalnej polityki. Brak tej decyzji blokuje uruchomienie produktu; automatyczna analiza kodu nie jest zatwierdzeniem prawnym.

Co zapisujemy

• Konto — imię lub nazwa, którą podasz. O adres e-mail nie prosimy i nie zbieramy go przy rejestracji; dostęp do konta odzyskujesz zapisanym linkiem. Część kont przeniesionych ze starszej wersji serwisu ma adresy podane wcześniej — te przechowujemy nadal.
• Twoje cele — nazwa, opis, kategoria i wybrana widoczność. To Ty decydujesz, czy cel jest prywatny, czy publiczny. Nowe konta zaczynają od „tylko ja”. Trzecia opcja, „znajomi”, dotyczy wyłącznie kont należących do kręgu założycielskiego — konto założone samodzielnie do żadnego kręgu nie należy, więc tej opcji nie zobaczysz. Pokazywanie jej znaczyłoby „widoczny dla grupy, w której nie ma nikogo”.
• Deklaracje i komentarze — to, że chcesz zrobić dany cel, i to, co przy nim napiszesz.
• Wiadomości między ludźmi — jeśli kontakt zostanie uruchomiony po spełnieniu bramek opisanych niżej, zapiszemy treść, uczestników wątku, czas, stan dostarczenia i odczytu, identyfikator ponowienia oraz informację, czy świadomie potwierdzono ujawnienie danych kontaktowych lub dokładnej lokalizacji. Obecnie wysyłanie pierwszej wiadomości do obcej osoby pozostaje wyłączone.
• Blokady, zgłoszenia i odwołania — przygotowany model zapisuje kategorię i opis zgłoszenia, status, priorytet, decyzję, ograniczenie oraz ślad audytowy. Dowód może zawierać kopię widocznego profilu, wiadomości lub komentarza z chwili zgłoszenia. Dokładny okres przechowywania tych danych nie został jeszcze zatwierdzony.
• Opcjonalny profil osób — wybrana nazwa wyświetlana, opis, umiejętności, języki, przybliżony region, tryb działania i dostępność. Profil nie powstaje przy rejestracji i pozostaje ukryty, dopóki samodzielnie nie włączysz odkrywania. Nazwa wyświetlana, nagłówek i opis są wtedy zawsze publiczne. Osobne ustawienia widoczności dotyczą umiejętności, języków, przybliżonego regionu, trybu działania i dostępności.
• Zgody na dopasowanie celu — osobno zapisujemy, które z Twoich celów wolno wykorzystać jako powód dopasowania. Samo dołączenie do celu nie jest taką zgodą.
• Zdarzenia techniczne — zapis wybranych działań w produkcie i ich ograniczonych metadanych, na przykład utworzenia, dołączenia lub ukończenia celu, żeby mierzyć działanie produktu i diagnozować awarie.

Czego nie robimy

• Nie sprzedajemy danych.
• Nie wyświetlamy reklam i nie osadzamy skryptów śledzących reklamodawców.
• Nie pokazujemy nikomu Twoich celów prywatnych. Cele oznaczone jako „znajomi” widzą wyłącznie osoby z kręgu — nie każdy, kto ma konto, i nie osoby, które zarejestrowały się same.
• Na stronach publicznych nie pokazujemy pełnych imion — wyłącznie inicjały.
• Ukrytego profilu ani ukrytego pola nie używamy w wyszukiwaniu, filtrach i powodach dopasowania. Dopasowanie po wspólnym celu wymaga zgody obu osób. Wyłączenie odkrywania usuwa profil z wyników i rekomendacji nie później niż w ciągu 60 sekund.

Profil osób i dopasowania

Katalog osób działa wyłącznie dla zalogowanych osób, które włączyły własny profil. Inni użytkownicy widzą losowy publiczny identyfikator profilu, a nie wewnętrzny numer konta. Wyłączenie profilu nie usuwa konta, celów ani planu; ręczny katalog i realizacja celu nadal działają bez profilu społecznościowego.

Katalog nie ma osobnych pól adresu e-mail, telefonu ani dokładnej lokalizacji i aplikacja nie dodaje tych danych automatycznie. Nie wpisuj ich jednak w nazwę wyświetlaną, nagłówek, opis ani inne pole profilu. Po włączeniu odkrywania nazwa, nagłówek i opis są widoczne oraz wyszukiwalne, a opublikowane pola opcjonalne także zobaczą inni użytkownicy. Przybliżony region nie powinien zawierać dokładnego adresu. Wyszukiwanie profili nie uruchamia modelu AI.

Kontakt z innymi osobami i moderacja

Kontakt z nowymi osobami jest obecnie zamknięty przez wyłączoną flagę serwera. Samo istnienie ekranów, modeli i API nie oznacza, że można wysłać wiadomość. Po ewentualnym włączeniu flagi runtime sprawdzi kompletność wymaganej konfiguracji oraz pasujący, aktywny rekord operatora z uprawnieniami do triage, decyzji i odwołań. Zapytania do wykonawców są osobno niedostępne, ponieważ nie ma zweryfikowanego modelu wykonawców i ich zgody na kontakt.

Te kontrole techniczne nie dowodzą, że skrzynka zgłoszeń jest monitorowana, SLA i procedura incydentu są zatwierdzone, istnieje dyżur ani że działają zadania retencji. Są to osobne, ręczne bramki wydania. Przed włączeniem kontaktu trzeba zatwierdzić cel i podstawę przetwarzania, okresy retencji wiadomości i dowodów safety oraz procesy redakcji, wygaszania, usuwania i ponownego usunięcia po odtworzeniu kopii zapasowej. Nie ma dziś takiej akceptacji ani monitorowanych zadań, więc flaga musi pozostać wyłączona.

Komu przekazujemy dane

Funkcja rozpisania celu może wysłać ograniczony kontekst do zewnętrznego procesora modelu, za pośrednictwem naszej bramy. Jeśli nie mamy kompletnej, zweryfikowanej informacji o procesorze, retencji i regionie transferu, żądanie nie jest wysyłane.

Kompas nie dostaje automatycznie Twojego imienia ani listy Twoich celów, w tym prywatnych. Przed pierwszym zewnętrznym wywołaniem pokazujemy informacje o procesorze, transferze i retencji oraz wymagamy osobnej, trwałej zgody przypisanej do konta. Możesz ją później cofnąć. Po udzieleniu aktualnej zgody Kompas może wysłać wiadomość, którą właśnie wpisujesz, do dwunastu wcześniejszych wiadomości tej rozmowy oraz publiczne rekordy katalogu pobrane przez serwerowe narzędzie. Brak kompletnych informacji o governance albo aktualnej zgody blokuje wysyłkę. Ręczne wyszukiwanie, katalog i plan działają bez modelu.

W funkcjach przypisanych do konkretnego celu przed pierwszym wysłaniem pokazujemy dokładny adres bramy, nazwę procesora, link do jego polityki, okres retencji oraz region transferu. Zgodę wyrażasz osobno dla danego celu i zastosowania: przygotowania opracowania albo rozmowy o celu. Decyzję zapisujemy, możesz ją później cofnąć, a po zmianie informacji prosimy o zgodę ponownie. Cofnięcie zatrzymuje przyszłe wysyłki; nie odwołuje żądania, które zostało już wysłane.

Rozpisanie celu wysyła wyłącznie kategorię zwalidowaną przez serwerową listę. Rozmowa może dodatkowo zawierać zapisane opracowanie, do dziesięciu ostatnich wiadomości tego wątku i wiadomość, którą właśnie wysyłasz. Tekst przechodzi lokalną redakcję rozpoznawalnych URL-i, e-maili, telefonów, współrzędnych i adresów oraz limity długości. Nie dołączamy automatycznie nazwy ani opisu celu, imienia rozmówcy, składu ekipy ani dokładnej lokalizacji.

Linki do partnerów (model biznesowy) prowadzą przez nasze przekierowanie, które zlicza kliknięcie. Po przejściu na stronę partnera obowiązuje już jego polityka prywatności.

Jak długo

Pełna macierz retencji nie została zatwierdzona. Nie podajemy więc pozornego terminu dla zdarzeń technicznych, wiadomości ani danych moderacyjnych. Każda klasa wymaga właściciela, celu i podstawy, terminu oraz monitorowanego procesu wykonania. Do czasu tej decyzji kontakt z obcymi pozostaje wyłączony, a wydanie produktu jest zablokowane.

Lokalna operacja usunięcia konta odbiera zwykły dostęp i usuwa lub kaskadowo odłącza między innymi konto, własne cele i plany, profil, uczestnictwo w wiadomościach oraz blokady. Nie usuwa jednak obecnie całego śladu safety: zgłoszenie, odwołanie, ograniczenie i audit mogą zachować kopię treści, powód, publiczne identyfikatory i metadane po odłączeniu identyfikatora konta. Nie działa jeszcze zatwierdzony job redakcji lub wygaśnięcia ani ledger ponownego usunięcia po odtworzeniu backupu. Dlatego nie obiecujemy, że kliknięcie usunięcia konta natychmiast usuwa każdą taką kopię.

Opracowanie AI, rozmowa o konkretnym celu i jej historia zgód są powiązane z celem. Globalne tury Kompasu i jego historia zgód są natomiast powiązane z kontem. Okres po stronie zewnętrznego procesora musi być pokazany przed zgodą; bez zweryfikowanej informacji żądanie nie jest wysyłane. Lokalny okres dla wszystkich tych rekordów także wymaga zatwierdzenia w macierzy retencji.

Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania oraz przeniesienia, zgodnie z mającymi zastosowanie przepisami. Roboczy adres serwisu to kontakt@zyje.com, ale przed uruchomieniem właściciel musi potwierdzić jego obsługę, wskazać administratora i zatwierdzić proces realizacji wniosków. Nie deklarujemy niezweryfikowanego operacyjnego terminu odpowiedzi. Przysługuje Ci też skarga do Prezesa Urzędu Ochrony Danych Osobowych.

Ciasteczka i pamięć przeglądarki

Używamy jednego niezbędnego, własnego ciasteczka do utrzymania zalogowanej sesji. W produkcji ma nazwę __Host-zyje-refresh, jest hostowe i ma ustawienia HttpOnly, Secure oraz SameSite=Lax. Kod JavaScript strony nie może odczytać jego wartości. Ciasteczko wygasa wraz z sesją albo jest usuwane przy wylogowaniu.

Krótkotrwały token dostępu pozostaje tylko w pamięci działającej karty. Bieżąca aplikacja nie zapisuje poświadczeń w localStorage ani sessionStorage i usuwa pozostawione tam kopie ze starszej wersji. Nie używamy ciasteczek reklamowych ani analitycznych podmiotów trzecich.