Polityka Prywatności

1. Administrator danych

1.1. Administratorem danych osobowych przetwarzanych w serwisie DUELKI (dalej: "Serwis") jest Daniel Rolley (dalej: "Administrator").

1.2. Kontakt z administratorem: kontakt@duelki.pl, tel. 795 621 477. Adres: ul. Dickensa 27/78, Warszawa. NIP: w trakcie rejestracji.

2. Jakie dane zbieramy

2.1. Dane podawane dobrowolnie przez użytkownika:

• Imię (przy tworzeniu profilu)
• Zdjęcie profilowe (opcjonalne)
• Płeć (kobieta/mężczyzna)
• Linki do mediów społecznościowych: Instagram, TikTok, YouTube (opcjonalne)

2.2. Dane zbierane automatycznie:

• Adres IP (w celach bezpieczeństwa i ograniczenia nadużywania zgłoszeń)
• Statystyki głosowania (wynik ELO, liczba wygranych/przegranych)
• Data utworzenia profilu

2.3. Dane z konta Google (przy logowaniu przez Google):

• Adres e-mail
• Imię i nazwisko (z profilu Google)
• Zdjęcie profilowe Google

3. Cel przetwarzania danych

Dane osobowe przetwarzamy w następujących celach:

• Świadczenie usługi — wyświetlanie profilu w rankingu, umożliwienie głosowania (art. 6 ust. 1 lit. b RODO)
• Realizacja płatności — obsługa zakupu boostów, przetwarzanie transakcji przez Stripe (art. 6 ust. 1 lit. b RODO — wykonanie umowy)
• Bezpieczeństwo — ochrona przed nadużywaniem serwisu, spam, botami (art. 6 ust. 1 lit. f RODO — uzasadniony interes)
• Statystyki — anonimowe statystyki korzystania z serwisu (art. 6 ust. 1 lit. f RODO)

4. Okres przechowywania danych

4.1. Dane profilu są przechowywane do momentu jego usunięcia przez użytkownika.

4.2. Po usunięciu profilu, wszystkie powiązane dane (zdjęcie, głosy, statystyki) są trwale usuwane z serwerów.

4.3. Logi IP z systemu zgłoszeń są przechowywane przez maksymalnie 30 dni.

5. Udostępnianie danych

5.1. Dane osobowe nie są sprzedawane podmiotom trzecim.

5.2. Dane są przechowywane na serwerach Supabase (infrastruktura AWS, region EU — Frankfurt). Supabase pełni rolę podmiotu przetwarzającego dane na podstawie umowy powierzenia przetwarzania (DPA). Treść umowy DPA: https://supabase.com/legal/dpa

5.3. Zdjęcia profilowe są przechowywane w Supabase Storage.

5.4. Serwis korzysta z Google OAuth do logowania — Google przetwarza dane uwierzytelniania zgodnie ze swoją polityką prywatności.

5.5. Płatności są realizowane przez Stripe Payments Europe, Limited z siedzibą w Dublinie, Irlandia. Stripe przetwarza dane płatnicze (numer karty, data ważności, CVC) jako niezależny administrator danych w zakresie realizacji płatności. Polityka prywatności Stripe: https://stripe.com/privacy

5.6. Serwis korzysta z DiceBear API (api.dicebear.com) do generowania domyślnych awatarów. W ramach zapytania do DiceBear API przekazywany jest adres IP użytkownika. DiceBear nie otrzymuje żadnych innych danych osobowych.

6. Przekazywanie danych do państw trzecich

6.1. Dane użytkowników są przechowywane na serwerach w Unii Europejskiej (AWS, region eu-central-1, Frankfurt).

6.2. W ramach korzystania z Serwisu dane mogą być przekazywane do państw trzecich (w tym USA i Irlandii) w związku z korzystaniem z następujących usług:

• Google OAuth — uwierzytelnianie użytkowników (Google LLC, USA)
• Google Fonts — ładowanie czcionek (Google LLC, USA)
• Stripe — obsługa płatności (Stripe Payments Europe, Limited, Irlandia)

6.3. Przekazywanie danych do USA odbywa się na podstawie decyzji Komisji Europejskiej o adekwatności w ramach EU-US Data Privacy Framework oraz standardowych klauzul umownych (Standard Contractual Clauses, SCC).

6.4. Administrator korzysta wyłącznie z usługodawców, którzy zapewniają odpowiedni poziom ochrony danych osobowych zgodny z wymogami RODO.

7. Pliki cookie i localStorage

7.1. Serwis wykorzystuje localStorage przeglądarki do przechowywania:

• Preferencji motywu (ciemny/nocny/AMOLED)
• Zgody na cookies
• Informacji o streak/wyzwaniach dnia
• Ostatnio oglądanych profili
• Liczby odwiedzin (dla funkcji PWA)

7.2. Serwis nie używa plików cookie śledzących, analitycznych ani reklamowych.

7.3. Sesja logowania jest przechowywana przez Supabase Auth z użyciem tokenów JWT w localStorage.

7.4. Stripe może ustawiać pliki cookie o charakterze technicznym (niezbędne), służące do realizacji i zabezpieczenia płatności. Są to cookies wymagane do prawidłowego działania procesu płatności i nie wymagają zgody użytkownika.

8. Automatyczne przetwarzanie danych (profilowanie)

8.1. Serwis stosuje automatyczne przetwarzanie danych w postaci systemu rankingowego ELO. Na podstawie wyników głosowań algorytm oblicza wynik liczbowy (rating ELO) dla każdego profilu, który wpływa na pozycję w rankingu.

8.2. Profilowanie to nie wywołuje skutków prawnych ani nie wpływa istotnie na użytkownika w rozumieniu art. 22 RODO — służy wyłącznie do tworzenia rankingu w ramach rozrywkowej funkcjonalności Serwisu.

8.3. Użytkownik może w każdej chwili usunąć swój profil, co skutkuje trwałym usunięciem wszystkich powiązanych danych, w tym wyniku ELO.

8.4. Opis logiki algorytmu ELO: każdy nowy profil rozpoczyna z ratingiem 1000 punktów. Wygrana w głosowaniu powoduje wzrost ratingu, a przegrana — jego spadek. Wielkość zmiany zależy od różnicy ratingów między profilami. Algorytm nie uwzględnia płci, wieku, lokalizacji ani żadnych innych cech osobowych — opiera się wyłącznie na wynikach głosowań.

8.5. Użytkownik ma prawo sprzeciwu wobec profilowania na podstawie art. 21 RODO. Skorzystanie z tego prawa jest równoznaczne z usunięciem profilu z Serwisu, ponieważ system rankingowy ELO stanowi integralną część usługi.

9. Prawa użytkownika (RODO)

Zgodnie z RODO, każdemu użytkownikowi przysługuje:

• Prawo dostępu — możesz zapytać jakie dane o Tobie posiadamy (art. 15 RODO)
• Prawo do sprostowania — możesz poprosić o poprawienie błędnych danych (art. 16 RODO)
• Prawo do usunięcia ("prawo do bycia zapomnianym") — możesz usunąć swój profil samodzielnie lub poprosić nas o to (art. 17 RODO)
• Prawo do ograniczenia przetwarzania — możesz poprosić o ograniczenie sposobu wykorzystywania Twoich danych (art. 18 RODO)
• Prawo do przenoszenia danych — możesz poprosić o kopię swoich danych w ustrukturyzowanym formacie (art. 20 RODO)
• Prawo do sprzeciwu — możesz sprzeciwić się przetwarzaniu danych opartemu na uzasadnionym interesie (art. 21 RODO)
• Prawo do cofnięcia zgody — jeśli przetwarzanie oparte jest na zgodzie, możesz ją cofnąć w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem (art. 7 ust. 3 RODO)
• Prawo do skargi — możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa

Aby skorzystać z powyższych praw, skontaktuj się z nami: kontakt@duelki.pl. Odpowiadamy na zgłoszenia bez zbędnej zwłoki, nie później niż w ciągu 30 dni.

10. Osoby niepełnoletnie

10.1. Serwis jest przeznaczony dla osób, które ukończyły 16. rok życia.

10.2. Osoby poniżej 16 lat nie powinny korzystać z Serwisu ani podawać swoich danych osobowych.

10.3. Jeśli dowiemy się, że przetwarzamy dane osoby poniżej 16 lat bez zgody rodzica, niezwłocznie je usuwamy.

11. Bezpieczeństwo danych

11.1. Stosujemy następujące środki ochrony danych:

• Szyfrowane połączenie HTTPS
• Row Level Security (RLS) na poziomie bazy danych
• Ograniczenie dostępu API (rate limiting)
• Bezpieczne przechowywanie haseł (bcrypt przez Supabase Auth)

12. Zmiany polityki prywatności

12.1. Zastrzegamy sobie prawo do aktualizacji niniejszej Polityki Prywatności.

12.2. O istotnych zmianach poinformujemy przez powiadomienie w Serwisie.

12.3. Data ostatniej aktualizacji jest widoczna na górze tego dokumentu.

13. Kontakt

W sprawach związanych z prywatnością i ochroną danych osobowych:

• E-mail: kontakt@duelki.pl
• Telefon: 795 621 477
• Administrator: Daniel Rolley, ul. Dickensa 27/78, Warszawa