Polityka Prywatności i Ochrona Danych (RODO)

Wersja z dnia 1 listopada 2026 r.

1. Administrator Danych Osobowych

Administratorem danych osobowych przetwarzanych w ramach Serwisu tirka.pl jest operator Serwisu. W sprawach związanych z ochroną danych osobowych wniosek składa się przyciskiem „Zgłoś” w widoku mapy (powód „inne”) albo e-mailem na adres kontakt@tirka.pl. Oba kanały trafiają do operatora Serwisu wraz z pozostałymi zgłoszeniami treści.

2. Jakie dane przetwarzamy i w jakim celu?

Przetwarzamy dane osobowe zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO):

• Rejestracja i obsługa Konta: adres e-mail, zabezpieczony kryptograficznie skrót hasła (scrypt), publiczny pseudonim (nick) — w celu świadczenia usługi drogą elektroniczną (art. 6 ust. 1 lit. b RODO).
• Weryfikacja pełnoletniości (18+ gate): rok urodzenia deklarowany podczas rejestracji oraz skrót adresu IP w rejestrze oświadczeń — w celu wypełnienia obowiązków prawnych związanych z ochroną małoletnich przed treściami dla dorosłych (art. 6 ust. 1 lit. c RODO).
• Bezpieczeństwo i ochrona przed nadużyciami: skróty adresów IP przetwarzane przez mechanizmy ograniczania liczby żądań (rate limiting) oraz audyt operacji — na podstawie prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO).
• Treści użytkownika: komentarze, raporty obecności, oceny i przesłane zdjęcia — publikowane dobrowolnie przez użytkownika w ramach społeczności.
• Pozycja urządzenia (opcjonalnie): jeśli zezwolisz na to w przeglądarce, zapisujemy ją wyłącznie w pamięci Twojego urządzenia na 30 dni, żeby mapa pokazywała odległości do punktów. Nie trafia do API ani do Konta, a zgodę możesz wycofać w każdej chwili, czyszcząc dane strony (art. 6 ust. 1 lit. a RODO).

3. Pliki cookies i technologie lokalne

1. Serwis wykorzystuje wyłącznie niezbędne pliki cookies oraz technologie pamięci przeglądarki:

• kurewki_sid — bezpieczny plik cookie sesji (HttpOnly, SameSite, Secure w produkcji) służący wyłącznie do utrzymania zalogowania. Ustawia go API przy logowaniu; nie zawiera danych osobowych, tylko identyfikator sesji. Nazwa pochodzi z konfiguracji API i nie zmienia się bez zmiany tego dokumentu.
• localStorage: kurewki-theme — lokalny zapis preferencji trybu ciemnego/jasnego.
• localStorage: kurewki:position — Twoja ostatnia pozycja z przeglądarki, trzymana 30 dni, żeby mapa otwierała się w Twojej okolicy. Zapisujemy ją tylko na Twoim urządzeniu i używamy wyłącznie do liczenia odległości do punktów; nie jest częścią Konta.
• sessionStorage: kurewki:sesja — wynik pytania „czy jestem zalogowany” (nick, rola, ewentualnie adres e-mail), trzymany 10 minut **w obrębie jednej karty**, żeby nie odpytywać API przy każdym przejściu na inną stronę. Znika po zamknięciu karty, po wylogowaniu i po odpowiedzi 401 z API.
• localStorage: kurewki:recent-spots, kurewki:recent-searches, kurewki:haptics, kurewki:pwa:ios-dismissed — historia ostatnio otwieranych punktów i wpisanych zapytań, preferencja wibracji oraz informacja, że podpowiedź „dodaj do ekranu głównego" została zamknięta.
• localStorage: kurewki:offline:spots, kurewki:offline:regions, kurewki:offline:region-cities:, kurewki:offline:city:, kurewki:offline:favorites, kurewki:offline:spot-details, kurewki:offline:spot-comments, kurewki:offline:spot-presence, kurewki:offline:outbox — kopia danych do trybu offline (punkty, województwa, miasta, ulubione, komentarze, raporty obecności, szczegóły punktów) oraz kolejka wpisów dodanych bez internetu, wysyłana po odzyskaniu połączenia.

2. Serwis nie stosuje inwazyjnych sieci reklamowych. Nie wysyłamy do Google ani jednego żądania, dopóki nie klikniesz „Zgadzam się” w pasku zgody — do tego momentu działa wyłącznie opisana wyżej analityka pierwszej strony (bez ciasteczek, bez zewnętrznych skryptów).

3. Po Twojej zgodzie włączamy Google Analytics 4 (dostawca: Google Ireland Limited) w trybie Consent Mode v2. Wtedy Google ustawia ciasteczka _ga i _ga_<identyfikator> (do 13 miesięcy) oraz zapisuje w localStorage klucz tirka:zgoda-analityka z Twoją decyzją. Zbieramy zagregowane statystyki odsłon (adres strony, typ urządzenia, przybliżona lokalizacja na poziomie miasta, źródło wejścia) — nie łączymy ich z Kontem, nie używamy do reklam i nie przekazujemy dalej w celach marketingowych. Zgodę możesz wycofać w każdej chwili, czyszcząc dane witryny w przeglądarce (wtedy pasek pojawi się ponownie) albo pisząc na kontakt@tirka.pl.

4. Jak długo przechowujemy dane

Okresy wynikają wprost z konfiguracji Serwisu, nie z ogólnego „tak długo, jak to konieczne” — każdy z nich można sprawdzić w kodzie i w rejestrze zmian:

• Sesje logowania — 30 dni. Po tym czasie cookie kurewki_sid wygasa i trzeba zalogować się ponownie. Wylogowanie usuwa sesję natychmiast.
• Rejestr oświadczeń 18+ — 180 dni. Skrót adresu IP i data potwierdzenia pełnoletności; dane służą wyłącznie wykazaniu, że dostęp do treści dla dorosłych został poprzedzony oświadczeniem.
• Pozycja urządzenia — 30 dni. Tylko w pamięci przeglądarki (kurewki:position); po 30 dniach wygasa sama, a my nigdy jej nie widzimy.
• Zdarzenia analityczne — 400 dni. Zdarzenia techniczne bez pełnego adresu IP; po tym okresie są usuwane automatycznie, a raporty powstają wyłącznie w postaci zagregowanej.
• Kolejka wysyłki (outbox) — 7 dni. Wpisy techniczne potrzebne do doręczenia powiadomień; po dostarczeniu lub po 7 dniach są usuwane.
• Konto i treści — do usunięcia konta. Usunięcie konta anonimizuje treści (nick zastępowany anonimowym), a dane logowania są wymazywane trwale.

5. Twoje prawa na gruncie RODO

Każdemu użytkownikowi przysługują następujące uprawnienia:

• Prawo dostępu i przenoszenia danych (art. 15 i 20 RODO): Użytkownik może w dowolnym momencie pobrać kompletną maszynową kopię wszystkich swoich danych (w formacie JSON) bezpośrednio z panelu profilu (przycisk „Pobierz eksport JSON”).
• Prawo do bycia zapomnianym / usunięcia danych (art. 17 RODO): Użytkownik może w każdej chwili trwale usunąć swoje konto z poziomu profilu (przycisk „Usuń konto”). Usunięcie skutkuje natychmiastowym anulowaniem sesji, wymazaniem adresu e-mail, hasła i nicku (zastąpienie nickiem anonimowym), co uniemożliwia jakąkolwiek późniejszą identyfikację.
• Prawo do sprostowania (art. 16 RODO): Zmiana nicku oraz hasła jest dostępna samodzielnie w ustawieniach Konta.
• Prawo wniesienia skargi: Użytkownik ma prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), jeżeli uzna, że przetwarzanie jego danych narusza przepisy prawa.

6. Numery telefonów i dane wrażliwe

Strony katalogu nie zawierają numerów telefonów: budujemy je z eksportu, w którym pola telefonu nie ma, więc w HTML nie znajdziesz ani numeru, ani odnośnika tel:. Numer lokalu jest polem danych punktu w API — od 2 listopada 2026 zwracanym wprost, bez maskowania i bez limitu odsłon (wcześniejsza zasada maskowania, ADR-0023, została uchylona decyzją właściciela serwisu).

Inaczej traktujemy numery w treści wpisów. Są usuwane przy zapisie i powtórnie przy eksporcie, także wtedy, gdy ktoś rozbija je separatorami (gwiazdkami, myślnikami, spacjami); wpis, z którego po usunięciu numeru nie zostaje zdanie, nie jest publikowany. Numery osób prywatnych są odrzucane przez moderację, podobnie jak imiona i nazwiska osób, adresy prywatne i tablice rejestracyjne — to zakazuje regulamin, a nie tylko filtr. Adres lokalu bywa publikowany, ale wyłącznie jako adres firmy z jej publicznej wizytówki, nie adres osoby.