Ochrona prywatności

1 · Kto zarządza twoimi danymi

Administratorem danych w rozumieniu GDPR art. 4 ust. 7 jest zespół B2JK-Industry (hackathonowy zespół ETHSilesia 2026, Katowice, PL). Kontakt do spraw prawnych: e-mail w README repo. Publiczny kod źródłowy: github.com/B2JK-Industry/watt-city.

2 · Co dokładnie przechowujemy

Przechowujemy minimum — każde pole z konkretnym celem i terminem.

Czego NIE przechowujemy: e-mail, telefon, prawdziwe imię, adres IP, lokalizacja, fingerprint analityczny, third-party cookies, tagi remarketingowe. Nie używamy Google Analytics, Meta Pixel, Hotjar ani ekwiwalentów.

3 · Gdzie to fizycznie leży

• Baza Redis: Upstash, UE (Frankfurt). Sorted sets dla leaderboardów, JSON dla kont i pojedynków.
• Warstwa aplikacyjna: Vercel Edge + Node runtime, regiony UE.
• Kod: GitHub, prywatne repo podczas hackathonu, publiczne po zakończeniu.

4 · Twoje prawa według GDPR

• Art. 15 — dostęp: cała twoja ścieżka danych jest widoczna w dashboardzie (Waty, gry, pojedynki). Nic ukrytego.
• Art. 16 — sprostowanie: nazwy na razie nie można zmienić, ale można usunąć konto i założyć nowe.
• Art. 17 — usunięcie („right to be forgotten"): jedno kliknięcie w dashboardzie → usuwa konto, wyniki i wszystkie wpisy z leaderboardów.
• Art. 20 — przenośność: otwarte API /api/me (GET) zwraca twoje dane w JSON.
• Art. 21 — sprzeciw: podstawą prawną przetwarzania jest twoja zgoda przy rejestracji. Cofnięcie zgody = usunięcie konta.
• Art. 22 — automatyczne decydowanie: nie stosujemy. Leaderboard jest deterministyczny, pojedynek ma seed i stałe reguły.

5 · AI i dane

Gdy uruchomimy „AI wyzwanie dnia" (w roadmapie):

• Claude będzie generować tylko zadanie gry (quiz, słowa, liczby). Nigdy nie widzi twojej nazwy, wyniku ani ID.
• Wyniki AI publikujemy z odznaką 🤖 AI — nigdy nie udajemy, że napisał to człowiek.
• Twoich odpowiedzi do modelu AI nie wysyłamy. Zostają w naszym Upstash.
• Jeśli AI się pomyli (halucynacja), zgłoś to przez GitHub issue — naprawimy i redeployujemy.

6 · Bezpieczeństwo

• Hasła: scrypt z losową 16-bajtową solą (Node.js crypto.scryptSync).
• Sessions: HMAC-SHA256 podpisany cookie, HttpOnly, Secure, SameSite=Lax, 30-dniowy maxAge.
• Wejścia API walidowane przez Zod (żadnego „anything goes").
• Incident response: jeśli znajdziesz podatność, napisz przez GitHub security advisory.

7 · Dzieci i młodzież

Platforma celuje w Gen Z (15–20 lat). Dla osób młodszych niż 16 (w PL próg GDPR dla zgody) zalecamy zgodę rodzica. Nie zbieramy żadnych danych osobowych pozwalających identyfikować dziecko poza grą.