Polityka prywatności

Obowiązuje od 25 października 2026

Ta polityka wyjaśnia, jakie dane zbiera gra „Zorya: Świat we mgle” dostępna pod adresem https://zorya.quest, po co, komu je powierzamy i jak możesz je usunąć.

1. Administrator danych

Administratorem danych jest Tomasz Watras, prowadzący działalność gospodarczą pod firmą Houda Tomasz Watras, ul. Żelazna 2, 40-851 Katowice, NIP 6292324622, REGON 521571765. W sprawach danych osobowych pisz na hallo@zorya.quest.

2. Jakie dane zbieramy

Profil ze Stravy. Po zalogowaniu przez Stravę dostajemy identyfikator Twojego konta, imię, nazwisko i adres zdjęcia profilowego oraz tokeny, którymi gra pobiera Twoje aktywności. Nie dostajemy Twojego hasła ani adresu e-mail. Imię i nazwisko możesz zmienić w profilu gracza; zmiana dotyczy tylko gry.
Aktywności ze Stravy, wykonane od chwili dołączenia do gry: identyfikator, nazwa, data, dystans, czas ruchu i uproszczony przebieg trasy. Zakres uprawnień activity:read_all obejmuje także aktywności ustawione w Stravie jako widoczne tylko dla Ciebie. Aktywności bez trasy (np. na trenażerze) gra pomija.
Lokalizacja urządzenia, jeśli na nią pozwolisz w przeglądarce. Punkt, w którym zaczynasz grę, zapisujemy na koncie (od niego zaczyna się odkryta mapa). Bieżąca pozycja służy tylko do podglądu mgły wokół Ciebie: przetwarza ją Twoja przeglądarka i nie wysyła jej na serwer.
Stan gry: odkryty teren, zebrane kryształy i punkty.
Karta rycerza: herb, przydomek i forma rangi (męska albo żeńska), jeśli je wybierzesz. Forma rangi służy tylko do odmiany jej nazwy.
Wsparcie (Strażnicy ogniska), jeśli wspierasz grę: identyfikator klienta w Stripe, plan, daty wsparcia, imię wpisane do Galerii strażników i zgoda na jego pokazanie. Adres e-mail, dane karty lub BLIK i adres rozliczeniowy podajesz bezpośrednio Stripe; danych karty nie widzimy.
Zgłoszenia i wiadomości, jeśli je wyślesz formularzem Zgłoś błąd albo napisz albo e-mailem na hallo@zorya.quest: treść, typ zgłoszenia, adres e-mail do odpowiedzi i zrzut ekranu, jeśli je dodasz. Formularz dołącza sam Twoje konto w grze, wersję gry, ogólny opis urządzenia (system, przeglądarka, rozmiar ekranu, język), stronę, z której piszesz, i znak błędu. Pełnego adresu IP ani pełnego identyfikatora przeglądarki nie zapisuje.
Dane techniczne: ciasteczko sesji (pkt 9) oraz logi serwera prowadzone przez dostawcę hostingu (adres IP, czas i adres zapytania, typ przeglądarki).
Statystyki odwiedzin (Vercel Web Analytics): które strony gry są oglądane, skąd przyszedł odwiedzający (strona odsyłająca, parametry utm), kraj, typ urządzenia, system i przeglądarka. Działają bez ciasteczek i bez pamięci przeglądarki. Odwiedzającego rozpoznają tylko po skrócie (hashu) zapytania, który znika po 24 godzinach, więc nie da się z nich ustalić, kim jesteś ani połączyć ich z kontem w grze.
Raporty błędów (Sentry): gdy w grze coś się zepsuje, przeglądarka lub serwer wysyła opis błędu, czyli komunikat, miejsce w kodzie, wersję gry, stronę bez parametrów adresu, ogólny opis przeglądarki i systemu oraz kilka ostatnich kroków przed błędem (np. przejście między stronami). Raport nie zawiera konta w grze, adresu IP, ciasteczek ani tras.

3. Po co i na jakiej podstawie

Prowadzenie konta i gry: odsłanianie mapy na podstawie Twoich aktywności, liczenie punktów, zapis postępu (art. 6 ust. 1 lit. b RODO, czyli wykonanie umowy, którą zawierasz, akceptując regulamin).
Obsługa wsparcia i płatności: wykonanie umowy o wsparcie (art. 6 ust. 1 lit. b RODO) oraz przepisy podatkowe i rachunkowe (art. 6 ust. 1 lit. c RODO).
Lokalizacja urządzenia: Twoja zgoda wyrażona w przeglądarce (art. 6 ust. 1 lit. a RODO). Możesz ją cofnąć w ustawieniach przeglądarki.
Bezpieczeństwo i usuwanie błędów na podstawie logów: nasz uzasadniony interes (art. 6 ust. 1 lit. f RODO).
Statystyki odwiedzin, żeby wiedzieć, które części gry są używane: nasz uzasadniony interes (art. 6 ust. 1 lit. f RODO).
Raporty błędów, żeby naprawiać grę, zanim ktoś musi zgłaszać usterkę: nasz uzasadniony interes (art. 6 ust. 1 lit. f RODO).
Odpowiedzi na zgłoszenia i wiadomości oraz naprawianie zgłoszonych błędów: nasz uzasadniony interes (art. 6 ust. 1 lit. f RODO).

4. Kto widzi Twoje dane

Dane ze Stravy, czyli Twój profil, aktywności i trasy, widzisz w grze tylko Ty. Nie pokazujemy ich innym graczom ani nie publikujemy.

Wyjątkiem jest Poczet rycerzy, czyli ranking graczy, do którego dołączasz tylko sam, przyciskiem „Dołącz do Pocztu” (zgoda, art. 6 ust. 1 lit. a RODO). Inni zalogowani gracze widzą wtedy Twoje imię z inicjałem nazwiska, herb, przydomek, rangę i wyniki z gry: punkty, liczbę kryształów, odkryty teren w km² i procent Metropolii GZM, od początku gry i w bieżącym tygodniu. Nie widzą tras, aktywności, miejsca startu ani zdjęcia profilowego. Z Pocztu możesz wycofać się w każdej chwili, a inni od razu przestają Cię w nim widzieć.

Podobnie Galeria strażników: jeśli wspierasz grę i zaznaczysz zgodę (art. 6 ust. 1 lit. a RODO), inni zalogowani gracze na stronie Strażników ogniska widzą imię, które sam wpiszesz, Twój herb, przydomek i miesiąc, od którego wspierasz grę. Zgodę możesz odznaczyć w każdej chwili.

Nie sprzedajemy danych, nie pokazujemy reklam, nie łączymy Twoich danych z danymi z innych źródeł i nie używamy ich do trenowania ani zasilania systemów sztucznej inteligencji.

5. Komu powierzamy dane

Supabase – baza danych gry, serwery we Frankfurcie (UE).
Vercel Inc. (USA) – hosting aplikacji i statystyki odwiedzin. Przekazanie danych do USA opiera się na standardowych klauzulach umownych Komisji Europejskiej i EU-US Data Privacy Framework.
OpenFreeMap – kafelki mapy. Przeglądarka pobiera je bezpośrednio, więc serwery OpenFreeMap widzą Twój adres IP i oglądany fragment mapy, ale nie wiedzą, kim jesteś w grze.
Stripe Payments Europe Ltd. (Irlandia) – płatności za wsparcie, tylko jeśli wspierasz grę. Stripe może przekazywać dane do USA na podstawie standardowych klauzul umownych i EU-US Data Privacy Framework, a dane płatności przechowuje także jako samodzielny administrator, zgodnie ze swoją polityką prywatności.
Functional Software, Inc. (Sentry) (USA) – raporty błędów, przechowywane w UE (Frankfurt). Ewentualne przekazanie danych do USA opiera się na standardowych klauzulach umownych Komisji Europejskiej i EU-US Data Privacy Framework.
Resend (USA) – poczta gry: odbiera wiadomości na hallo@zorya.quest i dostarcza twórcy gry zgłoszenia z formularza. Przekazanie danych do USA opiera się na standardowych klauzulach umownych Komisji Europejskiej.
Google Ireland Ltd. – skrzynka Gmail, w której twórca gry czyta zgłoszenia i wiadomości i na nie odpowiada. Google może przekazywać dane do USA na podstawie standardowych klauzul umownych i EU-US Data Privacy Framework.

6. Strava

Twoje dane ze Stravy pobieramy przez API Stravy, za Twoją zgodą wyrażoną przy logowaniu. Korzystanie ze Stravy regulują jej własne warunki i polityka prywatności, a ta polityka ich nie zmienia. Strava może zbierać dane o tym, jak gra korzysta z jej API, i wykorzystywać je zgodnie ze swoją polityką prywatności. Stravie nie przekazujemy żadnych Twoich danych poza tokenem potrzebnym do zapytań. Gra nie jest tworzona, sponsorowana ani wspierana przez Stravę.

7. Jak długo przechowujemy dane

Dane trzymamy, dopóki masz konto w grze. Aktywność, którą zmienisz albo usuniesz w Stravie, zmienia się albo znika z gry przy najbliższym pobraniu aktywności, czyli przy otwarciu gry. Po usunięciu konta kasujemy dane z bazy od razu, a w Stripe usuwamy Twój profil klienta. Zapisy samych płatności przechowujemy przez okres wymagany przepisami podatkowymi (5 lat od końca roku). Mogą jeszcze przez najwyżej 30 dni pozostać w kopiach zapasowych dostawcy bazy, a logi serwera znikają po kilku dniach.

Zgłoszenia z formularza trzymamy w bazie najwyżej 12 miesięcy, a dołączony zrzut ekranu 90 dni. Usunięcie konta usuwa je od razu. Wiadomości e-mail i powiadomienia o zgłoszeniach w skrzynce twórcy gry usuwamy, gdy sprawa jest załatwiona, najpóźniej po 12 miesiącach.

8. Usunięcie danych i odłączenie Stravy

W grze: w profilu gracza (kliknij swoje imię) wybierz Usuń konto. Gra od razu kasuje wszystkie Twoje dane i odłącza się od Twojego konta Stravy. Twoje aktywności w Stravie zostają nietknięte.
W Stravie: dostęp gry możesz w każdej chwili odwołać w ustawieniach Stravy (Moje aplikacje). Gra przestaje wtedy pobierać Twoje dane. To, co zostało w grze, usuniesz przyciskiem w grze albo e-mailem.
E-mailem: napisz na hallo@zorya.quest z prośbą o usunięcie danych. Usuniemy je w ciągu 48 godzin i potwierdzimy to e-mailem.

9. Ciasteczka i pamięć przeglądarki

sesja – utrzymuje zalogowanie, ważne rok albo do wylogowania. Zawiera tylko losowy identyfikator sesji.
strava_state – chroni logowanie przez Stravę przed podszyciem się, ważne 10 minut.
W pamięci przeglądarki zapisujemy tylko powiększenie mapy.

Nie używamy ciasteczek analitycznych ani reklamowych. Statystyki odwiedzin (pkt 2) działają bez ciasteczek.

10. Bezpieczeństwo

Połączenia są szyfrowane (HTTPS). Tokeny Stravy są tylko na serwerze, nigdy w przeglądarce. Baza nie jest dostępna publicznie, a serwer gry łączy się z nią z użyciem sekretu. Jeśli dojdzie do naruszenia ochrony danych, powiadomimy Cię i Prezesa UODO zgodnie z RODO, a gdy dotyczy to danych ze Stravy, także Stravę.

11. Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przeniesienia, prawo sprzeciwu oraz prawo cofnięcia zgody w dowolnym momencie (bez wpływu na wcześniejsze przetwarzanie). Napisz na hallo@zorya.quest. Możesz też złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

12. Wiek

Gra jest dla osób, które mają co najmniej 16 lat.

13. Zmiany polityki

O istotnych zmianach poinformujemy w grze. Aktualna wersja jest zawsze na tej stronie. Zobacz też regulamin.