Политика конфиденциальности

1. Контролер данных

Контролер персональных данных: Crystal Processing Karol Mróz, ul. 3-go Maja 40 lok. 25, 07-300 Ostrów Mazowiecka, NIP: 7591754851, REGON: 521179100. Контактный email: kontakt@mystic-tarot.pl.

По вопросам персональных данных можно обращаться на email поставщика. Инспектор по защите данных не назначен, если позднее в сервисе не будет указано иное.

2. Какие данные мы обрабатываем

Мы обрабатываем данные, предоставленные пользователем: email, вопрос или намерение для расклада, принятые согласия, данные аккаунта, имя, если указано, и выбранный язык.

Мы обрабатываем данные, создаваемые сервисом: выбранные карты, статус заказа, статус оплаты, идентификатор платежа Stripe, идентификатор расклада, текст сгенерированной интерпретации, даты создания и выполнения заказа.

Мы обрабатываем технические данные и данные безопасности: IP-адрес, user-agent, заголовки запроса, серверные логи, anti-bot информацию Cloudflare Turnstile и базовые данные сессии или входа.

Мы не храним полные данные платежных карт или данные входа в банк. Платежи обрабатывает Stripe.

3. Цели и правовые основания

Бесплатный расклад, прием заказа, оплата и доставка интерпретации: ст. 6(1)(b) GDPR, исполнение договора или действия до его заключения.

Ведение аккаунта и истории раскладов: ст. 6(1)(b) GDPR.

Расчеты, бухгалтерия и налоговые обязанности: ст. 6(1)(c) GDPR.

Жалобы, предъявление или защита требований, предотвращение злоупотреблений и безопасность сервиса: ст. 6(1)(f) GDPR, законный интерес контролера.

Email-коммуникация по заказу и поддержке пользователя: ст. 6(1)(b) или 6(1)(f) GDPR. Прямой маркетинг будет осуществляться только при наличии согласия или иной законной основы.

4. AI и автоматическая генерация интерпретаций

Интерпретация генерируется автоматически с помощью AI-поставщика на основе вопроса или намерения, языка и выбранных карт.

Такая генерация не является автоматизированным принятием решений, создающим юридические или аналогично значимые последствия для пользователя. Пользователь получает развлекательно-рефлексивный контент и самостоятельно решает, использовать ли его.

Пользователь не должен вводить данные особых категорий, например подробные данные о здоровье, сексуальной жизни, политических взглядах, религии или данные третьих лиц. Если пользователь все же предоставит такие данные, они будут использованы только для генерации и обслуживания заказанной интерпретации.

5. Получатели данных и поставщики

Данные могут передаваться или поручаться следующим категориям получателей: хостинг и серверная инфраструктура, PostgreSQL, Stripe, Anthropic, Cloudflare Turnstile, Brevo SMTP, Google OAuth, поставщики IT-поддержки, бухгалтерского и юридического сопровождения.

Данные могут передаваться государственным органам только если это требуется законом или надлежащим запросом уполномоченного органа.

6. Передача данных за пределы ЕЭЗ

Некоторые технологические поставщики, особенно поставщики платежей, AI, безопасности или входа, могут обрабатывать данные за пределами Европейской экономической зоны.

В таких случаях применяются соответствующие меры защиты, например стандартные договорные положения, решения об адекватности или другие механизмы GDPR. Подробности можно запросить по email.

7. Срок хранения данных

Данные заказов, платежей и бухгалтерские документы хранятся в течение срока, требуемого налоговым и бухгалтерским законодательством, как правило 5 лет с конца налогового года, в котором возникла обязанность.

Данные, связанные с жалобами и требованиями, хранятся на время рассмотрения дела и срок исковой давности.

Данные аккаунта хранятся до удаления аккаунта, если дальнейшее хранение не требуется по юридическим, расчетным, безопасностным причинам или для защиты требований.

Логи безопасности хранятся в течение периода, необходимого для защиты сервиса и анализа инцидентов, обычно не более 12 месяцев, если конкретный инцидент не требует более длительного хранения.

8. Права пользователя

Пользователь имеет право на доступ к данным, получение копии, исправление, удаление, ограничение обработки, переносимость, возражение против обработки на основе законного интереса и отзыв согласия, если обработка основана на согласии.

Пользователь имеет право подать жалобу в компетентный надзорный орган.

Запросы по данным следует направлять на email контролера. Контролер может запросить дополнительную информацию для подтверждения личности заявителя.

9. Добровольность предоставления данных

Предоставление данных добровольно, но без email невозможно оформить заказ и отправить подтверждение договора и интерпретацию.

Отсутствие данных аккаунта не позволяет создать аккаунт, но не блокирует саму покупку, если доступна покупка без аккаунта.

10. Безопасность

Мы применяем технические и организационные меры, соответствующие риску, включая шифрование передачи данных в production, контроль доступа, rate limiting, anti-bot защиту, security headers, мониторинг ошибок и ограниченный административный доступ.

Ни одно интернет-решение не дает абсолютной гарантии безопасности, поэтому пользователь должен защищать пароль, email и устройство.