{% extends 'base.html.twig' %}
{% block title %}Polityka prywatności — TROPO{% endblock %}
{% block meta_description %}Polityka prywatności i bezpieczeństwa platformy TROPO. Dowiedz się jak chronimy Twoje dane.{% endblock %}

{% block body %}
<section class="py-20">
    <div class="max-w-3xl mx-auto px-4">
        <h1 class="text-4xl sm:text-5xl font-extrabold text-center text-dark">Polityka prywatności</h1>
        <p class="mt-3 text-gray-400 text-center text-sm">Wersja 1.0 · 17 marca 2026 · Ostatnia aktualizacja: 17.03.2026</p>

        {# Table of contents #}
        <div class="legal-toc mt-10">
            <p>Spis treści</p>
            <ol>
                <li><a href="#pp-1">Wprowadzenie</a></li>
                <li><a href="#pp-2">Zakres i odbiorcy</a></li>
                <li><a href="#pp-3">Ochrona danych osobowych</a></li>
                <li><a href="#pp-4">Polityka plików cookies</a></li>
                <li><a href="#pp-5">Bezpieczeństwo techniczne</a></li>
                <li><a href="#pp-6">Płatności — Przelewy24</a></li>
                <li><a href="#pp-7">Podmioty trzecie</a></li>
                <li><a href="#pp-8">Kontakt</a></li>
            </ol>
        </div>

        <div class="legal-doc">

            <h2 id="pp-1">1. Wprowadzenie</h2>
            <p>Niniejsza polityka bezpieczeństwa określa zasady ochrony danych, infrastruktury oraz użytkowników platformy TROPO — polskiej edukacyjnej aplikacji PWA skierowanej do dzieci. Ze względu na charakter aplikacji (użytkownicy niepełnoletni, płatności online, synchronizacja danych między urządzeniami) stosujemy podwyższone standardy bezpieczeństwa.</p>
            <p>Polityka obejmuje dwie domeny produkcyjne:</p>
            <ul>
                <li><strong>tropo.city</strong> — strona marketingowa (blog, cennik, formularz kontaktowy, zakup subskrypcji)</li>
                <li><strong>tropo.app</strong> — aplikacja PWA (misje, odznaki, profile dzieci, synchronizacja danych)</li>
            </ul>

            <h2 id="pp-2">2. Zakres i odbiorcy</h2>
            <p>Polityka obowiązuje:</p>
            <ul>
                <li>Zespół deweloperski i administratorów systemu</li>
                <li>Osoby mające dostęp do panelu administracyjnego</li>
                <li>Podmioty trzecie świadczące usługi integracyjne (Przelewy24, Cloudflare, Resend)</li>
                <li>Wszystkich użytkowników końcowych (rodzice, dzieci)</li>
            </ul>

            <h2 id="pp-3">3. Ochrona danych osobowych (RODO / GDPR)</h2>

            <h3>3.1. Kategorie przetwarzanych danych</h3>
            <table>
                <thead>
                    <tr><th>Kategoria</th><th>Dane</th><th>Podstawa prawna</th></tr>
                </thead>
                <tbody>
                    <tr><td>Konta administratorów</td><td>email, hasło (hash)</td><td>Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)</td></tr>
                    <tr><td>Dane dzieci (PWA)</td><td>imię/nick, device_id, ukończone misje, odznaki</td><td>Zgoda rodzica (art. 8 RODO)</td></tr>
                    <tr><td>Subskrypcje</td><td>email kupującego, kod aktywacyjny, ID transakcji</td><td>Wykonanie umowy (art. 6 ust. 1 lit. b)</td></tr>
                    <tr><td>Lista oczekujących</td><td>email</td><td>Zgoda (art. 6 ust. 1 lit. a)</td></tr>
                    <tr><td>Formularz kontaktowy</td><td>imię, email, treść wiadomości</td><td>Zgoda (art. 6 ust. 1 lit. a)</td></tr>
                    <tr><td>Komentarze na blogu</td><td>imię autora, treść</td><td>Zgoda (art. 6 ust. 1 lit. a)</td></tr>
                    <tr><td>Opinie</td><td>imię, treść opinii</td><td>Zgoda (art. 6 ust. 1 lit. a)</td></tr>
                    <tr><td>Tracking</td><td>odsłony stron, dane przeglądarki</td><td>Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)</td></tr>
                </tbody>
            </table>

            <h3>3.2. Dane dzieci — szczególna ochrona</h3>
            <p>TROPO przetwarza dane użytkowników niepełnoletnich, co podlega art. 8 RODO:</p>
            <ul>
                <li>Zbieranie danych dzieci wymaga weryfikowalnej zgody rodzica lub opiekuna prawnego.</li>
                <li>Dane dzieci są identyfikowane przez device_id — nie zbieramy danych umożliwiających bezpośrednią identyfikację.</li>
                <li>Dane przechowywane wyłącznie na potrzeby synchronizacji postępu w grze.</li>
                <li>Zapewniamy możliwość całkowitego usunięcia danych dziecka na żądanie rodzica.</li>
                <li>Nie profilujemy dzieci w celach marketingowych ani reklamowych.</li>
            </ul>

            <h3>3.3. Prawa osób, których dane dotyczą</h3>
            <p>Każda osoba, której dane przetwarzamy, ma prawo do:</p>
            <ul>
                <li>Dostępu do swoich danych (art. 15 RODO)</li>
                <li>Sprostowania danych (art. 16)</li>
                <li>Usunięcia danych — „prawo do bycia zapomnianym" (art. 17)</li>
                <li>Ograniczenia przetwarzania (art. 18)</li>
                <li>Przenoszenia danych (art. 20)</li>
                <li>Sprzeciwu wobec przetwarzania (art. 21)</li>
            </ul>
            <p>Wnioski należy kierować na adres: <strong>kontakt@tropo.city</strong>. Czas realizacji: do 30 dni.</p>

            <h3>3.4. Administrator danych</h3>
            <p>Administratorem danych osobowych jest: Kuba Gładki, kontakt: kontakt@tropo.city</p>

            <h3>3.5. Okres przechowywania danych</h3>
            <table>
                <thead>
                    <tr><th>Dane</th><th>Okres przechowywania</th></tr>
                </thead>
                <tbody>
                    <tr><td>Konta admin</td><td>Czas trwania konta + 30 dni po usunięciu</td></tr>
                    <tr><td>Profile dzieci (PWA)</td><td>Do czasu żądania usunięcia lub 24 miesiące bez aktywności</td></tr>
                    <tr><td>Subskrypcje / płatności</td><td>5 lat (obowiązek podatkowy)</td></tr>
                    <tr><td>Formularz kontaktowy</td><td>12 miesięcy od otrzymania</td></tr>
                    <tr><td>Waitlist</td><td>Do momentu wycofania zgody</td></tr>
                    <tr><td>Tracking</td><td>26 miesięcy, następnie anonimizacja</td></tr>
                    <tr><td>Komentarze</td><td>Czas publikacji posta + 12 miesięcy</td></tr>
                </tbody>
            </table>

            <h2 id="pp-4">4. Polityka plików cookies</h2>
            <table>
                <thead>
                    <tr><th>Cookie</th><th>Typ</th><th>Cel</th><th>Czas życia</th></tr>
                </thead>
                <tbody>
                    <tr><td>PHPSESSID</td><td>Niezbędne</td><td>Obsługa sesji użytkownika</td><td>Sesja</td></tr>
                    <tr><td>_locale</td><td>Niezbędne</td><td>Zapamiętanie wybranego języka</td><td>Sesja</td></tr>
                    <tr><td>cf_clearance</td><td>Niezbędne</td><td>Cloudflare Turnstile</td><td>30 min</td></tr>
                    <tr><td>cookie_consent</td><td>Niezbędne</td><td>Zapamiętanie wyboru dot. cookies</td><td>12 miesięcy</td></tr>
                </tbody>
            </table>
            <ul>
                <li>TROPO nie stosuje cookies marketingowych ani reklamowych firm trzecich.</li>
                <li>First-party tracking działa po stronie serwera — nie używa cookies śledzących.</li>
            </ul>

            <h2 id="pp-5">5. Bezpieczeństwo techniczne</h2>
            <ul>
                <li>Wszystkie połączenia produkcyjne działają wyłącznie przez HTTPS (TLS 1.2+).</li>
                <li>Hasła administratorów przechowywane jako hash (bcrypt/argon2id).</li>
                <li>Ochrona CSRF na wszystkich formularzach POST.</li>
                <li>Rate limiting logowania (5 prób / 15 minut).</li>
                <li>Cloudflare Turnstile na formularzach publicznych.</li>
                <li>CORS ograniczony do domen tropo.app i tropo.city.</li>
                <li>Automatyczne escapowanie w szablonach (ochrona XSS).</li>
                <li>Parametryzowane zapytania SQL (ochrona SQL injection).</li>
            </ul>

            <h2 id="pp-6">6. Płatności — Przelewy24</h2>
            <ul>
                <li>Płatności obsługiwane przez certyfikowanego operatora Przelewy24 (zgodność PCI DSS).</li>
                <li>TROPO nie przechowuje danych kart płatniczych — cały proces odbywa się po stronie Przelewy24.</li>
                <li>Przechowujemy wyłącznie: email kupującego, ID transakcji, kod aktywacyjny, status subskrypcji.</li>
            </ul>

            <h2 id="pp-7">7. Podmioty trzecie</h2>
            <table>
                <thead>
                    <tr><th>Podmiot</th><th>Usługa</th></tr>
                </thead>
                <tbody>
                    <tr><td><strong>Przelewy24</strong> (DialCom24 Sp. z o.o.)</td><td>Obsługa płatności</td></tr>
                    <tr><td><strong>Cloudflare</strong></td><td>Ochrona formularzy (Turnstile)</td></tr>
                    <tr><td><strong>Resend</strong></td><td>Wysyłka emaili transakcyjnych</td></tr>
                </tbody>
            </table>

            <h2 id="pp-8">8. Kontakt</h2>
            <p>W sprawach dotyczących danych osobowych i bezpieczeństwa: <strong>kontakt@tropo.city</strong></p>

            <hr>
            <p class="text-xs text-gray-400 text-center">Dokument wymaga przeglądu i aktualizacji co 12 miesięcy lub po każdym istotnym incydencie bezpieczeństwa.</p>
        </div>
    </div>
</section>
{% endblock %}