Polityka prywatności

1. Zbierane dane osobowe

(Konto rodzica)

• E-mail, hasło (przechowywane jako zaszyfrowany skrót)
• Przy logowaniu przez serwis społecznościowy: identyfikator konta Google lub Kakao, e-mail (dla Kakao — zgoda opcjonalna) i pseudonim
• Token powiadomień push (FCM), potwierdzenia płatności (Google Play)

(Dane dziecka — wprowadzane przez rodzica)

• Pseudonim, wybrana postać
• Zapisy misji, nagród, ostrzeżeń i kar
• Zdjęcia potwierdzające (przechowywane po usunięciu danych EXIF, np. lokalizacji)

(Generowane automatycznie)

• Czas dostępu, model urządzenia i inne logi potrzebne do działania Usługi

2. Cele zbierania i wykorzystania

Identyfikacja i uwierzytelnianie członków; zapewnianie misji, nagród i wspólnego rankingu; wysyłanie powiadomień push; obsługa płatności i zwrotów; rozpatrywanie zgłoszeń i blokowanie nieodpowiednich użytkowników; ulepszanie Usługi i analizy statystyczne.

3. Dane dzieci poniżej 14 lat (przepisy szczególne)

Zgodnie z art. 22-2 koreańskiej ustawy o ochronie danych osobowych oraz amerykańską ustawą COPPA:

• Wszystkie dane dziecka wprowadza bezpośrednio rodzic, będący jego opiekunem prawnym. Dziecko nie ma możliwości samodzielnej rejestracji ani wprowadzania danych.
• Tryb dziecka działa w ramach konta rodzica, bez osobnego konta, i nie zbiera się od dziecka żadnych dodatkowych danych osobowych.
• Rodzice mogą w każdej chwili edytować lub usunąć dane dziecka (w aplikacji: Ustawienia → Twoje dzieci).
• Zdjęcia potwierdzające dziecka są przechowywane prywatnie i nikt poza rodzicem nie może ich zobaczyć.
• Reklama behawioralna skierowana do dzieci jest blokowana dzięki stale włączonemu znacznikowi Tag for Child-Directed Treatment (TFCD) w AdMob.

4. Udostępnianie osobom trzecim

Co do zasady nie udostępniamy danych osobowych użytkowników osobom trzecim, z wyjątkiem następujących przypadków:

• Wspólny ranking: jeśli rodzic włączy „Weź udział w rankingu”, pseudonim, postać i wynik dziecka stają się widoczne dla innych rodziców. Opcja jest domyślnie wyłączona i można ją wyłączyć w każdej chwili.
• Na zgodne z prawem żądanie organów ścigania lub innych organów publicznych na podstawie obowiązujących przepisów.

5. Powierzenie przetwarzania i przekazywanie danych za granicę

Aby sprawnie świadczyć Usługę, powierzamy część przetwarzania poniższym firmom. Każdy podmiot przetwarzający stosuje techniczne i organizacyjne środki bezpieczeństwa.

• Supabase Inc. (USA) — baza danych, przechowywanie, uwierzytelnianie
• Google LLC (USA) — Firebase Cloud Messaging (powiadomienia push), Firebase Analytics/Crashlytics, logowanie Google, Play Billing (płatności)
• Kakao Corp. (Republika Korei) — logowanie Kakao
• Apple Inc. (USA) — płatności App Store (iOS)

Powierzenie przetwarzania Supabase, Google i Apple wiąże się z przekazaniem danych poza Twój kraj. Przekazywane są wyłącznie dane wymienione w punkcie „Zbierane dane osobowe”, a przekazanie następuje, gdy korzystasz z danej funkcji — rejestracji, logowania, otrzymywania powiadomień push lub płatności. Akceptując niniejszą Politykę, wyrażasz zgodę na takie przekazanie danych za granicę.

6. Okres przechowywania

Po usunięciu konta lub wycofaniu zgody wszystkie dane osobowe są niezwłocznie niszczone, chyba że prawo wymaga ich przechowywania przez określony czas:

• Koreańska ustawa o ochronie konsumentów w handlu elektronicznym: zapisy płatności i zwrotów przez 5 lat
• Koreańska ustawa o ochronie tajemnicy komunikacji: logi dostępu przez 3 miesiące
• W celu zapobiegania nadużyciom: zapisy blokad przez 1 rok

7. Prawa osoby, której dane dotyczą, i usuwanie danych

Użytkownicy (lub ich opiekunowie prawni) mogą żądać wglądu, sprostowania, usunięcia lub ograniczenia przetwarzania swoich danych.

• W aplikacji: Ustawienia → Usuń konto — natychmiast usuwa dane dziecka, misje, zdjęcia potwierdzające i zapisy płatności
• Strona: https://kidshabit.app/delete-account — jeśli nie masz aplikacji lub nie masz do niej dostępu
• E-mail: mini3486@gmail.com — realizacja w ciągu 7 dni roboczych

8. Środki bezpieczeństwa

• Hasła są przechowywane jako skróty, a tokeny uwierzytelniające są szyfrowane
• Komunikacja jest szyfrowana protokołem TLS 1.2 lub nowszym
• Row Level Security (RLS) ogranicza dostęp do bazy danych do własnych danych każdego użytkownika
• Z przesyłanych zdjęć usuwane są metadane EXIF, np. lokalizacja
• Dostęp jest ograniczony do niezbędnego minimum, z regularnymi przeglądami bezpieczeństwa

9. Identyfikatory reklamowe

Aby zablokować reklamę behawioralną skierowaną do dzieci, zawsze włączamy w AdMob znaczniki Tag for Child-Directed Treatment (TFCD) i Tag for Users under the Age of Consent (TFUA). Na ekranach używanych bezpośrednio przez dzieci, takich jak rozpoczęcie misji czy prośba o nagrodę, reklamy nie są wyświetlane.

10. Inspektor ochrony danych i kontakt

Inspektor ochrony danych: zespół operacyjny Kids Habit

E-mail: mini3486@gmail.com

Odpowiadamy w ciągu 7 dni roboczych.