Syntonia

Informacja o przetwarzaniu danych osobowych

Niniejszy dokument ma charakter informacyjny zgodnie z art. 13 RODO. Potwierdzenie jego przeczytania nie jest zgodą i nie stanowi podstawy prawnej przetwarzania. Zgody MATCHING_PROCESSING, AI_PROFILING i IMAGE_PROCESSING są przedstawiane oraz zapisywane osobno.

1. Administrator i kontakt

Administratorem danych jest SALDI Spółka z ograniczoną odpowiedzialnością z siedzibą w Dębicy, ul. Starzyńskiego 19, 39-200 Dębica, KRS 0000959082, NIP 8722435987, REGON 521424751 („Administrator”).

Kontakt w sprawach danych osobowych jest możliwy listownie na adres siedziby oraz pocztą elektroniczną na adres privacy@syntonia.app. Wycofanie aktywnej zgody MATCHING_PROCESSING albo AI_PROFILING jest ponadto dostępne jako osobna czynność na koncie.

2. Zakres Testu

Syntonia działa jako prywatny, bezpłatny i zamknięty test dostępny wyłącznie dla osób zaproszonych z listy oczekujących.
Rejestracja publiczna i płatne funkcje są wyłączone.
Uczestnik może, ale nie musi, przesłać własne zdjęcia; wymaga to odrębnej zgody IMAGE_PROCESSING. Zdjęcia są pokazywane wyłącznie osobie, z którą uczestnik został zestawiony w parę.
Dopasowywanie odbywa się automatycznie w codziennej wieczornej fali, opisanej w pkt 7.

3. Cele i podstawy prawne

Prowadzenie listy oczekujących i wysłanie zaproszenia (imię, adres e-mail, miasto) - art. 6 ust. 1 lit. a RODO (zgoda wyrażona przy zapisie); zgodę można wycofać jednym e-mailem, co usuwa wpis z listy.
Utworzenie i utrzymanie podstawowego konta, logowanie linkiem e-mail, podstawowy profil oraz obsługa kontrolowanego dostępu - art. 6 ust. 1 lit. b RODO.
Bezpieczeństwo, ograniczanie nadużyć, kontrola zaproszeń, moderacja zgłoszeń oraz diagnostyka techniczna - art. 6 ust. 1 lit. f RODO.
Przetwarzanie odpowiedzi Skanu, preferencji, karty wartości, zadeklarowanych faktów o relacji, prywatnych danych Source, tworzenie Profilu Relacji oraz automatyczne dopasowywanie - wyłącznie po udzieleniu odrębnej zgody MATCHING_PROCESSING: art. 6 ust. 1 lit. a oraz, gdy dane ujawniają szczególne kategorie danych, art. 9 ust. 2 lit. a RODO. Wszystkie imiona oraz nazwisko lub nazwiska nadane przy urodzeniu służą wyłącznie do przygotowania prywatnego Source. Same zwykłe dane imienne nie są z tego powodu automatycznie klasyfikowane jako szczególna kategoria danych z art. 9 RODO.
Zapis, kontrolowana redakcja, zatwierdzanie i zautomatyzowane przetwarzanie Narracji, wyodrębnienie jej cech do schematu N4 oraz generowanie Odczytu pary, w zakresie dokumentu AI_PROFILING - wyłącznie po udzieleniu tej odrębnej zgody: art. 6 ust. 1 lit. a oraz, gdy Narracja ujawnia szczególne kategorie danych, art. 9 ust. 2 lit. a RODO.
Przesłanie, techniczne przetworzenie, moderacja i pokazanie zdjęć drugiej osobie z pary, w zakresie dokumentu IMAGE_PROCESSING - wyłącznie po udzieleniu tej odrębnej zgody: art. 6 ust. 1 lit. a RODO.
Pseudonimizowana analityka techniczna i produktowa bez treści Narracji, rytuału i czatu - art. 6 ust. 1 lit. f RODO.
Obsługa praw osób, incydentów i roszczeń oraz wykazanie zgodności działań - art. 6 ust. 1 lit. c lub lit. f RODO, zależnie od obowiązku i celu.

Przetwarzanie preferencji, odpowiedzi Skanu, karty wartości, zadeklarowanych faktów, danych Source, Narracji i zdjęć na potrzeby profilowania lub dopasowania nie jest równolegle przypisywane do podstawy umownej z pkt 2.

4. Kategorie danych

W zależności od wykorzystanych funkcji przetwarzamy:

na liście oczekujących: imię, adres e-mail, miasto, datę zapisu i zaproszenia;
adres e-mail i techniczne dane uwierzytelnienia;
pseudonim i podaną datę urodzenia;
płeć, preferencje dotyczące poszukiwanego partnera i przedział wiekowy;
odpowiedzi Skanu i wynik Profilu Relacji;
kartę wartości (5 wartości wybranych z listy 11, w tym 2 zaznaczone jako najważniejsze) wraz z historią jej wersji;
zadeklarowane fakty o relacji (czy uczestnik ma dzieci, czy chce mieć dzieci, jakiej relacji szuka, ile czasu może dać relacji) wraz z historią ich wersji;
wszystkie imiona oraz nazwisko lub nazwiska nadane przy urodzeniu, podane w pisowni z aktu urodzenia albo - dla alfabetu niełacińskiego - w oficjalnej pisowni łacińskiej używanej w paszporcie lub innym dokumencie urzędowym, a także datę urodzenia używaną do deterministycznego wyliczenia cech Source;
zaszyfrowaną treść Narracji, wynik redakcji, decyzję o zatwierdzeniu N7 i zwalidowane cechy N4;
zdjęcia przesłane przez uczestnika, ich wersje techniczne (przekodowane, pomniejszone), skróty i wyniki moderacji;
wynik zgodności pary, wspólne wartości, Odczyt pary oraz status puli, przydziału, Introdukcji, decyzje REZONANS lub DOMKNIĘCIE, odpowiedzi rytuału i wiadomości czatu;
zgłoszenia i blokady oraz decyzje moderatorów;
zdarzenia akceptacji, potwierdzeń, zgód, wycofań i operacji technicznych;
adres IP, User-Agent, dane lokalizacyjne wyprowadzone z IP oraz pseudonimizowane klucze ograniczania nadużyć.

Preferencje, odpowiedzi i Narracja mogą ujawniać szczególne kategorie danych. Operacje objęte zgodą są blokowane bez odpowiedniej aktywnej zgody. Dane imienne z aktu urodzenia są w SYNTONIA danymi osobowymi objętymi podwyższoną ochroną i poufnością; takie zabezpieczenie nie oznacza ich automatycznej kwalifikacji jako szczególnej kategorii danych z art. 9 RODO.

5. Odbiorcy i infrastruktura

Dane mogą być przetwarzane w imieniu Administratora przez:

Supabase - baza danych, uwierzytelnianie, dzienniki uwierzytelniania oraz prywatne przechowywanie zdjęć; region Frankfurt eu-central-1;
Amazon Web Services - klucze szyfrujące AWS KMS w regionie eu-central-1;
Vercel - hosting aplikacji, diagnostyka i dzienniki żądań;
OpenAI - procesor używany w trzech ściśle określonych celach: (a) wyodrębnienie ze zredagowanej Narracji cech zgodnych ze schematem N4; (b) wygenerowanie Odczytu pary z pochodnych, pseudonimowych danych obu Profili Relacji; (c) automatyczna klasyfikacja przesłanych zdjęć przez usługę Moderation API pod kątem treści niedozwolonych. Żądania są wykonywane z ustawieniem store=false, bez narzędzi i bez wyszukiwania w sieci; OpenAI nie wykorzystuje danych przesyłanych przez API do trenowania modeli; treść może pozostawać w logach monitorowania bezpieczeństwa i nadużyć OpenAI do 30 dni;
Resend, Inc. - dostawca poczty transakcyjnej wysyłający wiadomości logowania (adres e-mail i treść wiadomości z jednorazowym linkiem) z regionu wysyłkowego w Unii Europejskiej (Irlandia);
HighLevel, Inc. (GoHighLevel, Stany Zjednoczone) - system, w którym prowadzona jest lista oczekujących (imię, adres e-mail, miasto) i z którego wysyłamy wiadomości e-mail związane z udziałem w Syntonii: zaproszenia z kodem, powiadomienia o utworzeniu pary, przypomnienia o terminie decyzji oraz inne informacje organizacyjne; do HighLevel trafia adres e-mail oraz termin decyzji, nigdy dane drugiej osoby z pary, treść Narracji ani wynik zgodności;
GitHub, Inc. - harmonogram uruchamiający codzienną falę; do GitHub nie są przekazywane żadne dane osobowe uczestników.

Baza danych jest utrzymywana w regionie Frankfurt eu-central-1. Przekazanie danych do dostawców w Stanach Zjednoczonych (OpenAI, Resend, HighLevel, Vercel) odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską albo decyzji o adekwatności (Data Privacy Framework), zgodnie z Rozdziałem V RODO.

W Teście nie korzystamy z zewnętrznego narzędzia analitycznego ani operatora płatności.

6. Narracja, Source, Odczyt pary i szyfrowanie

Narracja oraz prywatne dane wejściowe Source są szyfrowane przy zapisie z użyciem AES-256-GCM i kluczy chronionych przez AWS KMS.
Dane muszą wystąpić przejściowo w postaci jawnej po stronie serwera, aby wykonać redakcję, wyodrębnienie cech albo deterministyczne obliczenie. Operacje nie są wykonywane bezpośrednio na szyfrogramie.
Bieżący przepływ Narracji wykonuje deterministyczną redakcję danych identyfikujących i przedstawia N7 do zatwierdzenia. Po udzieleniu odrębnej zgody AI_PROFILING zredagowana treść zatwierdzonej Narracji jest wysyłana do OpenAI wyłącznie w celu ustrukturyzowania jej do istniejącego schematu N4.
Po utworzeniu pary Odczyt pary jest generowany przez OpenAI z pochodnych danych obu osób: tekstów prezentacji Profilu Relacji (podpis, podsumowanie, styl komunikacji, energia, granice, tempo relacji), liczbowych wyników wartości i potrzeb oraz zwalidowanych kodów cech N4. Żądanie nie zawiera imion, pseudonimów, wieku, miasta, adresu e-mail, identyfikatorów, surowej ani zredagowanej treści Narracji ani zdjęć. Jeżeli generowanie się nie powiedzie, para otrzymuje Odczyt szablonowy.
Żądania do OpenAI nie zawierają żadnego imienia ani nazwiska nadanego przy urodzeniu, adresu e-mail, identyfikatorów użytkownika, daty ani miejsca urodzenia. Są wykonywane z ustawieniem store=false. OpenAI nie wykorzystuje danych przesyłanych przez API do trenowania modeli bez odrębnego opt-in. Niezależnie od store=false treść może znaleźć się w logach monitorowania bezpieczeństwa i nadużyć OpenAI przez okres do 30 dni. Administrator nie deklaruje dla tych przepływów Zero Data Retention.
Surowe imiona oraz nazwisko lub nazwiska nadane przy urodzeniu pozostają zaszyfrowane w prywatnej warstwie Source, nie są ujawniane innym uczestnikom i nigdy nie są przekazywane do OpenAI. Dla danych zapisanych pierwotnie alfabetem niełacińskim przyjmujemy wyłącznie oficjalną pisownię łacińską używaną w paszporcie lub innym dokumencie urzędowym.

7. Automatyczne dopasowywanie

Dopasowywanie odbywa się automatycznie raz dziennie, w wieczornej fali (około godziny 20:00 czasu polskiego). W fali biorą udział osoby z zatwierdzoną Narracją, wypełnioną kartą wartości i udzielonymi odpowiedziami o faktach, które nie mają otwartej Introdukcji ani rozmowy; przy więcej niż 18 osobach kolejne fale obejmują inne osoby na zmianę.
Dla każdej możliwej pary sprawdzane są najpierw twarde warunki: wzajemne dopasowanie płci i preferencji, wzajemne dopasowanie przedziałów wieku, brak wcześniejszego zestawienia lub blokady oraz zgodność zadeklarowanych faktów (gdy jedna osoba chce mieć dzieci, a druga nie chce, albo gdy jedna szuka trwałego związku lub małżeństwa, a druga poznawania bez ustalonego celu lub towarzystwa, para nie powstaje). Fakty są odpowiedziami uczestnika na zamknięte pytania; żaden model ich nie wnioskuje. Odległość i miejsce zamieszkania nie są obecnie brane pod uwagę.
Wynik zgodności składa się dokładnie w 70% z warstwy relacyjnej i w 30% z warstwy Source. Warstwa relacyjna wykorzystuje wyłącznie podobieństwo na czterech wymiarach Skanu oraz wartości zadeklarowane przez uczestnika na karcie wartości; zwalidowane cechy N4 i wyniki potrzeb służą prezentacji i Odczytowi pary, a treść Narracji nie wpływa na wynik. Warstwa Source wykorzystuje deterministyczne cechy wyliczone po stronie serwera z imion i nazwiska nadanych przy urodzeniu oraz z daty urodzenia. Data urodzenia wpływa także na kontrolę pełnoletności i filtr wieku.
Para powstaje wyłącznie przy wyniku co najmniej 70%. Pary powstają w kolejności od najwyższego wyniku; liczba par nie jest celem.
Pseudonim, zdjęcia, ceny i płatności nie wpływają na wynik. Czas oczekiwania i staż w puli nie wpływają ani na wynik, ani na kolejność tworzenia par.
Uczestnik ma w danej chwili co najwyżej jedną Introdukcję. Obu osobom pokazywany jest wynik zgodności w procentach i wspólne wartości; po potwierdzeniu przeczytania Odczytu - zdjęcia i wiek drugiej osoby, jeżeli zdjęcia zostały przesłane. Introdukcja kończy się decyzją DOMKNIĘCIE, zamknięciem rozmowy, decyzją moderatora albo upływem terminu (72 godziny na decyzję, 48 godzin na rytuał); do tego czasu obie osoby są wyłączone z kolejnych fal. Ta sama para nie jest zestawiana ponownie. System może pokazać wyłącznie neutralną informację o istnieniu innego dopasowania w kolejce, bez danych drugiej osoby.
Skutkiem automatycznego przetwarzania jest otrzymanie albo nieotrzymanie Introdukcji. Uczestnik może żądać interwencji człowieka, przedstawić własne stanowisko i zakwestionować wynik, kontaktując się z Administratorem.

8. Zdjęcia

Przesłanie zdjęć jest dobrowolne i wymaga zgody IMAGE_PROCESSING. Zdjęcia są przekodowywane do jednolitego formatu i rozmiaru, a metadane (EXIF, ICC, XMP) są usuwane.
Każde zdjęcie trafia najpierw do prywatnej kwarantanny, jest automatycznie klasyfikowane przez usługę OpenAI Moderation API pod kątem treści niedozwolonych, a następnie oceniane przez moderatora Administratora. Pokazywane są wyłącznie zdjęcia zatwierdzone.
Zatwierdzone zdjęcia widzi wyłącznie osoba zestawiona z uczestnikiem w parę, po potwierdzeniu przeczytania Odczytu, przez ograniczone czasowo prywatne łącza ważne do końca terminu decyzji. Nie istnieje publiczny katalog zdjęć ani profil dostępny innym osobom. Zdjęcia nie wpływają na wynik dopasowania.
Uczestnik może usunąć albo wymienić zdjęcia na koncie. Wycofanie zgody IMAGE_PROCESSING kończy pokazywanie zdjęć i uruchamia ich usunięcie.

9. Adres IP, User-Agent i dzienniki

Aplikacja używa adresu IP i User-Agent do wyliczenia jednokierunkowego klucza ograniczania nadużyć. W aplikacyjnej tabeli limitów zapisuje wynik HMAC, a nie surowy adres IP ani surowy User-Agent.
Supabase zapisuje adres IP w dziennikach uwierzytelniania i dziennikach usługi.
Vercel może zapisywać User-Agent oraz dane lokalizacyjne wyprowadzone z adresu IP w dziennikach żądań.
Aplikacyjne tabele audytowe są odrębne od dzienników dostawców. Bieżące repozytorium nie wymusza dla nich automatycznego harmonogramu usuwania.
Okres dostępności dzienników dostawców wynika z ich aktualnej konfiguracji i planu usługi; Administrator nie przedstawia go jako gwarantowanego terminu usunięcia wszystkich kopii.

10. Przechowywanie, wycofanie zgody i usunięcie

Wpis na liście oczekujących jest przechowywany do czasu wykorzystania zaproszenia albo wycofania zgody na kontakt; wycofanie następuje jednym e-mailem na adres privacy@syntonia.app.
Podstawowe dane konta są przechowywane przez okres aktywnego udziału w Teście, a następnie przez czas potrzebny do kontrolowanego zakończenia konta, obsługi obowiązków prawnych i obrony roszczeń.
Dane używane na podstawie MATCHING_PROCESSING, AI_PROFILING albo IMAGE_PROCESSING mogą być aktywnie wykorzystywane tylko przy aktualnej zgodzie.
Wycofanie zgody zapisuje audytowalne zdarzenie i natychmiast blokuje nowe operacje zależne od tej zgody oraz udział w puli. Wycofanie AI_PROFILING uruchamia istniejącą kolejkę ograniczenia i usuwania danych Narracji. Wycofanie MATCHING_PROCESSING blokuje dalsze wykorzystanie danych dopasowania; ewentualne fizyczne usunięcie jest obsługiwane w ramach żądania osoby lub zakończenia konta.
Do chwili potwierdzenia usunięcia dane oczekujące na obsługę nie mogą być wykorzystywane do nowego profilowania, dopasowania ani analizy. Minimalne zdarzenie audytowe może pozostać, gdy jest potrzebne do wykazania zgodności lub obrony roszczeń na odrębnej podstawie.
Żądanie usunięcia konta blokuje dostęp i udział w puli. Po przyjęciu żądania prywatny graf Source jest usuwany synchronicznie, a usunięcie jest potwierdzane nie później niż w ciągu 24 godzin od żądania.
Usunięcie obejmuje zaszyfrowane surowe imiona oraz nazwisko lub nazwiska nadane przy urodzeniu, kanoniczny ciąg Source, skróty wejściowe i wszystkie powiązane prywatne dane Source. Dane imienne nie są zapisywane w publicznym profilu ani w treści zdarzeń audytowych.
Treść przekazana do OpenAI może pozostawać w logach monitorowania bezpieczeństwa i nadużyć do 30 dni zgodnie z zasadami dostawcy, nawet gdy żądanie ma store=false.
Termin maksymalnie 24 godzin dotyczy aktywnego prywatnego grafu Source objętego żądaniem usunięcia konta. Okres wygaśnięcia odizolowanych kopii zapasowych wynika z technicznego cyklu dostawcy i nie pozwala na ponowne użycie danych do profilowania lub dopasowania.
Treść rytuału, czatu, analityki i dzienników nie jest objęta obietnicą automatycznego usunięcia po z góry określonej liczbie dni.

11. Prawa uczestnika

Uczestnik ma prawo żądać dostępu do danych, kopii, sprostowania, usunięcia, ograniczenia, przenoszenia oraz wnieść sprzeciw, gdy dane są przetwarzane na podstawie prawnie uzasadnionego interesu.

Każdą zgodę można wycofać w dowolnym momencie bez wpływu na zgodność z prawem wcześniejszego przetwarzania. Wycofanie MATCHING_PROCESSING i AI_PROFILING jest dostępne oddzielnie na koncie albo przez jednoznaczne oświadczenie złożone Administratorowi; wycofanie IMAGE_PROCESSING - przez usunięcie zdjęć na koncie albo przez oświadczenie.

Uczestnik może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa.

12. Wymóg podania danych

Adres e-mail, pseudonim i potwierdzenie pełnoletności są potrzebne do utworzenia oraz obsługi konta. Wszystkie imiona oraz nazwisko lub nazwiska nadane przy urodzeniu - albo jawne potwierdzenie braku nazwiska w akcie urodzenia - są wymagane wyłącznie do przygotowania prywatnego Source po udzieleniu zgody MATCHING_PROCESSING.
Akceptacja Regulaminu i potwierdzenie przeczytania niniejszej informacji są wymagane przed rozpoczęciem właściwego przepływu Testu, ale nie są zgodami.
MATCHING_PROCESSING i AI_PROFILING są dobrowolnymi, odrębnymi zgodami. Bez nich konto może pozostać, ale uczestnik nie może ukończyć operacji zależnych od danej zgody ani wejść do puli.
IMAGE_PROCESSING jest dobrowolne i wymagane wyłącznie do przesłania zdjęć.