Add README.MD

README.MD

@@ -0,0 +1,291 @@
+# Regulamin i Polityka Prywatności Serwisu DROGĄ.PL
+
+## 1. Informacje ogólne
+
+1. Niniejszy dokument określa zasady korzystania z serwisu internetowego, dostępnego pod adresem drogą.pl (xn--droga-eta.pl) oraz wszystkimi jej subdomenami, oraz zasady przetwarzania danych użytkowników korzystających z Serwisu.
+
+2. Serwis jest publicznie dostępną usługą badawczo-analityczną umożliwiającą rozwiązywanie quizów oraz statystyczną analizę odpowiedzi, czasu reakcji, wyników i trudności pytań.
+
+3. Korzystanie z Serwisu polega nie tylko na przeglądaniu i rozwiązywaniu pytań, ale również na udziale w analizie jakości, trudności i jednoznaczności pytań. Analiza ta stanowi podstawowy element działania Serwisu.
+
+4. Jeżeli Użytkownik nie akceptuje niniejszego Regulaminu i Polityki Prywatności, powinien zrezygnować z korzystania z Serwisu.
+
+5. Serwis jest udostępniany nieodpłatnie. Nieodpłatny charakter Serwisu jest możliwy między innymi dzięki prowadzeniu analiz statystycznych wyników quizów.
+
+## 2. Definicje
+
+1. **Administrator** — podmiot decydujący o celach i sposobach przetwarzania danych w Serwisie.
+
+2. **Serwis** — strona lub grupa stron internetowych opartych o system quizowy, dostępnych pod domenami wskazanymi przez Administratora.
+
+3. **Użytkownik** — osoba korzystająca z Serwisu. 
+
+4. **Quiz** — zestaw pytań i odpowiedzi dostępnych w Serwisie.
+
+5. **Podejście** — pojedyncza sesja rozwiązywania quizu lub jego części przez Użytkownika.
+
+6. **Zdarzenie analityczne** — informacja techniczna lub wynikowa związana z korzystaniem z quizu, w szczególności wyświetlenie pytania, sprawdzenie odpowiedzi, czas reakcji, wybrane odpowiedzi i wynik odpowiedzi.
+
+7. **Pseudonim użytkownika / visitor_key** — techniczny identyfikator tworzony z użyciem funkcji HMAC na podstawie adresu IP i okresu rotacji, bez zapisywania surowego adresu IP w bazie analitycznej.
+
+8. **Agregaty** — statystyki zbiorcze niezawierające pseudonimu użytkownika, np. liczba odpowiedzi na pytanie, odsetek poprawnych odpowiedzi, średni lub medianowy czas reakcji.
+
+## 3. Charakter Serwisu
+
+1. Serwis nie jest wyłącznie statyczną bazą pytań. Jego celem jest umożliwienie rozwiązywania quizów oraz badanie jakości pytań, odpowiedzi i zestawów quizowych.
+
+2. W ramach działania Serwisu Administrator analizuje między innymi:
+   a. które pytania są najczęściej wyświetlane,
+   b. które pytania są zbyt łatwe lub zbyt trudne,
+   c. które pytania mogą być niejasne lub wadliwe,
+   d. jaki jest czas reakcji na poszczególne pytania,
+   e. jak różne grupy wynikowe radzą sobie z pytaniami,
+   f. jak często wykorzystywane są tryby losowania i limity pytań.
+
+3. Analiza ma charakter statystyczny i produktowy. Jej celem jest poprawa jakości baz pytań, działania quizów oraz użyteczności Serwisu.
+
+4. Serwis nie służy do oceny wartości osoby, jej inteligencji, zdolności zawodowych, zdolności edukacyjnych ani do podejmowania decyzji wywołujących wobec Użytkownika skutki prawne.
+
+5. Administrator może tworzyć techniczne lub statystyczne segmenty skuteczności odpowiedzi, takie jak niski, średni lub wysoki wynik podejścia, wyłącznie w celu analizy trudności pytań i jakości quizów.
+
+## 4. Zasady korzystania z Serwisu
+
+1. Użytkownik może korzystać z Serwisu zgodnie z jego przeznaczeniem, Regulaminem i przepisami prawa.
+
+2. Zabronione jest:
+   a. zakłócanie działania Serwisu,
+   b. podejmowanie prób nieuprawnionego dostępu do systemu, bazy danych lub paneli administracyjnych,
+   c. automatyczne masowe odpytywanie Serwisu bez zgody Administratora,
+   d. obchodzenie mechanizmów bezpieczeństwa, limitów lub zabezpieczeń CSRF,
+   e. przesyłanie nieprawidłowych, sfałszowanych lub nadmiernie dużych żądań do API,
+   f. korzystanie z Serwisu w sposób naruszający prawa osób trzecich.
+
+3. Administrator może czasowo ograniczyć dostęp do Serwisu w przypadku nadużyć, ataków, przeciążenia infrastruktury lub naruszenia Regulaminu.
+
+4. Serwis jest przeznaczony wyłącznie dla osób korzystających z niego poza terytorium Unii Europejskiej i Europejskiego Obszaru Gospodarczego, w szczególności dla polskojęzycznych użytkowników przebywających poza terytorium UE/EOG.
+
+5. Administrator nie oferuje Serwisu osobom znajdującym się na terytorium UE/EOG. Korzystanie z Serwisu z terytorium UE/EOG jest zabronione.
+
+6. Administrator może stosować techniczne środki ograniczające dostęp z terytorium UE/EOG, w tym blokadę na podstawie przybliżonej geolokalizacji adresu IP. 
+
+7. Administrator może rozwijać, zmieniać, ograniczać lub wyłączać wybrane funkcje Serwisu, jeżeli jest to uzasadnione technicznie, organizacyjnie lub bezpieczeństwem.
+
+## 5. Dostępność i brak gwarancji
+
+1. Serwis jest udostępniany w stanie aktualnym, bez gwarancji nieprzerwanej dostępności.
+
+2. Administrator dokłada starań, aby Serwis działał prawidłowo, jednak nie gwarantuje, że będzie dostępny bez przerw, błędów lub awarii.
+
+3. Wyniki quizów mają charakter informacyjny, testowy lub rozrywkowo-edukacyjny. Nie stanowią profesjonalnej diagnozy, oceny kwalifikacji ani oficjalnego egzaminu.
+
+## 6. Własność intelektualna
+
+1. Elementy techniczne, układ, kod, baza danych, opracowanie quizów, interfejs oraz treści własne Serwisu mogą podlegać ochronie prawnej.
+
+2. Korzystanie z Serwisu nie oznacza nabycia praw do jego kodu, baz danych, oznaczeń, układu graficznego ani innych elementów chronionych.
+
+3. Jeżeli pytania pochodzą ze źródeł publicznych lub zewnętrznych baz, Administrator wskazuje źródła w zakresie, w jakim jest to wymagane lub technicznie możliwe.
+
+## 7. Reklamacje i kontakt
+
+1. W sprawach dotyczących działania Serwisu można kontaktować się z Administratorem pod adresem: admin@drogą.pl.
+
+2. Zgłoszenie powinno zawierać opis problemu, datę i przybliżoną godzinę wystąpienia oraz adres strony, której dotyczy problem.
+
+3. Administrator odpowiada na zgłoszenia w rozsądnym terminie, zależnie od charakteru sprawy i dostępności informacji technicznych.
+
+# Polityka Prywatności
+
+## 9. Jakie dane są przetwarzane
+
+1. W związku z korzystaniem z Serwisu Administrator może przetwarzać następujące dane:
+   a. adres IP w pamięci operacyjnej serwera w celu obsługi żądania,
+   b. pseudonim użytkownika tworzony jako HMAC z adresu IP i okresu rotacji,
+   c. identyfikator podejścia do quizu,
+   d. identyfikator strony lub zestawu quizowego,
+   e. tryb quizu, np. kolejność standardowa, losowa, limitowana,
+   f. liczbę pytań w podejściu,
+   g. hash pytania,
+   h. pozycję pytania w quizie,
+   i. informację o wyświetleniu pytania,
+   j. informację o sprawdzeniu odpowiedzi,
+   k. wybrane identyfikatory odpowiedzi,
+   l. wynik odpowiedzi wyliczony po stronie serwera, np. poprawna, częściowo poprawna, błędna, brak odpowiedzi,
+   m. czas reakcji lub czas udzielenia odpowiedzi,
+   n. techniczne metadane żądania niezbędne do bezpieczeństwa i diagnostyki.
+
+2. Surowy adres IP nie jest zapisywany w tabelach analitycznych Serwisu.
+
+3. Pseudonim użytkownika jest rotowany okresowo, standardowo co 90 dni, chyba że Administrator wskaże krótszy okres.
+
+4. Identyfikator pytania jest tworzony jako hash treści pytania, odpowiedzi i zbioru poprawnych odpowiedzi. Merytoryczna zmiana pytania może prowadzić do powstania nowego hasha.
+
+5. Serwis nie wymaga zakładania konta użytkownika.
+
+6. Serwis nie wymaga podawania imienia, nazwiska, adresu e-mail ani innych danych identyfikacyjnych przez Użytkownika, chyba że Użytkownik kontaktuje się z Administratorem dobrowolnie.
+
+## 10. Cele przetwarzania danych
+
+1. Dane są przetwarzane w następujących celach:
+   a. świadczenie usługi badawczo-analitycznego quizu,
+   b. zapis podejść i zdarzeń quizowych,
+   c. obliczanie wyników odpowiedzi po stronie serwera,
+   d. analiza trudności pytań,
+   e. analiza jakości i jednoznaczności pytań,
+   f. tworzenie statystyk dziennych i okresowych,
+   g. badanie popularności trybów quizu,
+   h. wykrywanie błędów technicznych i nadużyć,
+   i. zapewnienie bezpieczeństwa Serwisu,
+   j. dochodzenie lub obrona przed roszczeniami, jeżeli zajdzie taka potrzeba.
+
+2. Dane nie są przetwarzane w celu wyświetlania reklam behawioralnych.
+
+3. Dane nie są sprzedawane reklamodawcom ani brokerom danych.
+
+4. Dane nie są wykorzystywane do podejmowania decyzji wywołujących wobec Użytkownika skutki prawne lub podobnie istotnie wpływających na Użytkownika.
+
+## 11. Podstawy prawne przetwarzania
+
+1. Dane niezbędne do działania quizu badawczo-analitycznego, w szczególności dane o podejściu, pytaniu, odpowiedzi, czasie reakcji i wyniku, są przetwarzane w celu wykonania usługi świadczonej Użytkownikowi.
+
+2. Dane przetwarzane w celu poprawy jakości pytań, tworzenia agregatów, wykrywania błędów i ochrony Serwisu mogą być przetwarzane na podstawie prawnie uzasadnionego interesu Administratora.
+
+3. Prawnie uzasadniony interes Administratora polega na utrzymaniu, zabezpieczeniu i rozwijaniu nieodpłatnego Serwisu, poprawie jakości baz pytań, wykrywaniu wadliwych pytań oraz zapobieganiu nadużyciom.
+
+4. Jeżeli w przyszłości Administrator wprowadzi funkcje opcjonalne wymagające zgody, takie jak marketing, reklama behawioralna, personalizacja wykraczająca poza podstawową usługę lub dłuższe śledzenie między serwisami, zostaną one objęte osobną informacją i osobnym mechanizmem zgody, jeżeli będzie to wymagane.
+
+## 12. Charakter analityki i profilowania
+
+1. Serwis może analizować skuteczność odpowiedzi oraz czas reakcji w celu tworzenia statystyk jakości pytań.
+
+2. Administrator może stosować techniczne segmenty wynikowe, takie jak grupa niskiej, średniej lub wysokiej skuteczności, w celu ustalenia, czy dane pytanie jest trudne dla wszystkich użytkowników, czy tylko dla określonych grup wynikowych.
+
+3. Segmenty te nie służą do publicznego oceniania Użytkownika, wyświetlania mu reklam, ustalania jego uprawnień poza Serwisem ani podejmowania decyzji wywołujących wobec niego skutki prawne.
+
+4. Administrator nie tworzy publicznego rankingu Użytkowników, nie przypisuje Użytkownikowi etykiet wartościujących osobę oraz nie udostępnia innym użytkownikom indywidualnych profili skuteczności.
+
+5. Analizy są prowadzone w celu oceny pytań, zestawów pytań i działania Serwisu, a nie w celu oceny osoby jako takiej.
+
+## 13. Retencja danych
+
+1. Surowe zdarzenia analityczne są przechowywane przez okres do 90 dni od ich zapisania.
+
+2. Po upływie okresu retencji surowe zdarzenia są usuwane lub odłączane przez mechanizm retencji, w szczególności przez usuwanie partycji czasowych bazy danych.
+
+3. Agregaty dzienne niezawierające pseudonimu użytkownika mogą być przechowywane przez okres do 24 miesięcy.
+
+4. Dane techniczne związane z bezpieczeństwem, awariami lub nadużyciami mogą być przechowywane dłużej, jeżeli jest to niezbędne do wyjaśnienia incydentu, dochodzenia roszczeń lub obrony przed roszczeniami.
+
+5. Korespondencja kierowana do Administratora może być przechowywana przez czas potrzebny do obsługi sprawy oraz przez okres przedawnienia ewentualnych roszczeń.
+
+## 14. Odbiorcy danych
+
+1. Dane mogą być powierzane podmiotom wspierającym Administratora w prowadzeniu Serwisu, w szczególności:
+   a. dostawcom hostingu,
+   b. dostawcom infrastruktury serwerowej,
+   c. dostawcom usług administracji technicznej,
+   d. dostawcom usług poczty elektronicznej,
+   e. podmiotom świadczącym obsługę prawną lub księgową, jeżeli będzie to konieczne.
+
+2. Podmioty te przetwarzają dane wyłącznie w zakresie niezbędnym do świadczenia usług na rzecz Administratora i na podstawie odpowiednich umów, jeżeli są wymagane.
+
+3. Dane mogą zostać udostępnione organom publicznym, jeżeli obowiązek taki wynika z przepisów prawa.
+
+## 15. Przekazywanie danych poza EOG
+
+1. Administrator co do zasady nie zamierza przekazywać danych osobowych poza Europejski Obszar Gospodarczy.
+
+2. Jeżeli do takiego przekazania dojdzie, Administrator zapewni odpowiednie podstawy prawne i zabezpieczenia wymagane przepisami o ochronie danych osobowych.
+
+3. Informacja o ewentualnym przekazywaniu danych poza EOG zostanie uzupełniona w niniejszym dokumencie, jeżeli będzie dotyczyła Serwisu.
+
+## 16. Cookies i podobne technologie
+
+1. Serwis nie używa plików cookies do prowadzenia analityki quizów, chyba że Administrator wyraźnie wskaże inaczej w aktualnej wersji dokumentu.
+
+2. Serwis może używać mechanizmów technicznie niezbędnych do działania, bezpieczeństwa lub zapamiętania ustawień użytkownika, jeżeli zostaną wdrożone.
+
+3. Analityka quizów jest prowadzona przede wszystkim przez zdarzenia wysyłane z przeglądarki do serwera podczas korzystania z quizu oraz przez dane zapisane po stronie serwera.
+
+4. Jeżeli w przyszłości Serwis zacznie używać cookies lub podobnych technologii do celów innych niż niezbędne technicznie, Administrator wdroży odpowiednią informację i mechanizm zgody lub sprzeciwu, jeżeli będzie to wymagane.
+
+## 17. Bezpieczeństwo danych
+
+1. Administrator stosuje środki techniczne i organizacyjne mające chronić dane przed nieuprawnionym dostępem, utratą, zmianą lub ujawnieniem.
+
+2. Do środków tych należą w szczególności:
+   a. brak zapisu surowego adresu IP w tabelach analitycznych,
+   b. tworzenie pseudonimu z użyciem HMAC,
+   c. rotacja pseudonimu co określony czas,
+   d. ograniczona retencja surowych zdarzeń,
+   e. walidacja danych po stronie serwera,
+   f. token CSRF dla żądań analitycznych,
+   g. odrzucanie nieprawidłowych lub nadmiernie dużych payloadów,
+   h. rozdzielenie danych surowych i agregatów,
+   i. ograniczenie dostępu administracyjnego do bazy danych.
+
+3. Administrator nie zapisuje w bazie analitycznej surowego adresu IP Użytkownika.
+
+4. Administrator nie ufa nagłówkom takim jak X-Forwarded-For do identyfikacji Użytkownika, chyba że w przyszłości wdroży kontrolowaną i udokumentowaną konfigurację proxy.
+
+## 18. Prawa Użytkownika
+
+1. Użytkownik ma prawa przewidziane przepisami o ochronie danych osobowych, w szczególności:
+   a. prawo dostępu do danych,
+   b. prawo sprostowania danych,
+   c. prawo usunięcia danych,
+   d. prawo ograniczenia przetwarzania,
+   e. prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
+   f. prawo przenoszenia danych, jeżeli ma zastosowanie,
+   g. prawo wniesienia skargi do organu nadzorczego.
+
+2. W Polsce organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych.
+
+3. Ze względu na brak kont użytkowników i stosowanie pseudonimizacji, realizacja niektórych praw może wymagać podania przez Użytkownika informacji pozwalających odnaleźć dane, np. przybliżonej daty i godziny korzystania z Serwisu, domeny, identyfikatora sesji lub innego identyfikatora technicznego udostępnionego przez Serwis.
+
+4. Administrator nie będzie żądał od Użytkownika nadmiarowych danych identyfikacyjnych, jeżeli nie są potrzebne do obsługi żądania.
+
+5. Żądania dotyczące danych można kierować na adres: admin@drogą.pl.
+
+## 19. Prawo sprzeciwu
+
+1. Użytkownik ma prawo wnieść sprzeciw wobec przetwarzania danych opartego na prawnie uzasadnionym interesie Administratora.
+
+2. Po otrzymaniu sprzeciwu Administrator zaprzestanie przetwarzania danych w tym celu, chyba że wykaże istnienie ważnych, prawnie uzasadnionych podstaw do dalszego przetwarzania, nadrzędnych wobec interesów, praw i wolności Użytkownika, albo podstaw do ustalenia, dochodzenia lub obrony roszczeń.
+
+3. Jeżeli Użytkownik nie chce uczestniczyć w badawczo-analitycznym charakterze Serwisu, powinien zrezygnować z korzystania z Serwisu.
+
+4. Administrator może w przyszłości udostępnić techniczny mechanizm ograniczenia analityki, wersję ograniczoną albo płatną wersję bez analityki, ale nie jest to elementem Serwisu w obecnej wersji, chyba że wyraźnie wskazano inaczej.
+
+## 20. Dane dzieci i osób małoletnich
+
+1. Serwis nie jest kierowany do dzieci poniżej 18 lat, chyba że Administrator wyraźnie wskaże inaczej.
+
+2. Jeżeli Serwis ma być kierowany do osób małoletnich lub wykorzystywany w środowisku edukacyjnym, Administrator może wprowadzić dodatkowe zasady, zgody, ograniczenia lub informacje dla opiekunów prawnych.
+
+3. Osoby małoletnie powinny korzystać z Serwisu zgodnie z przepisami prawa oraz za wiedzą rodzica lub opiekuna, jeżeli jest to wymagane.
+
+## 21. Zmiany Regulaminu i Polityki Prywatności
+
+1. Administrator może zmienić niniejszy dokument w szczególności w przypadku:
+   a. zmian funkcji Serwisu,
+   b. zmian technologicznych,
+   c. zmian przepisów prawa,
+   d. zmian sposobu przetwarzania danych,
+   e. konieczności doprecyzowania informacji dla Użytkowników.
+
+2. Aktualna wersja dokumentu jest publikowana w Serwisie.
+
+3. Jeżeli zmiany będą istotne, Administrator może dodatkowo poinformować o nich w widocznym miejscu Serwisu.
+
+## 22. Postanowienia końcowe
+
+1. W sprawach nieuregulowanych niniejszym dokumentem stosuje się przepisy prawa powszechnie obowiązującego.
+
+2. Jeżeli którekolwiek postanowienie Regulaminu okaże się nieważne lub nieskuteczne, pozostałe postanowienia pozostają w mocy.
+
+3. Korzystanie z Serwisu po wejściu w życie niniejszego dokumentu oznacza korzystanie z Serwisu na zasadach w nim opisanych.
+
+# Krótka informacja do pokazania przed rozpoczęciem quizu
+
+Serwis jest badawczo-analitycznym quizem. Korzystanie z niego obejmuje analizę odpowiedzi, czasu reakcji i wyników w celu oceny trudności oraz jakości pytań. Nie zapisujemy surowego adresu IP w bazie analitycznej; używamy pseudonimowego identyfikatora rotowanego okresowo. Surowe zdarzenia przechowujemy do 90 dni, a statystyki zbiorcze do 24 miesięcy. Jeżeli nie akceptujesz takiego modelu, nie korzystaj z Serwisu.