Polityka cookies — Owlygami

Operator: OWLY CRAFTS S.L., NIF B19721083
Domicilio social (siedziba): Carretera Azucarera-Intelhorce (Intelhorce) 60, Esc. 2, 29004 Málaga
Domicilio fiscal AEAT (16.12.2025): Urb. Loma de las Palmas 51, planta 0, puerta B; localidad Marbella; CP 29004; municipio Málaga
RM Málaga MA-183542, insc. 1ª · Kapitał 3.000 € · Admin. único: Mateusz Jan Migoń (bez NIE) · telefon: brak

UI: /pomoc/ustawienia-cookies · PP: /pomoc/prywatnosc

1. Cookies / podobne technologie

Cookies, local storage, SDK („cookies”) na urządzeniu Użytkownika. Dotyczy Owlygami w soft-beta (ES+PL), w tym przeglądania bez Konta.

Źródło audytu (v1.3.1): publiczne docs vendorów + znany stack produktowy (Mapbox, GA4, Lovable Cloud/Supabase, OAuth FB/X/Google/Apple). Nie jest to zrzut DevTools z produkcji — przed LIVE: weryfikacja w przeglądarce + uzupełnienie wiersza PSP.

2. Kategorie (UI)

| Kategoria | Zgoda? | Opis / UI | |-----------|--------|-----------| | Niezbędne | Nie (w granicach prawa) | Sesja, bezpieczeństwo, zapis zgody, auth Lovable/Supabase — bez Mapbox i bez GA4 | | Mapa / Mapbox | Tak | Kafel mapy + storage telemetrii Mapbox GL JS — zgoda | | Analityczne | Tak | GA4 tylko po zgodzie | | Funkcjonalne | Tak (jeśli nie niezbędne) | Udogodnienia niekrytyczne (np. preferencje UI poza zgodą) | | Marketingowe | Tak | UKRYĆ w UI soft-beta — brak narzędzi marketingowych; jedyna analityka = GA4 → kategoria Analityczne |

3. Mapbox

3.1. Mapbox = zgoda — nie traktujemy kafla mapy jako necessary-only.
3.2. Procesor + transfery US (DPA, SCC/DPF, TIA) — szczegóły PP.
3.3. Bez zgody: mapa może być niedostępna / placeholder.
3.4. Mapbox GL JS: localStorage z prefiksem mapbox.eventData (telemetria agregowana — STORAGE.md).

4. GA4 (analityka)

Google Analytics 4 uruchamiamy wyłącznie po zgodzie na kategorię analityczną. Brak zgody = brak GA4 (Consent Mode / brak load tagu — zgodnie z implementacją produktu).
TTL opcjonalnych cookies: max 13 miesięcy (polityka Owlygami) — przy wdrożeniu ustawić cookie_expires / override GA poniżej domyślnych 2 lat Google.

| Nazwa / klucz | Dostawca | Cel | TTL / retencja | Kategoria | 1st / 3rd | |---------------|----------|-----|----------------|-----------|-----------| | owly_cookie_consent (lub równoważny localStorage/cookie produktu) | Owlygami | Zapis wyborów zgody (banner / centrum) | max 13 m; odświeżenie zgody max 24 m | Niezbędne | 1st | | sb-<project-ref>-auth-token (domyślnie localStorage Supabase JS; cookie jeśli SSR) | Lovable Cloud / Supabase | Sesja Konta, refresh token | do wylogowania / wygaśnięcia sesji | Niezbędne | 1st | | Sesja / security (ew. CSRF, anti-abuse — jeśli wdrożone) | Owlygami | Bezpieczeństwo, ciągłość sesji | session / krótkie | Niezbędne | 1st | | mapbox.eventData / mapbox.eventData:* | Mapbox | Telemetria agregowana SDK (losowe ID + meta lokalnie) | localStorage (do usunięcia / czyszczenia) | Mapa / Mapbox | 3rd (Mapbox) | | Żądania HTTP kafelków / API Mapbox | Mapbox | Wyświetlanie mapy | N/A (sieć; IP/UA do Mapbox) | Mapa / Mapbox | 3rd | | _ga | Google (GA4) | Rozróżnianie użytkowników | domyślnie 2 lata Google → wdrożyć max 13 m | Analityczne | 1st (Google) | | _ga_<container-id> | Google (GA4) | Stan sesji GA4 | j.w. → max 13 m | Analityczne | 1st (Google) | | OAuth state / PKCE (transient przy redirect) | Facebook, X, Google, Apple | Przepływ social login | session / jednorazowe | Niezbędne (w trakcie logowania) | 3rd (provider) | | Cookies / storage PSP | — | Checkout / płatność Gemów | — | Niezbędne (płatność) lub wg PSP | — |

Uwagi:

  • Soft-beta: brak osobnych narzędzi marketingowych (Meta Pixel, Ads itp.) → kategoria Marketing ukryta w UI.
  • Hosting edge (np. Cloudflare na domenach vendora) może ustawiać własne cookie (np. __cf_bm na *.supabase.co) — poza 1st-party Owlygami; nie traktować jako marketing Owlygami.
  • Ref Supabase projektu waitlist/Cloud (MCP): rvmcvuvugtqjgldcjazp — klucz auth: typowo sb-rvmcvuvugtqjgldcjazp-auth-token w localStorage.

6. Zarządzanie zgodą

6.1. Banner: akceptacja opcjonalnych / tylko niezbędne / ustawienia.
6.2. Równorzędne przyciski, brak pre-tick.
6.3. Brak cookie wall. Checkout Gemów niezależny od zgody marketingowej (i tak: marketing ukryty).
6.4. TTL cookies nieistotnych: max 13 miesięcy. Odświeżenie zgody: max 24 miesiące.
6.5. GPC: opcjonalnie odrzucić nieistotne. Nie obiecywać DNT.
6.6. Zmiana: /pomoc/ustawienia-cookies + link w stopce.

7. Podstawy

Niezbędne: umowa / LIA / ePrivacy. Mapbox, GA4, funkcjonalne niekrytyczne: zgoda. Marketing: N/A soft-beta (ukryte).

8. Transfery

Jak w PP (SCC/DPF/TIA). Bez claim „tylko UE” bez audytu regionu Cloud.

9. Przeglądanie bez Konta

Dozwolone. Opcjonalne (mapa, GA4) — tylko po zgodzie.

10. Zmiany

Wersja w nagłówku. Po istotnej zmianie listy — ponowna zgoda, jeśli wymagana. Po wyborze PSP: dodać wiersze + ponowny przegląd.