Cookies
Czego używamy. Spoiler: minimum minimów.
TL;DR. Tylko cookies niezbędne do działania (sesja, koszyk, anti-CSRF). Bez Google Analytics. Bez Meta Pixela. Bez third-party trackerów. Bez zgody RODO bo nie ma czego dotyczyć (poza essential which are exempt).
01Czego używamy
Essential (niezbędne, bez zgody)
- zk_session — JWT z sesją zalogowania, ważny 1 godzinę. HttpOnly, Secure, SameSite=Lax.
- zk_cart — anonimowy koszyk dla niezalogowanych. SameSite=Lax, ważny 30 dni.
- zk_search_session — UUID dla anonymous search session (dismiss/next-3 mechanism). Wygasa po zamknięciu przeglądarki.
- __zk_csrf — anti-CSRF token dla form submissions. SameSite=Strict.
Functional (włączasz świadomie)
- zk_search_personalize — opt-in, włączasz w ustawieniach. Vector twoich preferencji (kategorie, marki, zakres cen) używany do personalizacji search results. Anonimowy — nie da się odtworzyć twojej tożsamości z wektora.
- zk_locale — preferowany język (na razie tylko polski, w fazie 2 EN).
02Czego NIE używamy
- Google Analytics (klasyczny ani GA4)
- Meta / Facebook Pixel
- TikTok Pixel
- LinkedIn Insight Tag
- Hotjar / FullStory / Microsoft Clarity / inne session replay
- Third-party retargeting (Criteo, RTB House, etc.)
- Cross-domain tracking
Co używamy zamiast tego: anonimowe metryki w Prometheus (request count, latencje, error rates). Brak per-user analytics. Brak heatmap.
03LocalStorage / SessionStorage
- zk_dismissed_session — UUID anonymous session dla dismiss/next-3 search UX
- zk_pwa_install_dismissed — flag że user odrzucił PWA install prompt (żeby nie spamować)
- zk_voice_consent — opt-in do Voice Studio (microphone permission cache)
04Jak wyłączyć
- Wszystkie cookies — w ustawieniach przeglądarki (Chrome / Firefox / Safari mają opcję "blokuj cookies"). Spowoduje to brak możliwości logowania.
- Personalizację search — w panelu user settings → Search → "wyłącz personalizację". Wtedy używamy generic ranking (popularność + freshness).
- Wszystkie funkcje opt-in — w panelu, każda osobno.
05Zewnętrzne integracje
Niektóre podstrony osadzają zewnętrzne assets:
- Resend.com — emaile transactional. Tracking pixela tylko w open-rate analytics (anonimowy).
- Tpay — payment widget na stronie checkout. Tpay własne cookies dla 3DS — patrz tpay.com/cookies.
- Furgonetka — widget tracking po dostawie. Furgonetka własne cookies — patrz furgonetka.pl.
- Google Cloud (CDN dla zdjęć produktów) — bez cookies, tylko CDN cache headers.
- Fontshare (fonty Cabinet Grotesk + Zodiak + Clash Display) — bez cookies, tylko Cache-Control.