feat(01-rodo-cookie-consent): RODO compliance — Consent Mode v2 + Facebook Pixel blokada

Phase 1 complete:
- fbq noop na wp_head priority 1 — blokuje Facebook Pixel ze wszystkich źródeł (HFCM, PYS, woo-product-feed-pro) gdy brak zgody marketingowej
- Early gtag consent update PHP-side dla powracających użytkowników — eliminuje race condition z GTM
- Granularne filtry pys_disable_*_by_gdpr — PixelYourSite honoruje kategorie marketing/analytics
- Fix: wp_unslash() przy odczycie $_COOKIE (WP wp_magic_quotes addslashes)

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

.paul/PROJECT.md

@@ -12,27 +12,41 @@ Strona internetowa na WordPress ze szkoleniami — użytkownicy mogą przegląda
 
 | Attribute | Value |
 |-----------|-------|
-| Version | 0.0.0 |
-| Status | Prototype |
-| Last Updated | 2026-04-26 |
+| Version | 0.1.0 |
+| Status | In Progress |
+| Last Updated | 2026-04-27 |
 
 ## Requirements
 
-### Must Have
-- [To be defined during planning]
+### Validated ✓
+- ✓ Consent Mode v2 defaults (all denied) przed GTM — Phase 1
+- ✓ Facebook Pixel nie odpala bez zgody marketingowej — Phase 1
+- ✓ PixelYourSite honoruje kategorie zgody (marketing/analytics) — Phase 1
+- ✓ Early consent update dla powracających użytkowników (eliminacja race condition) — Phase 1
 
-### Should Have
-- [To be defined during planning]
+### Active
+- [ ] Konfiguracja GTM kontenera — tagi/triggery consent-aware (deferred z Phase 1)
 
-### Nice to Have
-- [To be defined during planning]
+### Out of Scope
+- Natywna integracja PYS z Cookie Notice Pro — Cookie Notice Pro to niestandardowy plugin Flerosoft, nie standardowy `cookie-notice`
 
 ## Constraints
-- [To be identified during planning]
+- WordPress 6.0.2, PHP (shared hosting FTP deployment)
+- Motyw Divi (parent) + body-relax (child) — customizacje w Divi/functions.php (deployowany przez FTP)
+- Cookie Notice Pro (Flerosoft) — custom jQuery plugin, nie WP plugin
+
+## Key Decisions
+
+| Decision | Rationale | Phase |
+|----------|-----------|-------|
+| Kod RODO w Divi/functions.php (nie child theme) | Pliki deployowane przez FTP — Divi jest aktywnym zestawem deploywanych plików | Phase 1 |
+| fbq noop zamiast remove_action | remove_action zawodny dla HFCM static method; noop universalnie blokuje wszystkie źródła pixela | Phase 1 |
+| wp_unslash() przy odczycie $_COOKIE | wp_magic_quotes() w WP stosuje addslashes na cookies; bez wp_unslash() json_decode zwraca null | Phase 1 |
+| PHP filtry pys_disable_*_by_gdpr zamiast natywnej integracji PYS | Cookie Notice Pro nie jest wspierany przez PYS free | Phase 1 |
 
 ## Success Criteria
-- Użytkownicy mogą przeglądać katalog szkoleń, rezerwować miejsca i płacić online
-- [To be refined during planning]
+- ✓ Użytkownicy mogą przeglądać katalog szkoleń, rezerwować miejsca i płacić online
+- ✓ GTM i Facebook Pixel nie uruchamiają się przed wyrażeniem zgody (RODO compliance)
 
 ---
-*Created: 2026-04-26*
+*Last updated: 2026-04-27 after Phase 1*