POLITYKA PRYWATNOŚCI I OCHRONA DANYCH RODO

Wstęp

Niniejsza Polityka Prywatności precyzuje fundamentalne standardy gromadzenia, utrwalania, przetwarzania oraz zabezpieczania informacji identyfikujących użytkowników w ramach infrastruktury cyfrowej platformy. Wszystkie procedury operacyjne i protokoły przepływu danych są realizowane w rygorystycznej zgodności z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (ogólne rozporządzenie o ochronie danych – RODO/GDPR) oraz polskimi przepisami z zakresu ochrony danych osobowych i świadczenia usług drogą elektroniczną.

Dostęp do funkcjonalności serwisu, rejestracja profilu gracza oraz wszelkie powiązane z nimi procesy teleinformatyczne są dozwolone wyłącznie dla osób fizycznych, które ukończyły 18. rok życia. Operator stosuje wieloetapowe procedury prewencyjne, obejmujące zarówno algorytmiczną filtrację rejestracyjną, jak i obligatoryjną weryfikację dokumentacyjną tożsamości, co wyklucza możliwość tworzenia kont oraz przetwarzania danych osób małoletnich.

Przed rozpoczęciem interakcji z platformą, złożeniem depozytu lub rozpoczęciem sesji hazardowej użytkownik powinien szczegółowo przeanalizować zapisy niniejszego dokumentu prawnego. Niezależny raport audytowy dotyczący wiarygodności operatora, parametrów bezpieczeństwa oraz mechaniki gier jest dostępny poprzez stronę główną casino Vinyl.

Kategorie przetwarzanych danych

Analiza procedur operacyjnych wykazuje, że operator gromadzi wyłącznie precyzyjnie określony katalog informacji, niezbędnych do utworzenia profilu, realizacji dyspozycji finansowych oraz spełnienia międzynarodowych zobowiązań prawnych. Zakres zbieranych rekordów wynika wprost z wytycznych licencyjnych Curaçao nr 8048/JAZ oraz restrykcyjnych reguł weryfikacji tożsamości graczy.

W strukturze bazy ewidencyjnej wyodrębniono cztery podstawowe zbiory parametrów cyfrowych:

• Dane tożsamości (ID): pełne imię i nazwisko, data urodzenia poświadczająca ukończenie 18. roku życia, obywatelstwo, seria oraz numer dokumentu tożsamości (paszportu lub dowodu osobistego), a także numer PESEL weryfikowany w ramach procedury KYC.
• Dane kontaktowe i adresowe: stały adres zamieszkania (nazwa ulicy, numer domu, kod pocztowy, miejscowość oraz kraj rezydencji podatkowej), aktywny numer telefonu komórkowego oraz adres poczty elektronicznej przypisany do profilu gracza.
• Dane finansowe i transakcyjne: kompletny rejestr depozytów i wypłat, częściowo zamaskowane numery rachunków bankowych, identyfikatory portfeli wirtualnych (takich jak MiFinity czy Jeton), potwierdzenia transakcji BLIK oraz informacje o źródle pochodzenia środków wymagane przepisami AML.
• Dane techniczne i telemetryczne urządzenia: publiczny adres IP, geolokalizacja połączenia, sygnatura cyfrowa przeglądarki internetowej, specyfikacja systemu operacyjnego, identyfikatory plików cookies oraz szczegółowe znaczniki czasu logowania i aktywności w grach.

Informacje są pozyskiwane bezpośrednio od gracza podczas wypełniania formularza rejestracyjnego i dostarczania dokumentów uwierzytelniających, a w wymiarze technicznym – w sposób zautomatyzowany podczas aktywnej sesji na platformie.

Cele przetwarzania danych

Przetwarzanie danych osobowych użytkowników przez operatora opiera się wyłącznie na zdefiniowanych podstawach prawnych określonych w art. 6 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Każda operacja na rekordach cyfrowych jest bezpośrednio powiązana z konkretnym celem funkcjonalnym, regulacyjnym lub bezpieczeństwa teleinformatycznego.

Zgodnie z ustaleniami audytorów bobodesign.pl, przetwarzanie informacji osobowych realizowane jest w następujących celach operacyjnych i formalno-prawnych:

• Świadczenie usług i realizacja umowy (art. 6 ust. 1 lit. b RODO): Zakładanie, konfiguracja oraz bieżąca obsługa Konta Gracza, weryfikacja uprawnień logowania, procesowanie transakcji płatniczych (wpłat i wypłat), jak również ewidencja historii zawieranych zakładów i sesji w katalogu gier.
• Wypełnienie ciążących obowiązków prawnych (art. 6 ust. 1 lit. c RODO): Realizacja restrykcyjnych wymogów regulatora wynikających z Licencji Curaçao nr 8048/JAZ, weryfikacja wieku 18+, przeciwdziałanie praniu pieniędzy oraz finansowaniu terroryzmu (procedury KYC/AML), a także prowadzenie dokumentacji podatkowo-księgowej dla organów nadzorczych.
• Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO): Wykrywanie prób wyłudzeń finansowych, przeciwdziałanie tworzeniu multikont, ochrona integralności infrastruktury serwerowej przed atakami DDoS, dochodzenie roszczeń prawnych oraz zbieranie zanonimizowanych wskaźników telemetrycznych w celu optymalizacji stabilności portalu.
• Dobrowolna i odwołalna zgoda użytkownika (art. 6 ust. 1 lit. a RODO): Dystrybucja spersonalizowanych komunikatów o aktualizacjach technicznych serwisu, zmianach w regulaminie lub dedykowanych powiadomieniach bonusowych poprzez wybrane przez gracza kanały bezpośrednie (e-mail, SMS).

Operator zobowiązany jest do stosowania zasady minimalizacji danych, co oznacza, że informacje zbierane są wyłącznie w zakresie ściśle niezbędnym do zrealizowania powyższych celów i nie są przetwarzane w sposób niezgodny z pierwotnym przeznaczeniem.

Udostępnianie danych i odbiorcy

Gromadzone rekordy osobowe graczy nie stanowią przedmiotu obrotu komercyjnego, odpłatnego zbywania ani nieuprawnionego udostępniania podmiotom marketingowym. Transfer informacji poza wewnętrzne środowisko serwerowe administratora następuje wyłącznie w sytuacjach niezbędnych operacyjnie, w oparciu o pisemne umowy powierzenia przetwarzania danych (Data Processing Agreements – DPA), zgodnie z dyspozycją art. 28 RODO.

Katalog zaufanych odbiorców i podwykonawców technologicznych obejmuje ściśle zdefiniowane kategorie podmiotów:

• Dostawcy i operatorzy bramek płatniczych: instytucje finansowe, operatorzy portfeli cyfrowych (w tym MiFinity oraz Jeton) oraz procesorzy transakcji BLIK, którzy realizują autoryzację depozytów i transferów wygranych na zlecenie gracza.
• Dostawcy infrastruktury serwerowej i zabezpieczeń sieciowych: certyfikowane centra danych oraz dostawcy usług chmurowych zapewniający ciągłość działania platformy, ochronę przed atakami wolumetrycznymi DDoS oraz szyfrowanie baz danych.
• Niezależne laboratoria badawcze i audytorzy RNG: akredytowane jednostki certyfikujące (m.in. eCOGRA, iTech Labs), które weryfikują matematyczną losowość algorytmów gier oraz zgodność z wymogami Licencji Curaçao nr 8048/JAZ.
• Instytucje nadzoru prawnego i organy ścigania: organy regulacyjne, sądy oraz jednostki wywiadu finansowego, którym dane są przekazywane wyłącznie na podstawie wiążącego nakazu prawnego lub w ramach obowiązkowego raportowania podejrzanych transakcji na mocy przepisów AML.

Każdy zewnętrzny partner technologiczny podlega weryfikacji audytowej pod kątem wdrożonych środków technicznych i organizacyjnych, co gwarantuje pełną integralność oraz poufność przetwarzanych informacji.

Prawa użytkownika

Każda osoba fizyczna korzystająca z usług platformy zachowuje pełną podmiotowość prawną oraz uprawnienia gwarantowane przez Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Zgodnie z analizą procedur wdrożonych przez administratora, użytkownik posiada instrumenty umożliwiające bezpośrednią kontrolę nad zakresem, poprawnością oraz celem przetwarzania jego danych osobowych.

Katalog uprawnień przysługujących zarejestrowanym graczom obejmuje następujące dyspozycje formalno-prawne:

• Prawo dostępu do danych (art. 15 RODO): Użytkownik może żądać potwierdzenia, czy administrator przetwarza jego rekordy osobowe, uzyskać szczegółowe informacje o celach i kategoriach odbiorców oraz odebrać bezpłatną kopię zgromadzonych danych w ustrukturyzowanym formacie.
• Prawo do sprostowania i uzupełnienia (art. 16 RODO): Możliwość żądania niezwłocznej modyfikacji danych, które są nieaktualne, nieprecyzyjne lub niekompletne, np. po zmianie adresu zamieszkania lub wymianie dokumentu tożsamości.
• Prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO): Gracz ma prawo domagać się trwałej anonimizacji lub usunięcia swoich danych z baz systemowych. Prawo to doznaje ograniczenia w zakresie, w jakim dalsza retencja jest bezwzględnie wymagana przepisami prawa przeciwdziałania praniu pieniędzy (AML) oraz wymogami licencyjnymi Curaçao nr 8048/JAZ przez ustawowy okres archiwizacji.
• Prawo do ograniczenia przetwarzania (art. 18 RODO): Żądanie czasowego zawieszenia operacji na danych wyłącznie do ich przechowywania w sytuacjach kwestionowania ich prawidłowości, rozpatrywania sprzeciwu lub konieczności zabezpieczenia ewentualnych roszczeń prawnych.
• Prawo do przenoszenia danych (art. 20 RODO): Otrzymanie danych dostarczonych administratorowi w powszechnie stosowanym, maszynowo czytelnym formacie cyfrowym (np. CSV, JSON) wraz z możliwością ich bezproblemowego przekazania innemu podmiotowi.
• Prawo do sprzeciwu (art. 21 RODO): Możliwość wniesienia umotywowanego sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie administratora, w tym bezwzględny sprzeciw wobec przetwarzania w celach marketingu bezpośredniego oraz profilowania.

Pliki cookies i podobne technologie

Infrastruktura teleinformatyczna serwisu wykorzystuje pakiety danych cookies (ciasteczka) oraz analogiczne mechanizmy lokalnego zapisu informacji (Local Storage, Session Storage, sygnały nawigacyjne Web Beacons) w celu zagwarantowania stabilności sesji, autoryzacji operacji gracza oraz optymalizacji responsywności interfejsu. Pliki te stanowią alfanumeryczne identyfikatory rejestrowane na urządzeniu końcowym użytkownika za pośrednictwem przeglądarki internetowej.

Stosowane znaczniki cyfrowe są klasyfikowane według ściśle określonych profili funkcjonalnych i technicznych:

• Niezbędne pliki cookies (techniczne i bezpieczeństwa): Kluczowe dla prawidłowego działania protokołów uwierzytelniania, podtrzymywania szyfrowanych połączeń SSL/TLS, zapobiegania atakom CSRF oraz poprawnej obsługi procesu składania depozytów i zlecenia wypłat. Ich dezaktywacja uniemożliwia korzystanie z Konta Gracza.
• Analityczne pliki cookies (telemetryczne i diagnostyczne): Umożliwiają rejestrowanie zagregowanych wskaźników wydajnościowych, czasu ładowania podstron oraz schematów poruszania się po katalogu gier bez przetwarzania bezpośrednich danych identyfikujących konkretną osobę fizyczną.
• Funkcjonalne pliki cookies (preferencji użytkownika): Zapamiętują indywidualne parametry konfiguracyjne interfejsu, w tym wybraną wersję językową, format wyświetlania kursów oraz zapamiętany stan filtrów w lobby gier hazardowych.

Każdy użytkownik zachowuje pełne prawo do modyfikacji konfiguracji akceptacji znaczników cookies bezpośrednio w ustawieniach swojej przeglądarki internetowej bądź za pośrednictwem dedykowanego modułu preferencji prywatności:

Bezpieczeństwo danych i ochrony systemów

Integralność infrastruktury teleinformatycznej oraz ochrona powierzonych zasobów osobowych przed nieautoryzowanym przejęciem, modyfikacją lub wyciekiem stanowią fundamentalny priorytet operacyjny administratora. Wszystkie połączenia pomiędzy przeglądarką użytkownika a klastrem serwerowym podlegają szyfrowaniu algorytmem SSL/TLS o sile klucza 256-bit z wykorzystaniem protokołu TLS 1.2 oraz TLS 1.3, co eliminuje podatności na podsłuch pakietów w otwartych sieciach telekomunikacyjnych.

W strukturze platformy wdrożono rygorystyczne reguły bezpieczeństwa kryptograficznego, audytu matematycznego oraz archiwizacji rekordów cyfrowych:

• Certyfikacja algorytmów losowych (RNG): Wszystkie oferowane automaty i gry stołowe opierają się na certyfikowanych generatorach liczb losowych (Random Number Generator – RNG). Prawidłowość algorytmów oraz brak możliwości ingerencji zewnętrznej są weryfikowane przez akredytowane laboratoria badawcze (m.in. eCOGRA, iTech Labs), co gwarantuje pełną transparentność sesji i bezstronność wyników hazardowych.
• Retencja rekordów transakcyjnych i KYC (5 lat): Zgodnie z międzynarodowymi standardami przeciwdziałania praniu pieniędzy (AML) oraz wymogami Licencji Curaçao nr 8048/JAZ, pełna dokumentacja tożsamości gracza, zestawienia wpłat i wypłat oraz rejestry sesji finansowych podlegają obowiązkowemu przechowywaniu przez okres 5 lat od momentu formalnego zamknięcia Konta Gracza.
• Okres retencji telemetrii technicznej (12 miesięcy): Dzienniki logowań sieciowych, adresy IP, znaczniki geolokalizacyjne oraz sumy kontrolne urządzeń końcowych są archiwizowane w wydzielonych bazach przez okres do 12 miesięcy, po czym podlegają automatycznemu nadpisywaniu lub nieodwracalnemu skasowaniu.
• Cykliczne audyty podatności i kontrola uprawnień: Infrastruktura poddawana jest kwartalnym testom penetracyjnym oraz audytom bezpieczeństwa kodu. Fizyczny oraz logiczny dostęp do baz danych przysługuje wyłącznie upoważnionemu personelowi działu compliance i bezpieczeństwa, z zastosowaniem uwierzytelniania dwuskładnikowego (2FA) oraz ścisłej ewidencji odczytów.

W przypadku wycofania przez gracza fakultatywnych zgód na komunikację informacyjną powiązane rekordy marketingowe są usuwane z aktywnych rejestrów wysyłkowych w trybie natychmiastowym, nie później niż w terminie 48 godzin od momentu zarejestrowania dyspozycji.

Przekazywanie danych poza EOG

Główny węzeł infrastruktury serwerowej oraz repozytoria bazodanowe dedykowane obsłudze graczy z rynku europejskiego podlegają fizycznej lokalizacji na terytorium Europejskiego Obszaru Gospodarczego (EOG). Jednakże z uwagi na globalny charakter świadczonych usług cyfrowych, koordynację licencyjną pozaeuropejskiej jurysdykcji Curaçao Gaming Control Board (Licencja Curaçao nr 8048/JAZ) oraz integrację z międzynarodowymi dostawcami oprogramowania, wybrane operacje telemetryczne i rozliczeniowe mogą wymagać transgranicznego przepływu rekordów do państw trzecich, w tym do Stanów Zjednoczonych czy Wielkiej Brytanii.

Transfer danych osobowych poza terytorium EOG odbywa się wyłącznie z zachowaniem rygorystycznych gwarancji prawnych i technicznych przewidzianych w Rozdziale V RODO (art. 44–49). Operator stosuje wielowarstwowe mechanizmy protekcyjne wykluczające możliwość obniżenia poziomu ochrony prawnej przysługującej użytkownikom:

• Decyzje Komisji Europejskiej o adekwatności (art. 45 RODO): przekazywanie pakietów informacji następuje priorytetowo do jurysdykcji, wobec których organy Unii Europejskiej wydały formalne orzeczenie poświadczające zapewnienie odpowiedniego stopnia ochrony danych osobowych, w tym w ramach unijno-amerykańskich ram ochrony danych.
• Standardowe Klauzule Umowne (SCC, art. 46 RODO): w relacjach z podmiotami z państw nieobjętych decyzją o adekwatności administrator wdraża zaktualizowane Standardowe Klauzule Umowne zatwierdzone przez Komisję Europejską, nakładające na zagranicznych partnerów technologicznych bezpośrednią odpowiedzialność prawną tożsamą ze standardami unijnymi.
• Wiążące Reguły Korporacyjne oraz audyty zgodności: zewnętrzni procesorzy danych podlegają systematycznej weryfikacji pod kątem spełniania norm bezpieczeństwa informacji ISO/IEC 27001 oraz okresowym audytom zgodności technicznej.
• Kryptograficzna izolacja transferu: wszelkie pakiety przesyłane kanałami międzykontynentalnymi są zabezpieczane szyfrowaniem przelotowym typu end-to-end z wykorzystaniem algorytmu AES-256 oraz protokołu TLS 1.3, co uniemożliwia przechwycenie i odczytanie treści przez nieuprawnione podmioty sieciowe.

Wdrożone procedury prawne gwarantują, że dane osobowe graczy zarejestrowanych na platformie korzystają z identycznego poziomu ochrony, poufności oraz nienaruszalności bez względu na geograficzną lokalizację serwera przetwarzającego żądanie.

Zmiany polityki i data obowiązywania

Wszelkie modyfikacje niniejszej Polityki Prywatności są wdrażane w celu odzwierciedlenia ewolucji technologicznej infrastruktury serwerowej, optymalizacji protokołów zabezpieczeń kryptograficznych oraz dostosowania procedur operacyjnych do zaktualizowanych wytycznych Curaçao Gaming Control Board (Licencja Curaçao nr 8048/JAZ) i europejskich standardów RODO. Administrator zastrzega sobie prawo do wprowadzania korekt redakcyjnych oraz strukturalnych w trybie ciągłego nadzoru prawnego.

W przypadku wprowadzenia zmian o charakterze materialnym, bezpośrednio wpływających na zakres przetwarzania danych, nowe kategorie odbiorców lub transfery transgraniczne, użytkownicy zostaną powiadomieni z co najmniej 14-dniowym wyprzedzeniem za pośrednictwem dedykowanego komunikatu systemowego po zalogowaniu na Konto Gracza bądź drogą wiadomości e-mail. Dalsze korzystanie z usług platformy po wejściu w życie zaktualizowanych regulacji jest równoznaczne z akceptacją nowych warunków ochrony prywatności.

Ostatnia aktualizacja i data wejścia w życie regulacji: 12 maja 2026 r..