POLITYKA PRYWATNOŚCI I ZASADY OCHRONY DANYCH OSOBOWYCH (RODO)

Wstęp i zakres ochrony prywatności

Niniejsza Polityka Prywatności stanowi oficjalny zbiór reguł determinujących sposób pozyskiwania, ewidencjonowania, przetwarzania oraz zabezpieczania informacji osobowych przekazywanych w ramach korzystania z platformy. Wszelkie operacje na danych personalnych podlegają bezwzględnym standardom prawnym wyznaczonym przez Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO/GDPR), a także powiązane przepisy krajowego porządku prawnego w Polsce.

Dostęp do systemu rozrywki cyfrowej oraz wszelkich powiązanych funkcji transakcyjnych przysługuje wyłącznie osobom pełnoletnim, które ukończyły 18. rok życia. Zgodnie z wytycznymi odpowiedzialnego hazardu oraz wymogami licencyjnymi wdrożono zintegrowany mechanizm weryfikacji wieku, zapobiegający rejestracji kont i gromadzeniu danych identyfikacyjnych osób małoletnich.

Eksperci szkodyrzeczowe.pl zwracają uwagę na konieczność dokładnego zapoznania się z niniejszymi wytycznymi przed uruchomieniem Konta Gracza lub zdeponowaniem środków pieniężnych. Dodatkowe informacje na temat struktury audytowej oraz architektury bezpieczeństwa prezentuje nasza niezależna analiza na stronie casino Roman.

Administrator danych i podstawa działania

Podmiotem pełniącym funkcję administratora danych osobowych w rozumieniu art. 4 pkt 7 RODO jest spółka prowadząca serwis, odpowiedzialna za bezpieczeństwo teleinformatyczne oraz legalność wszelkich procesów przetwarzania. Wszystkie operacje na danych użytkowników są ściśle zintegrowane z procedurami weryfikacji tożsamości KYC (Know Your Customer) oraz mechanizmami przeciwdziałania praniu pieniędzy AML (Anti-Money Laundering), co bezpośrednio wynika z wiążących przepisów międzynarodowych.

Formalną legitymację do prowadzenia operacji w środowisku cyfrowym stanowi dokument: Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board. Organ nadzorczy nakłada na administratora bezwzględny obowiązek systematycznego ewidencjonowania, weryfikowania oraz bezpiecznego archiwizowania rejestrów aktywności graczy w celu eliminacji nadużyć finansowych, zapobiegania udziałowi osób małoletnich oraz ochrony integralności transakcji płatniczych.

W sprawach dotyczących realizacji uprawnień wynikających z przepisów o ochronie prywatności, w tym w celu bezpośredniego kontaktu z Inspektorem Ochrony Danych (DPO), należy korzystać z poniższych oficjalnych danych teleadresowych administratora:

Kategorie przetwarzanych danych

Zgodnie z zasadą minimalizacji określoną w art. 5 ust. 1 lit. c RODO, administrator pozyskuje i archiwizuje wyłącznie te zbiory informacji, które pozostają bezwzględnie konieczne do świadczenia usług hazardowych, weryfikacji tożsamości klienta oraz zapewnienia bezpieczeństwa obrotu finansowego. Zakres ewidencjonowanych danych osobowych obejmuje następujące wyodrębnione grupy:

• Dane identyfikacyjne (ID): pełne imię i nazwisko, data oraz miejsce urodzenia, obywatelstwo, seria i numer dokumentu tożsamości (dowód osobisty lub paszport), numer ewidencyjny PESEL (w przypadku rezydentów RP) oraz cyfrowa kopia wizerunku twarzy dostarczana w toku procedury KYC.
• Dane kontaktowe i adresowe: stały adres zamieszkania (ulica, numer lokalu, kod pocztowy, miejscowość oraz kraj jurysdykcji), aktywny adres poczty elektronicznej e-mail powiązany z Kontem Gracza oraz bieżący numer telefonu komórkowego.
• Dane finansowe i transakcyjne: rejestry depozytów i wypłat, maskowane identyfikatory kart płatniczych Visa/Mastercard, numery rachunków bankowych w formacie IBAN, identyfikatory portfeli cyfrowych (MiFinity, Jeton, Skrill), publiczne adresy portfeli kryptowalutowych oraz oświadczenia o źródle pochodzenia środków (SOF) wymagane przepisami AML.
• Dane techniczne i teleinformatyczne: publiczny adres IP, geolokalizacja połączenia, identyfikator sprzętowy i cyfrowy odcisk urządzenia (device fingerprinting), typ i wersja przeglądarki, specyfikacja systemu operacyjnego oraz precyzyjne znaczniki czasu rejestrujące aktywność w serwisie.

Pozyskiwanie powyższych kategorii następuje w sposób bezpośredni – poprzez manualne wprowadzenie danych w formularzach rejestracyjnych i przesłanie dokumentów dowodowych – lub automatyczny, za pośrednictwem zintegrowanych systemów telemetrii sieciowej chroniących infrastrukturę przed nieuprawnionym dostępem.

Cele przetwarzania danych

Ewidencjonowanie oraz operacje na zbiorach danych osobowych przez operatora platformy opierają się na ścisłych dyspozycjach Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Zgromadzone informacje służą realizacji celów prawnych, operacyjnych i fiskalnych, determinujących poprawne funkcjonowanie Konta Gracza oraz ochronę obrotu finansowego.

Podstawy prawne oraz powiązane cele przetwarzania obejmują w szczególności:

• Wykonanie umowy o świadczenie usług (art. 6 ust. 1 lit. b RODO): rejestracja, obsługa i prowadzenie indywidualnego konta, autoryzacja transakcji depozytowych i wypłat, a także rozliczanie stawek w grach losowych.
• Wypełnienie ciążących obowiązków prawnych (art. 6 ust. 1 lit. c RODO): realizacja zaleceń licencyjnych Curaçao nr 8048/JAZ wydanych przez Curaçao Gaming Control Board, przeprowadzanie audytów podatkowych oraz bezwzględne przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu (AML).
• Realizacja prawnie uzasadnionych interesów administratora (art. 6 ust. 1 lit. f RODO): prewencja nadużyć finansowych, wykrywanie wielokrotnych rejestracji (multi-accounting), monitorowanie stabilności infrastruktury IT, obrona przed roszczeniami oraz optymalizacja bezpieczeństwa sieciowego.
• Dobrowolna zgoda użytkownika (art. 6 ust. 1 lit. a RODO): subskrypcja komunikatów technicznych, powiadomień systemowych lub opcjonalnych biuletynów promocyjnych, z możliwością jej cofnięcia w dowolnym momencie.

Każda operacja na danych podlega rygorowi celowości i proporcjonalności, co wyklucza przetwarzanie informacji poza zakresem niezbędnym do zagwarantowania bezpieczeństwa gry oraz spełnienia norm jurysdykcyjnych.

Udostępnianie danych i odbiorcy

Administrator kategorycznie wyklucza komercyjny obrót, odpłatne zbywanie bądź nieautoryzowane udostępnianie baz danych osobowych podmiotom trzecim w celach marketingowych. Dostęp do wyselekcjonowanych informacji personalnych przysługuje wyłącznie wyspecjalizowanym partnerom operacyjnym i podmiotom przetwarzającym (procesorom), z którymi zawarto formalne umowy powierzenia przetwarzania danych osobowych (Data Processing Agreement – DPA), w granicach prawnych wyznaczonych przez art. 28 RODO.

Transfer danych realizowany jest wyłącznie w zakresie niezbędnym do zachowania integralności sesji, stabilności infrastruktury oraz prawidłowego rozliczania operacji finansowych, a katalog zaufanych odbiorców obejmuje:

• Instytucje płatnicze i operatorzy bramek finansowych: certyfikowane podmioty pośredniczące w realizacji depozytów i wypłat środków (w tym operatorzy transakcji BLIK, systemów kartowych Visa oraz Mastercard, portfeli elektronicznych MiFinity, Jeton, Skrill, a także autoryzowane węzły sieci kryptowalutowych).
• Podmioty weryfikacyjne i analitycy AML: wyspecjalizowane agencje dostarczające oprogramowanie biometryczne oraz bazy referencyjne do identyfikacji tożsamości, weryfikacji sankcyjnej oraz przeciwdziałania przestępczości finansowej.
• Dostawcy infrastruktury teleinformatycznej: przedsiębiorstwa świadczące usługi hostingu dedykowanego w centrach danych na terytorium Europejskiego Obszaru Gospodarczego, systemy ochrony przed atakami typu DDoS oraz sieci dystrybucji treści CDN.
• Niezależne laboratoria badawcze i audytorzy RNG: akredytowane jednostki kontrolne sprawdzające uczciwość algorytmów losowych, certyfikację oprogramowania oraz zgodność procesów z normami bezpieczeństwa.
• Właściwe organy regulacyjne i administracja publiczna: Curaçao Gaming Control Board, instytucje analityki finansowej oraz organy ścigania – wyłącznie w przypadkach sformalizowanych wniosków prawnych popartych wiążącymi przepisami.

Wszyscy kontrahenci i procesorzy podlegają rygorystycznemu audytowi wstępnemu pod kątem wdrożonych środków technicznych i organizacyjnych. Zapewnia to identyczny stopień ochrony informacji na każdym etapie cyklu życia danych, uniemożliwiając ich wyciek lub przetwarzanie niezgodne z pierwotnym celem operacyjnym.

Prawa użytkownika

Każda osoba fizyczna korzystająca z serwisu dysponuje bezpośrednimi instrumentami prawnymi zagwarantowanymi w art. 15–22 unijnego Rozporządzenia RODO (GDPR). Realizacja uprawnień nie wiąże się z żadnymi opłatami manipulacyjnymi, a wnioski graczy rozpatrywane są przez administratora bez zbędnej zwłoki, najpóźniej w terminie 30 dni od momentu ich formalnego doręczenia.

Szczegółowy katalog uprawnień przysługujących zarejestrowanym uczestnikom obejmuje następujące roszczenia:

• Prawo dostępu do danych (art. 15 RODO): możliwość uzyskania formalnego potwierdzenia faktu przetwarzania informacji, wglądu w ich strukturę oraz wygenerowania bezpłatnej kopii ewidencjonowanych rekordów.
• Prawo do sprostowania (art. 16 RODO): bezzwłoczna aktualizacja danych teleadresowych, weryfikacja zmienionego nazwiska lub korekta omyłek pisarskich w profilu gracza.
• Prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO): definitywna kasacja informacji z baz operacyjnych, pod warunkiem że ich dalsza archiwizacja nie stanowi nadrzędnego obowiązku prawnego wynikającego z przepisów AML lub licencji Curaçao nr 8048/JAZ.
• Prawo do ograniczenia przetwarzania (art. 18 RODO): czasowe zamrożenie operacji na koncie na okres weryfikacji prawidłowości danych lub rozpatrywania złożonego sprzeciwu.
• Prawo do przenoszenia danych (art. 20 RODO): wyeksportowanie zgromadzonych informacji w ustrukturyzowanym, powszechnie stosowanym formacie maszynowym (CSV lub JSON) w celu ich przekazania innemu administratorowi.
• Prawo do sprzeciwu (art. 21 RODO): natychmiastowe zablokowanie działań opartych na prawnie uzasadnionym interesie administratora, w tym profilowania analitycznego oraz audytów behawioralnych.

Dyspozycje formalne oraz pytania dotyczące realizacji uprawnień należy kierować bezpośrednio do Inspektora Ochrony Danych pod adresem: [email protected]. W sytuacji uznania, że procesy przetwarzania uchybiają przepisom prawa, użytkownikowi przysługuje prawo złożenia skargi do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (PUODO, ul. Stawki 2, 00-193 Warszawa).

Bezpieczeństwo danych i ochrony systemów

Infrastruktura teleinformatyczna obsługująca platformę podlega rygorystycznym standardom ochrony kryptograficznej. Wszelkie pakiety transmisyjne pomiędzy urządzeniem końcowym użytkownika a klastrami serwerowymi podlegają szyfrowaniu algorytmem SSL o długości klucza 256-bit z wymuszeniem protokołu TLS 1.2 lub nowszego, co skutecznie uniemożliwia przechwycenie poświadczeń autoryzacyjnych oraz danych kart płatniczych.

Niezależność wyników rozgrywki cyfrowej oraz ochrona przed manipulacjami programistycznymi opierają się na certyfikowanym generatorze liczb losowych (RNG). Zastosowane algorytmy matematyczne spełniają międzynarodowe kryteria uczciwości, podlegając cyklicznej walidacji przez akredytowane laboratoria badawcze (w tym eCOGRA oraz iTech Labs), a rejestry zdarzeń kryptograficznych są trwale izolowane od systemów transakcyjnych.

Architektura systemowa jest weryfikowana poprzez cykliczne wewnętrzne audyty bezpieczeństwa, testy penetracyjne infrastruktury sieciowej oraz procedury ciągłego monitorowania podatności zgodnie z normami ISO/IEC 27001. Retencja informacji personalnych podlega precyzyjnym ramom czasowym:

• Rejestry tożsamości i historii transakcji: przechowywane przez cały okres aktywności Konta Gracza oraz obowiązkowo przez 5 lat od daty jego zamknięcia, zgodnie z unijnymi dyrektywami AML i przepisami o przeciwdziałaniu finansowaniu terroryzmu.
• Dzienniki telemetryczne i teleinformatyczne (logi serwera, adresy IP): archiwizowane w środowisku bezpiecznym przez okres do 12 miesięcy w celach diagnostycznych, zapobiegania atakom DDoS oraz przeciwdziałania wielokrotnym rejestracjom.
• Dane przetwarzane na podstawie fakultatywnej zgody: usuwane trwale i nieodwracalnie z baz produkcyjnych w terminie do 72 godzin od momentu cofnięcia dyspozycji przez gracza.

Dostęp personelu technicznego do baz produkcyjnych podlega wielopoziomowemu uwierzytelnianiu sprzętowemu oraz zasadzie minimalnych uprawnień operacyjnych (Least Privilege), co w połączeniu z regularnym szkoleniem kadr wyklucza ryzyko nieautoryzowanego przetwarzania danych.

Przekazywanie danych poza EOG

Większość operacji przetwarzania zasobów informacyjnych oraz fizyczna infrastruktura serwerowa administratora zlokalizowane są w obrębie Europejskiego Obszaru Gospodarczego (EOG). Niemniej jednak, z uwagi na globalny model świadczenia usług cyfrowych, integrację z międzynarodowymi węzłami uwierzytelniania sieciowego oraz współpracę z dostawcami infrastruktury chmurowej i zapobiegania atakom sieciowym, wybrane rekordy telemetryczne oraz dane transakcyjne mogą podlegać transgranicznemu transferowi do państw trzecich, w tym do jurysdykcji Stanów Zjednoczonych Ameryki Północnej.

Każdy przypadek transferu danych personalnych poza granice EOG odbywa się w ścisłej zgodzie z wymogami Rozdziału V Rozporządzenia RODO (GDPR), z zastosowaniem co najmniej jednego z poniższych prawnych mechanizmów zabezpieczających:

• Decyzje Komisji Europejskiej w sprawie adekwatności ochrony (art. 45 RODO): transfer do podmiotów zlokalizowanych w jurysdykcjach oficjalnie uznanych przez organy unijne za zapewniające stopień ochrony danych równoważny z prawem UE (w tym w ramach ram prawnych EU-US Data Privacy Framework).
• Standardowe Klauzule Umowne (SCC, art. 46 ust. 2 lit. c RODO): obligatoryjne wdrożenie zatwierdzonych przez Komisję Europejską wzorców umownych zobowiązujących odbiorców spoza EOG do przestrzegania unijnych norm poufności, praw podmiotów danych oraz rygorystycznej kontroli dostępu.
• Dodatkowe środki techniczne i kryptograficzne: wielowarstwowe szyfrowanie pakietów transmisyjnych przy użyciu algorytmów AES-256 i TLS 1.3, rygorystyczna pseudonimizacja identyfikatorów cyfrowych oraz protokoły uniemożliwiające odczytanie treści przesyłanych rekordów przez instytucje państw trzecich.

Wdrożona architektura prawno-techniczna gwarantuje, że poziom bezpieczeństwa i integralności informacji użytkowników pozostaje niezmieniony bez względu na docelową lokalizację geograficzną węzłów przetwarzania.

Zmiany polityki i data obowiązywania

Operator zastrzega sobie prawo do wprowadzania modyfikacji w niniejszym dokumencie w celu zachowania pełnej zgodności z ewoluującymi standardami technicznymi, orzecznictwem organów nadzorczych w zakresie RODO oraz wymogami licencyjnymi Curaçao nr 8048/JAZ, nadzorowanymi przez Curaçao Gaming Control Board. Każda rewizja procedur wynika z konieczności podnoszenia poziomu integralności danych, adaptacji nowych metod płatności lub modyfikacji mechanizmów monitoringu transakcyjnego AML.

O wszelkich istotnych zmianach w strukturze przetwarzania danych osobowych zarejestrowani użytkownicy są powiadamiani z co najmniej 14-dniowym wyprzedzeniem za pośrednictwem dedykowanych komunikatów przesyłanych na zweryfikowany adres e-mail oraz powiadomień wyświetlanych w panelu Konta Gracza. Dalsze korzystanie z usług serwisu po upływie terminu vacatio legis jest równoznaczne z akceptacją znowelizowanych zapisów, natomiast w przypadku braku zgody na nowe warunki użytkownik zachowuje pełne prawo do zamknięcia konta i wypłaty nienaruszonych środków zgodnie z procedurami finansowymi.

Data wejścia w życie aktualnej wersji dokumentu oraz formalnego rozpoczęcia jej stosowania: 12 maja 2026 r..