Polityka prywatności gracz.pl

Administratorem danych osobowych przetwarzanych w związku z funkcjonowaniem serwisu gracz.pl jest:

Administrator nie wskazuje obecnie odrębnego Inspektora Ochrony Danych. W sprawach prywatności, realizacji praw i ochrony danych należy kontaktować się bezpośrednio z administratorem.

Polityka obejmuje stronę główną gracz.pl, podstrony gier i Academy, poradniki, formularz kontaktowy, elementy techniczne niezbędne do działania serwisu oraz funkcje uruchamiane w kolejnych etapach projektu.

Funkcje aktywne lub technicznie wykorzystywane obecnie

• publiczne strony informacyjne, zasady gier i poradniki;
• moduły Academy i lokalny zapis postępu w pamięci przeglądarki;
• formularz kontaktowy wysyłający wiadomości do administratora;
• hosting, logi techniczne i mechanizmy bezpieczeństwa infrastruktury;
• Google Analytics 4 — wyłącznie po zgodzie użytkownika na analitykę.

Funkcje rozwijane lub planowane

Konta, profile, multiplayer, rankingi, turnieje, prywatne wiadomości, czat i funkcje społecznościowe będą objęte niniejszą Polityką od chwili ich uruchomienia. Jeżeli ich wdrożenie zmieni zakres przetwarzania, Polityka zostanie zaktualizowana przed lub najpóźniej przy uruchomieniu danej funkcji.

Zakres danych zależy od tego, z jakiej funkcji korzysta użytkownik. Mogą to być w szczególności:

• dane kontaktowe — imię i nazwisko, adres e-mail oraz treść korespondencji;
• dane techniczne — adres IP, user-agent, identyfikatory żądań, znaczniki czasu, informacje o błędach i zdarzeniach bezpieczeństwa, jeśli są rejestrowane przez serwis lub dostawcę infrastruktury;
• dane profilu i konta — identyfikator użytkownika, login/nazwa gracza, e-mail, status konta, ustawienia i preferencje, po uruchomieniu kont;
• dane uwierzytelniania — hashe haseł, metadane sesji i tokenów, dane recovery/MFA w zakresie niezbędnym do zabezpieczenia konta;
• dane gier — identyfikatory meczów, ruchy, zdarzenia, wyniki, ranking, historia turnieju i dane potrzebne do integralności rozgrywki;
• dane społecznościowe — publiczne wpisy, reakcje, relacje, zgłoszenia i dane moderacyjne, po uruchomieniu tych funkcji;
• dane newslettera — adres e-mail, opcjonalne imię, stan subskrypcji oraz techniczny dowód potwierdzenia albo wycofania zgody.

Formularz kontaktowy może zbierać: imię i nazwisko, adres e-mail, kategorię sprawy, temat, treść wiadomości, adres strony, z której wysłano zgłoszenie, oraz techniczne informacje potrzebne do obsługi i ochrony formularza. Pole typu „honeypot” służy do ograniczania automatycznego spamu i nie jest przeznaczone do wypełniania przez użytkownika.

Wiadomość jest przesyłana z przeglądarki do backendu gracz.pl hostowanego w Render, następnie przez usługę Resend do skrzynki e-mail administratora. Dane są wykorzystywane do obsługi zgłoszenia, udzielenia odpowiedzi, zapewnienia bezpieczeństwa formularza oraz — zależnie od charakteru sprawy — do udokumentowania uzgodnień lub obrony przed roszczeniami.

Podstawa prawna kontaktu

• art. 6 ust. 1 lit. b RODO — gdy wiadomość dotyczy zawarcia lub wykonania usługi albo działań podejmowanych na żądanie użytkownika;
• art. 6 ust. 1 lit. f RODO — w zwykłej korespondencji, obsłudze pytań, organizacji komunikacji, ochronie przed spamem i dokumentowaniu kontaktu;
• art. 6 ust. 1 lit. c RODO — gdy zgłoszenie dotyczy wykonania obowiązku prawnego administratora, np. realizacji praw wynikających z RODO.

Obowiązkowe zaznaczenie potwierdzenia w formularzu służy wykazaniu, że użytkownik zapoznał się z zasadami obsługi zgłoszenia. Nie jest ono zgodą marketingową i nie stanowi podstawy do wysyłania reklam.

Newsletter gracz.pl i double opt-in

Dobrowolne sprawdzenie statusu subskrypcji jest niezależne od zgody marketingowej. Wymaga jednorazowego linku wysłanego na wskazaną skrzynkę, ważnego 10 minut. Samo sprawdzenie nie zapisuje ani nie wypisuje z newslettera. Publiczny formularz nie ujawnia statusu adresu; wynik jest dostępny dopiero po użyciu bezpiecznego linku. Do ochrony przed ponownym użyciem i nadużyciami stosujemy techniczne identyfikatory, bez zapisywania jawnego adresu w tym rejestrze.

Newsletter jest funkcją dobrowolną i niezależną od formularza kontaktowego. Użytkownik może zaznaczyć osobną, niewymaganą zgodę marketingową w formularzu kontaktowym albo skorzystać z formularza na stronie Newsletter gracz.pl. Brak zgody na newsletter nie wpływa na możliwość wysłania zgłoszenia ani korzystania z innych funkcji serwisu.

gracz.pl stosuje double opt-in. Po zgłoszeniu chęci zapisu system wysyła wiadomość z szyfrowanym, ograniczonym czasowo linkiem. Samo podanie adresu lub otwarcie wiadomości nie aktywuje subskrypcji. Dopiero świadome kliknięcie przycisku potwierdzenia na stronie gracz.pl powoduje aktywację adresu w newsletterze.

Po potwierdzeniu adres jest obsługiwany w Resend jako kontakt przypisany do dedykowanego segmentu newsletterowego i tematu subskrypcji ustawionego na opt-in. Przy wycofaniu zgody temat jest ustawiany na opt-out, a adres jest usuwany z segmentu newsletterowego. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania wykonanego przed jej wycofaniem.

Podstawą prawną newslettera jest art. 6 ust. 1 lit. a RODO — zgoda. Link potwierdzający pozostaje ważny maksymalnie 30 dni. Użytkownik może zrezygnować z newslettera w każdym czasie przez link wypisania dostępny w wiadomościach newsletterowych lub przez mechanizm zarządzania subskrypcją udostępniony dla danego maila.

W aktualnej publicznej wersji serwisu część postępu w modułach Academy może być zapisywana lokalnie w przeglądarce za pomocą localStorage. Taki zapis pozwala zapamiętać wykonane moduły i procent postępu na tym samym urządzeniu i w tej samej przeglądarce.

Dane localStorage pozostają zasadniczo na urządzeniu użytkownika i mogą zostać usunięte przez wyczyszczenie danych witryny w ustawieniach przeglądarki. Jeżeli w przyszłości postęp zostanie zsynchronizowany z kontem użytkownika po stronie serwera, Polityka zostanie zaktualizowana tak, aby opisać zakres synchronizacji, podstawę prawną i retencję.

Jeżeli podstawą jest art. 6 ust. 1 lit. f RODO, uzasadniony interes może polegać w szczególności na:

• zapewnieniu bezpieczeństwa serwisu, użytkowników i infrastruktury;
• wykrywaniu nadużyć, spamu, botów, oszustw i prób nieuprawnionego dostępu;
• utrzymaniu integralności gier, wyników i rankingów;
• obsłudze zwykłej korespondencji i organizacji kontaktu;
• ustaleniu, dochodzeniu lub obronie roszczeń;
• prowadzeniu niezbędnego audytu i kontroli działań administracyjnych.

Administrator nie traktuje uzasadnionego interesu jako blankietowej podstawy do przechowywania danych „na wszelki wypadek”. Zakres danych powinien być ograniczony do tego, co jest niezbędne dla konkretnego celu.

Dostęp do danych może otrzymywać administrator oraz dostawcy techniczni działający na jego rzecz, wyłącznie w zakresie potrzebnym do realizacji danej usługi. W aktualnym modelu szczególne znaczenie mają:

Lista dostawców może zmieniać się wraz z rozwojem projektu. Jeżeli zmiana będzie istotna dla prywatności użytkowników, dokument zostanie odpowiednio zaktualizowany.

Niektóre podmioty technologiczne lub ich podwykonawcy mogą mieć siedzibę albo infrastrukturę poza Europejskim Obszarem Gospodarczym. Dotyczy to w szczególności części ekosystemu dostawców usług chmurowych, e-mail oraz analityki internetowej, w tym usług Google.

Jeżeli przetwarzanie wiąże się z przekazaniem danych do państwa trzeciego, administrator korzysta z mechanizmów przewidzianych w rozdziale V RODO, odpowiednio do konkretnego transferu — np. decyzji stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul umownych. Dotyczy to również sytuacji, w których dane przetwarzane w związku z Google Analytics mogą być obsługiwane poza EOG zgodnie z mechanizmami i warunkami stosowanymi przez Google. Resend w swoim DPA przewiduje standardowe klauzule umowne dla transferów poza EOG oraz wskazuje EU–U.S. Data Privacy Framework jako mechanizm dodatkowy.

gracz.pl może korzystać z technologii pamięci przeglądarki w zakresie niezbędnym do działania funkcji. Aktualna publiczna wersja wykorzystuje m.in. localStorage do lokalnego zapisu postępu Academy, do przechowania na urządzeniu użytkownika listy ostatnich fraz wpisanych w wewnętrznej wyszukiwarce oraz do zapamiętania wybranego poziomu powiększenia interfejsu wyszukiwarki oraz osobnego okna wyników. Historia wyszukiwania nie jest w tym modelu wysyłana do zewnętrznego dostawcy wyszukiwarki i może zostać wyczyszczona bezpośrednio w interfejsie wyszukiwarki albo przez usunięcie danych witryny w przeglądarce. Infrastruktura hostingowa może również przetwarzać techniczne identyfikatory i logi związane z obsługą żądań oraz bezpieczeństwem.

Publiczna wersja gracz.pl korzysta z Google Analytics 4 (identyfikator pomiaru G-1TJMKDNQR8) wyłącznie po wyrażeniu zgody na analitykę. Przed dokonaniem wyboru oraz po odrzuceniu analityki sygnał analytics_storage pozostaje ustawiony na denied. Na nowej stronie bez zgody biblioteka Google Analytics nie jest ładowana przez gracz.pl. Po wyrażeniu zgody sygnał jest aktualizowany do granted i uruchamiany jest pomiar ruchu. Zgody reklamowe pozostają wyłączone w tym module.

Wybór dotyczący analityki jest zapamiętywany lokalnie na urządzeniu w localStorage oraz w first-party cookie gracz_cookie_consent przez maksymalnie 180 dni, aby nie pytać o tę samą decyzję przy każdym wejściu. Termin ważności jest sprawdzany również dla danych zapisanych w localStorage. Użytkownik może w dowolnym momencie ponownie otworzyć „Ustawienia cookies” i zmienić wybór. Przy wycofaniu wcześniej udzielonej zgody moduł ustawia analitykę na denied, usuwa dostępne dla strony first-party cookies GA o nazwach _ga i _ga_* oraz przeładowuje stronę, aby kolejny dokument nie uruchamiał Google Analytics. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania wykonanego przed jej wycofaniem.

Po zgodzie Google Analytics może utworzyć first-party cookies, w szczególności _ga oraz cookie strumienia w formacie _ga_*. Ich czas życia zależy od konfiguracji Google Analytics i może być dłuższy niż 180 dni; niezależnie od tego decyzja użytkownika o zgodzie w gracz.pl wygasa maksymalnie po 180 dniach i wtedy wymaga ponownego wyboru.

Jak usunąć dane lokalne

Użytkownik może usunąć localStorage i inne dane witryny w ustawieniach swojej przeglądarki. Usunięcie lokalnego postępu może spowodować utratę zapisanych wyników Academy na danym urządzeniu.

Dane nie są przechowywane dłużej, niż jest to potrzebne do celu przetwarzania. Dla funkcji aktywnych i planowanych przyjęto następujące limity lub kryteria:

Jeżeli obowiązek prawny, spór, incydent bezpieczeństwa lub wąsko określony legal hold wymaga dłuższego przechowywania konkretnego zbioru, dane mogą być zabezpieczone w niezbędnym zakresie do czasu ustania tej potrzeby.

Większość danych pochodzi bezpośrednio od użytkownika albo jest generowana podczas korzystania z serwisu. Dane techniczne mogą być tworzone automatycznie przez przeglądarkę, serwer lub dostawcę infrastruktury w związku z obsługą żądania.

Podanie danych w formularzu kontaktowym jest dobrowolne, ale bez danych oznaczonych jako wymagane nie można wysłać zgłoszenia i otrzymać odpowiedzi. Po uruchomieniu kont niektóre dane będą niezbędne do utworzenia konta, uwierzytelnienia lub wykonania wybranej funkcji.

Na zasadach określonych w RODO użytkownik może mieć prawo do:

• dostępu do danych i uzyskania ich kopii;
• sprostowania danych;
• usunięcia danych;
• ograniczenia przetwarzania;
• przenoszenia danych — gdy spełnione są przesłanki prawne;
• wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO;
• wycofania zgody w dowolnym momencie, jeżeli przetwarzanie jest oparte na zgodzie;
• wniesienia skargi do organu nadzorczego.

Zakres konkretnego prawa zależy od podstawy prawnej, celu i okoliczności przetwarzania. Administrator może poprosić o informacje potrzebne do rozsądnego potwierdzenia tożsamości osoby składającej żądanie, jeżeli jest to konieczne do ochrony danych.

Jeżeli dane są przetwarzane na podstawie prawnie uzasadnionego interesu, użytkownik może wnieść sprzeciw z przyczyn związanych z jego szczególną sytuacją. Administrator zaprzestanie takiego przetwarzania, chyba że wykaże istnienie ważnych prawnie uzasadnionych podstaw nadrzędnych wobec interesów, praw i wolności użytkownika albo podstaw do ustalenia, dochodzenia lub obrony roszczeń.

Zgodę na analitykę można wycofać w dowolnym momencie przez przycisk „Cookies” dostępny w interfejsie serwisu. Po wycofaniu gracz.pl aktualizuje stan zgody, usuwa dostępne first-party cookies Google Analytics i przeładowuje stronę, aby na kolejnym dokumencie biblioteka GA nie była uruchamiana. Zgodę na newsletter można wycofać w dowolnym momencie przez link wypisania umieszczony w wiadomości lub mechanizm zarządzania subskrypcją. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania wykonanego przed jej wycofaniem.

Jeżeli użytkownik uważa, że jego dane są przetwarzane niezgodnie z RODO, ma prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych.

Przed złożeniem skargi można zwrócić się bezpośrednio do administratora, aby umożliwić wyjaśnienie i usunięcie ewentualnej nieprawidłowości.

Publiczne materiały informacyjne, zasady i poradniki mogą być dostępne bez konta. Projektowy model samodzielnego konta gracz.pl jest przewidziany dla osób, które ukończyły 16 lat. Dla osób poniżej 16 lat nie jest obecnie wdrożony proces zgody rodzicielskiej na utworzenie konta.

Marketingowe profilowanie małoletnich nie jest zatwierdzoną funkcją gracz.pl. Przy projektowaniu funkcji dla użytkowników 16–17 lat stosowane będą dodatkowe zabezpieczenia odpowiednie do ich wieku i ryzyka.

Moduły Academy mogą wykorzystywać automatyczne obliczenia, analizę przebiegu gry lub funkcje AI do nauki i podpowiedzi treningowych. Nie oznacza to automatycznie podejmowania wobec użytkownika decyzji wywołujących skutki prawne lub w podobny sposób istotnie na niego wpływających.

Na obecnym etapie gracz.pl nie zatwierdza wyłącznie automatycznych decyzji o takim skutku. Gdyby w przyszłości miały zostać wdrożone istotne automatyczne sankcje, szerokie profilowanie marketingowe lub podobne mechanizmy, ich zasady, logika i prawa użytkownika zostaną poddane odrębnej ocenie oraz opisane przed uruchomieniem.

Administrator stosuje i rozwija środki techniczne i organizacyjne odpowiednie do charakteru serwisu i ryzyka. W aktualnej architekturze obejmują one m.in.:

• szyfrowaną transmisję HTTPS/TLS;
• ograniczanie dostępu do sekretów i kluczy API poprzez zmienne środowiskowe;
• walidację danych formularza, ograniczenia rozmiaru oraz mechanizmy anti-spam i rate limiting;
• ograniczenie dozwolonych źródeł żądań formularza kontaktowego;
• minimalizację danych w logach aplikacyjnych — treść wiadomości kontaktowej nie jest celowo wypisywana do logu aplikacji;
• kontrolę dostępu, zasadę najmniejszych uprawnień i audyt działań uprzywilejowanych rozwijanych wraz z systemem kont;
• procedury usuwania, backupu i odtwarzania projektowane tak, aby ograniczać ponowne pojawienie się danych po usunięciu.

Żaden system nie gwarantuje absolutnego bezpieczeństwa. Środki są aktualizowane wraz z rozwojem architektury, zmianą ryzyka i wykorzystywanych dostawców.

W przypadku stwierdzenia naruszenia ochrony danych administrator ocenia jego charakter, zakres i ryzyko dla praw i wolności osób. Jeżeli przepisy tego wymagają, naruszenie zostanie zgłoszone właściwemu organowi nadzorczemu, a osoby, których dane dotyczą, zostaną poinformowane zgodnie z RODO.

Informacje o podejrzeniu incydentu dotyczącego danych w gracz.pl można przekazać na adres czsocha@wp.pl. W zgłoszeniu nie należy przesyłać haseł, aktywnych tokenów, pełnych danych kart ani innych sekretów.

Polityka może być aktualizowana w szczególności z powodu zmian funkcjonalności, dostawców, infrastruktury, technologii przechowywania, modelu bezpieczeństwa lub przepisów prawa. Aktualna wersja jest publikowana pod stałym adresem gracz.pl/polityka-prywatnosci/.

W przypadku istotnej zmiany dotyczącej osób posiadających konto informacja o zmianie może zostać przekazana również w interfejsie konta lub e-mailem, jeżeli będzie to właściwe dla charakteru zmiany.

Żądania dotyczące danych osobowych, pytania o zasady przetwarzania, sprzeciw, wycofanie zgody lub zgłoszenie problemu można przesłać:

W temacie wiadomości można wpisać „RODO” albo „Prywatność”, aby ułatwić właściwe zakwalifikowanie zgłoszenia.