Postanowienia ogólne i zakres dokumentu
Polityka prywatności określa zasady przetwarzania danych osobowych w ramach serwisu quickwiin.pl oraz usług powiązanych funkcjonalnie z działalnością prowadzaną pod nazwą Quickwin Casino. Dokument ustanawia reguły dotyczące pozyskiwania, wykorzystywania, przechowywania oraz zabezpieczania informacji, z uwzględnieniem wymogów prawa obowiązującego w Polsce. Postanowienia mają zastosowanie do osób korzystających z serwisu, komunikacji elektronicznej oraz procesów weryfikacyjnych realizowanych w toku świadczenia usług. W zakresie nieuregulowanym niniejszym dokumentem zastosowanie znajdują powszechnie obowiązujące przepisy, w szczególności RODO oraz ustawy krajowe wdrażające i uzupełniające regulacje unijne. Zakres dokumentu obejmuje również informacje o prawach osób, których dane dotyczą, oraz o sposobach realizacji tych praw.
Administrator danych i odpowiedzialność w modelu zgodności
Zgodnie z RODO administrator danych ustala cele i sposoby przetwarzania oraz odpowiada za zgodność operacji z zasadami legalności, rzetelności i przejrzystości. W ramach serwisu quickwiin.pl funkcję administratora pełni podmiot prowadzący działalność pod marką Quickwin Casino, działający w granicach właściwych regulacji oraz przyjętych procedur wewnętrznych. Administrator prowadzi rejestry czynności przetwarzania i stosuje mechanizmy rozliczalności, w tym okresowe przeglądy ryzyk co najmniej raz na 12 miesięcy. W uzasadnionych przypadkach administrator może wyznaczyć inspektora ochrony danych, jeżeli skala lub charakter operacji spełni przesłanki wskazane w art. 37 RODO. W relacjach z podmiotami przetwarzającymi stosuje się umowy powierzenia, obejmujące wymagane elementy, w tym zakres, cel, czas trwania oraz środki ochrony danych. Odpowiedzialność administratora obejmuje także zapewnienie, aby osoby upoważnione do przetwarzania danych były zobowiązane do zachowania poufności.
Kategorie danych osobowych objętych przetwarzaniem
Polityka prywatności obejmuje przetwarzanie danych identyfikacyjnych, takich jak imię, nazwisko, data urodzenia oraz identyfikatory konta w serwisie, o ile zostaną podane w toku korzystania z funkcjonalności. W zależności od konfiguracji usług mogą być przetwarzane dane kontaktowe, w tym adres e mail, numer telefonu oraz adres korespondencyjny, jeżeli użytkownik zdecyduje się je przekazać. Zakres przetwarzania może obejmować dane transakcyjne i rozliczeniowe, takie jak informacje o wpłatach i wypłatach, identyfikatory płatności oraz dane wymagane przez instytucje płatnicze. W ramach obowiązków weryfikacyjnych mogą być przetwarzane dane dokumentowe, w tym numer dokumentu tożsamości oraz wizerunek, o ile jest to niezbędne do potwierdzenia tożsamości. Zbierane mogą być także dane techniczne, w tym adres IP, identyfikatory urządzenia, dane przeglądarki, logi zdarzeń oraz informacje o aktywności w serwisie. W przypadkach przewidzianych prawem mogą być przetwarzane dane dotyczące zgodności i bezpieczeństwa, obejmujące wyniki kontroli, zgłoszenia nadużyć oraz informacje potrzebne do przeciwdziałania oszustwom.
Sposoby pozyskiwania danych w serwisie
Procesy operacyjne serwisu obejmują pozyskiwanie danych bezpośrednio od osoby, której dane dotyczą, w szczególności poprzez formularze rejestracyjne, ustawienia konta oraz komunikację z obsługą. Polityka prywatności wskazuje również, że dane mogą być generowane automatycznie w toku korzystania z serwisu, w tym w wyniku zapisu logów i zdarzeń systemowych. Dane mogą pochodzić z kanałów komunikacji, takich jak poczta elektroniczna, czat, zgłoszenia serwisowe lub rozmowy telefoniczne, jeżeli takie kanały są dostępne w danym czasie. W zakresie weryfikacji tożsamości i bezpieczeństwa informacje mogą być pozyskiwane od zaufanych dostawców usług weryfikacyjnych, przy czym zakres jest ograniczany do minimum niezbędnego do realizacji celu. Jeżeli wymagają tego przepisy dotyczące przeciwdziałania nadużyciom lub praniu pieniędzy, dane mogą być weryfikowane z wykorzystaniem źródeł referencyjnych i rejestrów, o ile jest to prawnie dopuszczalne. Administrator zapewnia, że metody pozyskiwania danych są adekwatne, ograniczone i udokumentowane w rejestrach zgodności.
Podstawy prawne przetwarzania danych
Przetwarzanie danych osobowych odbywa się na podstawach wskazanych w art. 6 ust. 1 RODO, a w szczególnych przypadkach z uwzględnieniem przepisów dotyczących kategorii szczególnych danych, jeżeli takie przetwarzanie byłoby niezbędne i dopuszczalne. Podstawą może być wykonanie umowy lub podjęcie działań przed zawarciem umowy, gdy przetwarzanie jest konieczne do utworzenia i utrzymania konta oraz realizacji funkcjonalności serwisu. Dodatkowo przetwarzanie może wynikać z obowiązku prawnego ciążącego na administratorze, w tym z wymogów rachunkowych i podatkowych oraz obowiązków w obszarze bezpieczeństwa i zgodności. W uzasadnionych sytuacjach podstawą może być prawnie uzasadniony interes administratora, obejmujący zapobieganie nadużyciom, zapewnienie ciągłości działania, dochodzenie roszczeń oraz ochronę infrastruktury teleinformatycznej. Jeżeli określone operacje wymagają zgody, zgoda jest pozyskiwana w sposób rozróżnialny, dobrowolny i możliwy do wycofania w każdym czasie, bez wpływu na zgodność z prawem przetwarzania przed wycofaniem. Administrator dokumentuje podstawy prawne w ramach oceny zgodności, w tym w razie potrzeby przeprowadza test równowagi interesów.
Cele przetwarzania danych i minimalizacja
Polityka prywatności opisuje cele przetwarzania w sposób odpowiadający zasadzie ograniczenia celu oraz minimalizacji danych. Dane są wykorzystywane do założenia i obsługi konta, realizacji usług dostępnych w serwisie oraz utrzymania spójności procesu uwierzytelniania. W zależności od zakresu usług dane są przetwarzane dla zapewnienia obsługi transakcji, rozliczeń, obsługi zwrotów i reklamacji oraz dla prowadzenia komunikacji operacyjnej. Administrator może przetwarzać dane w celu zapewnienia bezpieczeństwa, wykrywania nadużyć, zapobiegania nieautoryzowanemu dostępowi oraz utrzymywania integralności systemów, w tym poprzez analizę logów i zdarzeń. Dane mogą być także przetwarzane w celu spełnienia obowiązków prawnych, w tym archiwizacyjnych, sprawozdawczych oraz związanych z przeciwdziałaniem oszustwom. Zakres danych jest każdorazowo ograniczany do informacji niezbędnych, a tam gdzie jest to możliwe stosuje się pseudonimizację lub ograniczenie dostępu. W przypadkach, w których administrator wykorzystuje dane do analiz wewnętrznych, działania te są ukierunkowane na poprawę stabilności usług, a nie na budowanie profili wykraczających poza niezbędne potrzeby bezpieczeństwa.
Okresy przechowywania danych i usuwanie
Okres przechowywania danych zależy od rodzaju informacji, celu przetwarzania oraz obowiązków prawnych, które mogą wymagać zachowania dokumentacji przez określony czas. Dane związane z wykonywaniem umowy są przechowywane przez czas utrzymania konta, a następnie przez okres konieczny do rozliczenia, obrony lub dochodzenia roszczeń, co do zasady nie dłużej niż 6 lat, o ile przepisy szczególne nie stanowią inaczej. Dokumenty księgowe i rozliczeniowe mogą być przechowywane przez okres wynikający z przepisów podatkowych, w praktyce obejmujący 5 lat liczonych zgodnie z właściwymi regułami. Dane z logów bezpieczeństwa i zdarzeń systemowych są przechowywane przez okres adekwatny do celu, zwykle od 90 dni do 24 miesięcy, w zależności od ryzyka i wymogów audytowych. Po upływie właściwych okresów dane są usuwane lub poddawane anonimizacji, o ile dalsze przechowywanie nie jest wymagane prawem. Jeżeli przetwarzanie odbywa się na podstawie zgody, dane związane z tym celem są przechowywane do czasu wycofania zgody lub do momentu, gdy cel przestaje istnieć.
Udostępnianie danych oraz odbiorcy
Zgodnie z zasadą integralności i poufności dane osobowe mogą być ujawniane wyłącznie w zakresie niezbędnym do realizacji celów oraz zgodnie z podstawą prawną. Odbiorcami danych mogą być dostawcy usług IT, hostingodawcy, podmioty zapewniające utrzymanie systemów oraz narzędzia wspierające obsługę zgłoszeń, działające jako podmioty przetwarzające na podstawie umów powierzenia. W zależności od wykorzystywanych metod płatności dane mogą być przekazywane dostawcom usług płatniczych i instytucjom finansowym w zakresie niezbędnym do realizacji transakcji, w tym do weryfikacji zgodności i przeciwdziałania oszustwom. Dane mogą zostać ujawnione organom publicznym, sądom lub organom ścigania wyłącznie w granicach obowiązującego prawa oraz na podstawie właściwego żądania. W uzasadnionych przypadkach informacje mogą zostać przekazane doradcom prawnym i audytorom, jeżeli jest to niezbędne do ochrony praw administratora albo wypełnienia obowiązków zgodności. Administrator ogranicza zakres ujawnianych danych do minimum, stosuje kontrolę dostępu oraz wymaga od odbiorców zachowania odpowiednich standardów bezpieczeństwa. W kontekście obsługi serwisu casino Quickwin może korzystać z wyspecjalizowanych dostawców weryfikacji, przy czym przekazywanie danych jest ograniczane do elementów koniecznych do potwierdzenia tożsamości i zapobiegania nadużyciom.
Przekazywanie danych poza EOG
Regulacyjne ramy ochrony danych w Unii Europejskiej wymagają, aby przekazywanie danych do państw trzecich następowało przy zapewnieniu odpowiedniego stopnia ochrony. Jeżeli w ramach współpracy z dostawcami technologii lub wsparcia operacyjnego dojdzie do przekazania danych poza Europejski Obszar Gospodarczy, administrator stosuje mechanizmy przewidziane w rozdziale V RODO. Podstawą mogą być decyzje stwierdzające odpowiedni stopień ochrony albo standardowe klauzule umowne, uzupełnione, gdy jest to konieczne, dodatkowymi środkami technicznymi i organizacyjnymi. Administrator ocenia ryzyka transferowe, uwzględniając charakter danych, cele przetwarzania oraz praktyki prawne w państwie odbiorcy, a wyniki tej oceny dokumentuje. Dostęp zdalny do danych przez personel podmiotów wspierających jest ograniczany do zakresu niezbędnego i podlega kontroli, w tym rejestrowaniu zdarzeń. Jeżeli transfer dotyczy elementów infrastruktury związanych z casino Quickwin, administrator zapewnia, że umowne gwarancje obejmują poufność, ograniczenie celu oraz obowiązki informacyjne. W przypadku żądań ujawnienia danych kierowanych przez organy państw trzecich administrator stosuje procedury weryfikacji podstawy prawnej oraz, o ile to dopuszczalne, informuje osobę, której dane dotyczą.
Środki bezpieczeństwa i zarządzanie incydentami
Operacyjnie wdrożone środki bezpieczeństwa obejmują zabezpieczenia techniczne i organizacyjne, których celem jest ochrona danych przed utratą, nieuprawnionym dostępem, zmianą lub ujawnieniem. Stosowane mogą być mechanizmy szyfrowania transmisji, segmentacja środowisk, kontrola uprawnień oparta o zasadę najmniejszych uprawnień oraz wieloetapowe uwierzytelnianie dla funkcji administracyjnych. Administrator utrzymuje procedury testowania, mierzenia i oceniania skuteczności zabezpieczeń, przy czym przeglądy mogą być realizowane cyklicznie w interwałach nie rzadziej niż co 180 dni. W ramach praktyk bezpieczeństwa przewiduje się szkolenia personelu oraz kontrolę dostępu do danych, a dostęp jest przyznawany wyłącznie osobom upoważnionym w zakresie niezbędnym do wykonywania obowiązków. Dążąc do redukcji ryzyka, administrator może utrzymywać poziom pokrycia szyfrowaniem danych w tranzycie na poziomie 99 procent połączeń, z zastrzeżeniem ograniczeń wynikających z kompatybilności urządzeń lub usług stron trzecich. W razie stwierdzenia naruszenia ochrony danych administrator uruchamia procedurę reagowania na incydenty, obejmującą analizę zdarzenia, ograniczenie skutków oraz dokumentację. Jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób, zgłoszenie do organu nadzorczego następuje bez zbędnej zwłoki, co do zasady w terminie 72 godzin od stwierdzenia naruszenia.
Prawa osób, których dane dotyczą, oraz tryb realizacji
Punkt ciężkości ochrony danych w RODO opiera się na prawach osób, których dane dotyczą, a administrator zapewnia procedury umożliwiające ich wykonywanie. Osobie przysługuje prawo dostępu do danych, uzyskania kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz prawo sprzeciwu, jeżeli przetwarzanie odbywa się na podstawie prawnie uzasadnionego interesu. W przypadku przetwarzania opartego na zgodzie przysługuje prawo do wycofania zgody w dowolnym czasie, bez wpływu na legalność przetwarzania przed jej wycofaniem. Administrator może odmówić realizacji żądania w zakresie przewidzianym prawem, w tym gdy przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego lub do ustalenia, dochodzenia albo obrony roszczeń. Odpowiedź na żądanie jest udzielana bez zbędnej zwłoki, zasadniczo w terminie 30 dni, z możliwością przedłużenia o kolejne 60 dni w przypadkach skomplikowanych, przy czym osoba jest informowana o przyczynach opóźnienia. W ramach weryfikacji tożsamości administrator może zażądać dodatkowych informacji, o ile jest to konieczne do ochrony danych przed ujawnieniem osobom nieuprawnionym. W kontekście świadczenia usług casino Quickwin realizacja żądań może wymagać czasowego ograniczenia dostępu do określonych funkcji, jeżeli jest to potrzebne do weryfikacji, jednak takie działania są ograniczane do minimum.
Pliki cookies oraz technologie śledzące
Polityka prywatności obejmuje informacje o wykorzystaniu plików cookies i podobnych technologii, które umożliwiają prawidłowe działanie serwisu oraz utrzymanie bezpieczeństwa sesji. Pliki cookies mogą obejmować kategorie niezbędne do zapewnienia podstawowych funkcji, takie jak utrzymanie sesji, równoważenie obciążenia lub zapobieganie nadużyciom, a ich stosowanie opiera się na przesłankach niezbędności. Dodatkowe technologie, które nie są konieczne do świadczenia usługi, mogą wymagać zgody zgodnie z przepisami dotyczącymi prywatności w łączności elektronicznej, przy czym zgoda może być w każdym czasie wycofana poprzez ustawienia przeglądarki lub mechanizmy dostępne w serwisie. Administrator może przetwarzać dane wynikające z cookies, takie jak identyfikatory sesji, przybliżona lokalizacja wynikająca z adresu IP oraz informacje o interakcjach, w celu diagnostyki, bezpieczeństwa i utrzymania jakości. Okres przechowywania cookies zależy od ich rodzaju, przy czym cookies sesyjne wygasają po zakończeniu sesji, a cookies trwałe mogą pozostać przez czas do 13 miesięcy, jeśli nie zostaną wcześniej usunięte. W ramach mechanizmów bezpieczeństwa możliwe jest stosowanie technologii wykrywania automatyzacji i nadużyć, które analizują wzorce ruchu bez tworzenia nadmiernych profili. W obszarze usług casino Quickwin ustawienia prywatności mogą wpływać na dostępność niektórych funkcji, jednak administrator dąży do zachowania zasady proporcjonalności między prywatnością a bezpieczeństwem.
Polityka prywatności, zmiany dokumentu i procedury kontaktu
Polityka prywatności pozostaje dokumentem o charakterze dynamicznym, ponieważ procesy przetwarzania mogą ulegać zmianom na skutek modyfikacji funkcjonalności serwisu, zmian dostawców lub nowych obowiązków wynikających z przepisów. Administrator utrzymuje zobowiązanie do zgodności z RODO, zasadą privacy by design oraz privacy by default, a także do regularnego przeglądu adekwatności podstaw prawnych, okresów retencji i środków bezpieczeństwa. Zmiany dokumentu są publikowane w serwisie quickwiin.pl, a jeżeli modyfikacje mogą istotnie wpływać na prawa lub zakres przetwarzania, administrator zapewnia dodatkową informację poprzez kanały komunikacji przypisane do konta, o ile są dostępne. Data wejścia w życie nowej wersji jest wskazywana w treści dokumentu, a poprzednie wersje mogą być archiwizowane przez okres 24 miesięcy w celach dowodowych i audytowych. Wnioski dotyczące realizacji praw, pytania o przetwarzanie lub zgłoszenia dotyczące ochrony danych powinny być kierowane do administratora poprzez kanał kontaktowy udostępniony w serwisie, przy czym w treści zgłoszenia zaleca się wskazanie zakresu żądania i danych identyfikujących w stopniu koniecznym do obsługi sprawy. Administrator może żądać doprecyzowania wniosku w terminie 7 dni od jego otrzymania, jeżeli jest to niezbędne do jednoznacznego ustalenia żądania lub do weryfikacji tożsamości wnioskodawcy. Jeżeli osoba uzna, że przetwarzanie narusza przepisy, przysługuje jej prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, niezależnie od innych środków ochrony prawnej. W ramach rozliczalności administrator prowadzi rejestr zgłoszeń i odpowiedzi, a także dokumentuje działania naprawcze, aby potwierdzić, że Polityka prywatności jest stosowana w praktyce i aktualizowana w sposób kontrolowany.