POLITYKA PRYWATNOŚCI I STANDARDY OCHRONY DANYCH OSOBOWYCH (RODO)

Administrator danych i podstawa działania

Głównym administratorem odpowiedzialnym za zbieranie, bezpieczeństwo oraz praworządne przetwarzanie danych osobowych w ekosystemie BDMBet Casino jest zarejestrowana spółka Terdersoft B.V. Działalność operacyjna oraz przetwarzanie informacji graczy opierają się na standardach Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), ze szczególnym uwzględnieniem zasad integralności i minimalizacji danych.

Podstawą prawną legitymizującą świadczenie usług hazardowych oraz archiwizację profili graczy jest Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board. Zezwolenie to nakłada na administratora formalny obowiązek integracji procesów przetwarzania danych z rygorystycznymi procedurami weryfikacji tożsamości KYC (Know Your Customer) oraz mechanizmami przeciwdziałania praniu pieniędzy AML (Anti-Money Laundering).

W sprawach związanych z realizacją praw przysługujących na mocy przepisów RODO, audytem rejestrów czy kontaktem z Inspektorem Ochrony Danych (DPO), korespondencję należy kierować na oficjalne dane rejestrowe administratora:

Kategorie przetwarzanych danych

Infrastruktura techniczna serwisu gromadzi wyłącznie precyzyjnie zdefiniowane grupy danych osobowych, które warunkują stabilne funkcjonowanie Konta Gracza, umożliwiają realizację transakcji depozytowych oraz stanowią formalny wymóg procedur licencyjnych. Zakres pozyskiwanych informacji opiera się na zasadzie adekwatności oraz minimalizacji określonej w unijnych standardach RODO.

Rejestry systemowe administratora obejmują następujące zbiory rekordów informacyjnych:

• Identyfikatory tożsamości (ID): imię, nazwisko, data urodzenia potwierdzająca ukończenie 18. roku życia, obywatelstwo oraz numer dokumentu tożsamości (dowodu osobistego lub paszportu) weryfikowane w ramach obligatoryjnej procedury KYC.
• Rekordy teleadresowe: adres zamieszkania (ulica, kod pocztowy, miejscowość, kraj rezydencji podatkowej), aktywny numer telefonu komórkowego oraz adres poczty elektronicznej przypisany do konta.
• Dane finansowo-transakcyjne: historia wpłat i wypłat środków, preferowane instrumenty płatnicze (w tym tokeny transakcyjne BLIK, identyfikatory portfeli MiFinity czy Jeton), częściowo maskowane numery kart bankowych oraz zanonimizowane skróty adresów kryptowalutowych.
• Parametry techniczne i telemetryczne: adres IP, unikalne sygnatury sprzętowe, geolokalizacja sesji logowania, typ i wersja przeglądarki internetowej, a także zautomatyzowane logi systemowe dokumentujące aktywność na platformie.

Pozyskiwanie powyższych kategorii danych następuje w sposób bezpośredni podczas uzupełniania formularza rejestracyjnego oraz wgrywania dokumentów uwierzytelniających, a także w sposób zautomatyzowany poprzez bezpieczne protokoły teletransmisji podczas każdej aktywnej sesji użytkownika.

Cele przetwarzania danych

Przetwarzanie rekordów osobowych w ekosystemie BDMBet Casino opiera się na wyczerpująco sprecyzowanych podstawach normatywnych, zdefiniowanych w art. 6 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Z punktu widzenia audytu technicznego, każda operacja systemowa na danych użytkownika służy wyłącznie prawidłowemu świadczeniu usług iGamingowych, zachowaniu integralności salda oraz realizacji rygorystycznych zobowiązań jurysdykcyjnych.

Kluczowe cele operacyjne oraz odpowiadające im podstawy prawne obejmują następujące procesy:

• Wykonywanie umowy o świadczenie usług drogą elektroniczną (art. 6 ust. 1 lit. b RODO): rejestracja i bieżąca obsługa Konta Gracza, autoryzacja sesji logowania, ewidencjonowanie stawek, rozliczanie zakładów oraz bezbłędne procesowanie depozytów i zleceń wypłat.
• Wypełnienie ciążących obowiązków prawnych (art. 6 ust. 1 lit. c RODO): realizacja wymogów określonych przez Licencję Curaçao nr 8048/JAZ wydaną przez Curaçao Gaming Control Board, ustawowy monitoring transakcji pod kątem procedur przeciwdziałania praniu pieniędzy (AML), weryfikacja pełnoletności (18+) oraz archiwizacja dokumentacji podatkowo-finansowej.
• Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO): prewencja nadużyć finansowych i wyłudzeń bonusowych, wdrażanie zaawansowanych zapór cyberbezpieczeństwa IT, dochodzenie roszczeń prawnych, a także analityka stabilności infrastruktury sieciowej bez profilowania behawioralnego.
• Dobrowolna zgoda osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO): opcjonalna subskrypcja powiadomień technicznych, biuletynów promocyjnych oraz aktualizacji regulaminowych, z prawem do jej wycofania w dowolnym momencie bez wpływu na status profilu.

Retencja danych osobowych pozostaje ściśle ograniczona czasowo do okresów podyktowanych przepisami prawa podatkowego oraz międzynarodowymi regulacjami przeciwdziałania przestępczości finansowej.

Udostępnianie danych i odbiorcy

Przetwarzane dane osobowe użytkowników platformy BDMBet Casino nie podlegają komercyjnej odsprzedaży, odpłatnemu udostępnianiu ani wymianie z zewnętrznymi agencjami marketingowymi. Wszelkie transfery informacji do podmiotów trzecich realizowane są wyłącznie w zakresie ściśle niezbędnym do technicznego świadczenia usług, zapewnienia cyberbezpieczeństwa lub realizacji bezwzględnie obowiązujących przepisów prawa.

Przekazywanie rekordów osobowych odbywa się na podstawie formalnych umów powierzenia przetwarzania danych (Data Processing Agreements - DPA), zawartych zgodnie z art. 28 RODO. Uprawnionymi odbiorcami baz danych mogą być następujące kategorie wyspecjalizowanych podmiotów:

• Operatorzy płatności i instytucje rozliczeniowe: licencjonowani pośrednicy finansowi procesujący depozyty i wypłaty (w tym transakcje BLIK, MiFinity, Jeton oraz rozliczenia kartowe), otrzymujący wyłącznie zminimalizowane tokeny transakcyjne niezbędne do autoryzacji transferów kapitału.
• Podmioty weryfikacyjne KYC oraz compliance: wyspecjalizowane agencje weryfikujące autentyczność przesyłanych dokumentów tożsamości, ewidencjonujące status na listach sankcyjnych oraz przeciwdziałające finansowaniu terroryzmu i praniu pieniędzy (AML).
• Dostawcy infrastruktury chmurowej i ochrony IT: certyfikowane centra danych oraz dostawcy zaawansowanych zapór sieciowych (WAF) i systemów anty-DDoS, gwarantujący fizyczne i cyfrowe bezpieczeństwo klastrów bazodanowych.
• Niezależne laboratoria badawcze i audytorzy: międzynarodowe jednostki certyfikujące algorytmy generatora liczb losowych (RNG) oraz weryfikujące średni współczynnik wypłat RTP (96.9%), operujące na w pełni zanonimizowanych zestawach danych telemetrycznych.
• Organy regulacyjne i ścigania: Curaçao Gaming Control Board, jednostki analityki finansowej oraz organy wymiaru sprawiedliwości – wyłącznie w przypadkach wystąpienia z oficjalnym, popartym przepisami prawa wnioskiem procesowym.

Wszystkie podmioty współpracujące z operatorem Terdersoft B.V. podlegają cyklicznym audytom technicznym pod kątem integralności systemów oraz wdrożenia adekwatnych środków kryptograficznych wymaganych przez unijne standardy ochrony danych osobowych.

Prawa użytkownika

Zgodnie z postanowieniami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), każdej osobie zarejestrowanej w serwisie przysługuje pełen katalog uprawnień kontrolnych wobec powierzonych informacji osobowych. Użytkownik zachowuje suwerenność nad własnymi rekordami tożsamościowymi, a platforma zapewnia bezpośrednie mechanizmy techniczne gwarantujące realizację wniosków bez zbędnej zwłoki, maksymalnie w terminie 30 dni od momentu doręczenia zgłoszenia.

Szczegółowy wykaz praw przysługujących osobie, której dane dotyczą, obejmuje następujące dyspozycje:

• Prawo dostępu do danych (art. 15 RODO): uprawnienie do uzyskania formalnego potwierdzenia, czy administrator przetwarza określone informacje osobowe, wglądu w cele i okresy retencji oraz pobrania pełnej kopii cyfrowej wszystkich zgromadzonych rekordów tożsamościowych i finansowych.
• Prawo do sprostowania i uzupełnienia (art. 16 RODO): bezwzględne żądanie natychmiastowej korekty nieprawidłowych, zdezaktualizowanych lub niekompletnych danych teleadresowych i profilowych.
• Prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO): możliwość trwałego skasowania rekordów z aktywnych serwerów, o ile dalsza archiwizacja nie stanowi nadrzędnego wymogu prawnego wynikającego z Licencji Curaçao nr 8048/JAZ, regulacji podatkowych bądź międzynarodowych przepisów przeciwdziałania praniu pieniędzy (AML).
• Prawo do ograniczenia przetwarzania (art. 18 RODO): wstrzymanie bieżących operacji analitycznych i transakcyjnych na danych w przypadku kwestionowania ich prawidłowości lub w trakcie rozpatrywania formalnego sprzeciwu.
• Prawo do przenoszenia danych (art. 20 RODO): otrzymanie wygenerowanego zestawu własnych danych w ustrukturyzowanym, powszechnie stosowanym formacie maszynowym w celu ich bezpośredniego wyeksportowania do wskazanego podmiotu zewnętrznego.
• Prawo do sprzeciwu (art. 21 RODO): zgłoszenie umotywowanego zastrzeżenia wobec przetwarzania opartego na prawnie uzasadnionym interesie administratora (art. 6 ust. 1 lit. f RODO), w tym kategoryczny zakaz prowadzenia bezpośredniej komunikacji informacyjno-marketingowej.

W celu skorzystania z powyższych uprawnień należy złożyć formalny wniosek do Inspektora Ochrony Danych pod adresem poczty elektronicznej: [email protected]. W sytuacji stwierdzenia naruszenia przepisów o ochronie prywatności, użytkownikowi przysługuje ponadto ustawowe prawo wniesienia skargi do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (PUODO) w Warszawie.

Pliki cookies i podobne technologie

W celu zapewnienia niezawodnego funkcjonowania platformy, ochrony sesji uwierzytelniania oraz optymalizacji parametrów wydajnościowych kodu, środowisko cyfrowe serwisu wykorzystuje pliki cookies (niewielkie pakiety alfanumeryczne instalowane w pamięci podręcznej przeglądarki) oraz powiązane technologie lokalnego przechowywania danych (Local Storage, Session Storage). Każdy identyfikator techniczny generowany jest zgodnie z wymogami unijnej dyrektywy e-Privacy oraz przepisami RODO.

Stosowane znaczniki danych kategoryzowane są według ich bezpośredniego przeznaczenia operacyjnego oraz cyklu żywotności:

• Pliki ściśle techniczne i niezbędne: absolutnie konieczne do inicjowania bezpiecznego protokołu HTTPS, podtrzymania sesji po zalogowaniu, zabezpieczenia formularzy transakcyjnych przed atakami CSRF oraz prawidłowej dystrybucji obciążenia serwerów. Ich wyłączenie uniemożliwia korzystanie z Konta Gracza.
• Pliki analityczno-statystyczne: przetwarzane w formie zanonimizowanej (z maskowaniem ostatnich oktetów adresu IP), umożliwiające badanie natężenia ruchu sieciowego, wykrywanie błędów renderowania skryptów oraz audytowanie stabilności poszczególnych podstron portalu.
• Pliki konfiguracyjne i funkcjonalne: zapamiętujące indywidualne preferencje użytkownika, w tym wybrany język interfejsu, parametry wyświetlania strefy czasowej oraz stan akceptacji komunikatów regulaminowych, eliminując konieczność ich ponownego wyboru przy kolejnych wizytach.

Czas retencji plików cookies zależy od ich specyfiki: pakiety sesyjne ulegają automatycznemu skasowaniu bezpośrednio po zamknięciu okna przeglądarki, natomiast znaczniki trwałe zachowują ważność przez ściśle określony okres (maksymalnie do 12 miesięcy) lub do momentu ich manualnego usunięcia przez użytkownika. Każda osoba odwiedzająca serwis ma prawo do bieżącego zarządzania poziomem prywatności oraz modyfikacji zgód analitycznych:

Bezpieczeństwo danych i ochrony systemów

Ochrona integralności baz danych oraz zabezpieczenie poufnych informacji użytkowników przed przechwyceniem, modyfikacją lub nieautoryzowanym wglądem stanowią nadrzędny priorytet technologiczny platformy. Wszelkie kanały komunikacji sieciowej zabezpieczone są 256-bitowym szyfrowaniem SSL z wykorzystaniem zaawansowanych protokołów TLS 1.2 oraz TLS 1.3, co uniemożliwia podsłuch transmisji pomiędzy urządzeniem gracza a serwerami aplikacyjnymi.

W ramach polityki bezpieczeństwa środowiska gamingowego operator stosuje rygorystyczne procedury audytu integralności oprogramowania. Certyfikowany generator liczb losowych (RNG) podlega systematycznej weryfikacji przez niezależne laboratoria badawcze, co gwarantuje pełną matematyczną losowość rezultatów oraz wyklucza jakąkolwiek ingerencję w historię zakładów. Dodatkowo infrastruktura IT podlega cyklicznym wewnętrznym audytom podatności, testom penetracyjnym oraz wielopoziomowej kontroli uprawnień administracyjnych opartych na zasadzie wiedzy koniecznej.

Harmonogram przechowywania (retencji) danych osobowych wynika bezpośrednio z podstaw prawnych ich przetwarzania oraz wymogów jurysdykcyjnych:

• Rekordy tożsamościowe oraz historia transakcji finansowych: archiwizowane przez cały okres aktywności Konta Gracza oraz obligatoryjnie przez 5 lat od momentu jego zamknięcia, zgodnie z międzynarodowymi dyrektywami AML dotyczącymi przeciwdziałania praniu pieniędzy.
• Parametry telemetryczne, adresy IP i logi sesji: rejestrowane w chronionych dziennikach zdarzeń i przechowywane przez okres 12 miesięcy od rejestracji zdarzenia w celach zapobiegania nadużyciom oraz analizy cyberzagrożeń.
• Dane profilowe przetwarzane na mocy zgody marketingowej: kasowane trwale i nieodwracalnie z aktywnych baz operacyjnych niezwłocznie po cofnięciu dyspozycji przez użytkownika.

Wszystkie bazy danych utrzymywane są w certyfikowanych centrach hostingowych z fizyczną ochroną perymetryczną i redundantnymi kopiami zapasowymi, gwarantującymi pełną odtwarzalność rejestrów w sytuacjach awaryjnych.

Przekazywanie danych poza EOG

Podstawowa architektura serwerowa przechowująca bazy danych użytkowników platformy BDMBet Casino zlokalizowana jest na obszarze państw członkowskich Europejskiego Obszaru Gospodarczego (EOG). Jednakże realizacja wielopoziomowych procesów cyberbezpieczeństwa, ochrona przed zmasowanymi atakami sieciowymi oraz integracja globalnych bramek autoryzacyjnych wymaga zaangażowania certyfikowanych partnerów technologicznych operujących w państwach trzecich.

W przypadku konieczności transgranicznego transferu rekordów informacyjnych poza granice EOG administrator wdraża rygorystyczne zabezpieczenia formalnoprawne, zapobiegające obniżeniu standardu ochrony gwarantowanego przez RODO:

• Standardowe Klauzule Umowne (SCC): implementacja wzorcowych klauzul zatwierdzonych przez Komisję Europejską na mocy art. 46 ust. 2 lit. c RODO, które prawnie zobowiązują odbiorców danych poza EOG do zachowania europejskich norm poufności i bezpieczeństwa.
• Decyzje o adekwatności ochrony: kierowanie transferów w pierwszej kolejności do jurysdykcji, wobec których Komisja Europejska wydała formalne orzeczenie potwierdzające zapewnienie odpowiedniego stopnia ochrony danych osobowych (art. 45 RODO).
• Ochrona kryptograficzna i minimalizacja: szyfrowanie wszelkich przesyłanych strumieni danych za pomocą algorytmów AES-256 oraz protokołów TLS 1.3, połączone z pseudonimizacją identyfikatorów cyfrowych przed ich wysyłką poza infrastrukturę centralną.
• Oceny ryzyka transferu (TIA): przeprowadzanie regularnych audytów Data Transfer Impact Assessment w celu weryfikacji, czy lokalne ustawodawstwo państwa docelowego nie narusza suwerenności i integralności powierzonych danych.

Dzięki zastosowaniu wielowarstwowych środków technicznych i organizacyjnych informacje graczy korzystających z BDMBet Casino zachowują nienaruszony poziom ochrony prawnej, w pełni ekwiwalentny z wymogami unijnego prawa o ochronie danych osobowych.

Zmiany polityki i data obowiązywania

Administrator Terdersoft B.V. zastrzega sobie formalne prawo do okresowej rewizji oraz aktualizacji postanowień niniejszej Polityki Prywatności w celu zachowania pełnej zgodności z nowelizacjami europejskich norm RODO, ewoluującymi wytycznymi technicznymi cyberbezpieczeństwa oraz wymogami jurysdykcyjnymi Licencji Curaçao nr 8048/JAZ wydanej przez Curaçao Gaming Control Board.

O wszelkich kluczowych modyfikacjach wpływających na zakres przetwarzania danych, prawa użytkowników bądź cele analityczne gracze są zawiadamiani drogą cyfrową za pośrednictwem bezpośrednich powiadomień systemowych w panelu Konta Gracza lub oficjalnych komunikatów na stronie. Dalsze korzystanie z infrastruktury serwisu po wejściu w życie znowelizowanych zasad oznacza potwierdzenie zapoznania się ze zaktualizowanym brzmieniem dokumentu.