1. Wprowadzenie

1.1. Kim jesteśmy i czym jest niniejszy dokument

Lemon Casino (dalej: „Serwis", „my" lub „Operator") jest platformą gier hazardowych online dostępną pod adresem olchowiec.pl. Jako Administrator Danych Osobowych odpowiadamy za sposób gromadzenia, przechowywania, przetwarzania oraz ochrony danych osobowych naszych użytkowników.

Niniejsza Polityka Prywatności (dalej: „Polityka") opisuje, jakie dane osobowe zbieramy od osób odwiedzających nasz serwis i korzystających z naszych usług, w jakim celu je przetwarzamy, jakie mamy podstawy prawne do ich przetwarzania oraz jakie prawa przysługują osobom, których dane dotyczą.

1.2. Zastosowanie przepisów RODO

Przetwarzanie danych osobowych odbywa się zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej: „RODO" lub „GDPR"), a także z polską Ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych oraz właściwymi przepisami sektorowymi, w tym Ustawą Prawo Komunikacji Elektronicznej z dnia 12 lipca 2024 r. regulującą kwestie cookies i marketingu elektronicznego.

1.3. Akceptacja Polityki

Korzystając z naszego Serwisu, rejestrując konto lub składając jakikolwiek wniosek za pośrednictwem naszych formularzy, potwierdzasz, że zapoznałeś/-aś się z niniejszą Polityką Prywatności i rozumiesz jej treść. Jeżeli nie akceptujesz zasad opisanych w niniejszym dokumencie, prosimy o niekorzystanie z Serwisu.

Niniejsza Polityka powinna być czytana łącznie z Regulaminem serwisu oraz Zasadami Odpowiedzialnej Gry, które stanowią integralną część naszej dokumentacji prawnej.

2. Dane, które zbieramy

2.1. Dane podane bezpośrednio przez użytkownika

W toku rejestracji konta oraz korzystania z usług Serwisu zbieramy następujące kategorie danych, które użytkownik przekazuje nam dobrowolnie:

• Dane identyfikacyjne: imię i nazwisko, data urodzenia, numer PESEL lub numer dokumentu tożsamości (w zakresie wymaganym przez przepisy AML/KYC);
• Dane kontaktowe: adres e-mail, numer telefonu, adres korespondencyjny;
• Dane logowania: nazwa użytkownika (login), hasło w formie zaszyfrowanej (hash);
• Dane finansowe: numer rachunku bankowego lub karty płatniczej (w zakresie niezbędnym do realizacji transakcji), historia wpłat i wypłat;
• Dane weryfikacyjne (KYC): skany lub zdjęcia dokumentów tożsamości, dokumenty potwierdzające adres zamieszkania, dokumenty potwierdzające źródło pochodzenia środków.

2.2. Dane zbierane automatycznie

W trakcie korzystania z Serwisu automatycznie zbieramy dane techniczne i behawioralne, w tym:

• Dane urządzenia i połączenia: adres IP, typ i wersja przeglądarki, system operacyjny, rozdzielczość ekranu, język przeglądarki;
• Dane o sesji: data i godzina wizyty, strony odwiedzone w Serwisie, czas spędzony na poszczególnych podstronach, kliknięcia, przewijanie;
• Dane geolokalizacyjne: kraj i miasto (wyznaczane na podstawie adresu IP) w celu weryfikacji dostępności usług w danej lokalizacji;
• Dane o grze: rodzaje gier, w które grał użytkownik, wartości zakładów, wyniki, historię aktywności w grach;
• Dane z plików cookie i podobnych technologii: szczegółowo opisane w sekcji 6 niniejszej Polityki.

2.3. Dane ze źródeł zewnętrznych

W określonych przypadkach możemy pozyskiwać dane osobowe ze źródeł zewnętrznych, w szczególności:

• od dostawców usług weryfikacji tożsamości i zapobiegania oszustwom;
• od dostawców usług płatniczych w zakresie potwierdzenia realizacji transakcji;
• z publicznych rejestrów i baz danych w ramach obowiązków AML;
• od organów regulacyjnych i organów ścigania na mocy obowiązujących przepisów prawa.

2.4. Kategorie szczególne danych

Co do zasady nie zbieramy danych osobowych szczególnej kategorii w rozumieniu art. 9 RODO (takich jak dane o stanie zdrowia, przekonaniach religijnych, danych biometrycznych itp.). W przypadku gdy użytkownik dobrowolnie ujawni takie informacje w kontekście programu odpowiedzialnej gry (np. deklarując uzależnienie w celu samowykluczenia), dane te będą przetwarzane wyłącznie w zakresie niezbędnym do udzielenia wsparcia lub zastosowania środków ochronnych, na podstawie wyraźnej zgody użytkownika lub przepisów prawa.

3. Cele przetwarzania danych

3.1. Świadczenie usług

Przetwarzamy dane osobowe przede wszystkim w celu umożliwienia korzystania z Serwisu, w tym:

• rejestracji i prowadzenia konta gracza;
• realizacji wpłat i wypłat środków;
• umożliwienia dostępu do gier i innych funkcji Serwisu;
• obsługi bonusów, promocji i programów lojalnościowych;
• komunikacji z użytkownikiem w sprawach związanych z kontem i usługami.

3.2. Weryfikacja tożsamości i compliance (AML/KYC)

Jesteśmy zobowiązani do stosowania środków bezpieczeństwa finansowego wynikających z przepisów dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. W związku z tym przetwarzamy dane w celu:

• weryfikacji tożsamości użytkownika (procedura KYC);
• potwierdzenia wieku i uprawnień do korzystania z usług;
• wykrywania i zapobiegania działaniom przestępczym, oszustwom i praniu pieniędzy;
• zgłaszania podejrzanych transakcji właściwym organom.

3.3. Odpowiedzialna gra

W ramach naszej polityki Odpowiedzialnej Gry przetwarzamy dane użytkowników w celu monitorowania zachowań wskazujących na ryzyko uzależnienia, stosowania limitów gry, realizacji wniosków o samowykluczenie oraz prowadzenia działań prewencyjnych opisanych szczegółowo w dokumencie Zasady Odpowiedzialnej Gry.

3.4. Marketing i komunikacja

Za wyraźną zgodą użytkownika przetwarzamy dane w celach marketingowych, w tym:

• wysyłki informacji o promocjach, bonusach i nowych produktach drogą elektroniczną;
• personalizacji oferty i wyświetlania spersonalizowanych treści;
• przeprowadzania ankiet satysfakcji i badań rynku.

Użytkownik może w każdej chwili wycofać zgodę na marketing bez wpływu na konto lub inne usługi.

3.5. Analityka i doskonalenie usług

Przetwarzamy dane w celu analizy sposobu korzystania z Serwisu, identyfikacji błędów, optymalizacji działania platformy oraz poprawy doświadczeń użytkowników.

3.6. Bezpieczeństwo i ochrona prawna

Przetwarzamy dane w celu zapewnienia bezpieczeństwa technicznego Serwisu, zapobiegania nieautoryzowanemu dostępowi, a także w celu ochrony naszych praw i roszczeń przed sądami i organami administracyjnymi.

4. Podstawy prawne przetwarzania

Każda operacja przetwarzania danych osobowych opiera się na co najmniej jednej z następujących podstaw prawnych przewidzianych w art. 6 RODO:

4.1. Prawnie uzasadniony interes – test równoważenia

W przypadkach, gdy przetwarzamy dane na podstawie art. 6 ust. 1 lit. f) RODO (prawnie uzasadniony interes), każdorazowo przeprowadzamy ocenę, czy nasze interesy nie są nadrzędne względem interesów, praw i wolności osób, których dane dotyczą. Ocena ta jest dokumentowana i dostępna na żądanie właściwego organu nadzorczego.

5. Udostępnianie danych i podmioty trzecie

5.1. Zasada ogólna

Nie sprzedajemy, nie wynajmujemy ani nie handlujemy danymi osobowymi naszych użytkowników. Dane mogą być przekazywane wyłącznie podmiotom wskazanym poniżej, w zakresie niezbędnym do realizacji określonych celów, na podstawie umów powierzenia przetwarzania zawieranych zgodnie z art. 28 RODO.

5.2. Kategorie odbiorców danych

• Dostawcy usług płatniczych: operatorzy systemów płatności (karty płatnicze, przelewy bankowe, portfele elektroniczne) w celu realizacji transakcji finansowych. Wśród obsługiwanych metod płatności dostępnych dla użytkowników z Polski znajdują się: Visa, Mastercard, Blik, Przelewy24, PayU, Skrill, Neteller, Paysafecard, ecoPayz, MuchBetter, PayPal oraz przelewy bankowe.
• Dostawcy weryfikacji tożsamości (KYC): podmioty świadczące usługi weryfikacji dokumentów, weryfikacji wieku i tożsamości w trybie elektronicznym;
• Dostawcy usług IT i hostingu: podmioty zapewniające infrastrukturę techniczną Serwisu, w tym serwery, bazy danych, usługi chmurowe;
• Dostawcy usług analitycznych: platformy analityki internetowej (np. Google Analytics lub inne narzędzia analityczne), z którymi zawieramy stosowne umowy gwarantujące ochronę danych;
• Dostawcy narzędzi marketingowych: platformy do wysyłki e-maili, systemy CRM — wyłącznie za zgodą użytkownika;
• Organy publiczne i regulacyjne: organy ścigania, organy nadzoru finansowego, Generalny Inspektor Informacji Finansowej (GIIF) — wyłącznie gdy wymagają tego przepisy prawa lub gdy istnieje uzasadnione podejrzenie przestępstwa;
• Partnerzy programów odpowiedzialnej gry: organizacje udzielające wsparcia osobom z problemem hazardowym, wyłącznie za wyraźną zgodą użytkownika lub gdy wymagają tego przepisy prawa;
• Doradcy prawni i audytorzy: kancelarie prawne, firmy audytorskie, biegli rewidenci — w zakresie niezbędnym do ochrony naszych interesów prawnych.

5.3. Umowy powierzenia przetwarzania

Każdy podmiot, któremu powierzamy przetwarzanie danych osobowych w naszym imieniu, jest zobowiązany do zawarcia z nami umowy powierzenia przetwarzania danych (DPA) zgodnej z art. 28 RODO. Umowy te nakładają na podmioty przetwarzające obowiązek stosowania adekwatnych środków technicznych i organizacyjnych w celu ochrony danych.

6. Pliki cookie i technologie śledzące

6.1. Czym są pliki cookie?

Pliki cookie to niewielkie pliki tekstowe zapisywane na urządzeniu użytkownika (komputerze, tablecie, smartfonie) przez przeglądarkę internetową podczas odwiedzin w Serwisie. Pozwalają one na rozpoznanie urządzenia użytkownika przy kolejnych odwiedzinach, zapamiętanie preferencji i zbieranie danych analitycznych.

Zgodnie z Ustawą Prawo Komunikacji Elektronicznej z dnia 12 lipca 2024 r. używanie plików cookie do celów innych niż niezbędne wymaga uprzedniej, dobrowolnej i świadomej zgody użytkownika, wyrażonej poprzez aktywne działanie (bez wstępnie zaznaczonych opcji).

6.2. Kategorie stosowanych plików cookie

6.3. Zarządzanie plikami cookie

Użytkownik może w każdej chwili zarządzać swoimi preferencjami dotyczącymi plików cookie:

• za pośrednictwem narzędzia do zarządzania zgodami (baner cookie) dostępnego w Serwisie;
• w ustawieniach przeglądarki internetowej — większość przeglądarek umożliwia zablokowanie lub usunięcie plików cookie;
• za pomocą dedykowanych narzędzi rezygnacji oferowanych przez dostawców analityki (np. Google Analytics Opt-out).

Wyłączenie plików cookie niezbędnych może spowodować nieprawidłowe działanie Serwisu lub uniemożliwić zalogowanie.

6.4. Inne technologie śledzące

Poza plikami cookie możemy stosować następujące technologie:

• Web beacony (piksele śledzące): małe obrazy niewidoczne dla użytkownika, służące do monitorowania otwarcia wiadomości e-mail lub wyświetlenia strony;
• Local Storage / Session Storage: mechanizmy przechowywania danych w przeglądarce, działające podobnie do plików cookie;
• Odciski przeglądarki (browser fingerprinting): wyłącznie do celów bezpieczeństwa i wykrywania oszustw, nie do profilowania marketingowego.

7. Bezpieczeństwo danych

7.1. Stosowane środki bezpieczeństwa

Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych przed nieautoryzowanym dostępem, utratą, zniszczeniem lub ujawnieniem. Do kluczowych środków należą:

• Szyfrowanie transmisji danych: protokół TLS/SSL (minimum TLS 1.2) dla wszystkich połączeń między użytkownikiem a Serwisem;
• Szyfrowanie danych w spoczynku: wrażliwe dane finansowe i identyfikacyjne przechowywane w postaci zaszyfrowanej;
• Haszowanie haseł: hasła użytkowników przechowywane wyłącznie w formie jednokierunkowego hasha (np. bcrypt lub Argon2);
• Kontrola dostępu: dostęp do danych osobowych przyznawany pracownikom wyłącznie w zakresie niezbędnym do wykonywania ich obowiązków (zasada minimalnych uprawnień);
• Uwierzytelnianie dwuskładnikowe (2FA): dostępne dla użytkowników jako dodatkowa warstwa ochrony konta;
• Testy penetracyjne i audyty bezpieczeństwa: regularne przeglądy bezpieczeństwa systemów informatycznych;
• Szkolenia pracowników: regularne szkolenia z zakresu ochrony danych osobowych i cyberbezpieczeństwa.

7.2. Naruszenia ochrony danych

W przypadku stwierdzenia naruszenia ochrony danych osobowych postępujemy zgodnie z wymogami art. 33 i 34 RODO:

• w ciągu 72 godzin od stwierdzenia naruszenia powiadamiamy Prezesa Urzędu Ochrony Danych Osobowych (UODO), jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych;
• bez zbędnej zwłoki informujemy bezpośrednio użytkowników, których dane dotyczą, jeżeli naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności;
• prowadzimy wewnętrzny rejestr naruszeń ochrony danych niezależnie od obowiązku zgłoszenia do organu nadzorczego.

8. Okres przechowywania danych

8.1. Zasada ograniczenia przechowywania

Dane osobowe przechowujemy wyłącznie przez okres niezbędny do realizacji celów, dla których zostały zebrane, lub przez okres wymagany przepisami prawa. Po upływie okresu retencji dane są trwale usuwane lub anonimizowane.

8.2. Szczegółowe okresy retencji

9. Twoje prawa

9.1. Katalog praw wynikających z RODO

Na podstawie RODO przysługują Ci następujące prawa w odniesieniu do danych osobowych, które przetwarzamy:

• Prawo dostępu (art. 15 RODO): masz prawo uzyskać potwierdzenie, czy przetwarzamy Twoje dane osobowe, a jeżeli tak — uzyskać do nich dostęp oraz informacje o celach, kategoriach, odbiorcach i planowanym okresie przechowywania.
• Prawo do sprostowania (art. 16 RODO): masz prawo żądać niezwłocznego sprostowania nieprawidłowych danych osobowych lub uzupełnienia danych niekompletnych.
• Prawo do usunięcia danych (art. 17 RODO, „prawo do bycia zapomnianym"): możesz żądać usunięcia danych, gdy nie są już niezbędne do celów, dla których zostały zebrane, gdy cofnąłeś/-aś zgodę, lub gdy przetwarzanie jest niezgodne z prawem. Prawo to może podlegać ograniczeniom wynikającym z obowiązujących przepisów (np. AML, przepisy podatkowe).
• Prawo do ograniczenia przetwarzania (art. 18 RODO): masz prawo żądać ograniczenia przetwarzania w określonych sytuacjach, np. gdy kwestionujesz prawidłowość danych lub sprzeciwiasz się ich przetwarzaniu.
• Prawo do przenoszenia danych (art. 20 RODO): masz prawo otrzymać Twoje dane osobowe w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (np. JSON, CSV) i przesłać je innemu administratorowi, gdy przetwarzanie odbywa się na podstawie zgody lub umowy.
• Prawo do sprzeciwu (art. 21 RODO): masz prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania danych na podstawie prawnie uzasadnionego interesu, w tym profilowania. W odniesieniu do marketingu bezpośredniego sprzeciw jest bezwzględnie wiążący.
• Prawo do wycofania zgody (art. 7 ust. 3 RODO): w każdej chwili możesz cofnąć udzieloną zgodę bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
• Prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji (art. 22 RODO): masz prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeżeli wywołuje ona wobec Ciebie skutki prawne lub istotnie wpływa na Twoją sytuację.

9.2. Sposób realizacji praw

Aby skorzystać z przysługujących Ci praw, prosimy o kontakt drogą elektroniczną na adres: [email protected] lub pisemnie na adres wskazany w sekcji 13. Postaramy się odpowiedzieć na Twoje żądanie bez zbędnej zwłoki, nie później niż w ciągu 30 dni od jego otrzymania. W uzasadnionych przypadkach termin może zostać przedłużony o kolejne 60 dni, o czym poinformujemy Cię wraz z podaniem przyczyny przedłużenia.

9.3. Prawo do skargi do organu nadzorczego

Jeżeli uważasz, że przetwarzanie Twoich danych osobowych narusza przepisy RODO lub polskie przepisy o ochronie danych, masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO):

10. Międzynarodowe przekazywanie danych

10.1. Przekazywanie danych poza EOG

Co do zasady dążymy do przechowywania i przetwarzania danych osobowych wyłącznie na terenie Europejskiego Obszaru Gospodarczego (EOG). W przypadku gdy korzystamy z usług dostawców technologicznych spoza EOG (np. dostawców chmurowych lub narzędzi analitycznych z siedzibą w Stanach Zjednoczonych), przekazywanie danych odbywa się wyłącznie przy zastosowaniu odpowiednich mechanizmów ochronnych.

10.2. Mechanizmy zabezpieczające transfer

Stosujemy następujące mechanizmy prawne zapewniające adekwatną ochronę danych przekazywanych poza EOG:

• Standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską na podstawie art. 46 ust. 2 lit. c) RODO;
• Decyzje stwierdzające odpowiedni stopień ochrony wydane przez Komisję Europejską w odniesieniu do krajów trzecich zapewniających równoważny poziom ochrony danych (m.in. decyzja dotycząca Ram ochrony danych UE–USA);
• Wiążące reguły korporacyjne (BCR) — w przypadku grup kapitałowych posiadających stosowne zatwierdzenie organu nadzorczego.

Na żądanie udostępniamy użytkownikom kopie stosowanych klauzul umownych lub inne informacje dotyczące zabezpieczeń stosowanych przy transferach danych. W tym celu prosimy o kontakt na adres: [email protected].

11. Ochrona małoletnich

11.1. Zakaz dostępu dla osób poniżej 18. roku życia

Celowo nie gromadzimy, nie przetwarzamy ani nie przechowujemy danych osobowych osób poniżej 18. roku życia. W toku procedury rejestracji wymagamy potwierdzenia pełnoletności, a w ramach procesu KYC weryfikujemy wiek użytkowników na podstawie dokumentów tożsamości.

11.2. Działania w przypadku stwierdzenia danych małoletniego

Jeżeli dowiemy się, że zebraliśmy dane osobowe osoby małoletniej bez weryfikowalnej zgody jej rodzica lub opiekuna prawnego, niezwłocznie:

• zablokujemy dostęp takiej osoby do konta;
• usuniemy wszystkie zebrane dane osobowe dotyczące tej osoby;
• unieważnimy wszelkie transakcje dokonane przez tę osobę;
• w stosownych przypadkach powiadomimy właściwe organy.

Jeżeli masz podstawy sądzić, że Twoje dziecko lub podopieczny zarejestrował konto w naszym Serwisie, prosimy o niezwłoczny kontakt pod adresem: [email protected].

Więcej informacji na temat narzędzi ochrony małoletnich znajdziesz w dokumencie Zasady Odpowiedzialnej Gry.

12. Zmiany w Polityce Prywatności

12.1. Prawo do aktualizacji

Niniejsza Polityka Prywatności może być aktualizowana w związku ze zmianami przepisów prawa, rozwojem technologicznym Serwisu, zmianami w sposobie przetwarzania danych lub z innych uzasadnionych przyczyn. Każda nowa wersja dokumentu będzie opatrzona datą wejścia w życie, a numer wersji zostanie zaktualizowany.

12.2. Sposób powiadamiania o zmianach

O istotnych zmianach niniejszej Polityki poinformujemy użytkowników w co najmniej jeden z następujących sposobów:

• wyświetlenie powiadomienia na stronie głównej Serwisu lub przy kolejnym logowaniu;
• wysłanie wiadomości e-mail na adres zarejestrowany na koncie użytkownika;
• wyraźne oznaczenie zmienionych sekcji dokumentu i wskazanie daty zmiany.

Dalsze korzystanie z Serwisu po dacie wejścia w życie zaktualizowanej Polityki jest równoznaczne z akceptacją wprowadzonych zmian. Jeżeli nie akceptujesz nowej wersji Polityki, masz prawo zamknąć konto zgodnie z procedurą opisaną w Regulaminie.

12.3. Historia wersji

13. Dane kontaktowe

13.1. Administrator Danych Osobowych

Administratorem Twoich danych osobowych jest podmiot prowadzący serwis Lemon Casino pod adresem olchowiec.pl. Wszelkie pytania, wnioski dotyczące realizacji praw lub skargi związane z przetwarzaniem danych osobowych możesz kierować za pośrednictwem poniższych kanałów kontaktowych.

13.2. Czas odpowiedzi

Staramy się odpowiadać na wszystkie zapytania w ciągu 2 dni roboczych. Na formalne wnioski dotyczące realizacji praw wynikających z RODO odpowiadamy bez zbędnej zwłoki, w terminie do 30 dni od daty wpłynięcia wniosku, zgodnie z art. 12 RODO.

13.3. Organizacje pomocowe — problem hazardowy

Jeżeli Ty lub ktoś z Twoich bliskich zmaga się z problemem hazardowym, zachęcamy do skontaktowania się z jedną z poniższych organizacji działających na terenie Polski. Więcej informacji znajdziesz w dokumencie Zasady Odpowiedzialnej Gry.