POLITYKA PRYWATNOŚCI I STANDARDY BEZPIECZEŃSTWA RODO – Marvel CASINO

Wstęp

Niniejszy dokument przedstawia szczegółowe zasady gromadzenia, ewidencjonowania, przetwarzania oraz wielopoziomowej ochrony danych osobowych użytkowników korzystających z infrastruktury serwisu. Wszystkie procedury operacyjne i protokoły bezpieczeństwa teleinformatycznego są realizowane w ścisłej zgodności z przepisami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO/GDPR) oraz właściwymi regulacjami prawnymi obowiązującymi w Polsce.

Świadczenie usług drogą elektroniczną oraz wszelkie powiązane z nimi systemy przetwarzania danych są dedykowane bezwzględnie i wyłącznie osobom, które ukończyły 18. rok życia. Operator platformy stosuje zautomatyzowane filtry technologiczne oraz manualne procedury weryfikacyjne w celu uniemożliwienia rejestracji profili oraz deponowania środków przez osoby niepełnoletnie.

Zespół analityczny portalu sofistudio.pl przeprowadził szczegółowy audyt procedur bezpieczeństwa oraz prawnej zgodności wdrożonych mechanizmów ochrony prywatności. Pełną specyfikację techniczną, parametry licencyjne oraz audyt transakcji finansowych prezentuje strona główna casino Marvel.

Administrator danych i podstawa działania

Administratorem danych osobowych użytkowników rejestrujących konto w serwisie jest spółka Marvel Entertainment N.V. z siedzibą pod adresem Schout Bij Nacht Doormanweg 40, Willemstad, Curaçao (numer rejestracyjny: 158214), działająca na rynku europejskim we współpracy z podmiotem operacyjnym Marvel PL Sp. z o.o. Administrator ten ustala cele, ramy techniczne oraz metody archiwizacji cyfrowej zgodnie z normami unijnego rozporządzenia RODO (GDPR).

Działalność platformy prowadzona jest w oparciu o międzynarodowe ramy prawne i nadzór regulacyjny. Główną podstawą legitymizującą operacje serwisu jest Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board. Zezwolenie to nakłada na administratora bezpośredni obowiązek nieprzerwanego rejestrowania przepływów finansowych, weryfikacji tożsamości użytkowników oraz ścisłej integracji procesów przetwarzania danych z procedurami przeciwdziałania praniu pieniędzy (AML) oraz procedurami weryfikacyjnymi KYC.

Wszelkie formalne wnioski, zapytania dotyczące przetwarzania informacji oraz dyspozycje realizacji praw użytkownika należy kierować bezpośrednio do powołanego Inspektora Ochrony Danych (DPO) na oficjalne dane korespondencyjne:

Kategorie przetwarzanych danych

W ramach prowadzonego nadzoru analitycznego eksperci sofistudio.pl weryfikują zakres informacji gromadzonych przez operatora platformy. Zgodnie z zasadą minimalizacji danych określoną w art. 5 ust. 1 lit. c RODO, infrastruktura serwisu rejestruje wyłącznie te zbiory informacji cyfrowych, które są ściśle niezbędne do bezpiecznego prowadzenia Konta Gracza, poprawnego rozliczania zakładów oraz bezwzględnego spełnienia wymogów nałożonych przez licencję Curaçao nr 8048/JAZ.

Zakres przetwarzanych danych osobowych obejmuje cztery kluczowe kategorie rejestrów:

• Dane identyfikacyjne (ID): pełne imię i nazwisko, data oraz miejsce urodzenia, obywatelstwo, płeć, a także seria i numer dokumentu tożsamości (dowód osobisty, paszport lub prawo jazdy) weryfikowane w procedurze KYC w celu potwierdzenia ukończenia 18. roku życia.
• Dane teleadresowe i kontaktowe: dokładny adres zamieszkania (ulica, numer lokalu, kod pocztowy, miasto, kraj), aktywny adres poczty elektronicznej oraz numer telefonu komórkowego wykorzystywany do autoryzacji dwuetapowej (2FA) i powiadomień systemowych.
• Dane finansowe i transakcyjne: historia wpłat i zleceń wypłat, wykorzystywane kanały płatności (BLIK, karty płatnicze Visa i Mastercard, portfele elektroniczne Jeton i MiFinity, adresy portfeli kryptowalutowych), zamaskowane numery rachunków bankowych oraz dokumenty potwierdzające legalne źródło pochodzenia kapitału.
• Dane techniczne, telemetryczne i aktywności: publiczny adres IP, geolokalizacja sesji, unikalne identyfikatory urządzenia, wersja przeglądarki i systemu operacyjnego, pliki dziennika zdarzeń (logi systemowe), znaczniki czasu logowania oraz szczegółowy zapis historii rozgrywki.

Pozyskiwanie powyższych danych następuje bezpośrednio od użytkownika podczas wypełniania formularza rejestracyjnego, w trakcie przekazywania dokumentów do weryfikacji tożsamości, a także w sposób zautomatyzowany poprzez bezpieczne protokoły telemetryczne podczas aktywnej sesji w serwisie.

Cele przetwarzania danych

Wszelkie operacje przetwarzania danych osobowych przez operatora platformy opierają się na ściśle sprecyzowanych podstawach normatywnych zdefiniowanych w art. 6 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Podstawowym celem technologicznym jest zapewnienie nieprzerwanej, bezpiecznej oraz zgodnej z prawem eksploatacji Konta Gracza, w tym rzetelna ewidencja zakładów oraz realizacja rozliczeń finansowych.

Infrastruktura teleinformatyczna serwisu gromadzi i analizuje dane użytkowników w odniesieniu do następujących celów statutowych oraz podstaw prawnych:

• Wykonanie umowy o świadczenie usług drogą elektroniczną (art. 6 ust. 1 lit. b RODO): rejestracja konta, weryfikacja uprawnień logowania, procesowanie transakcji depozytowych (m.in. BLIK od 20 PLN) i wypłat wygranych, kalkulacja zakładów w grach oraz obsługa techniczna zgłoszeń.
• Wypełnienie obowiązków prawnych ciążących na administratorze (art. 6 ust. 1 lit. c RODO): realizacja obligatoryjnych wymogów nałożonych przez licencję Curaçao nr 8048/JAZ, weryfikacja wieku użytkowników (18+), rozliczenia podatkowo-księgowe oraz obligatoryjne monitorowanie transakcji w ramach procedur przeciwdziałania praniu pieniędzy (AML) i finansowaniu terroryzmu.
• Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO): prewencja nadużyć finansowych i wyłudzeń bonusowych, ochrona integralności infrastruktury przed atakami DDoS, dochodzenie roszczeń prawnych, zabezpieczenie dowodów cyfrowych oraz analiza statystyk wydajności serwerów.
• Dobrowolna zgoda użytkownika (art. 6 ust. 1 lit. a RODO): wysyłka powiadomień o aktualizacjach technicznych serwisu, zmianach w regulaminach oraz opcjonalnych komunikatach informacyjnych za pośrednictwem poczty elektronicznej lub powiadomień systemowych.

Zasady przetwarzania wykluczają profilowanie wywołujące skutki prawne bez bezpośredniej ingerencji człowieka. Retencja informacji jest ściśle powiązana z celami operacyjnymi i ograniczona do okresów wyznaczonych przez przepisy prawa hazardowego, podatkowego oraz dyrektywy AML.

Udostępnianie danych i odbiorcy

Zgromadzone rekordy osobowe użytkowników podlegają bezwzględnej tajemnicy zawodowej oraz ochronie prawnej. Operator platformy nie prowadzi komercyjnego obrotu informacjami prywatnymi, nie odsprzedaje baz teleadresowych ani nie udostępnia profili graczy stronom trzecim w celach zarobkowych lub marketingowych. Przekazanie danych podmiotom zewnętrznym następuje wyłącznie wtedy, gdy jest to bezpośrednio wymagane do realizacji transakcji finansowych, zachowania ciągłości operacyjnej infrastruktury bądź spełnienia bezwzględnych nakazów prawa.

Wszelkie podmioty współpracujące z administratorem pełnią funkcję podmiotów przetwarzających (procesorów danych) i działają ściśle na podstawie sformalizowanych umów powierzenia przetwarzania danych osobowych (Data Processing Agreement – DPA), sporządzonych zgodnie z art. 28 RODO. Do autoryzowanych kategorii odbiorców należą następujące grupy wyspecjalizowanych partnerów:

• Instytucje płatnicze i operatorzy bramek finansowych: licencjonowani dostawcy usług transakcyjnych obsługujący depozyty i wypłaty wygranych (w tym kanały BLIK, operatorzy kart płatniczych Visa i Mastercard, e-portfele MiFinity oraz Jeton, a także bezpieczne węzły sieci kryptowalutowych).
• Systemy weryfikacji tożsamości i agencje analityczne KYC/AML: zautomatyzowane platformy biometryczne oraz bazy danych weryfikujące autentyczność dokumentów tożsamości, status osób zajmujących eksponowane stanowiska polityczne (PEP) oraz listy sankcyjne w celu prewencji prania pieniędzy.
• Dostawcy infrastruktury chmurowej i bezpieczeństwa IT: certyfikowane centra danych, dostawcy rozwiązań serwerowych oraz globalne sieci dystrybucji treści (CDN), w tym tarcze ochronne zapobiegające zmasowanym atakom sieciowym typu DDoS.
• Niezależne laboratoria audytorskie i certyfikujące: akredytowane jednostki testujące matematyczną uczciwość algorytmów generatora liczb losowych (RNG) oraz przeprowadzające cykliczne audyty penetracyjne kodu źródłowego.
• Właściwe organy regulacyjne i wymiar sprawiedliwości: państwowe jednostki wywiadu finansowego, organy ścigania, sądy oraz Curaçao Gaming Control Board, którym dane są udostępniane wyłącznie w sytuacjach prawnego obowiązku i po weryfikacji formalnej zasadności wniosku.

Niezależni analitycy portalu sofistudio.pl w toku procedur kontrolnych potwierdzili, że wszelka wymiana informacji telemetrycznych i płatniczych z zewnętrznymi odbiorcami realizowana jest wyłącznie poprzez szyfrowane protokoły API, przy bezwzględnym zachowaniu reguły minimalizacji udostępnianych rekordów cyfrowych.

Prawa użytkownika

W oparciu o przepisy Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), każdemu zarejestrowanemu użytkownikowi platformy przysługuje pełen pakiet uprawnień podmiotowych gwarantujących kontrolę nad zakresem i sposobem przetwarzania jego danych osobowych. Operator zapewnia transparentne ścieżki składania dyspozycji formalnych, a wszelkie wnioski są rozpatrywane przez dedykowanego Inspektora Ochrony Danych bez zbędnej zwłoki, nie później niż w terminie 30 dni od momentu ich zarejestrowania.

Katalog praw przysługujących osobie, której dane dotyczą, obejmuje następujące dyspozycje prawne:

• Prawo dostępu do danych (art. 15 RODO): uprawnienie do uzyskania od administratora potwierdzenia, czy dane są przetwarzane, wglądu w kategorie informacji oraz otrzymania nieodpłatnej kopii ewidencjonowanych rekordów cyfrowych.
• Prawo do sprostowania i uzupełnienia danych (art. 16 RODO): możliwość natychmiastowej korekty nieprawidłowych, nieaktualnych lub niekompletnych danych teleadresowych i ewidencyjnych w profilu gracza.
• Prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO): roszczenie o trwałą anonimizację i usunięcie profilu, realizowane w zakresie nienaruszającym bezwzględnych obowiązków prawnych operatora wynikających z licencji Curaçao nr 8048/JAZ oraz międzynarodowych regulacji AML, nakazujących 5-letnią archiwizację historii transakcji i dokumentacji identyfikacyjnej.
• Prawo do ograniczenia przetwarzania (art. 18 RODO): żądanie zawieszenia operacji na koncie gracza w trakcie weryfikacji poprawności zakwestionowanych danych lub w trakcie rozpatrywania wniesionego sprzeciwu.
• Prawo do przenoszenia danych (art. 20 RODO): uprawnienie do otrzymania zgromadzonych informacji w ustrukturyzowanym, powszechnie stosowanym formacie cyfrowym nadającym się do odczytu maszynowego.
• Prawo do sprzeciwu (art. 21 RODO): możliwość wniesienia umotywowanego sprzeciwu wobec przetwarzania realizowanego na podstawie prawnie uzasadnionego interesu administratora.
• Prawo do cofnięcia zgody: natychmiastowa rezygnacja z dobrowolnie udzielonych zgód marketingowych bez wpływu na zgodność z prawem wcześniejszych operacji.

W celu wykonania powyższych praw użytkownik może przesłać oficjalną dyspozycję na adres poczty elektronicznej: [email protected]. W przypadku stwierdzenia naruszenia standardów ochrony prywatności, użytkownikowi przysługuje również prawo do wniesienia formalnej skargi do właściwego organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (PUODO) w Warszawie.

Pliki cookies i podobne technologie

Infrastruktura teleinformatyczna portalu oraz powiązane z nią moduły sieciowe wykorzystują pliki cookies (tzw. ciasteczka) oraz pokrewne mechanizmy pamięci lokalnej (Local Storage, Session Storage). Narzędzia te są niezbędne do zagwarantowania integralności operacyjnej, sprawnej wymiany pakietów sieciowych oraz rygorystycznej ochrony sesji użytkownika przed nieautoryzowanym przejęciem tożsamości cyfrowej.

Eksperci sofistudio.pl w toku analizy technicznej sklasyfikowali mechanizmy telemetryczne i identyfikatory cookies stosowane przez operatora na trzy kluczowe kategorie funkcjonalne:

• Identyfikatory niezbędne (techniczne): pakiety danych odpowiedzialne za autoryzację sesji logowania, weryfikację unikalnych tokenów anty-CSRF zapobiegających fałszowaniu żądań oraz poprawne szyfrowanie transferu danych między przeglądarką a węzłem serwerowym.
• Identyfikatory analityczne i wydajnościowe: zanonimizowane rejestry służące do monitorowania czasu odpowiedzi serwera, detekcji ewentualnych anomalii w kodzie skryptowym oraz agregowania metryk ruchu bez profilowania indywidualnych danych osobowych.
• Identyfikatory funkcjonalne i konfiguracyjne: cyfrowe znaczniki zapamiętujące preferencje środowiskowe użytkownika, w tym wybrany język interfejsu, preferowaną walutę salda (PLN) oraz układ komponentów graficznych platformy.

Każdy użytkownik zachowuje pełną suwerenność nad zakresem gromadzonych identyfikatorów cyfrowych. Poziom akceptacji plików cookies może być w dowolnym momencie modyfikowany za pośrednictwem ustawień używanej przeglądarki internetowej lub dedykowanego modułu kontroli prywatności:

Bezpieczeństwo danych i ochrony systemów

Integralność architektury teleinformatycznej operatora opiera się na wielowarstwowych protokołach kryptograficznych oraz rygorystycznych procedurach izolacji środowisk serwerowych. Wszelkie pakiety przesyłane pomiędzy urządzeniem końcowym użytkownika a bazami danych podlegają szyfrowaniu algorytmem SSL o długości klucza 256-bit przy użyciu protokołu TLS 1.2, co uniemożliwia przechwycenie lub zmanipulowanie strumienia danych transakcyjnych.

Zabezpieczenia techniczne obejmują nie tylko ochronę tożsamości cyfrowej, lecz również certyfikowaną architekturę oprogramowania hazardowego. Wszystkie zintegrowane mechanizmy gier podlegają rygorystycznej polityce RNG (Random Number Generator), gwarantującej pełną losowość każdego rozdania i obrotu bębnów. Algorytmy generowania liczb losowych są poddawane systematycznym, niezależnym audytom technicznym przez akredytowane laboratoria badawcze, co weryfikuje ich zgodność z normami licencji Curaçao nr 8048/JAZ.

System retencji i archiwizacji cyfrowej jest bezpośrednio skorelowany z celami statutowymi oraz bezwzględnymi nakazami prawa:

• Dokumentacja identyfikacyjna oraz historia operacji finansowych: archiwizowane przez pełny okres aktywności Konta Gracza oraz obligatoryjnie przez 5 lat od daty jego zamknięcia, zgodnie z unijnymi dyrektywami AML dotyczącymi przeciwdziałania praniu pieniędzy.
• Rejestry telemetryczne, logi serwerowe oraz adresy IP: przechowywane w celach analitycznych i bezpieczeństwa przez maksymalnie 12 miesięcy od momentu zakończenia sesji.
• Zgody komunikacyjne i marketingowe: usuwane bezpowrotnie z systemów dystrybucji powiadomień w ciągu 48 godzin od momentu wycofania dyspozycji przez użytkownika.

Dostęp do zanonimizowanych baz danych jest ograniczony do wyznaczonego, certyfikowanego personelu podlegającego procedurom audytu wewnętrznego, a wszelkie próby nieautoryzowanego zapytania są automatycznie rejestrowane i blokowane przez zintegrowane zapory firewall nowej generacji.

Zmiany polityki i data obowiązywania

Postanowienia niniejszego dokumentu podlegają systematycznej weryfikacji audytorskiej oraz ewentualnym modyfikacjom formalnym wynikającym ze zmian w unijnych regulacjach RODO, nowelizacji przepisów prawa telekomunikacyjnego lub aktualizacji wytycznych nadzorczych powiązanych z licencją Curaçao nr 8048/JAZ. Zespół analityczny sofistudio.pl monitoruje spójność wszelkich korekt regulaminowych wprowadzanych przez administratora pod kątem nienaruszalności praw graczy.

W przypadku wdrożenia kluczowych przekształceń w strukturze przetwarzania danych osobowych zarejestrowani użytkownicy otrzymują stosowne zawiadomienie drogą mailową na zweryfikowany adres poczty elektronicznej lub za pośrednictwem obligatoryjnego komunikatu systemowego wyświetlanego bezpośrednio po zalogowaniu na Konto Gracza. Dalsze korzystanie z infrastruktury platformy po publikacji zaktualizowanej wersji dokumentu jest jednoznaczne z akceptacją nowych procedur bezpieczeństwa.

Oficjalna data wejścia w życie oraz ostatniej publikacji zrewidowanej Polityki Prywatności: 12 maja 2026 r..