Polityka Prywatności

1Wprowadzenie

Niniejsza Polityka Prywatności (dalej: „Polityka") opisuje, w jaki sposób Crazy Tower, operator serwisu dostępnego pod adresem crazytowers-polska.pl (dalej: „Serwis", „my", „nas", „nasze"), zbiera, przetwarza, przechowuje i chroni dane osobowe użytkowników (dalej: „Użytkownik", „Ty").

Niniejsza Polityka stanowi integralną część dokumentacji prawnej Serwisu i powinna być czytana łącznie z Regulaminem oraz Polityką Odpowiedzialnej Gry. Wszystkie trzy dokumenty tworzą spójną podstawę regulacyjną relacji między Crazy Tower a Użytkownikiem.

Działamy zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej: „RODO"), a także z przepisami polskiej ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.

1.1. Administrator danych

Administratorem danych osobowych Użytkowników jest operator Serwisu Crazy Tower. W sprawach dotyczących przetwarzania danych osobowych oraz realizacji praw wynikających z RODO możesz skontaktować się z nami za pomocą danych wskazanych w Sekcji 13 niniejszej Polityki.

1.2. Inspektor Ochrony Danych (DPO)

Dla potrzeb nadzoru nad zgodnością przetwarzania danych z obowiązującymi przepisami wyznaczyliśmy Inspektora Ochrony Danych. Z DPO możesz skontaktować się pod adresem e-mail: [email protected].

1.3. Zakres podmiotowy

Niniejsza Polityka ma zastosowanie do wszystkich osób fizycznych, które:

• odwiedzają Serwis, nawet bez zakładania konta,
• rejestrują konto gracza w Serwisie,
• kontaktują się z naszym zespołem obsługi klienta,
• uczestniczą w promocjach, programach lojalnościowych lub innych działaniach marketingowych,
• korzystają z jakichkolwiek funkcji lub usług oferowanych w ramach Serwisu.

2Dane, które zbieramy

2.1. Dane przekazywane przez Użytkownika

Dane te są podawane przez Użytkownika dobrowolnie podczas rejestracji, weryfikacji konta (KYC), kontaktu z obsługą klienta lub udziału w promocjach. Zaliczamy do nich:

• Dane identyfikacyjne: imię i nazwisko, data urodzenia, numer PESEL lub inny dokument tożsamości (w celu weryfikacji tożsamości i wieku),
• Dane kontaktowe: adres e-mail, numer telefonu, adres zamieszkania (ulica, kod pocztowy, miasto, kraj),
• Dane finansowe: numer rachunku bankowego, dane karty płatniczej (w zakresie niezbędnym do realizacji transakcji), metoda płatności,
• Dokumenty weryfikacyjne: skany lub zdjęcia dokumentów tożsamości, wyciągów bankowych lub rachunków za media – na potrzeby procedury KYC/AML,
• Korespondencja: treść wiadomości e-mail, czatów i zgłoszeń kierowanych do obsługi klienta,
• Preferencje marketingowe: zgody lub sprzeciwys wobec komunikacji marketingowej.

2.2. Dane zbierane automatycznie

Podczas korzystania z Serwisu automatycznie zbieramy następujące kategorie danych:

• Dane urządzenia i sieci: adres IP, rodzaj i wersja przeglądarki, system operacyjny, identyfikatory urządzenia, dane sieciowe operatora,
• Dane behawioralne i nawigacyjne: strony odwiedzone w Serwisie, czas spędzony na poszczególnych podstronach, kliknięcia, ścieżki nawigacji, wyszukiwania,
• Dane gry: historia zakładów i gier, salda kont, wartości wygranych i przegranych, sesje gry, preferowane kategorie gier,
• Dane transakcyjne: daty, godziny i kwoty wpłat oraz wypłat, status transakcji, stosowane metody płatności,
• Dane plików cookie i technologii śledzenia: szczegóły opisane w Sekcji 6.

2.3. Dane ze źródeł zewnętrznych

W określonych okolicznościach możemy otrzymywać dane od podmiotów zewnętrznych:

• Dostawcy płatności – potwierdzenia transakcji, statusy płatności,
• Narzędzia weryfikacji tożsamości – wyniki weryfikacji dokumentów i danych biometrycznych,
• Zewnętrzni dostawcy usług AML/KYC – informacje dotyczące list sankcyjnych, bazy danych PEP (osób zajmujących eksponowane stanowiska polityczne),
• Partnerzy afiliacyjni – dane dotyczące źródeł pozyskania Użytkownika,
• Organy regulacyjne i ścigania – informacje przekazywane w ramach obowiązków prawnych.

2.4. Dane szczególnych kategorii

Co do zasady nie zbieramy i nie przetwarzamy danych szczególnych kategorii (tzw. danych wrażliwych) w rozumieniu art. 9 RODO, takich jak dane o zdrowiu, przekonaniach religijnych czy przynależności etnicznej. Wyjątek stanowi sytuacja, gdy przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów Użytkownika (np. w kontekście programu odpowiedzialnej gry) lub Użytkownik wyraźnie udzielił na to zgody.

3Jak wykorzystujemy Twoje dane

Dane osobowe Użytkowników przetwarzamy wyłącznie w ściśle określonych celach:

3.1. Marketing bezpośredni

Wiadomości marketingowe wysyłamy wyłącznie wówczas, gdy udzieliłeś nam wyraźnej zgody. Możesz wycofać tę zgodę w dowolnym momencie, korzystając z linku rezygnacji zawartego w każdej wiadomości marketingowej lub kontaktując się z nami bezpośrednio. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, które miało miejsce przed wycofaniem zgody.

3.2. Zautomatyzowane podejmowanie decyzji

W celu zapewnienia bezpieczeństwa Serwisu i przeciwdziałania nadużyciom stosujemy zautomatyzowane mechanizmy oceny m.in. w zakresie wykrywania oszustw, weryfikacji tożsamości oraz monitorowania odpowiedzialnej gry. W każdym przypadku, gdy zautomatyzowana decyzja wywołuje wobec Ciebie skutki prawne lub podobnie istotne skutki faktyczne, masz prawo żądać weryfikacji tej decyzji przez człowieka. Więcej szczegółów znajdziesz w Sekcji 9.

4Podstawy prawne przetwarzania

Każda operacja przetwarzania danych osobowych opiera się na co najmniej jednej z poniższych podstaw prawnych przewidzianych w art. 6 RODO:

4.1. Wykonanie umowy (art. 6 ust. 1 lit. b RODO)

Przetwarzanie jest niezbędne do zawarcia lub wykonania umowy, której stroną jest Użytkownik, w tym świadczenia usług gry, przetwarzania transakcji i zarządzania kontem.

4.2. Obowiązek prawny (art. 6 ust. 1 lit. c RODO)

Przetwarzamy dane w zakresie wymaganym przepisami prawa, w szczególności:

• przepisami o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (AML/CFT),
• obowiązkami wynikającymi z przepisów podatkowych i rachunkowości,
• wymogami w zakresie weryfikacji tożsamości i wieku Użytkownika,
• wymogami regulacyjnymi dotyczącymi odpowiedzialnej gry.

4.3. Uzasadniony interes (art. 6 ust. 1 lit. f RODO)

Przetwarzamy dane w oparciu o nasz uzasadniony interes, w szczególności w zakresie:

• zapobiegania i wykrywania nadużyć, oszustw i cyberzagrożeń,
• bezpieczeństwa systemów informatycznych i sieci Serwisu,
• prowadzenia analiz i statystyk w celu ulepszania usług,
• windykacji należności oraz dochodzenia lub obrony roszczeń prawnych.

Przed powołaniem się na tę podstawę każdorazowo dokonujemy testu wyważenia interesów, upewniając się, że interesy Użytkownika nie mają pierwszeństwa nad naszym uzasadnionym interesem.

4.4. Zgoda (art. 6 ust. 1 lit. a RODO)

W zakresie marketingu bezpośredniego, plików cookie niefunkcjonalnych oraz profilowania w celach marketingowych przetwarzamy dane wyłącznie na podstawie dobrowolnej, świadomej i jednoznacznej zgody Użytkownika. Zgodę można wycofać w dowolnym czasie bez ponoszenia negatywnych konsekwencji.

5Udostępnianie danych i podmioty trzecie

Crazy Tower nie sprzedaje danych osobowych Użytkowników podmiotom trzecim w celach własnych. Dane mogą być jednak udostępniane następującym kategoriom odbiorców:

5.1. Dostawcy usług (podmioty przetwarzające)

Korzystamy z usług starannie wybranych partnerów technologicznych i biznesowych, którym powierzamy dane wyłącznie w zakresie niezbędnym do realizacji zleconych im zadań:

• Dostawcy bramek płatności i e-portfeli – Przelewy24, BLIK, Visa, Mastercard, Maestro, Skrill, Neteller, Paysafecard, MuchBetter, ecoPayz, Jeton, Dotpay,
• Dostawcy usług KYC/AML – platformy weryfikacji tożsamości, dostawcy baz danych PEP/sankcyjnych,
• Dostawcy oprogramowania do gier – operatorzy platform i treści gier casino,
• Dostawcy analityki – narzędzia analizy ruchu, testy A/B, optymalizacja konwersji,
• Usługi e-mail i komunikacji – systemy do wysyłki transakcyjnych i marketingowych wiadomości e-mail,
• Dostawcy usług chmurowych i hostingowych – infrastruktura serwerowa Serwisu,
• Dostawcy obsługi klienta – systemy CRM, platformy czatu na żywo.

Z każdym podmiotem przetwarzającym zawieramy umowę powierzenia przetwarzania danych zgodną z wymogami art. 28 RODO, gwarantującą stosowanie odpowiednich środków bezpieczeństwa i przetwarzanie danych wyłącznie na nasze udokumentowane polecenie.

5.2. Organy publiczne i regulacyjne

Możemy ujawniać dane osobowe uprawnionym organom władzy publicznej w przypadku, gdy jesteśmy do tego zobowiązani przepisami prawa lub prawomocnym orzeczeniem sądowym, w szczególności: organom ścigania, organom podatkowym, instytucjom nadzorczym oraz sądom.

5.3. Transakcje korporacyjne

W przypadku fuzji, przejęcia, reorganizacji lub sprzedaży aktywów Serwisu, dane osobowe Użytkowników mogą zostać przekazane nowemu podmiotowi. W takiej sytuacji Użytkownicy zostaną poinformowani z odpowiednim wyprzedzeniem, a nowy podmiot będzie zobowiązany do przestrzegania niniejszej Polityki.

5.4. Partnerzy afiliacyjni

Partnerom afiliacyjnym udostępniamy wyłącznie zagregowane dane statystyczne lub ograniczone dane konieczne do prawidłowego rozliczenia prowizji i weryfikacji źródeł ruchu. Dane identyfikujące konkretnego Użytkownika nie są udostępniane bez wyraźnej podstawy prawnej.

6Pliki cookie i technologie śledzenia

6.1. Czym są pliki cookie?

Pliki cookie to niewielkie pliki tekstowe przechowywane na urządzeniu Użytkownika przez przeglądarkę internetową. Umożliwiają Serwisowi rozpoznanie Twojego urządzenia przy kolejnych odwiedzinach, zapamiętanie Twoich preferencji oraz prawidłowe działanie funkcji Serwisu.

6.2. Rodzaje stosowanych plików cookie

6.3. Zarządzanie plikami cookie

Przy pierwszym wejściu na Serwis wyświetlamy baner zarządzania zgodą (CMP – Consent Management Platform), który umożliwia wybór kategorii plików cookie. Możesz zmienić swoje preferencje w dowolnym momencie, korzystając z ustawień dostępnych w stopce Serwisu. Możesz również zarządzać plikami cookie bezpośrednio w ustawieniach swojej przeglądarki internetowej:

• Google Chrome: Ustawienia → Prywatność i bezpieczeństwo → Pliki cookie,
• Mozilla Firefox: Opcje → Prywatność i bezpieczeństwo,
• Microsoft Edge: Ustawienia → Uprawnienia dla witryn → Pliki cookie,
• Safari: Preferencje → Prywatność.

Wyłączenie niezbędnych plików cookie może skutkować ograniczeniem lub uniemożliwieniem korzystania z kluczowych funkcji Serwisu, w tym logowania i realizacji transakcji.

6.4. Sygnały „Do Not Track"

Serwis aktualnie nie reaguje automatycznie na sygnały „Do Not Track" (DNT) wysyłane przez przeglądarki. Zachęcamy do zarządzania preferencjami za pośrednictwem panelu zarządzania zgodą (CMP).

7Bezpieczeństwo danych

Wdrożyliśmy wielowarstwową architekturę bezpieczeństwa opartą na aktualnych standardach branżowych oraz wymaganiach RODO, obejmującą środki techniczne i organizacyjne adekwatne do charakteru, zakresu, kontekstu i celów przetwarzania.

7.1. Środki techniczne

• Szyfrowanie transmisji danych: protokół TLS 1.2/1.3 (HTTPS) na całym Serwisie,
• Szyfrowanie danych w spoczynku: wrażliwe dane przechowywane są w zaszyfrowanych bazach danych (AES-256),
• Pseudonimizacja: tam gdzie jest to technicznie możliwe, stosujemy pseudonimizację danych osobowych,
• Firewalle i systemy wykrywania intruzów (IDS/IPS): ochrona infrastruktury serwerowej,
• Uwierzytelnianie dwuskładnikowe (2FA): dostępne i zalecane dla kont Użytkowników,
• Regularne testy penetracyjne: okresowe audyty bezpieczeństwa prowadzone przez niezależnych specjalistów,
• Systemy SIEM i monitorowanie anomalii: całodobowe monitorowanie podejrzanych aktywności.

7.2. Środki organizacyjne

• Zasada minimalnego dostępu (need-to-know): dostęp do danych osobowych mają wyłącznie pracownicy, którzy go potrzebują,
• Regularne szkolenia pracowników w zakresie ochrony danych i cyberbezpieczeństwa,
• Procedury reagowania na incydenty – dokumentowane, testowane i regularnie aktualizowane,
• Polityka czystego biurka i ekranu w środowisku pracy,
• Oceny skutków dla ochrony danych (DPIA) dla operacji przetwarzania wysokiego ryzyka.

7.3. Naruszenia ochrony danych

W przypadku stwierdzenia naruszenia ochrony danych osobowych mogącego skutkować ryzykiem dla praw i wolności Użytkowników, zobowiązujemy się:

• powiadomić Prezesa Urzędu Ochrony Danych Osobowych (PUODO) w ciągu 72 godzin od wykrycia naruszenia (art. 33 RODO),
• poinformować bezpośrednio poszkodowanych Użytkowników bez zbędnej zwłoki, jeżeli naruszenie może powodować wysokie ryzyko dla ich praw (art. 34 RODO),
• wdrożyć środki zaradcze minimalizujące skutki naruszenia.

8Okres przechowywania danych

Przechowujemy dane osobowe wyłącznie przez okres niezbędny do realizacji celów, dla których zostały zebrane, z uwzględnieniem obowiązujących przepisów prawa.

Po upływie okresu przechowywania dane są trwale usuwane lub anonimizowane w sposób uniemożliwiający ich ponowną identyfikację. W przypadku toczących się postępowań sądowych lub administracyjnych dane mogą być przechowywane przez czas trwania postępowania.

9Twoje prawa

Na mocy RODO przysługują Ci następujące prawa w odniesieniu do danych osobowych, które przetwarzamy:

9.1. Prawo dostępu (art. 15 RODO)

Masz prawo uzyskać od nas informację, czy przetwarzamy Twoje dane osobowe oraz – jeżeli tak – uzyskać do nich dostęp wraz z informacjami dotyczącymi celów, kategorii, odbiorców, okresu przechowywania i przysługujących praw.

9.2. Prawo do sprostowania (art. 16 RODO)

Masz prawo żądać niezwłocznego sprostowania nieprawidłowych danych osobowych oraz uzupełnienia niekompletnych danych, z uwzględnieniem celów przetwarzania.

9.3. Prawo do usunięcia danych („prawo do bycia zapomnianym", art. 17 RODO)

Możesz żądać usunięcia Twoich danych, jeżeli nie są one już niezbędne do celów, dla których zostały zebrane, wycofałeś zgodę stanowiącą podstawę przetwarzania lub wniosłeś skuteczny sprzeciw. Prawo to nie ma zastosowania, gdy przetwarzanie jest wymagane przepisami prawa (np. AML, prawo podatkowe).

9.4. Prawo do ograniczenia przetwarzania (art. 18 RODO)

W określonych sytuacjach możesz żądać ograniczenia przetwarzania Twoich danych, np. gdy kwestionujesz ich prawidłowość, wniosłeś sprzeciw wobec przetwarzania lub przetwarzanie jest niezgodne z prawem, lecz nie żądasz usunięcia.

9.5. Prawo do przenoszenia danych (art. 20 RODO)

Masz prawo otrzymać Twoje dane osobowe w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (np. JSON, CSV) i przesłać je do innego administratora. Prawo to stosuje się do danych przetwarzanych na podstawie umowy lub zgody za pośrednictwem zautomatyzowanych procesów.

9.6. Prawo do sprzeciwu (art. 21 RODO)

Masz prawo wnieść sprzeciw wobec przetwarzania Twoich danych opartego na uzasadnionym interesie lub w celach marketingu bezpośredniego. W przypadku sprzeciwu wobec marketingu bezpośredniego, przetwarzanie w tym celu zostanie bezzwłocznie zaprzestane.

9.7. Prawa związane ze zautomatyzowanym podejmowaniem decyzji (art. 22 RODO)

Masz prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeżeli wywołuje ona wobec Ciebie skutki prawne lub podobnie istotne skutki. Na Twoje żądanie zapewnimy weryfikację takiej decyzji przez upoważnionego pracownika.

9.8. Prawo do cofnięcia zgody

Jeśli przetwarzanie odbywa się na podstawie Twojej zgody, masz prawo ją wycofać w dowolnym momencie bez ponoszenia negatywnych konsekwencji. Wycofanie zgody nie wpływa na legalność przetwarzania przed wycofaniem.

9.9. Prawo do skargi do organu nadzorczego

Jeżeli uważasz, że przetwarzanie Twoich danych narusza przepisy RODO, masz prawo złożyć skargę do właściwego organu nadzorczego – w Polsce jest nim:

9.10. Sposób realizacji praw

Wnioski o realizację praw kieruj na adres: [email protected]. Odpowiemy bez zbędnej zwłoki, nie później niż w ciągu 30 dni od otrzymania wniosku. W wyjątkowych przypadkach termin ten może zostać przedłużony o kolejne 60 dni (o czym poinformujemy z podaniem przyczyn). Weryfikacja tożsamości wnioskodawcy może być wymagana przed realizacją wniosku.

10Międzynarodowe transfery danych

10.1. Transfer danych poza EOG

W toku świadczenia usług dane osobowe Użytkowników mogą być przekazywane do podmiotów mających siedzibę poza Europejskim Obszarem Gospodarczym (EOG), w szczególności do dostawców usług chmurowych, oprogramowania do gier lub dostawców usług analitycznych.

10.2. Mechanizmy zabezpieczające transfer

Każdy transfer danych poza EOG odbywa się z poszanowaniem art. 44–49 RODO, z zastosowaniem co najmniej jednego z poniższych mechanizmów:

• Decyzja Komisji Europejskiej o adekwatności ochrony – transfer do krajów uznanych za zapewniające równoważny poziom ochrony danych,
• Standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską,
• Wiążące reguły korporacyjne (BCR) – dla transferów w ramach grup kapitałowych,
• Ramy EU–US Data Privacy Framework – dla transferów do podmiotów certyfikowanych w USA.

10.3. Prawo do informacji

Masz prawo uzyskać kopię zastosowanych zabezpieczeń transferu. W tym celu skontaktuj się z naszym DPO pod adresem: [email protected].

11Małoletni

11.1. Ograniczenie wiekowe

Serwis Crazy Tower jest przeznaczony wyłącznie dla osób, które ukończyły 18 lat. Zgodnie z polskim prawem i naszą polityką odpowiedzialnej gry kategorycznie zabraniamy dostępu do usług hazardowych osobom niepełnoletnim.

11.2. Weryfikacja wieku

Każdy Użytkownik podlega obowiązkowej procedurze weryfikacji wieku i tożsamości (KYC) przed uzyskaniem możliwości dokonania wpłaty lub gry na prawdziwe pieniądze. W ramach tej procedury wymagamy przedłożenia dokumentu tożsamości potwierdzającego datę urodzenia. Konta, co do których istnieje podejrzenie, że należą do osób niepełnoletnich, są niezwłocznie blokowane, a wszelkie środki podlegają zwrotowi.

11.3. Świadome zbieranie danych od dzieci

Nie zbieramy świadomie danych osobowych od osób poniżej 18. roku życia. Jeżeli powzięliśmy informację, że dane osobowe dziecka zostały przez nas zgromadzone bez weryfikacji i wiedzy rodzica lub opiekuna prawnego, niezwłocznie usuniemy takie dane i zamkniemy konto.

Jeżeli jesteś rodzicem lub opiekunem prawnym i uważasz, że osoba niepełnoletnia korzysta z naszego Serwisu, prosimy o natychmiastowy kontakt pod adresem: [email protected].

11.4. Narzędzia ochrony rodzicielskiej

Zachęcamy rodziców do korzystania z narzędzi kontroli rodzicielskiej dostępnych w systemach operacyjnych i przeglądarkach internetowych w celu ograniczenia dostępu dzieci do stron internetowych z treściami dla dorosłych. Więcej informacji o odpowiedzialnej grze znajdziesz na stronie Odpowiedzialna Gra.

12Zmiany w niniejszej polityce

12.1. Prawo do aktualizacji

Zastrzegamy sobie prawo do aktualizacji niniejszej Polityki Prywatności w dowolnym czasie, w szczególności w związku ze zmianami w obowiązujących przepisach prawa, zmianami technologicznymi w Serwisie, zmianami w strukturze przetwarzania danych lub wytycznymi organów nadzorczych.

12.2. Sposób powiadamiania

O istotnych zmianach Polityki informujemy Użytkowników w następujący sposób:

• wyświetlanie powiadomienia w Serwisie (banner lub pop-up) przez co najmniej 14 dni od wprowadzenia zmian,
• wysyłka wiadomości e-mail na adres przypisany do konta (w przypadku zmian mających istotny wpływ na prawa Użytkowników),
• aktualizacja daty wersji dokumentu widocznej w nagłówku niniejszej strony.

12.3. Kontynuacja korzystania z Serwisu

Kontynuowanie korzystania z Serwisu po wejściu w życie zaktualizowanej Polityki jest równoznaczne z jej akceptacją. Jeżeli nie akceptujesz nowej Polityki, powinieneś zaprzestać korzystania z Serwisu i zamknąć swoje konto, kontaktując się z obsługą klienta.

12.4. Archiwum wersji

Poprzednie wersje Polityki Prywatności są dostępne na żądanie. W celu uzyskania wcześniejszej wersji dokumentu prosimy o kontakt pod adresem: [email protected].

13Dane kontaktowe

W przypadku jakichkolwiek pytań, wątpliwości lub wniosków dotyczących niniejszej Polityki Prywatności lub przetwarzania Twoich danych osobowych, skontaktuj się z nami: