Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest Katsiaryna Filosaf, osoba fizyczna działająca z Polski, pod adresem ul. Rolna 1, 30-318 Kraków, Polska. play2gether.fun jest podprojektem games.enterprises.

W sprawach danych napisz na privacy@games.enterprises. Adres zapasowy to 100games.enterprises@gmail.com, a telefon: +1 (343) 655-5448.

2. Konto i weryfikacja emaila

Przy rejestracji przetwarzamy email i jego znormalizowaną postać, hasło, wewnętrzny identyfikator, daty utworzenia i aktualizacji oraz język. Hasła nie przechowujemy jawnie: zachowujemy jego silny solony skrót i techniczne parametry haszowania.

Weryfikacja emaila wykorzystuje jednorazowy link z tokenem ważny do 24 godzin. W bazie przechowujemy chroniony skrót tokena oraz czas jego utworzenia, wygaśnięcia i użycia, a nie pierwotny token. Dostawca poczty siłą rzeczy otrzymuje pierwotny link w wiadomości.

Odzyskiwanie konta wykorzystuje osobny jednorazowy link ważny do 1 godziny. Przechowujemy skrót jego tokena oraz czas utworzenia, wygaśnięcia i użycia; Resend otrzymuje pierwotny link w wiadomości bezpieczeństwa. Ustawienie nowego hasła potwierdza kontrolę nad emailem, unieważnia wszystkie wcześniejsze sesje oraz pozostałe niewykorzystane linki weryfikacyjne i odzyskiwania.

3. Sesje i bezpieczeństwo

Po zalogowaniu powstaje losowy token sesji; baza przechowuje jego skrót, identyfikator użytkownika oraz czas utworzenia i wygaśnięcia. Cookie sesji działa do 30 dni i używa HttpOnly, SameSite=Strict oraz Secure przy HTTPS.

Aby ograniczać próby rejestracji i logowania, przetwarzamy adres IP, pseudonimizowany skrót emaila, liczniki i okna czasowe. Serwer i proxy przetwarzają również czas, metodę i ścieżkę żądania, status odpowiedzi, referrer, user agent oraz nagłówki bezpieczeństwa.

4. Pokoje i dane gier

Przetwarzamy kod i identyfikator pokoju, język treści, wybraną grę, stan rundy, czas utworzenia i wygaśnięcia oraz identyfikator konta zarejestrowanego twórcy. Dla uczestników zapisujemy nazwę wyświetlaną, kolor, rolę prowadzącego, czas dołączenia i aktywności oraz skrót losowego tokena uczestnika.

Stan gry może obejmować odpowiedzi, wybory, głosy, punkty, zespoły, wyniki i znaczniki gotowości. Pozostali gracze w pokoju widzą te dane zgodnie z wymaganiami gry. Nie podawaj danych wrażliwych ani informacji innej osoby bez podstawy prawnej.

5. Zakupy i Stripe

Stripe obsługuje Checkout i bezpośrednio otrzymuje dane karty. Nie otrzymujemy pełnego numeru ani CVC. Do wykonania zakupu możemy otrzymać i przechowywać email płatnika, imię lub adres rozliczeniowy, kraj, status podatkowy, identyfikatory Stripe Customer, Checkout Session, PaymentIntent, Charge i Price, produkt i grę, kwotę, walutę, podatek, status, czas aktywacji i wygaśnięcia, markę i końcowe cyfry karty oraz dane zwrotu, sporu i ryzyka oszustwa.

Zachowujemy wersję i kopię przyjętych warunków, język, czas zgód, potwierdzenie pełnoletności, żądanie natychmiastowego świadczenia, potwierdzenie skutków dla odstąpienia i doręczenie potwierdzenia umowy. Jest to potrzebne do wykonania zakupu, reklamacji, zwrotów, ewidencji podatkowej i ochrony roszczeń.

6. Wiadomości i korespondencja

Resend przetwarza odbiorcę, nadawcę, temat, treść, załączniki z warunkami, identyfikator wiadomości i metadane dostarczenia emaili weryfikacyjnych, umownych i bezpieczeństwa. Resend to Plus Five Five, Inc.; polityka i DPA są dostępne na resend.com/legal/privacy-policy i resend.com/legal/dpa.

Gdy się z nami kontaktujesz, przetwarzamy dane kontaktowe, treść i załączniki, korespondencję oraz informacje niezbędne do odpowiedzi. Poczta domenowa może przechodzić przez Namecheap i trafiać do skrzynki Google.

7. Cele i podstawy prawne

Konto, sesja, pokój, gra, uprawnienie, płatność i pomoc są przetwarzane w celu zawarcia lub wykonania umowy albo podjęcia żądanych działań przedumownych — art. 6 ust. 1 lit. b RODO.

Ewidencja podatkowa, księgowa, konsumencka i odpowiedzi na prawne żądania wynikają z obowiązku prawnego — art. 6 ust. 1 lit. c. Ochrona konta, limity częstotliwości, diagnostyka, zapobieganie oszustwom i ochrona roszczeń opierają się na prawnie uzasadnionym interesie — art. 6 ust. 1 lit. f. Opcjonalna analityka lub marketing, jeśli się pojawią, będą oparte na zgodzie z art. 6 ust. 1 lit. a, gdy jest wymagana.

8. Odbiorcy i przetwarzanie międzynarodowe

Timeweb Cloud zapewnia infrastrukturę w Amsterdamie w Niderlandach, gdzie znajdują się główna baza SQLite i logiczne kopie zapasowe. Stripe świadczy usługi płatnicze, podatkowe i antyfraudowe. Resend wysyła pocztę transakcyjną. Namecheap zapewnia DNS i przekazywanie poczty domenowej, a Google skrzynkę docelową.

Polska i Niderlandy należą do EOG. Stripe, Resend, Namecheap i Google mogą przetwarzać właściwe dane poza EOG z zabezpieczeniami opisanymi w ich dokumentach, w tym na podstawie decyzji stwierdzającej odpowiedni poziom ochrony lub standardowych klauzul umownych. Dalszych informacji udzielamy przez privacy@games.enterprises.

9. Okresy przechowywania

Dane konta i przypisane prawa są przechowywane, dopóki istnieje konto i dane są potrzebne Usłudze. Sesja trwa do 30 dni. Link weryfikacyjny działa do 24 godzin, a link odzyskiwania hasła do 1 godziny. Użyty token nie jest ponownie przyjmowany; rekordy tokenów usuwa późniejsza techniczna procedura czyszczenia po użyciu lub wygaśnięciu.

Pokój przestaje być dostępny po 24 godzinach i jest usuwany przy kolejnej procedurze technicznej. Wygasłe dane mogą krótko pozostać w odizolowanych kopiach; obecny cykl logicznych kopii wynosi do 14 dni. Rekordy limitów częstotliwości trwają przez krótkie okno ochronne i są usuwane przy czyszczeniu po wygaśnięciu.

Dane płatnicze, umowne, księgowe, podatkowe, antyfraudowe i sporne przechowujemy przez okres potrzebny do wykonania zakupu i wymagany prawem. Korespondencję zachowujemy, dopóki jest potrzebna do sprawy, bezpieczeństwa lub roszczenia.

10. Bezpieczeństwo

Stosujemy HTTPS, cookies HttpOnly i SameSite, solone haszowanie haseł, haszowanie tajnych tokenów, kontrolę pochodzenia żądań zmieniających dane, limity, izolowaną bazę i kopie zapasowe. Dostęp do danych produkcyjnych jest ograniczony.

Żadna metoda nie jest absolutnie bezpieczna. W razie incydentu oceniamy ryzyko i zawiadamiamy osoby oraz organy, jeżeli i w terminie wymaganym prawem.

11. Twoje prawa

Zależnie od właściwego prawa możesz żądać dostępu, kopii, sprostowania, usunięcia, ograniczenia lub przeniesienia, wnieść sprzeciw, wycofać zgodę oraz nie podlegać wyłącznie automatycznej decyzji o istotnym skutku. Wycofanie zgody nie wpływa na wcześniejsze zgodne z prawem przetwarzanie.

Napisz na privacy@games.enterprises, najlepiej z emaila konta. Możemy poprosić o proporcjonalne potwierdzenie tożsamości. Organem w Polsce jest Prezes Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl; możesz też zwrócić się do organu w miejscu zamieszkania.

12. Dzieci i zmiany Polityki

Usługa nie jest przeznaczona do samodzielnego używania przez dziecko poniżej 13 lat. Jeśli uważasz, że dziecko przekazało dane bez właściwego udziału dorosłego, napisz na privacy@games.enterprises. Zakupy są dostępne tylko dla pełnoletnich osób posiadających zdolność prawną.

Aktualizujemy Politykę, gdy zmieniają się dane, cele, odbiorcy lub prawo, i wskazujemy nową datę. O istotnych zmianach informujemy wyraźnie, a zgodę pozyskujemy, gdy jest wymagana.