Polityka Prywatności i Ochrona Danych Osobowych

Wstęp

Niniejsza Polityka Prywatności stanowi oficjalny dokument określający standardy gromadzenia, utrwalania, przechowywania oraz zabezpieczania danych osobowych użytkowników korzystających z usług platformy hazardowej. Wszystkie operacje na danych są prowadzone w pełnej zgodności z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO / GDPR) oraz powiązanymi przepisami krajowymi. Eksperci portalu kochanowka.com.pl przeprowadzili szczegółowy audyt wdrożonych procedur bezpieczeństwa teleinformatycznego.

Korzystanie z funkcjonalności serwisu, rejestracja konta oraz zawieranie transakcji finansowych są dozwolone wyłącznie dla osób, które ukończyły 18. rok życia. Operator stosuje rygorystyczną politykę prewencyjną polegającą na dwuetapowej weryfikacji tożsamości i daty urodzenia, uniemożliwiając dostęp osobom niepełnoletnim. Wszelkie próby utworzenia profilu przez osoby poniżej ustawowego progu pełnoletności skutkują natychmiastową blokadą dostępu oraz usunięciem zgromadzonych rekordów.

Przed założeniem Konta Gracza zaleca się wnikliwą analizę przedstawionych reguł oraz praw przysługujących osobie, której dane dotyczą. Z perspektywy analityków niezależnego serwisu rzetelne wdrożenie wytycznych RODO stanowi fundament wiarygodności, o czym szerzej informuje oficjalna recenzja na stronie głównej casino Ampm.

Administrator danych i podstawa działania

Głównym administratorem danych osobowych użytkowników zarejestrowanych w serwisie jest spółka Ampm Entertainment N.V., wykonująca wszelkie operacje przetwarzania w ścisłej zgodzie z normami Rozporządzenia RODO (UE) 2016/679. Wszystkie procedury związane z gromadzeniem, weryfikacją tożsamości oraz profilowaniem ryzyka finansowego pozostają bezpośrednio zintegrowane z wymogami procedur weryfikacyjnych KYC oraz międzynarodowymi standardami przeciwdziałania praniu pieniędzy AML. Działania te służą zapobieganiu nadużyciom finansowym oraz zapewnieniu pełnego bezpieczeństwa transakcji graczy.

Prawną legitymacją do prowadzenia działalności hazardowej oraz przetwarzania informacji o profilach graczy jest oficjalny dokument: Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board. Zezwolenie to nakłada na administratora bezwzględny obowiązek systematycznego archiwizowania rejestrów sesji, audytowania transakcji płatniczych oraz stałego nadzorowania bezpieczeństwa baz teleinformatycznych.

Nadzór nad należytym przestrzeganiem praw użytkowników oraz poufnością zgromadzonych rekordów sprawuje wyznaczony Inspektor Ochrony Danych (DPO). Wszelkie wnioski formalne, zapytania prawne oraz dyspozycje dotyczące weryfikacji, sprostowania lub usunięcia informacji należy kierować drogą pocztową lub elektroniczną na oficjalne dane kontaktowe podmiotu:

Kategorie przetwarzanych danych

Zakres zbieranych informacji przez operatora platformy podlega ścisłej zasadzie minimalizacji określonej w art. 5 ust. 1 lit. c RODO. W toku świadczenia usług hazardowych oraz realizacji obowiązków licencyjnych rejestrowane są wyłącznie te rekordy, które warunkują bezpieczeństwo transakcji, poprawność identyfikacji gracza oraz stabilne funkcjonowanie infrastruktury technicznej.

Katalog przetwarzanych informacji obejmuje następujące wyodrębnione grupy rekordów:

• Dane tożsamościowe (ID): pełne imię i nazwisko, data urodzenia, obywatelstwo, płeć, numer PESEL bądź seria i numer dowodu tożsamości lub paszportu, pozyskiwane w procesie obowiązkowej weryfikacji KYC.
• Dane teleadresowe i kontaktowe: dokładny adres zamieszkania (kraj, miejscowość, kod pocztowy, ulica), aktywny numer telefonu komórkowego oraz adres poczty elektronicznej przypisany do Konta Gracza.
• Dane finansowe i transakcyjne: historia zrealizowanych depozytów i zleconych wypłat, rachunki bankowe, identyfikatory portfeli elektronicznych (np. MiFinity, Jeton), zamaskowane dane kart płatniczych oraz potwierdzenia źródeł pochodzenia środków wymagane procedurami AML.
• Dane techniczne i teleinformatyczne: publiczny adres IP, dane geolokalizacyjne, sygnatury sprzętowe urządzenia, rodzaj oraz wersja przeglądarki internetowej, identyfikatory sesji, ciasteczka techniczne oraz szczegółowe znaczniki czasu logowania i aktywności w grach.

Pozyskiwanie powyższych kategorii następuje w sposób bezpośredni (podczas wypełniania formularza rejestracyjnego oraz przesyłania dokumentów uwierzytelniających) lub automatyczny za pośrednictwem systemowych logów serwera w momencie nawiązywania połączenia z witryną.

Cele przetwarzania danych

Wszelkie operacje na danych osobowych zarejestrowanych użytkowników platformy są podejmowane w oparciu o precyzyjnie określone podstawy prawne wynikające z art. 6 Rozporządzenia RODO (UE) 2016/679. Nadrzędnym celem operacyjnym operatora jest zapewnienie stabilnego, legalnego i w pełni bezpiecznego środowiska do prowadzenia rozgrywek hazardowych, autoryzacji operacji płatniczych oraz prawidłowej obsługi Konta Gracza.

Prawnie usankcjonowane cele i procedury przetwarzania informacji obejmują w szczególności:

• Wykonanie umowy o świadczenie usług (Art. 6 ust. 1 lit. b RODO): rejestracja profilu, uwierzytelnianie logowania, procesowanie transakcji wpłat i wypłat wygranych oraz rozliczanie zakładów na automatach i w grach na żywo.
• Realizacja obowiązków prawno-regulacyjnych (Art. 6 ust. 1 lit. c RODO): wypełnianie wymogów nadzorczych wynikających z dokumentu Licencja Curaçao nr 8048/JAZ, weryfikacja tożsamości w procedurze KYC, monitorowanie podejrzanych przepływów kapitałowych w ramach polityki AML oraz archiwizacja dokumentacji podatkowej.
• Prawnie uzasadniony interes administratora (Art. 6 ust. 1 lit. f RODO): zapobieganie wyłudzeniom finansowym, eliminacja zjawiska tworzenia kont wielokrotnych, zabezpieczenie ciągłości działania infrastruktury teleinformatycznej oraz dochodzenie lub obrona przed ewentualnymi roszczeniami prawnymi.
• Dobrowolna zgoda użytkownika (Art. 6 ust. 1 lit. a RODO): dostarczanie opcjonalnych powiadomień technicznych, informacji o nowych funkcjonalnościach serwisu oraz zmianach w regulaminach drogą elektroniczną.

Zgodnie z ustaleniami audytorów portalu kochanowka.com.pl operator rygorystycznie przestrzega reguły celowości, uniemożliwiając wykorzystywanie zebranych rekordów w celach innych niż pierwotnie zadeklarowane w niniejszej dokumentacji prawnej.

Udostępnianie danych i odbiorcy

Spółka Ampm Entertainment N.V. realizuje bezwzględny zakaz komercyjnej odsprzedaży, dzierżawy bądź nieuprawnionego udostępniania baz danych osobowych podmiotom marketingowym trzecim. Przekazywanie informacji zewnętrznym odbiorcom odbywa się wyłącznie na fundamencie formalnych umów powierzenia przetwarzania danych (Data Processing Agreements – DPA), sporządzonych w rygorze art. 28 RODO, i ogranicza się do czynności koniecznych do zagwarantowania stabilności oraz bezpieczeństwa operacyjnego platformy.

Dostęp do wyselekcjonowanych pakietów danych uzyskują wyłącznie wyspecjalizowane kategorie podmiotów przetwarzających:

• Instytucje finansowe i operatorzy bramek płatniczych: certyfikowani pośrednicy procesujący transakcje depozytowe oraz wypłaty wygranych (w tym obsługa standardów BLIK, kart płatniczych Visa i Mastercard oraz portfeli elektronicznych MiFinity i Jeton), działający zgodnie z międzynarodowymi normami bezpieczeństwa PCI DSS Level 1.
• Wyspecjalizowane agencje weryfikacji tożsamości i przeciwdziałania nadużyciom: podmioty technologiczne realizujące zautomatyzowane kontrole dokumentów tożsamości w procedurze KYC oraz monitorujące rejestry sankcyjne i listy osób zajmujących eksponowane stanowiska polityczne (PEP) w ramach wymogów polityki AML.
• Dostawcy infrastruktury serwerowej i cyberbezpieczeństwa: operatorzy centrów danych zlokalizowanych na terytorium EOG, zapewniający ochronę anty-DDoS, szyfrowanie strumieniowe oraz ciągłość działania baz teleinformatycznych.
• Niezależne laboratoria badawcze i audytorzy techniczni: akredytowane jednostki kontrolne weryfikujące poprawność kryptograficzną algorytmów generatora liczb losowych (RNG) i certyfikację oprogramowania hazardowego.
• Organy regulacyjne i instytucje wymiaru sprawiedliwości: państwowe jednostki nadzorcze oraz sądy powszechne, wyłącznie w przypadku przedstawienia prawnie wiążącego nakazu lub w toku oficjalnych postępowań wynikających z licencji Curaçao nr 8048/JAZ.

Wszyscy podwykonawcy podlegają cyklicznym audytom technicznym ze strony zespołu ds. bezpieczeństwa, co wyklucza przetwarzanie danych w celach wykraczających poza wyznaczony zakres autoryzacji systemowej.

Prawa użytkownika

Zgodnie z przepisami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO / GDPR), każdemu zarejestrowanemu graczowi przysługuje kompleksowy pakiet praw gwarantujących pełną kontrolę nad przekazanymi informacjami tożsamościowymi i telemetrycznymi. Operator platformy Ampm Entertainment N.V. wdrożył zintegrowaną procedurę obsługi dyspozycji prawnych, w ramach której wnioski użytkowników są weryfikowane pod kątem tożsamości oraz realizowane w ustawowym terminie nieprzekraczającym 30 dni kalendarzowych.

Katalog uprawnień przysługujących osobie, której dane dotyczą, obejmuje następujące roszczenia prawne:

• Prawo dostępu do danych (Art. 15 RODO): gracz ma prawo uzyskać od administratora potwierdzenie, czy przetwarzane są jego dane osobowe, a jeśli tak, uzyskać dostęp do ich treści oraz szczegółowych informacji o celach, kategoriach odbiorców i planowanym okresie przechowywania.
• Prawo do sprostowania i uzupełnienia (Art. 16 RODO): możliwość żądania niezwłocznej modyfikacji rekordów tożsamościowych, teleadresowych lub finansowych, które są obiektywnie nieprawidłowe, zdezaktualizowane bądź niekompletne.
• Prawo do usunięcia danych („prawo do bycia zapomnianym” – Art. 17 RODO): uprawnienie do trwałego skasowania rekordów z aktywnych baz produkcyjnych. Prawo to podlega ograniczeniom prawnym wynikającym z nadrzędnych obowiązków licencyjnych Curaçao nr 8048/JAZ oraz wymogów przeciwdziałania praniu pieniędzy (AML), które nakazują retencję danych finansowych przez 5 lat.
• Prawo do ograniczenia przetwarzania (Art. 18 RODO): żądanie wstrzymania wszelkich operacji na profilu poza bezpiecznym przechowywaniem w trakcie procedury weryfikacji prawidłowości danych lub rozpatrywania formalnego sprzeciwu.
• Prawo do przenoszenia danych (Art. 20 RODO): uprawnienie do otrzymania zgromadzonych informacji w powszechnie stosowanym, ustrukturyzowanym formacie nadającym się do odczytu maszynowego (np. CSV, JSON) oraz przesłania ich innemu podmiotowi.
• Prawo do sprzeciwu (Art. 21 RODO): bezwzględne prawo do zablokowania profilowania behawioralnego oraz przetwarzania opartego na prawnie uzasadnionym interesie administratora, w tym wysyłki jakichkolwiek informacji o charakterze promocyjnym.

W celu złożenia formalnego wniosku dotyczącego realizacji powyższych uprawnień należy skierować wiadomość z adresu e-mail przypisanego do konta na adres Inspektora Ochrony Danych: [email protected]. W sytuacji, gdy użytkownik uzna, że przetwarzanie narusza standardy RODO, przysługuje mu prawo do wniesienia oficjalnej skargi bezpośrednio do krajowego organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (PUODO) z siedzibą przy ul. Stawki 2 w Warszawie.

Pliki cookies i podobne technologie

Platforma internetowa wykorzystuje pliki cookies (tzw. ciasteczka), identyfikatory sesyjne oraz powiązane technologie pamięci podręcznej przeglądarki w celu zachowania stabilności sesji gracza, optymalizacji transferu zapytań teleinformatycznych oraz zagwarantowania integralności architektonicznej serwisu. Mechanizmy te polegają na zapisywaniu zaszyfrowanych pakietów tekstowych bezpośrednio na dysku urządzenia końcowego użytkownika podczas nawiązywania połączenia sieciowego.

Wszystkie instalowane pakiety danych podlegają rygorystycznemu podziałowi technicznemu w zależności od ich funkcji operacyjnej:

• Pliki ściśle niezbędne (techniczne): warunkują fundamentalne działanie mechanizmów uwierzytelniania dwuskładnikowego, utrzymują aktywną sesję po logowaniu do Konta Gracza, zabezpieczają tokeny formularzy przed atakami typu CSRF oraz umożliwiają poprawne procesowanie zleceń depozytowych.
• Pliki analityczne i wydajnościowe: agregują w pełni zanonimizowane parametry statystyczne dotyczące czasu ładowania podstron, ewentualnych błędów skryptowych JavaScript oraz współczynnika responsywności kodu na różnych rozdzielczościach ekranu, bez gromadzenia danych identyfikujących tożsamość.
• Pliki funkcjonalne i preferencyjne: utrwalają indywidualne ustawienia interfejsu zdefiniowane przez gracza, w tym preferowaną wersję językową, format prezentacji kursów lub wykaz ulubionych kategorii rozgrywki.

Każdy zarejestrowany gracz oraz gość witryny zachowuje pełną autonomię w zakresie modyfikowania uprawnień do zapisu plików cookies. Poziom akceptacji znaczników śledzących można w każdej chwili skorygować w preferencjach własnej przeglądarki internetowej lub poprzez wywołanie systemowego panelu konfiguracyjnego:

Bezpieczeństwo danych i ochrony systemów

Ochrona integralności, poufności oraz dostępności zasobów informacyjnych graczy stanowi fundamentalny priorytet infrastrukturalny operatora Ampm Entertainment N.V. W celu wyeliminowania ryzyka przechwycenia, modyfikacji bądź nieautoryzowanego ujawnienia pakietów danych, platforma wykorzystuje zaawansowane mechanizmy kryptograficzne klasy wojskowej. Wszelkie połączenia sieciowe pomiędzy urządzeniem końcowym użytkownika a klastrem serwerowym są zabezpieczone szyfrowaniem SSL o długości klucza 256-bit przy wsparciu zaktualizowanych protokołów TLS 1.2 i TLS 1.3. Dodatkowo bazy danych produkcyjnych podlegają szyfrowaniu symetrycznemu algorytmem AES-256 w spoczynku.

Integralność mechaniki gier oraz ochrona przed manipulacją algorytmiczną opiera się na restrykcyjnej polityce RNG (Random Number Generator). Zastosowany sprzętowy generator liczb losowych działa w oparciu o certyfikowane algorytmy matematyczne, podlegające cyklicznej ewaluacji statystycznej przez niezależne jednostki audytorskie. Certyfikacja RNG wyklucza jakąkolwiek ingerencję w deklarowane parametry zwrotu dla gracza (RTP) oraz zapewnia pełną losowość rezultatów każdej rundy rozgrywki.

Wdrożony system zarządzania bezpieczeństwem informacji obejmuje wielopoziomowe procedury kontrolne oraz prewencyjne:

• Cykliczne audyty bezpieczeństwa i testy penetracyjne: okresowe kontrole podatności infrastruktury sieciowej oraz audyty kodu źródłowego przeprowadzane przez certyfikowanych inżynierów cyberbezpieczeństwa zgodnie ze standardami OWASP i wytycznymi normy ISO/IEC 27001.
• Polityka retencji danych i wymogi AML: rekordy tożsamościowe oraz pełna historia transakcji płatniczych są archiwizowane przez okres trwania umowy oraz ściśle przez 5 lat od momentu dezaktywacji Konta Gracza, co stanowi realizację obowiązków prawnych wynikających z przepisów AML/CFT oraz Licencji Curaçao nr 8048/JAZ.
• Archiwizacja telemetrii i logów sieciowych: techniczne znaczniki czasu, publiczne adresy IP oraz sygnatury urządzeń są bezpiecznie przechowywane przez okres do 12 miesięcy w odizolowanych rejestrach na potrzeby wykrywania anomalii oraz przeciwdziałania atakom typu DDoS.
• Segmentacja uprawnień i kontrola dostępu (RBAC): fizyczny i cyfrowy dostęp do serwerów z danymi osobowymi jest rygorystycznie ograniczony do wyznaczonych pracowników działu bezpieczeństwa, którzy podlegają imiennym umowom poufności oraz weryfikacji dwuetapowej (2FA).

Wszelkie incydenty teleinformatyczne podlegają natychmiastowej procedurze reagowania kryzysowego. W przypadku wykrycia naruszenia ochrony danych osobowych mogącego powodować ryzyko naruszenia praw lub wolności użytkowników, administrator podejmuje czynności zaradcze oraz informuje właściwe organy nadzorcze w terminie do 72 godzin od zidentyfikowania zdarzenia.

Przekazywanie danych poza EOG

Główna infrastruktura bazodanowa oraz klastry serwerowe spółki Ampm Entertainment N.V. zlokalizowane są w certyfikowanych centrach przetwarzania danych spełniających rygorystyczne normy bezpieczeństwa Europejskiego Obszaru Gospodarczego (EOG). Jednakże ze względu na globalny charakter świadczonych usług iGamingowych, integrację z licencjonowanymi dostawcami oprogramowania kasynowego oraz korzystanie z międzynarodowych systemów ochrony przed atakami sieciowymi (w tym węzłów Cloudflare i klastrów chmurowych), wybrane pakiety danych telemetrycznych i rozliczeniowych mogą podlegać transgranicznemu transferowi do państw trzecich, w tym do Stanów Zjednoczonych oraz terytoriów zamorskich.

Każdy transfer informacji poza granice EOG odbywa się w ścisłym rygorze Rozdziału V Rozporządzenia RODO (art. 44–49) oraz na podstawie zweryfikowanych mechanizmów prawno-technicznych gwarantujących stopień ochrony tożsamy ze standardami Unii Europejskiej:

• Standardowe Klauzule Umowne (SCC): implementacja wzorcowych klauzul zatwierdzonych przez Komisję Europejską (decyzja wykonawcza UE 2021/914), które zobowiązują zagranicznych podwykonawców do zachowania pełnej zgodności z europejskimi normami poufności i prawami podmiotów danych.
• Decyzje o adekwatności i Data Privacy Framework: przekazywanie informacji do podmiotów w Stanach Zjednoczonych certyfikowanych w ramach programu EU-U.S. Data Privacy Framework bądź zlokalizowanych w jurysdykcjach uznanych oficjalnie przez Komisję Europejską za zapewniające odpowiedni stopień ochrony.
• Oceny skutków transferu (TIA – Transfer Impact Assessment): audyty środowiska prawnego w państwie odbiorcy wykluczające ryzyko nieproporcjonalnego dostępu lokalnych służb państwowych do przetwarzanych rekordów.
• Kryptograficzne środki uzupełniające: obowiązkowa pseudonimizacja identyfikatorów, szyfrowanie pakietów w tranzycie protokołem TLS 1.3 oraz ochrona baz w spoczynku kluczami AES-256 z wyłączną kontrolą nad kluczami deszyfrującymi po stronie administratora.

Dzięki wielopoziomowej weryfikacji formalno-prawnej gracze platformy zachowują pełną egzekwowalność praw przysługujących im na mocy RODO, niezależnie od lokalizacji fizycznej serwera, na którym w danym momencie procesowane jest konkretne zapytanie telemetryczne lub transakcja.

Zmiany polityki i data obowiązywania

Spółka Ampm Entertainment N.V. zastrzega sobie prawo do wprowadzania modyfikacji w treści niniejszego dokumentu w przypadku wdrożenia nowych rozwiązań technologicznych, ewolucji infrastruktury teleinformatycznej bądź zmian w przepisach prawnych regulujących standardy RODO (GDPR) oraz obowiązki nadzorcze wynikające z dokumentu Licencja Curaçao nr 8048/JAZ. Każda rewizja procedur ochrony prywatności podlega formalnemu zatwierdzeniu przez Inspektora Ochrony Danych (DPO).

O wszelkich istotnych zmianach warunków przetwarzania danych osobowych zarejestrowani gracze zostaną powiadomieni z co najmniej 14-dniowym wyprzedzeniem za pośrednictwem bezpośredniej wiadomości przesłanej na powiązany z Kontem Gracza adres e-mail lub poprzez dedykowany komunikat systemowy wyświetlany przy logowaniu. Dalsze korzystanie z usług platformy po upływie wskazanego okresu przejściowego oznacza akceptację zaktualizowanych zasad bezpieczeństwa. W przypadku braku zgody na nowe warunki użytkownik zachowuje pełne prawo do zamknięcia profilu oraz dyspozycji wypłaty zgromadzonego salda.

Data wejścia w życie bieżącej wersji dokumentu oraz ostatniej weryfikacji audytorskiej procedur ochrony informacji: 12 maja 2026 r..