Polityka Prywatności i Standardy RODO w Total Casino

Wstęp i zasady ogólne

Niniejsza Polityka Prywatności ustanawia wiążące reguły gromadzenia, rejestrowania, przetwarzania i ochrony wszelkich zasobów danych osobowych pozyskiwanych od użytkowników. Wszelkie operacje teleinformatyczne podlegają restrykcyjnym normom prawnym określonym w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO/GDPR) oraz powiązanym polskim przepisom z zakresu ochrony danych osobowych.

Dostęp do cyfrowych usług rozrywkowych i procedur płatniczych przysługuje wyłącznie osobom pełnoletnim, które ukończyły 18. rok życia. W celu rygorystycznego egzekwowania tej zasady infrastruktura serwisu realizuje wieloetapową weryfikację wieku oraz tożsamości, co natychmiastowo wyklucza możliwość tworzenia kont przez osoby niepełnoletnie.

Przed zainicjowaniem sesji lub przekazaniem jakichkolwiek dokumentów tożsamości każdy odbiorca jest zobowiązany do zapoznania się z niniejszym regulaminem. Szczegółowe zestawienie parametrów technicznych oraz analizę procedur bezpieczeństwa publikuje niezależny serwis recenzencki casino Total.

Administrator danych i podstawa działania

Funkcję administratora danych osobowych w rozumieniu art. 4 pkt 7 RODO pełni podmiot operacyjny zarządzający platformą, który wyznacza ramy, cele oraz techniczne środki bezpiecznego przetwarzania rekordów cyfrowych. Każda operacja ewidencyjna pozostaje bezpośrednio zintegrowana z procedurami weryfikacji tożsamości KYC oraz systemowymi wymogami przeciwdziałania praniu pieniędzy AML.

Główną podstawę prawną do świadczenia usług gier losowych w sieci stanowi Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board. Przepisy regulacyjne nakładają na administratora bezwzględny obowiązek identyfikacji uczestników, weryfikacji wieku pełnoletności oraz bezpiecznego archiwizowania rejestrów transakcyjnych.

Wszelkie zapytania prawne, zgłoszenia incydentów oraz wnioski o realizację praw użytkownika należy kierować bezpośrednio do Inspektora Ochrony Danych (DPO) na poniższy adres korespondencyjny:

Kategorie przetwarzanych danych

Zakres zbieranych informacji jest ściśle zdeterminowany wymogami technicznymi platformy oraz bezwzględnymi procedurami prawnymi narzuconymi przez regulatora rynku iGamingowego. Operator przetwarza wyłącznie pakiety danych niezbędne do uwierzytelnienia konta, realizacji rozliczeń oraz zapobiegania nadużyciom finansowym.

Zbiory przetwarzanych informacji ewidencyjnych i cyfrowych obejmują następujące grupy parametrów:

• Dane identyfikacyjne (ID): pełne imię i nazwisko, data urodzenia, obywatelstwo, płeć oraz seria i numer dokumentu tożsamości (dowód osobisty lub paszport), wykorzystywane w procedurze weryfikacji KYC.
• Dane teleadresowe: oficjalny adres zamieszkania (ulica, kod pocztowy, miejscowość, kraj), aktywny adres poczty elektronicznej oraz numer telefonu komórkowego przypisany do profilu.
• Dane transakcyjne i finansowe: historia zasileń salda oraz zleceń wypłat, zanonimizowane numery rachunków bankowych, identyfikatory portfeli elektronicznych, wyciągi bankowe oraz potwierdzenia źródeł pochodzenia kapitału.
• Dane telemetryczne i techniczne: publiczny adres IP, geolokalizacja sesji, unikalne identyfikatory urządzeń mobilnych lub stacjonarnych, typ przeglądarki, specyfikacja systemu operacyjnego oraz znaczniki czasu logowania i logi aktywności w grach.

Pozyskiwanie powyższych rekordów następuje w sposób bezpośredni podczas rejestracji i przesyłania plików weryfikacyjnych lub automatyczny – za pośrednictwem bezpiecznych protokołów telemetrycznych w trakcie aktywnej sesji użytkownika.

Cele przetwarzania danych

Gromadzenie oraz przetwarzanie informacji o użytkownikach przez operatora opiera się wyłącznie na sprecyzowanych podstawach prawnych wynikających z przepisów RODO (Rozporządzenia UE 2016/679). Wszelkie operacje na danych służą realizacji ściśle określonych funkcji ewidencyjnych, technicznych oraz kontrolnych, wykluczając jakąkolwiek dowolność w dysponowaniu profilami cyfrowymi.

Z perspektywy nadzoru regulacyjnego oraz wymogów bezpieczeństwa kluczowe cele przetwarzania i powiązane z nimi przesłanki prawne obejmują następujące procedury:

• Wykonanie umowy o świadczenie usług drogą elektroniczną (art. 6 ust. 1 lit. b RODO): rejestracja, obsługa i utrzymanie Konta Gracza, autoryzacja logowania, kalkulacja stawek, rozliczanie wygranych oraz realizacja poleceń wpłat i wypłat.
• Wypełnienie ciążących obowiązków prawnych (art. 6 ust. 1 lit. c RODO): realizacja restrykcyjnych procedur przeciwdziałania praniu pieniędzy (AML) oraz finansowaniu terroryzmu (CFT), raportowanie fiskalne, a także przestrzeganie warunków określonych w ramach Licencji Curaçao nr 8048/JAZ.
• Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO): zapobieganie nadużyciom finansowym, wykrywanie zmów graczy i multikont, audyt integralności oprogramowania, zapewnienie cyberbezpieczeństwa platformy oraz dochodzenie lub obrona przed ewentualnymi roszczeniami prawnymi.
• Dobrowolna zgoda użytkownika (art. 6 ust. 1 lit. a RODO): opcjonalne przesyłanie komunikatów technicznych, biuletynów informacyjnych oraz powiadomień o dedykowanych bonusach kanałem e-mail lub SMS, z możliwością jej wycofania w dowolnym momencie.

Zastosowane reguły minimalizacji danych gwarantują, że administrator zbiera wyłącznie pakiety rekordów bezwzględnie konieczne do realizacji powyższych zadań, a ich retencja jest ściśle ograniczona do okresów wymaganych przez międzynarodowe prawo bankowe i hazardowe.

Udostępnianie danych i odbiorcy

Operator serwisu stosuje bezwzględny zakaz komercyjnego handlu, odpłatnego udostępniania oraz nieuprawnionej dystrybucji danych osobowych podmiotom trzecim w celach zarobkowych bądź marketingowych. Przekazywanie jakichkolwiek rekordów cyfrowych odbywa się wyłącznie w ściśle określonym zakresie technicznym i organizacyjnym, opierając się na formalnych umowach powierzenia przetwarzania danych (Data Processing Agreements – DPA), sporządzonych zgodnie z art. 28 rozporządzenia RODO.

Dostęp do wyselekcjonowanych pakietów informacji otrzymują wyłącznie wyspecjalizowane podmioty zewnętrzne, których udział jest niezbędny do prawidłowego funkcjonowania platformy oraz zachowania standardów bezpieczeństwa:

• Instytucje finansowe i operatorzy bramek płatniczych: podmioty licencjonowane realizujące autoryzację depozytów i wypłat, w tym dostawcy usług BLIK, kart płatniczych Visa/Mastercard oraz portfeli cyfrowych, przetwarzające dane transakcyjne na podstawie unijnej dyrektywy PSD2.
• Biura weryfikacji tożsamości i dostawcy baz KYC/AML: certyfikowane agencje weryfikujące autentyczność dokumentów tożsamości oraz sprawdzające profile w międzynarodowych rejestrach sankcyjnych i listach osób zajmujących eksponowane stanowiska polityczne (PEP).
• Dostawcy infrastruktury serwerowej i cyberbezpieczeństwa: operatorzy centrów danych, chmur obliczeniowych oraz systemów ochrony przeciw atakom DDoS i wyłudzeniom, gwarantujący fizyczne i cyfrowe bezpieczeństwo składowanych baz.
• Niezależne laboratoria badawcze i audytorzy RNG: akredytowane jednostki kontrolujące losowość algorytmów gier oraz zgodność techniczną oprogramowania z wymogami licencyjnymi Curaçao nr 8048/JAZ.
• Organy ścigania, regulacyjne i sądownicze: państwowe instytucje nadzorcze i organy wymiaru sprawiedliwości, którym dane są ujawniane wyłącznie w granicach i na podstawie prawomocnych przepisów prawa lub nakazów sądowych.

Wszyscy podwykonawcy zobowiązani są klauzulami prawnymi do utrzymania rygorystycznych środków ochrony kryptograficznej oraz poddawani są cyklicznym audytom bezpieczeństwa teleinformatycznego.

Prawa użytkownika

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) przyznaje każdemu zarejestrowanemu odbiorcy usług pakiet uprawnień gwarantujących stałą kontrolę nad składowanymi informacjami osobowymi. Administrator wdraża wewnętrzne protokoły weryfikacji tożsamości wnioskodawcy, aby uniemożliwić ujawnienie wrażliwych profili nieuprawnionym podmiotom trzecim.

Katalog uprawnień przysługujących osobie, której dane dotyczą, obejmuje następujące dyspozycje prawne:

• Prawo dostępu do danych (art. 15 RODO): możliwość uzyskania formalnego potwierdzenia faktu przetwarzania informacji oraz bezpłatnego wyciągu z cyfrowego rejestru profilu gracza.
• Prawo do sprostowania (art. 16 RODO): natychmiastowa korekta niekompletnych, zdezaktualizowanych lub błędnie zapisanych pozycji w kartotece ewidencyjnej.
• Prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO): bezpowrotna likwidacja wpisów z serwerów roboczych, o ile dalsza retencja nie wynika z bezwzględnych norm przeciwdziałania praniu pieniędzy AML oraz przepisów prawa podatkowego.
• Prawo do ograniczenia przetwarzania (art. 18 RODO): czasowe zamrożenie wszelkich operacji systemowych na czas weryfikacji prawidłowości wpisów lub oceny podstawy wniesionego sprzeciwu.
• Prawo do przenoszenia danych (art. 20 RODO): wygenerowanie zgromadzonych rekordów w powszechnie stosowanym, maszynowo czytelnym formacie strukturalnym w celu ich transferu do innego podmiotu.
• Prawo do sprzeciwu (art. 21 RODO): wstrzymanie przetwarzania realizowanego na podstawie prawnie uzasadnionego interesu administratora, w tym bezwzględny zakaz profilowania analitycznego.

Wszelkie dyspozycje dotyczące realizacji powyższych praw należy przesyłać bezpośrednio na adres poczty elektronicznej: [email protected]. Operator rozpatruje zgłoszenia bez zbędnej zwłoki, nie później niż w terminie 30 dni od momentu potwierdzenia tożsamości zgłaszającego. W przypadku naruszenia przepisów użytkownik zachowuje pełne prawo do wniesienia formalnej skargi do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (PUODO, ul. Stawki 2, 00-193 Warszawa).

Pliki cookies i podobne technologie

Infrastruktura teleinformatyczna portalu wykorzystuje pliki cookies (pakiety danych tekstowych składowane w pamięci urządzenia końcowego) oraz pokrewne znaczniki sesyjne w celu zagwarantowania prawidłowej wymiany zapytań HTTP/HTTPS, autoryzacji logowania oraz monitorowania stabilności kodu. Rejestrowane identyfikatory cyfrowe nie łączą parametrów sprzętowych z tożsamością fizyczną bez odrębnego uwierzytelnienia profilu.

Zastosowane technologie skryptowe podlegają podziałowi na trzy zasadnicze kategorie operacyjne:

• Pliki ściśle niezbędne (techniczne): pakiety sesyjne utrzymujące tokeny autoryzacyjne, zapobiegające atakom typu CSRF i wygasające automatycznie po zamknięciu przeglądarki lub wylogowaniu.
• Pliki analityczne i diagnostyczne: znaczniki telemetryczne zliczające unikalne wywołania podstron, czas renderowania zasobów oraz ewentualne awarie skryptów, archiwizowane przez okres do 12 miesięcy.
• Pliki funkcjonalne i konfiguracyjne: rekordy utrwalające indywidualne parametry wizualne interfejsu, preferencje językowe oraz status akceptacji powiadomień prawnych.

Każdy użytkownik zachowuje pełną autonomię w zakresie blokowania, selektywnego ograniczania lub usuwania pamięci podręcznej z poziomu opcji własnej przeglądarki internetowej. W celu bezpośredniej modyfikacji preferencji skryptowych na poziomie platformy udostępniono dedykowany moduł konfiguracji:

Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG)

Infrastruktura teleinformatyczna platformy przetwarza zasoby cyfrowe przede wszystkim w obrębie certyfikowanych centrów danych ulokowanych na terytorium Europejskiego Obszaru Gospodarczego. Jednak ze względu na międzynarodowy charakter usług chmurowych, bramek autoryzacji płatności oraz wyspecjalizowanych narzędzi przeciwdziałania atakom sieciowym DDoS, wybrane pakiety telemetryczne i identyfikacyjne mogą podlegać kontrolowanemu transferowi do państw trzecich, w tym do Stanów Zjednoczonych.

Każda operacja transgranicznego przekazania informacji podlega ścisłemu nadzorowi prawnemu i może zostać zrealizowana wyłącznie po spełnieniu wymogów określonych w Rozdziale V rozporządzenia RODO:

• Decyzje o odpowiednim stopniu ochrony (art. 45 RODO): transfer do jurysdykcji lub organizacji, których poziom zabezpieczeń został oficjalnie uznany przez Komisję Europejską za równoważny z normami unijnymi, w tym w ramach porozumienia EU-US Data Privacy Framework.
• Standardowe Klauzule Umowne (art. 46 ust. 2 lit. c RODO): stosowanie aktualnych wzorców umownych (SCC) zatwierdzonych przez Komisję Europejską, nakładających na zagranicznych podwykonawców bezpośrednią odpowiedzialność prawną za integralność powierzonych baz.
• Kompensacyjne środki kryptograficzne: obowiązkowe stosowanie szyfrowania asymetrycznego z 256-bitowym kluczem oraz natychmiastowej pseudonimizacji rekordów przed ich wysłaniem kanałami tranzytowymi.

Wdrożony reżim technologiczny uniemożliwia podmiotom zagranicznym nieautoryzowany wgląd w prywatne dane graczy. Użytkownik zachowuje pełne prawo do otrzymania kopii mechanizmów zabezpieczających stosowanych przy transferach poza granice EOG poprzez złożenie formalnego wniosku do Inspektora Ochrony Danych.

Zmiany polityki i data obowiązywania

Zasady przetwarzania danych osobowych oraz zabezpieczeń teleinformatycznych podlegają cyklicznym przeglądom rewizyjnym. Wszelkie modyfikacje wynikają z konieczności adaptacji procedur do aktualizowanych wytycznych prawnych Rozporządzenia RODO, nowych norm technicznych cyberbezpieczeństwa lub bezpośrednich decyzji regulacyjnych powiązanych z Licencją Curaçao nr 8048/JAZ, wydaną przez Curaçao Gaming Control Board.

W przypadku wdrożenia kluczowych zmian w strukturze gromadzenia bądź transferu rekordów cyfrowych operator zobowiązuje się powiadomić zarejestrowanych odbiorców z wyprzedzeniem wynoszącym co najmniej 14 dni kalendarzowych za pośrednictwem wiadomości e-mail lub bezpośrednich komunikatów autoryzacyjnych w panelu konta. Brak zgody na zaktualizowany regulamin prywatności uprawnia użytkownika do zlecenia zamknięcia profilu gracza oraz bezpiecznej wypłaty zgromadzonych środków zgodnie z procedurami przeciwdziałania praniu pieniędzy AML.

Data wejścia w życie aktualnej wersji dokumentu oraz formalnego zatwierdzenia procedur bezpieczeństwa: 12 maja 2026 r..