Ten dokument wyjaśnia, kto i po co przetwarza dane osób korzystających z serwisu typer.aovp.pl (dalej: Serwis), jak długo je przechowuje, co Serwis zapisuje na urządzeniu i jakie prawa Ci przysługują.
1. Administrator danych
Norbert Karolak, prowadzący jednoosobową działalność gospodarczą pod marką AOVP
ul. Pamiątkowa 32/1, 62-070 Gołuski, NIP 6182083838
E-mail: nkarolak@aovp.pl, tel. +48 730 943 795
Sprawy dotyczące danych osobowych, w tym realizację praw z punktu 8, można zgłaszać na ten adres e-mail albo przez formularz zgłoszeń w profilu. Administrator nie wyznaczył inspektora ochrony danych, bo przy tym charakterze i skali przetwarzania nie ma takiego obowiązku.
2. Jakie dane, po co, na jakiej podstawie i jak długo
| Dane | Cel | Podstawa prawna (RODO) | Jak długo |
|---|---|---|---|
| Nick, adres e-mail, hasło (przechowywane wyłącznie jako nieodwracalny skrót, algorytm bcrypt), data założenia Konta, status aktywacji | założenie i prowadzenie Konta, logowanie, odzyskiwanie dostępu | art. 6 ust. 1 lit. b: wykonanie umowy | do usunięcia Konta |
| Wersja i czas akceptacji Regulaminu | wykazanie, na jakie warunki zgodził się Użytkownik | art. 6 ust. 1 lit. f: uzasadniony interes w udokumentowaniu umowy | do usunięcia Konta |
| Typy, punkty, pozycja w Rankingu, przynależność do Lig znajomych | prowadzenie gry, Ranking, podsumowanie Rozgrywki | art. 6 ust. 1 lit. b | do usunięcia Konta |
| Wiadomości na czacie i komentarze pod meczami | funkcje społecznościowe Serwisu | art. 6 ust. 1 lit. b | do usunięcia Treści (przez autora lub moderację) albo Konta |
| Zdjęcie profilowe (opcjonalne, zmniejszone, bez metadanych) | wyświetlanie przy nicku | art. 6 ust. 1 lit. b: funkcja wybrana przez Użytkownika | do usunięcia zdjęcia (przycisk w profilu) albo Konta |
| Czas ostatniej aktywności (jedna wartość, nadpisywana co ok. 2 minuty korzystania) | wskaźnik „online” widoczny dla zalogowanych, zestawienia zbiorcze | art. 6 ust. 1 lit. b oraz lit. f: rozwój i sprawność Serwisu | do usunięcia Konta |
| Zgłoszenia, reklamacje, odwołania i korespondencja | obsługa zgłoszeń, reklamacji i odwołań od decyzji moderacyjnych | art. 6 ust. 1 lit. b; lit. c: obowiązki z aktu o usługach cyfrowych (art. 16 i 17 DSA); lit. f: obrona przed roszczeniami | w Serwisie do usunięcia Konta; korespondencja e-mail do zakończenia sprawy, a jeżeli może być potrzebna do obrony przed roszczeniami, do upływu ich przedawnienia |
| Zgłoszenia nielegalnych Treści od osób bez Konta (imię i nazwisko, e-mail, treść zgłoszenia) | rozpatrzenie zgłoszenia | art. 6 ust. 1 lit. c: art. 16 DSA | jak korespondencja powyżej |
| Subskrypcja powiadomień push (adres doręczenia nadany przez przeglądarkę, klucze szyfrujące, opis przeglądarki do 160 znaków) | powiadomienia o meczach i o odpowiedziach w Serwisie | art. 6 ust. 1 lit. a: zgoda (włączenie w profilu i w przeglądarce) | do wyłączenia powiadomień, wygaśnięcia subskrypcji w przeglądarce albo usunięcia Konta |
| Adres e-mail w wiadomościach z Serwisu | maile o aktywacji Konta, reset hasła, odpowiedzi na zgłoszenia, przypomnienia o meczach bez Typu, podsumowanie Rozgrywki | art. 6 ust. 1 lit. b: wiadomości związane z usługą | do usunięcia Konta |
| Dane techniczne połączenia (adres IP, czas, adres strony, typ przeglądarki) | dostarczenie stron, ochrona przed atakami, diagnoza błędów | art. 6 ust. 1 lit. f: bezpieczeństwo i sprawność Serwisu | logi aplikacji do 7 dni (retencja dostawcy infrastruktury) |
Podanie danych jest dobrowolne, ale bez nicku, adresu e-mail i hasła nie da się założyć Konta ani grać. Zdjęcie profilowe i powiadomienia push są całkowicie opcjonalne. Nie wysyłamy informacji handlowych (reklam, ofert) bez Twojej odrębnej zgody.
3. Pliki cookie i dane na urządzeniu
Serwis zapisuje na Twoim urządzeniu wyłącznie to, co jest potrzebne do działania usługi, o którą prosisz (art. 399 ust. 3 Prawa komunikacji elektronicznej). Dlatego nie ma banera zgód: nie używamy plików cookie reklamowych, analitycznych ani śledzących. Bez logowania Serwis ustawia tylko dwa techniczne pliki cookie mechanizmu logowania (ochrona CSRF i adres powrotu), które znikają po zamknięciu przeglądarki.
| Co | Po co | Kiedy powstaje i jak długo działa |
|---|---|---|
cookie __Secure-authjs.session-token | utrzymanie zalogowania (zaszyfrowany identyfikator sesji) | przy logowaniu; do zamknięcia przeglądarki, a po zaznaczeniu „Nie wylogowuj mnie” do 30 dni od ostatniego użycia |
cookie __Host-authjs.csrf-token | ochrona formularza logowania przed podszyciem (CSRF) | przy pierwszym wejściu na stronę (sprawdzenie, czy jesteś zalogowany); do zamknięcia przeglądarki |
cookie __Secure-authjs.callback-url | powrót na właściwą stronę po zalogowaniu | przy pierwszym wejściu na stronę; do zamknięcia przeglądarki |
cookie typer-sesja-tymczasowa | zapamiętanie, że logowanie ma wygasnąć po zamknięciu przeglądarki | przy logowaniu bez „Nie wylogowuj mnie”; do zamknięcia przeglądarki |
pamięć przeglądarki: theme | wybrany motyw jasny albo ciemny | po kliknięciu przełącznika motywu; do zmiany albo wyczyszczenia danych przeglądarki |
pamięć przeglądarki: tutorial_seen, wrapped_popup_dismissed | żeby nie pokazywać ponownie zamkniętego samouczka i okienka podsumowania | po zamknięciu samouczka lub okienka; do wyczyszczenia danych przeglądarki |
| skrypt obsługi powiadomień (service worker) i jego pamięć podręczna | odbieranie powiadomień push; kopie plików aplikacji, by działała szybciej | tylko po włączeniu powiadomień; do ich wyłączenia albo usunięcia danych witryny w przeglądarce |
Pliki cookie i dane witryny możesz w każdej chwili usunąć w ustawieniach przeglądarki. Skutek: wylogowanie i powrót do domyślnego motywu.
4. Statystyki
Serwis nie używa narzędzi analitycznych w przeglądarce (np. Google Analytics). Administrator ogląda wyłącznie zbiorcze liczby wyliczane z bazy Serwisu (liczba kont, aktywność, odsetek osób, które zapisały Typy). Nie powstaje przy tym nowy zbiór danych o osobach i liczby te nie są nikomu przekazywane (art. 6 ust. 1 lit. f: rozwój Serwisu).
5. Profilowanie i decyzje automatyczne
Punkty i Ranking liczone są automatycznie według zasad z Regulaminu. Podsumowanie Rozgrywki nadaje graczom żartobliwe określenia na podstawie ich Typów (np. „Ryzykant”, „Prorok”). To proste zestawienie statystyk gry, bez skutków prawnych ani podobnie istotnych, więc nie jest decyzją w rozumieniu art. 22 RODO. Nie profilujemy w celach marketingowych.
6. Kto jeszcze ma dostęp do danych
Dane przetwarzają dostawcy działający na zlecenie Administratora:
| Podmiot | Rola |
|---|---|
| Cloudflare, Inc. (USA) | hosting aplikacji, baza danych, magazyn zdjęć profilowych, ochrona ruchu i logi techniczne |
| Brevo | wysyłka wiadomości e-mail z Serwisu. Dostawca rejestruje doręczenie wiadomości, a w wiadomościach HTML (swoim mechanizmem, domyślnie włączonym) także otwarcie wiadomości i kliknięcia w odnośniki. Nie wykorzystujemy tych informacji do marketingu ani profilowania. |
| Dostawcy powiadomień push przeglądarek (np. Google, Apple, Mozilla, Microsoft) | doręczenie powiadomienia na urządzenie; treść jest szyfrowana kluczami Twojej subskrypcji; dotyczy tylko osób, które włączyły powiadomienia |
| Google (Gmail) | skrzynka pocztowa Administratora: zgłoszenia, reklamacje, powiadomienia o rejestracjach |
| Backblaze (magazyn w regionie UE) | przechowywanie kopii zapasowych zaszyfrowanych przed wysłaniem kluczem znanym wyłącznie Administratorowi; dostawca widzi tylko szyfrogram |
Dane mogą też otrzymać organy publiczne, gdy wynika to z przepisów. Wyniki meczów i herby drużyn Serwis pobiera z serwisu football-data.org po stronie serwera: temu dostawcy nie są przekazywane żadne dane Użytkowników, a Twoja przeglądarka nie łączy się z nim bezpośrednio.
7. Przekazywanie danych poza EOG
Część dostawców (Cloudflare, Google, dostawcy powiadomień push) może przetwarzać dane w Stanach Zjednoczonych. Odbywa się to na podstawie decyzji Komisji Europejskiej (UE) 2023/1795 stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) w odniesieniu do certyfikowanych firm, a gdy ta podstawa nie ma zastosowania, na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję. Kopię zabezpieczeń możesz otrzymać, pisząc na adres z punktu 1.
8. Twoje prawa
- dostęp do danych i otrzymanie ich kopii,
- sprostowanie danych; nick i adres e-mail zmienia Administrator na prośbę wysłaną mailem albo przez formularz zgłoszeń,
- usunięcie danych: samodzielnie (profil, „Usuń konto”) albo na prośbę,
- ograniczenie przetwarzania,
- przenoszenie danych przetwarzanych na podstawie umowy lub zgody: na prośbę wyślemy plik z danymi Konta i Typami w formacie JSON,
- sprzeciw wobec przetwarzania opartego na uzasadnionym interesie Administratora (lit. f),
- cofnięcie zgody na powiadomienia push w każdej chwili (wyłączenie w profilu); nie wpływa to na zgodność z prawem wcześniejszego przetwarzania.
Żądanie wystarczy wysłać na nkarolak@aovp.pl. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca. Przysługuje Ci także prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa.
9. Kopie zapasowe i usuwanie danych
- Po usunięciu Konta jego dane znikają z bazy Serwisu od razu, razem z Typami, Treściami i zdjęciem profilowym.
- Zrzuty bazy. Codziennie (gdy działa komputer Administratora) powstaje zrzut bazy Serwisu. Przechowywanych jest 14 ostatnich zrzutów, starsze są kasowane automatycznie.
- Kopie zapasowe systemu Administratora, które obejmują te zrzuty, są szyfrowane i przechowywane w Backblaze (UE) oraz na nośniku przenośnym nie dłużej niż 3 lata, w rotacji (kopie dzienne, miesięczne i roczne). Nie służą do bieżącej pracy. Dane usunięte z Serwisu mogą w nich pozostawać do końca tego okresu. Gdyby trzeba było odtworzyć Serwis z kopii, dane osób, które wcześniej usunęły Konto, usuniemy ponownie.
- Konto nieużywane przez 24 miesiące Administrator może usunąć po wcześniejszym zawiadomieniu na przypisany adres e-mail.
10. Bezpieczeństwo
- Połączenie z Serwisem jest szyfrowane (HTTPS).
- Hasła nie są przechowywane jawnie, tylko jako nieodwracalny skrót. Administrator nie zna i nie może odczytać Twojego hasła.
- Treści i zdjęcia profilowe są dostępne wyłącznie po zalogowaniu (wyjątek: strona zaproszenia do Ligi znajomych pokazuje osobie z linkiem nazwę ligi i nick założyciela). Ze zdjęć usuwamy metadane (np. lokalizację GPS).
- Dostęp do bazy i panelu administracyjnego ma Administrator, a do moderacji Treści osoby, którym nadał rolę moderatora.
- W razie naruszenia ochrony danych, które może powodować wysokie ryzyko dla Twoich praw, Administrator zawiadamia Prezesa UODO w ciągu 72 godzin i informuje osoby, których dotyczy.
11. Wiek użytkowników
Serwis jest przeznaczony dla osób, które ukończyły 16 lat. Osoba młodsza może korzystać z niego wyłącznie za zgodą i pod nadzorem przedstawiciela ustawowego. Administrator nie weryfikuje wieku przy rejestracji; jeśli dowie się, że Konto założyła młodsza osoba bez wymaganej zgody, usunie je.
12. Zmiany polityki
Polityka może się zmienić, np. gdy zmienią się przepisy, funkcje Serwisu albo dostawcy. O istotnych zmianach informujemy mailem i w Serwisie. Aktualna wersja jest zawsze pod tym adresem, z numerem wersji i datą u góry strony.