POLITYKA PRYWATNOŚCI I STANDARDY OCHRONY DANYCH W BillyBets CASINO

Niezależna analiza procedur przetwarzania informacji, wymogów rozporządzenia RODO oraz mechanizmów zabezpieczeń kryptograficznych przygotowana przez zespół analityczny moviemaster.pl.

Wstęp do polityki prywatności i ochrony informacji

Niniejszy dokument precyzuje rygorystyczne reguły gromadzenia, rejestrowania, archiwizacji oraz przetwarzania wszelkich informacji o charakterze osobowym powierzanych przez użytkowników serwisu. Wszelkie procedury operacyjne i techniczne wdrożone przez administratora realizowane są w pełnej zgodności z normami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO/GDPR) oraz właściwymi przepisami prawa krajowego obowiązującymi na terytorium Rzeczypospolitej Polskiej.

Dostęp do funkcjonalności platformy, rejestracja konta oraz powiązane z nimi cykle przetwarzania danych osobowych są bezwzględnie zastrzeżone dla osób pełnoletnich, które ukończyły 18. rok życia. W celu zapobiegania uczestnictwu osób nieletnich stosowane są zintegrowane mechanizmy automatycznej filtracji metadanych oraz rzetelne procedury manualnej weryfikacji tożsamości na etapie zakładania profilu.

Przed rozpoczęciem sesji na platformie oraz skorzystaniem z infrastruktury transakcyjnej zalecamy szczegółową analizę poniższych postanowień regulacyjnych. Kompletne zestawienie parametrów technicznych, licencyjnych oraz audytów bezpieczeństwa publikuje nasza niezależna analiza na stronie casino BillyBets.

Administrator danych i podstawa działania

Organem nadrzędnym decydującym o celach, metodach oraz bezpieczeństwie przetwarzania informacji powierzanych w ramach serwisu jest operator platformy rozrywkowej. Wszelkie operacje ewidencyjne, transfery cyfrowe oraz archiwizacja dokumentacji personalnej podlegają ścisłej integracji z międzynarodowymi procedurami weryfikacyjnymi Know Your Customer (KYC) oraz standardami przeciwdziałania praniu pieniędzy Anti-Money Laundering (AML).

Działalność operacyjna oraz legitymizacja prawna platformy opiera się na zezwoleniu regulacyjnym: Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board. Zobowiązuje ona administratora do systematycznego monitorowania bezpieczeństwa przepływów finansowych, weryfikacji tożsamości użytkowników i przechowywania rejestrów zdarzeń systemowych w bezpiecznym środowisku bazodanowym.

W celu bezpośredniej realizacji praw przysługujących na mocy przepisów RODO, zadawania pytań technicznych bądź składania wniosków formalnych, użytkownicy mogą kontaktować się z wyznaczonym Inspektorem Ochrony Danych (DPO) za pośrednictwem poniższych danych rejestrowych:

BillyBets Entertainment N.V.
Numer rejestracyjny podmiotu: 162840
Siedziba prawna: Abraham de Veerstraat 9, Willemstad, Curaçao
Dedykowany kontakt do Inspektora DPO: [email protected] (oraz wsparcie ogólne: [email protected])

Kategorie przetwarzanych danych

Zakres informacji pozyskiwanych przez operatora platformy wynika bezpośrednio z restrykcyjnych procedur przeciwdziałania nadużyciom finansowym oraz standardów weryfikacji tożsamości użytkowników. Przetwarzanie ogranicza się wyłącznie do zbiorów danych niezbędnych do autoryzacji sesji, obsługi operacji płatniczych oraz spełnienia obowiązków nałożonych przez organ nadzorczy na mocy Licencji Curaçao nr 8048/JAZ.

Infrastruktura bazodanowa serwisu gromadzi następujące kategorie informacji personalnych oraz eksploatacyjnych:

Pozyskiwanie powyższych pakietów danych następuje drogą bezpośredniej rejestracji formularzowej, w trybie zautomatyzowanego zapisu telemetrycznego podczas trwania połączenia szyfrowanego SSL 256-bit lub poprzez bezpieczny moduł przesyłania dokumentów weryfikacyjnych.

Cele przetwarzania danych

Gromadzenie oraz przetwarzanie informacji o użytkownikach odbywa się wyłącznie w ściśle zdefiniowanych granicach prawnych, które wynikają bezpośrednio z przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO/GDPR). Każda operacja prowadzona na zbiorach danych posiada autonomiczną podstawę legalizacyjną, co zapobiega arbitralności i gwarantuje wysoki standard ochrony prywatności.

Wdrożone procesy ewidencji i analizy danych opierają się na następujących celach operacyjnych oraz przypisanych im podstawach prawnych:

Zawarcie i wykonanie umowy o świadczenie usług (Art. 6 ust. 1 lit. b RODO): kompleksowa obsługa i prowadzenie Konta Gracza, autoryzacja sesji logowania, ewidencja zawieranych zakładów, kalkulacja stawek oraz bieżąca realizacja wpłat depozytowych i dyspozycji wypłat.
Spełnienie bezwzględnych obowiązków prawno-regulacyjnych (Art. 6 ust. 1 lit. c RODO): realizacja procedur przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu (AML), przestrzeganie rygorów nałożonych na operatora przez Licencję Curaçao nr 8048/JAZ wydaną przez Curaçao Gaming Control Board, a także prowadzenie dokumentacji księgowo-podatkowej.
Prawnie uzasadniony interes administratora (Art. 6 ust. 1 lit. f RODO): prewencja nadużyć finansowych i systemowych, zabezpieczenie stabilności infrastruktury serwerowej przed cyberzagrożeniami, dochodzenie roszczeń prawnych oraz weryfikacja przestrzegania zakazu wstępu osób niepełnoletnich poniżej 18. roku życia.
Dobrowolna zgoda na komunikację informacyjną (Art. 6 ust. 1 lit. a RODO): przekazywanie komunikatów technicznych o aktualizacjach parametrów technicznych serwisu lub selektywnych powiadomień systemowych, z pełnym prawem do cofnięcia zgody w dowolnej chwili.

Okres przetwarzania danych jest ściśle ograniczony do ram czasowych niezbędnych do zrealizowania wymienionych celów lub do wygaśnięcia obowiązków sprawozdawczych nakładanych przez międzynarodowe instytucje audytowe.

Udostępnianie danych i odbiorcy

Wszelkie procesy przekazywania danych personalnych podmiotom trzecim podlegają ścisłemu reżimowi prawnemu określonemu w art. 28 RODO (umowy powierzenia przetwarzania danych osobowych – Data Processing Agreements). Operator wyklucza komercyjny obrót bazami ewidencyjnymi, ich odpłatną cesję lub udostępnianie podmiotom nieuprawnionym do celów marketingowych.

Transfery informacji personalnych oraz technicznych są ściśle ograniczone do zweryfikowanych partnerów operacyjnych, których zaangażowanie jest technicznie i formalnie niezbędne do świadczenia usług:

Operatorzy bramek płatniczych i instytucje finansowe: licencjonowane podmioty realizujące rozliczenia BLIK, kart płatniczych Visa i Mastercard, portfeli elektronicznych MiFinity oraz Jeton, a także węzłów kryptowalutowych, działające zgodnie z międzynarodowym standardem PCI DSS oraz dyrektywami AML.
Podmioty obsługujące weryfikację tożsamości (KYC): wyspecjalizowane serwisy uwierzytelniające autentyczność dokumentów tożsamości oraz sprawdzające bazy sankcyjne i rejestry osób zajmujących eksponowane stanowiska polityczne (PEP).
Dostawcy infrastruktury serwerowej i ochrony sieciowej: operatorzy chmurowych centrów danych zapewniający stabilność sesji, zapory ogniowe WAF oraz szyfrowaną transmisję pakietów w standardzie SSL 256-bit i TLS 1.2.
Niezależne laboratoria audytowe oprogramowania: akredytowane jednostki kontrolujące certyfikację algorytmów generatora liczb losowych (RNG) w ramach rygorów Licencji Curaçao nr 8048/JAZ.
Organy wymiaru sprawiedliwości i administracji publicznej: uprawnione instytucje państwowe, którym dane są udostępniane wyłącznie na podstawie prawomocnych dyspozycji prawnych w sprawach związanych ze zwalczaniem przestępczości finansowej.

Każdy zewnętrzny procesor danych przechodzi wstępną weryfikację bezpieczeństwa teleinformatycznego, a nałożone na niego klauzule poufności gwarantują utrzymanie standardów ochrony tożsamych z normami europejskimi.

Prawa użytkownika

Każdemu zarejestrowanemu użytkownikowi przysługuje pełen zakres uprawnień kontrolnych wynikających bezpośrednio z Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO/GDPR). Administrator jest zobowiązany do zagwarantowania przejrzystych kanałów komunikacji umożliwiających bezpłatną realizację wniosków formalnych w terminie do 30 dni kalendarzowych od momentu wpłynięcia zgłoszenia.

Osobie, której dane dotyczą, przysługuje w świetle przepisów europejskich kompletny pakiet uprawnień ochronnych:

Prawo dostępu do danych (art. 15 RODO): możliwość weryfikacji, czy dane osobowe są przetwarzane przez operatora, a także uzyskania bezpłatnej cyfrowej kopii przetwarzanego zbioru danych ewidencyjnych oraz historii transakcji.
Prawo do sprostowania i uzupełnienia danych (art. 16 RODO): żądanie natychmiastowej korekty nieprawidłowych danych personalnych lub uzupełnienia brakujących wpisów ewidencyjnych po dostarczeniu właściwych dokumentów potwierdzających stan faktyczny.
Prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO): możliwość wnioskowania o trwałe usunięcie wpisów z aktywnych rejestrów systemowych, z zastrzeżeniem ograniczeń wynikających z obowiązkowej retencji dokumentacji na mocy przepisów AML oraz wymogów Licencji Curaçao nr 8048/JAZ.
Prawo do ograniczenia przetwarzania (art. 18 RODO): wstrzymanie operacji przetwarzania zbiorów danych na czas rozpatrywania sprzeciwu lub weryfikacji prawidłowości zakwestionowanych informacji ewidencyjnych.
Prawo do przenoszenia danych (art. 20 RODO): uzyskanie kompletnego pakietu dostarczonych wcześniej danych personalnych w powszechnie stosowanym formacie odczytu maszynowego (CSV, JSON) oraz dyspozycja ich bezpośredniego transferu do innego wskazanego podmiotu.
Prawo do sprzeciwu (art. 21 RODO): możliwość wniesienia sprzeciwu wobec przetwarzania informacji opartego na prawnie uzasadnionym interesie administratora (w tym profilowania behawioralnego lub analityki statystycznej).

W celu wykonania powyższych praw użytkownik może przesłać formalny wniosek do dedykowanego Inspektora Ochrony Danych pod adres [email protected] lub [email protected]. W sytuacji uznania, że procesy ewidencyjne naruszają obowiązujące przepisy, przysługuje również prawo wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa.

Pliki cookies i podobne technologie

Infrastruktura cyfrowa platformy wykorzystuje znaczniki cookie (tzw. ciasteczka), lokalną pamięć przeglądarki (Local Storage) oraz pokrewne skrypty telemetrii systemowej w celu zagwarantowania prawidłowej wymiany pakietów sieciowych, stabilnego uwierzytelniania sesji oraz rzetelnej analizy wydajności środowiska operacyjnego. Zapisywanie pakietów danych na urządzeniu końcowym użytkownika następuje z zachowaniem standardów bezpieczeństwa i podlega bezpośredniej kontroli ze strony właściciela przeglądarki.

Zastosowane w architekturze serwisu mechanizmy identyfikacyjne podlegają podziałowi na trzy wyodrębnione grupy funkcjonalne:

Pliki ściśle niezbędne (techniczne): mechanizmy krytyczne dla bezpiecznego logowania do Konta Gracza, utrzymania szyfrowanej sesji HTTPS/TLS oraz zapobiegania atakom typu Cross-Site Request Forgery (CSRF). Ich instalacja nie wymaga uprzedniej zgody, gdyż wynika z bezwzględnej konieczności świadczenia usługi drogą elektroniczną (art. 6 ust. 1 lit. b oraz lit. f RODO).
Pliki analityczne i telemetryczne: pakiety służące do badania zagęszczenia ruchu sieciowego, czasu ładowania komponentów oraz wykrywania ewentualnych błędów skryptów bez bezpośredniej identyfikacji tożsamości fizycznej użytkownika. Przetwarzanie odbywa się w oparciu o zanonimizowane identyfikatory sprzętowe i adresy IP.
Pliki funkcjonalne i konfiguracyjne: znaczniki przechowujące zdefiniowane preferencje interfejsu (w tym domyślny język polski, układ elementów graficznych oraz format wyświetlania jednostek walutowych), zachowywane na okres sesyjny lub stały do 12 miesięcy.

Każdy użytkownik zachowuje pełne prawo do modyfikacji konfiguracji ciasteczek za pośrednictwem ustawień używanego oprogramowania przeglądarkowego lub bezpośredniego wywołania modalnego panelu preferencji prywatności:

Bezpieczeństwo danych i ochrony systemów

Ochrona integralności baz danych oraz zabezpieczenie poufnych informacji przed nieautoryzowaną ingerencją, wyciekiem bądź modyfikacją stanowią fundament architektury technicznej operatora. Każdy punkt styku pomiędzy przeglądarką użytkownika a klastrem serwerowym jest zabezpieczony zaawansowanymi algorytmami kryptograficznymi, w tym 256-bitowym szyfrowaniem SSL oraz zaktualizowanymi protokołami TLS 1.2, co uniemożliwia przechwycenie pakietów sieciowych w trakcie logowania czy zlecania transakcji finansowych.

Poza warstwą transmisyjną wdrożono rygorystyczne mechanizmy weryfikacji oprogramowania rozrywkowego oraz cykliczne procedury nadzorcze:

Polityka certyfikacji generatora liczb losowych (RNG): wszystkie zaimplementowane algorytmy gier podlegają systematycznym audytom akredytowanych laboratoriów badawczych (w tym eCOGRA i iTech Labs), co gwarantuje pełną matematyczną losowość wyników, brak manipulacji oraz zgodność z wymogami Licencji Curaçao nr 8048/JAZ.
Wewnętrzne i zewnętrzne audyty bezpieczeństwa IT: infrastruktura serwerowa przechodzi kwartalne testy penetracyjne, ciągły monitoring zaporami sieciowymi WAF (Web Application Firewall) oraz prewencję ataków DDoS, eliminując podatności systemowe.
Segmentacja baz danych i kontrola uprawnień: dostęp do rekordów personalnych opiera się na regule wiedzy koniecznej (Need-to-Know), obowiązkowym uwierzytelnianiu dwuskładnikowym (2FA) dla administratorów oraz okresowych szkoleniach kadry z procedur RODO/GDPR.

Okres retencji (przechowywania) zgromadzonych informacji personalnych jest ściśle determinowany celem operacyjnym oraz wiążącymi normami prawnymi:

Ewidencja Konta Gracza oraz rejestry rozliczeniowe: dokumentacja tożsamości, historia zakładów oraz logi wpłat i wypłat podlegają archiwizacji przez czas aktywności profilu oraz przez okres 5 lat od momentu jego zamknięcia, co stanowi bezpośredni wymóg międzynarodowych dyrektyw AML.
Metadane telemetryczne oraz logi serwerowe: adresy IP, sygnatury urządzeń i identyfikatory sesji są przechowywane w rotacyjnych dziennikach zdarzeń przez maksymalnie 12 miesięcy w celach prewencji nadużyć technicznych.
Dane oparte na dobrowolnej subskrypcji: informacje kontaktowe wykorzystywane do wysyłki biuletynów są trwale usuwane z baz aktywnych niezwłocznie po cofnięciu zgody przez użytkownika.

Przekazywanie danych poza Europejski Obszar Gospodarczy

Podstawowa infrastruktura bazodanowa oraz systemy ewidencji transakcji operatora zlokalizowane są w nowoczesnych centrach danych na terytorium państw członkowskich Europejskiego Obszaru Gospodarczego (EOG). Jednakże ze względu na globalny zasięg dostawców wyspecjalizowanych narzędzi chmurowych, bramek płatniczych oraz systemów prewencji nadużyć finansowych, wybrane kategorie metadanych mogą podlegać transgranicznemu transferowi do jurysdykcji państw trzecich, w tym do Stanów Zjednoczonych oraz terytorium Curaçao.

Wszelkie międzynarodowe transfery danych personalnych realizowane są z zachowaniem rygorystycznych wymogów rozdziału V Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO/GDPR) i opierają się na następujących instrumentach legalizacyjnych:

Decyzje Komisji Europejskiej o adekwatności ochrony (art. 45 RODO): przekazywanie informacji do państw lub podmiotów, które formalnie zapewniają stopień ochrony tożsamy ze standardami unijnymi (m.in. w ramach porozumienia EU-US Data Privacy Framework dla zweryfikowanych dostawców technologicznych).
Standardowe Klauzule Umowne (Standard Contractual Clauses – SCC, art. 46 RODO): stosowanie zaktualizowanych przez Komisję Europejską wzorców umów powierzenia przetwarzania danych, które prawnie obligują zagranicznych kontrahentów do przestrzegania unijnych norm bezpieczeństwa i poufności.
Dodatkowe środki techniczne i kryptograficzne: bezwzględny wymóg stosowania kompleksowego szyfrowania danych w tranzycie (TLS 1.2/1.3) oraz w spoczynku (klucze AES-256), a także procedury tokenizacji i pseudonimizacji identyfikatorów cyfrowych przed wysyłką poza granice EOG.
Nadzór regulacyjny organu wydającego licencję: transfery ewidencyjne realizowane na rzecz organów nadzorczych na mocy Licencji Curaçao nr 8048/JAZ podlegają ścisłym protokołom poufności określonym przez Curaçao Gaming Control Board.

Zastosowane gwarancje prawne zapewniają użytkownikom z Polski niezmienny poziom ochrony prawnej oraz możliwość egzekwowania przysługujących uprawnień kontrolnych, niezależnie od lokalizacji fizycznych klastrów serwerowych.

Zmiany polityki i data obowiązywania

Zasady przetwarzania danych osobowych oraz zabezpieczeń technicznych podlegają systematycznej ewaluacji i mogą być aktualizowane w celu dostosowania procedur operacyjnych do nowelizacji przepisów RODO, zaleceń Europejskiej Rady Ochrony Danych oraz wytycznych nadzorczych wynikających z Licencji Curaçao nr 8048/JAZ wydanej przez Curaçao Gaming Control Board. Każda modyfikacja o charakterze strukturalnym lub formalnym jest poprzedzona szczegółowym audytem prawnym w strukturach administratora.

O wszelkich istotnych korektach reguł prywatności użytkownicy są powiadamiani z wyprzedzeniem za pośrednictwem wiadomości e-mail przesyłanych na zweryfikowany adres kontaktowy lub poprzez dedykowany komunikat systemowy wyświetlany bezpośrednio po zalogowaniu do Konta Gracza. Kontynuowanie korzystania z usług platformy po opublikowaniu zaktualizowanej wersji dokumentu jest równoznaczne z akceptacją wprowadzonych standardów ochrony informacji.

Oficjalna data wejścia w życie aktualnego brzmienia dokumentu: 12 maja 2026 r..