Polityka Prywatności

§1. Postanowienia ogólne

Niniejsza Polityka Prywatności (dalej: „Polityka") określa zasady zbierania, przetwarzania i ochrony danych osobowych Użytkowników serwisu internetowego getskin.pl (dalej: „Serwis").
Serwis zbiera wyłącznie dane niezbędne do prawidłowego świadczenia usług, zapewnienia bezpieczeństwa oraz zapobiegania nadużyciom.
Dane osobowe przetwarzane są zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (dalej: „RODO") oraz ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz.U. z późn. zm.).

§2. Administrator danych osobowych

Administratorem danych osobowych zbieranych za pośrednictwem Serwisu jest PRESSWAY Bartłomiej Paluch, Zarzecze 268, 38-220 Dębowiec, NIP: PL6852340178 (dalej: „Administrator").
Kontakt z Administratorem w sprawach dotyczących danych osobowych: [email protected].

§3. Cele i podstawy prawne przetwarzania danych

Dane osobowe Użytkowników przetwarzane są w następujących celach i na następujących podstawach prawnych:
1. rejestracja Konta i weryfikacja tożsamości Użytkownika - art. 6 ust. 1 lit. b RODO (wykonanie umowy),
2. umożliwienie logowania do Serwisu i świadczenie usług drogą elektroniczną - art. 6 ust. 1 lit. b RODO,
3. realizacja usług Serwisu, w tym przyznawanie Punktów i wymiana na Nagrody - art. 6 ust. 1 lit. b RODO,
4. komunikacja z Użytkownikiem (livechat, e-mail, powiadomienia systemowe) - art. 6 ust. 1 lit. b RODO,
5. zapobieganie nadużyciom, wykrywanie multikont oraz ochrona przed oszustwami - art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora),
6. prowadzenie analityki i statystyk korzystania z Serwisu - art. 6 ust. 1 lit. f RODO,
7. personalizacja treści i ofert - art. 6 ust. 1 lit. a RODO (zgoda Użytkownika),
8. wysyłka informacji handlowych (newsletter) - art. 6 ust. 1 lit. a RODO (zgoda),
9. marketing, remarketing i programy afiliacyjne - art. 6 ust. 1 lit. a RODO (zgoda),
10. ustalenie, dochodzenie lub obrona przed roszczeniami - art. 6 ust. 1 lit. f RODO.
Podanie danych osobowych jest dobrowolne, lecz niezbędne do korzystania z funkcjonalności Serwisu. Brak podania wymaganych danych uniemożliwia rejestrację Konta.

§4. Kategorie zbieranych danych

Administrator zbiera i przetwarza następujące kategorie danych:

a) Dane podawane przez Użytkownika:

adres poczty elektronicznej (e-mail),
nazwa Użytkownika (nick),
identyfikatory kont zewnętrznych (Steam ID, Google ID) - w przypadku rejestracji za pośrednictwem tych usług.

b) Dane podawane w ramach weryfikacji tożsamości:

W uzasadnionych przypadkach, o których mowa w §6 pkt 9 Regulaminu, Administrator może zażądać przedstawienia dokumentu tożsamości (np. dowodu osobistego lub paszportu). Przetwarzane są wyłącznie dane niezbędne do potwierdzenia tożsamości Użytkownika (imię, nazwisko, wizerunek). Administrator zobowiązuje się do niewykorzystywania numeru dokumentu, numeru PESEL ani innych danych niewymaganych do weryfikacji tożsamości. Skany lub zdjęcia dokumentów tożsamości są usuwane niezwłocznie po zakończeniu procesu weryfikacji, nie później niż w terminie 7 dni od pozytywnego zakończenia weryfikacji, zgodnie z zasadą minimalizacji danych (art. 5 ust. 1 lit. c RODO).

c) Dane zbierane automatycznie:

adres IP - rejestrowany przy każdej rejestracji, logowaniu oraz w trakcie korzystania z Serwisu,
cyfrowy odcisk przeglądarki (ang. browser fingerprint) - generowany za pomocą technologii JavaScript na urządzeniu Użytkownika; obejmuje parametry techniczne takie jak: typ i wersja przeglądarki, system operacyjny, rozdzielczość ekranu, zainstalowane czcionki, strefa czasowa, obsługiwane technologie oraz inne cechy konfiguracji urządzenia,
informacje o urządzeniu (typ, model, system operacyjny, przeglądarka),
dane o aktywności w Serwisie (odwiedzane strony, wykonane Zadania, daty i godziny logowań),
nagłówki protokołu HTTP (w tym User-Agent, Referer),
pliki cookies (szczegóły w §9).

Operator nie ponosi odpowiedzialności za dane osobowe (w tym adresy e-mail, identyfikatory Steam, linki do profili społecznościowych), które Użytkownik dobrowolnie i samodzielnie udostępnia w publicznych modułach Serwisu, takich jak ogólnodostępny czat. Wprowadzanie takich danych odbywa się na wyłączne ryzyko Użytkownika.

§4a. Aplikacja mobilna

Serwis jest dostępny również za pośrednictwem aplikacji mobilnej (dalej: „Aplikacja") na urządzenia z systemem Android i iOS. Oprócz danych opisanych w §4, Aplikacja może zbierać następujące kategorie danych:

a) Tokeny powiadomień push:

Aplikacja wykorzystuje usługi Firebase Cloud Messaging (FCM) oraz Apple Push Notification service (APNs), realizowane za pośrednictwem usługi Expo Push Notifications, w celu dostarczania powiadomień push na urządzenie Użytkownika.
Po wyrażeniu zgody na otrzymywanie powiadomień generowany jest unikalny token urządzenia, który jest przechowywany na serwerach Administratora. Token wykorzystywany jest wyłącznie do dostarczania powiadomień związanych z Serwisem (np. aktualizacje statusu zadań, powiadomienia o nagrodach, alerty konta).
Token push przechowywany jest przez czas trwania Konta Użytkownika lub do momentu cofnięcia zgody na powiadomienia. Tokeny, które stają się nieważne (np. po odinstalowaniu Aplikacji), są automatycznie usuwane.
Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda wyrażona poprzez udzielenie uprawnień do powiadomień na urządzeniu).

b) Informacje o urządzeniu:

Aplikacja może zbierać informacje techniczne o urządzeniu Użytkownika, w tym: model urządzenia, markę, wersję systemu operacyjnego, wersję Aplikacji, rozdzielczość ekranu oraz ustawienia lokalizacji językowej. Dane te wykorzystywane są do diagnostyki technicznej, zapewnienia kompatybilności oraz poprawy działania Aplikacji.
Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes - zapewnienie prawidłowego działania Aplikacji).

c) Dostęp do aparatu i galerii zdjęć:

Aplikacja może prosić o dostęp do aparatu fotograficznego oraz galerii zdjęć urządzenia wyłącznie w celu wykonania lub wybrania zdjęć wymaganych do weryfikacji wykonania Zadania (dowód realizacji). Zdjęcia przesyłane są na serwery Administratora i przetwarzane wyłącznie w celu weryfikacji zgłoszeń Zadań.
Dostęp jest żądany wyłącznie w momencie, gdy jest potrzebny, i może zostać cofnięty w dowolnym momencie poprzez ustawienia systemowe urządzenia.
Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy - weryfikacja Zadania).

d) Identyfikatory reklamowe i śledzenia:

Aplikacja wykorzystuje Google AdMob do wyświetlania reklam premiowanych (rewarded ads). AdMob może zbierać i przetwarzać identyfikator reklamowy urządzenia (Google Advertising ID na Androidzie, IDFA na iOS) w celu wyświetlania reklam spersonalizowanych lub kontekstowych.
Na urządzeniach z systemem iOS dostęp do IDFA jest żądany za pośrednictwem mechanizmu App Tracking Transparency (ATT). Użytkownik może odmówić śledzenia - w takim przypadku wyświetlane są wyłącznie reklamy kontekstowe (niespersonalizowane).
Dane zbierane przez AdMob przetwarzane są przez Google LLC zgodnie z Polityką Prywatności Google. Administrator nie ma bezpośredniego dostępu do identyfikatorów reklamowych zbieranych przez AdMob.
Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda - wyrażona poprzez uprawnienia systemowe oraz monit ATT na iOS).

e) Weryfikacja serwerowa AdMob:

Gdy Użytkownik obejrzy reklamę premiowaną, Google wysyła do serwerów Administratora wywołanie zwrotne (SSVA - Server-Side Verification for Ads). Wywołanie to zawiera identyfikator transakcji, informacje o nagrodzie oraz wewnętrzny identyfikator Użytkownika. Żadne dane osobowe wykraczające poza dane już przechowywane przez Administratora nie są przekazywane w ramach tego mechanizmu.
Identyfikatory transakcji przechowywane są w celu zapobiegania wielokrotnemu naliczaniu nagród oraz w celach audytowych - przez 48 godzin w pamięci podręcznej oraz na stałe w logu nagród.

f) Komunikacja w czasie rzeczywistym (WebSocket):

Serwis oraz Aplikacja wykorzystują połączenia WebSocket (Laravel Reverb) do funkcji działających w czasie rzeczywistym, takich jak czat na żywo oraz wskaźniki obecności. Podczas aktywnego połączenia WebSocket mogą być przetwarzane następujące metadane: identyfikator Użytkownika, adres IP, ciąg User-Agent oraz znaczniki czasu połączenia.
Dane te przetwarzane są wyłącznie przez czas trwania aktywnego połączenia i nie są przechowywane w zakresie wykraczającym poza opisany w §4 i §5.
Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy - świadczenie funkcji Serwisu w czasie rzeczywistym).

§5. Przetwarzanie danych technicznych (adres IP, fingerprint)

Zbieranie adresów IP oraz cyfrowych odcisków przeglądarki jest niezbędne do realizacji prawnie uzasadnionych interesów Administratora (art. 6 ust. 1 lit. f RODO), polegających w szczególności na:
1. wykrywaniu i zapobieganiu zakładaniu wielu kont (multikont) przez jedną osobę - zgodnie z Regulaminem każdy Użytkownik uprawniony jest do posiadania wyłącznie jednego Konta,
2. ochronie przed oszustwami i nadużywaniem systemu przyznawania Punktów,
3. zapewnieniu bezpieczeństwa Serwisu oraz ochronie przed nieautoryzowanym dostępem,
4. geolokalizacji w celu wyświetlania ofert adekwatnych do regionu Użytkownika,
5. diagnostyce technicznej i analizie wydajności Serwisu.
Administrator przeprowadził test równowagi (balancing test) zgodnie z art. 6 ust. 1 lit. f RODO i stwierdził, że przetwarzanie danych technicznych (IP, fingerprint) w celach opisanych powyżej nie narusza praw i wolności Użytkowników, a interes Administratora w zakresie zapobiegania nadużyciom i ochrony Serwisu przeważa nad potencjalnym wpływem na prywatność Użytkowników. Użytkownikowi przysługuje prawo wniesienia sprzeciwu wobec takiego przetwarzania na zasadach określonych w §10.
Dane techniczne (IP, fingerprint) przechowywane są przez okres do 12 miesięcy od daty ostatniej aktywności Użytkownika w Serwisie.

§6. Profilowanie

W Serwisie może dochodzić do profilowania w rozumieniu art. 4 pkt 4 RODO, polegającego na automatycznym przetwarzaniu danych osobowych Użytkownika w celu oceny niektórych czynników osobowych, w szczególności do:
1. dostosowania wyświetlanych Zadań i ofert do profilu Użytkownika (region, platforma, historia aktywności),
2. wykrywania nieprawidłowości i podejrzanych wzorców aktywności wskazujących na nadużycia (np. multikonta, boty),
3. oceny ryzyka oszustwa przy realizacji Nagród o znacznej wartości.
Profilowanie nie prowadzi do podejmowania decyzji wywołujących wobec Użytkownika skutki prawne ani w podobny sposób istotnie na niego wpływających w sposób w pełni zautomatyzowany, bez udziału człowieka. Każda decyzja o zablokowaniu Konta lub odmowie realizacji Nagrody podlega weryfikacji przez pracownika Operatora.
Użytkownik ma prawo wniesienia sprzeciwu wobec profilowania na zasadach określonych w §10.

§7. Okres przetwarzania danych

Dane osobowe Użytkowników przetwarzane są przez następujące okresy:
1. przez czas trwania Konta w Serwisie, a po jego usunięciu - przez okres niezbędny do ustalenia, dochodzenia lub obrony przed roszczeniami, nie dłużej niż 6 lat (termin przedawnienia roszczeń cywilnoprawnych). Dane przetwarzane wyłącznie na podstawie zgody (marketing, newsletter) nie są objęte tym okresem i usuwane są niezwłocznie po cofnięciu zgody,
2. do momentu cofnięcia zgody - w odniesieniu do danych przetwarzanych na podstawie art. 6 ust. 1 lit. a RODO,
3. do momentu wniesienia skutecznego sprzeciwu - w odniesieniu do danych przetwarzanych na podstawie art. 6 ust. 1 lit. f RODO,
4. dane z dokumentów tożsamości (w przypadku weryfikacji KYC) - usuwane niezwłocznie po zakończeniu weryfikacji, nie później niż w terminie 7 dni od jej pozytywnego zakończenia.
Po upływie wskazanych okresów dane osobowe podlegają trwałemu usunięciu lub anonimizacji.

§8. Odbiorcy danych

Dane osobowe Użytkowników mogą być udostępniane następującym kategoriom odbiorców:
1. dostawcom usług hostingowych i infrastruktury IT,
2. partnerom udostępniającym Zadania (operatorom Offerwalli) - w zakresie niezbędnym do realizacji i weryfikacji wykonanych Zadań,
3. dostawcom usług płatniczych,
4. dostawcom narzędzi analitycznych (np. Google Analytics),
5. dostawcom sieci reklamowych (Google AdMob) - w związku z wyświetlaniem reklam premiowanych w aplikacji mobilnej,
6. dostawcom usług powiadomień push (Firebase Cloud Messaging, Apple Push Notification service, Expo) - w celu dostarczania powiadomień push na urządzenia mobilne,
7. organom ścigania i organom administracji publicznej - wyłącznie na podstawie obowiązujących przepisów prawa.
W związku ze współpracą z partnerami zagranicznymi (operatorami Offerwalli) niektóre dane mogą być przekazywane do podmiotów mających siedzibę poza Europejskim Obszarem Gospodarczym (EOG). W takim przypadku transfer realizowany jest na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub decyzji o adekwatności poziomu ochrony danych.

§9. Pliki cookies

Serwis wykorzystuje pliki cookies (ciasteczka), tj. niewielkie pliki tekstowe zapisywane na urządzeniu Użytkownika, zgodnie z przepisami ustawy z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej (t.j. Dz.U. z późn. zm.). Serwis stosuje następujące rodzaje plików cookies:
1. cookies sesyjne - niezbędne do prawidłowego działania Serwisu, usuwane po zakończeniu sesji,
2. cookies stałe - służące do zapamiętywania preferencji Użytkownika i utrzymania sesji logowania,
3. cookies podmiotów trzecich - wykorzystywane w celach analitycznych i statystycznych (w tym Google Analytics).
Cookies niezbędne do działania Serwisu (sesyjne i funkcjonalne) nie wymagają zgody Użytkownika. Cookies analityczne i marketingowe podmiotów trzecich instalowane są wyłącznie po uzyskaniu uprzedniej zgody Użytkownika, wyrażonej za pośrednictwem mechanizmu zarządzania zgodami (baner cookies) wyświetlanego przy pierwszej wizycie w Serwisie.
Użytkownik może w dowolnym momencie zmienić ustawienia dotyczące plików cookies w swojej przeglądarce internetowej, w tym zablokować ich zapisywanie lub usunąć zapisane pliki cookies. Ograniczenie stosowania plików cookies może wpłynąć na dostępność niektórych funkcjonalności Serwisu.

§10. Prawa Użytkownika

Na podstawie RODO Użytkownikowi przysługują następujące prawa:
1. prawo dostępu do treści swoich danych osobowych (art. 15 RODO),
2. prawo do sprostowania danych (art. 16 RODO),
3. prawo do usunięcia danych - „prawo do bycia zapomnianym" (art. 17 RODO). Administrator zastrzega, że prawo to może zostać ograniczone w zakresie, w jakim dalsze przetwarzanie jest niezbędne do zapobiegania nadużyciom oraz wykrywania multikont. Dotyczy to w szczególności sytuacji, w których Konto Użytkownika zostało zablokowane za naruszenie Regulaminu - w takim przypadku podstawowe dane techniczne (zanonimizowany adres e-mail, adres IP, fingerprint) mogą być przechowywane w celu uniemożliwienia ponownej rejestracji, na podstawie prawnie uzasadnionego interesu Administratora (art. 6 ust. 1 lit. f RODO w zw. z art. 17 ust. 3 lit. e RODO),
4. prawo do ograniczenia przetwarzania (art. 18 RODO),
5. prawo do przenoszenia danych (art. 20 RODO),
6. prawo do wniesienia sprzeciwu wobec przetwarzania (art. 21 RODO),
7. prawo do cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem (art. 7 ust. 3 RODO).
Realizacja powyższych praw odbywa się na wniosek Użytkownika, skierowany na adres: [email protected].
Administrator zobowiązuje się do rozpatrzenia wniosku niezwłocznie, nie później niż w terminie 30 dni od dnia jego otrzymania. W sprawach szczególnie skomplikowanych termin ten może zostać przedłużony o dalsze 60 dni, o czym Użytkownik zostanie poinformowany.
Użytkownikowi przysługuje prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa) - w przypadku uznania, że przetwarzanie danych osobowych narusza przepisy RODO.

§11. Bezpieczeństwo danych

Administrator wdraża odpowiednie środki techniczne i organizacyjne zapewniające ochronę danych osobowych przed nieuprawnionym dostępem, utratą, zniszczeniem lub nieuprawnioną modyfikacją, w tym w szczególności:
1. szyfrowanie transmisji danych protokołem SSL/TLS,
2. kontrolę dostępu do systemów informatycznych,
3. regularne tworzenie kopii zapasowych,
4. monitorowanie i rejestrowanie zdarzeń bezpieczeństwa.
W przypadku naruszenia ochrony danych osobowych, Administrator bez zbędnej zwłoki - nie później niż w terminie 72 godzin od stwierdzenia naruszenia - zgłasza je Prezesowi Urzędu Ochrony Danych Osobowych, zgodnie z art. 33 RODO. Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności Użytkowników, Administrator niezwłocznie informuje o tym również osoby, których dane dotyczą, zgodnie z art. 34 RODO.

§12. Postanowienia końcowe

Administrator zastrzega sobie prawo do zmiany niniejszej Polityki Prywatności. O istotnych zmianach Użytkownicy zostaną poinformowani za pośrednictwem Serwisu lub drogą elektroniczną.
W sprawach nieuregulowanych niniejszą Polityką zastosowanie mają przepisy RODO oraz prawa polskiego.
Niniejsza Polityka Prywatności wchodzi w życie z dniem 1 stycznia 2026 r.