Polityka Prywatności i Ochrony Danych Osobowych

Wstęp

Niniejsza Polityka Prywatności określa precyzyjne zasady gromadzenia, rejestrowania, przechowywania oraz zabezpieczania danych osobowych użytkowników korzystających z usług platformy. Przetwarzanie wszelkich informacji o charakterze personalnym odbywa się w ścisłej zgodności z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (RODO / GDPR). Infrastruktura informatyczna serwisu wdraża certyfikowane standardy szyfrowania TLS 1.3 oraz 256-bitowe protokoły kryptograficzne SSL, co uniemożliwia nieautoryzowany przechwyt pakietów transmisyjnych przez podmioty trzecie.

Uczestnictwo we wszystkich dostępnych formatach rozrywki hazardowej, w tym certyfikowane automaty slots oraz gry stołowe na prawdziwe pieniądze, podlega bezwzględnemu ograniczeniu wiekowemu 18+. Rejestracja profilu wiąże się ze zautomatyzowaną oraz manualną weryfikacją tożsamości, do której zobowiązuje Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board. Oficjalny portal operacyjny casino Marvel stosuje zaawansowane filtry geolokalizacyjne i mechanizmy analityczne blokujące próby logowania lub zakładania kont przez osoby małoletnie.

Wszelkie operacje bazodanowe opierają się na fundamentalnych zasadach legalizmu, rzetelności, minimalizacji zbieranych rekordów oraz ograniczenia czasowego przechowywania danych. Użytkownik zachowuje pełną kontrolę nad zakresem udostępnianych informacji w granicach wyznaczonych przez bezwzględnie obowiązujące przepisy przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu (AML/KYC).

Standardy prawne i certyfikacja: Niniejsza dokumentacja stanowi integralną część warunków operacyjnych serwisu Marvel i definiuje prawa oraz obowiązki stron w myśl europejskiego prawa ochrony danych osobowych (RODO / GDPR). Wszystkie procedury teleinformatyczne, przetwarzanie transakcji oraz weryfikacje tożsamości podlegają stałemu nadzorowi Inspektora Ochrony Danych oraz niezależnym audytom technicznym.

Administrator danych i podstawa działania

Głównym administratorem danych osobowych rejestrowanych i przetwarzanych w ramach serwisu Marvel jest podmiot Marvel Entertainment Gaming N.V., wpisany do rejestru handlowego Curaçao pod numerem 154820 (Abraham de Veerstraat 9, Willemstad, Curaçao). Prowadzenie działalności hazardowej w sieci opiera się na oficjalnej podstawie prawnej: Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board. Licencja ta zobowiązuje administratora do przestrzegania ścisłych norm bezpieczeństwa teleinformatycznego oraz bezwzględnej poufności baz rekordów graczy.

Funkcję oficjalnego przedstawiciela oraz biura operacyjnego na terytorium Rzeczypospolitej Polskiej pełni spółka Marvel Media Polska Sp. z o.o. z siedzibą pod adresem:

ul. Prosta 68, 00-838 Warszawa, Polska

Spółka zarejestrowana jest pod numerami: KRS 0000984125, NIP: 5252894102, REGON: 389415203. Prawidłowość i zgodność procesów przetwarzania z unijnymi dyrektywami nadzoruje powołany Inspektor Ochrony Danych (IOD), z którym korespondencję prowadzić można pod adresem e-mail: [email protected].

Zautomatyzowana oraz manualna kontrola tożsamości, audyty przepływów depozytowych i archiwizacja rekordów użytkowników stanowią bezpośrednią realizację ustawowych procedur KYC (Know Your Customer) oraz AML (Anti-Money Laundering), których celem jest zwalczanie przestępczości finansowej i prania pieniędzy.

Kategorie przetwarzanych danych

Zakres zbieranych informacji jest ściśle zdefiniowany i wynika bezpośrednio z wymogów technicznych świadczenia usług hazardowych online, obsługi konta gracza oraz obowiązków nałożonych przez licencję Curaçao nr 8048/JAZ. Zgodnie z zasadą minimalizacji danych (art. 5 ust. 1 lit. c RODO), przetwarzanie obejmuje wyłącznie rekordy niezbędne do realizacji celów operacyjnych, podzielone na cztery główne kategorie:

Dane identyfikacyjne (ID): imię, nazwisko, data urodzenia potwierdzająca ukończenie 18 roku życia, seria i numer ważnego dokumentu tożsamości (dowód osobisty lub paszport międzynarodowy) oraz wizerunek twarzy na fotografiach weryfikacyjnych przekazywanych w procesie KYC.
Dane kontaktowe i adresowe: aktywny adres poczty elektronicznej (e-mail) przypisany do profilu, numer telefonu komórkowego z polskim kodem kraju +48 oraz zweryfikowany adres stałego miejsca zamieszkania (kraj, miasto, kod pocztowy, nazwa ulicy i numer lokalu).
Dane finansowo-transakcyjne: historia wpłat i wypłat realizowanych za pośrednictwem certyfikowanych bramek płatniczych (BLIK, karty Visa/Mastercard, Revolut, Jeton oraz portfele kryptowalutowe), zanonimizowane identyfikatory transakcji, 4 ostatnie cyfry numeru karty płatniczej, numery rachunków bankowych IBAN do realizacji przelewów wychodzących, statystyki obrotu bonusem oraz aktualne saldo środków w PLN.
Dane techniczne i teleinformatyczne: publiczny adres IP urządzenia, znaczniki czasu sesji logowania, geolokalizacja połączenia sieciowego, typ i wersja przeglądarki, identyfikatory systemowe urządzenia końcowego oraz techniczne pliki cookies wymagane do zachowania ciągłości uwierzytelnienia i ochrony sesji gry.

Serwis nie gromadzi ani nie przetwarza danych osobowych szczególnych kategorii (danych wrażliwych), w tym informacji o stanie zdrowia, pochodzeniu rasowym czy poglądach politycznych. Wszystkie zarejestrowane zbiory danych podlegają rygorystycznemu szyfrowaniu bazodanowemu.

Cele przetwarzania danych

Gromadzenie oraz przetwarzanie danych osobowych użytkowników opiera się na ściśle określonych przesłankach prawnych wynikających z art. 6 ust. 1 RODO oraz postanowień normatywnych licencji Curaçao nr 8048/JAZ. Każda operacja teleinformatyczna prowadzona w strukturze platformy służy bezpośrednio prawidłowemu świadczeniu usług hazardowych, bezpieczeństwu bilansu konta oraz spełnieniu bezwzględnych wymogów prawnych:

Realizacja umowy i świadczenie usług (art. 6 ust. 1 lit. b RODO): rejestracja i techniczne utrzymanie konta gracza, autoryzacja wpłat depozytowych (BLIK, karty płatnicze Visa/Mastercard, e-portfele, transfery kryptowalutowe), wypłata wygranych środków, udostępnianie certyfikowanych automatів slots i gier stołowych oraz przeliczanie parametrów obrotu wskaźnika wager.
Wypełnianie obowiązków prawnych (art. 6 ust. 1 lit. c RODO): realizacja ustawowych procedur KYC (Know Your Customer) i AML (Anti-Money Laundering), weryfikacja ukończenia 18 roku życia, kontrola legalności pochodzenia kapitału, blokowanie transferów z jurysdykcji objętych sankcjami oraz archiwizacja dokumentacji transakcyjnej przez okres wymagany prawem podatkowym.
Ochrona integralności technicznej i zapobieganie nadużyciom (art. 6 ust. 1 lit. f RODO): identyfikacja prób multiplikacji profili (multi-accounting), eliminacja fraudów płatniczych, audyty generatorów liczb losowych (RNG), ochrona serwerów przed atakami teleinformatycznymi DDoS oraz zabezpieczanie sesji za pomocą 256-bitowego szyfrowania TLS 1.3.
Bezpośrednia komunikacja techniczno-operacyjna (art. 6 ust. 1 lit. b i f RODO): przekazywanie informacji o statusie weryfikacji tożsamoсті, generowanie potwierdzeń zrealizowanych dyspozycji wypłat, powiadomienia o modyfikacjach warunków regulaminowych oraz bieżąca obsługa zgłoszeń za pośrednictwem całodobowego czatu na żywo i poczty elektronicznej.

Przetwarzanie danych nie obejmuje zautomatyzowanego podejmowania decyzji wywołującego skutki prawne wobec użytkownika, z wyjątkiem systemowych blokad bezpieczeństwa inicjowanych w przypadku wykrycia prób ingerencji w algorytmy oprogramowania, duplikacji kont lub prania kapitału.

Udostępnianie danych i odbiorcy

Udostępnianie zgromadzonych rekordów osobowych podmiotom zewnętrznym odbywa się w trybie ściśle reglamentowanym, wykluczającym jakąkolwiek komercyjную dystrybucję, odsprzedaż lub udostępnianie baz danych w celach marketingowych. Zgodnie z art. 28 RODO, powierzenie przetwarzania informacji następuje wyłącznie na podstawie sformalizowanych umów powierzenia przetwarzania danych osobowych (Data Processing Agreement – DPA), nakładających na kontrahentów rygorystyczne normy techniczne oraz pełną odpowiedzialność prawną za integralność pakietów transmisyjnych.

Kategorie autoryzowanych odbiorców danych obejmują podmioty bezpośrednio uczestniczące w bezpiecznym świadczeniu usług rozrywkowych:

Instytucje płatnicze i operatorzy transakcyjni: licencjonowane bramki rozliczeniowe obsługujące depozyty i wypłaty w walucie PLN (system BLIK, operatorzy kart Visa i Mastercard, Revolut, e-portfele Jeton oraz zautomatyzowane węzły sieci kryptowalutowych) — wyłącznie w zakresie niezbędnym do natychmiastowego zaksięgowania środków, autoryzacji transferu oraz przeciwdziałania oszustwom finansowym.
Dostawcy oprogramowania i gier slots: licencjonowani deweloperzy certyfikowanych automatów i gier stołowych (w tym NetEnt, Pragmatic Play) — transfer obejmuje wyłącznie zanonimizowane identyfikatory sesji oraz parametry zakładów, co służy weryfikacji wskaźników RTP i stabilności generatora liczb losowych (RNG).
Laboratoria audytorskie i certyfikujące: niezależne ośrodki badawcze (eCOGRA, iTech Labs) przeprowadzające okresowe audyty integralności algorytmów oraz poprawności rozliczeń wygranych.
Dostawcy infrastruktury teleinformatycznej i cyberbezpieczeństwa: operatorzy zabezpieczeń serwerowych chroniący platformę przed atakami wolumetrycznymi DDoS oraz dostawcy certyfikatów kryptograficznych TLS 1.3 i SSL 256-bit.
Uprawnione organy państwowe i nadzorcze: sądy, prokuratury, jednostki wywiadu finansowego oraz organy podatkowe — wyłącznie na podstawie oficjalnego, prawomocnego nakazu prawnego wynikającego z przepisów o przeciwdziałaniu praniu pieniędzy (AML) lub zwalczaniu terroryzmu.

Wszelkie procesy koordynacji umów powierzenia DPA oraz nadzór nad procedurami odbiorców danych na terytorium Polski realizuje oficjalne biuro operacyjne Marvel Media Polska Sp. z o.o., zlokalizowane pod adresem:

ul. Prosta 68, 00-838 Warszawa, Polska

(KRS: 0000984125, NIP: 5252894102, REGON: 389415203), działające pod nadzorem podmiotu zarządzającego Marvel Entertainment Gaming N.V. na podstawie Licencji Curaçao nr 8048/JAZ, wydanej przez Curaçao Gaming Control Board.

Prawa użytkownika

Na mocy przepisów ogólnego rozporządzenia o ochronie danych (RODO / GDPR) każda osoba fizyczna, której dane dotyczą, posiada niezbywalny katalog uprawnień procesowych w relacji z administratorem. Realizacja poniższych praw jest bezpłatna, nie wpływa na bieżący stan salda gracza i następuje w trybie formalnego wniosku weryfikowanego w terminie do 30 dni kalendarzowych:

Prawo dostępu do danych (art. 15 RODO): uprawnienie do uzyskania jednoznacznego potwierdzenia, czy dane są przetwarzane, oraz pobrania ustrukturyzowanej kopii rekordów (w standardzie maszynowym CSV lub dokumentacji PDF), w tym historii logowań, bilansu stawek i zapisów transakcyjnych.
Prawo do sprostowania i uzupełnienia (art. 16 RODO): możliwość natychmiastowej korekty nieaktualnych lub błędnych informacji ewidencyjnych (np. zmiana nazwiska, numeru kontaktowego czy adresu korespondencyjnego) po przedłożeniu stosownego dokumentu potwierdzającego zmianę.
Prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO): możliwość żądania trwałego wykasowania profilu po uprzednim zamknięciu konta i rozliczeniu salda na prawdziwe pieniądze. Uprawnienie to podlega wyłączeniu w zakresie, w jakim przechowywanie dokumentacji wynika z bezwzględnych obowiązków przeciwdziałania praniu pieniędzy (AML) oraz prawa podatkowego.
Prawo do ograniczenia przetwarzania (art. 18 RODO): żądanie zawieszenia modyfikacji lub operacji analitycznych na koncie gracza w przypadku kwestionowania prawidłowości danych bądź legalności ich przetwarzania na czas trwania audytu wyjaśniającego.
Prawo do przenoszenia danych (art. 20 RODO): możliwość bezpośredniego wyeksportowania przekazanych informacji w ustrukturyzowanym, powszechnie używanym formacie elektronicznym i przesłania ich wskazanemu zewnętrznemu podmiotowi gospodarczemu.
Prawo do sprzeciwu (art. 21 RODO): bezwzględny zakaz dalszego przetwarzania informacji w celach profilowania behawioralnego, statystycznego oraz marketingu bezpośredniego.

Wszelkie dyspozycje formalne, zapytania prawne oraz oświadczenia dotyczące realizacji praw podmiotowych należy zgłaszać bezpośrednio do wyznaczonego Inspektora Ochrony Danych pod adresem e-mail: [email protected]. Użytkownik zachowuje również prawo wniesienia skargi do właściwego organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (UODO) w Warszawie.

Pliki cookies i podobne technologie

Pliki cookies oraz powiązane identyfikatory obiektów pamięci podręcznej (Local Storage, Session Storage) stanowią pakiety parametrów tekstowych zapisywane na urządzeniu końcowym podczas nawiązywania bezpiecznej sesji z serwerem. Architektura teleinformatyczna serwisu wykorzystuje pliki cookie w celu zachowania ciągłości uwierzytelniania profilu gracza, optymalizacji buforowania zasobów graficznych oraz diagnostyki stabilności połączeń sieciowych.

Struktura przetwarzania danych w pamięci przeglądarki obejmuje trzy ścisłe kategorie znaczników:

Niezbędne pliki techniczne (Strictly Necessary): odpowiadają za utrzymanie bezpiecznego tokena sesji, ochronę przed atakami typu CSRF (Cross-Site Request Forgery) oraz dystrybucję obciążenia na węzłach serwerowych. Są usuwane automatycznie po wylogowaniu lub zamknięciu okna aplikacji przeglądarkowej.
Pliki funkcjonalne i konfiguracyjne: rejestrują preferencje interfejsu (w tym format wyświetlania salda PLN, wybór domyślnej wersji językowej) i pozostają aktywne przez okres maksymalnie 30 dni od momentu ostatniej interakcji.
Pliki analityczno-statystyczne: służą do anonimowego monitorowania wskaźników wydajnościowych kodu, błędów skryptów oraz czasu ładowania podstron. Dane te podlegają pełnej agregacji i uniemożliwiają bezpośrednią identyfikację tożsamości użytkownika.

Użytkownik zachowuje pełne prawo do modyfikacji konfiguracji ciasteczek za pośrednictwem ustawień własnej przeglądarki internetowej (blokowanie zapisu, usuwanie istniejących pakietów). Wyłączenie plików niezbędnych technicznie może jednak ograniczyć dostępność procedur logowania oraz bezpiecznej autoryzacji transakcji depozytowych.

SPRAWDŹ USTAWIENIA

Bezpieczeństwo danych i ochrony systemów

Infrastruktura serwerowa platformy Marvel opiera się na wielopoziomowej architekturze zabezpieczeń logicznych i fizycznych, spełniającej rygorystyczne normy międzynarodowe ISO/IEC 27001 w zakresie poufności, integralności i dostępności baz rekordów. Bezpieczeństwo sesji użytkowników oraz transmisji kapitału gwarantują bezpośrednio wdrożone standardy inżynieryjne:

Szyfrowanie połączeń sieciowych: implementacja 256-bitowych kluczy kryptograficznych SSL oraz protokołów TLS 1.2 i TLS 1.3 zabezpieczających autoryzację logowania, przetwarzanie formularzy oraz komunikację z bankowością internetową.
Niezależna weryfikacja algorytmów RNG: generatory liczb losowych obsługujące automaty slots oraz gry stołowe podlegają cyklicznym audytom integralności prowadzonym przez akredytowane laboratoria techniczne eCOGRA oraz iTech Labs, co wyklucza jakąkolwiek ingerencję w matematyczne wskaźniki RTP.
Ochrona infrastruktury i separacja baz danych: wdrożenie sprzętowych zapor ogniowych Web Application Firewall (WAF), aktywna ochrona przed atakami wolumetrycznymi DDoS oraz redundancja macierzy dyskowych w certyfikowanych centrach danych klasy Tier III.
Ścisła reglamentacja dostępu fizycznego: dostęp do serwerów przechowujących dokumentację weryfikacyjną KYC posiada wyłącznie upoważniony personel operacyjny podmiotu Marvel Media Polska Sp. z o.o., zlokalizowanego pod adresem
ul. Prosta 68, 00-838 Warszawa, Polska
, pod bezpośrednim nadzorem Inspektora Ochrony Danych.

Zgodnie z wymogami, które nakłada Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board, platforma przeprowadza kwartalne testy penetracyjne podatności systemowych oraz utrzymuje procedurę natychmiastowego powiadamiania organów nadzorczych o ewentualnych incydentach bezpieczeństwa w czasie nieprzekraczającym 72 godzin.

Przekazywanie danych poza EOG

Przetwarzanie danych osobowych użytkowników zarejestrowanych w serwisie odbywa się zasadniczo w granicach Europejskiego Obszaru Gospodarczego (EOG). W sytuacjach, w których infrastruktura chmurowa, węzły zapasowe lub licencjonowani dostawcy usług teleinformatycznych posiadają serwery zlokalizowane w państwach trzecich, transfer rekordów podlega bezwzględnym rygorom prawnym określonym w Rozdziale V RODO (GDPR).

Podstawą prawną transgranicznego przepływu pakietів transmisyjnych jest wdrożenie przez operatora Marvel Entertainment Gaming N.V. oraz podmiot krajowy Marvel Media Polska Sp. z o.o. Standardowych Klauzul Umownych (Standard Contractual Clauses – SCC), formalnie zatwierdzonych decyzją wykonawczą Komisji Europejskiej. W przypadku braku decyzji stwierdzającej odpowiedni stopień ochrony w danej jurysdykcji, administrator stosuje dodatkowe zabezpieczenia techniczne w postaci szyfrowania AES-256 w spoczynku i protokołu TLS 1.3 w tranzycie, co wyklucza bezpośredni dostęp organów państw trzecich do tożsamości gracza.

Odbiorcy danych poza EOG podlegają periodycznym audytom zgodności technicznej, a zakres przekazywanych rekordów jest ograniczony do zaszyfrowanych identyfikatorów niezbędnych do autoryzacji procesów transakcyjnych oraz weryfikacji antyfraudowej AML.

Zmiany polityki i data obowiązywania

Wszelkie modyfikacje postanowień niniejszej Polityki Prywatności wynikają z okresowych audytów infrastruktury teleinformatycznej, wdrażania zaktualizowanych norm kryptograficznych oraz dostosowywania procedur do bieżących wytycznych Europejskiej Rady Ochrony Danych (EROD) i organu regulacyjnego Curaçao Gaming Control Board (Licencja Curaçao nr 8048/JAZ). O istotnych zmianach funkcjonalnych lub prawnych administrator zawiadamia zarejestrowanych użytkowników z wyprzedzeniem minimum 14 dni roboczych za pośrednictwem bezpośredniego komunikatu w panelu profilu oraz drogą elektroniczną.

Dalsze korzystanie z usług platformy po upływie terminu publikacji znowelizowanego regulaminu oznacza akceptację wdrożonych standardów przetwarzania rekordów ewidencyjnych. Użytkownik nieakceptujący nowych warunków zachowuje prawo do zlecenia natychmiastowego zamknięcia konta i usunięcia profilu na zasadach określonych w sekcji dotyczącej praw podmiotu danych.

Data wejścia w życie znowelizowanych procedur systemowych: 12 maja 2026 r..

POWRÓT DO WITRYNY