Polityka prywatności

§1. Administrator i zakres

1. Administratorem danych osobowych jest Krzysztof Gieraga, ul. Adamówek 46, 95-035 Ozorków (dalej: Administrator). Kontakt w sprawach danych osobowych: kontakt@recydywa.pl.
2. Polityka dotyczy serwera gry RECYDYWA na platformie FiveM (dalej: Serwer), strony recydywa.pl ze sklepem i panelem gracza, panelu administracyjnego Serwera oraz bota moderującego serwer Discord RECYDYWA.
3. Administrator stosuje środki techniczne i organizacyjne chroniące dane przed utratą, nieuprawnionym dostępem i zmianą (§10).

§2. Jakie dane przetwarzamy i skąd

1. Konto gracza (podajesz przy rejestracji w grze): login, adres e-mail i informacja o jego potwierdzeniu, hasło wyłącznie w postaci skrótu (nigdy w jawnej postaci), daty założenia konta i ostatniego logowania.
2. Połączenie z Serwerem (przekazuje je klient FiveM): nazwa gracza, identyfikatory nadawane przez FiveM (licencja Rockstar, identyfikator FiveM, a jeśli masz je połączone z FiveM – identyfikatory Steam i Discord), tokeny urządzenia generowane przez FiveM oraz adres IP połączenia.
3. Rozgrywka (powstają w czasie gry): postacie (nick, płeć, wygląd), położenie i stan postaci, pieniądze, konto bankowe w grze z historią operacji, ekwipunek, pojazdy, prace i zarobki, poziomy, licencje, ranga, nałożone kary oraz dziennik zdarzeń Serwera.
4. Strona i sklep: sesje logowania, skrót adresu IP liczony z tajnym kluczem (samego adresu IP strona nie zapisuje), informacja o przeglądarce, nieudane próby logowania i blokady, dziennik zdarzeń (logowania, zmiany hasła i ustawień, płatności, działania w panelu administracyjnym), a jeśli włączysz weryfikację dwuetapową – zaszyfrowany klucz aplikacji uwierzytelniającej i skróty kodów zapasowych.
5. Statystyki odwiedzin (tylko za Twoją zgodą): identyfikator z pliku cookie Google Analytics, odwiedzone podstrony i czas wizyty, typ urządzenia i przeglądarki oraz przybliżona lokalizacja (kraj, miasto) ustalona przez Google z adresu IP.
6. Płatności i zakupy: numer płatności, kwota, status, numer transakcji nadany przez Operatora płatności, adres e-mail, jeśli podasz go przy płatności, wersja zaakceptowanego regulaminu, historia Portfela i zakupów. Danych rachunku bankowego ani BLIK nie otrzymujemy – przetwarza je Operator płatności. Do zwrotu pieniędzy możemy poprosić o numer rachunku.
7. Discord: jeśli w czasie gry działa aplikacja Discord połączona z FiveM, Serwer odczytuje Twój identyfikator Discord, aby sprawdzić, czy jesteś na serwerze Discord RECYDYWA (i ewentualnie wyświetlić zaproszenie), oraz pobiera Twój awatar Discord do czatu w grze. Na serwerze Discord RECYDYWA działa bot moderacyjny (np. wyrzucenie, wyciszenie).
8. Korespondencja: treść wiadomości e-mail i zgłoszeń wysłanych do Administratora.

§3. Cele i podstawy prawne

1. Prowadzenie Konta, umożliwienie gry na Serwerze, prowadzenie Portfela, sprzedaż i dostarczanie Usług, obsługa panelu gracza – art. 6 ust. 1 lit. b RODO (wykonanie umowy).
2. Wysyłanie wiadomości e-mail związanych z kontem: kodów potwierdzenia, kodów resetu hasła i powiadomień o bezpieczeństwie (np. zmianie weryfikacji dwuetapowej) – art. 6 ust. 1 lit. b i f RODO.
3. Rozliczenia płatności, obsługa reklamacji, odstąpień i zwrotów, obowiązki wynikające z przepisów konsumenckich i podatkowych – art. 6 ust. 1 lit. c RODO.
4. Bezpieczeństwo kont, strony i Serwera, wykrywanie oszustw i nieuczciwej gry, egzekwowanie zasad Serwera (kary i blokady), ustalanie, dochodzenie i obrona roszczeń – art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora).
5. Publiczne rankingi i statystyki na stronie i w grze (nick postaci i wyniki) – art. 6 ust. 1 lit. f RODO.
6. Statystyki odwiedzin strony (Google Analytics) – art. 6 ust. 1 lit. a RODO (zgoda). Zgodę wycofasz w każdej chwili przyciskiem „Ustawienia cookie” w stopce strony; wycofanie nie zmienia zgodności z prawem wcześniejszego przetwarzania.
7. Zaproszenie na serwer Discord i awatar Discord w czacie gry – art. 6 ust. 1 lit. f RODO.
8. Podanie danych jest dobrowolne, ale bez loginu, hasła i adresu e-mail nie można założyć Konta, a bez płatności przez Operatora płatności – doładować Portfela.

§4. Komu przekazujemy dane

Podmioty przetwarzające dane na zlecenie Administratora:

• Cloudflare, Inc. (USA) – hosting strony i panelu administracyjnego, bazy danych strony i danych gry, ochrona przed atakami.
• Skillhost (skillhost.pl) – serwer VPS, na którym działa Serwer.
• OVH – skrzynka pocztowa domeny recydywa.pl i wysyłka wiadomości e-mail.
• Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlandia) – statystyki odwiedzin (Google Analytics), tylko po Twojej zgodzie.

Odrębni administratorzy, którzy przetwarzają dane według własnych zasad:

• Payments Lab sp. z o.o., ul. Chmielna 2/31, 00-020 Warszawa, KRS 0000845085 (dpay.pl) – Operator płatności, obsługa doładowań Portfela.
• Discord Inc. – jeśli korzystasz z Discorda.
• Cfx.re i Rockstar Games (Take-Two Interactive) – dostawcy platformy FiveM i gry Grand Theft Auto V.
• Organy państwowe i inne podmioty uprawnione z mocy prawa – gdy wymagają tego przepisy.

Publicznie widoczne są: nick postaci i wyniki w rankingach na stronie i w grze, a w grze – nick postaci, ranga i awatar w czacie. Pozostałych danych nie publikujemy ani nie sprzedajemy.

§5. Przekazywanie danych poza EOG

Cloudflare, Inc. i Discord Inc., a przy statystykach także Google LLC, mają siedzibę w USA. Przekazanie danych odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) dla podmiotów nią objętych albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską. Na żądanie przekażemy informacje o zastosowanych zabezpieczeniach.

§6. Jak długo przechowujemy dane

• Konto i dane rozgrywki – do usunięcia Konta. Po usunięciu zachowujemy tylko dane wymienione niżej, przez wskazany czas.
• Płatności, Portfel i zakupy – do upływu terminów przedawnienia roszczeń oraz okresów wymaganych przepisami podatkowymi, zwykle do 6 lat od końca roku, w którym dokonano płatności.
• Sesje logowania na stronie – do wylogowania, najdłużej 30 dni (7 dni bez aktywności); sesje panelu administracyjnego – najdłużej 8 godzin.
• Blokady po nieudanych logowaniach – do godziny po ich wygaśnięciu; kody resetu hasła – do ich wygaśnięcia.
• Dziennik zdarzeń strony – 12 miesięcy.
• Statystyki odwiedzin (Google Analytics) – 2 miesiące; Twój wybór w sprawie zgody – w przeglądarce, dopóki go nie zmienisz albo nie wyczyścisz danych strony.
• Identyfikatory FiveM i tokeny urządzenia – do usunięcia Konta. Kary na Serwerze oraz identyfikatory i tokeny potrzebne do ich egzekwowania – także po usunięciu Konta, przez czas trwania kary.
• Korespondencja – do zakończenia sprawy, a jeśli dotyczy płatności lub reklamacji – tak jak dane płatności.

§7. Twoje prawa

1. Masz prawo dostępu do swoich danych i otrzymania ich kopii, ich sprostowania, usunięcia (w tym usunięcia Konta), ograniczenia przetwarzania, przenoszenia danych przetwarzanych na podstawie umowy oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.
2. Wniosek wyślij na adres kontakt@recydywa.pl z adresu e-mail przypisanego do Konta albo podaj login z gry. Odpowiadamy w ciągu miesiąca.
3. Usunięcie danych nie obejmuje danych, które musimy przechowywać na podstawie przepisów, danych potrzebnych do ustalenia, dochodzenia lub obrony roszczeń oraz danych potrzebnych do egzekwowania trwającej kary.
4. Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

§8. Pliki cookie i dane zapisywane na urządzeniu

• __Host-rcd_session – utrzymuje logowanie na stronie, najdłużej 30 dni.
• __Host-rcd_admin – utrzymuje logowanie do panelu administracyjnego, najdłużej 8 godzin.
• Cloudflare może zapisać techniczne pliki cookie służące ochronie strony przed botami i atakami.
• _ga i _ga_… – Google Analytics, zapisywane tylko po Twojej zgodzie, do 2 lat. Po wycofaniu zgody („Ustawienia cookie” w stopce) usuwamy je.
• Twój wybór w sprawie statystyk zapisujemy w pamięci przeglądarki. Nie używamy plików cookie reklamowych. Zapisywanie plików cookie możesz ograniczyć w ustawieniach przeglądarki, ale bez nich logowanie nie zadziała.
• Gra zapisuje na Twoim komputerze ustawienia (np. głośność i wyciszenie muzyki, klawisze) oraz, jeśli zaznaczysz „Zapamiętaj mnie”, losowy token zapamiętanego logowania – w bazie przechowujemy tylko jego skrót.

§9. Zautomatyzowane decyzje

Nie profilujemy użytkowników w celach marketingowych i nie podejmujemy wobec nich decyzji wywołujących skutki prawne wyłącznie automatycznie. Automatyczne zabezpieczenia, takie jak czasowa blokada logowania po kilku nieudanych próbach, mają charakter tymczasowy i służą ochronie kont.

§10. Bezpieczeństwo

Połączenia ze stroną są szyfrowane (HTTPS). Hasła przechowujemy wyłącznie jako skróty (scrypt w grze, PBKDF2 na stronie), klucze weryfikacji dwuetapowej – zaszyfrowane, adresy IP na stronie – jako skróty z tajnym kluczem. Panel administracyjny wymaga weryfikacji dwuetapowej, a komunikacja między grą a stroną jest podpisywana.

§11. Zmiany polityki

Administrator może zmienić politykę, np. w związku ze zmianą przepisów lub usług. Nowa wersja obowiązuje od daty podanej na początku dokumentu, a o istotnych zmianach informujemy na stronie lub na Discordzie Serwera. W sprawach nieuregulowanych stosuje się RODO i przepisy prawa polskiego.