Integritetspolicy

§1. Inledning och uppgifter om den Personuppgiftsansvarige

1. Denna Integritetspolicy fastställer principerna för behandling av personuppgifter av CYBERMONKEY SP. Z O.O. med säte i Warszawa, på adressen: al. Jana Pawła II 43A/37B, 01-001 Warszawa, Polen, infört i företagsregistret i det nationella domstolsregistret (Rejestr Przedsiębiorców Krajowego Rejestru Sądowego) som förs av Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego, under nummer KRS: 0000911855, NIP: 7441827778, REGON: 389514743, med ett aktiekapital på 5 000,00 zł (nedan kallad: ”Personuppgiftsansvarig”), i samband med att Användare nyttjar de tjänster som erbjuds på webbplatsen mchost.pl (nedan kallad: ”Webbplatsen”).

2. Den Personuppgiftsansvarige värnar om skyddet av Användarnas personliga integritet på Webbplatsen och vidtar nödvändiga åtgärder för att säkerställa personuppgifternas säkerhet. Den Personuppgiftsansvariges verksamhet bedrivs i enlighet med gällande unionsrättsliga och nationella bestämmelser, i synnerhet Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 (nedan kallad: ”GDPR”), lagen av den 10 maj 2018 om skydd av personuppgifter (ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, nedan kallad: ”Lagen”) samt lagen av den 12 juli 2024 – lag om elektronisk kommunikation (ustawa z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej, nedan kallad: ”PKE”).

3. Den Personuppgiftsansvarige har inte utsett något dataskyddsombud. I frågor som rör behandling av personuppgifter vänligen kontakta oss via e-post på adressen: [email protected] eller skriftligen till Bolagets sätesadress.

§2. Definitioner

De begrepp som används i Policyn har följande betydelse:

1. Personuppgiftsansvarig - CYBERMONKEY SP. Z O.O., som avses i §1.

2. Webbplatsen - webbplatsen som är tillgänglig på adressen https://mchost.pl.

3. Användare - varje fysisk person som använder Webbplatsen, oavsett om personen har ett Kundkonto i den mening som avses i Villkoren.

4. Kund - en Användare som har ingått ett avtal med den Personuppgiftsansvarige om tillhandahållande av Tjänster på de villkor som anges i Villkoren.

5. Spelare - en tredje part som ansluter till en spelserver som hostas av Kunden inom ramen för Tjänsten; med avseende på Spelarnas personuppgifter är Kunden personuppgiftsansvarig, medan den Personuppgiftsansvarige agerar som personuppgiftsbiträde.

6. Tjänst - en tjänst som tillhandahålls elektroniskt av den Personuppgiftsansvarige till Kunden, i synnerhet hosting av en spelserver, på de villkor som anges i Villkoren.

7. Villkoren - Villkoren för tillhandahållande av tjänster som finns tillgängliga på Webbplatsen.

8. Övriga begrepp har den betydelse som tillskrivs dem i GDPR, PKE samt i Villkoren.

§3. Policyns tillämpningsområde

1. Denna Policy omfattar personuppgifter som behandlas av den Personuppgiftsansvarige i egenskap av personuppgiftsansvarig i samband med driften av Webbplatsen och tillhandahållandet av Tjänster till Kunder (kontaktuppgifter, faktureringsuppgifter, uppgifter om Kundkonto).

2. Beträffande personuppgifter om Spelare som ansluter till Kundens server (i synnerhet IP-adresser, identifierare, loggar, aktivitetsstatistik) är Kunden (serverägaren) personuppgiftsansvarig för dessa uppgifter, medan den Personuppgiftsansvarige agerar som personuppgiftsbiträde (processor) på grundval av ett personuppgiftsbiträdesavtal (DPA - Data Processing Agreement).

   Undantag - hemvariant: Om Kunden försäkrar att servern uteslutande är avsedd för vänner utan kommersiella syften (privat hemvariant) och inte kommer att samla in uppgifter om Spelare, är Policyn med avseende på GDPR inte tillämplig gentemot Spelare. I en sådan variant:

   • kan Kunden åberopa undantaget i skäl 18 i GDPR (verksamhet av rent privat natur eller som har samband med personens hushåll),
   • men den Personuppgiftsansvarige är fortfarande skyldig att säkerställa infrastrukturens säkerhet och förmågan att stödja registrerades rättigheter om uppgifter faktiskt samlas in.

   Personuppgiftsbiträdets roll oavsett variant: Den Personuppgiftsansvarige är skyldig att (på grundval av art. 28 i GDPR och DPA):

   • handla uteslutande på instruktioner från den personuppgiftsansvarige,
   • säkerställa åtgärder enligt art. 32 i GDPR (kryptering, övervakning, säkerhetskopior),
   • underrätta den personuppgiftsansvarige om varje konstaterad personuppgiftsincident utan onödigt dröjsmål (senast inom 48 timmar),
   • bistå vid utövandet av registrerades rättigheter (tillgång till, radering av, dataportabilitet för uppgifter),
   • föra ett register över kategorier av behandling,
   • möjliggöra revision och granskning av den personuppgiftsansvarige (utan vetorättsbegränsningar och utan begränsning till en revision per 12 månader),
   • hantera underbiträden (kräva avtal med samma skyldigheter enligt art. 28 ust. 4 i GDPR),
   • efter Tjänstens upphörande: återlämna eller radera alla uppgifter (inklusive säkerhetskopior) eller lagra dem uteslutande på grundval av lag.

   Detaljerade villkor fastställs i Bilaga nr 2 till Villkoren (DPA).

3. Spelare vars uppgifter behandlas inom ramen för Kundens server kan göra sina rättigheter gällande direkt gentemot Kunden i dennes egenskap av personuppgiftsansvarig för deras uppgifter. Den Personuppgiftsansvarige ansvarar inte för fullgörandet av Kundens informationsskyldighet gentemot Spelarna.

4. Tjänster riktade till barn och vårdnadshavares samtycke:

   • a) beroende på marknadsinriktning kan Tjänsten vara tillgänglig för barn under 16 år (Polen, Tyskland, Nederländerna, Sverige) eller 14 år (Spanien), i enlighet med art. 8 i GDPR och nationella bestämmelser,
   • b) om en specifik behandling grundar sig på barnets samtycke (art. 6 ust. 1 lit. a i GDPR) och barnet inte har uppnått den ålder som gäller för dess medlemsstat, kräver den Personuppgiftsansvarige samtycke från person med föräldraansvar (förälder, vårdnadshavare),
   • c) den Personuppgiftsansvarige samlar inte automatiskt in Användarens födelsedatum, men kan på begäran be om en uppgift om ålder eller Användarens ålder, och kommer inte som standard att erbjuda marknadsförings- eller telemetritjänster utan föregående verifiering och samtycke från ställföreträdaren,
   • d) den Personuppgiftsansvarige grundar inte begränsningen av rättshandlingsförmågan för avtal på åldersgränsen i art. 8 i GDPR; åldern för samtycke till en viss behandling är skild från behörigheten att ingå Avtal, vilken regleras av nationell rätt (t.ex. civillagen – Kodeks cywilny),
   • e) om Tjänsten riktar sig till barn kommer informationen att tillhandahållas på ett språk, i ett format och med ett innehåll som är begripligt för barnet, med ett separat och inte på förhand ikryssat alternativ för varje samtycke till marknadsföring eller analys, ett förfarande för lämnande av samtycke av ställföreträdaren (t.ex. via e-post med en verifieringskod), och kravet på ställföreträdarens samtycke kommer tydligt att anges före slutförandet.

§4. Kategorier av personuppgifter som behandlas

Den Personuppgiftsansvarige behandlar följande kategorier av personuppgifter om Webbplatsens Användare:

1. Identifierings- och kontaktuppgifter (t.ex. för- och efternamn, Användarnamn, e-postadress, telefonnummer – vid verifiering).

2. Faktureringsuppgifter (t.ex. fakturauppgifter, faktureringsadress, EU-momsregistreringsnummer (VAT UE), faktureringsland, transaktions-ID, valuta och orderbelopp).

3. Uppgifter som rör användningen av Webbplatsen: IP-adress, information om webbläsare och operativsystem (User-Agent), tekniska uppgifter om enheten samt information som finns i cookies och i webbläsarens lokala minne (localStorage).

4. Uppgifter från inloggning via externa identitetsleverantörer (Google, Discord, Microsoft), om Användaren väljer denna inloggningsmetod: Användarens identifierare hos leverantören, e-postadress, namn (smeknamn/pseudonym) samt – om leverantören tillhandahåller det – profilbild (avatar).

5. Uppgifter som ingår i supportärenden och i korrespondens som riktas till den Personuppgiftsansvarige, inklusive innehållet i meddelanden som utbyts med en assistent baserad på artificiell intelligens samt bilagor som lagts till av Användaren.

6. Uppgifter som rör autentisering och säkerhet för Kundkontot: sessionsinformation, åtkomsttokens, inställningar för tvåfaktorsautentisering (2FA), inloggningsinformation.

7. Uppgifter kopplade till Tjänsten: identifierare för beställda Tjänster och spelservrar, konfigurationsparametrar samt filer som placeras av Kunden på spelservern.

8. Den Personuppgiftsansvarige samlar för närvarande inte in uppgifter om Användarens aktivitet på Webbplatsen (såsom klick, navigeringsväg eller tid som spenderas på sidan) eller uppgifter om ungefärlig plats. Sådana uppgifter skulle kunna samlas in först efter att de analysverktyg som avses i §5 ust. 5 har aktiverats, och uteslutande på grundval av Användarens samtycke.

§5. Ändamål och rättsliga grunder för behandlingen

1. Tillhandahållande av Tjänster tillgängliga på Webbplatsen - art. 6 ust. 1 lit. b i GDPR (fullgörande av avtal).

2. Hantering av förfrågningar och ansökningar som lämnas via kontaktformulär - art. 6 ust. 1 lit. b samt lit. f i GDPR.

3. Säkerställande av datasäkerhet och kontinuitet i Webbplatsens drift, inklusive motverkande av missbruk - art. 6 ust. 1 lit. f i GDPR (den Personuppgiftsansvariges berättigade intresse).

   Grund och intresseavvägning: Den Personuppgiftsansvarige har genomfört en intresseavvägning i den mening som avses i art. 6 ust. 1 lit. f i GDPR. MCHosts intresse av att förhindra registreringsbedrägerier, attacker, missbruk av Tjänsten och intrång i infrastrukturens säkerhet har bedömts vara berättigat och inte oproportionerligt inkräkta på Användarens rättigheter, särskilt med tanke på att behandlingen är tillfällig (vid registrering) och kan omprövas av en människa på Användarens begäran.

   Uppgifter och mottagare: Vid skapandet av ett Kundkonto överför den Personuppgiftsansvarige:

   • e-postadress till en extern leverantör av riskbedömning (AbuseHub) i syfte att identifiera tillfälliga adresser,
   • IP-adress i syfte att identifiera kända angreppskällor, proxyservrar, VPN och geografiska avvikelser.

   AbuseHub är Personuppgiftsbiträde på grundval av ett personuppgiftsbiträdesavtal som ingåtts av den Personuppgiftsansvarige.

   Resultat och ingripande: Vid ett högt riskvärde i bedömningen avvisas registreringen tillfälligt. Användaren får en förklaring till orsaken (t.ex. ”tillfällig e-postadress” eller ”IP från VPN-nätverk”) och kan:

   • återuppta registreringen från en annan adress eller ett annat nätverk,
   • göra en invändning och begära granskning av en medarbetare (se §11 ust. 7),
   • kontakta den Personuppgiftsansvarige på adressen: [email protected].

   Cloudflare Inc. används för att skydda Webbplatsen mot attacker och verifiera trafik (Cloudflare Turnstile, anti-DDoS-skydd) – ett cookieless-verktyg avseende säkerhetsfunktioner.

4. Marknadsföringsåtgärder:

   • a) direktmarknadsföring (utskick av kampanjerbjudanden, kommersiell information) - art. 6 ust. 1 lit. a i GDPR (samtycke),
   • b) information om produktuppdateringar - klassificeras efter meddelandets faktiska innehåll:
     • om de uteslutande innehåller information om ändringar i Tjänsten och inte innehåller kampanjer - grundar de sig på art. 6 ust. 1 lit. b i GDPR (Avtal),
     • om de innehåller kampanjmaterial - klassificeras de som direktmarknadsföring (samtycke, art. 6 ust. 1 lit. a i GDPR),
   • c) meddelanden om fakturering och säkerhet - art. 6 ust. 1 lit. b i GDPR (Avtal, kräver inte samtycke).

5. Analys av trafik på Webbplatsen - analysverktyg är för närvarande inte aktiverade. Den Personuppgiftsansvarige planerar att införa sådana verktyg; deras aktivering kommer att ske uteslutande efter att Användaren har lämnat sitt samtycke i cookiebannern samt efter att denna Policy har uppdaterats. Efter aktivering kommer den rättsliga grunden för behandlingen att vara: avseende verktyg som använder cookies (t.ex. Google Analytics) - art. 6 ust. 1 lit. a i GDPR (samtycke) samt art. 400 i PKE (samtycke till lagring av information i slutenheten); avseende cookieless-verktyg som inte samlar in personuppgifter (t.ex. Cloudflare Web Analytics) - art. 6 ust. 1 lit. f i GDPR (berättigat intresse - mätning av Webbplatsens prestanda).

6. Hantering av supportärenden med hjälp av en AI-assistent - innehållet i supportärenden och Användarens meddelanden överförs till en extern mikrotjänst baserad på artificiell intelligens, vilken utarbetar förslag till svar. Automatiskt genererade svar kan publiceras i ärendet utan mänsklig medverkan och markeras som automatiskt genererade. Användaren kan när som helst begära att ärendet hanteras av en medarbetare hos den Personuppgiftsansvarige.

   Denna behandling utgör inte ett beslut som enbart grundas på automatiserad behandling i den mening som avses i art. 22 i GDPR.

   Rättslig grund: art. 6 ust. 1 lit. b i GDPR (fullgörande av avtal) samt art. 6 ust. 1 lit. f i GDPR (berättigat intresse - effektiv hantering av ärenden).

7. Verifiering av EU-momsregistreringsnummer (VAT UE) - kontroll av momsregistreringsnummer i VIES-systemet som drivs av Europeiska kommissionen i syfte att fastställa korrekt skattesats - art. 6 ust. 1 lit. c i GDPR.

8. Fullgörande av skyldigheter som följer av lagbestämmelser (bl.a. skatte- och bokföringsrättsliga skyldigheter) - art. 6 ust. 1 lit. c i GDPR.

9. Fastställande, görande gällande och försvar av rättsliga anspråk - art. 6 ust. 1 lit. f i GDPR.

§6. Profilering och automatiserat beslutsfattande

1. Den Personuppgiftsansvarige utför för närvarande inte någon profilering av Användare för marknadsföringsändamål. Den Personuppgiftsansvarige planerar att införa sådan profilering; dess aktivering kommer att föregås av en uppdatering av denna Policy och kommer att vara möjlig uteslutande efter aktivering av de analysverktyg som avses i §5 ust. 5, dvs. efter att Användaren har lämnat sitt samtycke. Efter aktivering kommer profileringen att grunda sig på art. 6 ust. 1 lit. f i GDPR (berättigat intresse - marknadsföring av egna produkter), på uppgifter om Användarens aktivitet på Webbplatsen, och kommer att bestå i att gruppera Användare efter liknande preferenser i syfte att presentera individanpassade erbjudanden. Profileringen kommer inte att ha rättsliga följder eller på liknande sätt betydande följder för Användaren.

2. Den Personuppgiftsansvarige fattar inte några uteslutande automatiserade beslut gentemot Användaren som skulle ha rättsliga följder för denne eller på liknande sätt i betydande grad påverka denne (art. 22 i GDPR), med undantag för följande förfaranden:

   a) Automatiska regler för upptäckt av missbruk (art. 22 ust. 2 lit. d i GDPR - om tillämpligt):

   • vid registrering tillämpar den Personuppgiftsansvarige en automatiserad riskbedömning (e-postadress, IP-adress - se §5 ust. 3),
   • vid ett högt riskvärde avvisas registreringen tillfälligt med en förklaring till orsaken,
   • Användaren kan återuppta registreringen från en annan adress/IP, göra en invändning eller begära granskning av en medarbetare (se §11 ust. 7) eller kontakta den Personuppgiftsansvarige,
   • medarbetaren har faktisk behörighet att godkänna registreringen trots ett högt riskvärde, på grundval av ytterligare verifiering,
   • tidsfristen för granskning uppgår till högst 5 arbetsdagar,
   • registreringen är inte ett slutgiltigt rättsligt avgörande i den mening som avses i art. 22 ust. 1 i GDPR, utan en tillfällig spärr som kan ändras.

   b) Automatiska AI-svar i ärenden (§5 ust. 6):

   • det automatiska svaret är ett utkast för en medarbetare och inte ett bindande beslut för personen,
   • det har ingen rättslig verkan; en medarbetare fattar det slutgiltiga beslutet eller så begär personen manuell hantering,
   • det kräver därför inte skyddsåtgärder enligt art. 22 i GDPR som ett uteslutande automatiserat beslut.

3. Användaren har rätt att när som helst invända mot behandling av personuppgifter för direktmarknadsföringsändamål, inbegripet profilering (art. 21 ust. 2 i GDPR).

§7. Cookies och liknande tekniker

1. Webbplatsen använder cookies samt liknande tekniker (t.ex. localStorage) för följande ändamål:

   • tekniska - nödvändiga för Webbplatsens funktion, upprätthållande av sessionen efter inloggning och för att komma ihåg valt språk,
   • säkerhetsmässiga - Cloudflare Turnstile,
   • analytiska - planerade verktyg, för närvarande inte aktiverade (§5 ust. 5).

2. Man skiljer mellan sessionscookies (som lagras fram till utloggning eller tills sidan lämnas) och permanenta cookies (som lagras tills deras giltighetstid löper ut eller tills de raderas av Användaren).

3. Cookies kan härröra från externa aktörer - för närvarande från Cloudflare Inc. (Turnstile), och efter aktivering av planerade verktyg även från Google LLC.

4. Rättslig grund för terminaltekniker: Den rättsliga grunden för lagring och avläsning av information i Användarens slutenhet (cookies, localStorage och liknande tekniker) är art. 399 ust. 1–3 jämförd med art. 400 i lagen om elektronisk kommunikation (PKE).

   Undantag för nödvändiga tekniker: För tekniker som är strikt nödvändiga för att tillhandahålla en tjänst som uttryckligen begärts av Användaren (t.ex. session, inloggning) eller för tekniska infrastrukturoperationer (t.ex. lastbalansering) krävs inget samtycke i enlighet med art. 399 ust. 3 i PKE. Nödvändighet innebär att Tjänsten skulle vara omöjlig utan denna teknik och att Användaren uttryckligen har begärt den. Varje användning av tekniken måste motiveras av ett specifikt ändamål och avsaknaden av ett rimligt alternativ.

   Valfria tekniker (analys, marknadsföring, spårning) kräver föregående, giltigt samtycke i enlighet med art. 400 i PKE. Samtycke lämnas via cookiebannern, vilken gör det möjligt att hantera enskilda kategorier utan att behöva acceptera alla.

   Vidarebehandling av personuppgifter som avlästs från cookies (t.ex. sessions-ID, IP, User-Agent) omfattas av GDPR:

   • art. 6 ust. 1 lit. a i GDPR (samtycke) - för analys- och marknadsföringscookies,
   • art. 6 ust. 1 lit. b i GDPR (Avtal) - för cookies som är nödvändiga för tillhandahållandet av Tjänsten,
   • art. 6 ust. 1 lit. f i GDPR (berättigat intresse) - för säkerhetscookies (t.ex. Turnstile).

5. Hantering av samtycken för tekniker: Användaren kan hantera samtycken med hjälp av:

   • a) Cookiebannern på storefront (mchost.pl) - tillgänglig vid första besöket och ständigt tillgänglig via menyn,
   • b) Webbläsarinställningar - för kompatibla cookies,
   • c) Länken ”Integritetsinställningar” i sidfoten och navigeringen (storefront och Panelen) - gör det möjligt att öppna bannern på nytt när som helst utan att behöva rensa cache eller cookies.

   Cookiebannern innehåller:

   • knappen ”Avvisa valfria” och ”Acceptera alla” med lika synlighet och vikt i gränssnittet,
   • möjlighet att individuellt markera varje kategori (functional, analytics, marketing),
   • UTAN kategorin uncategorized (oklassificerade) - varje teknik måste ha ett fastställt ändamål.

   Det första lagret har formen av en icke-blockerande list utan helskärmstäckning, skrollningsblockering eller fokusfångst. Att stänga listen med knappen × utgör inte ett samtycke och sparar inget beslut; alla valfria tekniker förblir inaktiverade.

   Efter val:

   • beslutet sparas och lagras (skrivs inte över automatiskt),
   • Användaren kan ändra sitt beslut när som helst utan konsekvenser,
   • återkallande av samtycke stoppar omedelbart den aktuella integrationen och raderar det tillgängliga lokala valfria tillståndet för denna kategori.

   Kampanjtekniker och localStorage:

   • kampanjnycklar i localStorage (discount_modal_closed_at, discount_modal_dismissal_count, discount_modal_converted) avläses och sparas uteslutande efter att marknadsföringssamtycke har lämnats,
   • efter återkallande av samtycke raderas dessa nycklar från localStorage,
   • funktionen hasConsent() i koden kontrollerar den specifika kategorin, och inte förekomsten av vilket beslut som helst.

   Det andra lagret (detaljerad lista):

   • länken från bannern leder direkt till ett avsnitt som innehåller ett fullständigt register över cookies och localStorage (namn, leverantör, ändamål, lagringstid), en förteckning över planerade tekniker samt en förklaring av varje kategori och dess inverkan på funktionaliteten,
   • den utlovade listan är alltid tillgänglig och aktuell.

   Kundpanelen (manage.mchost.gg):

   • Panelen använder uteslutande cookies och tekniker som är nödvändiga för autentisering och säkerhet,
   • Panelen visar inte alternativ för valfria kategorier (analytical, marketing), såvida inte den Personuppgiftsansvarige beslutar att aktivera dessa verktyg för Panelen - i sådant fall kommer Policyn att uppdateras.

   Inaktivering av cookies som är nödvändiga för autentisering eller säkerhet kan försvåra eller omöjliggöra användningen av Webbplatsen.

6. Utöver cookies lagrar den Personuppgiftsansvarige en autentiseringstoken i Användarens lokala webbläsarminne (localStorage). Denna token är nödvändig för att upprätthålla inloggningen i Kundpanelen och raderas efter utloggning.

Förteckning över cookies och liknande tekniker som för närvarande används

Förteckning över planerade verktyg (för närvarande ej aktiverade)

Nedanstående verktyg används för närvarande inte. Deras aktivering kommer att ske efter uppdatering av denna Policy och - i den utsträckning som kräver samtycke - efter att Användaren har lämnat sitt samtycke i cookiebannern.

§8. Lagringstid för personuppgifter

1. Lagringstiden för personuppgifter beror på ändamålet med behandlingen, den rättsliga grunden, kategorin av uppgifter och lagkrav.

2. Allmän regel: Uppgifter lagras under den tid som är nödvändig för att uppnå det angivna ändamålet, och raderas eller anonymiseras därefter, såvida inte:

   • lagen kräver fortsatt lagring (för skatte-, bokförings- eller domstolsändamål),
   • den Personuppgiftsansvarige har ett separat berättigat ändamål för lagringen,
   • den Personuppgiftsansvarige har mottagit ett krav på ”legal hold” från en myndighet eller domstol (i så fall pågår lagringen tills grunden upphör).

3. Specifika lagringstider för personuppgifter:

1. Preskriptionsregler och skatteskyldigheter:

   • preskriptionsrätt: art. 118 KC (polska civillagen) - slutet av kalenderåret (såvida inte preskriptionstiden är kortare än 2 år),
   • skatter: art. 70 § 1 Ordynacji podatkowej (polska skatteförfarandelagen) - 5 år från slutet av det år då betalningsfristen löpte ut,
   • bokföring: art. 74 ustawy o rachunkowości (polska bokföringslagen) - olika dokumentkategorier, detaljerade regler per typ,
   • legal hold: om den Personuppgiftsansvarige mottar en begäran från en myndighet (polis, åklagarmyndighet, domstol) återupptas och förlängs lagringen,
   • säkerhet: resultat från säkerhetsrevisioner och incidenter bör lagras i 3 år.

2. Förfarande för genomförande av lagringsrutiner (retention):

   • den Personuppgiftsansvarige upprätthåller en godkänd lagringsmatris per tabell och fält,
   • rensningsschemat implementeras och testas (minst 2 gånger per år),
   • varje körning av en lagringsuppgift loggas (datum, antal raderade poster, fel),
   • en varning (alert) meddelar om varje fel eller utebliven körning,
   • den Personuppgiftsansvarige samlar in bevis på körningar och lagrar dem för revisionsändamål.

3. Pseudonymisering av IP-adresser i loggar: Efter 90 dagar trunkeras (förkortas) IP-adressen i loggarna till prefixet /24 (IPv4) eller /64 (IPv6). Denna åtgärd utgör pseudonymisering (minskad precision), och inte anonymisering. Loggarna förblir personuppgifter som omfattas av GDPR och är föremål för fullständiga skyldigheter enligt förordningen.

   Loggarna innehåller alltjämt användaridentifierare (user_uuid), åtgärdstyp (action type), beskrivning av åtgärden och ändringsvärden, User-Agent samt tidpunkt för händelsen (vilket möjliggör koppling till andra poster), och förblir därmed personuppgifter i enlighet med art. 4 pkt 1 i GDPR. Den Personuppgiftsansvarige tillämpar fortsatt fullständiga GDPR-skyddsåtgärder på dessa loggar: åtkomst begränsad till behöriga medarbetare, lagring skyddad mot obehörig åtkomst, skyldighet att radera efter utgången av lagringstiden, stöd för registrerades rättigheter (tillgång, rättelse, radering) samt rapportering av incidenter.

4. Efter utgången av ovanstående perioder raderas eller pseudonymiseras uppgifterna, såvida inte fortsatt behandling är motiverad av en rättslig förpliktelse.

§9. Mottagare av personuppgifter och överföring utanför EES

1. Personuppgifter kan lämnas ut till följande kategorier av mottagare:

   Betalningsoperatörer:

   • DPay - för att hantera betalningar överförs: e-postadress, IP-adress, information om webbläsare (User-Agent) samt belopp och transaktions-ID,
   • CashBill S.A. - för att hantera betalningar överförs: belopp, valuta och transaktions-ID (utan Användarens e-postadress).

   Säkerhet och motverkande av missbruk:

   • AbuseHub - e-postadress och IP-adress som överförs vid skapandet av ett Kundkonto i syfte att bedöma risken för missbruk (art. 6 ust. 1 lit. f i GDPR),
   • Cloudflare Inc. - DNS-hantering, skydd mot attacker samt verifiering av trafik (Cloudflare Turnstile).

   Hantering av Tjänster och ärenden:

   • Extern mikrotjänst baserad på artificiell intelligens:
     • Identifiering och roll: DigitalOcean, LLC, en juridisk person registrerad i Amerikas förenta stater (USA), som agerar i rollen som Personuppgiftsbiträde på grundval av art. 28 i GDPR,
     • Uppgifter som överförs: ärendets identifierare (ID), ärendets titel, kategori, innehållet i alla offentliga användarmeddelanden (icke-interna), valfri teknisk logg (upp till 50 000 tecken), användar- och organisationsidentifierare, ärendets språk,
     • Ändamål: generering av ett AI-assisterat svarsförslag, som kan publiceras automatiskt (om det uppfyller tröskelvärdet för confidence), kräva godkännande av en medarbetare eller fungera som ett utkast för en människa,
     • Lagring hos leverantören: uppgifter kan lagras under en period på upp till 6 månader för hanterings- och förbättringsändamål; den Personuppgiftsansvarige har rätt att begära radering av uppgifter hos leverantören,
     • Underbiträden: leverantören kan använda mellanliggande molntjänster (t.ex. Azure, AWS, GCP); en aktuell lista finns tillgänglig på begäran på adressen [email protected],
     • Träning av modellen: leverantören får inte använda överförda innehållsuppgifter för att träna eller förbättra sina AI-modeller; den Personuppgiftsansvarige kräver ett avtal som uttryckligen förbjuder träning utan separat skriftligt samtycke,
     • Märkning i gränssnittet: varje automatiskt genererat svar i ett ärende är märkt som ”AI-assistent” och innehåller en ansvarsfriskrivning (disclaimer): ”Detta svar har genererats av artificiell intelligens och kan innehålla felaktigheter. En medarbetare granskar det före slutgiltigt godkännande.”,
     • Möjlighet till hantering uteslutande av en människa: Användaren kan skriva i ärendet: ”Jag ber om hantering av en människa” (eller markera motsvarande alternativ i gränssnittet) eller kontakta [email protected]; efter en sådan begäran kommer alla efterföljande svar för detta ärende att utarbetas uteslutande av en medarbetare (tidsfrist för övertagande av en människa: högst 72 timmar från begäran).
   • leverantör av kontrollpanel för spelservrar - Tjänsternas identifierare, konfigurationsparametrar samt filer som placeras av Kunden på spelservern,
   • leverantör av e-posttjänster - e-postadress och innehållet i meddelanden som skickas till Användaren,
   • Amazon Web Services (AWS S3) - lagring av filer, inklusive filer som genererats inom ramen för fullgörandet av en begäran om tillgång till uppgifter.

   Offentligrättsliga skyldigheter:

   • Europeiska kommissionen (VIES-systemet) - landskod och momsregistreringsnummer (VAT), i syfte att verifiera EU-momsregistreringsnummer (VAT UE).

   Extern inloggning (uteslutande om Användaren väljer denna metod):

   • Google LLC, Discord Inc., Microsoft Corporation - i den utsträckning som är nödvändig för att autentisera Användaren.

   Planerade mottagare:

   • Google LLC (Google Analytics) - uteslutande efter aktivering av de analysverktyg som avses i §5 ust. 5.

   Därutöver kan uppgifter lämnas ut till leverantörer av IT- och hostingtjänster, juridiska rådgivare och redovisningskonsulter samt – med stöd av lagbestämmelser – behöriga offentliga myndigheter.

2. Lagringsplats och överföringar: Som huvudregel lagras uppgifter på servrar inom Europeiska ekonomiska samarbetsområdet (EES). Vissa tjänsteleverantörer (i synnerhet säkerhetsleverantörer som t.ex. Cloudflare, leverantörer av OAuth-autentisering – Google, Microsoft, Discord, analysleverantörer – efter aktivering av Google Analytics, lagringsleverantörer – AWS S3) kan dock behandla uppgifter även i Förenta staterna eller i andra länder utanför EES.

   Den Personuppgiftsansvarige för ett aktuellt register över överföringar som för varje leverantör innehåller: importörens juridiska person (t.ex. ”Google LLC”, inte ”Google”), behandlingsländer (t.ex. USA, Singapore), typ av överföring (DPF, SCC, art. 49 i GDPR), kategori av uppgifter samt datum för senaste verifiering.

3. Överföringsmekanismer: Överföring av uppgifter utanför EES sker med säkerställande av lämpliga skyddsåtgärder, i synnerhet:

   • a) Data Privacy Framework (DPF) - art. 45 i GDPR: för leverantörer som är certifierade enligt EU-US Data Privacy Framework (kommissionens genomförandebeslut (EU) 2023/1795 av den 10 juli 2023) verifierar den Personuppgiftsansvarige om importören finns med i den officiella förteckningen från USA:s handelsdepartement, är aktivt certifierad samt om certifieringen omfattar den aktuella kategorin av uppgifter; enbart leverantörens varumärke bevisar inte DPF - verifiering sker per importörens juridiska person,
   • b) Standardavtalsklausuler (SCC) - art. 46 i GDPR: för övriga överföringar utanför EES ingår den Personuppgiftsansvarige standardavtalsklausuler som godkänts av Europeiska kommissionen, genomför en bedömning enligt klausul 14 (bedömning av överföringens konsekvenser – TIA) i enlighet med rekommendationerna 01/2020 från Europeiska dataskyddsstyrelsen (EROD/EDPB), dokumenterar rättsläget i tredjelandet samt inför kompletterande åtgärder (t.ex. kryptering, regionalisering),
   • c) Art. 49 i GDPR - överföring för särskilda undantagsfall: endast i undantagsfall (t.ex. omedelbart skydd av en person, viktigt allmänt intresse) kan den Personuppgiftsansvarige tillämpa art. 49 i GDPR utan DPF eller SCC - men uteslutande under en begränsad tid.

4. Tillgång till dokument: Användaren kan erhålla en kopia av de SCC som tillämpas för en specifik överföring (maskerad med avseende på företagshemligheter), en lista över underbiträden samt bedömningen av överföringens konsekvenser (TIA) genom att rikta en begäran till adressen: [email protected].

5. Alla aktörer som behandlar personuppgifter på uppdrag av den Personuppgiftsansvarige är skyldiga att säkerställa en lämplig skyddsnivå för uppgifterna och behandlar dem uteslutande på grundval av personuppgiftsbiträdesavtal som är förenliga med art. 28 i GDPR.

§10. Samtycke till behandling av personuppgifter

1. I vissa fall sker behandlingen på grundval av samtycke (t.ex. marknadsföringsändamål eller andra cookies än nödvändiga). Samtycke lämnas genom en tydlig,bekräftande handling från Användarens sida (t.ex. markering av en kryssruta, godkännande i cookiebannern).

2. Användaren har rätt att när som helst återkalla sitt samtycke utan att detta påverkar lagligheten av den behandling som utförts på grundval av samtycket innan det återkallades. Återkallande av samtycke sker genom kontakt med den Personuppgiftsansvarige (§14) eller genom ändring av samtyckesinställningarna för cookies.

3. Användning av Webbplatsen är möjlig även utan att samtycke lämnas för valfria ändamål (marknadsförings-, analysändamål), vilka inte är nödvändiga för tillhandahållandet av de grundläggande Tjänsterna.

Krav för inhämtande och bevarande av samtycke

1. För varje samtycke till direktmarknadsföring sparar och lagrar den Personuppgiftsansvarige minst:

   • a) Användarens identifierare och e-postadress,
   • b) ändamål - specifik kategori (marknadsföring, produktuppdateringar osv.),
   • c) tidpunkt för händelsen - datum och tid i UTC,
   • d) nytt tillstånd för flaggan (false → true, eller true → false),
   • e) föregående tillstånd för flaggan,
   • f) version eller hash av texten i det meddelande om ändamålet som visades för Användaren,
   • g) gränssnitt/kanal - var samtycket lämnades (registreringsformulär, preferensformulär i Panelen, e-postbanner osv.),
   • h) vid återkallande - tidpunkt och kanal för återkallandet.

2. Det aktuella tillståndet för flaggan (true/false) är inte tillräckligt som bevis på samtycke för revisionsändamål. Beviset måste innehålla ändringshändelsen med historik över tillståndsändringen.

3. Den Personuppgiftsansvarige förlitar sig inte på ett standardvärde för flaggan som bevis på samtycke. Alla valfria flaggor (email_marketing, email_product_updates, om de är valfria) är som standard inställda på false.

4. IP-adress och User-Agent kan sparas som kompletterande delar av beviset, men utgör inte obligatoriska beståndsdelar.

§11. Användarnas rättigheter

Användaren har följande rättigheter:

1. Rätt till tillgång till uppgifter (art. 15 i GDPR).

2. Rätt till rättelse av uppgifter (art. 16 i GDPR).

3. Rätt till radering av uppgifter – ”rätten att bli bortglömd” (art. 17 i GDPR).

4. Rätt till begränsning av behandling (art. 18 i GDPR).

5. Rätt till dataportabilitet (art. 20 i GDPR).

6. Rätt att göra invändningar mot behandling (art. 21 i GDPR).

7. Rätt att göra invändningar mot behandling för missbrukskontroll - art. 21 ust. 1 i GDPR. Användaren kan när som helst göra en invändning mot behandlingen av sin e-postadress och IP-adress för bedömning av missbruksrisk genom att skicka ett meddelande härom till adressen [email protected]. I invändningen kan Användaren förklara sin specifika situation (t.ex. resa, byte av VPN-leverantör). Den Personuppgiftsansvarige prövar invändningen inom 5 arbetsdagar och bedömer om den Personuppgiftsansvariges berättigade intressen alltjämt väger tyngre eller om Användarens situation motiverar en ändring av bedömningsresultatet.

8. Rätt att återkalla samtycke när som helst, utan att det påverkar lagligheten av tidigare behandling.

9. Rätt att lämna in ett klagomål till tillsynsmyndigheten – Prezes Urzędu Ochrony Danych Osobowych (§15).

Särskilda regler för hantering av begäranden

1. Den Personuppgiftsansvarige hanterar begäranden utan onödigt dröjsmål, senast inom en månad från mottagandet; vid behov kan tidsfristen förlängas med ytterligare två månader med hänsyn till begärans komplicerade karaktär (art. 12 ust. 3 i GDPR). Utövandet av rättigheter är som huvudregel kostnadsfritt.

2. Dataexport: Utövandet av rätten till tillgång till uppgifter och rätten till dataportabilitet sker i Kundpanelen genom generering av en fil med uppgifter. Med hänsyn till belastningen på den Personuppgiftsansvariges system kan Användaren använda denna funktion högst en gång per 30 dagar. Denna begränsning utgör en skyddsåtgärd mot orimliga begäranden i den mening som avses i art. 12 ust. 5 i GDPR och utesluter inte rätten att lämna in en begäran på annat sätt, till adressen [email protected]. Den genererade filen är tillgänglig i 30 dagar (§8 ust. 3).

3. Begäran om radering av uppgifter: En begäran om radering av uppgifter bedöms av den Personuppgiftsansvarige utifrån förutsättningarna i art. 17 ust. 3 i GDPR. Den Personuppgiftsansvarige prövar begäran inom den tidsfrist som anges ovan och informerar Användaren om hur den har hanterats; vid avslag – tillsammans med en motivering och upplysning om rätten att lämna in ett klagomål till tillsynsmyndigheten. Uppgifter vars fortsatta lagring är nödvändig för att fullgöra den Personuppgiftsansvariges rättsliga förpliktelser (i synnerhet beställnings- och betalningsuppgifter – §8 ust. 3) eller för att fastställa, göra gällande eller försvara rättsliga anspråk omfattas inte av radering. Radering av ett Kundkonto medför inte att dessa uppgifter raderas; de begränsas till vad som är nödvändigt och lagras fram till utgången av tillämpliga lagringsperioder.

§12. Krav på tillhandahållande av personuppgifter

1. Tillhandahållandet av personuppgifter är frivilligt, men i den utsträckning det är nödvändigt för att ingå och fullgöra avtalet utgör det ett avtalsenligt krav – om uppgifterna inte lämnas är det omöjligt att tillhandahålla Tjänsten. Tillhandahållandet av uppgifter för skatte- och bokföringsändamål är ett lagstadgat krav. Tillhandahållandet av uppgifter för marknadsförings- och analysändamål är helt frivilligt.

§13. Personuppgiftssäkerhet och personuppgiftsincidenter

1. Den Personuppgiftsansvarige vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder (art. 32 i GDPR) beroende på risken och behandlingens omfattning.

   Applikationslager och åtkomst:

   • överföringskryptering: TLS 1.2+ för alla anslutningar som innehåller personuppgifter,
   • åtkomstkontroll: RBAC (role-based access control), varje medarbetare har en behörig roll,
   • tvåfaktorsautentisering (2FA): krävs för all administrativ åtkomst till Användarnas personuppgifter,
   • begränsningar av anrop (rate limiting) och skydd mot CSRF-, XSS- och brute-force-attacker,
   • regelbundna säkerhetskopior (minst en gång om dagen).

   Register över personalens åtkomst: Den Personuppgiftsansvarige för ett register över personalens åtkomst till personuppgifter som omfattar alla administrativa åtgärder som röjer personuppgifter (visning, redigering, export, radering). Varje post registrerar: medarbetarens identifierare och förnamn, tidpunkt för åtgärden (datum, tid i UTC), typ av åtgärd, resurs, källans IP-adress, resultat samt antal poster. Posterna är oföränderliga (append-only) och lagras i ett separat, säkrat lagringsutrymme.

   Maskering av loggar: Den Personuppgiftsansvarige tillämpar maskering (redaction) av känsliga uppgifter i applikationsloggar i alla kanaler: lösenord, åtkomsttokens, hemligheter och autentiseringsuppgifter loggas aldrig; kortnummer och biometriska uppgifter maskeras.

   Övriga tekniska åtgärder:

   • Content Security Policy (CSP) för Kundpanelen,
   • attributet Secure för cookies är tvingande i produktionsmiljön,
   • automatisk radering av utgångna åtkomsttokens (Sanctum),
   • återställningstester av säkerhetskopior (minst 2 gånger per år, med testprotokoll),
   • bekräftelse av att 2FA fungerar korrekt för alla administrativa åtgärder.

2. Infrastruktur (bekräftad genom avtal och compliance-rapport): Den Personuppgiftsansvarige garanterar att den infrastruktur där uppgifterna lagras (servrar, storage, databaser) uppfyller: kryptering av lagrade data (data at rest, AES-256 eller motsvarande), brandvägg och WAF, IDS/IPS för anomalidetektering, anti-DDoS-skydd, dygnet-runt-övervakning (24/7), årliga penetrationstester, Incident Response Plan samt leverantörens compliance-certifiering (SOC 2 Type II, ISO 27001 eller motsvarande). Tekniska dokument görs tillgängliga för Användaren på begäran (maskerade med avseende på företagshemligheter).

3. Vid en personuppgiftsincident som kan leda till en risk för fysiska personers rättigheter eller friheter underrättar den Personuppgiftsansvarige Prezes Urzędu Ochrony Danych Osobowych inom 72 timmar efter att ha fått vetskap om incidenten (art. 33 i GDPR).

4. Vid en hög risk för de registrerades rättigheter eller friheter informerar den Personuppgiftsansvarige även dessa personer utan onödigt dröjsmål (art. 34 i GDPR).

5. Den Personuppgiftsansvarige för ett internt register över personuppgiftsincidenter, oberoende av anmälningsskyldigheten.

§14. Kontakt med den Personuppgiftsansvarige

1. Frågor som rör behandling av personuppgifter samt utövande av rättigheter kan riktas via e-post till adressen: [email protected] eller skriftligen till Bolagets sätesadress: al. Jana Pawła II 43A/37B, 01-001 Warszawa.

§15. Klagomål till tillsynsmyndigheten

1. Om en Användare anser att behandlingen av dennes personuppgifter strider mot bestämmelserna i GDPR eller andra dataskyddsbestämmelser, har denne rätt att lämna in ett klagomål till tillsynsmyndigheten – Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (https://uodo.gov.pl).

§16. Ändringar i Integritetspolicyn

1. Denna Integritetspolicy kan komma att ändras. Den aktuella versionen finns alltid tillgänglig på Webbplatsen. Om väsentliga ändringar informerar den Personuppgiftsansvarige Användarna via e-post till den adress som är kopplad till Kundkontot samt genom ett meddelande på Webbplatsen med minst 14 dagars framförhållning.