POLITYKA PRYWATNOŚCI I STANDARDY RODO W GORILLA CASINO

Niniejsza Polityka Prywatności stanowi oficjalny zbiór zasad regulujących gromadzenie, ewidencjonowanie, przetwarzanie oraz długoterminową ochronę danych osobowych użytkowników. Wszystkie procedury techniczne i administracyjne wdrożone przez operatora platformy podlegają restrykcyjnym standardom Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO / GDPR) oraz polskim przepisom z zakresu ochrony prywatności w sieci.

Dostęp do usług interaktywnych oraz powiązanych systemów rozliczeniowych przysługuje bezwzględnie wyłącznie osobom pełnoletnim, które ukończyły 18. rok życia. Operator stosuje zintegrowane mechanizmy prewencyjne, w tym algorytmy weryfikacji tożsamości oraz krzyżową kontrolę dokumentów, co uniemożliwia rejestrację konta osobom nieletnim oraz natychmiast blokuje wszelkie próby obejścia zabezpieczeń wiekowych.

Zespół analityków portalu funka.pl przeprowadził szczegółowy przegląd procedur bezpieczeństwa teleinformatycznego platformy, weryfikując zgodność mechanizmów retencji danych z wymogami prawnymi. Pełną analizę parametrów technicznych oraz recenzję operacyjną platformy prezentuje strona główna casino Gorilla.

Administrator danych i podstawa działania

Administratorem danych osobowych w rozumieniu europejskich standardów RODO (GDPR) jest podmiot zarządzający serwisem rozrywkowym. Wszystkie procesy gromadzenia, weryfikowania oraz zabezpieczania plików podlegają ścisłej korelacji z międzynarodowymi dyrektywami dotyczącymi procedur KYC (Know Your Customer) oraz przeciwdziałania praniu pieniędzy AML (Anti-Money Laundering). Taki model operacyjny gwarantuje integralność kont użytkowników oraz zabezpiecza infrastrukturę przed nadużyciami finansowymi.

Głównym instrumentem prawnym legitymizującym działalność spółki oraz określającym reguły przechowywania dokumentacji jest Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board. Zobowiązuje ona administratora do prowadzenia rygorystycznego rejestru operacji cyfrowych, audytowania transakcji płatniczych oraz natychmiastowego blokowania prób nieautoryzowanego transferu kapitału.

Wszelkie zapytania prawne, dyspozycje aktualizacyjne oraz wnioski z zakresu ochrony prywatności użytkownicy mogą kierować do dedykowanego Inspektora Ochrony Danych (DPO) na oficjalny adres rejestrowy:

Kategorie przetwarzanych danych

Zakres zbieranych rekordów wynika wprost z wymogów licencyjnych Curaçao nr 8048/JAZ oraz rygorystycznych międzynarodowych dyrektyw przeciwpraniu kapitału. Spółka przetwarza wyłącznie te zasoby cyfrowe, które są technicznie konieczne do weryfikacji tożsamości, ewidencjonowania operacji depozytowych oraz zagwarantowania bezpieczeństwa sesji logowania każdego użytkownika.

Struktura ewidencjonowanych danych osobowych obejmuje następujące zbiory informacyjne:

• Dane identyfikacyjne (ID): imię, nazwisko, oficjalna data urodzenia, płeć, obywatelstwo oraz seria i numer dokumentu tożsamości (dowód osobisty lub paszport), pozyskiwane w procesie weryfikacji KYC.
• Dane teleadresowe i kontaktowe: aktualne miejsce stałego zamieszkania (ulica, kod pocztowy, miejscowość, kraj), bezpośredni numer telefonu komórkowego oraz zweryfikowany adres poczty elektronicznej.
• Dane finansowo-rozliczeniowe: historia wpłat i wypłat, zaszyfrowane identyfikatory transakcji BLIK, częściowo maskowane numery kart bankowych, adresy portfeli kryptowalutowych oraz potwierdzenia źródeł pochodzenia kapitału.
• Dane telemetryczne i systemowe: zewnętrzny adres IP, dane geolokalizacyjne, unikalny identyfikator sprzętowy urządzenia, typ przeglądarki internetowej, sygnatury czasowe logowania oraz zapisy zdarzeń w logach serwerowych.

Gromadzenie wyżej wymienionych rekordów odbywa się drogą bezpośrednią podczas rejestracji Konta Gracza i transferu dokumentów lub automatycznie za pośrednictwem bezpieчних protokołów sieciowych w trakcie aktywnej sesji użytkownika.

Cele przetwarzania danych

Każda operacja przetwarzania informacji o użytkownikach w serwisie prowadzona jest w oparciu o ściśle zdefiniowane podstawy prawne określone w art. 6 Rozporządzenia RODO (GDPR). W toku audytu prawnego eksperci funka.pl zweryfikowali, że operator platformy nie przetwarza danych w celach nieokreślonych lub sprzecznych z profilem świadczonych usług hazardowych. Podstawowym celem operacyjnym pozostaje prawidłowa rejestracja, techniczna obsługa Konta Gracza oraz bezpieczne księgowanie depozytów i zleceń wypłat środków.

Zgodnie z wymogami regulacyjnymi oraz procedurami bezpieczeństwa cyfrowego, spółka realizuje procesy przetwarzania w ramach następujących obszarów i podstaw prawnych:

• Zawarcie i wykonanie umowy o świadczenie usług (art. 6 ust. 1 lit. b RODO): utworzenie profilu użytkownika, weryfikacja poprawności logowania, bieżąca obsługa zakładów i stawek w grach, realizacja transferów finansowych oraz komunikacja techniczna związana ze statusem konta.
• Wypełnienie ciążących obowiązków prawnych (art. 6 ust. 1 lit. c RODO): ewidencjonowanie transakcji finansowych zgodnie z przepisami podatkowymi, realizacja restrykcyjnych procedur przeciwdziałania praniu pieniędzy (AML) oraz stosowanie się do wytycznych regulatora w ramach Licencji Curaçao nr 8048/JAZ.
• Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO): ochrona infrastruktury serwerowej przed atakami sieciowymi, zapobieganie nadużyciom bonusowym oraz powielaniu kont (multi-accounting), audytowanie stabilności oprogramowania oraz ewentualne ustalanie i dochodzenie roszczeń prawnych.
• Dobrowolna zgoda użytkownika (art. 6 ust. 1 lit. a RODO): opcjonalna subskrypcja komunikatów informacyjnych o aktualizacjach regulaminowych czy dedykowanych promocjach, przy czym zgoda ta może zostać wycofana w dowolnym momencie bez wpływu na zgodność z prawem wcześniejszego przetwarzania.

Procedury wdrożone przez operatora wykluczają automatyczne profilowanie wywołujące skutki prawne bez bezpośredniej weryfikacji przez zespół bezpieczeństwa. Wszelkie operacje ewidencyjne podlegają zasadzie minimalizacji danych, co oznacza, że administrator przetwarza wyłącznie zakres informacji bezpośrednio niezbędny do zachowania integralności finansowej oraz spełnienia wymogów prawno-licencyjnych.

Udostępnianie danych i odbiorcy

Przekazywanie informacji o użytkownikach podmiotom trzecim odbywa się wyłącznie w ściśle określonych granicach prawnych wyznaczonych przez art. 28 RODO (GDPR) oraz standardy Licencji Curaçao nr 8048/JAZ. Operator platformy stosuje zasadę minimalizacji dostępu, co oznacza, że zewnętrzni partnerzy technologiczni oraz instytucje rozliczeniowe otrzymują wyłącznie te rekordy cyfrowe, które są technicznie niezbędne do sfinalizowania zleconej operacji depozytowej, weryfikacji tożsamości lub zagwarantowania stabilności łączności sieciowej.

Wszystkie transfery informacji realizowane są na podstawie formalnych umów powierzenia przetwarzania danych osobowych (Data Processing Agreements), nakładających na kontrahentów wymóg stosowania rygorystycznych środków kryptograficznych oraz zakaz powtórnego udostępniania baz bez wiedzy administratora. Autoryzowanymi odbiorcami informacji w strukturze operacyjnej serwisu są:

• Operatorzy płatności i instytucje finansowe: pośrednicy bramek płatniczych BLIK, emitenci kart płatniczych Visa i Mastercard, operatorzy certyfikowanych e-portfeli oraz węzły transakcyjne sieci kryptowalutowych, przetwarzające dyspozycje zasileń salda oraz transfery wygranych.
• Dostawcy infrastruktury chmurowej i bezpieczeństwa IT: podmioty świadczące usługi kolokacji serwerów, magazynowania zaszyfrowanych baz danych oraz systemy zaawansowanej filtracji ruchu sieciowego zapobiegające atakom DDoS.
• Akredytowane laboratoria certyfikujące: niezależne instytucje audytowe weryfikujące poprawność algorytmów generatora liczb losowych (RNG) oraz zgodność zadeklarowanego wskaźnika zwrotu RTP.
• Wyspecjalizowane agencje weryfikacyjne: serwisy analityczne wspierające automatyczną kontrolę autentyczności dokumentów tożsamości w procedurach KYC oraz monitorujące listy sankcyjne w ramach dyrektyw AML.
• Organy regulacyjne i śledcze: państwowe instytucje wymiaru sprawiedliwości oraz Curaçao Gaming Control Board, otrzymujące dokumentację transakcyjną wyłącznie na mocy prawomocnych nakazów urzędowych.

W toku analizy procedur operacyjnych eksperci portalu funka.pl potwierdzili, że administrator nie prowadzi odpłatnego obrotu bazami danych osobowych, nie udostępnia numerów kontaktowych podmiotom telemarketingowym ani nie zezwala na profilowanie komercyjne bez wyraźnej zgody gracza.

Prawa użytkownika

Każda osoba fizyczna, której dane są gromadzone w ramach infrastruktury serwisu, dysponuje pełnym wachlarzem uprawnień gwarantowanych przez Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Zgodnie z analizą redakcji funka.pl, procedury wdrożone przez administratora zapewniają sprawny obieg wniosków formalnych oraz bezpłatną realizację dyspozycji w ustawowym terminie do 30 dni od momentu ich zarejestrowania.

Katalog uprawnień przysługujących zarejestrowanym uczestnikom obejmuje następujące dyspozycje prawne:

• Prawo dostępu do danych (art. 15 RODO): uprawnienie do uzyskania jednoznacznego potwierdzenia, czy administrator przetwarza określone rekordy, a także prawo wglądu w kategorie informacji, cele operacyjne oraz planowany czas ich retencji.
• Prawo do sprostowania informacji (art. 16 RODO): możliwość bezzwłocznej korekty lub uzupełnienia nieaktualnych danych adresowych, nazwiska lub numeru telefonu w panelu Konta Gracza lub poprzez bezpośredni kontakt z DPO.
• Prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO): żądanie trwałego wykasowania profilu oraz powiązanych plików, przy czym realizacja tego prawa podlega ustawowym ograniczeniom wynikającym z międzynarodowych przepisów AML oraz Licencji Curaçao nr 8048/JAZ, które nakazują archiwizację historii transakcyjnej przez minimum 5 lat.
• Prawo do ograniczenia przetwarzania (art. 18 RODO): czasowe wstrzymanie operacji na danych wyłącznie do ich bezpiecznego przechowywania w sytuacji kwestionowania ich prawidłowości lub w trakcie rozpatrywania formalnego sprzeciwu.
• Prawo do przenoszenia danych (art. 20 RODO): otrzymanie wygenerowanego pakietu danych osobowych w powszechnie stosowanym formacie odczytu maszynowego (np. CSV, JSON) z możliwością przekazania go innemu podmiotowi.
• Prawo do sprzeciwu (art. 21 RODO): prawo wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie spółki, w tym zaprzestania profilowania telemetrycznego.

Wnioski dotyczące realizacji powyższych uprawnień należy przesyłać bezpośrednio na dedykowany adres Inspektora Ochrony Danych: [email protected]. W przypadku zastrzeżeń co do zgodności procedur z prawem unijnym, każdemu użytkownikowi przysługuje prawo wniesienia formalnej skargi do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (PUODO, ul. Stawki 2, 00-193 Warszawa) bądź skierowania zapytania wyjaśniającego do redakcji pod adresem [email protected].

Pliki cookies i podobne technologie

Infrastruktura teleinformatyczna serwisu stosuje pakiety danych tekstowych typu cookies (ciasteczka) oraz powiązane technologie pamięci podręcznej (Local Storage, Session Storage, sygnały nawigacyjne) zapisywane w urządzeniu końcowym użytkownika. Rozwiązania te umożliwiają utrzymanie aktywnej sesji logowania, optymalizację szybkości renderowania modułów graficznych oraz bieżącą weryfikację integralności komunikacji kryptograficznej zapobiegającej atakom typu CSRF.

W toku audytu technicznego eksperci funka.pl wyodrębnili trzy nadrzędne klasy znaczników telemetrycznych stosowanych przez operatora:

• Techniczne pliki bezwzględnie konieczne: pliki sesyjne instalowane obligatoryjnie, warunkujące prawidłowe trasowanie pakietów, uwierzytelnianie konta oraz bezpieczne przekazywanie zapytań do bramek płatniczych; ich dezaktywacja uniemożliwia korzystanie z serwisu.
• Identyfikatory analityczno-wydajnościowe: agregujące zanonimizowane metryki obciążenia serwerów, czasy odpowiedzi baz danych oraz wykrywanie błędów skryptów bez rejestrowania tożsamości pojedynczego odbiorcy.
• Znaczniki preferencji funkcjonalnych: utrwalające wybrane parametry interfejsu cyfrowego, w tym domyślną wersję językową, układ komponentów wizualnych oraz status akceptacji powiadomień systemowych.

Zgodnie z unijnymi dyrektywami o prywatności łączności elektronicznej oraz art. 173 ustawy Prawo telekomunikacyjne, instalacja plików opcjonalnych wymaga dobrowolnej zgody. Użytkownik ma zagwarantowaną pełną autonomię w zakresie konfiguracji znaczników z poziomu przeglądarki internetowej lub za pomocą wewnętrznego panelu zarządzania prywatnością:

Bezpieczeństwo danych i ochrony systemów

Ochrona integralności cyfrowej oraz poufności baz rekordów osobowych stanowi fundament infrastruktury teleinformatycznej operatora. W celu wyeliminowania ryzyka przechwycenia pakietów w otwartych sieciach telekomunikacyjnych wdrożono bezwzględne szyfrowanie kryptograficzne w standardzie SSL o sile 256-bit wraz z nowoczesnym protokołem TLS 1.2 na wszystkich punktach styku API, modułach logowania oraz formularzach rozliczeniowych.

Wszystkie tytuły gier oraz mechanizmy losujące podlegają rygorystycznej polityce certyfikacji generatora liczb losowych (RNG). Algorytmy losujące są audytowane przez niezależne laboratoria badawcze, co gwarantuje pełną nieliniowość wyników oraz zachowanie zadeklarowanego średniego wskaźnika zwrotu dla gracza (RTP 96.85%). Regularne testy penetracyjne oraz wewnętrzne audyty podatności infrastruktury serwerowej pozwalają na bezzwłoczne neutralizowanie potencjalnych luk w oprogramowaniu.

Harmonogram retencji (okres przechowywania) danych osobowych wynika bezpośrednio z unijnych dyrektyw przeciwpraniu kapitału oraz zaleceń licencyjnych Curaçao nr 8048/JAZ:

• Rekordy tożsamościowe i historia operacji finansowych: podlegają obowiązkowej archiwizacji przez minimalny okres 5 lat, licząc od momentu definitywnego zamknięcia Konta Gracza lub sfinalizowania ostatniej transakcji depozytowej (wymóg prawny AML).
• Logi telemetryczne i sieciowe sygnatury IP: gromadzone automatycznie podczas każdej sesji użytkownika są przechowywane przez 12 miesięcy w celach diagnostycznych, zapobiegania atakom DDoS oraz analizy anomalii w logowaniu.
• Zgody komunikacyjne i marketingowe: przetwarzane wyłącznie w okresie ich formalnego obowiązywania i kasowane bezpowrotnie w ciągu 48 godzin od momentu wycofania dyspozycji przez gracza.

Dostęp personelu do zaszyfrowanych klastrów bazodanowych opiera się na zasadzie wiedzy koniecznej (Need-to-Know) z wieloskładnikowym uwierzytelnianiem biometryczno-sprzętowym. Każde zapytanie do bazy jest bezpowrotnie rejestrowane w niezmiennym dzienniku zdarzeń audytowych.

Przekazywanie danych poza Europejski Obszar Gospodarczy

Główna infrastruktura serwerowa dedykowana obsłudze bazy użytkowników zlokalizowana jest na terytorium państw członkowskich Europejskiego Obszaru Gospodarczego (EOG). Niemniej jednak, z uwagi na specyfikę globalnych usług cyfrowych oraz integrację z międzynarodowymi dostawcami rozwiązań chmurowych, zaawansowanych filtrów anty-DDoS i certyfikowanych węzłów sieciowych, wybrane rekordy techniczne oraz zanonimizowane metryki mogą być przekazywane do podmiotów przetwarzających poza EOG, w tym do Stanów Zjednoczonych lub jurysdykcji rejestrowej spółki Gorilla Entertainment N.V. w Curaçao.

Wszelkie operacje transgranicznego przepływu zasobów cyfrowych podlegają restrykcyjnym procedurom przewidzianym w Rozdziale V RODO (GDPR). W toku audytu eksperci funka.pl zweryfikowali, że administrator serwisu nie realizuje transferu informacji tożsamościowych bez uprzedniego wdrożenia obligatoryjnych mechanizmów kompensacyjnych:

• Decyzje o adekwatności Komisji Europejskiej (art. 45 RODO): przekazywanie informacji wyłącznie do odbiorców z państw trzecich gwarantujących tożsamy z unijnym poziom ochrony prawnej, w tym podmiotów amerykańskich certyfikowanych w programie EU-U.S. Data Privacy Framework.
• Standardowe Klauzule Umowne (Standard Contractual Clauses - SCC): stosowanie obligatoryjnych klauzul modelowych zatwierdzonych decyzją wykonawczą Komisji Europejskiej 2021/914, nakładających na zagranicznych partnerów bezpośrednie zobowiązania prawne w obszarze bezpieczeństwa i retencji.
• Zaawansowane środki kryptograficzne: wielopoziomowe szyfrowanie end-to-end z wykorzystaniem 256-bitowych kluczy AES oraz protokołu TLS 1.2 na wszystkich transgranicznych kanałach wymiany pakietów danych.

Zastosowany reżim prawno-techniczny gwarantuje, że poziom ochrony prywatności użytkowników poza terytorium Europejskiego Obszaru Gospodarczego pozostaje w pełni równoważny ze standardami obowiązującymi w Rzeczypospolitej Polskiej. Każdy zarejestrowany gracz zachowuje prawo do uzyskania szczegółowego wykazu podmiotów uczestniczących w transferze oraz kopii stosowanych klauzul ochronnych po przesłaniu wniosku na oficjalny adres [email protected].

Zmiany polityki i data obowiązywania

Niniejszy dokument podlega regularnym przeglądom technicznym i prawnym przeprowadzanym przez zespół audytorów funka.pl oraz kadrę prawną operatora Gorilla Entertainment N.V. Wszelkie modyfikacje zapisów wynikające z rewizji dyrektyw RODO (GDPR), nowych wytycznych organu licencyjnego Curaçao Gaming Control Board w ramach Licencji Curaçao nr 8048/JAZ lub aktualizacji protokołów kryptograficznych wchodzą w życie z chwilą ich publikacji w serwisie.

W przypadku wdrożenia fundamentalnych zmian w procedurach retencji rekordów cyfrowych lub transferu informacji poza EOG, zarejestrowani użytkownicy otrzymają stosowne powiadomienie drogą mailową oraz za pośrednictwem bezpośredniego komunikatu w panelu Konta Gracza z wyprzedzeniem umożliwiającym zapoznanie się ze zaktualizowanymi regułami.

Oficjalna data wejścia w życie oraz ostatniej rewizji procedur ochrony danych osobowych: 12 maja 2026 r.