Polityka Prywatności

Zanim wejdziesz w szczegóły - oto najważniejsze rzeczy w trzech zdaniach:

• Konto dziecka działa pod Twoją kontrolą rodzicielską. Dziecko loguje się własnym kontem Google lub Apple i wybiera „konto dziecka”, a następnie łączy się z Twoją rodziną przez kod QR. Ponieważ dziecko korzysta z aplikacji bezpośrednio, dla dzieci poniżej 16 lat przetwarzanie oparte na zgodzie wymaga zgody lub autoryzacji rodzica (art. 8 RODO) - szczegóły w sekcji 7.
• Zbieramy tylko to, co konieczne. Żadnej reklamy behawioralnej wobec dziecka, żadnej sprzedaży danych, żadnej lokalizacji GPS, żadnych danych o zdrowiu. Nagrania wideo i avatar to funkcje w pełni opcjonalne, włączane osobną zgodą.
• Masz pełną kontrolę. W każdej chwili możesz zobaczyć dane, poprawić je, cofnąć zgodę albo usunąć konto - usunięcie konta kasuje też kaskadowo wszystkie dane dziecka.

Reszta dokumentu rozwija każdy z tych punktów. Pisany jest prostym językiem; przepisy RODO wskazujemy w nawiasach, żeby nie przerywać czytania.

Ilekroć w niniejszym dokumencie mowa jest o dziecku, rozumieć przez to należy także przysposobionego małoletniego lub małoletniego pozostającego pod pieczą, a ilekroć jest mowa o rodzicu, rozumieć przez to należy także przysposabiającego lub innego opiekuna prawnego działającego jako przedstawiciel ustawowy.

Administratorem danych osobowych jest Bondforge Solutions Sp. z o.o. z siedzibą przy ul. Mogilskiej 35, 31-545 Kraków, wpisana do Rejestru Przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla Krakowa-Śródmieścia Wydział XI Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS 0001192792, NIP 6751818460, REGON 542650712, o kapitale zakładowym 6 000 zł.

We wszystkich sprawach dotyczących ochrony danych oraz w celu zgłoszenia incydentu bezpieczeństwa napisz na: kontakt@ultimateplayer.pl lub na adres siedziby Administratora wskazany powyżej. W treści zgłoszenia proszę wskazać: dane osoby, której dotyczy zgłoszenie, opis zdarzenia lub wątpliwości, której dotyczy zgłoszenie oraz żądanie lub pytanie.

Nie wyznaczyliśmy Inspektora Ochrony Danych, ponieważ w świetle art. 37 RODO nie jest on dla nas obowiązkowy. Wyznaczyliśmy natomiast punkt kontaktowy do spraw ochrony danych - adres podany w sekcji 1.

Na Twoje żądania odpowiadamy w terminie 1 miesiąca od ich otrzymania (art. 12 ust. 3 RODO). Jeśli sprawa jest złożona, możemy ten termin przedłużyć o kolejne 2 miesiące - poinformujemy Cię o tym w ciągu pierwszego miesiąca wraz z uzasadnieniem.

Ta polityka obejmuje łącznie:

• aplikację mobilną Ultimate Player (iOS i Android),
• serwis internetowy ultimateplayer.pl.

Tam, gdzie zasady różnią się między aplikacją a stroną, zaznaczamy to wprost - „W aplikacji:” lub „Na stronie:”.

Zbieramy wyłącznie dane niezbędne do jasno opisanych celów. Każda kategoria danych ma własną podstawę prawną - zebraliśmy je w sekcji 6.

Dane rodzica (w aplikacji)

• adres e-mail i zaszyfrowane hasło - żeby założyć i utrzymać konto oraz Cię logować (dane obowiązkowe);
• logowanie Google lub Apple - adres e-mail z konta Google albo identyfikator i przekierowany adres e-mail z konta Apple; to opcjonalna alternatywa dla rejestracji e-mailem (dane obowiązkowe);
• data urodzenia - jest nam niezbędna dla weryfikacji Twojego wieku i zdolności do czynności prawnych oraz wieku niezbędnego do wyrażenia zgód dotyczących przetwarzania danych osobowych, w tym dotyczących Twojego dziecka, i akceptacji zasad świadczenia przez nas usług drogą elektroniczną; w przypadku logowania poprzez konto Google lub Apple dane te pozyskamy automatycznie (dane obowiązkowe);
• imię, nazwisko - żeby utworzyć profil; w przypadku logowania poprzez konto Google lub Apple automatycznie pozyskamy Twoje imię i nazwisko - możesz je zmienić w aplikacji (dane obowiązkowe);
• nick, avatar rodzica - żeby spersonalizować konto (dane dobrowolne);
• wizerunek - w przypadku logowania poprzez konto Google lub Apple zdjęcie mogące przedstawiać Twój wizerunek zostanie automatycznie pozyskane do aplikacji; poza tym możesz samodzielnie dodać zdjęcie przedstawiające Twój wizerunek w celu personalizacji konta; chociaż nie jest to naszym celem, jeżeli znajdziesz się na nagraniu wideo wykonania misji wgranym do aplikacji (funkcja opcjonalna), będziemy przetwarzać także Twój wizerunek (dane dobrowolne);
• dane dotyczące powiązań rodzinnych, opieki lub przysposobienia - informacja o tym, że jesteś przedstawicielem ustawowym danego dziecka, jest dla nas niezbędna do weryfikacji możliwości wyrażenia przez Ciebie zgód dotyczących przetwarzania danych osobowych dziecka i akceptacji zasad świadczenia przez nas usług drogą elektroniczną (dane obowiązkowe);
• materiały przesyłane przez użytkownika w ramach funkcji wgrywania nagrań wideo wykonania misji - w przypadku korzystania z tej funkcji możemy przetwarzać dane osobowe dotyczące Twojego głosu, w tym jego transkrypcje, także w celu weryfikacji zgodności z kodeksem postępowania i zasadami korzystania z aplikacji (funkcja opcjonalna).

Dane dziecka (w aplikacji)

• imię i nazwisko, płeć, data urodzenia - żeby utworzyć profil dziecka w ramach Twojego konta oraz zweryfikować, czy możesz udzielić w imieniu dziecka niezbędnych zgód (dane obowiązkowe dla utworzenia profilu);
• nick, avatar dziecka - żeby spersonalizować konto dziecka (dane dobrowolne);
• dane treningowe - wyniki misji, statystyki, punkty doświadczenia, rangi, postęp w drzewie rozwoju, serie aktywności i historia; niezbędne, żeby mechanika gry w ogóle działała;
• wizerunek - w przypadku wgrania do aplikacji nagrania wideo wykonania misji - funkcja opcjonalna, włączana osobną zgodą (szczegóły w sekcji 7);
• zdjęcie do avatara - funkcja opcjonalna, włączana osobną zgodą; w przypadku logowania poprzez konto Google lub Apple zdjęcie mogące przedstawiać wizerunek Twojego dziecka zostanie automatycznie pozyskane do aplikacji - możesz je usunąć lub zmienić w każdym czasie;
• dane dotyczące powiązań rodzinnych, opieki lub przysposobienia - informacja o tym, że jesteś przedstawicielem ustawowym dziecka, jest dla nas niezbędna do weryfikacji możliwości wyrażenia przez Ciebie zgód dotyczących przetwarzania danych osobowych dziecka i akceptacji zasad świadczenia przez nas usług drogą elektroniczną (dane obowiązkowe);
• materiały przesyłane przez dziecko w ramach funkcji wgrywania nagrań wideo wykonania misji - w przypadku korzystania z tej funkcji możemy przetwarzać dane osobowe dotyczące głosu Twojego dziecka, w tym jego transkrypcje, także w celu weryfikacji zgodności z kodeksem postępowania i zasadami korzystania z aplikacji (funkcja opcjonalna).

Dane techniczne (w aplikacji)

• ID użytkownika, model urządzenia, wersja systemu, wersja aplikacji, adres IP, identyfikator sesji - dla bezpieczeństwa i diagnostyki;
• zanonimizowane logi błędów - żeby aplikacja działała stabilnie;
• token powiadomień push - żeby dostarczać powiadomienia o misjach i postępach.

Dane na stronie ultimateplayer.pl

• adres e-mail z formularza pobrania ebooka - żeby wysłać Ci ebooka (obowiązkowy do otrzymania ebooka);
• adres e-mail zapisany do newslettera - żeby wysyłać materiały marketingowe i informację handlową; zapis jest dobrowolny i odrębny od pobrania ebooka;
• dane mechanizmu ochrony formularzy przed botami - interakcje, adres IP, informacje o urządzeniu;
• dane techniczne - adres IP, typ przeglądarki, system operacyjny, odwiedzane podstrony - dla bezpieczeństwa i statystyki zagregowanej;
• niezbędne dane cookies - dane z plików cookies koniecznych do działania strony, w tym do zapamiętania Twojego wyboru w panelu zgody; działają zawsze i nie wymagają zgody (szczegóły w sekcji 10);
• dane z plików cookies innych niż niezbędne - tylko po wyrażeniu przez Ciebie zgody (szczegóły w sekcji 10).

Kontakt z nami odbywa się przez e-mail lub drogą pisemną. Nie prowadzimy formularza kontaktowego zbierającego dane na serwerze - wiadomość trafia wprost do naszej skrzynki.

Czego NIE zbieramy: danych wrażliwych (zdrowie, pochodzenie, religia, dane biometryczne) ani lokalizacji GPS.

Krótko: żeby aplikacja i strona działały tak, jak tego oczekujesz, były bezpieczne i rozwijały się w oparciu o dane zagregowane. Konkretnie: prowadzenie konta i logowanie, działanie mechaniki gry, dostarczanie powiadomień o postępach, wysyłka ebooka i newslettera, ochrona przed nadużyciami i botami, diagnostyka i stabilność, a także dochodzenie lub obrona roszczeń.

Nasz prawnie uzasadniony interes obejmuje zapewnienie bezpieczeństwa, przeciwdziałanie nadużyciom, rozwój produktu na podstawie danych zagregowanych oraz dochodzenie i obronę roszczeń. Wobec przetwarzania na tej podstawie przysługuje Ci prawo sprzeciwu (art. 21 RODO).

Każda kategoria danych ma odrębną podstawę:

• Zawarcie i wykonanie umowy (art. 6 ust. 1 lit. b RODO), w tym umowy o dostarczenie treści cyfrowej (ebooka):
  • adres e-mail;
  • konto i logowanie rodzica oraz dziecka;
  • logowanie Google/Apple;
  • dane dotyczące powiązań rodzinnych, opieki lub przysposobienia;
  • data urodzenia rodzica i dziecka;
  • dane treningowe dziecka, profil dziecka.
• Twoja zgoda (art. 6 ust. 1 lit. a RODO):
  • nick/avatar rodzica;
  • materiały przesyłane przez użytkownika w ramach funkcji wgrywania nagrań wideo wykonania misji, w tym wizerunek rodzica lub dziecka oraz nagrania głosu zawarte w nagraniach wideo;
  • zdjęcie do avatara dziecka;
  • adres e-mail do wysyłki newslettera lub ebooka (dodatkowo art. 398 Prawa komunikacji elektronicznej);
  • cookies inne niż niezbędne (dodatkowo art. 399 Prawa komunikacji elektronicznej).
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), w tym wynikający z potrzeby weryfikacji prawnej skuteczności udzielenia zgód i oświadczeń, w tym w imieniu dziecka, jak też w zakresie bieżącej komunikacji z Administratorem, w tym co do skarg i wniosków, jak też dla ustalenia i dochodzenia roszczeń lub obrony przed tymi roszczeniami:
  • dane osobowe podane podczas kontaktu z Administratorem;
  • dane techniczne urządzenia, logi błędów, token powiadomień push, ochrona formularzy przed botami, dane techniczne strony i statystyka zagregowana;
  • dane dotyczące powiązań rodzinnych, opieki lub przysposobienia; data urodzenia rodzica i dziecka.

Zgodę możesz w każdej chwili cofnąć (art. 7 ust. 3 RODO) - nie wpływa to na zgodność z prawem przetwarzania sprzed cofnięcia.

Ponieważ dziecko korzysta z aplikacji bezpośrednio (loguje się własnym kontem), do przetwarzania danych dziecka opartego na zgodzie stosuje się art. 8 RODO. Zgodnie z art. 4 ustawy o ochronie danych osobowych w Polsce próg wynosi 16 lat: dla dziecka poniżej 16 lat zgodę wyraża lub autoryzuje osoba sprawująca władzę rodzicielską lub opiekę. Sposób uzyskania i zweryfikowania tej zgody opisuje sekcja 7.

Aplikacji używają zarówno rodzice, jak i dzieci. Dziecko loguje się własnym kontem Google lub Apple (uwierzytelnianie Firebase), przy zakładaniu profilu wybiera typ konta „dziecko”, a następnie łączy się z rodziną, skanując kod QR udostępniony przez rodzica. Oznacza to, że dziecko korzysta z aplikacji bezpośrednio jako użytkownik.

Dlatego do danych dziecka stosujemy art. 8 RODO. W Polsce próg wynosi 16 lat (art. 4 ustawy o ochronie danych osobowych): dla dziecka poniżej 16 lat zgoda na przetwarzanie oparte na zgodzie (m.in. nagrania, zdjęcie do avatara) musi być wyrażona lub autoryzowana przez osobę sprawującą władzę rodzicielską lub opiekę. Pozostałe dane dziecka - konto, profil i dane treningowe - przetwarzamy na podstawie umowy zawartej i wykonywanej w imieniu dziecka przez rodzica jako przedstawiciela ustawowego (art. 6 ust. 1 lit. b RODO w związku z art. 98 Kodeksu rodzinnego i opiekuńczego).

Co to oznacza w praktyce:

• Łączenie konta dziecka z rodziną odbywa się przez kod QR rodzica; rodzic zachowuje kontrolę rodzicielską nad profilem dziecka w ramach rodziny. Adres e-mail rodzica weryfikujemy podwójnym potwierdzeniem. Odbieramy również oświadczenie dotyczące przedstawicielstwa ustawowego, aby potwierdzić skuteczność zawarcia umowy i udzielenia wybranych zgód.
• Nagrania wideo i zdjęcia dziecka są w pełni opcjonalne i nie są warunkiem korzystania z aplikacji. Wymagają odrębnej zgody na osobnym ekranie (nie w trakcie rejestracji). Są domyślnie prywatne, dostępne wyłącznie dla Ciebie i dziecka. Nie udostępniamy ich publicznie ani nie wykorzystujemy w marketingu bez odrębnej zgody. Nie używamy nagrań ani zdjęć dzieci do trenowania modeli sztucznej inteligencji. Po cofnięciu zgody usuwamy materiały w terminie 30 dni.
• Prywatność domyślna (art. 25 RODO): profil dziecka jest domyślnie prywatny, geolokalizacja wyłączona, a wobec profili dzieci nie stosujemy reklam behawioralnych.
• Prawa dziecka wykonujesz Ty jako rodzic lub opiekun. Na sześć miesięcy przed osiągnięciem przez dziecko pełnoletności powiadomimy Cię. W dniu pełnoletności prawa do danych przechodzą na użytkownika (motyw 65 RODO).

Wykonanie misji przez dziecko potwierdzasz obecnie Ty w aplikacji - akceptujesz albo odrzucasz. Aplikacja nie korzysta obecnie z automatycznej analizy nagrań przez sztuczną inteligencję. Jeśli w przyszłości weryfikację będzie wspierać usługa zewnętrzna, najpierw zaktualizujemy tę politykę, uzupełnimy listę podmiotów przetwarzających i pozyskamy odrębną zgodę.

Jeśli skorzystasz z funkcji zdjęcia do avatara, zdjęcie jest przechowywane w usłudze przechowywania plików powiązanej z kontem (zasady w sekcji 13). Planowane generowanie avatara z natychmiastowym usuwaniem zdjęcia źródłowego opiszemy w polityce po jego uruchomieniu.

Powierzamy dane zaufanym dostawcom, którzy przetwarzają je wyłącznie na nasze udokumentowane polecenie (art. 28 RODO). Nie sprzedajemy danych ani nie przekazujemy ich podmiotom trzecim w celach marketingowych, poza pikselem Meta (opis niżej), który działa wyłącznie za Twoją zgodą.

• Google LLC - uwierzytelnianie, baza danych, przechowywanie plików, powiadomienia i diagnostyka w aplikacji; hosting serwisu, statystyka ruchu i ochrona formularzy przed botami na stronie. Transfer do USA: decyzja wykonawcza Komisji Europejskiej 2023/1795 (Data Privacy Framework) wraz ze standardowymi klauzulami umownymi jako zabezpieczeniem dodatkowym.
• Apple Inc. - usługa logowania Apple. Apple nie ma certyfikacji Data Privacy Framework, dlatego podstawą transferu do USA są wyłącznie standardowe klauzule umowne (art. 46 RODO). Przekazujemy tylko identyfikator użytkownika i przekierowany adres e-mail.
• UAB MailerLite (Litwa) - wysyłka ebooka i newslettera. Dane subskrybentów przetwarzane są w Unii Europejskiej, bez transferu poza Europejski Obszar Gospodarczy.
• Meta Platforms Ireland Ltd - piksel Meta (Facebooka) na stronie ultimateplayer.pl: pomiar skuteczności reklam i remarketing. Działa wyłącznie po Twojej zgodzie marketingowej (art. 6 ust. 1 lit. a RODO); zgodę cofniesz w każdej chwili przyciskiem „Ustawienia cookies” w stopce. Transfer do USA: decyzja 2023/1795 (Data Privacy Framework) oraz standardowe klauzule umowne. Szczegóły: polityka prywatności Meta.

Poza powyżej wymienionymi podmiotami Twoje dane możemy powierzyć do przetwarzania także podmiotom świadczącym pomoc prawną, dostawcom usług, w szczególności informatycznych, księgowych, hostingowych lub marketingowych (na naszą rzecz), jednakże zawsze odbywa się to na podstawie umowy powierzenia przetwarzania danych osobowych.

Zgodnie z art. 399 Prawa komunikacji elektronicznej oraz wytycznymi Europejskiej Rady Ochrony Danych stosujemy pliki cookies i technologie śledzące wyłącznie po wyrażeniu przez Ciebie zgody - z wyjątkiem technologii niezbędnych.

Wyróżniamy cztery kategorie: niezbędne (działają zawsze), funkcjonalne, analityczne i marketingowe. Przy pierwszej wizycie pokazujemy panel zgody, w którym opcje „akceptuj” i „odrzuć” wszystkich kategorii są równorzędne pod względem dostępności i wyglądu. Wybór możesz zmienić w każdej chwili. Rejestrujemy fakt zgody wraz ze znacznikiem czasu, wersją panelu i Twoim wyborem. Pełna lista plików cookies jest na osobnej podstronie.

Pobranie ebooka i zapis do newslettera to dwie odrębne czynności. Pobranie ebooka to wykonanie umowy o dostarczenie treści cyfrowej. Zapis do newslettera to osobne, dobrowolne działanie potwierdzane podwójną zgodą. Samo pobranie ebooka nie jest zgodą na newsletter. Z newslettera zrezygnujesz w każdej chwili linkiem w stopce każdej wiadomości.

Dążymy do przechowywania danych profilowych i treningowych w regionie Unii Europejskiej. Dane subskrybentów newslettera i ebooka są przetwarzane w Unii Europejskiej, bez transferu poza Europejski Obszar Gospodarczy.

Dla transferów do Stanów Zjednoczonych stosujemy decyzję adekwatności Komisji Europejskiej 2023/1795 oraz standardowe klauzule umowne (decyzja 2021/914) jako zabezpieczenie dodatkowe. Kopię standardowych klauzul umownych udostępnimy na pisemny wniosek.

W aplikacji:

• konto rodzica i profil dziecka - przez cały okres istnienia konta; po usunięciu konta dane usuwamy w ciągu 30 dni, kaskadowo (profil dziecka, nagrania, avatary, statystyki, dane relacyjne);
• nagrania wideo - do czasu usunięcia przez Ciebie lub cofnięcia zgody; po cofnięciu zgody - 30 dni;
• zagregowane metryki gry - do 26 miesięcy;
• logi techniczne i bezpieczeństwa - do 12 miesięcy; logi błędów - 90 dni;
• dokumentacja zgód, w tym danych dotyczących imienia i nazwiska, daty urodzenia oraz stosunków pokrewieństwa, opieki lub przysposobienia - 3 lata od wyrażenia lub wycofania; dokumentacja żądań z art. 15-22 RODO - 3 lata od zakończenia sprawy;
• dane rozliczeniowe (po uruchomieniu pakietów płatnych) - 6 lat.

Na stronie:

• e-mail z pobrania ebooka bez zapisu do newslettera - do wycofania zgody lub przez 12 miesięcy od ostatniej aktywności;
• e-mail w bazie newslettera - do wypisania się, nie dłużej niż 36 miesięcy od ostatniej interakcji;
• logi serwera i bezpieczeństwa - do 12 miesięcy; dokumentacja zgód na cookies - 3 lata.

Przysługują Ci prawa z art. 15-22 RODO, tj. dostęp do danych, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw i prawo cofnięcia zgody (art. 7 ust. 3 RODO) oraz prawo wniesienia skargi do organu nadzorczego (art. 77 RODO).

Żeby skorzystać z tych praw, napisz na adres z sekcji 1.

Usunięcie konta w ustawieniach aplikacji powoduje kaskadowe usunięcie danych dziecka. Sposób usunięcia konta oraz zgłaszania żądań usunięcia danych opisaliśmy na stronie Usunięcie konta i danych. Prawa dziecka wykonujesz Ty; po osiągnięciu pełnoletności użytkownik wykonuje je samodzielnie.

Skargę możesz wnieść do Prezesa Urzędu Ochrony Danych Osobowych.

Stosujemy środki techniczne i organizacyjne zgodne z art. 32 RODO: szyfrowanie połączeń, bezpieczne przechowywanie haseł, kontrolę dostępu na poziomie reguł bazy danych (każdy użytkownik widzi wyłącznie własne dane), kopie zapasowe i przeglądy bezpieczeństwa.

Naruszenie ochrony danych zgłaszamy Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin (art. 33 RODO), a gdy ryzyko naruszenia praw lub wolności osób jest wysokie - informujemy bez zbędnej zwłoki bezpośrednio osoby, których dane dotyczą (art. 34 RODO).

Mechanika gry działa automatycznie na podstawie aktywności w aplikacji, ale nie stanowi zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 RODO ani profilowania marketingowego dziecka. Nie stosujemy rozpoznawania twarzy ani technologii biometrycznych.

Aplikacja jest obecnie bezpłatna. Po uruchomieniu pakietów płatnych uzupełnimy listę podmiotów przetwarzających o dostawcę płatności i zarządzania subskrypcjami, aktywujemy sześcioletni okres przechowywania dokumentów rozliczeniowych oraz zaktualizujemy politykę i regulamin przed udostępnieniem płatności.

Aplikacja jest sklasyfikowana w kategorii wiekowej 4+ w App Store oraz Dla całej rodziny w Google Play. Nie zawiera reklam behawioralnych skierowanych do dzieci, a nagrania służą wyłącznie rejestracji i potwierdzeniu wykonania misji - nie są przesyłane innym użytkownikom ani upubliczniane. Konto dziecka jest powiązane z rodziną i pozostaje pod kontrolą rodzicielską rodzica.