Polityka Prywatności

W skrócie dla rodzica

Zanim wejdziesz w szczegóły - oto najważniejsze rzeczy w trzech zdaniach:

• ✔Konto dziecka działa pod Twoją kontrolą rodzicielską. Dziecko loguje się własnym kontem Google lub Apple i wybiera „konto dziecka”, a następnie łączy się z Twoją rodziną przez kod QR. Ponieważ dziecko korzysta z aplikacji bezpośrednio, dla dzieci poniżej 16 lat przetwarzanie oparte na zgodzie wymaga zgody lub autoryzacji rodzica (art. 8 RODO) - szczegóły w sekcji 7.
• ✔Zbieramy tylko to, co konieczne. Żadnej reklamy behawioralnej wobec dziecka, żadnej sprzedaży danych, żadnej lokalizacji GPS, żadnych danych o zdrowiu. Nagrania wideo i avatar to funkcje w pełni opcjonalne, włączane osobną zgodą.
• ✔Masz pełną kontrolę. W każdej chwili możesz zobaczyć dane, poprawić je, cofnąć zgodę albo usunąć konto - usunięcie konta kasuje też kaskadowo wszystkie dane dziecka.

Reszta dokumentu rozwija każdy z tych punktów. Pisany jest prostym językiem; przepisy RODO wskazujemy w nawiasach, żeby nie przerywać czytania.

Administratorem danych osobowych jest Bondforge Solutions Sp. z o.o. z siedzibą przy ul. Mogilskiej 35, 31-545 Kraków, wpisana do Krajowego Rejestru Sądowego pod numerem KRS 0001192792, NIP 6751818460, REGON 542650712.

We wszystkich sprawach dotyczących ochrony danych oraz w celu zgłoszenia incydentu bezpieczeństwa napisz na: kontakt@ultimateplayer.pl.

Nie wyznaczyliśmy Inspektora Ochrony Danych, ponieważ w świetle art. 37 RODO nie jest on dla nas obowiązkowy. Wyznaczyliśmy natomiast punkt kontaktowy do spraw ochrony danych - adres podany w sekcji 1.

Na Twoje żądania odpowiadamy w terminie do 30 dni od ich otrzymania (art. 12 ust. 3 RODO). Jeśli sprawa jest złożona, możemy ten termin przedłużyć o kolejne 60 dni - poinformujemy Cię o tym w ciągu pierwszych 30 dni wraz z uzasadnieniem.

Ta polityka obejmuje łącznie:

• aplikację mobilną Ultimate Player (iOS i Android),
• serwis internetowy ultimateplayer.pl.

Tam, gdzie zasady różnią się między aplikacją a stroną, zaznaczamy to wprost - „W aplikacji:” lub „Na stronie:”.

Zbieramy wyłącznie dane niezbędne do jasno opisanych celów. Każda kategoria danych ma własną podstawę prawną - zebraliśmy je w sekcji 6.

Dane rodzica (w aplikacji)

• adres e-mail i zaszyfrowane hasło - żeby założyć i utrzymać konto oraz Cię logować (dane obowiązkowe);
• logowanie Google lub Apple - adres e-mail z konta Google albo identyfikator i przekierowany adres e-mail z konta Apple; to opcjonalna alternatywa dla rejestracji e-mailem;
• imię, nick, avatar rodzica - żeby spersonalizować konto (dane dobrowolne).

Dane dziecka (w aplikacji)

• imię, płeć, data urodzenia, nick, avatar dziecka - żeby utworzyć profil dziecka w ramach Twojego konta (obowiązkowe dla utworzenia profilu);
• dane treningowe - wyniki misji, statystyki, punkty doświadczenia, rangi, postęp w drzewie rozwoju, serie aktywności i historia; niezbędne, żeby mechanika gry w ogóle działała;
• nagrania wideo wykonania misji - funkcja opcjonalna, włączana osobną zgodą (szczegóły w sekcji 7);
• zdjęcie do avatara - funkcja opcjonalna, włączana osobną zgodą.

Dane techniczne (w aplikacji)

• model urządzenia, wersja systemu, wersja aplikacji, adres IP, identyfikator sesji - dla bezpieczeństwa i diagnostyki;
• zanonimizowane logi błędów - żeby aplikacja działała stabilnie;
• token powiadomień push - żeby dostarczać powiadomienia o misjach i postępach.

Dane na stronie ultimateplayer.pl

• adres e-mail z formularza pobrania ebooka - żeby wysłać Ci ebooka (obowiązkowy do otrzymania ebooka);
• adres e-mail zapisany do newslettera - żeby wysyłać materiały marketingowe; zapis jest dobrowolny i odrębny od pobrania ebooka;
• dane mechanizmu ochrony formularzy przed botami - interakcje, adres IP, informacje o urządzeniu;
• dane techniczne - adres IP, typ przeglądarki, system operacyjny, odwiedzane podstrony - dla bezpieczeństwa i statystyki zagregowanej;
• dane z plików cookies innych niż niezbędne - tylko po wyrażeniu przez Ciebie zgody (szczegóły w sekcji 10).

Kontakt z nami odbywa się przez e-mail. Nie prowadzimy formularza kontaktowego zbierającego dane na serwerze - wiadomość trafia wprost do naszej skrzynki.

Czego NIE zbieramy: danych szczególnych kategorii (zdrowie, pochodzenie, religia, dane biometryczne) ani lokalizacji GPS.

Krótko: żeby aplikacja i strona działały tak, jak tego oczekujesz, były bezpieczne i rozwijały się w oparciu o dane zagregowane. Konkretnie: prowadzenie konta i logowanie, działanie mechaniki gry, dostarczanie powiadomień o postępach, wysyłka ebooka i newslettera, ochrona przed nadużyciami i botami, diagnostyka i stabilność, a także dochodzenie lub obrona roszczeń.

Nasz prawnie uzasadniony interes obejmuje zapewnienie bezpieczeństwa, przeciwdziałanie nadużyciom, rozwój produktu na podstawie danych zagregowanych oraz dochodzenie i obronę roszczeń. Wobec przetwarzania na tej podstawie przysługuje Ci prawo sprzeciwu (art. 21 RODO).

Każda kategoria danych ma odrębną podstawę:

• Wykonanie umowy (art. 6 ust. 1 lit. b RODO): konto i logowanie rodzica oraz dziecka, logowanie Google/Apple, dane treningowe dziecka, profil dziecka, pobranie ebooka (umowa o dostarczenie treści cyfrowej). Umowę w imieniu dziecka zawiera i wykonuje rodzic lub opiekun prawny jako przedstawiciel ustawowy (art. 98 Kodeksu rodzinnego i opiekuńczego).
• Twoja zgoda (art. 6 ust. 1 lit. a RODO): imię/nick/avatar rodzica, nagrania wideo i zdjęcie do avatara dziecka (dodatkowo art. 81 ustawy o prawie autorskim i prawach pokrewnych), newsletter (dodatkowo art. 398 Prawa komunikacji elektronicznej), cookies inne niż niezbędne (dodatkowo art. 399 Prawa komunikacji elektronicznej).
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO): dane techniczne urządzenia, logi błędów, token powiadomień push, ochrona formularzy przed botami, dane techniczne strony i statystyka zagregowana.

Zgodę możesz w każdej chwili cofnąć (art. 7 ust. 3 RODO) - nie wpływa to na zgodność z prawem przetwarzania sprzed cofnięcia.

Ponieważ dziecko korzysta z aplikacji bezpośrednio (loguje się własnym kontem), do przetwarzania danych dziecka opartego na zgodzie stosuje się art. 8 RODO. Zgodnie z art. 4 ustawy o ochronie danych osobowych w Polsce próg wynosi 16 lat: dla dziecka poniżej 16 lat zgodę wyraża lub autoryzuje osoba sprawująca władzę rodzicielską lub opiekę. Sposób uzyskania i zweryfikowania tej zgody opisuje sekcja 7.

Aplikacji używają zarówno rodzice, jak i dzieci. Dziecko loguje się własnym kontem Google lub Apple (uwierzytelnianie Firebase), przy zakładaniu profilu wybiera typ konta „dziecko”, a następnie łączy się z rodziną, skanując kod QR udostępniony przez rodzica. Oznacza to, że dziecko korzysta z aplikacji bezpośrednio jako użytkownik.

Dlatego do danych dziecka stosujemy art. 8 RODO. W Polsce próg wynosi 16 lat (art. 4 ustawy o ochronie danych osobowych): dla dziecka poniżej 16 lat zgoda na przetwarzanie oparte na zgodzie (m.in. nagrania, zdjęcie do avatara) musi być wyrażona lub autoryzowana przez osobę sprawującą władzę rodzicielską lub opiekę. Pozostałe dane dziecka - konto, profil i dane treningowe - przetwarzamy na podstawie umowy zawartej i wykonywanej w imieniu dziecka przez rodzica jako przedstawiciela ustawowego (art. 6 ust. 1 lit. b RODO w związku z art. 98 Kodeksu rodzinnego i opiekuńczego); dla nagrań i avatara dodatkowo art. 81 ustawy o prawie autorskim.

Co to oznacza w praktyce:

• Łączenie konta dziecka z rodziną odbywa się przez kod QR rodzica; rodzic zachowuje kontrolę rodzicielską nad profilem dziecka w ramach rodziny. Adres e-mail rodzica weryfikujemy podwójnym potwierdzeniem.
• Nagrania wideo i zdjęcia dziecka są w pełni opcjonalne i nie są warunkiem korzystania z aplikacji. Wymagają odrębnej zgody na osobnym ekranie (nie w trakcie rejestracji). Są domyślnie prywatne, dostępne wyłącznie dla Ciebie i dziecka. Nie udostępniamy ich publicznie ani nie wykorzystujemy w marketingu bez odrębnej zgody. Nie używamy nagrań ani zdjęć dzieci do trenowania modeli sztucznej inteligencji. Po cofnięciu zgody usuwamy materiały w terminie 30 dni.
• Prywatność domyślna (art. 25 RODO): profil dziecka jest domyślnie prywatny, geolokalizacja wyłączona, a wobec profili dzieci nie stosujemy reklam behawioralnych.
• Prawa dziecka wykonujesz Ty jako rodzic lub opiekun. Na sześć miesięcy przed osiągnięciem przez dziecko pełnoletności powiadomimy Cię. W dniu pełnoletności prawa do danych przechodzą na użytkownika (motyw 65 RODO).

Wykonanie misji przez dziecko potwierdzasz obecnie Ty w aplikacji - akceptujesz albo odrzucasz. Aplikacja nie korzysta obecnie z automatycznej analizy nagrań przez sztuczną inteligencję. Jeśli w przyszłości weryfikację będzie wspierać usługa zewnętrzna, najpierw zaktualizujemy tę politykę, uzupełnimy listę podmiotów przetwarzających i pozyskamy odrębną zgodę.

Jeśli skorzystasz z funkcji zdjęcia do avatara, zdjęcie jest przechowywane w usłudze przechowywania plików powiązanej z kontem (zasady w sekcji 13). Planowane generowanie avatara z natychmiastowym usuwaniem zdjęcia źródłowego opiszemy w polityce po jego uruchomieniu.

Powierzamy dane zaufanym dostawcom, którzy przetwarzają je wyłącznie na nasze udokumentowane polecenie (art. 28 RODO). Nie sprzedajemy danych ani nie przekazujemy ich podmiotom trzecim w celach marketingowych, poza pikselem Meta (opis niżej), który działa wyłącznie za Twoją zgodą.

• Google LLC - uwierzytelnianie, baza danych, przechowywanie plików, powiadomienia i diagnostyka w aplikacji; hosting serwisu, statystyka ruchu i ochrona formularzy przed botami na stronie. Transfer do USA: decyzja wykonawcza Komisji Europejskiej 2023/1795 (Data Privacy Framework) wraz ze standardowymi klauzulami umownymi jako zabezpieczeniem dodatkowym.
• Apple Inc. - usługa logowania Apple. Apple nie ma certyfikacji Data Privacy Framework, dlatego podstawą transferu do USA są wyłącznie standardowe klauzule umowne (art. 46 RODO). Przekazujemy tylko identyfikator użytkownika i przekierowany adres e-mail.
• UAB MailerLite (Litwa) - wysyłka ebooka i newslettera. Dane subskrybentów przetwarzane są w Unii Europejskiej, bez transferu poza Europejski Obszar Gospodarczy.
• Meta Platforms Ireland Ltd - piksel Meta (Facebooka) na stronie ultimateplayer.pl: pomiar skuteczności reklam i remarketing. Działa wyłącznie po Twojej zgodzie marketingowej (art. 6 ust. 1 lit. a RODO); zgodę cofniesz w każdej chwili przyciskiem „Ustawienia cookies” w stopce. Transfer do USA: decyzja 2023/1795 (Data Privacy Framework) oraz standardowe klauzule umowne. Szczegóły: polityka prywatności Meta.

Zgodnie z art. 399 Prawa komunikacji elektronicznej oraz wytycznymi Europejskiej Rady Ochrony Danych stosujemy pliki cookies i technologie śledzące wyłącznie po wyrażeniu przez Ciebie zgody - z wyjątkiem technologii niezbędnych.

Wyróżniamy cztery kategorie: niezbędne (działają zawsze), funkcjonalne, analityczne i marketingowe. Przy pierwszej wizycie pokazujemy panel zgody, w którym opcje „akceptuj” i „odrzuć” wszystkich kategorii są równorzędne pod względem dostępności i wyglądu. Wybór możesz zmienić w każdej chwili. Rejestrujemy fakt zgody wraz ze znacznikiem czasu, wersją panelu i Twoim wyborem. Pełna lista plików cookies jest na osobnej podstronie.

Pobranie ebooka i zapis do newslettera to dwie odrębne czynności. Pobranie ebooka to wykonanie umowy o dostarczenie treści cyfrowej. Zapis do newslettera to osobne, dobrowolne działanie potwierdzane podwójną zgodą. Samo pobranie ebooka nie jest zgodą na newsletter. Z newslettera zrezygnujesz w każdej chwili linkiem w stopce każdej wiadomości.

Dążymy do przechowywania danych profilowych i treningowych w regionie Unii Europejskiej. Dane subskrybentów newslettera i ebooka są przetwarzane w Unii Europejskiej, bez transferu poza Europejski Obszar Gospodarczy.

Dla transferów do Stanów Zjednoczonych stosujemy decyzję adekwatności Komisji Europejskiej 2023/1795 oraz standardowe klauzule umowne (decyzja 2021/914) jako zabezpieczenie dodatkowe. Kopię standardowych klauzul umownych udostępnimy na pisemny wniosek.

W aplikacji:

• konto rodzica i profil dziecka - przez cały okres istnienia konta; po usunięciu konta dane usuwamy w ciągu 30 dni, kaskadowo (profil dziecka, nagrania, avatary, statystyki, dane relacyjne);
• nagrania wideo - do czasu usunięcia przez Ciebie lub cofnięcia zgody; po cofnięciu zgody - 30 dni;
• zagregowane metryki gry - do 26 miesięcy;
• logi techniczne i bezpieczeństwa - do 12 miesięcy; logi błędów - 90 dni;
• dokumentacja zgód - 3 lata od wyrażenia lub wycofania; dokumentacja żądań z art. 15-22 RODO - 3 lata od zakończenia sprawy;
• dane rozliczeniowe (po uruchomieniu pakietów płatnych) - 5 lat (art. 74 ustawy o rachunkowości).

Na stronie:

• e-mail z pobrania ebooka bez zapisu do newslettera - do wycofania zgody lub przez 12 miesięcy od ostatniej aktywności;
• e-mail w bazie newslettera - do wypisania się, nie dłużej niż 36 miesięcy od ostatniej interakcji;
• logi serwera i bezpieczeństwa - do 12 miesięcy; dokumentacja zgód na cookies - 3 lata.

Przysługują Ci prawa z art. 15-22 RODO (m.in. dostęp do danych, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw), prawo cofnięcia zgody (art. 7 ust. 3 RODO) oraz prawo wniesienia skargi do organu nadzorczego (art. 77 RODO).

Żeby skorzystać z praw, napisz na adres z sekcji 1 - odpowiadamy w terminie do 30 dni. Usunięcie konta w ustawieniach aplikacji powoduje kaskadowe usunięcie danych dziecka. Sposób usunięcia konta oraz zgłaszania żądań usunięcia danych opisaliśmy na stronie Usunięcie konta i danych. Prawa dziecka wykonujesz Ty; po osiągnięciu pełnoletności użytkownik wykonuje je samodzielnie.

Skargę możesz wnieść do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Stosujemy środki techniczne i organizacyjne zgodne z art. 32 RODO: szyfrowanie połączeń, bezpieczne przechowywanie haseł, kontrolę dostępu na poziomie reguł bazy danych (każdy użytkownik widzi wyłącznie własne dane), kopie zapasowe i przeglądy bezpieczeństwa.

Naruszenie ochrony danych zgłaszamy Prezesowi Urzędu Ochrony Danych Osobowych w terminie 72 godzin (art. 33 RODO), a gdy ryzyko jest wysokie - informujemy bezpośrednio osoby, których dane dotyczą (art. 34 RODO).

Mechanika gry działa automatycznie na podstawie aktywności w aplikacji, ale nie stanowi zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 RODO ani profilowania marketingowego dziecka. Nie stosujemy rozpoznawania twarzy ani technologii biometrycznych.

Aplikacja jest obecnie bezpłatna. Po uruchomieniu pakietów płatnych uzupełnimy listę podmiotów przetwarzających o dostawcę płatności i zarządzania subskrypcjami, aktywujemy pięcioletni okres przechowywania dokumentów rozliczeniowych oraz zaktualizujemy politykę i regulamin przed udostępnieniem płatności.

Aplikacja jest sklasyfikowana w kategorii wiekowej 4+ w App Store oraz Dla całej rodziny w Google Play. Nie zawiera reklam behawioralnych skierowanych do dzieci, a nagrania służą wyłącznie rejestracji i potwierdzeniu wykonania misji - nie są przesyłane innym użytkownikom ani upubliczniane. Konto dziecka jest powiązane z rodziną i pozostaje pod kontrolą rodzicielską rodzica.