Polityka Prywatności i Ochrony Danych Osobowych

Wstęp i ramy prawne przetwarzania

Ochrona integralności cyfrowej oraz bezpieczeństwo informacji personalnych użytkowników stanowią fundament działalności operacyjnej serwisu. Wszelkie operacje na danych osobowych są realizowane w trybie zautomatyzowanym oraz manualnym w pełnej zgodności z normami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych (RODO / GDPR). Wdrożone protokoły gwarantują ochronę sesji, poufność archiwizowanych rekordów oraz transparentność procesów przetwarzania.

Rejestracja profilu, uczestnictwo w rozgrywkach na prawdziwe pieniądze oraz obsługa transakcji płatniczych podlegają bezwzględnej weryfikacji pełnoletności (wymóg ukończenia 18 lat). Zobowiązanie to wynika bezpośrednio z jurysdykcji regulacyjnej, którą określa Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board. Oficjalny portal casino Lemon stosuje wielopoziomowe filtry autoryzacyjne, systematycznie eliminując próby dostępu osób nieuprawnionych oraz przeciwdziałając fałszowaniu tożsamości.

Metryka i parametry wdrożeniowe polityki bezpieczeństwa

Niniejszy dokument określa techniczne i organizacyjne środki ochrony integralności danych stosowane w infrastrukturze operatora Lemon Entertainment Sp. z o.o.:

Norma nadrzędna: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO / GDPR).
Standard kryptograficzny: Protokół TLS 1.2 / TLS 1.3 z 256-bitowym kluczem szyfrującym SSL.
Reżim licencyjny: Licencja Curaçao nr 8048/JAZ wydana przez Curaçao Gaming Control Board.
Nadzór i kontakt: Dedykowany Inspektor Ochrony Danych pod adresem [email protected].

Administrator danych i podstawa działania

Organem nadrzędnym decydującym o celach oraz środkach przetwarzania zasobów teleinformatycznych jest operator Lemon Entertainment Sp. z o.o., wpisany do rejestru przedsiębiorców pod numerem KRS 0000987654. Oficjalna korespondencja formalno-prawna przyjmowana jest pod zarejestrowanym adresem siedziby:

ul. Marszałkowska 102, 00-120 Warszawa, Polska

Działalność operacyjna prowadzona jest zgodnie z międzynarodowymi normami prawnymi – kluczową podstawę stanowi Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board. Zobowiązania licencyjne nakładają na operatora obligatoryjne wdrożenie procedur weryfikacyjnych KYC/AML (Know Your Customer oraz Anti-Money Laundering), co stanowi bezpośrednią podstawę do przetwarzania dokumentacji tożsamości użytkowników przed autoryzacją pierwszej wypłaty. Nadzór nad zgodnością procedur z rozporządzeniem RODO (GDPR 2016/679) sprawuje powołany Inspektor Ochrony Danych, z którym można skontaktować się pod adresem: [email protected].

Kategorie przetwarzanych danych

Infrastruktura serwerowa operatora przetwarza wyłącznie sprecyzowane zbiory rekordów, których agregacja stanowi wymóg techniczny oraz prawny niezbędny do poprawnej obsługi konta gracza i realizacji transakcji w grach hazardowych na prawdziwe pieniądze. Rejestry cyfrowe skategoryzowano w czterech odrębnych modułach informacyjnych:

Dane identyfikacyjne (profil tożsamości): imię, nazwisko, oficjalna data urodzenia poświadczająca wymóg ukończenia 18 lat, obywatelstwo oraz seria i numer dokumentu tożsamości (dowód osobisty lub paszport) weryfikowane w procedurze KYC przed zatwierdzeniem pierwszej dyspozycji wypłaty.
Dane kontaktowe i teleadresowe: zweryfikowany adres poczty elektronicznej e-mail, numer telefonu komórkowego z prefiksem międzynarodowym (w tym polski format +48) oraz fizyczny adres zamieszkania (ulica, numer lokalu, kod pocztowy, miejscowość np. Warszawa).
Dane finansowe i transakcyjne: historia wpłat i wypłat, maskowane identyfikatory kart płatniczych Visa i Mastercard (pierwsze 6 i ostatnie 4 cyfry), transakcyjne identyfikatory depozytów BLIK (za pośrednictwem bramki MiFinity), adresy portfeli kryptowalutowych oraz status obrotu bonusem (wager).
Dane techniczne i eksploatacyjne: unikalny adres IP, geolokalizacja sesji, sygnatura sprzętowa urządzenia (user-agent), specyfikacja systemu operacyjnego, pliki cookies oraz szczegółowe logi autoryzacji logowania rejestrujące datę i dokładny znacznik czasu każdej aktywności.

Przetwarzane kategorie nie obejmują szczególnych kategorii danych osobowych w rozumieniu art. 9 RODO. Dostęp do zebranych baz podlega restrykcyjnemu szyfrowaniu i wieloskładnikowej kontroli uprawnień administracyjnych.

Cele przetwarzania danych

Gromadzenie oraz przetwarzanie zasobów informacyjnych przez operatora Lemon Entertainment Sp. z o.o. odbywa się wyłącznie na ściśle określonych podstawach prawnych wynikających z art. 6 ust. 1 Rozporządzenia RODO (UE 2016/679) oraz międzynarodowych standardów przeciwdziałania przestępczości finansowej. Każda operacja na rekordach danych służy realizacji precyzyjnych zadań technicznych, księgowych i weryfikacyjnych:

Zawarcie i realizacja umowy o świadczenie usług (art. 6 ust. 1 lit. b RODO): rejestracja konta użytkownika, autoryzacja sesji, rozliczanie zakładów w grach hazardowych na prawdziwe pieniądze, naliczanie salda bonusowego oraz wypłata wygranych środków.
Wypełnienie zobowiązań prawnych i nadzorczych (art. 6 ust. 1 lit. c RODO): obligatoryjna identyfikacja tożsamości klienta w procedurach KYC/AML przed realizacją pierwszej wypłaty, przeciwdziałanie praniu pieniędzy oraz raportowanie transakcji zgodnie z reżimem prawnym, jaki określa Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board.
Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO): bieżąca kontrola stabilności i integralności infrastruktury teleinformatycznej, blokowanie prób oszustw i duplikacji profili (multi-accounting), monitorowanie logów audytowych generatora liczb losowych (RNG) oraz zabezpieczenie dokumentacji na potrzeby ewentualnych sporów prawnych.
Realizacja obowiązków podatkowo-księgowych: ewidencjonowanie przepływów kapitałowych, przechowywanie faktur i dowodów transakcji płatniczych przez okres wymagany powszechnie obowiązującymi przepisami prawa bilansowego.

Zgromadzone pakiety informacji nie podlegają zautomatyzowanemu podejmowaniu decyzji wywołujących skutki prawne wobec użytkownika bez udziału wyznaczonego personelu działu audytu i bezpieczeństwa.

Udostępnianie danych i odbiorcy

Transfer rekordów osobowych podmiotom zewnętrznym jest ściśle reglamentowany i wyklucza jakąkolwiek formę komercyjnej odsprzedaży baz informacyjnych. Dostęp do wyselekcjonowanych pakietów danych uzyskują wyłącznie zweryfikowane podmioty realizujące wyspecjalizowane usługi na rzecz platformy na podstawie dwustronnych umów powierzenia przetwarzania (Data Processing Agreement — DPA):

Instytucje płatnicze i operatorzy bramek transakcyjnych: podmioty autoryzujące depozyty i wypłaty wygranych (w tym MiFinity, Jeton, Revolut oraz operatorzy kart Visa i Mastercard) — wyłącznie w zakresie niezbędnym do sfinalizowania rozliczenia finansowego i weryfikacji antyfraudowej.
Dostawcy oprogramowania i gier losowych: certyfikowani deweloperzy silników slots i stołów na żywo (m.in. NetEnt, Pragmatic Play, Play'n GO, Evolution Gaming) — w celu monitorowania ciągłości sesji, integralności zakładów oraz audytowania wskaźnika zwrotu dla gracza (RTP).
Dostawcy infrastruktury serwerowej i cyberbezpieczeństwa: operatorzy bezpiecznych centrów danych w chmurze, dostawcy certyfikatów SSL 256-bit i systemów filtrowania ruchu DDoS — zapewniający całodobową integralność logiczną baz i szyfrowanie TLS 1.3.
Organy regulacyjne i śledcze: instytucje państwowe oraz audytorzy uprawnieni z mocy prawa — wyłącznie w sytuacjach sprecyzowanych przepisami prawa przeciwdziałania praniu pieniędzy (AML) lub na mocy bezpośrednich nakazów sądowych.

Wszystkie podmioty kooperujące podlegają okresowym audytom technicznym pod kątem zgodności z rozporządzeniem RODO (GDPR 2016/679) oraz wymogami licencyjnymi. Wszelkie transfery nadzoruje operator Lemon Entertainment Sp. z o.o., prowadzący działalność pod adresem ul. Marszałkowska 102, 00-120 Warszawa, Polska, zgodnie z jurysdykcją, którą wyznacza Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board.

Prawa użytkownika i procedury realizacji

Każdemu zarejestrowanemu użytkownikowi platformy przysługuje pełen katalog uprawnień kontrolnych wynikających z przepisów Rozporządzenia RODO (art. 15–22 GDPR 2016/679). Realizacja wniosków jest bezpłatna i następuje w terminie nieprzekraczającym 30 dni kalendarzowych od momentu wpłynięcia zgłoszenia do wyznaczonego Inspektora Ochrony Danych pod adresem: [email protected].

Prawo dostępu do danych (art. 15 RODO): możliwość uzyskania formalnego potwierdzenia faktu przetwarzania informacji oraz wygenerowania pełnego zestawu rekordów konta w czytelnym formacie technicznym CSV lub PDF.
Prawo do sprostowania i korekty (art. 16 RODO): natychmiastowe zaktualizowanie niekompletnych lub nieprawidłowych danych kontaktowych, adresu zamieszkania lub numeru telefonu po przesłaniu stosownego potwierdzenia.
Prawo do usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO): bezpowrotne skasowanie profilu po ostatecznym rozliczeniu salda na prawdziwe pieniądze, z wyłączeniem rejestrów transakcyjnych podlegających 5-letniej obligatoryjnej retencji wynikającej z przepisów ustawy AML oraz Licencji Curaçao nr 8048/JAZ.
Prawo do ograniczenia przetwarzania (art. 18 RODO): czasowe zamrożenie modyfikacji danych w bazach logicznych na czas rozpatrywania ewentualnych reklamacji technicznych bądź sporów finansowych.
Prawo do przenoszenia danych (art. 20 RODO): wyeksportowanie zgromadzonych informacji w ustrukturyzowanym, powszechnie stosowanym formacie maszynowym (XML lub JSON) celem przekazania innemu operatorowi.
Prawo do sprzeciwu i skargi (art. 21 oraz art. 77 RODO): bezwzględny zakaz profilowania behawioralnego i telemetrycznego w celach marketingowych oraz prawo wniesienia skargi do organu nadzorczego (Prezes Urzędu Ochrony Danych Osobowych – UODO, ul. Stawki 2, Warszawa).

W celu weryfikacji tożsamości osoby składającej dyspozycję prawną, dział bezpieczeństwa może zażądać potwierdzenia adresu e-mail powiązanego z profilem gracza bądź weryfikacji dwuetapowej.

Pliki cookies i podobne technologie

Infrastruktura teleinformatyczna serwisu stosuje technologię plików cookies (ciasteczek) oraz mechanizmy Local Storage i Session Storage do zapisywania ciągów alfanumerycznych w pamięci podręcznej urządzenia końcowego użytkownika. Mechanizmy te są niezbędne do zachowania stabilności architektury logicznej portalu, weryfikacji integralności zapytań API oraz optymalizacji renderowania komponentów graficznych.

Operator kategoryzuje identyfikatory cyfrowe na trzy ściśle zdefiniowane grupy funkcjonalne o zróżnicowanym cyklu retencji:

Pliki ściśle niezbędne (techniczne): odpowiadają za autoryzację tokenów sesyjnych (JWT), przeciwdziałanie atakom typu Cross-Site Request Forgery (CSRF) oraz zabezpieczenie procedur księgowych podczas realizacji transakcji płatniczych. Ich dezaktywacja uniemożliwia logowanie do konta gracza oraz korzystanie z rozgrywek na prawdziwe pieniądze. Retencja wynosi od czasu trwania pojedynczej sesji do maksymalnie 24 godzin.
Pliki preferencyjne (funkcjonalne): archiwizują parametry konfiguracyjne interfejsu, w tym wybór języka regionalnego (pl-PL), preferencje filtrowania katalogu slots oraz układ elementów lobby gier. Retencja wynosi maksymalnie 30 dni od momentu zapisu.
Pliki telemetryczne i analityczne: agregują zanonimizowane metryki obciążenia serwerów, wskaźniki opóźnień pakietów sieciowych (latency) oraz kody odpowiedzi HTTP w celu prewencyjного eliminowania awarii technicznych. Dane analityczne nie zawierają rekordów identyfikacyjnych KYC. Czas przechowywania wynosi maksymalnie 365 dni.

Użytkownik zachowuje pełną suwerenność w zakresie modyfikacji reguł akceptacji cookies za pośrednictwem ustawień przeglądarki internetowej (m.in. Google Chrome, Mozilla Firefox, Apple Safari, Microsoft Edge). Zablokowanie niezbędnych plików technicznych skutkować będzie wyłączeniem kluczowych funkcji autoryzacyjnych konta.

SPRAWDŹ USTAWIENIA

Bezpieczeństwo danych i ochrony systemów

Integralność oraz cyberbezpieczeństwo infrastruktury teleinformatycznej serwisu opierają się na wielopoziomowej architekturze kryptograficznej oraz restrykcyjnych procedurach kontroli fizycznej i logicznej. Każda operacja transferu pakietów sieciowych, w tym logowanie do profilu użytkownika oraz realizacja wpłat i wypłat na prawdziwe pieniądze, jest zabezpieczana certyfikatem SSL z 256-bitowym kluczem szyfrującym w standardzie TLS 1.2 oraz TLS 1.3.

Szyfrowanie sesji i kanałów transmisyjnych: wdrożenie algorytmów AES-256 oraz protokołów TLS 1.2 / TLS 1.3 uniemożliwia przechwycenie nagłówków sesyjnych, tokenów autoryzacyjnych oraz danych wprowadzanych w formularzach depozytowych.
Certyfikacja i audyty generatora RNG: algorytmy generatora liczb losowych (RNG) dla katalogu slots podlegają cyklicznym testom statystycznym prowadzonym przez akredytowane laboratoria techniczne (m.in. eCOGRA i iTech Labs), co potwierdza pełną zgodność ze wskaźnikami Return to Player (RTP) oraz brak podatności na manipulacje.
Separacja logiczna baz KYC/AML: zasoby bazy danych zawierające skany dowodów tożsamości, paszportów oraz dokumentów adresowych są odizolowane od publicznej warstwy serwera WWW; dostęp do nich posiada wyłącznie wyznaczony, przeszkolony personel operatora Lemon Entertainment Sp. z o.o. po uwierzytelnieniu dwuskładnikowym (2FA).
Wewnętrzne audyty i testy penetracyjne: systematyczne przeglądy podatności logicznych, monitoring telemetryczny w trybie 24/7 oraz ochrona przed atakami wolumetrycznymi DDoS zapewniają ciągłą dostępność infrastruktury i stabilność procesów księgowych.

Wdrożony pakiet technicznych i organizacyjnych środków ochrony bezpośrednio spełnia wymagania, które precyzuje Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board, gwarantując nienaruszalność archiwizowanych rekordów personalnych.

Przekazywanie danych poza EOG

Przetwarzanie pakietów danych osobowych zarejestrowanych użytkowników realizowane jest przede wszystkim w oparciu o dedykowane serwery zlokalizowane w obrębie Europejskiego Obszaru Gospodarczego (EOG). W sytuacjach podyktowanych współpracą z międzynarodowymi dostawcami oprogramowania kasynowego lub globalnymi centrami przetwarzania płatności transfer rekordów cyfrowych poza jurysdykcję unijną następuje wyłącznie przy spełnieniu restrykcyjних przesłanek prawnych określonych w Rozdziale V RODO (GDPR 2016/679).

Operator Lemon Entertainment Sp. z o.o. wdraża wielopoziomowe instrumenty prawne i techniczne, zabezpieczające transfery transgraniczne:

Standardowe Klauzule Umowne (SCC): zawieranie dwustronnych umów transferowych opartych bezpośrednio na aktualnych wzorcach klauzul umownych zatwierdzonych decyzją wykonawczą Komisji Europejskiej.
Decyzje o adekwatności stopnia ochrony: kierowanie strumieni teleinformatycznych wyłącznie do państw trzecich, wobec których Komisja Europejska wydała formalną decyzję potwierdzającą odpowiedni poziom ochrony prawnej.
Środki kryptograficzne i izolacja: transferowane pakiety podlegają obligatoryjnemu szyfrowaniu algorytmem AES-256 z protokołem TLS 1.3, co eliminuje ryzyko nieautoryzowanego dostępu podmiotів trzecich w węzłach tranzytowych.
Zgodność z reżimem nadzorczym: weryfikacja zewnętrznych centrów danych pod kątem wymogów, jakie nakłada Licencja Curaçao nr 8048/JAZ, wydana przez Curaçao Gaming Control Board w zakresie przechowywania dokumentacji transakcyjnej i logów audytowych.

Wdrożony system gwarancji zapobiega obniżeniu standardu poufności i bezpieczeństwa danych niezależnie od fizycznej lokalizacji geograficznej serwerów przetwarzających zapytania API.

Zmiany polityki i data obowiązywania

Operator Lemon Entertainment Sp. z o.o. zastrzega sobie prawo do okresowej modyfikacji postanowień niniejszej Polityki Prywatności w celu dostosowania procedur operacyjnych do aktualizacji legislacyjnych Unii Europejskiej (w tym wytycznych Europejskiej Rady Ochrony Danych), zmian technicznych w architekturze teleinformatycznej serwisu oraz nowych wymogów regulatora Curaçao Gaming Control Board wynikających z reżimu Licencji Curaçao nr 8048/JAZ.

O wszelkich istotnych modyfikacjach wpływających na zakres praw użytkownika lub podstawy prawne przetwarzania informacji zarejestrowani gracze zostaną poinformowani z co najmniej 14-dniowym wyprzedzeniem za pośrednictwem powiadomienia systemowego w panelu konta lub bezpośredniej wiadomości przesłanej na zweryfikowany adres e-mail. Dalsze korzystanie z usług serwisu, w tym zawieranie zakładów na prawdziwe pieniądze oraz dokonywanie wpłat po upływie wskazanego okresu, oznacza akceptację zaktualizowanych standardów ochrony danych.

Data wejścia w życie aktualnej wersji polityki bezpieczeństwa: 12 maja 2026 r..