Polityka prywatności

1. Administrator

Administratorem w rozumieniu ogólnego rozporządzenia o ochronie danych (RODO) w odniesieniu do strony sridu.com i aplikacji pod adresem play.sridu.com jest:

Barnabas Hohl
Fehrenbachstr. 32
51067 Köln
Niemcy
E-mail: [email protected]

2. Przegląd

Strona i aplikacja zostały celowo zbudowane tak, aby wykorzystywać jak najmniej danych. Dane osobowe są przetwarzane tylko wtedy, gdy jest to konieczne do działania usługi albo gdy użytkownik sam korzysta z danej funkcji. Szczegółowo:

• Przy otwarciu strony lub aplikacji przetwarzane są techniczne dane dostępowe (punkty 3 i 4).
• Odwiedzającym nie są ustawiane żadne pliki cookie. Odsłony stron i czasy ładowania są liczone za pomocą Cloudflare Web Analytics bez plików cookie, a aplikacja zlicza swoje użycie w anonimowych sumach dziennych. Nie ma śledzenia między stronami ani reklam (punkty 5 i 6).
• Aplikacja zapisuje graczy, gry, statystyki i ustawienia wyłącznie w przeglądarce użytkownika. Obraz z kamer nigdy nie opuszcza urządzenia (punkt 7).
• Do gry na kilku urządzeniach zestawiane jest połączenie; sama gra odbywa się bezpośrednio między urządzeniami (punkt 8).
• W lobby inni widzą nazwę wyświetlaną, status i statystyki gier użytkownika. Zgłoszenia z lobby są przechowywane na potrzeby moderacji (punkty 9 i 10).
• Przy zgłoszeniu problemu przesyłany jest do nas opis, dołączone obrazy oraz dane techniczne o urządzeniu i aplikacji (punkt 11).
• Przy dołączeniu do rankingu wybrana nazwa i wyniki są przechowywane i pokazywane publicznie (punkt 12).
• Wiadomość e-mail wysłaną do nas przetwarzamy, aby na nią odpowiedzieć (punkt 14).

3. Hosting i Cloudflare

Strona i aplikacja działają na własnym serwerze operatora w Niemczech (self-hosting). Nie uczestniczy w tym żaden zewnętrzny dostawca hostingu.

Połączenia z internetu do serwera przechodzą przez Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA („Cloudflare”). Cloudflare zapewnia szyfrowane połączenie (https), przechowuje w pamięci podręcznej treści strony i chroni przed atakami. Wszystkie żądania do strony i aplikacji przechodzą przez serwery Cloudflare, w tym połączenia lobby i zestawiania połączeń. Cloudflare przetwarza przy tym adres IP i dane żądania. Jeśli żądanie wygląda podejrzanie, Cloudflare może ustawić technicznie niezbędny plik cookie chroniący przed automatycznym dostępem (np. __cf_bm lub cf_clearance).

Cloudflare prosi też przeglądarkę, za pomocą mechanizmu Network Error Logging (NEL), o zgłaszanie nieudanych połączeń do Cloudflare (a.nel.cloudflare.com). Taki raport zawiera adres IP, żądany adres i rodzaj błędu. Służy do wykrywania problemów z połączeniem.

Cloudflare działa jako podmiot przetwarzający; zawarto umowę powierzenia przetwarzania danych. Podstawą prawną jest art. 6 ust. 1 lit. f RODO. Prawnie uzasadniony interes polega na niezawodnym i bezpiecznym udostępnianiu strony i aplikacji bez wystawiania serwera bezpośrednio do internetu.

Przy tym dane mogą być przekazywane do USA. Cloudflare posiada certyfikację w ramach EU-US Data Privacy Framework; przekazanie opiera się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony dla tych ram. Dodatkowo uzgodniono standardowe klauzule umowne Komisji Europejskiej.

4. Pliki logów serwera

Przy otwarciu strony dane dostępowe są automatycznie zapisywane w plikach logów na serwerze operatora.

Strona sridu.com

• adres IP
• data i godzina żądania
• żądany adres (URL)
• referrer (poprzednio odwiedzona strona, jeśli został przesłany)
• przeglądarka i system operacyjny (user agent)
• kod statusu HTTP i ilość przesłanych danych

Aplikacja play.sridu.com

• skrócony adres IP (w IPv4 ostatni blok zastępowany jest przez 0, w IPv6 zapisywane są tylko trzy pierwsze bloki)
• data i godzina żądania
• metoda żądania i żądana ścieżka (bez parametrów)
• kod statusu HTTP i ilość przesłanych danych
• przeglądarka i system operacyjny (user agent)

W aplikacji nie są logowane referrer ani parametry żądania. Dodatkowo usługi aplikacji zapisują log działania z komunikatami o błędach. Rejestruje on też wybraną nazwę, gdy ktoś dołącza do rankingu lub z niego odchodzi, przy zgłoszeniach z lobby identyfikator zgłoszonego urządzenia i wybrany powód, a przy zgłoszeniach problemów ich numer i liczbę dołączonych obrazów (bez dalszej treści).

W celu ochrony przed przeciążeniem i nadużyciami serwer aplikacji ogranicza liczbę żądań i połączeń na adres IP. W tym celu pełny adres IP jest krótko przechowywany w pamięci: na czas trwania połączenia lub najwyżej przez godzinę. W tym celu nie jest on zapisywany na dysku.

Dane są przetwarzane w celu zapewnienia bezpieczeństwa i technicznego działania, np. do wyszukiwania błędów i wykrywania ataków. Nie są łączone z innymi źródłami danych. Podstawą prawną jest art. 6 ust. 1 lit. f RODO.

Pliki logów są ograniczone do 15 MB na usługę. Po osiągnięciu tego rozmiaru najstarsze wpisy są na bieżąco nadpisywane; przy każdej aktualizacji usługi jej pliki logów są całkowicie usuwane. Czas przechowywania wpisu zależy więc od liczby żądań.

5. Pliki cookie i zapis danych w przeglądarce

Strona i aplikacja nie ustawiają odwiedzającym żadnych plików cookie. Technicznie niezbędne pliki cookie logowania są ustawiane tylko przy logowaniu do panelu administracyjnego WordPressa lub aplikacji. Dotyczy to wyłącznie operatora. Analityka (punkt 6) również działa bez plików cookie. Pliki cookie Cloudflare opisano w punkcie 3.

Aplikacja zapisuje swoje dane w lokalnej pamięci przeglądarki (punkt 7). Ta pamięć jest bezwzględnie niezbędna, aby aplikacja mogła udostępniać funkcje, z których użytkownik chce korzystać (§ 25 ust. 2 pkt 2 TDDDG).

6. Analityka, brak śledzenia, brak treści osób trzecich

Strona i aplikacja nie korzystają z usług śledzących, które podążają za użytkownikiem między stronami lub tworzą profile, i nie wyświetlają reklam. Nie ma komentarzy, newslettera, wtyczek mediów społecznościowych ani osadzonych filmów.

Czcionki, pliki językowe, głosy i wszystkie pozostałe elementy są ładowane z własnego serwera operatora. Nie są osadzane treści z Google Fonts, sieci dostarczania treści (CDN) ani innych podmiotów trzecich. Wtyczka SEO używana na stronie (Rank Math) nie przesyła danych odwiedzających podmiotom trzecim. Połączenia z podmiotami trzecimi powstają tylko w sposób opisany w punktach 3, 6, 8 i 13 albo po kliknięciu linku (punkt 15).

Cloudflare Web Analytics

Aby wiedzieć, które strony są używane i jak szybko się ładują, na stronie i w aplikacji korzystamy z Cloudflare Web Analytics, usługi Cloudflare (punkt 3). W tym celu Cloudflare dodaje do dostarczanych stron mały skrypt, który przeglądarka pobiera z static.cloudflareinsights.com. Skrypt odczytuje przez interfejs przeglądarki czasy ładowania i wskaźniki wydajności strony (np. Core Web Vitals) i wysyła je pod adres /cdn-cgi/rum tej samej domeny, czyli do Cloudflare.

Przetwarzane są: odwiedzony adres (domena i ścieżka), referrer, przeglądarka, system operacyjny i rodzaj urządzenia (z user agenta), kraj, z którego pochodzi wizyta, oraz zmierzone czasy ładowania. Przy pobieraniu skryptu i wysyłaniu wartości Cloudflare ze względów technicznych otrzymuje też adres IP. My widzimy tylko dane zbiorcze, np. odsłony na stronę lub wizyty według krajów, a nie poszczególne osoby.

Według Cloudflare Web Analytics nie ustawia plików cookie i nie korzysta z innej pamięci w przeglądarce, takiej jak localStorage. Według Cloudflare usługa nie tworzy też „odcisków palca” (fingerprinting) osób na podstawie adresu IP, user agenta ani innych danych i nie śledzi poszczególnych osób na stronach swoich klientów. Wizyta jest rozpoznawana wyłącznie po tym, że referrer nie należy do odwiedzanej domeny.

Według Cloudflare pojedyncze pomiary są przechowywane w całości przez 7 dni; potem zachowywana jest tylko próbka około 10 %. Raporty są dla nas dostępne za ostatnie sześć miesięcy.

Cloudflare działa przy tym jako podmiot przetwarzający (punkt 3); w kwestii przekazywania danych do USA obowiązuje to, co opisano w punkcie 3. Podstawą prawną jest art. 6 ust. 1 lit. f RODO. Prawnie uzasadniony interes polega na wiedzy, które treści są używane i gdzie strony ładują się zbyt wolno, aby ulepszać stronę i aplikację. Użytkownik może wnieść sprzeciw wobec tego przetwarzania (punkt 19). Można też samodzielnie zapobiec pomiarom, blokując żądania do static.cloudflareinsights.com w przeglądarce lub za pomocą blokera treści; strona i aplikacja działają wtedy normalnie.

Dane o użyciu aplikacji

Aby wiedzieć, jak aplikacja jest używana, serwer play.sridu.com liczy dziennie, ile razy aplikacja została uruchomiona. W tym celu zlicza żądanie ustawień (config.json), które aplikacja i tak wysyła przy każdym uruchomieniu. Na koniec meczu aplikacja wysyła też tryb gry i liczbę rzuconych lotek, a w przypadku meczu z kamerami informację, ile wykrytych lotek zostało ręcznie poprawionych, cofniętych lub dodanych. Pokazuje nam to, czy wykrywanie działa niezawodnie. Wiadomość trafia wyłącznie do własnego serwera aplikacji, czyli w przypadku play.sridu.com tylko do play.sridu.com, i tylko wtedy, gdy ten serwer ma włączone zliczanie.

Przechowywane są tylko sumy dzienne: uruchomienia aplikacji, zakończone mecze, rzucone lotki, liczba meczów na tryb gry oraz sumy lotek z kamer poprawionych ręcznie. Nie są przy tym zapisywane adresy IP, identyfikatory urządzeń, nazwy ani pliki cookie; z tych liczb nie da się zidentyfikować poszczególnych osób. Aby ograniczyć nadużycia, serwer przyjmuje najwyżej 60 zgłoszeń na godzinę z jednego adresu IP; w tym celu przechowuje adres wyłącznie w pamięci, przez około godzinę. Sumy dzienne są usuwane po 400 dniach.

Podstawą prawną jest art. 6 ust. 1 lit. f RODO. Prawnie uzasadniony interes polega na planowaniu działania aplikacji i jej ulepszaniu.

Statystyki odwiedzin (play.sridu.com)

Aby sprawdzić, czy nowi gracze trafiają na play.sridu.com i czy grają, aplikacja wysyła do naszego serwera dwie krótkie wiadomości: przy otwarciu (język aplikacji, czy działa jako zainstalowana aplikacja) i przy rozpoczęciu gry (tryb gry; czy gra odbywa się przy własnej tarczy, online, w turnieju, jako wyzwanie lub po dołączeniu na drugim urządzeniu; czy z kamerami, z tarczą demonstracyjną czy z ręcznym wpisywaniem; oraz czy przeciwko botowi).

Serwer zapisuje te informacje razem z adresem IP wyłącznie w formie skróconej (IPv4: usunięty ostatni blok, np. 203.0.113.x; IPv6: tylko pierwsze 48 bitów) oraz ogólną klasę przeglądarki (np. „Chrome · Android”). Pełny adres IP nigdy nie jest zapisywany. Aby rozróżnić urządzenia w obrębie jednego dnia, serwer tworzy pseudonim z adresu IP i identyfikatora przeglądarki przy użyciu klucza, który istnieje wyłącznie w jego pamięci, zmienia się codziennie i nigdy nie jest zapisywany. Nie są przy tym ustawiane pliki cookie ani nic nie jest zapisywane na urządzeniu; nazwy graczy, czat i wyniki nie są wysyłane. Dane są automatycznie usuwane po 30 dniach.

Podstawą prawną jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w prowadzeniu i ulepszaniu usługi). Sprzeciw można wnieść w każdej chwili; po zablokowaniu żądań do /api/hello nic nie jest wysyłane, a aplikacja działa dalej.

7. Aplikacja: dane na urządzeniu

Sridu działa w przeglądarce. Aplikacja zapisuje swoje dane w lokalnej pamięci przeglądarki (localStorage i IndexedDB). Obejmuje to w szczególności profile graczy z nazwami i losowym identyfikatorem, gry i statystyki wraz z pozycjami lotek, trwające gry, turnieje, rekordy z gier rozgrzewkowych, ustawienia, przypisanie i kalibrację kamer, ustawienia głosu i dźwięku, pakiety dźwięków użytkownika z własnymi nagraniami i plikami audio, ostatnie linie czatu w lobby oraz klucze, którymi urządzenie identyfikuje się wobec lobby i rankingu. Aplikacja przechowuje też ustawienia instalacji, którą wczytała ostatnio, aby znać właściwe serwery nawet bez internetu. Zawierają one wyłącznie adresy serwerów i przełączniki, bez danych osobowych.

Te dane nie są wysyłane na serwer; do danych o użyciu trafiają wyłącznie tryb gry i liczba lotek zakończonego meczu oraz liczba lotek z kamer poprawionych ręcznie, bez żadnego powiązania z graczem lub urządzeniem (punkt 6). Funkcja zapisywania danych graczy w folderze danych na serwerze jest na play.sridu.com wyłączona. Przeniesienie profilu gracza na inne urządzenie odbywa się w formie zaszyfrowanej i bezpośrednio między dwoma urządzeniami, po wyrażeniu zgody na starym urządzeniu.

Kamery są używane dopiero po udzieleniu zgody w przeglądarce. Obrazy są analizowane na urządzeniu w celu wykrywania lotek; nie są ani zapisywane, ani wysyłane na serwer. Udostępnianie obrazu z kamery przeciwnikowi opisano w punkcie 8, obrazy z kamer w zgłoszeniach problemów w punkcie 11.

Mikrofon jest używany tylko wtedy, gdy użytkownik sam nagrywa dźwięk lub kwestię spikera do pakietu dźwięków, i dopiero po udzieleniu zgody w przeglądarce. Nagrania, dodane pliki audio i pakiety dźwięków są przechowywane wyłącznie w przeglądarce na urządzeniu użytkownika. Nie są wysyłane na serwer ani przekazywane przeciwnikom w meczach online. Przy eksporcie pakietu aplikacja tworzy plik na urządzeniu, a o jego dalszym przekazaniu decyduje użytkownik. Biblioteka pakietów dźwięków, która umożliwia udostępnianie pakietów przez serwer, jest na play.sridu.com wyłączona.

Dane te można w każdej chwili usunąć w samej aplikacji lub w ustawieniach przeglądarki (usunięcie danych witryny play.sridu.com). Operator nie ma dostępu do tych danych i nie może ich ani wyświetlić, ani przywrócić.

8. Gra na kilku urządzeniach

Sridu może łączyć kilka urządzeń, np. smartfon jako wyświetlacz lub pilot albo dwie tarcze w meczu online. W tym celu aplikacja zestawia bezpośrednie, szyfrowane połączenie między urządzeniami (WebRTC). Wyniki, lotki i nazwy graczy są wtedy przesyłane bezpośrednio między urządzeniami, a nie przez serwer operatora.

Zestawianie połączenia

Aby dwa urządzenia mogły się odnaleźć, najpierw wymieniają kilka danych technicznych, w tym swoje adresy sieciowe. Ta wymiana odbywa się przez usługę przekaźnikową (broker MQTT) na serwerze operatora. Wiadomości są szyfrowane kluczem, który znajduje się wyłącznie w linku z zaproszeniem lub w kodzie QR; serwer nie może ich odczytać i ich nie przechowuje. Publiczne usługi przekaźnikowe podmiotów trzecich nie są używane na play.sridu.com.

Ustalanie publicznego adresu (STUN)

Podczas łączenia przeglądarka pyta tzw. serwer STUN, pod jakim publicznym adresem jest osiągalna. Aplikacja używa do tego wyłącznie serwera STUN Cloudflare (stun.cloudflare.com). Otrzymuje on adres IP i numer portu, ale żadnych treści gry. Operator nie prowadzi serwera przekaźnikowego, który przekazywałby połączenia.

Obraz z kamery tarczy

Jeśli użytkownik udostępnia obraz z kamery tarczy w meczu online, jest on przesyłany bezpośrednio i w formie zaszyfrowanej na urządzenie przeciwnika i tam wyświetlany. Nie jest zapisywany ani przez operatora, ani przez aplikację. Należy zwrócić uwagę na to, co widać na obrazie.

Co widzi druga strona

Przy połączeniu bezpośrednim drugie urządzenie ze względów technicznych poznaje adres IP użytkownika. Widzi też nazwy graczy i wszystko, co jest udostępniane w grze. Domyślnie urządzenia z innej sieci trzeba najpierw wpuścić, zanim dołączą do sesji.

Podstawą prawną połączeń między urządzeniami jest art. 6 ust. 1 lit. b RODO, ponieważ użytkownik sam żąda połączenia. Przy korzystaniu z serwera STUN dane mogą być przekazywane do USA (zob. punkt 3).

9. Lobby

W lobby widać, kto jest online, można czatować, szukać przeciwników do meczu online i pisać wiadomości prywatne. Lobby działa na serwerze operatora. Jest też otwarte dla użytkowników innych instalacji Sridu, które łączą się z tym lobby.

Przy otwarciu lobby aplikacja wysyła:

• losowy identyfikator urządzenia i tajny klucz, oba utworzone w przeglądarce
• wybraną nazwę wyświetlaną (najwyżej 20 znaków) i opcjonalną linię statusu
• w przypadku oferowania gry jej tytuł i tryb
• dane ze statystyk gier, np. średnią, średnią z pierwszych 9 lotek, skuteczność checkoutów, liczbę gier i zwycięstw, najlepsze wartości i krótką historię
• klucz publiczny do szyfrowanych wiadomości prywatnych

Nazwa, status, oferowana gra i statystyki są widoczne dla wszystkich w lobby. Wiadomości na czacie (najwyżej 240 znaków) i komunikaty takie jak „szukam przeciwnika” widzą wszyscy obecni; serwer sprawdza je pod kątem zablokowanych słów. Serwer przechowuje w pamięci ostatnie 50 linii czatu, aby nowo przybyli mogli je zobaczyć. Nie są one zapisywane na dysku i znikają po ponownym uruchomieniu serwera.

Wiadomości prywatne są szyfrowane end-to-end przez aplikacje. Serwer tylko przekazuje je odbiorcy, nie może ich odczytać i ich nie przechowuje.

Aby nikt nie mógł podszywać się pod inne urządzenie, serwer przechowuje dla każdego identyfikatora urządzenia skrót (hash) tajnego klucza i czas ostatniego użycia. Wpisy nieużywane przez pół roku (183 dni) są usuwane automatycznie.

Korzystanie z lobby jest dobrowolne. Podstawą prawną jest art. 6 ust. 1 lit. b RODO; w przypadku filtra słów, limitów i ochrony identyfikatorów art. 6 ust. 1 lit. f RODO. Prawnie uzasadniony interes polega na zapewnieniu lobby wolnego od nadużyć i podszywania się.

10. Zgłoszenia i moderacja

W lobby można zgłaszać osoby lub wiadomości. Zgłoszenie zapisuje identyfikator urządzenia i nazwę zgłoszonej osoby, treść zgłoszonej wiadomości, wybrany powód, opcjonalną notatkę zgłaszającego, czas i status rozpatrzenia. Nie jest zapisywane, kto dokonał zgłoszenia. Aby ograniczyć liczbę zgłoszeń, adres IP jest przechowywany w pamięci najwyżej przez godzinę.

Operator sprawdza zgłoszenia i może blokować urządzenia. W przypadku blokady identyfikator urządzenia, nazwa i czas są przechowywane do momentu zniesienia blokady. Lista zablokowanych identyfikatorów i filtr słów są przesyłane do aplikacji, aby mogły ukrywać zablokowane urządzenia. Otwarte zgłoszenia są przechowywane do czasu ich rozpatrzenia; rozpatrzone zgłoszenia są usuwane automatycznie sześć miesięcy po wpłynięciu. Przechowywanych jest najwyżej 500 zgłoszeń.

Podstawą prawną jest art. 6 ust. 1 lit. f RODO. Prawnie uzasadniony interes polega na zapobieganiu nadużyciom, nękaniu i treściom niezgodnym z prawem w lobby.

11. Zgłoszenia problemów

W aplikacji można przesłać nam problem techniczny za pomocą opcji „Zgłoś problem”. Następuje to wyłącznie wtedy, gdy użytkownik sam wyśle zgłoszenie. Przedtem okno dialogowe pokazuje wszystkie dane, które zostaną wysłane.

Wysyłane są: opis, adres e-mail, jeśli użytkownik poda go na potrzeby pytań, oraz samodzielnie dodane obrazy (zrzuty ekranu i, jeśli użytkownik tak wybierze, zdjęcia z kamer). Do tego dane techniczne: czas, czas lokalny i strefa czasowa, wersja aplikacji, język aplikacji i preferowane języki przeglądarki, rodzaj instalacji i adres (URL), pod którym działa aplikacja, przeglądarka i system operacyjny z wersją, model urządzenia i architektura procesora (jeśli przeglądarka je udostępnia), rozmiar ekranu i okna, orientacja i obsługa dotyku, układ graficzny, liczba rdzeni procesora, stan sieci i rodzaj połączenia, stan uprawnienia do kamery, ustawienia wyświetlania (tryb ciemny, ograniczony ruch), obsługiwane funkcje przeglądarki, dane o pamięci i miejscu na dane, nazwy podłączonych kamer z rozdzielczością i stanem kalibracji, konfiguracja instalacji bez haseł, otwarty widok, tryb gry i ustawienia, rodzaj bieżącej gry z liczbą graczy, botów i podłączonych urządzeń, liczba zapisanych gier i profili graczy oraz log ostatnich ostrzeżeń i błędów aplikacji oraz widoków otwartych przed wystąpieniem problemu. Nazwy graczy, wiadomości z czatu i statystyki nie są wysyłane.

Zgłoszenie trafia na serwer play.sridu.com, także wtedy, gdy użytkownik korzysta z Sridu w innej instalacji (punkt 16). Adres IP nie jest zapisywany; aby ograniczyć liczbę zgłoszeń, jego skrót (hash) jest przechowywany w pamięci najwyżej przez godzinę. Zgłoszenia są usuwane automatycznie po 90 dniach lub wcześniej na żądanie.

Jeśli wysłanie nie działa, zgłoszenie można zamiast tego wysłać e-mailem na adres [email protected]. Obowiązuje wtedy punkt 14.

Podstawą prawną jest zgoda na podstawie art. 6 ust. 1 lit. a RODO, wyrażana przez wysłanie zgłoszenia. Można ją w każdej chwili wycofać ze skutkiem na przyszłość, wysyłając e-mail na adres [email protected]; prosimy podać numer zgłoszenia wyświetlony po wysłaniu. Zgłoszenie zostanie wtedy usunięte.

12. Ranking

Ranking pokazuje wyniki wyzwań godzinnych, meczów oraz rekordy z treningu i gier rozgrzewkowych. Na podstawie tych wyników serwer oblicza też zweryfikowane wartości, np. średnią z 3 lotek z ostatnich 30 dni, i pokazuje je innym graczom w lobby obok nazwy użytkownika. Do rankingu dołącza się wyłącznie poprzez wyraźne działanie w aplikacji. Użytkownik wybiera nazwę; serwer nadaje identyfikator i klucz, który jest zapisywany w przeglądarce. Serwer przechowuje tylko skrót (hash) tego klucza.

Przechowywane są:

• wybrana nazwa, identyfikator, skrót klucza oraz czas dołączenia i ostatniego użycia
• dla każdego wyzwania: godzina, liga, poziom, wynik, potrzebny czas, liczba kolejek i lotek, sposób rejestrowania lotek (kamera lub wpisywanie) i punkty
• dla każdego meczu: wartości, które serwer oblicza z lotek (np. średnia, skuteczność checkoutów, najlepszy leg, liczba 180)

Aby sprawdzić wyniki, aplikacja wysyła pojedyncze lotki z polem i czasem. Serwer oblicza z nich wartości i nie przechowuje pojedynczych lotek.

Nazwa i wyniki są publicznie widoczne dla wszystkich użytkowników aplikacji. Nie należy więc wybierać nazwy, która wbrew woli użytkownika pozwala go zidentyfikować.

Wyniki są usuwane automatycznie po 90 dniach. Nazwa pozostaje zapisana do czasu opuszczenia rankingu w aplikacji; nazwa i wszystkie wyniki są wtedy natychmiast usuwane. Operator może usuwać wpisy i blokować nazwy; w przypadku blokady identyfikator, nazwa i czas pozostają zapisane, aby nazwa nie mogła zostać użyta ponownie.

Podstawą prawną jest art. 6 ust. 1 lit. b RODO; w przypadku blokad art. 6 ust. 1 lit. f RODO. Prawnie uzasadniony interes polega na zapewnieniu uczciwego rankingu bez obraźliwych nazw.

13. Komunikaty głosowe

Studyjne głosy spikera to pliki audio ładowane z serwera operatora i odtwarzane na urządzeniu użytkownika. Nic nie jest przesyłane podmiotom trzecim.

Jeśli zamiast tego użytkownik wybierze głos systemu lub przeglądarki, aplikacja korzysta z syntezy mowy przeglądarki. Niektóre z tych głosów działają online, np. niektóre głosy w Google Chrome lub Microsoft Edge; tekst do odczytania (np. wyniki i nazwy graczy) jest wtedy przetwarzany przez danego dostawcę. Operator nie ma na to wpływu; obowiązuje polityka prywatności dostawcy przeglądarki lub systemu operacyjnego. Głosy studyjne i głosy zainstalowane lokalnie pozwalają uniknąć tego przekazywania.

14. Kontakt e-mailowy i formularz kontaktowy

W przypadku wysłania do nas wiadomości e-mail, np. na adres [email protected] lub [email protected], przetwarzamy adres e-mail, imię i nazwisko, jeśli zostały podane, oraz treść wiadomości wraz z załącznikami w celu rozpatrzenia sprawy. Wiadomości e-mail na adresy w domenie sridu.com są przekazywane przez usługę Email Routing firmy Cloudflare (punkt 3) do skrzynki pocztowej operatora w Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia (Gmail), i tam przechowywane. Google może również przekazywać dane do USA; Google LLC posiada certyfikację w ramach EU-US Data Privacy Framework.

W przypadku skorzystania z formularza kontaktowego na sridu.com użytkownik przesyła nam adres e-mail, imię lub nazwę, jeśli zostały podane, wybrany temat i wiadomość. Zapisujemy je wraz z czasem i językiem strony w bazie danych strony na serwerze operatora. Nie jest wysyłany żaden e-mail, a poza przekazywaniem połączenia przez Cloudflare (punkt 3) nie uczestniczy w tym żaden podmiot trzeci. Nie zapisujemy adresu IP. W celu ochrony przed spamem tworzona jest z niego wartość kontrolna (hash) przy użyciu tajnego klucza i przechowywana najwyżej przez godzinę, aby można było odrzucić zbyt wiele wiadomości w krótkim czasie. Formularz nie ustawia plików cookie.

Podstawą prawną jest art. 6 ust. 1 lit. f RODO; prawnie uzasadniony interes polega na udzieleniu odpowiedzi na zapytanie, a w przypadku ochrony przed spamem na ochronie strony przed nadużyciami. Jeśli sprawa dotyczy umowy, np. licencji na użytek komercyjny, podstawą prawną jest art. 6 ust. 1 lit. b RODO. Wiadomości e-mail i inne wiadomości usuwamy po załatwieniu sprawy, o ile nie obowiązują ustawowe obowiązki przechowywania. Wiadomości z formularza kontaktowego są usuwane automatycznie najpóźniej po dwunastu miesiącach.

15. Darowizny i linki zewnętrzne

Strona i aplikacja zawierają link do PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxembourg), za pomocą którego można dobrowolnie wesprzeć projekt. Jest to zwykły link; kod QR do niego jest tworzony w samej aplikacji. Dopiero po otwarciu linku użytkownik trafia na stronę PayPal, a PayPal przetwarza wtedy dane na własną odpowiedzialność. Obowiązuje polityka prywatności PayPal. Po dokonaniu darowizny PayPal przekierowuje z powrotem do aplikacji. PayPal może dodać do adresu dane płatności; aplikacja z nich nie korzysta i usuwa je z paska adresu, a serwer nie loguje parametrów adresu.

W przypadku innych linków do stron zewnętrznych obowiązuje polityka prywatności danego dostawcy.

16. Inne instalacje Sridu

Każdy może samodzielnie uruchomić Sridu. Jeśli aplikacja jest używana pod adresem innym niż play.sridu.com, za przetwarzanie danych odpowiada jej operator; niniejsza polityka prywatności nie ma tam zastosowania. Wyjątkiem są zgłoszenia problemów wysyłane do nas z takiej instalacji (punkt 11) oraz lobby na play.sridu.com, jeśli taka instalacja z niego korzysta (punkt 9).

17. Szyfrowanie SSL/TLS

Ze względów bezpieczeństwa strona i aplikacja korzystają z szyfrowania SSL/TLS. Szyfrowane połączenie można rozpoznać po „https://” w pasku adresu przeglądarki.

18. Odbiorcy i przekazywanie do państw trzecich

Odbiorcami danych osobowych są:

• Cloudflare, Inc. jako podmiot przetwarzający w zakresie połączenia z serwerem, analityki i przekazywania wiadomości e-mail (punkty 3, 6 i 14) oraz jako operator serwera STUN (punkt 8)
• Google Ireland Limited (Gmail) jako dostawca poczty e-mail operatora w przypadku wiadomości wysyłanych do nas (punkt 14)
• inni użytkownicy, z którymi użytkownik gra, oraz osoby w lobby i użytkownicy rankingu, o ile użytkownik korzysta z tych funkcji (punkty 8, 9 i 12)

Przekazywanie danych do USA opiera się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework. Nie ma zautomatyzowanego podejmowania decyzji, w tym profilowania. Podanie danych nie jest wymogiem ustawowym ani umownym; bez nich niedostępne są jedynie odpowiednie funkcje.

19. Prawa użytkownika

W odniesieniu do dotyczących go danych osobowych użytkownikowi przysługują wobec administratora następujące prawa:

• prawo dostępu do danych (art. 15 RODO)
• prawo do sprostowania danych (art. 16 RODO)
• prawo do usunięcia danych (art. 17 RODO)
• prawo do ograniczenia przetwarzania (art. 18 RODO)
• prawo do przenoszenia danych (art. 20 RODO)
• prawo do wniesienia sprzeciwu wobec przetwarzania (art. 21 RODO)
• prawo do wycofania zgody ze skutkiem na przyszłość (art. 7 ust. 3 RODO)

Prawo do sprzeciwu

Jeśli przetwarzanie opiera się na art. 6 ust. 1 lit. f RODO, użytkownik może w każdej chwili wnieść sprzeciw z przyczyn związanych z jego szczególną sytuacją. Dane nie będą wtedy dalej przetwarzane, chyba że istnieją ważne prawnie uzasadnione podstawy do przetwarzania, nadrzędne wobec interesów, praw i wolności użytkownika, lub przetwarzanie służy ustaleniu, dochodzeniu lub obronie roszczeń.

Prawo do wniesienia skargi

Użytkownikowi przysługuje prawo wniesienia skargi do organu nadzorczego ds. ochrony danych. Organem właściwym dla operatora jest: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Niemcy.

Aby skorzystać ze swoich praw, wystarczy nieformalna wiadomość na adres e-mail podany w punkcie 1. Ponieważ aplikacja nie ma kont, w przypadku zapytań dotyczących rankingu należy podać swoją nazwę, a w przypadku zgłoszeń problemów numer zgłoszenia; dane w lobby można zwykle powiązać z osobą wyłącznie poprzez nazwę wyświetlaną. Operator nie widzi danych przechowywanych wyłącznie w przeglądarce użytkownika; można je usunąć samodzielnie.

20. Data aktualizacji

Niniejsza polityka prywatności została ostatnio zaktualizowana 30 października 2026 r. Będzie aktualizowana w przypadku zmian strony, aplikacji lub wymogów prawnych.