Polityka prywatności Move Forge

Administrator danych i kontakt

Administratorem danych osobowych przetwarzanych w związku z Move Forge jest TOMASZ CZOPUR prowadzący działalność gospodarczą, NIP 8741749149, REGON 524257325, adres: Franciszka Rakoczego 23/266, 80-288 Gdańsk. Kontakt w sprawach prywatności: support@moveforge.pl. Telefon przedsiębiorcy: 603277594.

Kategorie danych i źródła

Zakres danych zależy od używanych funkcji. Move Forge może przetwarzać dane podane bezpośrednio przez użytkownika, dane powstające podczas korzystania z aplikacji oraz dane publicznie dostępne w zewnętrznych serwisach szachowych.

• Konto: nick, adres email, opcjonalne miasto, skrót kryptograficzny hasła, identyfikatory konta, ustawienia, status i okres PRO, a także wersja Regulaminu i data jego akceptacji oraz informacje niezbędne do uwierzytelnienia i bezpieczeństwa sesji.
• Logowanie Google lub Facebook: nazwa dostawcy, trwały identyfikator konta u dostawcy, adres email oraz informacja o jego weryfikacji w Google. Move Forge nie zapisuje imienia ani nazwiska z logowania społecznościowego. Szczegóły opisuje sekcja „Logowanie przez Google i Facebook”.
• Korzystanie z aplikacji: zapisane repertuary i warianty, zadania, ustawienia, historia działań potrzebna do wykonania wybranej funkcji, wiadomości, komentarze i zgłoszenia użytkownika.
• Płatności: identyfikator zamówienia i transakcji, status płatności, kwota, produkt, data oraz dane rozliczeniowe. Move Forge nie przechowuje pełnego numeru karty ani kodu CVV.
• Dane techniczne i bezpieczeństwa: adres IP lub dane pochodne niezbędne do ochrony serwisu, znaczniki czasu, informacje o żądaniach, błędach, nadużyciach, urządzeniu lub przeglądarce w zakresie potrzebnym do diagnostyki i bezpieczeństwa.
• Historia partii: po podaniu nicku lub połączeniu konta aplikacja może pobierać publiczne dane partii i profilu dostępne w Chess.com lub Lichess.org, w tym nicki przeciwników i zapis partii.

Cele i podstawy prawne przetwarzania

Dane są przetwarzane wyłącznie w określonych celach i na właściwej podstawie prawnej. Zgoda nie jest używana jako sztuczna podstawa dla danych koniecznych do wykonania umowy.

• Założenie i obsługa konta, logowanie, trening, analiza partii, zapis danych użytkownika, obsługa PRO i zakupionych treści: art. 6 ust. 1 lit. b RODO — wykonanie umowy lub działania przed jej zawarciem.
• Rozliczenia, faktury, KSeF i obowiązki podatkowo-księgowe: art. 6 ust. 1 lit. c RODO — obowiązek prawny.
• Bezpieczeństwo, przeciwdziałanie nadużyciom, diagnostyka, ochrona przed atakami, dokumentowanie moderacji oraz ustalanie, dochodzenie lub obrona roszczeń: art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes administratora.
• Obsługa pytań, reklamacji, odstąpień i innych zgłoszeń: art. 6 ust. 1 lit. b lub c RODO, a w zakresie nieobjętym umową lub obowiązkiem prawnym — art. 6 ust. 1 lit. f RODO.
• Analityka oraz reklamy wykorzystujące technologie inne niż ściśle niezbędne do działania żądanej usługi: po uzyskaniu wymaganej zgody, zgodnie z art. 6 ust. 1 lit. a RODO oraz właściwymi przepisami Prawa komunikacji elektronicznej.

Płatności, Autopay i dane do faktury

Płatności online obsługuje Autopay S.A. Move Forge otrzymuje dane potrzebne do rozpoznania i rozliczenia transakcji, ale nie otrzymuje ani nie przechowuje pełnych danych karty płatniczej. Jeżeli wystawiana jest faktura, przetwarzamy dane nabywcy wymagane przez przepisy. Dane rozliczeniowe i księgowe są przechowywane przez okres wymagany prawem, co do zasady do upływu właściwych terminów podatkowych; faktury ustrukturyzowane są przechowywane zgodnie z przepisami dotyczącymi KSeF.

Chess.com, Lichess.org i dane z innych źródeł

Jeżeli użytkownik uruchamia import lub analizę publicznej historii partii, źródłem części danych mogą być Chess.com i Lichess.org. Dotyczy to publicznych nicków, danych partii, wyniku, czasu gry i innych informacji udostępnianych publicznie przez te serwisy. Dane są używane do wykonania żądanej analizy, raportu i treningu. W partiach mogą występować dane innych graczy. Move Forge nie pobiera prywatnych wiadomości ani prywatnych danych kont tych usług.

Logowanie przez Google i Facebook

Google i Facebook są opcjonalnymi sposobami utworzenia konta lub zalogowania. Po wybraniu dostawcy użytkownik jest przekierowywany do jego serwisu, a dostawca uwierzytelnia użytkownika zgodnie z własnymi warunkami i polityką prywatności. Zwykła rejestracja oraz logowanie emailem i hasłem pozostają dostępne.

• Google: Move Forge prosi wyłącznie o zakresy openid i email. Otrzymuje trwały identyfikator Google (sub), email i email_verified. Zapisuje identyfikator dostawcy oraz email; nie pobiera zakresu profile.
• Facebook: Move Forge korzysta z danych potrzebnych do uwierzytelnienia i żąda adresu email; zapytanie user-info odczytuje wyłącznie id i email. Move Forge zapisuje identyfikator dostawcy oraz email i nie zapisuje imienia ani nazwiska z Facebooka. Email jest konieczny do utworzenia konta tym sposobem.
• W bazie przechowywane są: dostawca, jego trwały identyfikator użytkownika, email zwrócony przez dostawcę, data utworzenia powiązania, data ostatniego logowania oraz odniesienie do konta Move Forge. Dane te służą wyłącznie uwierzytelnieniu, ochronie konta i obsłudze żądanego logowania; nie są sprzedawane ani używane do reklam.
• Token dostępu Google lub Facebook jest używany przejściowo do pobrania profilu podczas callbacku OAuth. Move Forge nie zapisuje tokenów dostawców w bazie danych i po obsłużeniu logowania usuwa je z pamięci aktywnych klientów OAuth.
• Jeżeli istnieje konto Move Forge z dokładnie takim samym emailem, zweryfikowany email Google może automatycznie połączyć tożsamość Google z tym kontem. Facebook nie jest automatycznie łączony z istniejącym kontem o tym samym emailu; w takim przypadku należy użyć dotychczasowego hasła. Dostawca nie omija blokady ani wyłączenia konta.
• Google Ireland Limited jest co do zasady dostawcą usług Google dla użytkowników EOG, a Meta Platforms Ireland Limited — usług Facebook dla użytkowników z regionu europejskiego. Dostawcy przetwarzają dane również jako odrębni administratorzy na zasadach opisanych w swoich dokumentach.

Cloudflare Turnstile i ochrona formularzy

Przy rejestracji Move Forge może używać Cloudflare Turnstile w celu odróżnienia człowieka od automatycznego nadużycia. Przeglądarka łączy się wtedy z challenges.cloudflare.com, a backend przekazuje do weryfikacji jednorazowy token oraz adres IP, jeżeli jest dostępny. Podstawą po stronie Move Forge jest art. 6 ust. 1 lit. f RODO — bezpieczeństwo i ochrona przed automatycznymi rejestracjami.

• Turnstile może korzystać z koniecznych mechanizmów urządzenia i przeglądarki. Jeżeli w konfiguracji Cloudflare zostanie włączone pre-clearance albo wyzwanie WAF, może pojawić się konieczny plik cf_clearance; jego czas zależy od konfiguracji bezpieczeństwa Cloudflare.
• Token Turnstile jest krótkotrwały i jednorazowy. Move Forge nie wykorzystuje danych Turnstile do reklamy ani profilowania marketingowego.
• Cloudflare może przetwarzać dane w infrastrukturze poza EOG zgodnie z własną polityką prywatności i właściwymi mechanizmami transferowymi.

Odbiorcy danych i transfery poza EOG

Dane mogą być ujawniane wyłącznie podmiotom potrzebnym do działania serwisu lub wykonania obowiązków prawnych: dostawcom hostingu i infrastruktury, Autopay S.A., dostawcom poczty lub komunikacji, dostawcy systemu księgowego, KSeF, Google Ireland Limited lub właściwemu podmiotowi Google przy logowaniu Google, Meta Platforms Ireland Limited lub właściwemu podmiotowi Meta przy logowaniu Facebook, Cloudflare przy Turnstile i ochronie ruchu, dostawcom analityki lub reklam uruchamianych po wymaganej zgodzie oraz uprawnionym organom. Jeżeli dany dostawca przekazuje dane poza Europejski Obszar Gospodarczy, transfer odbywa się na podstawie mechanizmu dopuszczonego przez rozdział V RODO, np. decyzji stwierdzającej odpowiedni stopień ochrony — w tym EU–US Data Privacy Framework dla uczestniczącego podmiotu — albo standardowych klauzul umownych, stosownie do danego dostawcy.

Okresy przechowywania

Dane przechowujemy nie dłużej, niż jest to potrzebne do celu, w którym zostały zebrane, z uwzględnieniem obowiązków prawnych i okresów przedawnienia roszczeń.

• Dane konta i zapisane przez użytkownika treści — przez okres korzystania z konta, a po jego zamknięciu przez czas konieczny do wykonania obowiązków prawnych, rozliczenia umowy i zabezpieczenia roszczeń; dane zbędne są usuwane albo anonimizowane.
• Powiązanie Google lub Facebook — przez okres istnienia konta albo do chwili zweryfikowanego żądania usunięcia powiązania. Cookie MF_OAUTH_STATE i odpowiadający mu stan serwerowy wygasają po callbacku lub najpóźniej po 5 minutach; jednorazowy bilet logowania wygasa co do zasady po 120 sekundach.
• Zwykłe logi aplikacyjne — co do zasady 30 dni; logi nieoczekiwanych wyjątków — co do zasady 90 dni, chyba że incydent wymaga dłuższego zabezpieczenia dowodów.
• Dzienniki decyzji moderacyjnych i blokad — zgodnie z okresem potrzebnym do obsługi odwołań, bezpieczeństwa i roszczeń; obecna polityka operacyjna przewiduje do 7 lat od decyzji lub jej uchylenia, jeżeli istnieje podstawa do dalszego przechowywania.
• Dane księgowe i transakcyjne — przez okres wymagany przepisami podatkowymi, rachunkowymi i dotyczącymi płatności.
• Dane przetwarzane na podstawie zgody — do jej wycofania lub wcześniej, jeżeli przestaną być potrzebne, z zastrzeżeniem zgodności z prawem przetwarzania przed wycofaniem zgody.

Prawa użytkownika

W zależności od podstawy i okoliczności przetwarzania użytkownik może żądać dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania i przeniesienia danych, a także wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie. Jeżeli podstawą jest zgoda, można ją w każdej chwili wycofać bez wpływu na zgodność z prawem wcześniejszego przetwarzania. Żądania można kierować na support@moveforge.pl. Użytkownik ma także prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

Dane wymagane i dobrowolne

Podanie danych oznaczonych jako wymagane do rejestracji, płatności lub wykonania konkretnej funkcji jest konieczne do zawarcia lub wykonania odpowiedniej umowy. Niepodanie ich może uniemożliwić założenie konta, realizację płatności albo wykonanie funkcji. Miasto jest dobrowolne; jeżeli użytkownik je poda, jest elementem profilu widocznym dla innych zalogowanych użytkowników. Dane opcjonalne można pominąć bez utraty funkcji, które ich nie wymagają.

Pliki cookie, localStorage i podobne technologie

Move Forge korzysta z technologii koniecznych do działania serwisu, takich jak mechanizmy sesji, bezpieczeństwa, języka lub ustawień użytkownika. Dostęp do informacji w urządzeniu albo zapis informacji, który nie jest niezbędny do transmisji lub świadczenia usługi wyraźnie żądanej przez użytkownika, następuje dopiero po uzyskaniu wymaganej zgody. Wybór przycisku Google lub Facebook nie stanowi zgody marketingowej; uruchamia wyłącznie żądany przepływ uwierzytelnienia.

• MF_OAUTH_STATE: konieczny, losowy identyfikator ochrony przepływu Google/Facebook; nie zawiera profilu użytkownika, jest HttpOnly, SameSite=Lax, Secure przy HTTPS, działa dla ścieżki / i jest usuwany po callbacku albo wygasa po maksymalnie 5 minutach.
• localStorage sesji: token JWT i podstawowe dane bieżącego konta pozwalają utrzymać zalogowanie do wylogowania, wyczyszczenia danych strony albo wygaśnięcia sesji, której obecny maksymalny czas wynosi 30 dni. Przechowywane mogą być też język, motyw, preferencje silnika, ulubione materiały i stan wznowienia wybranych analiz; sessionStorage przechowuje tymczasowe importy, pozycje i kolejki treningowe do końca karty lub wcześniejszego zużycia.
• Cloudflare: Turnstile i zabezpieczenia mogą używać koniecznych mechanizmów, w tym cf_clearance wyłącznie wtedy, gdy konfiguracja pre-clearance lub WAF go wymaga.
• Analityczne: Google Analytics 4 może być uruchamiane wyłącznie po zgodzie wymaganej dla opcjonalnych technologii. Do Google nie powinny trafiać treści wiadomości, FEN, PGN, ruchy, nicki, tokeny ani dane logowania.
• Reklamowe: technologie Google AdSense lub innych dostawców reklam mogą być uruchamiane wyłącznie zgodnie z wyborem użytkownika i obowiązującymi wymogami dotyczącymi zgody.
• Ustawienia prywatności umożliwiają odrzucenie opcjonalnych kategorii i późniejszą zmianę decyzji. Wycofanie zgody musi być tak łatwe jak jej udzielenie i nie wpływa na funkcje niewymagające opcjonalnych technologii.
• Wybór dotyczący analityki zapisujemy w localStorage pod kluczem move_forge.analytics_consent.v2. Zapis służy zapamiętaniu decyzji, nie profilowaniu; można go zmienić w ustawieniach cookies lub usunąć wraz z danymi strony. Nie traktujemy starego zapisu zgody v1 jako zgody na nową konfigurację; zachowujemy wcześniejszą odmowę.

Google AdSense i reklamy

Na etapie przygotowania i weryfikacji witryny emisja AdSense w Move Forge jest wyłączona. Sam metatag weryfikacyjny i plik ads.txt nie wyświetlają reklam. Poniższe zasady opisują również sposób przetwarzania po ewentualnym uruchomieniu emisji. Reklamy mogą wtedy pojawiać się wyłącznie w ręcznie zatwierdzonych miejscach przy pełnych artykułach News, poza planszami, ćwiczeniami, formularzami i prywatnymi narzędziami.

• Zewnętrzni dostawcy, w tym Google, mogą używać reklamowych plików cookie i podobnych technologii, aby dobierać reklamy na podstawie wcześniejszych odwiedzin tej witryny lub innych witryn. Reklamowe pliki cookie Google umożliwiają Google i jego partnerom wyświetlanie reklam spersonalizowanych na podstawie takich odwiedzin.
• Po uruchomieniu reklamy dostawcy mogą otrzymać adres IP, dane przeglądarki i urządzenia, identyfikatory reklamowe zapisane w przeglądarce, adres publicznego artykułu oraz informacje o zgodach i interakcjach z reklamą. Move Forge nie przekazuje do parametrów reklamowych adresu e-mail, identyfikatora konta, połączonych nicków, treści prywatnych raportów ani danych płatności. Dostawcą usług Google dla użytkowników EOG jest co do zasady Google Ireland Limited; Google i inni dostawcy przetwarzają dane także na zasadach opisanych w ich własnych politykach.
• W tej konfiguracji uruchomienie reklam wymaga odpowiedniego wyboru w odrębnym, certyfikowanym przez Google panelu zarządzania zgodą reklamową (CMP), obsługującym aktualne TCF. Zgoda na Analytics, akceptacja Regulaminu i sam fakt zalogowania nie udzielają zgody na reklamy. Przy braku wymaganego wyboru, odrzuceniu reklam lub niedostępności CMP nie wysyłamy żądań reklamowych. Nie ogranicza to dostępu do artykułu.
• Personalizacja wymaga dodatkowych zgód na jej cele. Reklamy niespersonalizowane mogą nadal korzystać z plików cookie, np. do pomiaru i ograniczania nadużyć; nie traktujemy ich jako automatycznie zwolnionych z wymagań zgody. Wybrane cele, podstawy prawne (zgoda lub, gdy dopuszczalne, uzasadniony interes) oraz dostawców można sprawdzić i zmienić w panelu CMP.
• Wybór reklamowy można zmienić lub cofnąć przez „Zmień zgodę na reklamy” w ustawieniach prywatności lub na tej stronie. Odmowa albo cofnięcie nie usuwa postępu konta. Cofnięcie zgody nie zmienia zgodności wcześniejszego przetwarzania. Po zmianie strona może się przeładować, aby zakończyć działanie wcześniej uruchomionego skryptu reklamowego.
• Z personalizacji reklam Google można także zrezygnować w ustawieniach reklam Google (link poniżej). Te ustawienia nie zastępują wyboru dotyczącego cookies w Move Forge. Jeżeli w konfiguracji emisji dopuszczeni są inni dostawcy lub sieci reklamowe, panel CMP zawiera ich aktualną listę, odnośniki do ich stron i polityk oraz dostępne wybory. Z części reklam innych dostawców można dodatkowo zrezygnować przez narzędzie Digital Advertising Alliance wskazane poniżej.
• Dane reklamowe i okresy działania identyfikatorów zależą od dostawcy oraz zaakceptowanych celów; szczegóły udostępniają panel CMP i wskazane polityki dostawców. Informacje Google o korzystaniu z danych w witrynach partnerów, dostępnych ustawieniach i transferach danych są dostępne pod odnośnikami poniżej. Move Forge nie używa danych reklamowych do nadawania rankingu, odznak ani podejmowania decyzji o dostępie do konta.

Usunięcie danych logowania Google lub Facebook

Aby usunąć powiązanie Google lub Facebook albo zamknąć konto Move Forge, napisz z adresu email przypisanego do konta na support@moveforge.pl i wskaż dostawcę oraz zakres żądania. Po weryfikacji tożsamości Move Forge usuwa identyfikator dostawcy, email dostawcy i historię powiązania, chyba że dalsze przechowywanie konkretnej informacji jest konieczne z powodu obowiązku prawnego, bezpieczeństwa lub roszczeń.

• Usunięcie powiązania w Move Forge nie usuwa konta Google ani Facebook. Cofnięcie dostępu w ustawieniach Google lub Facebook nie usuwa automatycznie konta Move Forge.
• Jeżeli logowanie społecznościowe jest jedyną działającą metodą dostępu, przed usunięciem powiązania należy ustawić hasło przez funkcję odzyskiwania hasła dla emaila konta; w przeciwnym razie dostęp do konta może zostać utracony.
• Usunięcie całego konta obejmuje również rekord powiązania społecznościowego. Dane rozliczeniowe, moderacyjne lub dowodowe mogą pozostać wyłącznie przez okres opisany w niniejszej Polityce.

Zautomatyzowane decyzje i profilowanie

Move Forge może stosować automatyczne mechanizmy bezpieczeństwa, takie jak ograniczenia liczby żądań. Na dzień tej wersji polityki permanentna blokada konta nie jest podejmowana wyłącznie automatycznie. Jeżeli w przyszłości zostanie wdrożone podejmowanie decyzji wywołujących wobec użytkownika skutki prawne lub podobnie istotnie na niego wpływających wyłącznie w sposób zautomatyzowany, polityka zostanie odpowiednio zaktualizowana przed uruchomieniem takiego procesu.

Oświadczenia o odstąpieniu

Dane wpisane w formularzu odstąpienia (imię i nazwisko, email, wskazanie umowy i treść oświadczenia), numer zgłoszenia oraz czas otrzymania przetwarzamy w celu realizacji prawa konsumenta i potwierdzenia otrzymania oświadczenia (art. 6 ust. 1 lit. c RODO w związku z ustawą o prawach konsumenta). Dane potrzebne do rozliczenia umowy są przetwarzane także na podstawie art. 6 ust. 1 lit. b; niezbędne dowody na potrzeby roszczeń — lit. f. Nie wymagamy zgody marketingowej ani ujawnienia hasła. Dokumentację sprawy przechowujemy przez okres jej rozpatrywania i rozliczenia, a następnie tylko w zakresie potrzebnym do wykonania obowiązku prawnego lub ochrony roszczeń zgodnie z zasadami opisanymi wyżej.

Zmiany polityki i kontakt

Polityka może być aktualizowana, gdy zmieniają się funkcje, dostawcy lub przepisy. Aktualna wersja jest publikowana na tej stronie z datą obowiązywania. W sprawach dotyczących danych, realizacji praw i konta napisz na support@moveforge.pl lub skorzystaj z panelu zgłoszeń po zalogowaniu.