Polityka prywatności

1. Administratorem danych osobowych jest operator usługi Lumin – tarczy filtrującej Lumin Shield, panelu klienta dostępnego na tej stronie oraz serwera Minecraft „Lumin” (dalej: „Administrator” lub „my”).
2. Kontakt we wszystkich sprawach dotyczących danych osobowych: contact@lumin.edu.pl. Ten sam adres służy do realizacji praw opisanych w pkt 10.
3. Administrator nie wyznaczył inspektora ochrony danych, ponieważ nie jest do tego zobowiązany na podstawie art. 37 RODO.

1. W związku z połączeniem z chronionym serwerem przetwarzamy wyłącznie następujące dane gracza:
   1. adres IP urządzenia, z którego nawiązywane jest połączenie;
   2. identyfikator UUID konta gry Minecraft;
   3. nazwę gracza (nick) przypisaną do tego konta.
2. W toku rozgrywki powstają dane rozgrywki przypisane do UUID (np. ekwipunek, pozycja w świecie, statystyki, nałożone kary oraz wiadomości na czacie w zakresie niezbędnym do moderacji). Same w sobie nie pozwalają one ustalić tożsamości osoby, ale traktujemy je z taką samą starannością jak dane osobowe.
3. Od graczy nie zbieramy imion i nazwisk, adresów e-mail, numerów telefonu, danych płatniczych ani danych o lokalizacji innych niż te, które wynikają pośrednio z adresu IP.
4. Dane pozyskujemy bezpośrednio z połączenia nawiązywanego przez klient gry. Nie kupujemy danych ani nie pozyskujemy ich z innych źródeł.

1. Jeżeli zakładasz konto w panelu klienta, przetwarzamy dane podane przy rejestracji: adres e-mail, nazwę wyświetlaną oraz hasło, które przechowujemy wyłącznie w postaci nieodwracalnego skrótu (hash).
2. Jeżeli logujesz się przez zewnętrznego dostawcę tożsamości, otrzymujemy od niego identyfikator konta oraz adres e-mail. Nie otrzymujemy Twojego hasła do tego dostawcy.
3. W trakcie korzystania z panelu powstają dane związane z Twoją organizacją: konfiguracja chronionych serwerów, domen i profili ochrony, listy adresów IP, klucze API, ustawienia powiadomień oraz zbiorcze statystyki ruchu. Są one niezbędne do świadczenia usługi.
4. Jeżeli napiszesz do nas wiadomość, przetwarzamy dane, które w niej podasz, wyłącznie w celu odpowiedzi.

Każdy cel przetwarzania ma własną podstawę prawną i własny okres przechowywania. Zestawienie poniżej jest kompletne – nie przetwarzamy danych w żadnym innym celu.

1. Wszystkie połączenia z chronionym serwerem trafiają najpierw do tarczy filtrującej – warstwy pośredniczącej (sieci proxy opartej m.in. na oprogramowaniu HAProxy oraz własnym oprogramowaniu filtrującym), która znajduje się między Internetem a właściwym serwerem gry.
2. Tarcza analizuje adres IP oraz przebieg połączenia (tempo nawiązywania połączeń, zgodność z protokołem gry, wynik weryfikacji) wyłącznie w pamięci operacyjnej (RAM). Adresy IP prawidłowych połączeń nie są zapisywane przez tarczę na trwałych nośnikach i są usuwane z pamięci wraz z zakończeniem połączenia lub upływem krótkiego okna czasowego potrzebnego do limitowania liczby połączeń. Wyjątkiem jest weryfikacja w przeglądarce opisana poniżej.
3. Jeżeli połączenie zostanie rozpoznane jako część ataku lub ruch automatyczny, jego adres IP może zostać czasowo zablokowany, a zdarzenie odnotowane w dzienniku bezpieczeństwa wraz z czasem i przyczyną odrzucenia. Dziennik służy wyłącznie analizie ataku, doskonaleniu reguł filtrowania oraz ewentualnemu zgłoszeniu zdarzenia właściwym organom.
4. Tarcza może korzystać z list zakresów adresów znanych jako źródła ataków oraz zakresów przypisanych do sieci anonimizujących (VPN, proxy) i centrów danych. Listy te zawierają zakresy adresów sieciowych, a nie informacje o konkretnych osobach, i są przetwarzane lokalnie.
5. Tarcza może poprosić gracza o weryfikację w przeglądarce: gracz otrzymuje na czacie gry odnośnik do strony w naszej domenie, na której rozwiązuje zabezpieczenie Cloudflare Turnstile (pkt 7). Dotyczy to graczy łączących się spoza kraju wskazanego dla serwera oraz adresów, które nasze mechanizmy ochrony uznały za podejrzane (np. VPN, proxy lub wysoka ocena ryzyka). Kraj adresu IP ustalamy lokalnie, na podstawie bazy IP to Country Lite firmy DB-IP (licencja CC BY 4.0) - adresu nie wysyłamy w tym celu nikomu. Aby potwierdzić, że zabezpieczenie rozwiązała ta sama osoba, która łączy się z serwerem, porównujemy adres IP przeglądarki z adresem IP połączenia z gry. Na czas weryfikacji zapisujemy adres IP, nazwę gracza i wynik weryfikacji; zapis ten usuwamy najpóźniej po 2 godzinach. Po udanej weryfikacji przechowujemy przez 7 dni informację, że dany adres IP przeszedł weryfikację dla danej sieci serwerów - wyłącznie po to, aby nie prosić o nią ponownie przy każdym wejściu. Dla gracza spoza kraju zapis ten nie zawiera nazwy gracza ani UUID. Dla adresu uznanego za podejrzany zawiera także nazwę gracza, ponieważ z jednego takiego adresu (np. serwera VPN) łączy się wiele osób i weryfikacja jednej nie może zwalniać pozostałych.
6. Podstawą tego przetwarzania jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na zapewnieniu bezpieczeństwa i ciągłości działania chronionych serwerów. Przeprowadziliśmy test równowagi: przetwarzanie jest ograniczone do niezbędnego minimum, odbywa się głównie w pamięci ulotnej, a jego wpływ na graczy jest nieznaczny, natomiast bez tej ochrony serwery nie mogłyby działać.

1. Nie sprzedajemy, nie wynajmujemy ani nie udostępniamy danych podmiotom trzecim w celach komercyjnych.
2. Nie profilujemy graczy ani klientów w celach marketingowych, nie budujemy profili zainteresowań ani nie łączymy danych z usługi z danymi pochodzącymi z innych źródeł.
3. Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec osoby skutki prawne. Automatyczne odrzucenie połączenia przez tarczę jest środkiem technicznym o charakterze zabezpieczającym. W razie błędnego odrzucenia możesz się z nami skontaktować, a przypadek zweryfikuje człowiek.
4. Nie wysyłamy komunikatów marketingowych. Wiadomości e-mail z panelu dotyczą wyłącznie Twojego konta i działania usługi.

1. Dane mogą być przetwarzane w naszym imieniu przez dostawcę infrastruktury serwerowej (hosting), na serwerach zlokalizowanych na terenie Unii Europejskiej, na podstawie umowy powierzenia przetwarzania (art. 28 RODO). Dostawca nie ma prawa wykorzystywać danych do własnych celów.
2. Jeżeli gracz korzysta z oryginalnego konta gry, weryfikacja jego autentyczności odbywa się za pośrednictwem usług Mojang Studios / Microsoft, które działają jako niezależny administrator zgodnie z własną polityką prywatności. W ramach weryfikacji przekazywana jest nazwa gracza oraz identyfikator sesji gry.
3. Jeżeli logujesz się do panelu przez zewnętrznego dostawcę tożsamości, dostawca ten przetwarza dane logowania jako niezależny administrator zgodnie z własną polityką prywatności.
4. Jeżeli skonfigurujesz powiadomienia na webhook Discord, treść powiadomień (np. informacja o ataku na Twój serwer) jest przekazywana do Discord Inc. na Twoje polecenie. Możesz to w każdej chwili wyłączyć w panelu.
5. Jeżeli gracz otwiera stronę weryfikacji w przeglądarce (pkt 5), zabezpieczenie na tej stronie dostarcza Cloudflare, Inc. (usługa Cloudflare Turnstile). Cloudflare przetwarza wówczas adres IP oraz dane techniczne przeglądarki i urządzenia potrzebne do odróżnienia człowieka od programu – w naszym imieniu jako podmiot przetwarzający, a w zakresie doskonalenia własnych mechanizmów wykrywania botów jako niezależny administrator, zgodnie z własną polityką prywatności. Nie przekazujemy Cloudflare nazwy gracza ani UUID. Gracz, który nie otworzy tej strony, nie jest łączony z Cloudflare.
6. Dane mogą zostać udostępnione uprawnionym organom publicznym (np. Policji lub prokuraturze), jeżeli obowiązek taki wynika z przepisów prawa, w szczególności w związku z atakami na chronioną infrastrukturę.
7. Poza przypadkami opisanymi powyżej nie przekazujemy danych żadnym innym podmiotom.

1. Nasza infrastruktura znajduje się na terenie Europejskiego Obszaru Gospodarczego i nie przekazujemy danych do państw trzecich z własnej inicjatywy.
2. Weryfikacja konta gry przez Mojang Studios / Microsoft oraz dostarczanie powiadomień do Discord (pkt 7) są realizowane przez te podmioty jako niezależnych administratorów, na zasadach i z zabezpieczeniami przewidzianymi w ich politykach prywatności, w tym standardowych klauzulach umownych. To samo dotyczy Cloudflare, Inc. w zakresie weryfikacji w przeglądarce: spółka ma siedzibę w Stanach Zjednoczonych, a przekazanie odbywa się na zasadach i z zabezpieczeniami przewidzianymi w jej dokumentach dotyczących ochrony danych, w tym standardowych klauzulach umownych.

1. Szczegółowe okresy przechowywania dla każdego celu zawiera tabela w pkt 4.
2. Adresy IP prawidłowych połączeń nie są przechowywane – istnieją wyłącznie w pamięci operacyjnej tarczy przez czas połączenia i krótko po nim. Wyjątkiem jest potwierdzenie przejścia weryfikacji w przeglądarce (pkt 5), przechowywane do 7 dni.
3. Dane konta w panelu przechowujemy do czasu usunięcia konta. Po usunięciu konta dane organizacji są usuwane wraz z nim, chyba że przepisy prawa wymagają ich dłuższego przechowywania.
4. Kopie zapasowe są nadpisywane cyklicznie i przechowywane nie dłużej niż 30 dni. Dane usunięte na żądanie znikają z kopii zapasowych najpóźniej z upływem tego okresu.
5. Po upływie okresu przechowywania dane są trwale usuwane lub anonimizowane.

1. W związku z przetwarzaniem danych przysługują Ci następujące prawa:
   1. dostępu (art. 15 RODO) – informacja, czy i jakie dane przetwarzamy, oraz kopia tych danych;
   2. sprostowania (art. 16 RODO) – w praktyce dotyczy danych konta i danych rozgrywki; nazwą gracza i UUID zarządza dostawca gry;
   3. usunięcia (art. 17 RODO) – usuniemy dane konta oraz dane powiązane z Twoim UUID i nazwą gracza. Adresów IP prawidłowych połączeń nie przechowujemy, więc nie można ich odnaleźć i usunąć na żądanie – są usuwane automatycznie. Wpisu o blokadzie stałej oraz wpisów w dzienniku bezpieczeństwa nie usuniemy, dopóki istnieją nadrzędne prawnie uzasadnione podstawy ich zachowania (art. 17 ust. 1 lit. c w zw. z art. 21 ust. 1 RODO), np. ochrona serwera przed ponownym atakiem;
   4. ograniczenia przetwarzania (art. 18 RODO);
   5. przenoszenia danych (art. 20 RODO) – w zakresie danych przetwarzanych na podstawie umowy, w powszechnie używanym formacie nadającym się do odczytu maszynowego;
   6. sprzeciwu (art. 21 RODO) – wobec przetwarzania opartego na prawnie uzasadnionym interesie; uwzględnimy go, chyba że wykażemy nadrzędne podstawy (np. trwający atak z danego adresu).
2. Aby skorzystać z praw, napisz na adres contact@lumin.edu.pl i podaj swoją nazwę gracza lub adres e-mail konta w panelu. Możemy poprosić o potwierdzenie, że jesteś właścicielem konta – np. przez wykonanie wskazanej czynności po zalogowaniu na serwer albo wiadomość z adresu e-mail przypisanego do konta.
3. Odpowiadamy bez zbędnej zwłoki, najpóźniej w terminie miesiąca od otrzymania żądania (art. 12 ust. 3 RODO). W sprawach złożonych termin może zostać przedłużony o kolejne dwa miesiące, o czym poinformujemy wraz z podaniem przyczyny.
4. Masz prawo wnieść skargę do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

1. Stosujemy zasadę minimalizacji: przetwarzamy tylko dane niezbędne do działania i ochrony usługi, a adresy IP graczy – co do zasady wyłącznie w pamięci ulotnej.
2. Tarcza filtrująca jest odseparowana od właściwych serwerów gry, dzięki czemu nie są one bezpośrednio wystawione na ruch z Internetu.
3. Dostęp do infrastruktury ma wyłącznie Administrator, przez uwierzytelnione i szyfrowane kanały. Oprogramowanie jest na bieżąco aktualizowane.
4. Hasła do panelu przechowujemy wyłącznie w postaci skrótów, a połączenie z panelem jest szyfrowane (HTTPS). Klucze API są widoczne w całości tylko w chwili utworzenia.
5. Dzienniki bezpieczeństwa podlegają automatycznej rotacji i usuwaniu po upływie okresu przechowywania.
6. Transmisja między klientem gry a serwerem odbywa się zgodnie z protokołem gry Minecraft; w przypadku oryginalnych kont sesja gry jest szyfrowana.

1. Z chronionych serwerów mogą korzystać osoby niepełnoletnie za wiedzą opiekunów prawnych. Nie zbieramy danych pozwalających ustalić wiek gracza i nie kierujemy do dzieci żadnych treści marketingowych.
2. Nie opieramy przetwarzania danych graczy na zgodzie, dlatego warunki dotyczące zgody dziecka (art. 8 RODO) nie znajdują zastosowania. Panel klienta jest przeznaczony dla osób, które mogą samodzielnie zawrzeć umowę o świadczenie usługi.
3. Opiekunowie prawni mogą kontaktować się z nami we wszystkich sprawach dotyczących danych dziecka pod adresem contact@lumin.edu.pl.

1. Ta strona nie używa narzędzi analitycznych, reklamowych ani mechanizmów śledzenia.
2. Używamy wyłącznie plików cookie niezbędnych technicznie: pliku zapamiętującego wybrany język strony oraz – po zalogowaniu do panelu klienta – pliku sesji, który utrzymuje Twoje zalogowanie. Są one niezbędne do świadczenia usługi, dlatego nie wymagają odrębnej zgody.
3. Czcionki, skrypty i obrazy strony są serwowane z naszej infrastruktury. Podczas wizyty nie łączymy Cię z zewnętrznymi sieciami dostarczania treści. Wyjątkiem jest strona weryfikacji gracza, która wczytuje skrypt Cloudflare Turnstile z serwerów Cloudflare (pkt 7).

1. Możemy aktualizować Politykę, gdy zmienią się przepisy, sposób działania usługi lub stosowane środki ochrony. Aktualna wersja jest zawsze dostępna na tej stronie wraz z datą ostatniej aktualizacji.
2. O istotnych zmianach poinformujemy komunikatem w panelu lub na tej stronie z odpowiednim wyprzedzeniem.
3. Polityka obowiązuje od 18 września 2026 r. Wersja 1.1 z 21 września 2026 r. dodaje opis weryfikacji w przeglądarce (Cloudflare Turnstile). Wersja 1.2 z 12 października 2026 r. opisuje, kogo dotyczy ta weryfikacja, ustalanie kraju adresu IP oraz zapis nazwy gracza dla adresów podejrzanych.