Niniejsza Polityka prywatności wyjaśnia, jak przetwarzamy dane osobowe, gdy korzystasz z aplikacji EX5 Wallet na systemy iOS, Android, Windows i macOS („Aplikacja”) oraz ze strony ex5wallet.com („Strona”). Zawiera informacje wymagane przez art. 13 i 14 ogólnego rozporządzenia o ochronie danych („RODO”).
1. Kim jesteśmy
Administratorem Twoich danych osobowych jest EX5 CRYPTO EXCHANGE sp. z o.o., Aleja Jana Pawła II 61/212, 01-031 Warszawa, KRS 0001121024, NIP 5214081211, REGON 529358189 („EX5”, „my”). W każdej sprawie dotyczącej prywatności napisz na info@ex5.com lub na nasz adres pocztowy. Nie wyznaczyliśmy inspektora ochrony danych. Konto EX5 Wallet jest odrębne od innych usług EX5 i nie łączymy ich danych.
2. Jakie dane zbieramy i po co
| Dane | Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Konto: adres e-mail; hasło (przechowywane wyłącznie jako skrót); identyfikator użytkownika (UID); język; status konta; ustawienie 2FA i jego klucz tajny (przechowywany w postaci zaszyfrowanej). | Założenie i prowadzenie konta, logowanie, wiadomości dotyczące Usługi. | Umowa; prawnie uzasadniony interes (bezpieczeństwo konta). | Do czasu zamknięcia konta, następnie rozdział 6. Rejestracja niepotwierdzona w ciągu 5 dni jest zamykana automatycznie. |
| Urządzenia i zapisy bezpieczeństwa: identyfikator urządzenia nadany przez nasz serwer; nazwa lub model urządzenia; platforma; adres IP i ustalone na jego podstawie państwo (przybliżona lokalizacja); user agent; czas i rodzaj zdarzeń bezpieczeństwa (logowanie, zmiana hasła lub 2FA, wysyłka, usunięcie konta). PIN i klucz logowania urządzenia są przechowywane wyłącznie jako skróty. | Logowanie PIN-em i biometrią; lista urządzeń; ochrona kont; zapobieganie oszustwom i korzystaniu z krajów wyłączonych; roszczenia. | Umowa; prawnie uzasadniony interes (bezpieczeństwo, przestrzeganie Regulaminu, roszczenia). | Urządzenia: do czasu zamknięcia konta. Zapisy bezpieczeństwa: okres przechowywania Zapisów konta (rozdział 6). |
| Portfel i transakcje: salda; adresy wpłat; wpłaty (w tym adres nadawcy) i wysyłki (aktywo, sieć, kwota, opłata, adres odbiorcy, hash transakcji, status, Twoja notatka); książka adresowa (adres, sieć, nazwa i notatka). | Świadczenie Usługi i udostępnianie historii; weryfikacja oznaczonych wysyłek; zapobieganie oszustwom i naruszeniom sankcji; księgowość i podatki; roszczenia. | Umowa; obowiązek prawny (przepisy rachunkowe, podatkowe i sankcyjne); prawnie uzasadniony interes (zapobieganie oszustwom, roszczenia). | Transakcje: okres przechowywania Zapisów konta. Książka adresowa: do czasu zamknięcia konta. |
| Uprawnienie do korzystania: państwo zamieszkania lub obywatelstwo, jeżeli o nie poprosimy. | Sprawdzenie, czy możesz korzystać z Usługi, w tym z uwzględnieniem ograniczeń sankcyjnych. | Obowiązek prawny (unijne przepisy sankcyjne); prawnie uzasadniony interes. | Okres przechowywania Zapisów konta. |
| Powiadomienia (Aplikacja mobilna): skrzynka wiadomości w Aplikacji; ustawienia powiadomień; identyfikator subskrypcji push i token push. | Informowanie o wpłatach, wysyłkach i zdarzeniach bezpieczeństwa. | Umowa. | Skrzynka: 90 dni. Pozostałe: do czasu zamknięcia konta. |
| Statystyki korzystania z Aplikacji (Aplikacja mobilna, przez OneSignal): liczba i długość sesji; dostarczenie i otwarcie powiadomień; model urządzenia, system operacyjny, typ sieci. Rejestrowane przy każdym otwarciu Aplikacji, niezależnie od tego, czy powiadomienia są włączone; po zalogowaniu powiązane z Twoim UID. | Niezawodne dostarczanie powiadomień; statystyki korzystania z Aplikacji. | Prawnie uzasadniony interes. | Do czasu zamknięcia konta. |
| Dane techniczne: adres IP, czas, żądany zasób i user agent rejestrowane przez nasze serwery i Cloudflare; przy aktualizacjach Aplikacji — wersja Aplikacji, platforma i identyfikator instalacji. | Udostępnianie Strony, Aplikacji i aktualizacji; ochrona przed atakami; usuwanie błędów. | Prawnie uzasadniony interes. | Logi serwera WWW: 14 dni. Logi systemowe: do 12 miesięcy. |
| Korespondencja: Twój adres e-mail, wiadomości i załączniki. | Odpowiedzi na pytania, reklamacje i żądania. | Umowa; obowiązek prawny; prawnie uzasadniony interes (roszczenia). | Do zamknięcia sprawy i przez okres, w którym możliwe są roszczenia, nie dłużej niż okres przechowywania Zapisów konta. |
| Lista zapisów na Stronie: adres e-mail; język; czas zapisu i potwierdzenia; solony skrót Twojego adresu IP. | Poinformowanie Cię o udostępnieniu produktu, na który się zapisałeś; zapobieganie nadużyciom. | Zgoda (możesz ją wycofać w każdej chwili linkiem w każdej wiadomości); prawnie uzasadniony interes (zapobieganie nadużyciom). | Niepotwierdzone: 30 dni. Potwierdzone: do wypisania się lub zamknięcia listy; potem tylko zapis „nie kontaktować się”. |
Podstawy prawne wynikają z art. 6 ust. 1 RODO: zgoda (lit. a), wykonanie umowy z Tobą (lit. b), obowiązek prawny (lit. c) i wskazane wyżej nasze prawnie uzasadnione interesy (lit. f).
Adres e-mail i hasło są niezbędne do założenia konta, a 2FA — do wysyłania; bez nich nie możemy udostępnić tych funkcji. Pozostałe dane są dobrowolne albo powstają w trakcie korzystania z Usługi. Dane otrzymujemy od Ciebie, z Twojego urządzenia i Aplikacji, z publicznych blockchainów i od naszych dostawców (np. OneSignal). Jeżeli wprowadzasz informacje o innych osobach, np. nazwę w książce adresowej, wykorzystujemy je wyłącznie do świadczenia Ci Usługi.
Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływają. Automatyczne limity bezpieczeństwa mogą opóźnić wysyłkę; decyzje o odmowie wysyłki lub zawieszeniu konta podejmują nasi pracownicy.
3. Twoje urządzenie i uprawnienia
Niektóre dane pozostają na Twoim urządzeniu: klucz logowania urządzenia i — jeżeli włączysz odblokowanie biometryczne — kopia Twojego PIN-u (w bezpiecznym magazynie systemu operacyjnego) oraz ustawienia, np. język. Przy logowaniu PIN-em lub biometrią klucz i PIN są przesyłane na nasz serwer, który przechowuje je wyłącznie jako skróty. Aplikacja desktopowa przechowuje logi diagnostyczne na Twoim komputerze; otrzymujemy je tylko wtedy, gdy sam nam je wyślesz.
Aplikacja mobilna może prosić o poniższe uprawnienia; możesz je w każdej chwili wycofać w ustawieniach urządzenia:
- Aparat: wyłącznie do skanowania kodów QR. Obraz jest przetwarzany na urządzeniu, nie jest zapisywany ani przesyłany do nas. Na Androidzie skanowanie wykonuje Google ML Kit, który przesyła Google dane techniczne (model urządzenia, system operacyjny, nazwa i wersja Aplikacji, identyfikator instalacji i parametry działania skanera).
- Face ID, Touch ID lub odcisk palca: weryfikację przeprowadza urządzenie; nie otrzymujemy danych biometrycznych.
- Zdjęcia (iOS, tylko dodawanie): wyłącznie do zapisania wybranego obrazu, np. kodu QR do wpłaty. Aplikacja nie widzi Twojej biblioteki.
- Powiadomienia: wyłącznie dotyczące Twojego konta, nigdy w celach marketingowych.
Aplikacja desktopowa nie korzysta z kamery, zdjęć ani biometrii, odczytuje schowek tylko przy wklejaniu i zapisuje pliki wyłącznie we wskazanym przez Ciebie miejscu.
4. Czego nie zbieramy
- Nie prosimy o imię i nazwisko, numer telefonu, datę urodzenia, adres zamieszkania, dokumenty tożsamości ani zdjęcia twarzy.
- Aplikacja nie uzyskuje dostępu do kontaktów, wiadomości, biblioteki zdjęć, mikrofonu ani lokalizacji urządzenia.
- Nie ma reklam ani śledzenia w aplikacjach i na stronach innych firm, nie ma narzędzi analitycznych ani raportowania awarii poza opisanymi wyżej statystykami OneSignal. Nie sprzedajemy danych osobowych.
- Strona nie używa analitycznych ani reklamowych plików cookie. Zapisuje wybór motywu i języka w Twojej przeglądarce; Cloudflare może zapisywać pliki cookie niezbędne dla bezpieczeństwa.
5. Kto otrzymuje dane
Poniżsi dostawcy przetwarzają dane w naszym imieniu, zgodnie z naszymi poleceniami i na podstawie umów powierzenia przetwarzania:
| Dostawca | Cel | Miejsce przetwarzania |
|---|---|---|
| Hetzner Online GmbH | Serwery, bazy danych i kopie zapasowe | Niemcy |
| Cloudflare, Inc. | Udostępnianie Strony, połączeń Aplikacji i aktualizacji; DNS; ochrona przed atakami | Sieć globalna, w tym USA |
| Twilio Inc. (SendGrid) | Wysyłka e-maili | USA |
| OneSignal, Inc. | Powiadomienia push i statystyki korzystania (Aplikacja mobilna): UID, identyfikator subskrypcji, token push, adres IP i treść powiadomień | USA |
| 650 Industries, Inc. (Expo) | Aktualizacje Aplikacji mobilnej | USA |
| Google (Google Workspace) | Nasza skrzynka info@ex5.com | UE i USA |
Inni odbiorcy przetwarzają dane na własnych zasadach: usługi push Apple i Google, które dostarczają powiadomienia na Twoje urządzenie; Google — w związku z ML Kit na Androidzie (rozdział 3); Binance, która otrzymuje adres IP Twojego urządzenia, gdy Aplikacja mobilna pobiera publiczne ceny rynkowe; eksploratory blockchainów, jeżeli otworzysz link do transakcji; organy publiczne, gdy wymagają tego przepisy; nasi doradcy zawodowi; nabywca lub następca prawny naszego przedsiębiorstwa.
Wpłaty i wysyłki są zapisywane w publicznych blockchainach wraz z adresami i kwotami. Każdy może je zobaczyć i nikt, także my, nie może ich zmienić ani usunąć.
Nasze serwery znajdują się w Niemczech. Niektórzy z wymienionych dostawców przetwarzają dane poza Europejskim Obszarem Gospodarczym, w szczególności w USA. Przekazywanie danych naszym podmiotom przetwarzającym jest zabezpieczone standardowymi klauzulami umownymi Komisji Europejskiej; ich kopię możesz otrzymać, pisząc na info@ex5.com.
6. Jak długo przechowujemy dane
- Zapisy konta (adres e-mail, UID, transakcje i zapisy bezpieczeństwa): pięć lat od końca roku kalendarzowego, w którym zamknięto konto, w celu wykonania obowiązków wynikających z przepisów rachunkowych i podatkowych oraz na potrzeby roszczeń; dłużej tylko w czasie trwania postępowania lub rozpatrywania żądania organu.
- Pozostałe dane konta (skrót hasła, klucz 2FA, urządzenia, subskrypcje push, ustawienia, książka adresowa, język): po zamknięciu konta nie są wykorzystywane; usuwamy je w ciągu miesiąca od Twojego żądania (zob. Usuwanie konta), a najpóźniej z końcem okresu przechowywania Zapisów konta.
- Wiadomości w skrzynce: 90 dni. Logi serwera WWW: 14 dni. Logi systemowe: do 12 miesięcy. Kopie zapasowe są nadpisywane w ciągu około miesiąca od usunięcia danych.
- Pozostałe okresy wskazuje rozdział 2. Zapisy w publicznych blockchainach są trwałe.
7. Twoje prawa
Masz prawo dostępu do swoich danych i otrzymania ich kopii, ich sprostowania, usunięcia (o ile nie musimy ich przechowywać, rozdział 6), ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie; wówczas zaprzestaniemy przetwarzania, chyba że mamy ważne prawnie uzasadnione podstawy lub dane są potrzebne do dochodzenia roszczeń. Jeżeli przetwarzanie opiera się na zgodzie, możesz ją w każdej chwili wycofać bez wpływu na zgodność z prawem wcześniejszego przetwarzania.
Napisz na info@ex5.com, najlepiej z adresu e-mail przypisanego do konta. Możemy poprosić o potwierdzenie tożsamości, ale nigdy nie poprosimy o hasło, PIN ani kody 2FA. Odpowiadamy bezpłatnie w ciągu miesiąca; w złożonych sprawach termin może zostać przedłużony o dwa miesiące, o czym Cię poinformujemy. Konto możesz też usunąć samodzielnie w Aplikacji (Usuwanie konta).
Przysługuje Ci również prawo wniesienia skargi do organu nadzorczego ds. ochrony danych, w szczególności w państwie, w którym mieszkasz lub pracujesz, w którym doszło do domniemanego naruszenia, albo w Polsce, gdzie mamy siedzibę.
8. Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w tym szyfrowanie połączeń (TLS), przechowywanie haseł i PIN-ów wyłącznie jako skrótów, szyfrowane przechowywanie kluczy 2FA i ograniczenie dostępu do naszych systemów. Jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko dla Ciebie, niezwłocznie Cię o tym poinformujemy.
9. Dzieci
Usługa jest przeznaczona wyłącznie dla osób, które ukończyły 18 lat. Nie zbieramy świadomie danych osób poniżej 18 roku życia; jeżeli dowiemy się, że taka osoba założyła konto, zamkniemy je.
10. Zmiany
Możemy aktualizować Politykę, gdy zmienia się Usługa, nasi dostawcy lub przepisy. Aktualna wersja i jej data są publikowane na tej stronie, a o istotnych zmianach poinformujemy Cię w Aplikacji lub e-mailem przed ich wejściem w życie. Polityka jest publikowana w językach angielskim, tureckim, rosyjskim i polskim; w razie rozbieżności rozstrzyga wersja angielska.
