Integritetspolicy

1. Definitioner, personuppgiftsansvarigs roll och policyns tillämpningsområde

Vegazone agerar som personuppgiftsansvarig (den part som själv bestämmer ändamål och medel för behandlingen av uppgifter). Denna sekretesspolicy för onlinekasino reglerar hur vi arbetar med personuppgifter på webbplatsen vegazonesverige.com i samband med tillhandahållande av speltjänster.

Denna policy är utformad med hänsyn till svensk dataskyddslagstiftning och GDPR, och tillsynen över spel i Sverige utövas av Spelinspektionen. Vi för fullständiga register över behandlingsaktiviteter, och driften av webbplatsen är kopplad till en giltig espellicens.

Sammanfattningsvis omfattar policyn:
spelarnas uppgifter som samlas in via vegazonesverige.com;
behandling inom kasinot och närstående bolag;
användning, lagring och överföring av uppgifter vid tillhandahållande av tjänster.

2. Kategorier av behandlade uppgifter och källor till dessa

Vi använder olika grupper av personuppgifter inom ramen för personuppgiftsbehandling för att driva webbplatsen vegazonesverige.com. Detta omfattar spelarens identitets- och kontaktuppgifter, tekniska anslutningsparametrar samt information om speltransaktioner. De behövs för att uppfylla kraven i spellagstiftningen och skapa en transparent redovisningslogik.

I vissa fall tillämpar vi uppgiftsminimering och samlar bara in de uppgifter som faktiskt krävs för en viss åtgärd. För identifiering av kunder använder vi KYCrutiner (Know Your Customer – ett grundläggande, lagstadgat förfarande för kundkännedom) och relaterade verifieringsdokument för kontot. Dessa dokument omfattar passuppgifter, betalningsuppgifter samt kompletterande bevis som begärs enligt fastställda interna regler.

Krav på åtgärder mot penningtvätt uppfylls genom våra AMLåtaganden, där även identitetskontroller och transaktionsdata ingår. Interna system för transaktionsövervakning kopplar samman aktiviteter på spelkontot, historik över insättningar och uttag samt tillhörande attribut. För korrekt hantering och vidarebefordran av betalningar används specialiserade betaltjänstleverantörer som behandlar vissa uppgifter i egenskap av självständiga mottagare.

Det tekniska området omfattar geolokationsdata, webbläsarparametrar och loggning av IPadresser med registrering av händelser i en granskningslogg under minst 12 månader. Support tillhandahålls via kanaler där kundtjänstärenden registreras inom ramen för inkomna kontakter. För analys och optimering av webbplatsens funktion använder vi analystjänster som externa personuppgiftsbiträden från tredje part, och allt detta omfattas av gemensamma säkerhetsåtgärder för uppgifter som fastställts för lagring och åtkomst.

3. Rättsliga grunder och ändamål med behandlingen inom spelbranschen

Vi utgår från laglig grund i GDPR:s mening (en EUförordning om dataskydd som anger gemensamma regler för behandling av personuppgifter). För normala spelaktiviteter och hantering av spelkontot är den rättsliga grunden avtalets fullgörande, medan vissa särskilda krav i spellagstiftningen uppfylls genom rättslig förpliktelse. Våra interna rutiner bygger på ett riskbaserat förhållningssätt, där omfattningen av kontroller beror på risknivå och karaktären på spelarens transaktioner. Vid utformning av processer använder vi integritetsskydd genom inbyggd dataskyddsdesign, det vill säga vi beaktar dataskydd redan när nya funktioner utformas, inte i efterhand.

De huvudsakliga ändamålen med behandlingen kan översiktligt delas in så här:

för AML och rapportering till tillsynsmyndigheter används regulatorisk rapportering med inbyggd regelefterlevnadsövervakning på kasinots sida;
för säkerhet i transaktioner och bedömning av avvikelser används begränsad profilering för riskbedömning;
för analys och förbättring av tjänster genomför vi konsekvensbedömningar avseende dataskydd och dokumenterar resultaten genom separata bedömningar av berättigat intresse.

4. Spelarens rättigheter som registrerad och hur de utövas

Spelaren som registrerad har ett antal rättigheter enligt GDPR. Dessa omfattar rätten till tillgång, rättelse, begränsning av behandling, dataportabilitet och rätten att invända mot viss behandling. För hantering av nyhetsutskick och icke nödvändig behandling använder vi ett system för samtyckeshantering, där samtycken registreras i en logg över förfrågningar i minst 5 år. Begäran om utövande av rättigheter lämnas via kundtjänst eller en särskild kontakt för integritetsfrågor, och innan vi svarar genomför vi en minimal identitetskontroll baserad på befintliga kontouppgifter.

Den typiska processen för att hantera en begäran ser ut så här:

registrering av ärendet i systemet och tilldelning av ett unikt ärendenummer;
grundläggande verifiering och precisering av omfattningen av begärda uppgifter;
framtagning av svar och, vid behov, initiering av en tvistlösningsprocess med juridisk avdelning.

Spelaren kan vända sig till den behöriga tillsynsmyndigheten i sitt hemland om hen anser att behandlingen är felaktig, och vid gränsöverskridande behandling tillämpas mekanismer för överföringar över gränser. För datautbyte inom koncernen och med vissa mottagare utanför EU använder vi standardavtalsklausuler, vilket övervakas av en motsvarande dataskyddsmyndighet i respektive jurisdiktion. Den genomsnittliga svarstiden på begäran om rättighetsutövande är upp till 30 kalenderdagar, med möjlighet till förlängning med ytterligare 30 dagar vid komplicerade ärenden.

5. Lagring av uppgifter och tidsfrister enligt svensk och EUspelreglering

Vi tillämpar en policy för lagring av uppgifter baserad på krav i spel-, skatte- och AMLlagstiftning. Identitets och transaktionsuppgifter för spelkontot lagras normalt i minst 5 år efter den sista transaktionen eller efter att profilen stängts, medan vissa redovisningsuppgifter kan bevaras i upp till 10 år om det krävs enligt lag i den berörda jurisdiktionen. För varje kategori av informationsobjekt upprätthåller vi en intern lagringsplan där lagringstider och ändamål är dokumenterade på ett strukturerat sätt.

Säkerhetskopior av infrastrukturen hanteras separat i ett backuplager, fysiskt och logiskt åtskilt från produktionssystemen. Loggar över åtkomst och säkerhetshändelser förs inom ramen för logglagring med en minsta lagringstid på 12 månader, om inte längre perioder föreskrivs av tillsynsmyndigheter. Vid översyn av lagringstider integreras de i vår övergripande incidenthanteringsplan, som beskriver åtgärder vid säkerhetsincidenter och påverkar vilka loggar och uppgifter som behövs för analys.

6. Överföring av uppgifter till tredje part, inom koncernen och utanför EU/EES

Viss behandling är kopplad till överföringar av uppgifter utanför EU/EES, eftersom Vegazones juridiska struktur inkluderar ett bolag med licens på Curaçao. Vi ingår dock personuppgiftsbiträdesavtal med alla externa mottagare som får tillgång till någon del av spelarnas personuppgifter.

De huvudsakliga mottagarna kan översiktligt delas in i:

moderbolag och närstående juridiska personer som tillhandahåller speltjänster;
leverantörer av spel och betalningar, som agerar som självständigt personuppgiftsansvariga eller som personuppgiftsbiträden;
konsulter och ITleverantörer, inklusive hosting och systemstöd;
myndigheter och tillsynsorgan, när detta följer direkt av lag.

För interna system använder vi åtkomstkontroll och en rollbaserad behörighetsmodell, så att anställda endast ser den mängd uppgifter som krävs för deras arbetsuppgifter. Externa kanaler utformas med hänsyn till krav på anmälan av säkerhetsincidenter: varje leverantör är skyldig att omedelbart meddela oss om avvikelser som påverkar konfidentialiteten. I ett typiskt scenario har vi minst tre nivåer av godkännande för nya dataöverföringar, inklusive juridisk granskning, säkerhetsbedömning och affärsmässig motivering.

7. Tekniska och organisatoriska skyddsåtgärder

För att skydda spelarnas uppgifter använder vi fastställda krypteringsstandarder och ett antal organisatoriska rutiner som minskar risken för obehörig åtkomst. Överföring av känslig information via vegazonesverige.com sker med protokoll som använder uppdaterade krypteringsversioner, och nyckelhantering sker i separata miljöer. Alla konfigurationsändringar loggas och granskas stickprovsvis för att säkerställa att säkerhetskraven uppfylls.

Åtkomst till administrativa konton skyddas med tvåfaktorsautentisering (2FA – inloggning med ett extra steg, till exempel en kod via app eller SMS utöver lösenordet) på kritiska administrativa noder. För anställda gäller en strikt lösenordspolicy med minsta längd, krav på regelbunden ändring och begränsningar för återanvändning, och systemet låser kontot efter flera misslyckade inloggningsförsök. För uppgifter som inte kräver direkt identifiering använder vi pseudonymisering och minskar mängden direkta identifierare i arbetsdatamängder. Minst en gång var 12:e månad genomförs granskningar av åtkomstinställningar och utvalda tester av motståndskraft mot vanliga typer av angrepp.

8. Cookies, onlineidentifierare och analys

Vi använder en separat cookiepolicy som beskriver hur webbplatsen vegazonesverige.com arbetar med små textfiler på spelarnas enheter. Ett grundläggande HTTPcookie (en liten datamängd som webbläsaren lagrar och skickar tillbaka till webbplatsen vid varje begäran) behövs för att upprätthålla sessioner, komma ihåg grundläggande inställningar och visa spelgränssnittet korrekt. Vissa cookies är strikt nödvändiga och säkerställer inloggning på kontot och kassafunktioner, medan andra används för analys och förbättrad användarupplevelse.

De tekniska elementen inkluderar spårningstekniker som registrerar hur spelaren interagerar med webbplatsens olika delar, vilka skärmar som laddas och i vilken ordning. Detta hjälper oss att upprätthålla efterlevnad av GDPR och visa att sekretessinställningar inte är statiska utan uppdateras baserat på observerat användarbeteende. Inom koncernen kan det förekomma gemensamt personuppgiftsansvar, när flera juridiska personer tillsammans bestämmer ändamål med behandlingen via ett gemensamt analys och rapporteringssystem.

Vissa filer används för att driva reklamscenarier och utvärdera innehållets effektivitet. Inom ramen för betalningshantering tillämpas ytterligare markörer för hantering av återbetalningar, för att koppla specifika transaktioner till anonymiserade tekniska identifierare. Hantering av cookies kan styras via webbläsarens inställningar, men vissa tjänster kan då fungera begränsat. Den genomsnittliga livslängden för tekniska filer varierar från 1 till 365 dagar, beroende på kategori och roll i webbplatsens funktion.

9. Marknadsföring, ansvarsfullt spelande och kontaktvägar

För utskick och notifieringar använder vi direktmarknadsföring i begränsad omfattning, när spelaren uttryckligen har samtyckt till sådana meddelanden vid registrering eller i kontoinställningarna. I detta sammanhang används epostadress och telefonnummer för information om nya spel, tekniska ändringar och utvalda erbjudanden. Hantering av prenumerationer sker via inställningscentret i spelkontot och via länk i varje utskick; i genomsnitt registreras och verkställs avanmälan från utskick inom 1 arbetsdag.

Verktyg för ansvarsfullt spelande inkluderar funktioner för ansvarsfullt spelande och system för självavstängning, som gör det möjligt att ställa in dagliga eller månatliga gränser samt tillfälligt stänga av tillgången till speltjänster. För att dessa ska fungera korrekt använder vi endast den minsta nödvändiga mängden uppgifter, utan utökad profilering utöver vad spellagstiftningen kräver. Behandlingen av sådana inställningar integreras i vårt övergripande CRMsystem (ett system för hantering av kundrelationer som hjälper till att strukturera ärenden och statusar för begränsningar) och kan beaktas vid kontakt med support.

Frågor om dataskydd och marknadsföringsaktiviteter kan skickas till Vegazones kundtjänst via den epostadress som anges på webbplatsen. Vår målsatta genomsnittliga svarstid på sådana ärenden är upp till 72 timmar, men vissa förfrågningar kan kräva ytterligare verifiering av kontouppgifter om de innehåller känslig information.