Zawartość dokumentu
- 01Kto przetwarza Twoje dane
- 02Zasada, która rządzi resztą: nie zbieraj
- 03Cele i podstawy prawne
- 04Okresy przechowywania i odbiorcy
- 05Procesorzy i partnerzy
- 06Transfery poza Unię Europejską
- 07Twoje prawa i ich rzeczywiste ograniczenia
- 08Jak wykonywać swoje prawa
- 09Zautomatyzowane decyzje
- 10Bezpieczeństwo danych
- 11Pliki cookie i trackery
- 12Nieletni
- 13Zmiany w niniejszej polityce
Kto przetwarza Twoje dane
Platforma wymiany walut nie może działać bez danych tożsamości: przepisy dotyczące przeciwdziałania praniu pieniędzy wymagają ich od pierwszej przewalutowanej waluty. Uczciwe pytanie brzmi zatem nie „czy zbierasz dane”, ale jakie dane, po co, jak długo i kto jeszcze je widzi.
The controlling entity is being incorporated. Its legal name, legal form and registered address will be published on the legal notice page as soon as they are verifiable. In the meantime, the contact address below is the single entry point for any request about your data, and it is already live.
Na dzień dzisiejszy nie powołano inspektora ochrony danych. Czy będzie? Tak: przetwarzanie danych tożsamości na dużą skalę w środowisku regulowanym czyni to powołanie koniecznym. Do czasu jego skuteczności nie udajemy, że jest inaczej, a zapytania są obsługiwane za pośrednictwem poniższego adresu.
Punkt kontaktowy ds. prywatności
Użyj tego adresu, aby skorzystać ze swoich praw, zapytać o czynność przetwarzania lub zakwestionować zautomatyzowaną decyzję. Otrzymasz odpowiedź w ciągu maksymalnie 30 dni.
[email protected]Zasada, która rządzi resztą: nie zbieraj
Każda zebrana dana to dana, którą należy chronić, przechowywać, usunąć we właściwym czasie i zwrócić na żądanie. Produkt jest zbudowany tak, aby prosić o jak najmniej, jak najpóźniej.
- Wycena jest publiczna: otrzymujesz kwotę netto z podziałem opłat, bez konta i bez adresu e-mail.
- Weryfikacja tożsamości jest wymagana na poziomie, na którym staje się obowiązkowa, a nie przy rejestracji.
- Nie instaluje się żadnych trackerów reklamowych, a dane dotyczące przeglądania nie są sprzedawane ani udostępniane w celach komercyjnych.
- Dane bankowe są szyfrowane i usuwane z dzienników aplikacji: nigdy nie pojawiają się w postaci jawnej w linii dziennika.
Cele i podstawy prawne
Każda czynność przetwarzania opiera się na zidentyfikowanej podstawie prawnej. To więcej niż formalność: podstawa określa, jakie prawa Ci przysługują. Dane przetwarzane na podstawie obowiązku prawnego nie mogą zostać usunięte na żądanie w okresie wymaganym przepisami; danym przetwarzanym w naszym prawnie uzasadnionym interesie można sprzeciwić się z uzasadnionych powodów.
| Purpose | Data involved | Legal basis |
|---|---|---|
| Compute a quote and display the fee breakdown | Chosen asset, amount, country and rail. No identifying data is required at this stage. | Legitimate interest — Article 6(1)(f) — Interest in showing a price before sign-up, which avoids collecting data from a visitor who will not go further. |
| Create and secure your account | Email address, phone number, password hash, second-factor keys, sign-in log and associated IP addresses. | Performance of the contract — Article 6(1)(b) — Without an authenticated account, no order can be tracked and no payout issued. |
| Verify your identity and meet due-diligence obligations | Names, date and place of birth, nationality, address, identity document image, liveness video capture, source-of-funds evidence, results of sanctions and politically exposed person screening. | Legal obligation — Article 6(1)(c) — Customer due-diligence obligations imposed on digital asset service providers. This data cannot be erased on request while the statutory period runs. |
| Execute the order and issue the payout | Assigned deposit address, transaction hashes, amounts, beneficiary details (IBAN, PIX key, mobile money number), status of each step. | Performance of the contract — Article 6(1)(b) — Beneficiary details are the material condition of payment: without them, the money has nowhere to go. |
| Monitor transactions and detect suspicious patterns | Order history, deposit address risk analytics, triggered alerts, analyst notes, reports filed. | Legal obligation — Article 6(1)(c) — Ongoing monitoring is a standalone obligation, separate from initial identity verification. |
| Answer your requests and handle your complaints | Message content, attachments, related order reference, exchange history. | Performance of the contract — Article 6(1)(b) — Handling a complaint is part of the service. The case is tracked to allow escalation. |
| Prevent fraud and technical abuse | IP address, device fingerprint, security events, rate limiting, failed authentication attempts. | Legitimate interest — Article 6(1)(f) — Interest in protecting customer accounts and funds from takeover and malicious automation. |
| Measure site audience | Page views, referrer, device type. No data is collected under this activity today: the category is declared but inactive. | Consent — Article 6(1)(a) — This processing will only start after explicit consent collected through the cookie panel, never before. |
Okresy przechowywania i odbiorcy
Nie przechowujemy niczego „domyślnie”. Każda kategoria ma okres, wyzwalacz usunięcia i automatyczne czyszczenie po upływie terminu.
| Purpose | Retention | Recipients | Transfer outside the EU |
|---|---|---|---|
| Compute a quote and display the fee breakdown | The quote is kept for 30 days in technical form to reconstruct a pricing dispute, then deleted. | Nobody outside the engineering team. | No |
| Create and secure your account | For the life of the account, then 12 months after closure to handle a late dispute. Sign-in logs are kept for 12 months. | Our hosting provider, our transactional email operator and our SMS operator. | No |
| Verify your identity and meet due-diligence obligations | Five years from the end of the business relationship, as required by anti-money-laundering rules. After that period, automatic deletion. | The identity verification provider, sanctions list vendors, and, upon formal request, the competent authorities. | Yes |
| Execute the order and issue the payout | Ten years, the accounting record retention period. Bank details are encrypted and stripped from application logs. | The payment institution executing the transfer on the chosen rail, and it alone. | Yes |
| Monitor transactions and detect suspicious patterns | Five years from the transaction or the closure of the alert. A suspicious activity report is never disclosed to you: the law forbids it. | The competent financial intelligence unit, strictly within the framework provided by law. | No |
| Answer your requests and handle your complaints | Three years after case closure, or five years where the complaint touches compliance. | Our support tool, hosted in the European Union. | No |
| Prevent fraud and technical abuse | Twelve months for security logs, six months for rate-limiting counters. | Our hosting provider and our network protection vendor. | No |
| Measure site audience | Thirteen months maximum from the collection of consent, with no automatic extension. | None to date, the category being inactive. | No |
Procesorzy i partnerzy
Korzystamy z procesorów do hostingu, dostarczania wiadomości e-mail i SMS, weryfikacji tożsamości, analizy ryzyka adresów depozytowych i realizacji płatności. Każdy z nich działa na podstawie udokumentowanych instrukcji, na mocy umowy zgodnej z art. 28 RODO.
Nazwana lista tych procesorów nie jest publikowana, dopóki umowy nie zostaną podpisane. Wolimy dokładną kategorię niż nazwę dostawcy wyświetlaną w celu sprawiania wrażenia ugruntowanej pozycji: publikowanie nazwiska partnera, z którym nie zawarto żadnej umowy, byłoby fałszywym oświadczeniem i właśnie tego ta strona odmawia robić.
Lista zostanie opublikowana tutaj, nazwa po nazwie, rola po roli, z lokalizacją przetwarzania, gdy tylko usługa zacznie działać. Każde późniejsze dodanie spowoduje aktualizację wersji tego dokumentu.
Transfery poza Unię Europejską
Dwie czynności strukturalnie wiążą się z transferem poza Unię: weryfikacja tożsamości, której dostawcy często działają z Wielkiej Brytanii lub Stanów Zjednoczonych, oraz realizacja wypłat na lokalnych systemach płatności poza Europą — PIX w Brazylii, M-Pesa w Kenii, NIP w Nigerii. Wysłanie pieniędzy do Kenii oznacza przekazanie nazwiska i numeru beneficjenta kenijskiej instytucji: to jest materialny warunek płatności.
Co reguluje te transfery
- Decyzja o adekwatności Komisji Europejskiej, jeśli istnieje dla danego kraju.
- W przeciwnym razie standardowe klauzule umowne Komisji, wraz z oceną skutków transferu uwzględniającą lokalne prawo dotyczące dostępu organów rządowych.
- Dodatkowe środki techniczne: minimalizacja przekazywanych pól, szyfrowanie w tranzycie i w spoczynku, segregacja per korytarz.
- Brak transferu z wygody: jeśli cel może być osiągnięty wewnątrz Unii, tak się dzieje.
Możesz poprosić o kopię zabezpieczeń stosowanych do konkretnego transferu. Następnie podajemy zastosowany mechanizm i kraj docelowy, bez klauzul handlowych umowy.
Twoje prawa i ich rzeczywiste ograniczenia
Polityka prywatności, która wymienia siedem praw bez wskazania, które z nich napotyka jaką przeszkodę, nikomu nie pomaga. Oto prawa i, dla każdego, ograniczenie, które faktycznie ma zastosowanie w naszym kontekście.
- Right of access
- Obtain confirmation that we process your data, receive a copy of it and the information on purposes, recipients and retention periods.
- Right to rectification
- Have inaccurate data corrected or incomplete data completed. An already verified identity is not corrected by mere declaration: the fix goes through a new document verification.
- Right to erasure
- Request deletion of your data when its retention is no longer justified. Anti-money-laundering and accounting records cannot be erased before the end of their statutory period. We then give you the exact date on which deletion will happen.
- Right to restriction
- Request that a processing activity be frozen while a dispute is resolved.
- Right to portability
- Receive the data you provided in a structured, machine-readable format, or have it transmitted directly to another controller.
- Right to object
- Object to processing based on our legitimate interest, on grounds relating to your particular situation. Objection does not apply to processing imposed by law, notably anti-money-laundering diligence.
- Automated decision-making
- Obtain human intervention, express your point of view and contest a decision taken without human involvement. An automated compliance refusal can always be re-examined by an analyst on request.
- Withdrawal of consent
- Withdraw consent at any time, without affecting the lawfulness of processing already carried out.
Jak wykonywać swoje prawa
- Napisz na adres kontaktowy ds. prywatności z adresu e-mail powiązanego z Twoim kontem lub z obszaru konta.
- Weryfikujemy Twoją tożsamość. W przypadku uzasadnionych wątpliwości prosimy o jeden dodatkowy element weryfikacyjny — nigdy o nową kopię dokumentu tożsamości, jeśli już posiadamy ważny.
- Odpowiadamy w ciągu ${RIGHTS_RESPONSE_DAYS} dni. Jeśli żądanie jest złożone lub wielokrotne, termin ten może zostać przedłużony o ${RIGHTS_EXTENSION_MONTHS} miesięcy, a my informujemy Cię o tym z podaniem przyczyny przed upływem pierwotnego terminu.
- Odpowiedź jest bezpłatna. Żądanie w sposób oczywisty bezpodstawne lub nadmierne może prowadzić do uzasadnionej odmowy, nigdy do ukrytej opłaty.
Jeśli nasza odpowiedź Cię nie zadowala, możesz wnieść skargę do organu nadzorczego w kraju swojego zamieszkania. Ta droga jest otwarta bezwarunkowo i bez konieczności wcześniejszego poinformowania nas.
Wykonaj prawo
Wskaż prawo, z którego korzystasz, i, jeśli to możliwe, powiązane odniesienie do zamówienia. Pozwala to uniknąć dodatkowej korespondencji i skraca czas obsługi.
[email protected]Zautomatyzowane decyzje
Trzy kontrole są zautomatyzowane i mogą mieć bezpośredni wpływ na Ciebie: porównanie Twojego nazwiska z listami sankcyjnymi, weryfikacja tożsamości na podstawie dokumentów oraz analiza ryzyka adresu depozytowego. Dopasowanie lub niepowodzenie może zawiesić zamówienie bez wcześniejszego udziału człowieka.
Zawsze możesz poprosić o przegląd przez człowieka. Analityk ponownie otwiera wtedy plik, możesz przedstawić swoją sprawę, a początkowa decyzja może zostać odwrócona. Jedyną sytuacją, w której szczegółowy powód nie może zostać z Tobą udostępniony, jest zgłoszone podejrzenie: prawo zabrania nam wtedy omawiania go.
Bezpieczeństwo danych
Szyfrowanie w tranzycie i w spoczynku, segregacja środowisk, dostęp z najmniejszymi uprawnieniami, logowanie każdego dostępu do pliku weryfikacyjnego, obowiązkowy drugi czynnik dla dostępu wewnętrznego. Środki techniczne są szczegółowo opisane na dedykowanej stronie.
W przypadku naruszenia danych osobowych mogącego stwarzać ryzyko dla Twoich praw, powiadamiamy organ nadzorczy w ciągu 72 godzin i informujemy Cię bezpośrednio, jeśli ryzyko jest wysokie. Publikujemy również notę po incydencie, nawet jeśli indywidualne powiadomienie nie jest wymagane.
Nieletni
Usługa nie jest przeznaczona dla nieletnich, a weryfikacja tożsamości sprawdza datę urodzenia. Jeśli odkryjemy, że konto zostało otwarte przez nieletniego, zostanie ono zamknięte, a powiązane dane usunięte, z zastrzeżeniem zapisów, które przepisy wymagają od nas przechowywać.
Zmiany w niniejszej polityce
Każda istotna zmiana — nowy cel, nowy odbiorca, nowe przekazanie poza Unię — otrzymuje nowy numer wersji, wpis w historii na dole tej strony oraz bezpośrednie powiadomienie, jeśli posiadasz konto. Nie zmieniamy celu po cichu.
Historia wersji
| Wersja | Ostatnia aktualizacja | Nature of the change |
|---|---|---|
| 1.0.0 | 2 September 2026 | Pierwsza publikacja dokumentu. |
Stałe kotwice: każda sekcja ma identyfikator, który nie ulegnie zmianie. Możesz powołać się na klauzulę za pomocą jej bezpośredniego linku.