To jest projekt dokumentu w wersji 1.0-beta. Nie obowiązuje, dopóki nie zostanie opublikowany.
Polityka prywatności Rzut k20
Wersja: 1.0-beta · Status: projekt — nie publikować · Data sporządzenia: 2026-10-23 Wymagania W-29 i W-30 z audytu prawnego. Zadanie: RZU-21. Autor: agent Prawo. Wiążącym opisem przetwarzania jest rejestr czynności przetwarzania — ten dokument ma być z nim zgodny, nie odwrotnie.
Dlaczego „nie publikować”. W dokumencie zostało oznaczone miejsce do uzupełnienia: [D-02] (tożsamość i kontakt administratora). [D-05] rozstrzygnięte 2026-11-02: OVHcloud, serwery w Polsce (sekcje 6 i 7). Dopóki D-02 nie zostanie uzupełnione, dokumentu nie wolno udostępnić pod adresem
/prywatnosc, a rejestracja nie może zostać otwarta dla rzeczywistych użytkowników: bez danych administratora i bez monitorowanej skrzynki nie da się spełnić art. 13 ust. 1 lit. a RODO ani umożliwić wykonania praw z art. 15–22. Reguła wersjonowania i zakres uzupełnień: Załącznik.
Spis treści
- Kto przetwarza Twoje dane
- Czego ten dokument dotyczy i co znaczy „beta”
- Jakie dane zbieramy
- W jakim celu i na jakiej podstawie
- Czy musisz podać dane
- Komu przekazujemy dane
- Czy dane wychodzą poza Europejski Obszar Gospodarczy
- Jak długo przechowujemy dane
- Co dokładnie znika, gdy usuwasz konto
- Twoje prawa i jak z nich skorzystać
- Skarga do Prezesa UODO
- Brak profilowania i automatycznych decyzji
- Cookies
- Jak chronimy dane
- Zmiany tej polityki
1. Kto przetwarza Twoje dane
Administratorem Twoich danych osobowych jest:
[D-02: tożsamość i dane kontaktowe administratora — do uzupełnienia przez zarząd] Minimum: oznaczenie administratora i adres poczty elektronicznej. Zakres i warianty: Załącznik pkt 1.
Kontakt we wszystkich sprawach dotyczących danych osobowych: [D-02: adres e-mail do spraw danych osobowych]. Na ten adres piszesz też, jeżeli chcesz skorzystać z praw opisanych w sekcji 10.
Nie wyznaczyliśmy inspektora ochrony danych — nie jesteśmy do tego zobowiązani. Wszystkie sprawy dotyczące danych kierujesz na adres podany wyżej.
2. Czego ten dokument dotyczy i co znaczy „beta”
Rzut k20 to bezpłatna aplikacja internetowa do gry fabularnej na zasadach SRD 5.2.1, działająca w wersji beta. Ta polityka opisuje, co się dzieje z danymi w wersji beta — czyli stan faktyczny, a nie plany. Trzy rzeczy wynikają z tego wprost i mają znaczenie dla Twojej prywatności:
- Nie wysyłamy żadnych wiadomości e-mail. Nie ma potwierdzenia rejestracji, powiadomień ani linku do ustawienia nowego hasła. Twój adres e-mail nie jest przekazywany żadnemu dostawcy poczty, bo takiego dostawcy nie mamy.
- Nie weryfikujemy adresu e-mail. Adres jest wyłącznie Twoim identyfikatorem przy logowaniu.
- Hasła nie da się odzyskać. Jeżeli je zapomnisz, tracisz dostęp do konta i do zapisanych na nim treści. To nie jest kwestia ochrony danych, ale ma dla Ciebie poważniejszy skutek niż większość rzeczy w tym dokumencie — dlatego piszemy o tym także tutaj. Szczegóły: Regulamin § 5.
Nie prowadzimy statystyk odwiedzin, nie mamy reklam, newslettera ani narzędzi analitycznych. Dodanie czegokolwiek z tej listy wymagałoby zmiany tej polityki i — poza wyjątkami — Twojej zgody.
3. Jakie dane zbieramy
Lista jest zamknięta: zbieramy dokładnie to, co jest poniżej, i nic więcej.
Dane konta — podajesz je sam przy rejestracji i w ustawieniach:
| Dane | Uwaga |
|---|---|
| adres e-mail | identyfikator logowania |
| hasło | przechowywane wyłącznie jako nieodwracalny skrót (argon2id); nie znamy Twojego hasła |
| nazwa wyświetlana | może być pseudonimem, nie wymagamy prawdziwego imienia |
| data utworzenia konta, data ostatniego logowania | bezpieczeństwo i usuwanie kont nieaktywnych |
| wersja zaakceptowanego regulaminu i data akceptacji | dowód akceptacji |
| data oświadczenia o ukończeniu 16 lat | wymóg prawny; nie zbieramy daty urodzenia |
Czego w danych konta nie ma i nie będzie: imienia i nazwiska, daty urodzenia, płci, numeru telefonu, adresu, kraju, danych płatniczych, identyfikatorów z portali społecznościowych, Twojego adresu IP przechowywanego na stałe przy koncie.
Dane sesji — po zalogowaniu: skrót tokenu sesji (sama wartość tokenu jest tylko w ciasteczku w Twojej przeglądarce), data utworzenia sesji, data ostatniej aktywności i data wygaśnięcia.
Zdarzenia bezpieczeństwa — rodzaj zdarzenia (nieudane logowanie, blokada po wielu próbach, zmiana hasła, zmiana adresu, usunięcie konta), identyfikator techniczny konta, skrócony adres IP (bez ostatniego członu dla IPv4), rodzina przeglądarki i czas. Nie zapisujemy pełnego adresu IP ani adresu e-mail w tych zapisach — w bazie nie ma na nie nawet miejsca.
Logi techniczne — czas, ścieżka żądania jako wzorzec (nie konkretne wartości), kod odpowiedzi, czas obsługi, identyfikator techniczny konta, klasa błędu, skrócony adres IP, rodzina przeglądarki. W logach nigdy nie ma adresu e-mail, hasła, tokenu sesji ani treści, które wpisujesz.
Treści, które sam wprowadzasz — nazwa wyświetlana, postacie (imię, opis, wybory z kreatora, stan w grze), notatki i opisy. Jeżeli włączysz publiczny link do karty postaci, kartę — w tym imię i opis postaci — zobaczy każdy, kto ten link otrzyma; nie pokazujemy przy niej Twojej nazwy wyświetlanej ani adresu e-mail, a link wyłączasz jednym przyciskiem. Jeżeli wpiszesz w nich dane innych osób (na przykład imię znajomego w historii postaci), odpowiadasz za to Ty — my tych treści nie przeglądamy i nie wykorzystujemy.
Korespondencja — jeżeli do nas napiszesz: Twój adres e-mail, treść wiadomości i daty.
4. W jakim celu i na jakiej podstawie
| Co robimy | Po co | Podstawa prawna |
|---|---|---|
| prowadzimy Twoje konto, logujemy Cię, utrzymujemy sesję | żebyś mógł korzystać z usługi | wykonanie umowy — art. 6 ust. 1 lit. b RODO (nie zgoda) |
| przechowujemy treści zapisane na koncie | to jest sama usługa | art. 6 ust. 1 lit. b RODO |
| zapisujemy oświadczenie o ukończeniu 16 lat | obowiązek z art. 8 RODO | obowiązek prawny — art. 6 ust. 1 lit. c RODO |
| zapisujemy zdarzenia bezpieczeństwa i blokujemy po wielu nieudanych próbach logowania | żeby nikt nie przejął Twojego konta i żeby dało się ustalić przebieg incydentu | nasz prawnie uzasadniony interes — art. 6 ust. 1 lit. f RODO w związku z art. 32 RODO |
| prowadzimy logi techniczne | diagnostyka awarii i utrzymanie sprawności serwisu | prawnie uzasadniony interes — art. 6 ust. 1 lit. f RODO |
| robimy kopie zapasowe bazy | odtworzenie serwisu po awarii | prawnie uzasadniony interes — art. 6 ust. 1 lit. f w związku z art. 32 ust. 1 lit. c RODO |
| przechowujemy dowód akceptacji regulaminu po usunięciu konta | żeby móc wykazać, kiedy i jaką wersję regulaminu zaakceptowano, gdyby ktoś to kwestionował | prawnie uzasadniony interes (obrona przed roszczeniami) — art. 6 ust. 1 lit. f RODO w związku z art. 17 ust. 3 lit. e RODO |
| odpowiadamy na reklamacje i zgłoszenia | rozpatrzenie sprawy, obrona przed roszczeniami | art. 6 ust. 1 lit. f RODO; w zakresie żądań z art. 15–22 — art. 6 ust. 1 lit. c RODO |
Nie przetwarzamy Twoich danych na podstawie zgody i nie prosimy Cię o zgodę na przetwarzanie. Podstawą jest umowa, którą zawierasz, zakładając konto. Nie zbieramy danych szczególnych kategorii (o zdrowiu, pochodzeniu, poglądach, orientacji) i prosimy, żebyś nie wpisywał ich do treści na koncie.
Nasz prawnie uzasadniony interes w zapisach bezpieczeństwa i logach to jedno i to samo: utrzymanie działającej i bezpiecznej usługi. Dlatego zakres tych zapisów jest zawężony (bez pełnego IP, bez adresu e-mail), a okresy przechowywania krótkie (sekcja 8). Możesz wnieść sprzeciw wobec tego przetwarzania — sekcja 10.
5. Czy musisz podać dane
Podanie adresu e-mail, hasła i nazwy wyświetlanej oraz złożenie oświadczenia o ukończeniu 16 lat jest niezbędne do zawarcia umowy — bez nich nie da się utworzyć ani prowadzić konta. Nie ma to charakteru obowiązku ustawowego: po prostu nie powstanie konto. Żadnych innych danych nie musisz podawać i o żadne inne nie prosimy.
6. Komu przekazujemy dane
Nie sprzedajemy danych, nie udostępniamy ich w celach marketingowych i nie przekazujemy ich innym użytkownikom — poza tym, co sam udostępnisz: postać wniesioną do stołu widzą osoby przy tym stole, a kartę z włączonym publicznym linkiem każdy, kto ma link. Dostęp do danych mają poza tym wyłącznie:
| Kto | W jakim zakresie |
|---|---|
| dostawca hostingu i bazy danych — OVHcloud, serwery w Warszawie | przechowuje bazę i pliki serwisu; działa na nasze polecenie, na podstawie umowy powierzenia przetwarzania (art. 28 RODO) |
| dostawca poczty — nie dotyczy w wersji beta | nie wysyłamy wiadomości, więc Twój adres e-mail nie opuszcza naszej bazy |
Jeżeli przepisy nas do tego zobowiążą, przekażemy dane uprawnionym organom (na przykład sądowi albo organom ścigania) — w zakresie wynikającym z żądania. Organy działające na podstawie przepisów prawa nie są „odbiorcami” w rozumieniu RODO.
7. Czy dane wychodzą poza Europejski Obszar Gospodarczy
Nie. Serwery znajdują się w Europejskim Obszarze Gospodarczym — w Polsce. Nie korzystamy z usług, które przenosiłyby dane poza EOG. Gdyby to kiedykolwiek miało się zmienić, poinformujemy o tym w tej polityce wraz z podstawą przekazania z rozdziału V RODO, zanim przekazanie nastąpi.
8. Jak długo przechowujemy dane
| Dane | Jak długo |
|---|---|
| konto i treści zapisane na koncie | przez czas trwania umowy, czyli do usunięcia konta |
| konto nieaktywne | 24 miesiące bez logowania → usunięcie. Zasadą jest ostrzeżenie e-mailem i 30 dni na reakcję; w wersji beta nie wysyłamy wiadomości, więc dopóki poczta u nas nie działa, ostrzeżenia nie wyślemy. Żadne konto nie osiągnie tego progu przed 2028 rokiem, a przed tą datą ta sekcja zostanie zaktualizowana |
| sesje (zalogowane urządzenia) | 30 dni od ostatniej aktywności; po wylogowaniu zapis sesji znika natychmiast |
| zdarzenia bezpieczeństwa | 90 dni, a po usunięciu konta — bez identyfikatora konta (sekcja 9) |
| logi żądań | 14 dni |
| logi błędów | 30 dni |
| logi serwera pośredniczącego (ze skróconym IP) | 14 dni |
| kopie zapasowe bazy | rotacja: 7 kopii dziennych i 4 tygodniowe, maksymalnie 35 dni, potem nadpisanie |
| dowód akceptacji regulaminu po usunięciu konta | do 12 miesięcy, bez Twojego adresu e-mail w postaci jawnej (sekcja 9) |
| korespondencja i reklamacje | 12 miesięcy od zakończenia sprawy |
9. Co dokładnie znika, gdy usuwasz konto
Usunięcie konta jest samoobsługowe (przycisk w ustawieniach konta, bez pisania do nas), wymaga podania hasła i jednoznacznego potwierdzenia, a następnie jest natychmiastowe i nieodwracalne — nie stosujemy „usunięcia na niby” polegającego na ustawieniu znacznika w bazie.
Z bazy znika w tej samej chwili: wpis konta wraz z adresem e-mail, skrótem hasła i nazwą wyświetlaną, wszystkie Twoje treści oraz wszystkie Twoje sesje. Mamy na to test automatyczny, który przeszukuje całą bazę za identyfikatorem i adresem e-mail usuniętego konta i nie pozwala na pozostawienie czegokolwiek w nowo dodanej tabeli.
Zostaje — i to jest pełna lista:
- Zapisy zdarzeń bezpieczeństwa, ale bez identyfikatora Twojego konta: w chwili usunięcia nadpisujemy go wartością pustą. Zostaje sam fakt („nieudane logowanie”, „blokada”) ze skróconym IP i czasem, których nie da się już połączyć z Tobą. Te zapisy znikają w ciągu 90 dni od powstania.
- Dowód akceptacji regulaminu: wersja regulaminu, data akceptacji i skrót Twojego adresu e-mail policzony z tajnym kluczem, którego nie przechowujemy w bazie danych. Z takiego zapisu nie da się odtworzyć adresu; służy tylko do tego, żebyśmy mogli potwierdzić fakt akceptacji, gdyby ktoś go kwestionował. Zapis usuwamy po 12 miesiącach.
- Logi techniczne — przez 14 albo 30 dni mogą jeszcze zawierać techniczny identyfikator konta (losowy ciąg, nigdy adres e-mail). Po usunięciu konta ten identyfikator nie wskazuje już na nic: nie ma zapisu, który wiązałby go z osobą.
- Kopie zapasowe — z kopii zapasowych nie wycinamy pojedynczych rekordów, bo kopia z wyciętą częścią danych przestaje nadawać się do odtworzenia po awarii. Twoje dane znikają z kopii wraz z ich rotacją, najpóźniej po 35 dniach. W tym czasie nie odtwarzamy z kopii danych pojedynczej osoby; kopia służy wyłącznie odtworzeniu całego serwisu po awarii. Jeżeli odtworzenie w tym okresie okaże się konieczne, usuniemy Twoje konto ponownie, zaraz po odtworzeniu.
- Korespondencja, jeżeli do nas pisałeś — w skrzynce e-mail, przez 12 miesięcy od zakończenia sprawy.
W wersji beta nie potwierdzamy usunięcia konta e-mailem, bo nie wysyłamy wiadomości. Potwierdzenie zobaczysz na ekranie.
10. Twoje prawa i jak z nich skorzystać
| Prawo | Jak z niego skorzystać |
|---|---|
| dostęp do danych (art. 15 RODO) | przycisk „Pobierz moje dane” w ustawieniach konta — plik JSON, natychmiast i nieodpłatnie; oraz ten dokument |
| przenoszenie danych (art. 20 RODO) | ten sam przycisk; plik ma format, który odczytasz bez naszej aplikacji |
| sprostowanie (art. 16 RODO) | zmiana adresu e-mail i nazwy wyświetlanej w ustawieniach konta |
| usunięcie (art. 17 RODO) | przycisk „Usuń konto” w ustawieniach konta; skutki: sekcja 9 |
| ograniczenie przetwarzania (art. 18 RODO) | napisz na adres z sekcji 1 |
| sprzeciw (art. 21 RODO) | napisz na adres z sekcji 1 — dotyczy przetwarzania opartego na prawnie uzasadnionym interesie (zdarzenia bezpieczeństwa, logi, kopie zapasowe) |
| skarga do organu nadzorczego (art. 77 RODO) | sekcja 11 |
Nie musisz uzasadniać żądania usunięcia konta ani pobrania danych — robisz to sam, bez kontaktu z nami. Na żądania przesłane e-mailem odpowiadamy w ciągu miesiąca; jeżeli sprawa jest złożona, możemy ten termin wydłużyć o maksymalnie dwa miesiące, informując Cię o tym w pierwszym miesiącu (art. 12 ust. 3 RODO). Realizacja żądań jest nieodpłatna.
Nie prosimy Cię o zgodę na przetwarzanie danych, więc nie ma zgody, którą można wycofać. Gdyby kiedyś pojawiła się funkcja wymagająca zgody (na przykład statystyki odwiedzin), wycofanie zgody będzie równie łatwe jak jej udzielenie.
11. Skarga do Prezesa UODO
Jeżeli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, możesz wnieść skargę do organu nadzorczego:
Prezes Urzędu Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa
Skarga do organu nie wyłącza innych środków ochrony, w tym drogi sądowej.
12. Brak profilowania i automatycznych decyzji
Nie profilujemy Cię i nie podejmujemy wobec Ciebie decyzji w sposób wyłącznie zautomatyzowany w rozumieniu art. 22 RODO. Jedyny mechanizm, który działa automatycznie, to czasowa blokada logowania po wielu nieudanych próbach — służy ochronie Twojego konta, jest ograniczona czasowo i nie wywołuje wobec Ciebie skutków prawnych.
13. Cookies
Nie pokazujemy okna zgody na cookies, bo nie mamy na nie czego zbierać. Używamy jednego ciasteczka i jest ono niezbędne do działania usługi, której sam od nas żądasz — logowania. Na takie ciasteczka zgoda nie jest wymagana; wymagana jest informacja, i to jest ta informacja.
| Nazwa | Po co | Jak długo | Czyje | Charakter |
|---|---|---|---|---|
| [Backend: nazwa ciasteczka sesji — do potwierdzenia] | utrzymanie zalogowania i ochrona przed podszyciem się pod Twoje żądania | do 30 dni od ostatniej aktywności; po wylogowaniu usuwane | własne | niezbędne |
Ciasteczko jest ustawione tak, że nie ma do niego dostępu kod JavaScript w przeglądarce
(HttpOnly), jest przesyłane wyłącznie połączeniem szyfrowanym (Secure) i nie jest wysyłane
przy żądaniach z innych witryn (SameSite=Lax). Możesz je usunąć w ustawieniach przeglądarki —
skutkiem będzie wylogowanie.
Nie używamy cookies analitycznych, reklamowych ani należących do innych podmiotów. Nie osadzamy w serwisie zewnętrznych filmów, map, czcionek ani przycisków portali społecznościowych — żadna inna firma nie dowiaduje się od nas, że odwiedziłeś Rzut k20. Gdybyśmy kiedykolwiek chcieli dodać cokolwiek nieniezbędnego, najpierw poprosimy Cię o zgodę i dopiero po jej uzyskaniu zapiszemy cokolwiek na Twoim urządzeniu.
14. Jak chronimy dane
Nie opisujemy tu wszystkiego, bo opis zabezpieczeń sam bywa podpowiedzią. To, co ma znaczenie dla Ciebie:
- połączenie z serwisem jest szyfrowane (HTTPS, wymuszony);
- hasło przechowujemy wyłącznie jako nieodwracalny skrót (argon2id) — nie znamy Twojego hasła i nie możemy go odczytać;
- w bazie jest tylko skrót tokenu sesji, nie sam token;
- liczba nieudanych prób logowania jest ograniczona;
- w logach nie ma adresów e-mail, haseł, tokenów ani treści, które wpisujesz;
- pełnego adresu IP nie zapisujemy nigdzie;
- kopie zapasowe są zaszyfrowane, a odtworzenie z nich sprawdzamy, zamiast zakładać, że działa;
- dostęp do bazy produkcyjnej jest imienny, bez kont współdzielonych;
- w środowisku testowym i rozwojowym nie używamy prawdziwych danych użytkowników.
Jeżeli dojdzie do naruszenia ochrony danych, które może powodować wysokie ryzyko dla Twoich praw, powiadomimy Cię o tym bez zbędnej zwłoki, a naruszenie zgłosimy Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia.
15. Zmiany tej polityki
Tę politykę aktualizujemy, gdy zmienia się to, co opisuje — w szczególności przy pierwszym dostawcy poczty, pierwszej funkcji zapisującej nowe dane i przy zmianie okresów przechowywania. Nową wersję publikujemy pod tym samym adresem, z numerem wersji i datą. O zmianach istotnych dla Ciebie informujemy przy logowaniu.
Wersja: 1.0-beta. Obowiązuje łącznie z Regulaminem w wersji 1.0-beta. Data publikacji: [D-02: nie wcześniej niż dzień uzupełnienia oznaczonych miejsc]. Poprzednie wersje: brak — to pierwsza wersja polityki.
Załącznik — informacje redakcyjne (nie są częścią polityki)
Adresowane do zarządu, przeglądu i pozostałych agentów. Nie jest treścią polityki.
Aplikacja publikuje wyłącznie treść powyżej znacznika
<!-- NIE PUBLIKOWAĆ PONIŻEJ TEJ LINII -->.
1. Trzy oznaczone miejsca — co minimalnie musi w nich stanąć
[D-02] — sekcja 1 i data w sekcji 15. Minimum wymagane przez art. 13 ust. 1 lit. a RODO to
tożsamość administratora (dla osoby fizycznej: imię i nazwisko — oznaczenie musi pozwalać
zidentyfikować podmiot, wobec którego kieruje się żądania i skargę do organu) oraz działający,
monitorowany kanał kontaktu, do czego wystarcza adres poczty elektronicznej; RODO nie
wymaga tu adresu pocztowego. Opcjonalne: osobne adresy dane@ i kontakt@ (zalecane — dają się
zmienić bez zmiany danych osobowych administratora), numer telefonu, adres pocztowy. Adres
zamieszkania wchodzi do gry nie z RODO, a z art. 5 UŚUDE i tylko wtedy, gdy ta ustawa się tu
stosuje — to jest pytanie P-02, otwarte, i jedyny element naprawdę dotykający prywatności
zarządu. Warianty wyjścia (adres do doręczeń, forma prawna z siedzibą, potwierdzenie
niestosowania UŚUDE) opisuje regulamin, Załącznik A pkt 1. Skrzynka musi być
monitorowana, a nie tylko istnieć: bez odczytywanej skrzynki prawa z art. 18 i 21 RODO są
niewykonalne, a termin z art. 12 ust. 3 biegnie od wpływu żądania, nie od jego przeczytania.
Uwaga techniczna: skrzynka odbierająca nie wymaga dostawcy poczty transakcyjnej (CP-03), więc
nie jest zablokowana decyzją „beta bez wysyłki poczty”.
[D-05] — sekcje 6 i 7. RODO dopuszcza wskazanie kategorii odbiorców zamiast nazw
(art. 13 ust. 1 lit. e), więc brak nazwy dostawcy nie czyni polityki niezgodnej z prawem —
czyni ją mniej użyteczną. W-29 pkt 5 wymaga nazw, i tak powinno zostać po wyborze hostingu.
Do uzupełnienia: nazwa dostawcy, państwo lokalizacji serwerów, a do
docs/legal/podmioty-przetwarzajace.md (W-25, plik jeszcze nie istnieje) — adres umowy
powierzenia. Umowa powierzenia musi być zaakceptowana przed pierwszym przetwarzaniem danych
rzeczywistych, czyli przed pierwszą rejestracją spoza zespołu.
[Backend: nazwa ciasteczka] — sekcja 13. Jedyna pozycja techniczna, nie decyzja. Tabela
cookies opisuje jedno ciasteczko, zgodnie z pozycją D-B5 z RZU-18: CSRF jest realizowany
sprawdzeniem nagłówka Origin, bez drugiego ciasteczka. W-30 przewidywał dwa, ale to była
prognoza, a nie wymaganie — prognoza ustępuje stanowi faktycznemu. Jeżeli drugie ciasteczko
kiedyś wejdzie, tabela dostaje drugi wiersz i tyle.
2. Dlaczego sekcja 9 jest tak długa
Bo opisuje jedyne miejsce, w którym użytkownik może nas złapać na rozbieżności między dokumentem a stanem faktycznym, i jedyne, które może samodzielnie sprawdzić (pobiera dane, usuwa konto, zakłada konto ponownie na ten sam adres). Pełna lista tego, co przeżywa usunięcie, jest w rejestrze czynności przetwarzania, sekcja 3b — i sekcja 9 jest jej wiernym przełożeniem na język użytkownika. Jeżeli jedno z tych dwóch miejsc się zmieni, drugie zmienia się w tym samym zadaniu.
3. Czego ten dokument nie zastępuje
Sprawdzenia przez licencjonowanego prawnika przed publikacją (P-05). W polityce prywatności ryzyko redakcyjne jest mniejsze niż w regulaminie — opisuje stan faktyczny, nie kształtuje zobowiązań — ale trzy rzeczy warto przy tej okazji potwierdzić: (1) czy opis mechaniki kopii zapasowych w sekcji 9 pkt 4 jest wystarczający, (2) czy przy naszym zakresie nie jest wymagana ocena skutków dla ochrony danych (P-06), (3) czy zakres obowiązków z rozporządzenia DSA dla usługi przechowującej treści użytkownika obejmuje bezpłatną, niekomercyjną betę (P-09).