1. Who is responsible for your data

1. The controller of your personal data is [full name or company name], [address], Poland, [register and number: CEIDG or KRS], tax number (NIP) [NIP] (“we”, “us”).
2. For anything concerning your data, write to [contact email] or to the address above. [We have not appointed a data protection officer / Our data protection officer can be reached at: address]
3. This Policy gives you the information required by Articles 13 and 14 of Regulation (EU) 2016/679 (the “GDPR”). It is for your information and you do not need to consent to it. The rules for using Margin are in the Terms of Service.

2. In brief

• We use your data to run your journal, to keep it secure and to understand how Margin is used in general.
• We do not sell your data. Margin has no advertising and no third-party analytics or tracking pixels.
• Your email address and date of birth are stored encrypted, and your password only as a hash.
• Your journal is not published. Other users cannot see it. Administrators' statistics pages show only totals and shares.
• Some third parties receive your IP address when content is loaded from them. See section 5.

3. What we process, why and for how long

You provide this data yourself, except for technical data, which comes from your browser and device. Legal bases refer to Article 6(1) GDPR.

Where we rely on legitimate interest, you may object (section 9). Please do not put special categories of data, such as health data, into Your Content, and make sure you may lawfully upload anything showing other people.

When an Account is deleted, the records above and the uploaded files are removed from the live system immediately, apart from the attempt records, which expire after about one day, and from server logs[, backups] and correspondence, which follow their own periods.

4. What you must provide

1. Providing data is voluntary, but without the email address, password, display name and date of birth we cannot create an Account. The sign-up form currently also requires the survey answers and your country.
2. Consent to news and offers is optional and does not affect your use of Margin.
3. What you enter in your journal is up to you. Without it, the related functions will not show anything.

5. Who receives data

Data may be accessed by people who work for us, only as far as their tasks require, and by public authorities where the law requires it. Other recipients are:

Market charts on P&L cards are fetched by our server from a market data provider using the contract symbol and a time range. Your name and IP address are not sent. If an email provider or other processor is added, this Policy will be updated.

6. Transfers outside the EEA

1. Google and X may process data in the United States and other countries outside the European Economic Area. Such transfers rely on a European Commission adequacy decision, including the EU-US Data Privacy Framework for certified recipients, or on standard contractual clauses. Details are available from those providers, and you can ask us for a copy of the safeguards we use.
2. Our hosting: [state that data is stored in the EEA, or name the country and safeguard].

7. Cookies and browser storage

Margin stores a small amount of information in your browser, and does not use advertising or analytics cookies. The full list, the categories and the way to manage them are in the separate Cookie Policy.

Embedded YouTube videos and posts from X may store or read their own data in your browser, under those providers' policies.

8. Security

1. Email addresses and dates of birth are encrypted with AES-256-GCM, and are found by a keyed fingerprint. Passwords are stored as Argon2id hashes. Session tokens are stored only as hashes. The keys are held outside the website folder. Other data, including your display name, survey answers and journal, is protected by access controls, not by separate field encryption.
2. Connections use HTTPS, requests that change data are protected against forgery, and repeated sign-in attempts are limited.
3. No system is completely secure. If a personal data breach is likely to result in a high risk to you, we will tell you without undue delay, and we report breaches to the supervisory authority as the GDPR requires.

9. Your rights

Subject to the conditions in the GDPR, you have the right to:

• obtain access to your data and a copy of it (Article 15);
• have inaccurate data corrected (Article 16);
• have data erased (Article 17);
• restrict processing (Article 18);
• receive the data you provided in a machine-readable format, and have it transmitted to another controller (Article 20);
• object at any time, on grounds relating to your situation, to processing based on legitimate interest, and object at any time to direct marketing (Article 21);
• withdraw consent at any time, without affecting earlier processing (Article 7(3)).

To use these rights, write to the address in section 1, using the email address of your Account where possible. It is free of charge, and we reply within one month, which can be extended by two months in complex cases. We may ask you to confirm your identity.

You may also complain to a supervisory authority. In Poland this is the President of the Personal Data Protection Office (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warsaw. You may also complain in the Member State where you live or work, or where an infringement took place.

10. Automated decisions

1. We do not make decisions based solely on automated processing that produce legal effects concerning you or similarly significantly affect you, within the meaning of Article 22 GDPR.
2. The statistics, Margin score, grades and rule checks are calculated from your entries for your own use. The automatic checks, which refuse sign-up under the age of 18 and temporarily limit repeated attempts, apply fixed rules. If you think a check is wrong, contact us and a person will look at it.

11. Age limit

Margin is intended for adults only. We do not knowingly process data of persons under 18. If you believe a minor has created an Account, please let us know and we will delete it.

12. Changes to this Policy

We update this Policy when our processing or the law changes. The version and date are shown at the top, and we tell you of material changes in Margin or by email before they apply. This Policy is available in Polish and English. If the versions differ, the Polish version prevails, unless mandatory law provides otherwise.

13. The Margin Discord server and bot

1. This section applies if you join the Margin server on Discord, where our bot, Margin Bot, runs. Joining is optional and is not linked to a Margin Account. The bot does not read or receive your journal. Discord is a separate controller of the data it handles for its own platform, and its own terms and privacy policy apply to that.
2. The bot processes your Discord user ID, username, display name, account creation date, the dates you join and leave the server, your server roles and the fact that you accepted the server rules and passed its check. The answers to that check are not stored. After too many wrong answers, a short waiting time is kept in the bot's memory until it ends or the bot restarts.
3. To support moderation, the bot keeps recent messages in the channels it can access briefly in its memory. If such a message is edited or deleted, the bot copies its author, channel and text to a moderation log in a private staff channel on Discord. Warnings, timeouts, bulk deletions and their reasons are recorded there too. Messages in staff channels are not copied. If you are warned, the bot may send you a direct message.
4. We do this to run the server, verify members and protect it from spam and abuse. The legal basis is our legitimate interest (Article 6(1)(f) GDPR). You may object at any time as described in section 9, and we will consider your objection against the need to keep the server safe.
5. The bot has no database of its own. Roles last while you are a member of the server. Moderation log entries are kept as messages on Discord for [moderation log retention period].
6. Moderators and administrators of the server can see the moderation log. The bot runs on [where the bot runs: provider, country]. Discord may process data outside the European Economic Area, as described in its privacy policy.
7. You have the rights described in section 9. To use them for this data, write to the contact address in section 1 and include your Discord username. You can leave the server at any time, but this does not by itself remove earlier moderation log entries.

1. Kto odpowiada za Twoje dane

1. Administratorem Twoich danych osobowych jest [imię i nazwisko lub firma], [adres], Polska, [rejestr i numer: CEIDG lub KRS], NIP [NIP] („my”).
2. We wszystkich sprawach dotyczących Twoich danych napisz na adres [e-mail kontaktowy] lub na powyższy adres. [Nie wyznaczyliśmy inspektora ochrony danych / Z naszym inspektorem ochrony danych można skontaktować się pod adresem: adres]
3. Niniejsza Polityka zawiera informacje wymagane przez art. 13 i 14 rozporządzenia (UE) 2016/679 („RODO”). Ma charakter informacyjny i nie wymaga Twojej zgody. Zasady korzystania z Margin określa Regulamin.

2. W skrócie

• Używamy Twoich danych, aby prowadzić Twój dziennik, dbać o jego bezpieczeństwo i ogólnie rozumieć, jak korzysta się z Margin.
• Nie sprzedajemy Twoich danych. Margin nie zawiera reklam ani zewnętrznej analityki czy pikseli śledzących.
• Twój adres e-mail i data urodzenia są przechowywane w postaci zaszyfrowanej, a hasło wyłącznie jako skrót.
• Twój dziennik nie jest publikowany. Inni użytkownicy go nie widzą. Strony statystyk administratorów pokazują tylko sumy i udziały.
• Niektóre podmioty trzecie otrzymują Twój adres IP, gdy ładowane są od nich treści. Zobacz punkt 5.

3. Co przetwarzamy, po co i jak długo

Dane te podajesz samodzielnie, z wyjątkiem danych technicznych, które pochodzą z Twojej przeglądarki i urządzenia. Podstawy prawne odnoszą się do art. 6 ust. 1 RODO.

Gdy opieramy się na prawnie uzasadnionym interesie, możesz wnieść sprzeciw (punkt 9). Prosimy nie umieszczać w Twoich Treściach danych szczególnych kategorii, np. o zdrowiu, i upewnić się, że możesz zgodnie z prawem wgrywać materiały przedstawiające inne osoby.

Po usunięciu Konta powyższe zapisy i wgrane pliki są natychmiast usuwane z systemu produkcyjnego, z wyjątkiem zapisów o próbach, które wygasają po około jednym dniu, oraz logów serwera[, kopii zapasowych] i korespondencji, dla których obowiązują ich własne okresy.

4. Co musisz podać

1. Podanie danych jest dobrowolne, ale bez adresu e-mail, hasła, nazwy wyświetlanej i daty urodzenia nie możemy założyć Konta. Formularz rejestracji wymaga obecnie także odpowiedzi w ankiecie i wskazania kraju.
2. Zgoda na otrzymywanie nowości i ofert jest dobrowolna i nie wpływa na korzystanie z Margin.
3. To, co wpiszesz do dziennika, zależy od Ciebie. Bez tych danych powiązane funkcje niczego nie pokażą.

5. Kto otrzymuje dane

Dostęp do danych mogą mieć osoby pracujące dla nas, wyłącznie w zakresie wymaganym przez ich zadania, oraz organy publiczne, gdy wymaga tego prawo. Pozostali odbiorcy to:

Wykresy rynkowe na kartach P&L są pobierane przez nasz serwer od dostawcy danych rynkowych na podstawie symbolu kontraktu i przedziału czasu. Twoje imię i nazwisko oraz adres IP nie są przekazywane. Jeśli pojawi się dostawca poczty lub inny podmiot przetwarzający, zaktualizujemy tę Politykę.

6. Przekazywanie danych poza EOG

1. Google i X mogą przetwarzać dane w Stanach Zjednoczonych i innych państwach spoza Europejskiego Obszaru Gospodarczego. Przekazywanie opiera się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, w tym na programie EU-US Data Privacy Framework w przypadku certyfikowanych odbiorców, lub na standardowych klauzulach umownych. Szczegóły są dostępne u tych dostawców, a o kopię stosowanych przez nas zabezpieczeń możesz poprosić nas.
2. Nasz hosting: [wskaż, że dane są przechowywane w EOG, albo podaj państwo i zabezpieczenie].

7. Pliki cookies i pamięć przeglądarki

Margin zapisuje w Twojej przeglądarce niewielką ilość informacji i nie używa reklamowych ani analitycznych plików cookies. Pełną listę, kategorie i sposób zarządzania nimi opisuje osobna Polityka plików cookies.

Osadzone filmy z YouTube i posty z X mogą zapisywać lub odczytywać własne dane w Twojej przeglądarce, zgodnie z politykami tych dostawców.

8. Bezpieczeństwo

1. Adresy e-mail i daty urodzenia są szyfrowane algorytmem AES-256-GCM i wyszukiwane za pomocą kluczowanego odcisku. Hasła są przechowywane jako skróty Argon2id. Tokeny sesji są przechowywane wyłącznie jako skróty. Klucze znajdują się poza folderem strony. Pozostałe dane, w tym nazwa wyświetlana, odpowiedzi w ankiecie i dziennik, chroni kontrola dostępu, a nie odrębne szyfrowanie pól.
2. Połączenia korzystają z HTTPS, żądania zmieniające dane są chronione przed fałszowaniem, a powtarzane próby logowania są ograniczane.
3. Żaden system nie jest całkowicie bezpieczny. Jeśli naruszenie ochrony danych osobowych może powodować wysokie ryzyko dla Ciebie, poinformujemy Cię o tym bez zbędnej zwłoki, a naruszenia zgłaszamy organowi nadzorczemu zgodnie z RODO.

9. Twoje prawa

Na warunkach określonych w RODO masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii (art. 15);
• sprostowania nieprawidłowych danych (art. 16);
• usunięcia danych (art. 17);
• ograniczenia przetwarzania (art. 18);
• otrzymania przekazanych danych w formacie nadającym się do odczytu maszynowego i przesłania ich innemu administratorowi (art. 20);
• wniesienia w każdej chwili sprzeciwu z przyczyn związanych z Twoją szczególną sytuacją wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz wniesienia w każdej chwili sprzeciwu wobec marketingu bezpośredniego (art. 21);
• wycofania zgody w każdej chwili, bez wpływu na wcześniejsze przetwarzanie (art. 7 ust. 3).

Aby skorzystać z tych praw, napisz na adres z punktu 1, w miarę możliwości z adresu e-mail Konta. Jest to bezpłatne, a odpowiadamy w ciągu miesiąca, który w złożonych sprawach można przedłużyć o dwa miesiące. Możemy poprosić o potwierdzenie tożsamości.

Możesz też wnieść skargę do organu nadzorczego. W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa. Skargę możesz wnieść również w państwie członkowskim, w którym mieszkasz lub pracujesz albo w którym doszło do naruszenia.

10. Zautomatyzowane decyzje

1. Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływają, w rozumieniu art. 22 RODO.
2. Statystyki, Margin score, oceny i sprawdzanie zasad są obliczane z Twoich wpisów na Twój własny użytek. Automatyczne kontrole, które odmawiają rejestracji osobom poniżej 18 lat i czasowo ograniczają powtarzane próby, stosują stałe zasady. Jeśli uważasz, że kontrola zadziałała błędnie, skontaktuj się z nami, a sprawę oceni człowiek.

11. Limit wieku

Margin jest przeznaczony wyłącznie dla osób pełnoletnich. Świadomie nie przetwarzamy danych osób poniżej 18 lat. Jeśli uważasz, że Konto założyła osoba niepełnoletnia, daj nam znać, a je usuniemy.

12. Zmiany Polityki

Aktualizujemy tę Politykę, gdy zmienia się sposób przetwarzania lub prawo. Wersja i data są widoczne na górze strony, a o istotnych zmianach informujemy w Margin lub e-mailem przed ich wejściem w życie. Polityka jest dostępna po polsku i po angielsku. W razie rozbieżności rozstrzyga wersja polska, chyba że bezwzględnie obowiązujące przepisy stanowią inaczej.

13. Serwer i bot Margin na Discordzie

1. Ta sekcja dotyczy Cię, jeśli dołączysz do serwera Margin na Discordzie, na którym działa nasz bot, Margin Bot. Dołączenie jest dobrowolne i nie jest powiązane z Kontem Margin. Bot nie odczytuje ani nie otrzymuje Twojego dziennika. Discord jest odrębnym administratorem danych, które przetwarza na potrzeby własnej platformy, i mają do nich zastosowanie jego regulamin oraz polityka prywatności.
2. Bot przetwarza Twój identyfikator użytkownika Discord, nazwę użytkownika, nazwę wyświetlaną, datę utworzenia konta, daty dołączenia do serwera i opuszczenia go, Twoje role na serwerze oraz informację, że zaakceptowałeś(-aś) zasady serwera i przeszedłeś(-aś) jego test. Odpowiedzi w teście nie są zapisywane. Po zbyt wielu błędnych odpowiedziach krótki czas oczekiwania jest przechowywany w pamięci bota do jego upływu lub do restartu bota.
3. Na potrzeby moderacji bot krótko przechowuje w pamięci ostatnie wiadomości z kanałów, do których ma dostęp. Jeśli taka wiadomość zostanie edytowana lub usunięta, bot kopiuje jej autora, kanał i treść do dziennika moderacji na prywatnym kanale administracji na Discordzie. Zapisywane są tam również ostrzeżenia, wyciszenia, zbiorcze usunięcia wiadomości i ich powody. Wiadomości z kanałów administracji nie są kopiowane. Jeśli otrzymasz ostrzeżenie, bot może wysłać Ci wiadomość prywatną.
4. Robimy to, aby prowadzić serwer, weryfikować członków oraz chronić go przed spamem i nadużyciami. Podstawą prawną jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). W każdej chwili możesz wnieść sprzeciw w sposób opisany w punkcie 9, a my rozważymy go wobec potrzeby zapewnienia bezpieczeństwa serwera.
5. Bot nie ma własnej bazy danych. Role obowiązują, dopóki jesteś członkiem serwera. Wpisy dziennika moderacji są przechowywane jako wiadomości na Discordzie przez [okres przechowywania dziennika moderacji].
6. Dziennik moderacji mogą przeglądać moderatorzy i administratorzy serwera. Bot działa na [gdzie działa bot: dostawca, kraj]. Discord może przetwarzać dane poza Europejskim Obszarem Gospodarczym, jak opisuje to jego polityka prywatności.
7. Przysługują Ci prawa opisane w punkcie 9. Aby skorzystać z nich w odniesieniu do tych danych, napisz na adres kontaktowy z punktu 1 i podaj swoją nazwę użytkownika Discord. Serwer możesz opuścić w każdej chwili, ale samo to nie usuwa wcześniejszych wpisów w dzienniku moderacji.