Zakres ochrony danych
Niniejsza Polityka prywatności opisuje zasady przetwarzania danych osobowych w związku z oferowaniem użytkownikom w Polsce produktów, obsługą zamówień i płatności, organizacją dostaw, kontaktem z obsługą klienta oraz korzystaniem z funkcji dostępnych na platformie.
Jeżeli do określonego przetwarzania zastosowanie znajduje GDPR, określane w Polsce jako RODO, jego wymogi obowiązują również w odpowiednich przypadkach wtedy, gdy operacje na danych są wykonywane poza Europejskim Obszarem Gospodarczym. Dotyczy to w szczególności sytuacji objętych zakresem terytorialnym GDPR, związanych z oferowaniem towarów lub usług osobom znajdującym się w Polsce lub w Europejskim Obszarze Gospodarczym albo z monitorowaniem ich zachowania w zakresie przewidzianym przez przepisy.
Wyłączenie przewidziane w GDPR dla przetwarzania danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze nie zwalnia platformy prowadzącej działalność gospodarczą z obowiązków dotyczących ochrony danych, które mają do niej zastosowanie.
Administrator danych i informacje kontaktowe
Administratorem danych osobowych klientów jest podmiot prowadzący platformę, który ustala cele i sposoby przetwarzania danych osobowych.
Zgodnie z wymogiem przejrzystości wynikającym z GDPR informacje udostępniane użytkownikom w ramach polityki prywatności powinny wskazywać rzeczywistą nazwę administratora oraz umożliwiające kontakt z nim aktualne dane kontaktowe.
Jeżeli przepisy wymagają wyznaczenia przedstawiciela na terytorium Unii Europejskiej albo inspektora ochrony danych, odpowiednie dane kontaktowe takiej osoby lub podmiotu są udostępniane użytkownikom zgodnie z obowiązującymi wymaganiami prawnymi.
Standardy stosowane przy przetwarzaniu informacji
Dane osobowe wykorzystujemy wyłącznie w sposób zgodny z prawem, rzetelny i przejrzysty. Każde ich wykorzystanie powinno służyć określonemu, wyraźnemu i zgodnemu z prawem celowi, a zakres gromadzonych informacji jest ograniczany do danych potrzebnych do realizacji tego celu.
Podejmujemy rozsądne działania mające na celu zachowanie prawidłowości danych oraz, gdy jest to konieczne, ich aktualizowanie. Informacje nie są przechowywane dłużej, niż wymaga tego cel ich przetwarzania lub odpowiedni obowiązek prawny.
Ochrona danych jest zapewniana przy użyciu właściwych środków technicznych i organizacyjnych dostosowanych do charakteru przetwarzania. Środki te służą między innymi ograniczeniu ryzyka nieuprawnionego dostępu, utraty, ujawnienia, zmiany lub innego niezgodnego z prawem wykorzystania danych.
Zakres przetwarzanych danych
Rodzaj informacji przetwarzanych przez platformę zależy od sposobu korzystania przez użytkownika z dostępnych usług. W zakresie niezbędnym do prowadzenia odpowiednich czynności mogą to być imię i nazwisko, adres dostawy, dane kontaktowe, informacje dotyczące zamówienia i zakupionych produktów, niezbędne dane dotyczące statusu płatności, informacje logistyczne i dotyczące dostawy, treści dobrowolnie przekazane podczas kontaktu z obsługą klienta oraz dane techniczne konieczne dla bezpieczeństwa i prawidłowego działania serwisu.
Nie wymagamy przekazywania danych osobowych, które nie są potrzebne do obsługi zamówienia, świadczenia odpowiedniej usługi lub prowadzenia działalności w zgodny z prawem sposób.
Pełne dane karty płatniczej są obsługiwane przez właściwego dostawcę usług płatniczych. Platforma nie przechowuje kompletnych danych kart klientów.
Podstawy wykorzystywania danych
Każda operacja wymagająca przetwarzania danych osobowych musi opierać się na odpowiedniej podstawie prawnej. Podstawa ta zależy od celu i okoliczności konkretnego przetwarzania.
Dane potrzebne do realizacji zakupu mogą być wykorzystywane w celu utworzenia i obsługi zamówienia, sprawdzenia statusu płatności, zorganizowania dostawy, udostępnienia możliwości śledzenia przesyłki, obsługi zwrotów, wymian i zwrotów płatności oraz rozpatrywania zgłoszeń klientów związanych z zamówieniem. Takie operacje są co do zasady niezbędne do wykonania umowy zawartej z klientem albo do podjęcia wymaganych działań przed jej zawarciem.
Niektóre informacje mogą być również przetwarzane lub przechowywane ze względu na obowiązki wynikające z przepisów, w szczególności dotyczących podatków, rachunkowości, ochrony konsumentów, wymagań regulacyjnych lub innych mających zastosowanie obowiązków prawnych.
Jeżeli pozwalają na to przepisy, podstawą określonych działań może być prawnie uzasadniony interes. Może on obejmować konieczne działania związane z bezpieczeństwem strony i kont użytkowników, przeciwdziałaniem oszustwom i nadużyciom, zapewnieniem stabilności systemów oraz ochroną uzasadnionych interesów platformy, klientów i innych zainteresowanych podmiotów. Przed zastosowaniem tej podstawy uwzględnia się konieczność danego przetwarzania, a także prawa i interesy osoby, której dotyczą dane.
Jeżeli przepisy uzależniają określone przetwarzanie od zgody użytkownika, dane są wykorzystywane w tym celu dopiero po uzyskaniu ważnej zgody. Dotyczy to między innymi określonych przypadków korzystania z niekoniecznych Cookie oraz funkcji analitycznych lub personalizacyjnych wymagających zgody.
Zgoda może zostać wycofana w dowolnym czasie zgodnie z obowiązującymi przepisami. Jej wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego na podstawie ważnej zgody przed jej cofnięciem.
Cookie i funkcjonowanie serwisu
Cookie konieczne do działania strony, koszyka oraz procesu finalizacji zakupu mogą być stosowane w zakresie niezbędnym do zapewnienia funkcjonalności lub usługi wyraźnie żądanej przez użytkownika.
Technologie wykorzystywane do niekoniecznej analityki, personalizacji lub podobnych celów są uruchamiane po dokonaniu przez użytkownika ważnego wyboru, jeżeli obowiązujące przepisy wymagają w tym celu uzyskania zgody.
W odniesieniu do odpowiednich niekoniecznych Cookie użytkownik może zarządzać swoimi wyborami za pomocą ustawień Cookie udostępnionych w serwisie.
Udostępnianie danych w związku z realizacją usług
Dostęp do danych osobowych przez podmioty zewnętrzne ograniczamy do zakresu potrzebnego do świadczenia usług, wykonania umowy lub realizacji obowiązku wynikającego z prawa.
W zależności od konkretnej operacji odbiorcami danych mogą być dostawcy usług płatniczych, a także podmioty faktycznie realizujące dostawę zamówienia, w tym DHL Express, FedEx lub UPS. Dane mogą być również powierzane usługodawcom zapewniającym działanie strony internetowej, hosting, bezpieczeństwo lub wsparcie techniczne.
Jeżeli obowiązek udostępnienia informacji wynika z prawa, dane mogą zostać przekazane właściwym organom publicznym, regulacyjnym lub sądowym uprawnionym do ich otrzymania.
Usługodawca działający jako podmiot przetwarzający w naszym imieniu powinien korzystać z powierzonych danych zgodnie z odpowiednimi ustaleniami dotyczącymi przetwarzania, udokumentowanymi poleceniami oraz wymaganiami GDPR/RODO, a także zapewniać odpowiednie zabezpieczenia. Sam fakt uzyskania dostępu do danych nie uprawnia takiego podmiotu do wykorzystywania ich do nieautoryzowanych, niezależnych celów.
Zabezpieczenia i reagowanie na naruszenia
Dobór zabezpieczeń uwzględnia charakter przetwarzania danych i związane z nim ryzyko. W stosownych przypadkach wykorzystywane środki obejmują transmisję chronioną za pomocą TLS, kontrolę uprawnień, ograniczenia dostępu do informacji, zarządzanie bezpieczeństwem systemów oraz odpowiednie mechanizmy oceny bezpieczeństwa i kontroli ryzyka.
Podmiot przetwarzający, który stwierdzi naruszenie ochrony powierzonych mu danych osobowych, powinien przekazać administratorowi informację o zdarzeniu bez zbędnej zwłoki, zgodnie z wymaganiami wynikającymi z prawa i właściwych ustaleń umownych.
Jeżeli charakter naruszenia powoduje powstanie ustawowego obowiązku zgłoszenia go organowi nadzorczemu, realizujemy odpowiednie obowiązki wynikające z GDPR/RODO. Gdy przepisy wymagają również poinformowania osób, których dane zostały dotknięte naruszeniem, osoby te otrzymują wymagane prawem informacje.
Okres przechowywania informacji
Dane osobowe nie są przechowywane bezterminowo. Długość okresu ich zachowania zależy od celu przetwarzania oraz wymogów prawnych dotyczących konkretnych informacji.
Przy ustalaniu właściwego okresu uwzględnia się czas potrzebny do realizacji zamówienia i świadczenia usług, obsługi zwrotów, zwrotów płatności, reklamacji lub sporów, a także okresy wymagane przez przepisy podatkowe, rachunkowe i inne obowiązki ustawowe. Dane mogą być przechowywane również przez czas racjonalnie potrzebny do ustalenia, dochodzenia lub obrony roszczeń oraz przez okres wynikający z innych zgodnych z prawem celów przedstawionych użytkownikowi w chwili pozyskiwania informacji.
Po ustaniu odpowiedniego celu, jeżeli nie istnieje już podstawa prawna uzasadniająca dalsze przechowywanie, dane są usuwane, anonimizowane albo poddawane innemu zgodnemu z prawem sposobowi postępowania.
Przekazywanie danych poza Europejski Obszar Gospodarczy
Jeżeli w ramach określonego procesu dane osobowe są przekazywane do państwa znajdującego się poza Europejskim Obszarem Gospodarczym lub do organizacji międzynarodowej, przekazanie odbywa się z zachowaniem wymogów GDPR dotyczących transferów międzynarodowych.
W zależności od okoliczności właściwą podstawę transferu może stanowić decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony, zatwierdzone przez Komisję Europejską standardowe klauzule umowne, inne odpowiednie zabezpieczenia uznawane przez GDPR albo inny mechanizm przekazywania danych dozwolony przez obowiązujące prawo.
Jeżeli wymaga tego konkretna sytuacja, stosowane są również niezbędne środki uzupełniające mające zapewnić odpowiedni poziom ochrony przekazywanych danych osobowych.
Dane dzieci i osób małoletnich
Dane osobowe osób małoletnich wymagają szczególnej ochrony.
Jeżeli usługi społeczeństwa informacyjnego są oferowane bezpośrednio dziecku, a podstawą prawną odpowiedniego przetwarzania danych ma być zgoda, w przypadku osoby poniżej 16 roku życia zgodę powinien wyrazić lub zatwierdzić rodzic albo inna osoba sprawująca odpowiedzialność rodzicielską, jeżeli taki wymóg wynika z mających zastosowanie przepisów.
Gdy wymagane jest upoważnienie osoby sprawującej odpowiedzialność rodzicielską, podejmowane są rozsądne działania zmierzające do zweryfikowania takiej zgody lub upoważnienia, z uwzględnieniem dostępnych możliwości technicznych.
Zasady dotyczące zgody na przetwarzanie danych osoby małoletniej pozostają odrębne od przepisów prawa polskiego regulujących jej zdolność do zawierania umów, zaciągania zobowiązań i dokonywania innych czynności prawnych i nie zmieniają tych przepisów.
Uprawnienia osoby, której dotyczą dane
Osobie, której dane są przetwarzane, mogą przysługiwać prawa określone w GDPR/RODO. Przy spełnieniu odpowiednich przesłanek obejmują one prawo do otrzymania informacji o sposobie przetwarzania danych, uzyskania dostępu do własnych danych oraz żądania sprostowania informacji nieprawidłowych lub uzupełnienia danych niekompletnych.
W przypadkach przewidzianych przez prawo możliwe jest również żądanie usunięcia danych lub ograniczenia ich przetwarzania, wniesienie sprzeciwu wobec określonych operacji przetwarzania oraz skorzystanie z prawa do przenoszenia danych.
Jeżeli podstawą przetwarzania jest zgoda, osoba, której dotyczą dane, może ją wycofać. Jeżeli natomiast dane są przetwarzane na podstawie prawnie uzasadnionego interesu, w okolicznościach określonych w GDPR można wnieść sprzeciw wobec takiego przetwarzania.
Osobie, której dotyczą dane, przysługuje również prawo wniesienia skargi do właściwego organu nadzorczego zgodnie z obowiązującymi przepisami.
Poszczególne prawa nie mają charakteru bezwzględnego we wszystkich sytuacjach. Możliwość skorzystania z konkretnego uprawnienia oraz jego zakres zależą od przesłanek określonych w GDPR/RODO, charakteru żądania i podstawy prawnej danego przetwarzania.
Skarga dotycząca ochrony danych
Osoba, która uważa, że jej dane osobowe są przetwarzane z naruszeniem GDPR lub innych mających zastosowanie przepisów o ochronie danych, może skorzystać z prawa do wniesienia skargi do właściwego organu nadzorczego.
W sprawach dotyczących ochrony danych w Polsce właściwym organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (UODO).
Skorzystanie z prawa do wniesienia skargi do organu nadzorczego nie pozbawia osoby, której dotyczą dane, innych środków ochrony administracyjnej lub sądowej przysługujących jej na podstawie prawa.
Podmioty przetwarzające, dokumentacja i inspektor ochrony danych
Usługodawcy przetwarzający dane osobowe w naszym imieniu są zobowiązani działać wyłącznie w granicach zgodnego z prawem upoważnienia i uzgodnionych celów przetwarzania oraz stosować właściwe środki ochrony danych.
Jeżeli GDPR nakłada obowiązek prowadzenia rejestru czynności przetwarzania lub kategorii czynności przetwarzania, administrator oraz właściwe podmioty przetwarzające prowadzą wymaganą dokumentację zgodnie z zakresem swoich obowiązków prawnych.
Inspektor ochrony danych, określany również jako DPO lub IOD, jest wyznaczany wtedy, gdy taki obowiązek wynika z GDPR lub innych mających zastosowanie przepisów. W takim przypadku odpowiednie informacje kontaktowe są przekazywane właściwemu organowi nadzorczemu zgodnie z wymaganiami prawa.
Obowiązek wyznaczenia inspektora ochrony danych nie dotyczy automatycznie każdego administratora ani każdego podmiotu przetwarzającego.
Zmiany zasad ochrony prywatności
Treść niniejszej Polityki prywatności może być aktualizowana, gdy jest to potrzebne ze względu na zmiany przepisów, wymagań regulacyjnych, funkcjonalności serwisu lub rzeczywistego sposobu przetwarzania danych osobowych.
Jeżeli wprowadzona zmiana w istotny sposób wpływa na sposób przetwarzania danych użytkowników, odpowiednia informacja jest przekazywana w sposób wymagany przez mające zastosowanie przepisy.
Zaktualizowane postanowienia mają zastosowanie do przetwarzania danych od momentu, w którym zgodnie z prawem zaczynają obowiązywać. Zmiana Polityki prywatności nie może pozbawiać użytkownika praw, które przysługują mu na podstawie bezwzględnie obowiązujących przepisów dotyczących ochrony danych osobowych.