Polityka prywatności sklepu Aromabath

1. Administrator danych osobowych#

Administratorem danych osobowych w rozumieniu art. 4 pkt 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, zwanego dalej RODO, jest BIURO INŻYNIERSKIE BUDOWNICTWA JADWIGA WYKURZ, osoba fizyczna prowadząca działalność gospodarczą, wpisana do Centralnej Ewidencji i Informacji o Działalności Gospodarczej prowadzonej przez ministra właściwego do spraw gospodarki, z siedzibą pod adresem Rynek 1, 32-200 Miechów, Polska.

Dane rejestrowe administratora: NIP 6590005213, REGON 290397248, wpis do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (administrator nie podlega wpisowi do Krajowego Rejestru Sądowego).

We wszystkich sprawach dotyczących danych osobowych należy kontaktować się bezpośrednio z administratorem, w sposób opisany w następnej części.

2. Kontakt w sprawach danych osobowych#

We wszystkich sprawach dotyczących przetwarzania danych osobowych oraz wykonywania praw opisanych w tej polityce można kontaktować się pod adresem poczty elektronicznej kontakt@aromabath.pl.

Korespondencję pisemną należy kierować na adres Rynek 1, 32-200 Miechów, Polska.

Adres wskazany wyżej obsługuje wszystkie sprawy opisane w tej polityce, w tym żądania dotyczące praw osób, których dane dotyczą.

3. Zakres tej polityki#

Polityka dotyczy danych przetwarzanych w związku z prowadzeniem sklepu internetowego pod adresem aromabath.pl, w tym danych zbieranych przy składaniu zamówień, przy prowadzeniu konta klienta, przy zapisie na newsletter oraz w związku z korzystaniem ze strony sklepu.

Polityka nie obejmuje przetwarzania danych przez podmioty, na których stronach kończy się część procesu zakupowego, w szczególności przez operatora płatności. Płatność odbywa się poza sklepem, w serwisie operatora płatności, i podlega jego własnej polityce prywatności.

Polityka nie obejmuje również przetwarzania danych przez przewoźnika w zakresie, w jakim przewoźnik występuje jako odrębny administrator, w szczególności przy powiadomieniach o gotowości przesyłki do odbioru.

Polityka nie obejmuje serwisów społecznościowych, do których prowadzą odnośniki ze sklepu.

4. Cel: realizacja zamówienia i umowy sprzedaży#

Dane podane w formularzu zamówienia są przetwarzane w celu zawarcia i wykonania umowy sprzedaży, w tym przyjęcia zamówienia, przyjęcia płatności, przygotowania i nadania przesyłki oraz kontaktu w sprawie zamówienia.

Podstawą prawną jest art. 6 ust. 1 lit. b RODO, czyli niezbędność przetwarzania do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie tej osoby przed zawarciem umowy.

W zakresie danych podawanych do faktury podstawą prawną jest art. 6 ust. 1 lit. c RODO, czyli niezbędność do wypełnienia obowiązku prawnego ciążącego na administratorze, wynikającego z przepisów o podatku od towarów i usług.

Podanie danych oznaczonych w formularzu zamówienia jako wymagane jest warunkiem zawarcia umowy. Bez nich zamówienie nie może zostać przyjęte ani zrealizowane.

5. Cel: obsługa odstąpień, zwrotów i reklamacji#

Dane zawarte w zgłoszeniu odstąpienia od umowy lub w reklamacji są przetwarzane w celu rozpatrzenia zgłoszenia, zwrotu płatności oraz udokumentowania sposobu jego załatwienia.

Podstawą prawną jest art. 6 ust. 1 lit. c RODO w zakresie obowiązków wynikających z ustawy z dnia 30 maja 2014 r. o prawach konsumenta oraz z Kodeksu cywilnego, a w pozostałym zakresie art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora polegający na udokumentowaniu sposobu załatwienia sprawy.

6. Cel: prowadzenie konta klienta#

Dane podane przy zakładaniu konta oraz dane zapisane w koncie, w tym adresy dostawy, są przetwarzane w celu świadczenia usługi prowadzenia konta, umożliwienia dostępu do historii zamówień oraz uwierzytelniania klienta.

Podstawą prawną jest art. 6 ust. 1 lit. b RODO, ponieważ prowadzenie konta jest usługą świadczoną drogą elektroniczną na podstawie umowy zawartej z klientem.

Podstawą przetwarzania danych związanych z bezpieczeństwem konta jest art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora polegający na zapewnieniu bezpieczeństwa usługi.

Po założeniu konta na podany adres poczty elektronicznej wysyłana jest wiadomość z odnośnikiem potwierdzającym ten adres; odnośnik ma ograniczoną ważność. Podstawą wysyłki jest art. 6 ust. 1 lit. b RODO w związku z art. 6 ust. 1 lit. f RODO, czyli wykonanie usługi konta oraz prawnie uzasadniony interes polegający na sprawdzeniu, że adres należy do osoby zakładającej konto.

W koncie zawsze widoczne są zamówienia złożone po zalogowaniu. Zamówienia złożone wcześniej bez konta, dopasowywane wyłącznie po adresie poczty elektronicznej, stają się widoczne dopiero po potwierdzeniu tego adresu. Jest to środek bezpieczeństwa w rozumieniu art. 32 RODO, chroniący dane cudzych zamówień przed osobą, która założyłaby konto na cudzy adres.

Usunięcie konta na żądanie klienta opisano w regulaminie sklepu, w części poświęconej usunięciu konta.

7. Cel: newsletter i informacja handlowa#

Adres poczty elektronicznej podany przy zapisie na newsletter jest przetwarzany w celu przesyłania informacji handlowych administratora.

Podstawą prawną jest zgoda osoby, której dane dotyczą, czyli art. 6 ust. 1 lit. a RODO, w związku z art. 398 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221), który zakazuje przesyłania informacji handlowych środkami komunikacji elektronicznej bez uprzedniej zgody odbiorcy.

Zapis na newsletter przebiega tak samo niezależnie od tego, czy zgoda została wyrażona w formularzu w stopce sklepu, czy przy składaniu zamówienia. W obu przypadkach wysyłana jest wiadomość z odnośnikiem potwierdzającym zapis, a adres trafia na listę wysyłkową dopiero po jego kliknięciu. Odnośnik potwierdzający ma ograniczoną ważność; po jej upływie zapis pozostaje niepotwierdzony i nie jest wykorzystywany do wysyłki.

W obu przypadkach zapisywany jest też dowód wyrażenia zgody: adres IP, z którego zgoda została wyrażona, informacja o przeglądarce, data i godzina zgody oraz oznaczenie wersji zgody. Podstawą prawną przechowywania tego dowodu jest art. 6 ust. 1 lit. c RODO w związku z art. 7 ust. 1 RODO, czyli obowiązek wykazania, że zgoda została wyrażona.

Zgodę można wycofać w każdej chwili. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na jej podstawie przed wycofaniem. Sposób wycofania zgody opisano w regulaminie sklepu, w części poświęconej newsletterowi.

Po wycofaniu zgody administrator zachowuje adres poczty elektronicznej wraz z informacją o wypisaniu, aby nie wysłać na ten adres kolejnych wiadomości. Podstawą prawną jest art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes polegający na respektowaniu sprzeciwu.

8. Cel: kontakt i obsługa zgłoszeń#

Dane zawarte w wiadomościach kierowanych do administratora, w tym adres poczty elektronicznej nadawcy i treść wiadomości, są przetwarzane w celu udzielenia odpowiedzi i załatwienia sprawy.

Sklep nie udostępnia formularza kontaktowego. Korespondencja dociera do administratora pocztą elektroniczną albo pocztą tradycyjną, na adresy wskazane w części Kontakt w sprawach danych osobowych, a zakres zbieranych danych zależy wyłącznie od tego, co napisze nadawca.

Podstawą prawną jest art. 6 ust. 1 lit. b RODO, jeżeli sprawa dotyczy zawartej lub zawieranej umowy, a w pozostałych przypadkach art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes polegający na prowadzeniu korespondencji z osobami, które zwracają się do administratora.

9. Cel: statystyka, analityka i reklama#

Dane o korzystaniu ze strony sklepu, zbierane przez narzędzia analityczne, są przetwarzane w celu mierzenia ruchu na stronie, analizy sposobu korzystania ze sklepu, w tym na podstawie nagrań przebiegu wizyty, mierzenia szybkości działania stron oraz ulepszania sklepu.

Usługa Google Analytics 4 otrzymuje pełny adres odwiedzanej strony. Jeżeli wejście do sklepu nastąpiło z reklamy w usługach Google, adres ten zawiera identyfikator kliknięcia w reklamę; Google Analytics 4 wykorzystuje go do przypisania wizyty do kampanii reklamowej w raportach administratora. Sklep usuwa z adresu strony, zanim uruchomi narzędzia Google, parametry mogące identyfikować zamówienie lub osobę: numer zamówienia, adres poczty elektronicznej i jednorazowe tokeny. Przy samej zgodzie na analitykę przeglądarka użytkownika nie wysyła żadnych zgłoszeń do usługi Google Ads.

Narzędzie analityczne sklepu jest połączone z kontem reklamowym administratora w usłudze Google Ads. Po wyrażeniu odrębnej zgody na pomiar skuteczności reklam dane o korzystaniu ze strony i o zakupach są przetwarzane w celu mierzenia skuteczności reklam sklepu wyświetlanych w usługach Google. Tę zgodę można wyrazić wyłącznie razem ze zgodą na analitykę. Wynika to z przyjętej w sklepie konfiguracji pomiaru: jeden znacznik Google obsługuje jednocześnie usługę Google Analytics 4 i pomiar Google Ads, a bez zgody na analitykę sklep tego znacznika nie wczytuje, więc pomiar skuteczności reklam nie mógłby działać. Zgoda na analitykę nie obejmuje pomiaru skuteczności reklam — można wyrazić pierwszą bez drugiej. Pomiar polega na:

• ustaleniu, czy zakup nastąpił po kliknięciu w reklamę sklepu,
• zliczaniu sprzedaży przypisanej reklamom,
• wykorzystaniu tej informacji przez usługę Google Ads do automatycznego ustalania stawek w kampaniach reklamowych administratora.

W tym celu w urządzeniu użytkownika zapisywane są pliki cookie opisane w części Mechanizmy uruchamiane po wyrażeniu zgody. Do Google przekazywane są:

• identyfikator kliknięcia w reklamę, jeżeli wejście do sklepu nastąpiło z reklamy,
• losowy identyfikator przeglądarki zapisany w pliku cookie,
• adres odwiedzonej strony i adres strony, z której nastąpiło przejście,
• przy zakupie: numer i wartość zamówienia, waluta oraz kupione produkty,
• dane techniczne przeglądarki i połączenia, w tym adres IP.

Nie są przekazywane imię, nazwisko, adres poczty elektronicznej, numer telefonu ani adres dostawy — ani wprost, ani w postaci skrótu.

Przy każdym pomiarze sklep przekazuje do Google informację o braku zgody na personalizację reklam. Wykorzystanie danych ze sklepu do personalizacji reklam wymagałoby zmiany tej polityki i odrębnej zgody.

Po wyrażeniu zgody na analitykę sklep zlicza także odwiedziny stron w usłudze Vercel Web Analytics, dostarczanej przez Vercel Inc., dostawcę hostingu sklepu. Pomiar służy zbiorczym statystykom ruchu: liczbie odsłon, odwiedzanym stronom, źródłom wejść oraz rodzajom urządzeń i przeglądarek. Przy wyświetleniu strony przekazywane są adres odwiedzonej strony, czas, adres strony, z której nastąpiło przejście, przybliżona lokalizacja, system operacyjny, przeglądarka i rodzaj urządzenia. Przed wysłaniem sklep usuwa z adresu strony parametry mogące identyfikować zamówienie lub osobę, w szczególności numer zamówienia, adres poczty elektronicznej i jednorazowe tokeny.

Usługa nie korzysta z plików cookie i nie zapisuje w urządzeniu użytkownika identyfikatora. Odwiedzający jest rozpoznawany wyłącznie na podstawie skrótu obliczanego z danych samego żądania, który dostawca usuwa po 24 godzinach; dane nie są wiązane z użytkownikiem na dłużej ani między różnymi serwisami.

Po wyrażeniu tej samej zgody sklep mierzy także szybkość ładowania i działania swoich stron w usłudze Vercel Speed Insights, dostarczanej przez tego samego dostawcę. Pomiar służy wyłącznie ulepszaniu sklepu: pokazuje, które strony ładują się lub reagują zbyt wolno. Przy opuszczaniu strony, a także po zebraniu kilku pomiarów, przekazywane są wyniki pomiarów szybkości strony (wskaźniki Core Web Vitals), adres odwiedzonej strony, ogólny wzorzec tego adresu, rodzaj połączenia sieciowego, wskazanie elementu strony, którego dotyczy pomiar, oraz wersja skryptu pomiarowego. Dostawca zapisuje z nimi przeglądarkę, system operacyjny, rodzaj urządzenia, kraj i czas otrzymania danych. Adres strony sklep oczyszcza przed wysłaniem w taki sam sposób jak przy pomiarze odwiedzin.

Usługa Vercel Speed Insights nie korzysta z plików cookie ani z pamięci przeglądarki i nie zapisuje w urządzeniu użytkownika identyfikatora. Według dostawcy pomiar jest anonimowy: nie jest wiązany z konkretnym odwiedzającym ani z adresem IP i nie pozwala odtworzyć przebiegu wizyty na kolejnych stronach ani rozpoznać użytkownika.

Po wyrażeniu zgody na analitykę sklep korzysta także z usługi PostHog, dostarczanej przez PostHog, Inc., w wersji hostowanej w Unii Europejskiej. Usługa służy analizie tego, jak odwiedzający korzystają ze sklepu, i ulepszaniu jego działania. Rejestruje wyświetlenia stron i wyjścia z nich, kliknięcia w elementy strony wraz z tekstem klikniętego elementu, w tym kliknięcia powtarzane i kliknięcia, które nie wywołały reakcji strony, a także ruchy kursora, kliknięcia i głębokość przewinięcia strony na potrzeby map cieplnych. Rejestruje też przebieg ścieżki zakupowej: obejrzenie towaru, dodanie go do koszyka i usunięcie z koszyka, rozpoczęcie składania zamówienia i zakup. Przy tych zdarzeniach przekazywane są identyfikator wariantu, nazwa, wariant, kategoria i cena towaru, ilość, wartość i waluta, a przy zakupie także kwota podatku i koszt dostawy. Nie są przekazywane numer zamówienia, kod rabatowy ani dane kupującego, takie jak imię, nazwisko, adres poczty elektronicznej, numer telefonu czy adres dostawy.

Usługa PostHog otrzymuje także dane techniczne: adres odwiedzonej strony, adres strony, z której nastąpiło przejście, rodzaj i wersję przeglądarki, system operacyjny, rodzaj urządzenia, rozmiar ekranu i okna przeglądarki, parametry kampanii zapisane w adresie strony oraz adres IP. Na podstawie adresu IP dostawca może ustalić przybliżoną lokalizację, czyli kraj, region i miejscowość, oraz rozpoznać ruch automatów. Sam adres IP nie jest zapisywany razem ze zdarzeniami, ponieważ w projekcie włączono odrzucanie adresów IP klientów. Przed wysłaniem sklep usuwa z adresów stron, także w nagraniach, parametry mogące identyfikować zamówienie lub osobę, w szczególności numer zamówienia, adres poczty elektronicznej i jednorazowe tokeny, a adres strony spoza sklepu, z której nastąpiło przejście, skraca do samej domeny.

Usługa PostHog nagrywa również przebieg wizyty, czyli sporządza odtwarzalny zapis tego, jak strona była wyświetlana i jak użytkownik się po niej poruszał: ruchy kursora, kliknięcia, przewijanie i zmiany treści strony. Treść wpisywana we wszystkie pola formularzy jest maskowana w przeglądarce jeszcze przed wysłaniem, więc w nagraniu widać wyłącznie znaki maskujące. Pozostała treść wyświetlanej strony, na przykład opisy towarów i zawartość koszyka, jest w nagraniu widoczna. Okno logowania i rejestracji oraz baner zgód są z nagrania wyłączone w całości. Nagrania nie obejmują zapisu komunikatów konsoli przeglądarki ani treści i nagłówków żądań wysyłanych przez stronę.

Nagrywanie jest wyłączone na stronach składania zamówienia, potwierdzenia zamówienia i powrotu z płatności, na stronach konta klienta, logowania, rejestracji oraz ustawiania i przypominania hasła, a także na stronach śledzenia zamówienia i obsługi newslettera. Na tych stronach usługa nie sporządza nagrania i nie rejestruje treści klikniętych elementów; rejestruje natomiast wyświetlenia stron, wyjścia z nich i zdarzenia ścieżki zakupowej opisane wyżej.

Jeżeli klient jest zalogowany do konta, usługa PostHog otrzymuje wyłącznie pseudonimowy identyfikator klienta, utworzony jako skrót kryptograficzny identyfikatora konta, który nie zawiera adresu poczty elektronicznej, imienia, nazwiska ani numeru telefonu. Administrator, dysponując bazą kont, może powiązać ten identyfikator z kontem, dlatego dane zebrane w usłudze pozostają danymi osobowymi. Po wylogowaniu identyfikator jest w przeglądarce resetowany i dalsze dane nie są z nim łączone.

Dane do usługi PostHog są przesyłane przez adres w domenie sklepu, obsługiwany przez dostawcę hostingu sklepu, a stamtąd do serwerów usługi PostHog w Unii Europejskiej. Pliki cookie sklepu, w tym ciasteczko sesji zakupowej, nie są przy tym przekazywane do dostawcy usługi; przekazywany jest natomiast adres IP odwiedzającego, w zakresie opisanym wyżej.

Podstawą prawną jest zgoda wyrażona w banerze zgód, czyli art. 6 ust. 1 lit. a RODO, w związku z art. 399 ust. 1 ustawy — Prawo komunikacji elektronicznej, który wymaga uprzedniej zgody na przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanej w urządzeniu końcowym użytkownika.

Do czasu wyrażenia zgody sklep nie uruchamia żadnego narzędzia analitycznego ani reklamowego i nie wysyła w tym czasie żadnego żądania pomiarowego, ani do Google, ani do usług Vercel Web Analytics i Vercel Speed Insights, ani do usługi PostHog, i nie pobiera kodu usługi PostHog; sama zgoda na pomiar skuteczności reklam, bez zgody na analitykę, nie uruchamia żadnego narzędzia; mechanizm opisano w części Kategorie zgód w banerze. Niezależnie od zgody zwykłe żądania wyświetlenia strony trafiają do dostawcy hostingu sklepu, jak opisano w części Odbiorcy danych i podmioty przetwarzające.

Zgodę można w każdej chwili zmienić lub wycofać przyciskiem ustawień prywatności dostępnym w stopce sklepu.

10. Cel: obowiązki podatkowe i księgowe#

Dane zawarte w dokumentach sprzedaży, w tym w fakturach i w ewidencji sprzedaży, są przetwarzane w celu wypełnienia obowiązków podatkowych i rachunkowych administratora.

Podstawą prawną jest art. 6 ust. 1 lit. c RODO w związku z przepisami ustawy z dnia 11 marca 2004 r. o podatku od towarów i usług, ustawy z dnia 29 sierpnia 1997 r. — Ordynacja podatkowa oraz ustawy z dnia 29 września 1994 r. o rachunkowości.

11. Cel: bezpieczeństwo, dochodzenie i obrona roszczeń#

Dane o żądaniach kierowanych do sklepu, w tym adres IP oraz informacja o przeglądarce, są przetwarzane w celu zapewnienia bezpieczeństwa usługi, w szczególności ograniczania liczby żądań, przeciwdziałania nadużyciom i wykrywania prób nieuprawnionego dostępu.

Dane o zamówieniach, płatnościach i korespondencji są przetwarzane także w celu ustalenia, dochodzenia lub obrony roszczeń.

Podstawą prawną w obu przypadkach jest art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora polegający odpowiednio na ochronie usługi przed nadużyciami oraz na możliwości obrony przed roszczeniami i ich dochodzenia.

12. Kategorie przetwarzanych danych#

Sklep nie wymaga podawania szczególnych kategorii danych osobowych i nie jest przeznaczony do ich zbierania. Dotyczy to zarówno danych wymienionych w art. 9 RODO, jak i danych dotyczących wyroków skazujących w rozumieniu art. 10 RODO.

Administrator nie przetwarza danych kart płatniczych. Dane płatnicze kupujący podaje bezpośrednio operatorowi płatności, poza sklepem.

Administrator przetwarza następujące kategorie danych:

• dane identyfikacyjne i kontaktowe kupującego: imię, nazwisko, adres poczty elektronicznej, numer telefonu,
• dane adresowe: ulica z numerem, kod pocztowy, miejscowość, kraj — przy dostawie kurierskiej, albo nazwa i adres wybranego punktu odbioru — przy dostawie do Paczkomatu InPost,
• dane do faktury: nazwa firmy, numer NIP oraz adres siedziby nabywcy — wyłącznie gdy kupujący zażąda faktury,
• dane o zamówieniu: numer zamówienia, zamówione towary, ilości, ceny, wybrany sposób dostawy, koszt dostawy, kwota do zapłaty, status zamówienia i status płatności,
• dane o przesyłce: numer przesyłki, dane punktu odbioru, daty nadania i odbioru,
• dane konta klienta: adres poczty elektronicznej, skrót hasła, imię, nazwisko i numer telefonu, jeżeli zostały podane w koncie, zapisane adresy dostawy oraz informacja, czy adres poczty elektronicznej został potwierdzony,
• dane newslettera: adres poczty elektronicznej, status zapisu oraz dowód wyrażenia zgody obejmujący datę i godzinę, adres IP, informację o przeglądarce i oznaczenie wersji zgody. Dowód jest zapisywany niezależnie od tego, czy zgoda została wyrażona w formularzu w stopce sklepu, czy przy składaniu zamówienia,
• dane techniczne: adres IP, informacja o przeglądarce i urządzeniu, identyfikator sesji zakupowej, dane zapisane w plikach cookie i w pamięci przeglądarki w zakresie opisanym w częściach poświęconych mechanizmom niezbędnym i mechanizmom uruchamianym po wyrażeniu zgody,
• dane o korzystaniu ze strony zbierane wyłącznie po wyrażeniu zgody na analitykę: odwiedzane strony, kliknięcia i ruchy kursora, głębokość przewinięcia, przebieg ścieżki zakupowej, wyniki pomiaru szybkości stron, przybliżona lokalizacja, nagrania przebiegu wizyty z zamaskowanymi polami formularzy oraz, u zalogowanych klientów, pseudonimowy identyfikator klienta, w zakresie opisanym w części Cel: statystyka, analityka i reklama, a po zgodzie na pomiar skuteczności reklam także identyfikator kliknięcia w reklamę i dane o zakupie przekazywane do usługi Google Ads.

13. Czy podanie danych jest obowiązkowe#

Podanie danych jest dobrowolne, jednak w części przypadków jest warunkiem skorzystania z usługi.

Podanie danych oznaczonych w formularzu zamówienia jako wymagane jest niezbędne do zawarcia i wykonania umowy sprzedaży. Bez nich zamówienie nie zostanie przyjęte.

Podanie adresu poczty elektronicznej i ustalenie hasła jest niezbędne do założenia konta klienta.

Podanie adresu poczty elektronicznej jest niezbędne do zapisu na newsletter.

Podanie danych do faktury jest niezbędne wyłącznie wtedy, gdy kupujący zażąda wystawienia faktury.

14. Odbiorcy danych i podmioty przetwarzające#

Administrator korzysta zarówno z podmiotów przetwarzających dane osobowe na jego polecenie, jak i z odbiorców, którzy w określonych przypadkach działają jako odrębni administratorzy. Z podmiotami przetwarzającymi administrator zawiera umowy wymagane przez art. 28 RODO. Odrębni administratorzy przetwarzają otrzymane dane na własnych podstawach prawnych i zgodnie z własnymi obowiązkami informacyjnymi.

Jeżeli klient wybierze płatność online przez Przelewy24, administrator przekazuje PayPro SA dane niezbędne do zainicjowania i obsługi płatności, w szczególności adres poczty elektronicznej, kwotę, walutę, opis oraz identyfikator transakcji. Zakres przekazywanych danych może zależeć od wybranej metody płatności. Operator płatności przetwarza te dane jako odrębny administrator, w celu wykonania usługi płatniczej i ciążących na nim obowiązków, na podstawie własnej polityki prywatności.

Przewoźnikowi przekazywane są imię i nazwisko odbiorcy, adres poczty elektronicznej, numer telefonu oraz adres dostawy albo oznaczenie wybranego punktu odbioru — dane niezbędne do doręczenia przesyłki i do powiadomień wysyłanych przez przewoźnika. Przewoźnik w swojej polityce prywatności wskazuje siebie jako administratora danych osobowych odbiorcy przesyłki i na tej podstawie wykonuje wobec niego własne obowiązki, o których mowa w części Zakres tej polityki.

Rola dostawcy narzędzi pomiarowych zależy od używanej usługi i od jej ustawień. W zakresie pomiaru ruchu w usłudze Google Analytics 4 dostawca deklaruje, że działa jako podmiot przetwarzający na polecenie administratora. W zakresie pomiaru skuteczności reklam w usłudze Google Ads, opisanego w części Cel: statystyka, analityka i reklama, dostawca działa jako odrębny administrator. Przetwarza wtedy otrzymane dane na podstawie warunków ochrony danych obowiązujących w relacji administrator–administrator i zgodnie z własną polityką prywatności, dostępną pod adresem policies.google.com/privacy. W zakresie pomiaru odwiedzin w usłudze Vercel Web Analytics oraz pomiaru szybkości stron w usłudze Vercel Speed Insights Vercel Inc. działa jako podmiot przetwarzający, na podstawie tej samej umowy powierzenia przetwarzania danych, która obejmuje hosting sklepu. W zakresie usługi PostHog PostHog, Inc. działa jako podmiot przetwarzający, na podstawie umowy powierzenia przetwarzania danych zawartej z administratorem.

Administrator nie sprzedaje danych osobowych i nie udostępnia ich podmiotom trzecim w celach marketingowych tych podmiotów.

Kategorie odbiorców i podmiotów przetwarzających:

• dostawca hostingu sklepu internetowego, na którym działa strona aromabath.pl — Vercel Inc., spółka prawa stanu Delaware, z siedzibą pod adresem 440 N Barranca Ave #4133, Covina, Kalifornia 91723, Stany Zjednoczone; podmiot przetwarzający. Przechodzą przez niego wszystkie żądania kierowane do sklepu; po wyrażeniu zgody na analitykę dostawca przetwarza także dane pomiaru odwiedzin w usłudze Vercel Web Analytics i dane pomiaru szybkości stron w usłudze Vercel Speed Insights, opisanych w części Cel: statystyka, analityka i reklama, a przez jego infrastrukturę przechodzą również dane przesyłane do usługi PostHog,
• dostawca hostingu zaplecza sklepu — Railway Corporation, z siedzibą pod adresem 548 Market St PMB 68956, San Francisco, Kalifornia 94104, Stany Zjednoczone; podmiot przetwarzający. W tej infrastrukturze przechowywane są dane zamówień, kont klientów i zapisów na newsletter,
• dostawca magazynu plików, w którym przechowywane są zdjęcia towarów i materiały graficzne — Cloudflare, Inc., z siedzibą pod adresem 101 Townsend Street, San Francisco, Kalifornia 94107, Stany Zjednoczone; podmiot przetwarzający. Nie trafiają tam dane kupujących,
• dostawca usługi wysyłki wiadomości transakcyjnych i newslettera — usługa Resend prowadzona przez Plus Five Five, Inc., z siedzibą pod adresem 2261 Market Street #5039, San Francisco, Kalifornia 94114, Stany Zjednoczone; podmiot przetwarzający,
• operator płatności, który przyjmuje płatność za zamówienie — serwis Przelewy24 prowadzony przez PayPro SA z siedzibą w Poznaniu, ul. Pastelowa 8, 60-198 Poznań, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy Poznań — Nowe Miasto i Wilda w Poznaniu, VIII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0000347935, NIP 7792369887, REGON 301345068, wpisaną także do rejestru krajowych instytucji płatniczych prowadzonego przez Komisję Nadzoru Finansowego pod numerem IP24/2014; odrębny administrator,
• przewoźnik doręczający przesyłki — InPost sp. z o.o. z siedzibą w Krakowie, ul. Pana Tadeusza 4, 30-727 Kraków; odrębny administrator danych osobowych odbiorcy przesyłki,
• dostawca narzędzi pomiarowych — Google Ireland Limited z siedzibą pod adresem Gordon House, Barrow Street, Dublin 4, Irlandia, w zakresie usług Google Tag Manager, Google Analytics 4 oraz pomiaru w usłudze Google Ads; podmiot przetwarzający w zakresie Google Tag Manager i Google Analytics 4 oraz odrębny administrator w zakresie Google Ads, zgodnie z opisem wyżej,
• dostawca narzędzia do analizy korzystania ze strony i nagrań przebiegu wizyty — PostHog, Inc., z siedzibą pod adresem 2261 Market St., #4008, San Francisco, Kalifornia 94114, Stany Zjednoczone; podmiot przetwarzający. Sklep korzysta z wersji usługi hostowanej w Unii Europejskiej, której serwery według dostawcy znajdują się we Frankfurcie nad Menem w Niemczech. Dane trafiają do dostawcy wyłącznie po wyrażeniu zgody na analitykę; zasady ich przekazania poza Europejski Obszar Gospodarczy opisano w następnej części,
• podmioty świadczące administratorowi usługi księgowe, prawne lub doradcze — w zakresie niezbędnym do wykonania tych usług; podmioty przetwarzające albo odrębni administratorzy, zależnie od zakresu zleconej usługi,
• organy publiczne uprawnione do żądania danych na podstawie przepisów prawa — wyłącznie na ich uzasadnione żądanie.

15. Przekazywanie danych poza Europejski Obszar Gospodarczy#

Część dostawców, którym administrator powierzył przetwarzanie danych, ma siedzibę w Stanach Zjednoczonych albo przetwarza dane w tamtejszej infrastrukturze. Dla każdego z nich wskazano niżej podstawę przekazania.

Dostawca hostingu sklepu, Vercel Inc., przetwarza dane na podstawie umowy powierzenia przetwarzania danych, którą stosuje do planów Pro i Enterprise; sklep działa na planie Pro, a umowa wiąże z chwilą zawarcia umowy o świadczenie usług. Przekazanie danych do Stanów Zjednoczonych następuje na podstawie standardowych klauzul umownych w rozumieniu art. 46 ust. 2 lit. c RODO, przyjętych decyzją wykonawczą Komisji (UE) 2021/914, włączonych do tej umowy. Dostawca jest wpisany na listę uczestników programu EU-U.S. Data Privacy Framework. Ta sama podstawa dotyczy danych pomiaru odwiedzin w usłudze Vercel Web Analytics i danych pomiaru szybkości stron w usłudze Vercel Speed Insights.

Dostawca hostingu zaplecza, Railway Corporation, opiera przekazanie na uczestnictwie w programie EU-U.S. Data Privacy Framework albo na standardowych klauzulach umownych w rozumieniu art. 46 ust. 2 lit. c RODO, które jego umowa powierzenia włącza i uznaje za podpisane. Dostawca jest wpisany na listę uczestników programu.

Dostawca magazynu plików, Cloudflare, Inc., opiera przekazanie na uczestnictwie w programie EU-U.S. Data Privacy Framework, a jego umowa powierzenia włącza standardowe klauzule umowne w rozumieniu art. 46 ust. 2 lit. c RODO na wypadek, gdyby wpis na listę uczestników przestał obowiązywać.

Dostawca usługi wysyłki wiadomości, Plus Five Five, Inc., prowadzący usługę Resend, opiera przekazanie na standardowych klauzulach umownych w rozumieniu art. 46 ust. 2 lit. c RODO włączonych do umowy powierzenia; oświadcza dodatkowo, że przystąpił do programu EU-U.S. Data Privacy Framework. Dostawca zastrzega, że treść wiadomości i dzienniki ich doręczeń są przechowywane w Stanach Zjednoczonych niezależnie od wybranego regionu wysyłki, dlatego polityka nie obiecuje, że korespondencja pozostaje w Europejskim Obszarze Gospodarczym.

Dostawca narzędzi pomiarowych, Google Ireland Limited, ma siedzibę w Irlandii, ale korzystanie z tych narzędzi, w tym z pomiaru w usłudze Google Ads, może wiązać się z przekazaniem danych poza Europejski Obszar Gospodarczy, w szczególności do Stanów Zjednoczonych. Google LLC jest wpisana na listę uczestników programu EU-U.S. Data Privacy Framework. Warunki przetwarzania danych stosowane przez Google przewidują dla takich przekazań standardowe klauzule umowne w rozumieniu art. 46 ust. 2 lit. c RODO; Google zastrzega, że może zamiast nich stosować inne rozwiązanie zapewniające odpowiedni stopień ochrony, i informuje o tym administratora.

Dostawca narzędzia do analizy korzystania ze strony, PostHog, Inc., ma siedzibę w Stanach Zjednoczonych. Dane zebrane w usłudze są przechowywane na serwerach w Unii Europejskiej, ale umowa powierzenia przewiduje, że dostawca może przetwarzać je także poza Europejskim Obszarem Gospodarczym, w tym w Stanach Zjednoczonych oraz w państwach, w których działają jego dalsze podmioty przetwarzające. Wykaz tych podmiotów dostawca publikuje pod adresem posthog.com/subprocessors. Obejmuje on między innymi dostawcę infrastruktury chmurowej, który w wersji europejskiej usługi przechowuje dane w Niemczech, oraz dostawcę sieci pośredniczącej w przesyłaniu danych, której węzły działają na całym świecie. Wykaz obejmuje też dostawców funkcji sztucznej inteligencji z siedzibą w Stanach Zjednoczonych, ale wyłącznie wtedy, gdy funkcje te są włączone; w projekcie sklepu są wyłączone. Dlatego administrator traktuje korzystanie z usługi jako przekazanie danych poza Europejski Obszar Gospodarczy.

Przekazanie danych do PostHog, Inc. następuje na podstawie standardowych klauzul umownych w rozumieniu art. 46 ust. 2 lit. c RODO, przyjętych decyzją wykonawczą Komisji (UE) 2021/914, w module dotyczącym przekazania od administratora do podmiotu przetwarzającego, włączonych do umowy powierzenia. Klauzule te podlegają prawu irlandzkiemu, a spory z nich rozstrzygają sądy irlandzkie. Dostawca oświadcza ponadto w umowie powierzenia i we własnej polityce prywatności, że uczestniczy w programie EU-U.S. Data Privacy Framework, i zobowiązuje się powiadomić administratora, jeżeli przestanie w nim uczestniczyć. Klauzule umowne obowiązują niezależnie od tego uczestnictwa.

Podstawy wskazane wyżej obowiązują niezależnie od regionu, w którym dany dostawca przetwarza dane: wybór regionu europejskiego ogranicza zakres przekazania, ale go nie wyklucza.

W przypadku pozostałych odbiorców wskazanych w części Odbiorcy danych i podmioty przetwarzające administrator nie dokonuje przekazania danych poza Europejski Obszar Gospodarczy: operator płatności i przewoźnik są spółkami z siedzibą w Polsce, a podmioty świadczące usługi księgowe, prawne lub doradcze oraz organy publiczne działają na terytorium Rzeczypospolitej Polskiej. Jeżeli operator płatności albo przewoźnik korzysta w ramach własnej działalności z dostawców spoza Europejskiego Obszaru Gospodarczego, odpowiada za to samodzielnie, jako odrębny administrator, a zasady takiego przekazania opisuje jego własna polityka prywatności.

Kopię zabezpieczeń zastosowanych przy przekazaniu danych poza Europejski Obszar Gospodarczy można uzyskać, kontaktując się z administratorem pod adresem kontakt@aromabath.pl.

16. Okresy przechowywania danych#

Administrator przechowuje dane nie dłużej, niż jest to niezbędne dla celów, w których zostały zebrane.

Dane nie znikają samoczynnie w dniu upływu okresu: usunięcia dokonuje administrator w ramach przeglądu przeprowadzanego nie rzadziej niż raz w roku kalendarzowym i obejmującego dane zamówień, kont, korespondencji oraz zapisów na newsletter. Wcześniejsze usunięcie następuje na żądanie osoby, której dane dotyczą, w zakresie opisanym w części Prawa osoby, której dane dotyczą.

Stosowane okresy przechowywania:

• dane zamówienia i dane niezbędne do wykonania umowy — przez czas realizacji zamówienia, a następnie przez sześć lat, licząc od końca roku kalendarzowego, w którym umowa została wykonana. Okres odpowiada terminowi przedawnienia roszczeń kupującego z art. 118 Kodeksu cywilnego,
• dokumenty księgowe, w tym faktury i ewidencja sprzedaży — przez pięć lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku, zgodnie z art. 86 par. 1 Ordynacji podatkowej oraz art. 74 ustawy o rachunkowości. Okres ten biegnie niezależnie od żądania usunięcia danych i nie może zostać skrócony,
• dane konta klienta — przez czas prowadzenia konta. Żądanie usunięcia konta jest rozpatrywane bez zbędnej zwłoki, nie później niż w terminie miesiąca od jego otrzymania; w przypadkach przewidzianych w art. 12 ust. 3 RODO termin ten może zostać przedłużony o kolejne dwa miesiące. Po usunięciu konta administrator zachowuje wyłącznie te dane, których dalsze przechowywanie wynika z obowiązków księgowych albo jest niezbędne do obrony przed roszczeniami — w okresach wskazanych wyżej,
• adres poczty elektronicznej zapisany na newsletter — do wycofania zgody albo do zaprzestania prowadzenia newslettera przez administratora,
• dowód wyrażenia zgody na newsletter — przez trzy lata od wycofania zgody, zgodnie z obowiązkiem wykazania zgody z art. 7 ust. 1 RODO i z trzyletnim terminem przedawnienia roszczeń związanych z prowadzeniem działalności gospodarczej (art. 118 Kodeksu cywilnego),
• informacja o wypisaniu się z newslettera — przez czas prowadzenia newslettera, aby administrator rozpoznał adres, na który nie wolno już wysyłać wiadomości,
• niepotwierdzony zapis na newsletter — nie jest używany do wysyłki, a administrator usuwa go przy najbliższym przeglądzie, nie później niż dwanaście miesięcy od jego powstania,
• korespondencja dotycząca zamówienia, odstąpienia albo reklamacji — przez okres wskazany w punkcie o danych zamówienia, ponieważ stanowi dowód sposobu załatwienia sprawy,
• pozostała korespondencja — przez rok od zakończenia sprawy, a jeżeli w tym czasie zgłoszono roszczenie — do jego przedawnienia albo prawomocnego zakończenia postępowania,
• dane zapisywane w dziennikach zdarzeń i w logach serwerów u dostawców infrastruktury — przez okres wynikający z ustawień usługi u danego dostawcy; administrator wskaże wartość obowiązującą w dniu zapytania,
• dane techniczne przechowywane po stronie serwera: sesja zakupowa, wskazanie ostatniego koszyka zalogowanego klienta oraz liczniki ograniczania liczby żądań — przez czas ustawiony w konfiguracji wdrożenia, po którym są usuwane samoczynnie,
• dane o korzystaniu ze strony przetwarzane w usłudze Google Analytics 4 — przez czternaście miesięcy, zgodnie z ustawieniem przyjętym w tej usłudze przez administratora. Po tym okresie dane szczegółowe są usuwane przez Google, a w usłudze pozostają zestawienia zbiorcze,
• dane o wyświetleniach stron i o zakupach przekazane do usługi Google Ads — przez okres określony przez Google jako odrębnego administratora w jego polityce prywatności; administrator nie ma wpływu na ten okres. Pliki cookie tego pomiaru zapisane w domenie sklepu wygasają po 90 dniach, chyba że zostaną wcześniej usunięte w wyniku wycofania zgody,
• dane o odwiedzinach zbierane w usłudze Vercel Web Analytics — skrót służący rozpoznaniu odwiedzającego jest usuwany przez dostawcę po 24 godzinach; zapisane odsłony są dostępne w statystykach przez okres raportowy przewidziany dla planu sklepu, obecnie dwanaście miesięcy. Dostawca zastrzega, że może przechowywać te dane dłużej, niż wynosi okres raportowy,
• dane pomiaru szybkości stron zbierane w usłudze Vercel Speed Insights — są dostępne w statystykach przez okres raportowy przewidziany dla planu sklepu, wynoszący siedem dni w wersji podstawowej usługi albo trzydzieści dni w wersji Speed Insights Plus; dostawca nie określa w dokumentacji usługi odrębnego okresu przechowywania tych danych,
• zdarzenia zbierane w usłudze PostHog, czyli wyświetlenia stron, kliknięcia i zdarzenia ścieżki zakupowej — są dostępne w usłudze przez rok, zgodnie z okresem przewidzianym przez dostawcę dla bezpłatnego planu, z którego korzysta sklep. Dostawca wskazuje, że zdarzenia starsze niż ten okres nie są uwzględniane w analizach, ale nie określa w dokumentacji, kiedy są fizycznie usuwane, a okresu tego nie można skrócić w ustawieniach usługi. Dokumentacja nie wskazuje też odrębnego okresu przechowywania danych map cieplnych ani profili powiązanych z pseudonimowym identyfikatorem klienta,
• nagrania przebiegu wizyty w usłudze PostHog — przez trzydzieści dni od nagrania, zgodnie z ustawieniem przyjętym w usłudze przez administratora, najdłuższym dostępnym w bezpłatnym planie. Dostawca zastrzega, że usunięcie wygasłego nagrania nie następuje natychmiast i przez krótki czas może ono być jeszcze dostępne,
• dane konkretnej osoby w usłudze PostHog, w tym jej zdarzenia i nagrania — administrator może je usunąć wcześniej, na żądanie tej osoby, jeżeli da się je powiązać z tą osobą, w szczególności na podstawie pseudonimowego identyfikatora klienta; dostawca usuwa zdarzenia z opóźnieniem, poza godzinami największego obciążenia usługi,
• dane przetwarzane w celu ustalenia, dochodzenia lub obrony roszczeń — do upływu terminu przedawnienia roszczenia, a jeżeli postępowanie zostało wszczęte — do jego prawomocnego zakończenia,
• dane zapisywane w plikach cookie i w pamięci przeglądarki — przez okresy wskazane w częściach poświęconych tym mechanizmom.

17. Prawa osoby, której dane dotyczą#

Żądania można zgłaszać na adres kontakt@aromabath.pl. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania, z możliwością przedłużenia tego terminu o dwa miesiące w razie skomplikowanego charakteru żądania, zgodnie z art. 12 ust. 3 RODO.

Przed realizacją żądania administrator może poprosić o informacje pozwalające potwierdzić tożsamość osoby zgłaszającej, zgodnie z art. 12 ust. 6 RODO.

Osobie, której dane dotyczą, przysługują następujące prawa:

• prawo dostępu do danych oraz otrzymania ich kopii — art. 15 RODO,
• prawo do sprostowania danych nieprawidłowych i uzupełnienia danych niekompletnych — art. 16 RODO,
• prawo do usunięcia danych — art. 17 RODO, w zakresie, w jakim nie sprzeciwia się temu obowiązek prawny ciążący na administratorze,
• prawo do ograniczenia przetwarzania — art. 18 RODO,
• prawo do przenoszenia danych przetwarzanych na podstawie zgody lub umowy i w sposób zautomatyzowany — art. 20 RODO,
• prawo do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie administratora, z przyczyn związanych ze szczególną sytuacją osoby — art. 21 ust. 1 RODO,
• prawo do sprzeciwu wobec przetwarzania na potrzeby marketingu bezpośredniego, w każdym czasie i bez podawania przyczyny — art. 21 ust. 2 RODO,
• prawo do cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem — art. 7 ust. 3 RODO.

18. Skarga do organu nadzorczego#

Osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, jeżeli uzna, że przetwarzanie jej danych narusza przepisy RODO.

Organem nadzorczym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa. Informacje o sposobie wniesienia skargi są dostępne na stronie uodo.gov.pl.

Podstawą tego prawa jest art. 77 RODO oraz ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000 z późniejszymi zmianami).

19. Zautomatyzowane podejmowanie decyzji i profilowanie#

Administrator nie podejmuje wobec osób, których dane dotyczą, decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nie wpływały, w rozumieniu art. 22 RODO.

Sklep stosuje automatyczne mechanizmy ograniczania liczby żądań i wykrywania nadużyć. Mogą one czasowo ograniczyć możliwość korzystania z wybranych funkcji sklepu, na przykład ze śledzenia zamówienia lub z logowania, ale nie wywołują skutków prawnych i nie wpływają na prawa wynikające z zawartej umowy.

Narzędzia analityczne uruchamiane po wyrażeniu zgody mogą tworzyć profile na potrzeby pomiaru ruchu na stronie. Dotyczy to także usługi PostHog, która łączy zdarzenia i nagrania z kolejnych wizyt w tej samej przeglądarce, a u zalogowanych klientów także pod pseudonimowym identyfikatorem klienta. Pozwala to analizować, jak odwiedzający korzystają ze sklepu. Analiza ta służy wyłącznie ulepszaniu sklepu: nie jest wykorzystywana do reklamy ani do podejmowania decyzji wobec konkretnego klienta. Pomiar skuteczności reklam przypisuje zakup do kliknięcia w reklamę sklepu i służy administratorowi do oceny oraz automatycznego ustalania stawek w jego kampaniach; przy tym pomiarze sklep przekazuje do Google informację o braku zgody na personalizację reklam. Opisane profilowanie nie prowadzi do zautomatyzowanych decyzji w rozumieniu art. 22 RODO i można mu zapobiec, nie wyrażając zgody albo ją wycofując.

20. Pliki cookie i podobne technologie — zasady ogólne#

Sklep przechowuje informacje w urządzeniu końcowym użytkownika oraz uzyskuje do nich dostęp, korzystając z plików cookie oraz z pamięci przeglądarki.

Przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanej wymaga uprzedniej zgody użytkownika, zgodnie z art. 399 ust. 1 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej.

Zgoda nie jest wymagana, gdy przechowywanie lub dostęp są konieczne do wykonania transmisji komunikatu albo do świadczenia usługi, której użytkownik sam zażądał, zgodnie z art. 399 ust. 3 tej ustawy. Na tej podstawie działają mechanizmy wymienione w części Mechanizmy niezbędne, działające bez zgody.

Zgoda na pozostałe kategorie jest wyrażana w banerze zgód wyświetlanym przy pierwszej wizycie. Baner nie stosuje pól zaznaczonych z góry, a przycisk odmowy ma taką samą wagę wizualną jak przycisk akceptacji.

Wycofanie zgody jest równie łatwe jak jej wyrażenie: służy do tego przycisk ustawień prywatności umieszczony w stopce sklepu.

Wycofanie zgody w trakcie wizyty wstrzymuje zbieranie danych przez narzędzia pomiarowe i powoduje usunięcie zapisanych przez nie plików cookie, a w przypadku usługi PostHog także danych zapisanych przez nią w pamięci przeglądarki. Nie usuwa natomiast z otwartej karty skryptu, który został już wczytany; po odświeżeniu strony skrypt nie wczytuje się w ogóle.

Wycofanie samej zgody na pomiar skuteczności reklam usuwa zapisane przez ten pomiar pliki cookie w domenie sklepu (_gcl_au, _gcl_aw, _gcl_ag, _gcl_gb) oraz wpis _gcl_ls w pamięci przeglądarki, a pliki cookie usługi Google Analytics zostają, dopóki trwa zgoda na analitykę. Plików cookie, które Google może zapisać we własnych domenach, sklep nie może usunąć; można to zrobić w ustawieniach przeglądarki.

21. Kategorie zgód w banerze#

Do czasu wyrażenia zgody na analitykę sklep nie wczytuje menedżera znaczników ani żadnego innego narzędzia pomiarowego, nie wysyła żądania do serwerów Google ani żądania pomiarowego do usług Vercel Web Analytics, Vercel Speed Insights i PostHog, nie pobiera też kodu usługi PostHog. Decyzja podjęta w banerze jest do tego czasu zapisywana wyłącznie w przeglądarce użytkownika. Sama zgoda na pomiar skuteczności reklam, bez zgody na analitykę, nie wczytuje menedżera znaczników.

Po wyrażeniu zgody menedżer znaczników wczytuje się i otrzymuje stan zgód, w którym zgody nieudzielone są oznaczone jako odmowa. Po wyrażeniu tej samej zgody wczytują się również skrypty usług Vercel Web Analytics i Vercel Speed Insights oraz kod usługi PostHog; wszystkie są pobierane z domeny sklepu i wysyłają dane na adresy w domenie sklepu.

Zakres narzędzi uruchamianych w każdej z kategorii opisano w części Mechanizmy uruchamiane po wyrażeniu zgody.

Baner zgód rozróżnia trzy kategorie:

• niezbędne — zawsze aktywne, obejmują mechanizmy konieczne do działania koszyka, sesji zakupowej i zapamiętania decyzji o zgodach; nie można ich wyłączyć, ponieważ bez nich zakup nie działa,
• analityka — obejmuje narzędzia mierzące ruch na stronie i przebieg ścieżki zakupowej, zliczanie odwiedzin stron w usłudze Vercel Web Analytics bez plików cookie, pomiar szybkości ładowania stron w usłudze Vercel Speed Insights bez plików cookie, analizę korzystania ze strony i nagrania przebiegu wizyty z zamaskowanymi polami formularzy w usłudze PostHog, która zapisuje w przeglądarce plik cookie i dane w pamięci przeglądarki; uruchamiane wyłącznie po wyrażeniu zgody,
• pomiar skuteczności reklam — obejmuje pomiar konwersji w usłudze Google Ads z plikami cookie reklamowymi, opisany w części Cel: statystyka, analityka i reklama; można go włączyć wyłącznie razem z analityką, ponieważ w obecnej konfiguracji działa przez ten sam znacznik Google co analityka; nie obejmuje zgody na personalizację reklam.

22. Mechanizmy niezbędne, działające bez zgody#

Sam mechanizm pamięci przeglądarki nie przesyła zapisanych tam danych automatycznie do podmiotów trzecich. Dane formularza, identyfikator powrotu z płatności oraz dane z odnośnika przesłanego pocztą elektroniczną są następnie przesyłane do sklepu — odpowiednio w toku składania zamówienia, przy sprawdzaniu wyniku płatności i przy ustawianiu hasła.

Wykaz mechanizmów niezbędnych:

• __Host-go_sid — ciasteczko sesji sklepu, ważne przez czas sesji; przechowuje identyfikator sesji, z którą powiązany jest koszyk i krok kasy, i jest przesyłane do sklepu przy każdym żądaniu,
• ab_kody_czekajace — ciasteczko techniczne sklepu, ważne 24 godziny; przechowuje kod rabatowy wpisany przed wyborem dostawy wraz z identyfikatorem koszyka, aby naliczyć go po wybraniu dostawy; nie zawiera danych osobowych kupującego i jest przesyłane wyłącznie do sklepu,
• zapis decyzji podjętej w banerze zgód — pamięć przeglądarki, do zmiany decyzji; obejmuje wybór, jego datę i wersję, aby baner nie pytał przy każdej wizycie,
• wykaz numerów ostatnich zamówień zgłoszonych narzędziom pomiarowym — pamięć przeglądarki; zapobiega dwukrotnemu policzeniu tego samego zakupu, nie zawiera danych osobowych i powstaje także przy odmowie zgody,
• dane wpisane w formularzu zamówienia — pamięć karty przeglądarki, do zamknięcia karty; pozwalają wrócić do wypełnionego formularza, nie obejmują akceptacji regulaminu,
• treść zamówienia zatwierdzona przed przejściem do operatora płatności oraz treść potwierdzenia pokazywanego po powrocie z płatności — pamięć karty przeglądarki, odpowiednio dwie i dwadzieścia cztery godziny; obejmują adres poczty elektronicznej i adres dostawy,
• identyfikator powrotu z płatności — pamięć karty przeglądarki, do zamknięcia karty; jest usuwany z adresu strony powrotu i przechowywany w karcie, aby nie trafiał do historii przeglądarki ani do narzędzi pomiarowych, a następnie przesyłany do sklepu w celu sprawdzenia wyniku płatności,
• wynik płatności — pamięć karty przeglądarki, trzydzieści minut; pozwala pokazać ten sam wynik po ponownym otwarciu strony powrotu,
• dane z odnośnika przesłanego pocztą elektroniczną — pamięć karty przeglądarki, godzina; obejmują adres poczty elektronicznej i jednorazowy token, są usuwane z adresu strony i przesyłane do sklepu przy ustawianiu hasła.

23. Mechanizmy uruchamiane po wyrażeniu zgody#

Narzędzia wymienione niżej uruchamiają się wyłącznie po wyrażeniu odpowiedniej zgody w banerze i przestają zbierać dane po jej wycofaniu; zapisane przez nie pliki cookie, a w przypadku usługi PostHog także dane w pamięci przeglądarki, są wtedy usuwane.

Wykaz mechanizmów uruchamianych po zgodzie na analitykę:

• _ga — ciasteczko usługi Google Analytics 4, ważne do dwóch lat (przeglądarka Chrome skraca ten okres do 400 dni), odbiorcą danych jest Google; służy do rozróżniania użytkowników,
• _ga_ z identyfikatorem strumienia — ciasteczko tej samej usługi, o tym samym czasie ważności; służy do utrzymania stanu sesji pomiarowej,
• żądanie pomiarowe usługi Vercel Web Analytics — wysyłane przy wyświetleniu strony na adres w domenie sklepu, odbiorcą danych jest Vercel; nie korzysta z plików cookie i nie zapisuje w urządzeniu identyfikatora,
• żądanie pomiarowe usługi Vercel Speed Insights — wysyłane przy opuszczaniu strony na adres w domenie sklepu, odbiorcą danych jest Vercel; zawiera wyniki pomiaru szybkości strony, nie korzysta z plików cookie ani z pamięci przeglądarki i nie zapisuje w urządzeniu identyfikatora,
• ph_ z kluczem projektu i końcówką _posthog — ciasteczko usługi PostHog, ważne rok, odbiorcą danych jest PostHog; przechowuje losowy identyfikator przeglądarki, identyfikator bieżącej sesji pomiarowej oraz, u zalogowanego klienta, jego pseudonimowy identyfikator. Sesja pomiarowa kończy się po trzydziestu minutach bezczynności, a najpóźniej po dwudziestu czterech godzinach,
• dane usługi PostHog w pamięci przeglądarki, pod nazwami zawierającymi ciąg ph_ i klucz projektu — w pamięci przeglądarki do wycofania zgody, a w pamięci karty do jej zamknięcia; obejmują pełny stan narzędzia, w tym identyfikatory zapisane także w ciasteczku, zapis zgody w tej usłudze oraz identyfikator okna i sesji nagrania,
• żądania usługi PostHog — wysyłane w trakcie wizyty na adres w domenie sklepu, odbiorcą danych jest PostHog; przekazują zdarzenia i nagrania przebiegu wizyty opisane w części Cel: statystyka, analityka i reklama.

Wykaz mechanizmów uruchamianych po zgodzie na pomiar skuteczności reklam:

• _gcl_au — ciasteczko usługi Google Ads, ważne 90 dni, odbiorcą danych jest Google; przechowuje losowy identyfikator przeglądarki, który pozwala przypisać zakup do wcześniejszej wizyty z reklamy,
• _gcl_aw — ciasteczko usługi Google Ads, ważne 90 dni, odbiorcą danych jest Google; przechowuje identyfikator kliknięcia w reklamę i powstaje tylko wtedy, gdy wejście do sklepu nastąpiło z reklamy,
• _gcl_ag i _gcl_gb — ciasteczka usługi Google Ads, ważne 90 dni, odbiorcą danych jest Google; przechowują identyfikator kliknięcia w reklamę wyświetlaną w aplikacjach i na urządzeniach z systemem iOS i powstają tylko przy wejściu do sklepu z takiej reklamy,
• _gcl_ls — wpis usługi Google Ads w pamięci przeglądarki, odbiorcą danych jest Google; przechowuje dane potrzebne do przypisania zakupu do reklamy, w tym przy wejściu z reklamy kopię identyfikatora kliknięcia. Zapisane w nim identyfikatory tracą ważność po 90 dniach, a sam wpis jest usuwany przy wycofaniu zgody,
• żądania do domen Google, w tym googleadservices.com, w odpowiedzi na które Google może zapisać w przeglądarce, w części wydzielonej dla sklepu, własne pliki cookie; ich nazwy i czas ważności określa Google,
• żądania pomiarowe usługi Google Ads — wysyłane przy wyświetleniu strony i przy zakupie, odbiorcą danych jest Google; przekazują dane opisane w części Cel: statystyka, analityka i reklama.

24. Mechanizmy spoza banera zgód i ustawienia przeglądarki#

Przy wyborze Paczkomatu InPost sklep może załadować zewnętrzny komponent mapy dostarczany przez InPost. Komponent pobiera zasoby z serwerów InPost i komunikuje się z usługami InPost. Jest uruchamiany dopiero po otwarciu wyboru punktu odbioru przez użytkownika.

Płatność odbywa się w serwisie operatora płatności, pod inną domeną; dane zapisywane tam w urządzeniu użytkownika podlegają polityce operatora i nie są objęte banerem zgód sklepu.

Użytkownik może samodzielnie usuwać i blokować pliki cookie w ustawieniach przeglądarki. Zablokowanie mechanizmów niezbędnych uniemożliwi korzystanie z koszyka i złożenie zamówienia.

25. Bezpieczeństwo danych#

Administrator stosuje środki techniczne i organizacyjne odpowiadające ryzyku, zgodnie z art. 32 RODO.

Połączenie ze sklepem jest szyfrowane.

Kroje pisma są serwowane wyłącznie z domeny sklepu, więc otwarcie strony nie powoduje pobrania czcionki z serwera podmiotu trzeciego. Wyjątkiem są zasoby komponentu mapy punktów odbioru, opisane w części Mechanizmy spoza banera zgód i ustawienia przeglądarki.

Hasła do kont klientów nie są przechowywane w postaci jawnej. Dostęp do zaplecza sklepu mają wyłącznie osoby upoważnione przez administratora.

26. Zmiany polityki prywatności#

Administrator może zmienić politykę prywatności, w szczególności w razie zmiany przepisów, zmiany zakresu przetwarzanych danych, zmiany odbiorców danych albo zmiany stosowanych narzędzi.

Zmieniona polityka jest publikowana na stronie sklepu w zakładce Polityka prywatności wraz z datą, od której obowiązuje.

O istotnych zmianach dotyczących osób posiadających konto klienta lub zapisanych na newsletter administrator informuje dodatkowo na podany adres poczty elektronicznej.

Polityka obowiązuje od dnia 28.09.2026r.