Administrator i zakres przetwarzania
Administratorem danych osobowych jest podmiot prowadzący platformę i określający cele oraz sposoby przetwarzania danych użytkowników.
Informacje pozwalające zidentyfikować rzeczywistego administratora oraz umożliwiające skuteczny kontakt z nim powinny być udostępnione użytkownikom w polityce prywatności zgodnie z wymaganiami dotyczącymi przejrzystości wynikającymi z GDPR/RODO. Jeżeli obowiązujące przepisy wymagają ustanowienia przedstawiciela w Unii Europejskiej albo wyznaczenia inspektora ochrony danych, użytkownikom udostępnia się również wymagane prawem dane kontaktowe takiej osoby lub podmiotu.
Niniejsza polityka obejmuje przetwarzanie danych osobowych związane z oferowaniem produktów użytkownikom w Polsce, obsługą zamówień i płatności, organizacją dostawy, świadczeniem obsługi klienta oraz zapewnianiem funkcji dostępnych w serwisie.
Jeżeli zastosowanie znajduje GDPR/RODO, jego wymagania mogą obejmować również przetwarzanie wykonywane poza Europejskim Obszarem Gospodarczym, gdy jest ono związane z oferowaniem towarów lub usług osobom znajdującym się w Polsce lub w EOG albo z monitorowaniem ich zachowania w przypadkach objętych przepisami.
Wyłączenie przewidziane dla przetwarzania dokonywanego przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze nie zwalnia platformy prowadzącej działalność gospodarczą z obowiązków w zakresie ochrony danych, które mają do niej zastosowanie.
Cele wykorzystywania danych i podstawy prawne
Dane osobowe są przetwarzane wyłącznie wtedy, gdy istnieje odpowiednia podstawa prawna, a zakres ich wykorzystania jest powiązany z określonym i zgodnym z prawem celem.
W związku z realizacją zakupów dane mogą być potrzebne do utworzenia i obsługi zamówienia, sprawdzenia statusu płatności, zorganizowania dostawy, udostępnienia możliwości śledzenia przesyłki, obsługi zwrotu, wymiany lub zwrotu płatności oraz udzielenia pomocy w sprawach dotyczących zamówienia. Takie przetwarzanie jest co do zasady związane z wykonaniem umowy zawartej z klientem albo z podjęciem na jego żądanie działań niezbędnych przed jej zawarciem.
Dane mogą być również przetwarzane lub przechowywane w zakresie wymaganym przez obowiązki wynikające z przepisów podatkowych, księgowych, konsumenckich, regulacyjnych lub innych mających zastosowanie regulacji.
Jeżeli pozwala na to prawo, odpowiednią podstawę mogą stanowić także prawnie uzasadnione interesy, w szczególności związane z ochroną serwisu i kont użytkowników, zapobieganiem oszustwom lub nadużyciom, zapewnieniem stabilnego funkcjonowania systemów oraz ochroną uzasadnionych interesów platformy, klientów lub innych zainteresowanych stron. Przed oparciem przetwarzania na tej podstawie uwzględnia się jego niezbędność oraz prawa i interesy osób, których dane dotyczą.
Gdy określona operacja wymaga zgody użytkownika, przetwarzanie rozpoczyna się dopiero po uzyskaniu ważnej zgody. Dotyczy to między innymi takich nieobowiązkowych funkcji analitycznych, personalizacyjnych lub podobnych rozwiązań, dla których zgoda jest wymagana przez prawo.
Zgoda może zostać wycofana zgodnie z obowiązującymi przepisami. Jej wycofanie nie wpływa na zgodność z prawem czynności wykonanych przed wycofaniem na podstawie wcześniej udzielonej ważnej zgody.
Kategorie wykorzystywanych informacji
Zakres danych zależy od usług, z których użytkownik rzeczywiście korzysta. Przetwarzane mogą być informacje niezbędne do wykonania danej czynności, w tym imię i nazwisko, adres dostawy, dane kontaktowe, dane dotyczące zamówienia i produktów, informacje niezbędne do ustalenia statusu płatności, informacje dotyczące dostawy i logistyki, treści przekazywane dobrowolnie podczas kontaktu z obsługą klienta oraz dane techniczne konieczne do zapewnienia bezpieczeństwa i prawidłowego funkcjonowania strony.
Nie wymagamy przekazywania danych osobowych, które nie są potrzebne do obsługi zamówienia, świadczenia usług ani prowadzenia działalności w zgodny z prawem sposób.
Pełne dane kart płatniczych są przetwarzane przez właściwego dostawcę usług płatniczych. Platforma nie przechowuje pełnych danych kart klientów.
Zasady odpowiedzialnego przetwarzania
Dane są wykorzystywane w sposób zgodny z prawem, rzetelny i przejrzysty oraz wyłącznie w jasno określonych, zgodnych z prawem celach.
Zakres gromadzonych informacji jest ograniczany do danych odpowiednich i niezbędnych dla celu, w którym są przetwarzane.
Podejmowane są racjonalne działania służące zachowaniu prawidłowości danych oraz ich aktualizacji, gdy jest to potrzebne.
Dane nie są przechowywane dłużej, niż wymaga tego cel ich przetwarzania lub obowiązek wynikający z przepisów.
Stosowane są odpowiednie rozwiązania techniczne i organizacyjne mające chronić dane przed dostępem osób nieuprawnionych, utratą, ujawnieniem, zmianą oraz inną formą przetwarzania niezgodnego z prawem.
Udostępnianie danych przy realizacji usług
Dane osobowe są przekazywane innym podmiotom jedynie w zakresie koniecznym do świadczenia usług, realizacji umowy albo wykonania obowiązków wynikających z prawa.
W zależności od konkretnego zamówienia odbiorcami danych mogą być dostawcy usług płatniczych oraz przewoźnicy faktycznie realizujący transport, w tym DHL Express, FedEx lub UPS. Dane mogą być również udostępniane usługodawcom zapewniającym hosting, funkcjonowanie serwisu, bezpieczeństwo lub wsparcie techniczne.
Jeżeli obowiązek przekazania informacji wynika z prawa, dane mogą zostać udostępnione właściwym organom administracji publicznej, organom regulacyjnym albo organom wymiaru sprawiedliwości uprawnionym do ich otrzymania.
Podmiot przetwarzający dane w naszym imieniu powinien działać zgodnie z obowiązującą umową dotyczącą przetwarzania, otrzymanymi instrukcjami i wymaganiami GDPR/RODO oraz stosować odpowiednie zabezpieczenia.
Samo uzyskanie dostępu do danych w związku ze świadczeniem usług nie uprawnia podmiotu trzeciego do wykorzystywania ich dla nieautoryzowanych, niezależnych celów.
Ochrona danych i postępowanie w przypadku naruszenia
Poziom zabezpieczeń jest dostosowywany do charakteru przetwarzania oraz związanego z nim ryzyka. Stosowane środki mogą obejmować transmisję chronioną protokołem TLS, kontrolę uprawnień, ograniczenie dostępu do danych, zarządzanie bezpieczeństwem systemów oraz odpowiednie mechanizmy kontroli ryzyka i przeglądu zabezpieczeń.
Jeżeli podmiot przetwarzający dane na nasze zlecenie stwierdzi naruszenie ochrony danych osobowych, powinien powiadomić administratora zgodnie z obowiązującym prawem oraz właściwymi zobowiązaniami umownymi.
W przypadku naruszenia wymagającego zgłoszenia organowi nadzorczemu podejmowane są działania wymagane przez GDPR/RODO. Jeżeli przepisy nakazują również poinformowanie osób, których dane dotyczą, odpowiednie informacje są przekazywane zgodnie z obowiązującymi wymaganiami.
Okres przechowywania
Dane osobowe nie są przechowywane bezterminowo.
Długość okresu przechowywania ustala się z uwzględnieniem czasu koniecznego do zrealizowania zamówienia i wykonania usług, obsługi zwrotów, zwrotów płatności, reklamacji lub sporów, a także terminów wynikających z obowiązków podatkowych, księgowych i innych obowiązków ustawowych.
Uwzględniany jest również okres, przez który zachowanie określonych informacji może być racjonalnie konieczne do ustalenia, dochodzenia lub ochrony roszczeń, jak również inne zgodne z prawem cele wskazane użytkownikowi podczas zbierania danych.
Gdy cel przetwarzania zostanie osiągnięty i nie istnieje już podstawa prawna dalszego przechowywania informacji, dane są usuwane, anonimizowane albo poddawane innemu zgodnemu z prawem sposobowi postępowania.
Przekazywanie danych poza Europejski Obszar Gospodarczy
Jeżeli dane osobowe są przekazywane do państwa znajdującego się poza Europejskim Obszarem Gospodarczym albo do organizacji międzynarodowej, transfer odbywa się zgodnie z wymaganiami GDPR dotyczącymi międzynarodowego przekazywania danych.
W zależności od okoliczności podstawą przekazania może być decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony, standardowe klauzule umowne zatwierdzone przez Komisję Europejską, inne odpowiednie zabezpieczenia uznawane przez GDPR albo inny mechanizm transferu dopuszczony przez obowiązujące prawo.
Jeżeli wymaga tego konkretna sytuacja, stosowane są również niezbędne środki uzupełniające służące zapewnieniu odpowiedniego poziomu ochrony danych.
Prawa osób, których dane dotyczą
Osoba, której dane są przetwarzane, może korzystać z praw przewidzianych w GDPR/RODO, o ile w danym przypadku spełnione są właściwe warunki prawne.
Obejmuje to prawo do otrzymania informacji o sposobie przetwarzania danych oraz prawo dostępu do danych osobowych. Użytkownik może również, w odpowiednich przypadkach, żądać sprostowania danych nieprawidłowych lub uzupełnienia danych niekompletnych, ich usunięcia albo ograniczenia przetwarzania.
W sytuacjach przewidzianych prawem przysługuje również prawo sprzeciwu wobec określonego przetwarzania oraz prawo do przenoszenia danych. Jeżeli podstawą przetwarzania jest prawnie uzasadniony interes, osoba, której dane dotyczą, może w przypadkach określonych przez GDPR wnieść sprzeciw wobec takiego przetwarzania.
Gdy przetwarzanie opiera się na zgodzie, zgoda może zostać wycofana na zasadach przewidzianych prawem.
Osobie, której dane dotyczą, przysługuje ponadto prawo do wniesienia skargi do właściwego organu nadzorczego.
Zakres poszczególnych praw zależy od warunków określonych w GDPR/RODO oraz od podstawy prawnej konkretnej operacji przetwarzania. Nie wszystkie prawa mają charakter bezwzględny i nie każde z nich znajduje zastosowanie w każdej sytuacji.
Skarga dotycząca ochrony danych
Osoba, która uważa, że sposób przetwarzania jej danych osobowych narusza GDPR lub inne obowiązujące przepisy dotyczące ochrony danych, może złożyć skargę do właściwego organu nadzorczego.
W sprawach należących do właściwości polskiego organu ochrony danych organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych, czyli Prezes UODO.
Skorzystanie z prawa do wniesienia skargi nie pozbawia użytkownika innych środków ochrony administracyjnej lub sądowej przysługujących mu zgodnie z prawem.
Dane osób niepełnoletnich
Dane osobowe osób małoletnich podlegają szczególnej ochronie.
Jeżeli usługa społeczeństwa informacyjnego jest oferowana bezpośrednio dziecku, a podstawą przetwarzania jego danych jest zgoda, osoba, która ukończyła 16 lat, może udzielić takiej zgody samodzielnie. Jeżeli dziecko ma mniej niż 16 lat, zgoda powinna zostać udzielona lub zaakceptowana przez osobę sprawującą władzę rodzicielską lub opiekę nad dzieckiem.
W sytuacji wymagającej zgody rodzica albo innej osoby sprawującej odpowiedzialność rodzicielską podejmowane są rozsądne działania służące sprawdzeniu takiego upoważnienia, z uwzględnieniem dostępnych możliwości technicznych.
Reguły dotyczące zgody na przetwarzanie danych dziecka nie zmieniają zasad wynikających z prawa polskiego w zakresie zdolności osoby małoletniej do zawierania umów, zaciągania zobowiązań lub dokonywania innych czynności prawnych.
Pliki Cookie i rozwiązania o podobnym działaniu
Informacje przechowywane na urządzeniu użytkownika lub dostęp do takich informacji mogą być wykorzystywane bez odrębnej zgody w zakresie, w jakim jest to konieczne do zapewnienia transmisji lub dostarczenia usługi świadczonej drogą elektroniczną, której użytkownik zażądał. Dotyczy to między innymi rozwiązań niezbędnych do prawidłowego działania strony, koszyka oraz procesu finalizacji zakupu.
W przypadku analitycznych, personalizacyjnych lub innych podobnych plików Cookie, które nie są konieczne do świadczenia żądanej usługi, zgoda użytkownika jest uzyskiwana przed ich wykorzystaniem, jeżeli wymagają tego obowiązujące przepisy.
Użytkownik może zarządzać mającymi zastosowanie nieobowiązkowymi plikami Cookie za pomocą ustawień Cookie udostępnionych w serwisie.
Podmioty przetwarzające, dokumentacja i inspektor ochrony danych
Usługodawcy przetwarzający dane osobowe w naszym imieniu mogą wykorzystywać je wyłącznie w ramach zgodnego z prawem upoważnienia i uzgodnionego celu oraz powinni stosować odpowiednie środki ochrony.
Jeżeli GDPR nakłada obowiązek prowadzenia rejestru czynności przetwarzania lub kategorii czynności przetwarzania, administrator oraz właściwi podmioty przetwarzające prowadzą odpowiednią dokumentację w wymaganym przez prawo zakresie.
Inspektor ochrony danych, określany również jako DPO lub IOD, jest wyznaczany wtedy, gdy obowiązek taki wynika z GDPR lub innych mających zastosowanie przepisów. Jeżeli jego wyznaczenie jest wymagane, odpowiednie informacje kontaktowe są udostępniane zgodnie z prawem, w tym właściwemu organowi nadzorczemu w wymaganym zakresie.
Sam status administratora albo podmiotu przetwarzającego nie oznacza automatycznie obowiązku wyznaczenia inspektora ochrony danych.
Zmiany zasad prywatności
Treść polityki może być aktualizowana, jeżeli jest to potrzebne ze względu na zmianę przepisów, wymagań organów regulacyjnych, funkcjonalności serwisu albo rzeczywistego sposobu przetwarzania danych.
Jeżeli zmiana może w istotny sposób wpłynąć na sposób przetwarzania danych osobowych użytkowników, odpowiednia informacja jest przekazywana w sposób wymagany przez obowiązujące prawo.
Zaktualizowane postanowienia mają zastosowanie do czynności przetwarzania od momentu, w którym zgodnie z prawem stają się skuteczne. Zmiana polityki nie pozbawia użytkowników praw, które przysługują im na podstawie bezwzględnie obowiązujących przepisów o ochronie danych.