Polityka prywatności

Dbamy o Twoje dane tak jak o Twoje zakupy - po ludzku, transparentnie, bez marketingowego śmiecia. Poniżej znajdziesz wszystko, co musimy Ci powiedzieć zgodnie z RODO: kto przetwarza Twoje dane, po co, jak długo i jakie masz prawa.

§1. Inspektor ochrony danych (IOD)

Nie wyznaczyliśmy Inspektora Ochrony Danych, ponieważ nie spełniamy przesłanek obligatoryjnego wyznaczenia z art. 37 ust. 1 RODO (nie jesteśmy organem publicznym, nie prowadzimy regularnego monitorowania osób na dużą skalę ani nie przetwarzamy szczególnych kategorii danych).

We wszystkich sprawach związanych z ochroną danych osobowych skontaktuj się bezpośrednio z nami: Weronika Stasiak, e-mail kontakt@powietrzewspomnien.pl. Odpowiadamy w terminie do 1 miesiąca (art. 12 ust. 3 RODO) - zwykle szybciej.

§2. Co zbieramy i po co - cele, podstawy prawne, okresy

Poniżej w tabeli pokazujemy wszystko, co przetwarzamy - dla jakiego celu, na jakiej podstawie prawnej i jak długo. Bez ukrytych przepływów danych.

Cel	Podstawa prawna	Okres przechowywania
Realizacja zamówienia (dostawa, kontakt, obsługa)	art. 6 ust. 1 lit. b RODO - wykonanie umowy	Do zakończenia realizacji + 2 lata rękojmi (art. 568 KC)
Wystawianie faktur, rozliczenia podatkowe	art. 6 ust. 1 lit. c RODO - obowiązek prawny (Ustawa o rachunkowości art. 74, Ordynacja podatkowa art. 86)	5 lat od końca roku kalendarzowego
Obsługa reklamacji i zwrotów	art. 6 ust. 1 lit. b + c RODO	2 lata rękojmi + 1 rok bufora
Dochodzenie i obrona roszczeń	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes: obrona przed roszczeniami klientów oraz dochodzenie naszych roszczeń	Do upływu przedawnienia: 6 lat (konsument) / 3 lata (B2B) - art. 118 KC
Rejestracja konta (e-mail, hash hasła, token weryfikacyjny 7 dni, status weryfikacji)	art. 6 ust. 1 lit. b RODO - umowa o świadczenie usług elektronicznych (Regulamin §3b)	Do aktywacji konta lub usunięcie konta nieaktywowanego po 30 dniach (housekeeping)
Konto klienta w sklepie (aktywne, po weryfikacji e-mail)	art. 6 ust. 1 lit. b RODO	Do usunięcia konta lub 3 lata nieaktywności
Bezpieczeństwo serwisu (logi, anty-fraud, rate limiting prób logowania/rejestracji)	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes: zapewnienie bezpieczeństwa serwisu, przeciwdziałanie nadużyciom (anty-fraud), ochrona przed atakami brute-force i enumeracją kont	Do 24 miesięcy (okres uwzględnia długość okna detekcji nadużyć)
Akceptacja regulaminu i polityki + adres IP klienta z momentu akceptacji (audit trail RODO)	art. 6 ust. 1 lit. c + f RODO - prawnie uzasadniony interes: wykazanie zgodności z RODO (zasada rozliczalności, art. 5 ust. 2)	6 lat od ostatniej akceptacji (okres przedawnienia roszczeń konsumenckich, art. 118 KC)
Analityka internetowa - statystyki ruchu i zachowania w sklepie (Google Analytics 4 przez Google Tag Manager); dane zanonimizowane, bez danych identyfikujących osobę	art. 6 ust. 1 lit. a RODO - Twoja zgoda wyrażona w banerze cookies	Do 14 miesięcy lub do cofnięcia zgody (wówczas usuwamy cookies GA)
Marketing - pomiar skuteczności naszych reklam w Google (które kliknięcie w reklamę doprowadziło do kontaktu lub zamówienia) oraz remarketing, czyli przypomnienie o nas reklamą na innych stronach (Google Ads). Po tej zgodzie tag Google może przekazać Google dane wpisane przez Ciebie w formularzu (e-mail, telefon, adres) w postaci zaszyfrowanej (skrót SHA-256), żeby dopasować zamówienie do kliknięcia w reklamę	art. 6 ust. 1 lit. a RODO - osobna zgoda na reklamy wyrażona w banerze cookies (zgoda na analitykę jej nie zastępuje)	Do 90 dni od ostatniej wizyty lub do cofnięcia zgody (wówczas przestajemy raportować cokolwiek do Google Ads)
Reklamy Meta - pomiar skuteczności naszych reklam na Facebooku i Instagramie (które wejście z reklamy zakończyło się zamówieniem) oraz pokazywanie naszych reklam osobom, które odwiedziły sklep (piksel Meta, tylko w sklepie)	art. 6 ust. 1 lit. a RODO - zgoda na reklamy wyrażona w banerze cookies, obejmująca wprost Meta	Do 90 dni od ostatniej wizyty lub do cofnięcia zgody (wówczas piksel przestaje wysyłać dane)
Wyszukiwarka sklepu - zapis wpisywanych fraz razem z liczbą znalezionych produktów, żeby wiedzieć, czego szukasz, i dopasować do tego asortyment. U zalogowanych klientów wyszukiwanie jest powiązane z kontem; osoby niezalogowane rozróżniamy wyłącznie jednodniowym, nieodwracalnym skrótem, którego nie da się powiązać między dniami (adresu IP przy tym nie zapisujemy)	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes: dopasowanie asortymentu do tego, czego szukają klienci	Frazy bez powiązania z osobą - bez limitu; powiązanie z kontem - do 24 miesięcy
Statystyka odwiedzin z dzienników serwera (adres IP, przeglądarka, odwiedzona strona, strona, z której przychodzisz) - ile osób odwiedza sklep, skąd trafiają i co oglądają; bez plików cookies, więc także bez zgody z banera	art. 6 ust. 1 lit. f RODO - prawnie uzasadniony interes: wiedza o ruchu w sklepie i skuteczności naszych działań	Dzienniki - 30 dni; zestawienia bez adresów IP - bez limitu

Nie prowadzimy marketingu e-mail ani newslettera. Analitykę internetową (Google Analytics 4) oraz pomiar reklam (Google Ads, Meta) uruchamiamy wyłącznie po Twojej zgodzie wyrażonej w banerze cookies - przed zgodą żadne dane nie trafiają do Google ani do Meta. Statystyki i reklamy to osobne zgody: w ustawieniach cookies każdą dajesz lub cofasz niezależnie, a przycisk „Akceptuję” w banerze obejmuje obie. Gdy dodamy newsletter, zaktualizujemy tę politykę i poprosimy Cię o kolejną osobną zgodę.

§3. Komu przekazujemy Twoje dane

Twoje dane przekazujemy tylko tym podmiotom, którzy są niezbędni do realizacji Twojego zamówienia. Każdy z nich działa na podstawie umowy powierzenia przetwarzania zgodnej z art. 28 RODO:

Hetzner Online GmbH (Niemcy) - hosting serwerów aplikacji i bazy danych. Dane na terenie UE.
Cloudflare, Inc. (USA) - przechowywanie plików (Cloudflare R2): zdjęcia produktów dostarczane przez CDN pod adresem assets.powietrzewspomnien.pl oraz, w zasobach prywatnych, faktury PDF i kopie zapasowe bazy danych. Przy wyświetlaniu zdjęć przetwarza adres IP i dane przeglądarki. Transfer USA na podstawie DPF + SCC (szczegóły w §4).
Google Ireland Limited / Google LLC (Irlandia / USA) - usługi Google Analytics 4 i Google Tag Manager, uruchamiane wyłącznie po Twojej zgodzie na analitykę, oraz Google Ads (pomiar konwersji i remarketing), uruchamiany wyłącznie po Twojej zgodzie na reklamy. Otrzymuje dane statystyczne i informacje o kliknięciu w reklamę; po zgodzie na reklamy także dane wpisane w formularzu (e-mail, telefon, adres) w postaci zaszyfrowanej. Transfer USA na podstawie DPF (szczegóły w §4).
Meta Platforms Ireland Limited / Meta Platforms, Inc. (Irlandia / USA) - piksel Meta w sklepie (pomiar reklam na Facebooku i Instagramie oraz pokazywanie naszych reklam osobom, które odwiedziły sklep), uruchamiany wyłącznie po Twojej zgodzie na reklamy. Otrzymuje informacje o odwiedzonych stronach, oglądanych produktach, dodaniu do koszyka i zakupie (kod zamówienia, wartość, produkty). Transfer USA na podstawie DPF (szczegóły w §4).
Krajowy Integrator Płatności S.A. (Tpay) (Polska) - obsługa płatności BLIK, kartami i szybkimi przelewami. Otrzymuje dane niezbędne do realizacji transakcji.
Furgonetka sp. z o.o. sp.k. (Polska) - broker przewozów, pośredniczy w nadaniu paczki do wybranego kuriera (InPost, DPD, Poczta Polska, GLS). Otrzymuje dane do dostawy.
Operatorzy kurierscy (InPost, DPD, Poczta Polska, GLS - w zależności od wybranej metody) - dostawa Towaru.
inFakt sp. z o.o. (Polska) - wystawianie faktur VAT, przesyłanie ich do Krajowego Systemu e-Faktur (KSeF) i prowadzenie księgowości.
Resend, Inc. (USA, serwery w Irlandii) - wysyłka e-maili transakcyjnych: potwierdzeń zamówień, powiadomień o statusie przesyłki, faktur. Otrzymuje adres e-mail i treść wiadomości. Transfer USA na podstawie SCC (szczegóły w §4).
Biuro rachunkowe obsługujące Sprzedawcę - rozliczenia podatkowe.

Twoich danych nie sprzedajemy, nie udostępniamy do celów marketingowych podmiotom trzecim i nie przekazujemy nikomu poza powyższą listą bez Twojej wyraźnej zgody.

§4. Transfer danych poza Europejski Obszar Gospodarczy

Część danych technicznych (adres IP, dane przeglądarki) przy wyświetlaniu zdjęć przetwarza Cloudflare, Inc. z siedzibą w USA, u którego przechowujemy też pliki (zdjęcia, faktury, kopie zapasowe). E-maile transakcyjne wysyła Resend, Inc. (USA) z serwerów w Irlandii. Jeśli wyrazisz zgodę na analitykę, dane statystyczne przetwarza dodatkowo Google LLC (USA) w ramach Google Analytics 4; jeśli wyrazisz zgodę na reklamy - ten sam podmiot w ramach Google Ads oraz Meta Platforms, Inc. (USA) w ramach piksela Meta. Transfery odbywają się zgodnie z prawem na podstawie dwóch zabezpieczeń:

EU-U.S. Data Privacy Framework (DPF) - decyzja Komisji Europejskiej z 10 lipca 2023 r. (C(2023) 4745) o stwierdzeniu odpowiedniego stopnia ochrony danych w USA dla podmiotów certyfikowanych DPF. Cloudflare, Google i Meta są aktywnymi uczestnikami DPF.
Standardowe Klauzule Umowne (SCC) - na podstawie decyzji KE 2021/914 (art. 46 ust. 2 lit. c RODO). Stanowią zabezpieczenie dodatkowe, a dla Resend - podstawowe.

Kopię SCC możesz uzyskać pisząc na kontakt@powietrzewspomnien.pl. W razie unieważnienia decyzji KE o DPF, transfer pozostaje ważny na podstawie SCC. Pozostali nasi procesorzy (Hetzner, Tpay, Furgonetka, kurierzy, inFakt, biuro rachunkowe) działają wyłącznie na terenie EOG.

§5. Twoje prawa

W związku z przetwarzaniem Twoich danych przysługują Ci następujące prawa:

Prawo dostępu (art. 15 RODO) - uzyskanie potwierdzenia, czy przetwarzamy Twoje dane oraz otrzymanie ich kopii.
Prawo sprostowania (art. 16 RODO) - poprawienie nieprawidłowych lub uzupełnienie niekompletnych danych.
Prawo usunięcia („prawo do bycia zapomnianym”, art. 17 RODO) - z zastrzeżeniem naszych obowiązków prawnych (np. przechowywanie faktur 5 lat).
Prawo ograniczenia przetwarzania (art. 18 RODO) - gdy kwestionujesz prawidłowość danych lub wnosisz sprzeciw.
Prawo do sprzeciwu (art. 21 RODO) - wobec przetwarzania opartego na uzasadnionym interesie. W przypadku marketingu bezpośredniego sprzeciw jest bezwarunkowy i realizowany niezwłocznie. W pozostałych przypadkach rozpatrzymy sprzeciw indywidualnie, biorąc pod uwagę Twoją szczególną sytuację (art. 21 ust. 1 RODO).
Prawo przenoszenia danych (art. 20 RODO) - otrzymanie danych w formacie nadającym się do odczytu maszynowego.

Jeżeli przetwarzanie odbywa się na podstawie Twojej zgody (np. newsletter w przyszłości), przysługuje Ci dodatkowo prawo cofnięcia zgody w dowolnym momencie. Cofnięcie nie wpływa na zgodność z prawem przetwarzania dokonanego przed cofnięciem.

Aby skorzystać z któregokolwiek prawa, napisz na kontakt@powietrzewspomnien.pl. Odpowiadamy w terminie do 1 miesiąca (art. 12 ust. 3 RODO).

§6. Pliki cookies

Używamy plików cookies (i podobnych technologii localStorage). Szczegóły - jakie cookies używamy, po co i jak nimi zarządzać - opisaliśmy w osobnej Polityce cookies.

Cookies niezbędne do działania sklepu (koszyk, sesja logowania, preferencje motywu) działają zawsze. Cookies analityczne (Google Analytics 4) oraz marketingowe (Google Ads i piksel Meta - pomiar konwersji i remarketing) uruchamiamy wyłącznie po Twojej wyraźnej zgodzie wyrażonej przez baner cookies; w ustawieniach cookies każdą z tych kategorii włączasz lub wyłączasz osobno.

Twój wybór zapisujemy w cookie ustawionym na domenę .powietrzewspomnien.pl, więc obowiązuje on w obu serwisach tego samego administratora: w sklepie (sklep.powietrzewspomnien.pl) i na stronie dekoracji (powietrzewspomnien.pl, dekoracje.powietrzewspomnien.pl). Cofnięcie zgody działa tak samo - w obu miejscach naraz.

§7. Dobrowolność podania danych

Podanie danych jest dobrowolne, ale w zależności od sytuacji może być niezbędne:

E-mail i hasło - wymagane wyłącznie do założenia konta. Samo konto nie wymaga podawania innych danych osobowych poza adresem e-mail.
Imię, nazwisko, adres dostawy, telefon - wymagane przy składaniu zamówienia (zarówno jako gość, jak i jako zalogowany użytkownik). Bez tych danych nie zrealizujemy dostawy.
NIP, nazwa firmy - wymagane, jeśli chcesz otrzymać fakturę VAT na firmę.
Adres IP - zapisywany automatycznie w momencie akceptacji Regulaminu i Polityki Prywatności oraz w dziennikach serwera (bezpieczeństwo, ochrona przed nadużyciami i statystyka odwiedzin - patrz §2).

§8. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec Ciebie zautomatyzowanych decyzji w rozumieniu art. 22 RODO (decyzje wywołujące skutki prawne lub w podobny sposób istotnie wpływające), w tym profilowania automatycznego. Wszystkie decyzje dotyczące Twoich zamówień, reklamacji i odstąpień podejmujemy indywidualnie z udziałem człowieka.

Mówimy o tym wprost, bo brzmi podobnie: jeśli wyrazisz zgodę na reklamy, Google i Meta na podstawie Twojej wizyty dobierają, którą naszą reklamę zobaczysz na innych stronach, na Facebooku lub Instagramie (remarketing). To profilowanie w rozumieniu art. 4 pkt 4 RODO, ale nie wywołuje wobec Ciebie skutków prawnych - nie wpływa na ceny, dostępność towaru ani na rozpatrzenie reklamacji. Wyłączysz je w każdej chwili, cofając zgodę na reklamy w ustawieniach cookies.

§9. Bezpieczeństwo danych

Stosujemy adekwatne środki techniczne i organizacyjne chroniące Twoje dane przed nieuprawnionym dostępem, utratą lub zniszczeniem (art. 32 RODO):

Połączenie szyfrowane HTTPS (TLS) na całej stronie
Hasła klientów przechowywane jako hash (nie znamy ich)
Sesja użytkownika w cookie zabezpieczonym (httpOnly, Secure, SameSite=Lax) - niedostępna dla JavaScript
Weryfikacja adresu e-mail wymagana do zalogowania - chroni przed zakładaniem fałszywych kont
Ograniczanie liczby prób logowania, rejestracji i resetu hasła (rate limiting) - ochrona przed atakami brute-force i enumeracją kont
Płatności obsługiwane przez certyfikowanego operatora Tpay - nie przechowujemy danych kart
Regularne backupy bazy danych
Aktualizacje bezpieczeństwa serwera i aplikacji
Dostęp do panelu administracyjnego tylko dla wyznaczonych osób

W razie naruszenia ochrony danych mogącego skutkować wysokim ryzykiem dla Twoich praw, poinformujemy Cię bez zbędnej zwłoki, zgodnie z art. 34 RODO.

§10. Zmiany polityki prywatności

Możemy zmienić tę politykę, gdy wymaga tego zmiana przepisów prawa, zakresu naszych usług lub naszych procesorów. O zmianach poinformujemy Cię z co najmniej 14-dniowym wyprzedzeniem drogą elektroniczną (jeżeli posiadasz konto) lub przez wyraźne ogłoszenie w Sklepie.

Aktualna wersja polityki jest zawsze dostępna pod adresem sklep.powietrzewspomnien.pl/polityka-prywatnosci wraz z numerem wersji i datą wejścia w życie.

Zobacz również: Regulamin sklepu · Polityka cookies