§1 Administrator danych osobowych
1. Administratorem danych osobowych zbieranych za pośrednictwem sklepu internetowego glutenfree24.pl (dalej: „Sklep”) jest:
Perłowa 7
61-680 Poznań
NIP: 9721377780
KRS: 0001231412
Kapitał zakładowy: 10 000 zł
(dalej: „Administrator”)
2. Kontakt z Administratorem w sprawach dotyczących ochrony danych osobowych: info@glutenfree24.pl
3. Administrator nie powołał Inspektora Ochrony Danych (IOD), ponieważ nie jest do tego zobowiązany na podstawie art. 37 RODO. Wszelkie zapytania dotyczące danych osobowych należy kierować bezpośrednio do Administratora.
§2 Cele i podstawy prawne przetwarzania danych
Administrator przetwarza dane osobowe w następujących celach i na następujących podstawach prawnych:
| Cel przetwarzania | Podstawa prawna (RODO) | Okres przechowywania |
|---|---|---|
| Realizacja zamówienia i umowy sprzedaży | Art. 6 ust. 1 lit. b — niezbędność do wykonania umowy | Przez czas trwania umowy + 6 lat (przedawnienie roszczeń) |
| Prowadzenie konta klienta w Sklepie | Art. 6 ust. 1 lit. b — niezbędność do wykonania umowy (regulamin konta) | Do czasu usunięcia konta przez Klienta |
| Wystawianie faktur i dokumentacja księgowa | Art. 6 ust. 1 lit. c — obowiązek prawny (ustawa o rachunkowości, ordynacja podatkowa) | 5 lat od końca roku podatkowego |
| Obsługa reklamacji i zwrotów | Art. 6 ust. 1 lit. c — obowiązek prawny (ustawa o prawach konsumenta) | Przez czas trwania postępowania + 6 lat |
| Realizacja Programu „Zestaw Testowy GF24″ (wysyłka nieodpłatnego zestawu, kontakt z Uczestnikiem) | Art. 6 ust. 1 lit. b — niezbędność do wykonania świadczenia w ramach Programu | 24 miesiące od daty wysyłki zestawu |
| Weryfikacja autentyczności Uczestnika Programu „Zestaw Testowy GF24″ na podstawie publicznego profilu społecznościowego | Art. 6 ust. 1 lit. f — prawnie uzasadniony interes Administratora | 24 miesiące od daty zgłoszenia |
| Wysyłka newslettera i treści marketingowych | Art. 6 ust. 1 lit. a — zgoda osoby, której dane dotyczą | Do czasu wycofania zgody |
| Marketing bezpośredni produktów własnych | Art. 6 ust. 1 lit. f — prawnie uzasadniony interes Administratora | Do czasu wniesienia sprzeciwu |
| Analityka i statystyki (Google Analytics) | Art. 6 ust. 1 lit. a — zgoda (cookies analityczne) | Zgodnie z ustawieniami GA — maks. 26 miesięcy |
| Remarketing i reklama (Facebook Pixel / Meta) | Art. 6 ust. 1 lit. a — zgoda (cookies marketingowe) | Zgodnie z ustawieniami Meta — maks. 180 dni |
| Dochodzenie i obrona przed roszczeniami | Art. 6 ust. 1 lit. f — prawnie uzasadniony interes Administratora | 6 lat od zdarzenia (przedawnienie) |
§3 Zakres zbieranych danych
3.1 Dane zbierane przy składaniu zamówienia
- imię i nazwisko
- adres dostawy (ulica, numer, kod pocztowy, miejscowość)
- adres e-mail
- numer telefonu
- dane do faktury (opcjonalnie): nazwa firmy, NIP, adres siedziby
3.2 Dane zbierane przy rejestracji konta
- imię i nazwisko
- adres e-mail (login)
- hasło (przechowywane w formie zaszyfrowanej)
- historia zamówień
3.3 Dane zbierane przy zapisie na newsletter
- adres e-mail
- imię (opcjonalnie)
3.4 Dane zbierane w ramach Programu „Zestaw Testowy GF24″
- imię i nazwisko
- adres dostawy
- adres e-mail
- numer telefonu (jeśli wybrana forma dostawy tego wymaga)
- link do publicznego profilu społecznościowego (Facebook / Instagram / LinkedIn)
- krótki opis sytuacji zdrowotnej lub dietetycznej (dobrowolnie podany)
- informacje o alergiach i preferencjach żywieniowych (dobrowolnie podane)
3.5 Dane zbierane automatycznie
- adres IP
- typ przeglądarki i systemu operacyjnego
- dane o aktywności na stronie (przeglądane podstrony, czas wizyty)
- dane z plików cookies i podobnych technologii
§4 Odbiorcy danych osobowych
Dane osobowe Klientów i Uczestników mogą być przekazywane następującym kategoriom odbiorców:
| Kategoria odbiorcy | Podmiot | Cel przekazania |
|---|---|---|
| Hosting | Cyber_Folks S.A., Polska | Przechowywanie danych na serwerze |
| Płatności online | U.S. Bank Europe Designated Activity Company (Sp. z o.o. o Wyznaczonym Przedmiocie Działalności) Oddział w Polsce z siedzibą w Warszawie, ul. Puławska 17, 02-515 Warszawa, KRS 0000287836, NIP 2090000825 — działający pod marką handlową Elavon | Obsługa transakcji płatniczych |
| Dostawa | InPost sp. z o.o., Polska | Realizacja dostawy (imię, adres, telefon) |
| Analityka | Google LLC, USA | Google Analytics — statystyki ruchu |
| Marketing / remarketing | Meta Platforms Ireland Ltd. | Facebook Pixel — reklama |
| Newsletter | MailerLite Limited, Irlandia (Ground Floor, 71 Lower Baggot Street, Dublin 2, D02 P593) | Wysyłka newslettera i treści marketingowych (adres e-mail, imię) |
| Księgowość | Zewnętrzne biuro rachunkowe Administratora (Polska) | Prowadzenie księgowości i rozliczeń podatkowych |
Dane osobowe mogą być również udostępniane organom państwowym na podstawie obowiązujących przepisów prawa.
§5 Przekazywanie danych poza Europejski Obszar Gospodarczy
- W związku z korzystaniem z usług Google Analytics i Facebook Pixel, dane osobowe mogą być przekazywane do państw trzecich (USA).
- Przekazanie danych do USA odbywa się na podstawie decyzji Komisji Europejskiej w sprawie adekwatnego poziomu ochrony (EU-US Data Privacy Framework) lub standardowych klauzul umownych przyjętych przez Komisję Europejską.
- Administrator stosuje dodatkowe środki ochrony, w tym anonimizację adresów IP w Google Analytics (funkcja IP Anonymization).
§6 Prawa osób, których dane dotyczą
Na podstawie RODO każda osoba, której dane są przetwarzane przez Administratora, ma prawo do:
- Dostępu do danych (art. 15 RODO) — uzyskania informacji o przetwarzanych danych oraz kopii danych.
- Sprostowania danych (art. 16 RODO) — żądania poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.
- Usunięcia danych (art. 17 RODO, „prawo do bycia zapomnianym”) — żądania usunięcia danych, gdy nie są już niezbędne lub przetwarzanie jest niezgodne z prawem.
- Ograniczenia przetwarzania (art. 18 RODO) — żądania ograniczenia przetwarzania danych w określonych sytuacjach.
- Przenoszenia danych (art. 20 RODO) — otrzymania danych w ustrukturyzowanym formacie i przesłania ich innemu administratorowi.
- Sprzeciwu (art. 21 RODO) — wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora, w tym marketingu bezpośredniego.
- Wycofania zgody (art. 7 ust. 3 RODO) — wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
- Skargi do organu nadzorczego — złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl), jeśli Klient uzna, że przetwarzanie narusza przepisy RODO.
W celu skorzystania z powyższych praw należy skontaktować się z Administratorem na adres e-mail wskazany w §1. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania.
§7 Pliki cookies i technologie śledzące
- Sklep wykorzystuje pliki cookies (ciasteczka) — niewielkie pliki tekstowe zapisywane na urządzeniu Klienta podczas korzystania ze Sklepu.
- Rodzaje wykorzystywanych plików cookies:
| Rodzaj cookies | Cel | Podstawa prawna |
|---|---|---|
| Niezbędne (techniczne) | Obsługa koszyka, logowanie, sesja użytkownika, obsługa płatności | Art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) |
| Analityczne (Google Analytics) | Statystyki ruchu, analiza zachowań użytkowników, poprawa działania Sklepu | Art. 6 ust. 1 lit. a RODO (zgoda) |
| Marketingowe (Facebook Pixel) | Remarketing, personalizacja reklam, pomiar skuteczności kampanii | Art. 6 ust. 1 lit. a RODO (zgoda) |
- Cookies analityczne i marketingowe są instalowane wyłącznie po uzyskaniu zgody Klienta za pośrednictwem banera cookies wyświetlanego przy pierwszej wizycie na stronie.
- Klient może w dowolnym momencie zmienić ustawienia cookies: wycofać zgodę na cookies analityczne i marketingowe za pośrednictwem banera cookies (link „Ustawienia cookies” w stopce strony), zmienić ustawienia przeglądarki internetowej w zakresie akceptacji plików cookies.
- Wyłączenie cookies niezbędnych może uniemożliwić korzystanie z niektórych funkcji Sklepu (np. koszyk, logowanie).
§8 Google Analytics
- Sklep korzysta z Google Analytics 4 — usługi analizy internetowej świadczonej przez Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA).
- Google Analytics wykorzystuje pliki cookies do analizy sposobu korzystania ze Sklepu przez użytkowników.
- Administrator włączył funkcję anonimizacji IP (IP Anonymization), dzięki czemu adres IP Klienta jest skracany przed przekazaniem do serwerów Google.
- Dane zbierane przez Google Analytics nie pozwalają na bezpośrednią identyfikację Klienta.
- Klient może zablokować zbieranie danych przez Google Analytics poprzez: odmowę zgody w banerze cookies, zainstalowanie dodatku do przeglądarki (Google Analytics Opt-out Browser Add-on).
§9 Facebook Pixel (Meta)
- Sklep korzysta z narzędzia Facebook Pixel dostarczanego przez Meta Platforms Ireland Limited (4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irlandia).
- Facebook Pixel zbiera dane o aktywności Klienta na stronie Sklepu w celu: wyświetlania spersonalizowanych reklam na platformach Meta (Facebook, Instagram), pomiaru skuteczności kampanii reklamowych, tworzenia grup odbiorców (Custom Audiences).
- Facebook Pixel jest aktywowany wyłącznie po wyrażeniu zgody przez Klienta za pośrednictwem banera cookies.
- Klient może wycofać zgodę w dowolnym momencie poprzez ustawienia cookies na stronie Sklepu lub ustawienia reklam na koncie Facebook (facebook.com/ads/preferences).
§10 Newsletter
- Klient może zapisać się na newsletter Sklepu, podając swój adres e-mail i wyrażając dobrowolną zgodę na otrzymywanie treści marketingowych.
- Zapis na newsletter wymaga potwierdzenia adresu e-mail (double opt-in).
- Klient może w dowolnym momencie zrezygnować z newslettera poprzez: kliknięcie linku „wypisz się” znajdującego się w każdej wiadomości, kontakt z Administratorem na adres e-mail wskazany w §1.
- Wycofanie zgody na newsletter nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
- Operatorem technicznym systemu newslettera jest MailerLite Limited z siedzibą pod adresem: Ground Floor, 71 Lower Baggot Street, Dublin 2, D02 P593, Irlandia (dalej: „MailerLite”). MailerLite działa jako podmiot przetwarzający dane osobowe na podstawie umowy powierzenia przetwarzania danych zawartej z Administratorem.
- W ramach usługi newsletter MailerLite przetwarza adres e-mail oraz imię (opcjonalnie) Klienta wyłącznie w celu wysyłki wiadomości marketingowych i analizy ich skuteczności (otwarcia, kliknięcia).
- Polityka prywatności MailerLite dostępna jest pod adresem: mailerlite.com/legal/privacy-policy.
§11 Bezpieczeństwo danych
Administrator stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzanych danych osobowych, w tym:
- przechowywanie haseł w formie zaszyfrowanej (hashowanie)
- regularne aktualizacje oprogramowania (WordPress, WooCommerce, wtyczki)
- ograniczenie dostępu do danych wyłącznie do osób upoważnionych
- regularne tworzenie kopii zapasowych
Mimo stosowania odpowiednich środków ochrony, Administrator informuje, że żadna metoda transmisji danych przez internet ani metoda elektronicznego przechowywania nie jest w 100% bezpieczna.
§12 Komentarze i awatary Gravatar
Po dodaniu komentarza na stronie, zaszyfrowany ciąg znaków (hash) wygenerowany z adresu e-mail Klienta może zostać przekazany do usługi Gravatar w celu weryfikacji, czy Klient korzysta z tej usługi. Polityka prywatności usługi Gravatar dostępna jest pod adresem: automattic.com/privacy. Po zaakceptowaniu komentarza zdjęcie profilowe Klienta z usługi Gravatar staje się publicznie widoczne w kontekście jego komentarza.
§13 Program „Zestaw Testowy GlutenFree24″
W ramach Programu „Zestaw Testowy GF24″ — nieodpłatnej akcji promocyjnej kierowanej do osób z celiakią lub na diecie bezglutenowej — Administrator przetwarza dane osobowe Uczestników na zasadach opisanych w niniejszym paragrafie oraz w Regulaminie Programu Zestaw Testowy.
13.1 Zakres przetwarzanych danych
W ramach zgłoszenia do Programu Administrator przetwarza następujące kategorie danych osobowych:
- imię i nazwisko
- adres dostawy (Paczkomat lub adres kuriera)
- adres e-mail
- numer telefonu (jeśli wybrana forma dostawy tego wymaga)
- link do publicznego profilu społecznościowego (Facebook, Instagram lub LinkedIn) — wraz z publicznie dostępnymi informacjami z tego profilu, w zakresie niezbędnym do weryfikacji autentyczności Uczestnika
- krótki opis sytuacji zdrowotnej lub dietetycznej — dobrowolnie podany przez Uczestnika
- informacje o preferencjach żywieniowych i alergiach — dobrowolnie podane
13.2 Cele i podstawy prawne przetwarzania
| Cel przetwarzania | Podstawa prawna (RODO) | Okres przechowywania |
|---|---|---|
| Realizacja świadczenia w ramach Programu (wysyłka zestawu, kontakt z Uczestnikiem) | Art. 6 ust. 1 lit. b — niezbędność do wykonania świadczenia | 24 miesiące od daty wysyłki zestawu |
| Weryfikacja autentyczności Uczestnika (sprawdzenie publicznego profilu społecznościowego) | Art. 6 ust. 1 lit. f — prawnie uzasadniony interes Administratora | 24 miesiące od daty zgłoszenia |
| Komunikacja w sprawie zgłoszenia (akceptacja, odmowa, follow-up) | Art. 6 ust. 1 lit. b i lit. f | 24 miesiące od ostatniej komunikacji |
| Rozpatrywanie reklamacji w ramach Programu | Art. 6 ust. 1 lit. c — obowiązek prawny | 6 lat (okres przedawnienia roszczeń) |
13.3 Dane z profilu społecznościowego — szczególne zasady
Link do publicznego profilu społecznościowego Uczestnik podaje dobrowolnie w celu umożliwienia Administratorowi weryfikacji autentyczności zgłoszenia. W tym kontekście:
- Administrator nie pobiera, nie archiwizuje ani nie przekazuje podmiotom trzecim treści z profilu społecznościowego Uczestnika
- weryfikacja polega wyłącznie na jednorazowym sprawdzeniu, czy profil jest aktywny i autentyczny
- sam link do profilu jest przechowywany w wewnętrznej bazie zgłoszeń przez okres do 24 miesięcy
- Administrator nie wykorzystuje danych z profilu w celach marketingowych, profilowania ani analitycznych
13.4 Odbiorcy danych w ramach Programu
Dane osobowe Uczestników Programu mogą być przekazywane wyłącznie kategoriom odbiorców wskazanym w §4 niniejszej Polityki — w szczególności operatorowi usług kurierskich (InPost), operatorowi usług płatniczych (Elavon — w zakresie płatności za koszt dostawy) oraz dostawcy hostingu (Cyber_Folks S.A.).
Dane Uczestników Programu nie są przekazywane poza Europejski Obszar Gospodarczy ani sprzedawane podmiotom trzecim.
13.5 Dobrowolność podania danych
Podanie danych w ramach zgłoszenia do Programu jest dobrowolne, ale niezbędne do uczestnictwa. W szczególności:
- brak podania imienia, nazwiska i adresu dostawy uniemożliwia realizację wysyłki zestawu
- brak podania linku do publicznego profilu społecznościowego uniemożliwia weryfikację zgłoszenia zgodnie z warunkami Regulaminu Programu
13.6 Prawa Uczestnika
Uczestnikowi Programu przysługują wszystkie prawa wymienione w §6 niniejszej Polityki Prywatności. W celu skorzystania z tych praw należy skontaktować się z Administratorem na adres: info@glutenfree24.pl.
§14 Postanowienia końcowe
- Polityka Prywatności może być aktualizowana w celu dostosowania do zmian w przepisach prawa lub zmian w sposobie przetwarzania danych. Aktualna wersja jest zawsze dostępna na stronie Sklepu.
- W sprawach nieuregulowanych niniejszą Polityką Prywatności zastosowanie mają przepisy RODO, ustawy o ochronie danych osobowych oraz prawa telekomunikacyjnego.
- Polityka Prywatności obowiązuje od dnia jej publikacji na stronie Sklepu.