Dokumenty
Polityka prywatności sklepu Astrovita
Status
Wersja robocza — dokument czeka na weryfikację prawną i może się zmienić przed startem sklepu.
Obowiązuje od: [do uzupełnienia] · Wersja: [do uzupełnienia]
1. Administrator
Administratorem Twoich danych osobowych jest CALBO sp. z o.o., ul. Józefa Piłsudskiego 23, 32-050 Skawina, KRS 0001081633, NIP 9442286423 („my"). Kontakt w sprawach danych: [do uzupełnienia] (np. prywatnosc@astrovita.store) albo listownie na adres siedziby. [do uzupełnienia]
Wyjątek na czas zamówień testowych. Do czasu uruchomienia rachunku Calbo u operatora płatności płatności za zamówienia testowe przyjmuje [do uzupełnienia] za pośrednictwem Stripe (regulamin § 9 ust. 4). W tym zakresie dane płatnicze przetwarza również [do uzupełnienia] — [do uzupełnienia].
2. Jakie dane, w jakim celu, na jakiej podstawie i jak długo
| Cel | Dane | Podstawa prawna | Jak długo |
|---|---|---|---|
| Zawarcie i wykonanie umowy sprzedaży, w tym subskrypcji; dostawa | imię i nazwisko, e-mail, telefon, adres dostawy lub wybrany Paczkomat, zamówione produkty, historia zamówień | art. 6 ust. 1 lit. b RODO (umowa) | do końca umowy, potem do upływu terminów przedawnienia roszczeń (zasadniczo 6 lat, koniec roku kalendarzowego — art. 118 k.c.) |
| Zamówienia testowe: płatność, automatyczny zwrot, e-mail o zwrocie i kod założycielski | jw. + identyfikatory płatności i zwrotu nadane przez Stripe, status zwrotu | art. 6 ust. 1 lit. b RODO; w zakresie kontroli limitów i zapobiegania nadużyciom — art. 6 ust. 1 lit. f (prawnie uzasadniony interes) | jw.; wpis uprawnienia do kodu założycielskiego — do jego wykorzystania albo wygaśnięcia + 6 lat |
| Limity zamówień testowych i ochrona przed nadużyciami (m.in. testowaniem kart) | adres IP, znormalizowany adres e-mail, token weryfikacji Cloudflare Turnstile, odcisk karty (card fingerprint) udostępniany przez Stripe — nie przechowujemy numeru karty | art. 6 ust. 1 lit. f RODO — bezpieczeństwo płatności i sklepu | adres IP i token — do [do uzupełnienia] dni; fingerprint — [do uzupełnienia] |
| Rozliczenia podatkowe i księgowe (faktury, dowody sprzedaży, korekty) | dane z zamówienia i płatności | art. 6 ust. 1 lit. c RODO (obowiązek prawny — przepisy o VAT i rachunkowości) | 5 lat od końca roku, w którym upłynął termin płatności podatku |
| Reklamacje, odstąpienia, obsługa zapytań | dane kontaktowe, treść zgłoszenia, zdjęcia | art. 6 ust. 1 lit. b, c i f RODO | do zakończenia sprawy, potem do przedawnienia roszczeń |
| Konto klienta | e-mail, dane logowania (hasło tylko w postaci skrótu) albo link logowania, ustawienia subskrypcji | art. 6 ust. 1 lit. b RODO | do usunięcia konta |
| Lista oczekujących („powiadom mnie") i e-maile o starcie sklepu | e-mail, gatunek zwierzęcia, interesujący Cię produkt, data i dowód potwierdzenia zapisu (double opt-in) | art. 6 ust. 1 lit. a RODO (zgoda) w zw. z art. 398 Prawa komunikacji elektronicznej (Dz.U. 2024 poz. 1221) | do wycofania zgody; dowód zgody — do przedawnienia roszczeń |
| Informacje o reklamacji produktu u producenta/organów (bezpieczeństwo paszy) | numer partii, opis zdarzenia, dane kontaktowe | art. 6 ust. 1 lit. c RODO (obowiązki podmiotu działającego na rynku pasz) i lit. f | zgodnie z obowiązkami identyfikowalności pasz |
| Statystyka odwiedzin (Plausible) | zagregowane statystyki bez cookies i bez przechowywania adresu IP (pkt 3) | art. 6 ust. 1 lit. f RODO | zagregowane dane bez terminu |
| Diagnostyka błędów (Sentry) | techniczne dane o błędzie: adres strony, przeglądarka, identyfikator zamówienia; bez treści formularzy i danych karty | art. 6 ust. 1 lit. f RODO — niezawodność sklepu i płatności | [do uzupełnienia] dni |
| Ustalenie, dochodzenie i obrona roszczeń | dane potrzebne w konkretnej sprawie | art. 6 ust. 1 lit. f RODO | do przedawnienia roszczeń |
Podanie danych jest dobrowolne, ale bez danych potrzebnych do zamówienia nie możemy go przyjąć ani zrealizować. Nie podejmujemy decyzji wyłącznie w sposób zautomatyzowany wywołujących wobec Ciebie skutki prawne w rozumieniu art. 22 RODO, z jednym wyjątkiem opisanym wprost: automatyczne odrzucenie zamówienia testowego ponad limit (regulamin § 9 ust. 6) — skutkiem jest wyłącznie pełny zwrot. Możesz poprosić o ponowne rozpatrzenie przez człowieka.
Nie sprzedajemy danych. Nie profilujemy w celach marketingowych. Nie używamy pikseli reklamowych.
3. Komu przekazujemy dane (mapa odbiorców)
| Odbiorca | Rola | Co robi | Dane | Gdzie | Podstawa transferu poza EOG |
|---|---|---|---|---|---|
| Stripe — dla kont w EOG: Stripe Payments Europe, Limited (Irlandia) ✔ | ☐ podmiot przetwarzający w zakresie obsługi płatności; samodzielny administrator w zakresie własnych obowiązków (przeciwdziałanie praniu pieniędzy, nadużycia, rozliczenia z organizacjami kartowymi) ☐ | płatności, subskrypcje, zwroty, ocena ryzyka (Radar), potwierdzenia płatności | dane płatności, e-mail, kwoty, adres IP, dane urządzenia | UE; także USA (Stripe, LLC) ☐ | ☐ EU-US Data Privacy Framework / standardowe klauzule umowne |
| Resend (Resend, Inc., USA) ☐ | podmiot przetwarzający | wysyłka e-maili transakcyjnych (potwierdzenia, zwroty, subskrypcje) z domeny astrovita.store | e-mail, imię, treść wiadomości | USA ☐ | standardowe klauzule umowne (część DPA Resend) ✔ w opisie DPA ☐ |
| Cloudflare (Cloudflare, Inc., USA) ✔ DPA | podmiot przetwarzający | DNS, CDN, ochrona przed atakami (WAF), Turnstile (weryfikacja „czy jesteś człowiekiem"), przekierowanie poczty hello@/sklep@ | adres IP, dane żądań HTTP, token Turnstile, treść e-maili przekierowywanych | globalnie ☐ | ☐ DPF / SCC |
| Plausible Analytics (Plausible Insights OÜ, Estonia) ✔ | podmiot przetwarzający | statystyka odwiedzin bez cookies, bez trwałych identyfikatorów; adres IP nie jest przechowywany ✔ | zagregowane dane o odwiedzinach | UE (infrastruktura w Niemczech ✔ wg plausible.io/dpa) | nie dotyczy |
| InPost sp. z o.o. (Kraków) ✔ | ☐ samodzielny administrator jako przewoźnik (InPost wskazuje siebie jako administratora w swojej polityce ✔) | doręczenie przesyłek, powiadomienia o paczce | imię i nazwisko, telefon, e-mail, adres albo Paczkomat | UE | nie dotyczy |
| Hetzner Online GmbH (Gunzenhausen, Niemcy) ✔ DPA art. 28 | podmiot przetwarzający | hosting serwera sklepu i bazy danych | wszystkie dane sklepu | UE (Niemcy/Finlandia — [do uzupełnienia]) | nie dotyczy |
| Saleor (oprogramowanie open source, uruchomione na naszym serwerze) | nie jest odbiorcą — to nasze narzędzie; dane nie trafiają do Saleor Commerce | system zamówień i katalogu | dane zamówień | jak Hetzner | nie dotyczy |
| Sentry (Functional Software, Inc., USA) ✔ | podmiot przetwarzający | raporty błędów aplikacji | dane techniczne (pkt 2) | ☐ region UE (Sentry oferuje przechowywanie w UE ✔) | ☐ SCC dla dostępu z USA |
| KSeF (Ministerstwo Finansów) | organ — tylko gdy wystawiamy fakturę ustrukturyzowaną, np. na żądanie firmy | e-faktury | dane z faktury | Polska | nie dotyczy |
| Księgowość, prawnicy, organy publiczne | odbiorcy na podstawie umowy lub przepisu | obsługa księgowa i prawna, kontrole | w niezbędnym zakresie | Polska/UE | nie dotyczy |
Kopię zabezpieczeń stosowanych przy przekazaniu danych poza EOG możesz otrzymać, pisząc na [do uzupełnienia].
4. Twoje prawa
Masz prawo: dostępu do danych (art. 15 RODO), ich sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia (art. 20), sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21), cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem wcześniejszego przetwarzania (art. 7 ust. 3), a także skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) (art. 77). Aby skorzystać z praw, napisz na [do uzupełnienia]. Odpowiadamy bez zbędnej zwłoki, najpóźniej w miesiąc (art. 12 ust. 3 RODO).
5. Pliki cookies
Zasady opisuje Polityka cookies.
6. Bezpieczeństwo
Połączenie ze sklepem jest szyfrowane (HTTPS, HSTS). Danych kart płatniczych nie przetwarzamy na naszym serwerze — wpisujesz je na stronie płatności Stripe. Dostęp do panelu sklepu jest chroniony dodatkowym uwierzytelnieniem. Kopie zapasowe są szyfrowane.
7. Zmiany
O istotnych zmianach tej polityki informujemy na stronie, a posiadaczy konta i aktywnej subskrypcji — e-mailem.