§1 Administrator danych i kontakt
Administratorem danych osobowych jest Codeo Kamil Staniec, ul. Kłobucka 121E, 42-125 Gruszewnia.
Polityka dotyczy danych przetwarzanych w serwisie Nabyto.pl — w katalogu produktów i w sklepach w jego domenach, w tym w związku z zakupami.
Kontakt w sprawach dotyczących danych osobowych: kontakt@nabyto.pl.
§2 Cele i podstawy prawne przetwarzania
| Dane | Cel | Podstawa prawna |
|---|---|---|
| Adres e-mail podany w zamówieniu | Realizacja zamówienia: wysłanie potwierdzenia zawarcia umowy i linku do pobrania Produktu | art. 6 ust. 1 lit. b RODO — niezbędność do wykonania umowy |
| Adres e-mail podany w formularzu darmowego materiału | Wysłanie materiału: potwierdzenie zawarcia umowy i link do pobrania | art. 6 ust. 1 lit. b RODO — niezbędność do wykonania umowy |
| Skrót adresu e-mail z formularza darmowego materiału (bez samego adresu) | Ochrona formularza darmowego materiału przed nadużyciami | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na zabezpieczeniu serwisu przed nadużyciami |
| Adres IP z chwili zaznaczenia zgody na rozpoczęcie dostarczania Produktu, wraz z treścią, datą i godziną tej zgody | Wykazanie, że zgoda została wyrażona, oraz obrona przed roszczeniami | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na możliwości wykazania wyrażenia zgody i obrony przed roszczeniami |
| Dane zamówienia i płatności (kwota, data, status, identyfikatory płatności) | Rozliczenia podatkowe i rachunkowe | art. 6 ust. 1 lit. c RODO — obowiązek prawny wynikający z przepisów podatkowych |
| Dane do faktury — imię i nazwisko lub nazwa firmy, adres oraz NIP, jeśli został podany — wpisane w formularzu zamówienia albo — na prośbę Klienta — pobrane z rejestru REGON (GUS) po zaznaczeniu pola „Chcę fakturę”, oraz faktura wysłana na adres e-mail z zamówienia | Wystawienie faktury, wysłanie jej Klientowi i jej przechowywanie | art. 6 ust. 1 lit. c RODO — obowiązek prawny (art. 106b i art. 106e ustawy o podatku od towarów i usług) |
| Adres e-mail, treść i wersja zgody, data i adres IP z chwili złożenia zamówienia, w którym zaznaczono odrębną zgodę na wiadomości e-mail o innych produktach, albo z chwili wysłania formularza newslettera na stronie albo z chwili wysłania formularza darmowego materiału, oraz data potwierdzenia zapisu | Wysyłanie wiadomości e-mail o innych produktach, w tym wiadomości powitalnej | art. 6 ust. 1 lit. a RODO — zgoda |
| Adres e-mail, treść i wersja zgody, data i adres IP z chwili wysłania formularza na stronie Nabyto dla autorów, data potwierdzenia zapisu oraz nieobowiązkowe odpowiedzi (rodzaj i temat materiału, stan jego przygotowania) | Powiadomienie o uruchomieniu sprzedaży materiałów autorów w Serwisie i ocena, czy ją uruchomić | art. 6 ust. 1 lit. a RODO — zgoda |
| Adres e-mail, treść i wersja zgody, data i adres IP zgłoszenia oraz data wysłania prośby o potwierdzenie — dopóki zapis nie zostanie potwierdzony | Wysłanie prośby o potwierdzenie zapisu i upewnienie się, że zgodę wyraził właściciel adresu, zanim zostanie wysłana jakakolwiek wiadomość o innych produktach albo powiadomienie dla autorów | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na sprawdzeniu, że zgoda pochodzi od właściciela adresu e-mail, i na możliwości wykazania jej wyrażenia |
| Dane zgody na wiadomości e-mail o innych produktach po jej wycofaniu (adres e-mail, treść i data zgody, adres IP, data wycofania) | Wykazanie, że wiadomości wysłane przed wycofaniem były oparte na zgodzie, także w razie roszczeń lub postępowania przed organem | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na możliwości wykazania wyrażenia zgody |
| Informacja od dostawcy wysyłki, że wiadomość nie została doręczona albo została zgłoszona jako spam | Zaprzestanie wysyłki wiadomości e-mail o innych produktach na ten adres | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na niewysyłaniu wiadomości osobom, które ich nie chcą albo nie mogą odebrać |
| Adres e-mail i treść korespondencji wysłanej na adres kontaktowy dotyczącej zamówienia (reklamacje, oświadczenia o odstąpieniu od umowy, prośby o nowy link) oraz żądań dotyczących danych osobowych | Rozpatrzenie sprawy i obrona przed roszczeniami | art. 6 ust. 1 lit. c RODO — obowiązek prawny (odpowiedź na reklamację, potwierdzenie odstąpienia, zwrot płatności, obsługa żądań osób, których dane dotyczą) oraz art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na obronie przed roszczeniami |
| Adres e-mail i treść pozostałej korespondencji wysłanej na adres kontaktowy | Udzielenie odpowiedzi | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na prowadzeniu korespondencji |
| Adres IP przy próbach złożenia zamówienia, pobrania darmowego materiału, zapisu do newslettera albo na powiadomienie dla autorów, otwarcia linków z wiadomości o zapisie i wypisie oraz odpowiedzi w ankiecie po wypisaniu | Ograniczenie liczby prób z jednego adresu | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na zabezpieczeniu serwisu przed nadużyciami |
| Adres IP i informacje o przeglądarce w logach serwera | Bezpieczeństwo i diagnostyka działania serwisu | art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora polegający na zapewnieniu bezpieczeństwa i ciągłości działania serwisu |
| Informacje o korzystaniu ze strony zbierane przez Google Analytics, wyłącznie po wyrażeniu zgody w banerze cookies | Statystyki odwiedzin i sprzedaży | art. 6 ust. 1 lit. a RODO — zgoda |
Adres e-mail, adres IP, informacje o przeglądarce oraz identyfikatory z plików _fbp i _fbc, wyłącznie po wyrażeniu zgody w banerze cookies na kategorię „Marketingowe” |
Pomiar skuteczności reklam w serwisach Meta (Facebook, Instagram) i dobór ich odbiorców | art. 6 ust. 1 lit. a RODO — zgoda |
Podanie adresu e-mail jest warunkiem zawarcia umowy — bez niego nie można dostarczyć Produktu ani potwierdzenia zamówienia. Podanie pozostałych danych jest dobrowolne; zgoda na wiadomości e-mail o innych produktach nie jest warunkiem zakupu.
Formularz darmowego materiału jest jednocześnie zapisem na wiadomości e-mail o innych produktach: zapis zacznie działać dopiero po potwierdzeniu w e-mailu. Materiał wysyłamy niezależnie od potwierdzenia zapisu i od późniejszego wypisania się.
Administrator nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec osoby skutki prawne lub w podobny sposób istotnie na nią wpływały.
§3 Odbiorcy danych
Hosting — Cyber_Folks S.A., ul. Wierzbięcice 1B, 61-569 Poznań.
Operator płatności — Paynow (usługa mBank S.A.). Przy płatności otrzymuje adres e-mail, kwotę i numer zamówienia. Dane płatnicze (np. kod BLIK albo dane logowania do banku) podajesz bezpośrednio na stronie Paynow — Administrator ich nie otrzymuje. Operator płatności przetwarza te dane jako odrębny administrator — w celu przeprowadzenia płatności i wykonania własnych obowiązków prawnych (m.in. z przepisów o usługach płatniczych i o przeciwdziałaniu praniu pieniędzy). Informacje o tym przetwarzaniu operator podaje na stronie płatności oraz pod adresem https://www.mbank.pl/rodo/strona-glowna/.
Główny Urząd Statystyczny (rejestr REGON). Gdy Klient użyje przycisku „Pobierz z GUS” w formularzu zamówienia, Administrator przekazuje wpisany numer NIP do GUS, żeby pobrać nazwę i adres do faktury. Wynik wyszukiwania nie jest zapisywany, dopóki Klient nie złoży zamówienia.
Wysyłka wiadomości e-mail ze Sklepu — MailerSend, Inc., Stany Zjednoczone.
Skrzynka pocztowa — Zoho (wiadomości wysyłane na adres kontaktowy).
Google. Jeśli w banerze cookies wyrażono zgodę na pliki analityczne, dane o korzystaniu ze strony trafiają do Google Analytics.
Meta Platforms Ireland Limited. Jeśli w banerze cookies wyrażono zgodę na kategorię „Marketingowe”, serwis korzysta z narzędzi Meta (piksel i API konwersji). Według warunków Meta, w zakresie zbierania na stronie danych o zdarzeniach (odwiedzenie strony, obejrzenie produktu, pobranie darmowego demo, rozpoczęcie zamówienia, zakup, potwierdzenie zapisu do newslettera) i ich przekazania do Meta w celu doboru odbiorców i wyświetlania reklam Administrator i Meta Platforms Ireland Limited są współadministratorami, a dalsze przetwarzanie tych danych przez Meta odbywa się na jej własną odpowiedzialność. W zakresie pomiaru skuteczności reklam Meta Platforms Ireland Limited przetwarza dane w imieniu Administratora. Informacje o przetwarzaniu danych przez Meta: https://www.facebook.com/about/privacy.
Zgodnie z uzgodnieniami współadministratorów Administrator odpowiada za zebranie zgody i przekazanie tych informacji. Informacje o tym, jak Meta przetwarza dane, na jakiej podstawie i jak wykonywać wobec niej swoje prawa, znajdują się w zasadach ochrony prywatności Meta pod adresem wskazanym wyżej. Swoje prawa można wykonywać wobec każdego ze współadministratorów (art. 26 ust. 3 RODO).
Faktury — mBank S.A., ul. Prosta 18, 00-850 Warszawa (usługa mOrganizer). Administrator wystawia w tej usłudze faktury na żądanie Klienta; trafiają do niej dane do faktury.
Biuro rachunkowe — obsługa księgowości i rozliczeń podatkowych Administratora: dane zamówień i płatności.
§4 Przekazywanie danych poza EOG
MailerSend, Inc. ma siedzibę w Stanach Zjednoczonych i korzysta z podwykonawców w Stanach Zjednoczonych. Przekazanie odbywa się na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO), zawartych w umowie powierzenia przetwarzania danych; MailerSend, Inc. uczestniczy również w programie EU-U.S. Data Privacy Framework.
Zoho przechowuje dane w Unii Europejskiej; dostęp do nich z Indii jest możliwy wyłącznie w ramach wsparcia technicznego, na podstawie standardowych klauzul umownych.
Dane przekazywane do Google Analytics mogą być przetwarzane przez Google LLC w Stanach Zjednoczonych. Google LLC uczestniczy w programie EU-U.S. Data Privacy Framework, dla którego Komisja Europejska wydała 10 lipca 2023 r. decyzję stwierdzającą odpowiedni stopień ochrony danych (art. 45 RODO).
Część danych przekazywanych do narzędzi Meta (§3) może być przetwarzana przez Meta Platforms, Inc. w Stanach Zjednoczonych. Meta Platforms, Inc. uczestniczy w programie EU-U.S. Data Privacy Framework, dla którego Komisja Europejska wydała 10 lipca 2023 r. decyzję stwierdzającą odpowiedni stopień ochrony danych (art. 45 RODO).
Kopię standardowych klauzul umownych stosowanych przez tych odbiorców można uzyskać, pisząc na adres kontakt@nabyto.pl.
§5 Okres przechowywania danych
| Dane | Jak długo |
|---|---|
| Opłacone zamówienie: adres e-mail, dowód zgody z adresem IP, identyfikatory płatności, historia pobrań | Do końca 6. roku kalendarzowego po roku złożenia zamówienia |
| Dane do faktury wpisane w formularzu zamówienia (w sklepie) | Do wysłania faktury, najdłużej 60 dni od zamówienia |
| Wystawiona faktura (w usłudze księgowej) | Do końca 6. roku kalendarzowego po roku wystawienia faktury |
| Zamówienie darmowego materiału (adres e-mail, linki do pobrania) | 30 dni od złożenia |
| Skrót adresu e-mail z formularza darmowego materiału | Do 30 dni |
| Nieopłacone lub anulowane zamówienie | 30 dni od jego utworzenia |
Adres IP, informacje o przeglądarce oraz identyfikatory _fbp i _fbc zapisane przy zamówieniu za zgodą na kategorię „Marketingowe” |
30 dni od zamówienia |
| Zgoda na wiadomości e-mail o innych produktach | Do jej wycofania, a po wycofaniu, jako dowód jej wcześniejszego wyrażenia, do końca 5. roku kalendarzowego po roku wycofania |
| Lista wysłanych wiadomości e-mail o innych produktach | Tak długo jak zgoda, której dotyczy |
| Niepotwierdzony zapis na wiadomości e-mail o innych produktach albo na powiadomienie dla autorów | 30 dni od zgłoszenia |
| Zapis na powiadomienie dla autorów wraz z odpowiedziami | Do decyzji o uruchomieniu sprzedaży dla autorów, najdłużej 12 miesięcy od zapisu; po wypisaniu się albo po rezygnacji z tego pomysłu — usuwane od razu |
| Zgłoszenie z formularza newslettera dla adresu, który jest już zapisany | Usuwane od razu |
| Dane w Google Analytics | Dane o zdarzeniach: 2 miesiące; dane powiązane z identyfikatorem użytkownika: 14 miesięcy, liczone od nowa przy każdej nowej aktywności |
| Korespondencja wysłana na adres kontaktowy dotycząca zamówienia (reklamacje, odstąpienia od umowy, prośby o nowy link) oraz żądania dotyczące danych osobowych | Do końca 6. roku kalendarzowego po roku zakończenia sprawy |
| Pozostała korespondencja wysłana na adres kontaktowy | 12 miesięcy od zakończenia sprawy |
| Logi serwera | 30 dni |
| Logi aplikacji | 14 dni |
| Licznik prób z jednego adresu IP (zamówienie, darmowy materiał, newsletter, powiadomienie dla autorów) | Do 24 godzin |
Kopie zapasowe bazy danych są przechowywane przez 7 dni, na serwerze oraz w postaci zaszyfrowanych kopii poza serwerem — dane usunięte z bazy mogą przez ten czas pozostawać w kopiach, po czym są usuwane.
§6 Twoje prawa i skarga do organu nadzorczego
Przysługuje Tobie prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych przetwarzanych na podstawie umowy lub zgody, a także prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz wobec przetwarzania danych na potrzeby marketingu bezpośredniego.
Zgodę możesz w każdej chwili wycofać bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
Przysługuje Tobie również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).
§7 Pliki cookies i podobne technologie
Sklep zapisuje informacje w plikach cookies i w pamięci przeglądarki (localStorage).
Zgodę na pliki analityczne i marketingowe można w każdej chwili wycofać: przycisk „Ustawienia cookies” w stopce strony.
Pliki niezbędne: plik sesji oraz plik zabezpieczający formularze przed nieautoryzowanym wysłaniem (token CSRF). Są potrzebne do działania Sklepu i nie służą celom analitycznym ani marketingowym.
Plik z wybranym motywem: gdy klikniesz przełącznik jasnego i ciemnego
motywu w nagłówku strony, zapisujemy plik theme (wartość dark
albo light, ważny rok), żeby wszystkie strony Serwisu wyświetlały się w wybranym motywie. Zapamiętuje tylko ten wybór i nie służy celom analitycznym ani
marketingowym. Bez kliknięcia przełącznika strona używa ustawienia z Twojego systemu
i nic nie zapisuje.
Statystyki bez plików cookies: serwer zlicza wejścia na strony Serwisu i pobrania demo jako dzienne sumy (strona, dzień, źródło z adresu linku). Nie zapisuje przy tym adresu IP ani informacji o przeglądarce i niczego nie zapisuje w Twojej przeglądarce, więc z tych liczb nie da się ustalić, kto odwiedził stronę.
Pliki analityczne — tylko po wyrażeniu zgody w banerze cookies:
strona wczytuje Google Tag Manager i Google Analytics, które zapisują w przeglądarce pliki (m.in. _ga, _ga_*) i zbierają
informacje o korzystaniu ze strony na potrzeby statystyk odwiedzin i sprzedaży.
Aby ten sam zakup nie został policzony dwa razy, w pamięci
przeglądarki zapisywany jest znacznik ga4_purchase_<numer zamówienia>.
Pliki marketingowe — tylko po wyrażeniu zgody w banerze cookies na
kategorię „Marketingowe”: strona wczytuje piksel Meta, który zapisuje
w przeglądarce pliki (m.in. _fbp, a po kliknięciu w reklamę także
_fbc) na potrzeby pomiaru skuteczności reklam w serwisach Meta i doboru ich odbiorców. Aby ten sam zakup nie został
przekazany dwa razy, w pamięci przeglądarki zapisywany jest znacznik
meta_purchase_<numer zamówienia>.
Ustawienia przeglądarki pozwalają zablokować zapisywanie plików cookies albo je usunąć.