§ 1 Administrator Danych Osobowych

Administratorem Państwa danych osobowych jest:

 

§ 2 Inspektor Ochrony Danych

Inspektor Ochrony Danych (IOD), z którym można się skontaktować we wszystkich sprawach dotyczących przetwarzania danych osobowych oraz korzystania z praw związanych z tym przetwarzaniem.

Paweł Szefler

iod@shoper.pl

Królewska 65A, 30-081 Kraków, KRS: 0000410718, NIP: 676-23-39-725

§ 3 Platforma Sklepu Internetowego — Shoper S.A.

Niniejszy Serwis działa na platformie e-commerce Shoper, świadczonej przez Shoper S.A. z siedzibą w Krakowie (ul. Królewska 65A, 30-081 Kraków, KRS: 0000410718, NIP: 676-23-39-725). W związku z powierzeniem Shoper S.A. obsługi infrastruktury technicznej sklepu, Administrator zawarł ze Shoper S.A. pisemną Umowę Powierzenia Przetwarzania Danych Osobowych (DPA) na podstawie art. 28 RODO.

Zakres powierzenia przetwarzania danych Shoper S.A.

• Przechowywanie danych Klientów na serwerach platformy Shoper (infrastruktura w Polsce i UE).
• Obsługa techniczna panelu administracyjnego sklepu, koszyka zakupowego oraz kont Klientów.
• Zapewnienie mechanizmów wysyłki powiadomień transakcyjnych (e-mail, SMS) generowanych przez platformę.
• Udostępnianie narzędzi do zarządzania zgromadzonymi danymi, w tym narzędzi do realizacji praw osób (eksport, usunięcie danych).

§ 4 Bezpieczeństwo Połączeń — Certyfikat SSL Certum (Asseco Data Systems S.A.)

Bezpieczeństwo transmisji danych w Serwisie zapewniamy przy użyciu certyfikatu SSL wydanego przez Certum — polską instytucję certyfikującą prowadzoną przez Asseco Data Systems S.A. (ul. Grudziądzka 82-86, 87-100 Toruń, NIP: 957-07-51-216) — lidera na polskim rynku usług zaufania, wpisanego na listę kwalifikowanych dostawców usług zaufania Ministerstwa Cyfryzacji RP zgodnie z Rozporządzeniem eIDAS (UE) nr 910/2014.

Co oznacza certyfikat Certum dla Klienta

• Połączenie z Serwisem jest szyfrowane protokołem TLS 1.3 — dane przesyłane między przeglądarką Klienta a serwerem są nieczytelne dla osób trzecich.
• Ikonka zamkniętej kłódki (HTTPS) widoczna w pasku adresu przeglądarki potwierdza aktywność certyfikatu.
• Certum jako kwalifikowany dostawca usług zaufania podlega nadzorowi Ministra ds. Informatyzacji oraz wymogom Rozporządzenia eIDAS.
• Certyfikat gwarantuje autentyczność Serwisu — Klient ma pewność, że komunikuje się z prawdziwym sklepem, a nie stroną podstawioną (ochrona przed phishingiem).

§ 5 Cele i Podstawy Prawne Przetwarzania Danych

Przetwarzamy Państwa dane osobowe wyłącznie w przypadkach, gdy spełniona jest co najmniej jedna z przesłanek określonych w art. 6 ust. 1 RODO.

§ 6 Operatorzy Płatności — Szczegółowe Informacje

Serwis oferuje Klientom kilka metod płatności. Poniżej przedstawiamy szczegółowe informacje o każdym operatorze płatności, zasadach przekazywania danych i ich odpowiedzialności jako administratora danych.

§ 7 Prawa Osób, Których Dane Dotyczą

Na podstawie RODO przysługują Państwu następujące prawa. Każde żądanie można złożyć pisemnie na adres siedziby Administratora lub elektronicznie na adres e-mail Administratora albo IOD.

§ 8 Odbiorcy Danych i Podmioty Przetwarzające

Dane osobowe mogą być przekazywane wyłącznie podmiotom, które gwarantują odpowiedni poziom ochrony danych, na podstawie pisemnych umów powierzenia przetwarzania danych (DPA) zgodnie z art. 28 RODO. Administrator nie sprzedaje danych osobowych Klientów podmiotom trzecim.

§ 9 Transfer Danych Poza Europejski Obszar Gospodarczy

Dane osobowe Klientów są przetwarzane co do zasady na serwerach zlokalizowanych na terenie Europejskiego Obszaru Gospodarczego (EOG). Infrastruktura platformy Shoper S.A. oraz certyfikat SSL Certum (Asseco Data Systems S.A.) oparte są na podmiotach polskich i europejskich, co minimalizuje ryzyko transferów poza EOG.

W przypadku korzystania z narzędzi dostawców technologicznych spoza EOG (np. Google Analytics, systemy e-mail marketingu z siedzibą w USA), transfer danych następuje wyłącznie po spełnieniu jednego z poniższych warunków:

• zawarcia Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską decyzją wykonawczą (UE) 2021/914;
• objęcia państwa docelowego decyzją Komisji Europejskiej stwierdzającą odpowiedni poziom ochrony (np. EU-US Data Privacy Framework dla podmiotów certyfikowanych w USA);
• zastosowania innych odpowiednich zabezpieczeń, o których mowa w art. 46 RODO.

§ 10 Bezpieczeństwo Danych — Środki Techniczne i Organizacyjne

Zgodnie z art. 32 RODO wdrożyliśmy odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzanych danych. Łączymy własne procedury z mechanizmami wbudowanymi w platformę Shoper S.A. oraz certyfikatem SSL Certum.

Śodki techniczne

• Szyfrowanie transmisji: protokół TLS 1.3 z certyfikatem SSL Certum (Asseco Data Systems S.A.) — polskiej, kwalifikowanej instytucji certyfikującej nadzorowanej przez Ministerstwo Cyfryzacji RP.
• Szyfrowanie danych w spoczynku: dane przechowywane na serwerach platformy Shoper szyfrowane są algorytmem AES-256.
• Mechanizmy bezpieczeństwa platformy Shoper: wbudowane zabezpieczenia anty-DDoS, firewalle aplikacyjne (WAF), automatyczne kopie zapasowe i monitoring infrastruktury.
• Kontrola dostępu: pracownicy mają dostęp wyłącznie do danych niezbędnych na ich stanowisku (zasada minimalnych uprawnień). Dostęp do panelu administracyjnego Shoper zabezpieczony jest uwierzytelnianiem dwuskładnikowym (2FA).
• Monitorowanie aktywności: wszystkie operacje w panelu administracyjnym Shoper są rejestrowane w logach audytowych.

Śodki organizacyjne

• Privacy by Design: funkcjonalności Serwisu projektowane są z uwzględnieniem ochrony prywatności od etapu planowania.
• Privacy by Default: domyślne ustawienia prywatności są zawsze najbardziej restrykcyjne — cookie marketingowe, newsletter i profilowanie są domyślnie wyłączone.
• Rejestr Czynności Przetwarzania (RCP) zgodnie z art. 30 RODO, aktualizowany na bieżąco.
• Procedura Zarządzania Incydentami Bezpieczeństwa — tryb zgłaszania naruszeń do UODO w ciągu 72 godzin (art. 33 RODO).
• Ocena Skutków dla Ochrony Danych (DPIA) — przeprowadzana przed wdrożeniem nowych czynności przetwarzania wysokiego ryzyka (art. 35 RODO).
• Regularne szkolenia pracowników z zakresu ochrony danych osobowych i bezpieczeństwa IT.

§ 11 Pliki Cookies i Technologie Ślądzące

Serwis oparty na platformie Shoper wykorzystuje pliki cookies oraz podobne technologie ślądzące zgodnie z Dyrektywa ePrivacy (2002/58/WE) oraz art. 173–174 ustawy Prawo telekomunikacyjne.

Szczegółowe informacje o plikach cookies, ich kategoryzacji i zarządzaniu zgodą zawiera oddzielna Polityka Cookies Serwisu.

§ 12 Newsletter i Komunikacja Marketingowa

Przesyłanie informacji handlowych drogą elektroniczną wymaga uprzedniej, wyraźnej i oddzielnej zgody Klienta (art. 10 ustawy o świadczeniu usług drogą elektroniczną). Funkcje newslettera realizowane są za pomocą wbudowanych narzędzi platformy Shoper lub zewnętrznego systemu mailingowego.

• Subskrypcja: zapis na newsletter następuje poprzez dobrowolne podanie adresu e-mail i zaznaczenie checkboxa zgody (domyślnie niezaznaczonego). Stosujemy procedurę double opt-in — aktywacja subskrypcji wymaga kliknięcia linku potwierdzającego.
• Rezygnacja: każda wiadomość newsletterowa zawiera w stopce wyraźny link do rezygnacji. Można również zrezygnować przez panel Klienta w platformie Shoper lub kontakt z IOD.
• Skutek rezygnacji: adres e-mail usuwany jest z aktywnej listy mailingowej w ciągu 48 godzin roboczych od wycofania zgody.

§ 13 Dane Osobowe Dzieci

Serwis nie jest skierowany do osób poniżej 16 roku życia i świadomie nie gromadzi danych osobowych takich osób. Zgodnie z art. 8 RODO oraz art. 9 ustawy o ochronie danych osobowych z 2018 r., przetwarzanie danych dziecka poniżej 16 roku życia na podstawie zgody jest dozwolone jedynie wtedy, gdy zgody tej udzieliła lub ją zaakceptowała osoba sprawująca władzę rodzicielską lub opiekę nad tym dzieckiem.

§ 14 Zgłaszanie Naruszeń Ochrony Danych

W przypadku stwierdzenia naruszenia ochrony danych osobowych, które może powodować ryzyko naruszenia praw lub wolności osób fizycznych, Administrator:

• W ciągu 72 godzin od stwierdzenia naruszenia zgłosi je Prezesowi Urzędu Ochrony Danych Osobowych (art. 33 RODO);
• Niezwłocznie powiadomi osoby, których dane dotyczą, jeśli naruszenie może powodować wysokie ryzyko dla ich praw i wolności (art. 34 RODO) — komunikat wysyłany będzie na adres e-mail Klienta zarejestrowany w platformie Shoper;
• Udokumentuje każde naruszenie, jego przyczyny, skutki i działania naprawcze w Rejestrze Naruszeń.

§ 15 Zmiany Polityki Prywatności

Administrator zastrzega sobie prawo do zmiany niniejszej Polityki Prywatności, w szczególności w przypadku zmian przepisów prawa, zmian technologicznych w platformie Shoper lub zmian w zakresie stosowanych operatorów płatności.

O każdej istotnej zmianie Klienci posiadający konto w Serwisie zostaną poinformowani komunikatem e-mail na adres zarejestrowany w platformie Shoper, na minimum 14 dni przed wejściem zmiany w życie, oraz wyraźnym powiadomieniem wyświetlanym po zalogowaniu do panelu Klienta.

§ 16 Dane Kontaktowe i Organ Nadzorczy