Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest Elżbieta Podolak, prowadząca działalność nierejestrowaną pod nazwą Kraftowelove Elżbieta Podolak, adres: ul. Piłsudskiego 256H, 37-100 Łańcut (dalej: „Administrator”). We wszystkich sprawach dotyczących danych osobowych można pisać na adres sklep@kraftowelove.pl. Administrator nie wyznaczył inspektora ochrony danych.

2. Jakie dane, w jakim celu i na jakiej podstawie

• Konto w sklepie — imię, nazwisko, adres e-mail, hasło (przechowywane wyłącznie w postaci zaszyfrowanego skrótu). Przy logowaniu przez Google otrzymujemy od Google imię, nazwisko, adres e-mail i zdjęcie profilowe. Podstawa: wykonanie umowy o prowadzenie konta (art. 6 ust. 1 lit. b RODO).
• Zdjęcie profilowe (awatar) — przy koncie pokazujemy zdjęcie profilowe z Google, a jeśli go nie ma — zdjęcie przypisane do adresu e-mail w serwisie Gravatar (o ile je tam ustawiono); w przeciwnym razie inicjał imienia. Aby sprawdzić, czy zdjęcie w Gravatarze istnieje, przeglądarka wysyła do Gravatara jednokierunkowy skrót (hash) adresu e-mail — także wtedy, gdy klienta wyświetla panel sklepu. Podstawa: prawnie uzasadniony interes Administratora, polegający na czytelnym oznaczeniu konta i klienta (art. 6 ust. 1 lit. f RODO).
• Zamówienia i dostawa — dane potrzebne do realizacji i dostawy (imię, nazwisko, adres e-mail, telefon, wybrany Paczkomat albo odbiór osobisty), konfiguracja zamówionych produktów, uwagi do zamówienia, użyty kod rabatowy i informacje o płatności. Podstawa: wykonanie umowy sprzedaży (art. 6 ust. 1 lit. b RODO), a następnie obowiązki prawne, np. podatkowe i związane z reklamacjami (art. 6 ust. 1 lit. c RODO).
• Faktura — tylko jeśli w zamówieniu zaznaczysz „Chcę fakturę”: nazwa firmy i NIP albo imię i nazwisko (faktura dla osoby prywatnej) oraz adres (ulica i numer, kod pocztowy, miejscowość). Dane służą do wystawienia faktury i są przechowywane razem z zamówieniem. Po wpisaniu NIP-u sklep sam pobiera nazwę i adres firmy z publicznego wykazu podatników VAT prowadzonego przez Szefa Krajowej Administracji Skarbowej (tzw. biała lista), żeby nie trzeba było ich przepisywać — dane można poprawić. Jeśli jesteś zalogowany, zapisujemy je też na Twoim koncie, żeby uzupełniły się przy kolejnym zamówieniu; zmienisz je albo usuniesz w zakładce Moje konto → „Dane do faktury”. Podstawa: wykonanie umowy sprzedaży na Twoje żądanie (art. 6 ust. 1 lit. b RODO) i obowiązki podatkowe (art. 6 ust. 1 lit. c RODO), a zapis na koncie — wykonanie umowy o prowadzenie konta (art. 6 ust. 1 lit. b RODO).
• Program lojalnościowy — tylko dla kont: saldo i historia Punktów (za co, kiedy i ile przyznano albo wykorzystano — np. zamówienie, założenie konta, Punkty przyznane przez sklep wraz z ich opisem, zniżka w zamówieniu, wygaśnięcie). Na tej podstawie sklep nalicza Punkty, pozwala je wymienić na zniżkę i rozpatruje reklamacje dotyczące Punktów. Podstawa: wykonanie umowy o prowadzenie konta, której częścią jest program (§ 9 Regulaminu, art. 6 ust. 1 lit. b RODO).
• Wiadomości e-mail dotyczące konta i zamówień — adres e-mail, treść i historia wysyłki (czy wiadomość została dostarczona). Podstawa: wykonanie umowy oraz prawnie uzasadniony interes Administratora, polegający na zapewnieniu działania usługi (art. 6 ust. 1 lit. b i f RODO).
• Akceptacja regulaminu i polityki prywatności — informacja, kto, kiedy i którą wersję zaakceptował. Podstawa: rozliczalność i obrona przed roszczeniami (art. 6 ust. 1 lit. c i f RODO).
• Kontakt i obsługa klienta — dane podane w korespondencji (także wysłane zdjęcia i załączniki), historia zamówień oraz notatki osoby obsługującej sklep dotyczące realizacji (np. ustalenia co do wyglądu produktu). Podstawa: prawnie uzasadniony interes Administratora, polegający na odpowiadaniu na wiadomości i sprawnej obsłudze zamówień (art. 6 ust. 1 lit. f RODO).
• Statystyki linków promocyjnych — gdy wejdziesz do sklepu przez nasz link z mediów społecznościowych (adres zaczynający się od /l/), zapisujemy anonimowo: kliknięcie, rodzaj urządzenia (telefon, tablet, komputer), aplikację, w której otwarto link (np. Instagram), oraz kraj ustalony na podstawie adresu IP — samego adresu IP nie zapisujemy. Jeśli w trakcie tej samej wizyty złożysz zamówienie, zapisujemy przy nim, z którego linku przyszło, żeby wiedzieć, które działania promocyjne są skuteczne. Nic nie jest przy tym zapisywane na Twoim urządzeniu. Podstawa: prawnie uzasadniony interes Administratora, polegający na ocenie skuteczności własnej promocji (art. 6 ust. 1 lit. f RODO).
• Bezpieczeństwo — adres IP, czas i rodzaj przeglądarki w logach serwera oraz informacje potrzebne do ochrony przed nadużyciami (np. limit zamówień składanych z jednego adresu e-mail w krótkim czasie). Podstawa: prawnie uzasadniony interes Administratora, polegający na zapewnieniu bezpieczeństwa sklepu (art. 6 ust. 1 lit. f RODO).
• Dochodzenie i obrona roszczeń — dane niezbędne w tym celu. Podstawa: prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO).

Podanie danych jest dobrowolne, ale bez danych oznaczonych jako wymagane nie można założyć konta ani złożyć zamówienia. Na potrzeby obsługi osoba prowadząca sklep widzi w panelu podsumowanie historii zakupów klienta (np. liczbę zamówień i najczęściej wybierane produkty). Administrator nie podejmuje na tej podstawie ani w inny sposób decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na kogoś wpływały.

3. Komu przekazujemy dane

Dane przekazujemy tylko wtedy, gdy jest to potrzebne do działania sklepu, i tylko w niezbędnym zakresie:

• Supabase — baza danych i logowanie; dane przechowywane są na serwerach w Unii Europejskiej (Frankfurt).
• Vercel — hosting strony sklepu.
• Mailjet — wysyłka wiadomości e-mail.
• Google — tylko jeśli wybierzesz logowanie przez konto Google.
• Gravatar (Automattic Inc., USA) — sprawdzenie i wyświetlenie zdjęcia profilowego; otrzymuje skrót (hash) adresu e-mail oraz adres IP przeglądarki.
• Tpay (Krajowy Integrator Płatności S.A., pl. Andersa 3, 61-894 Poznań) — obsługa płatności online; przekazujemy imię i nazwisko, adres e-mail, numer telefonu, numer, opis i kwotę zamówienia, aby przeprowadzić płatność.
• InPost (InPost S.A., ul. Pana Tadeusza 4, 30-727 Kraków) — dostawa do Paczkomatu; przekazujemy imię i nazwisko, adres e-mail, numer telefonu i wybrany Paczkomat, żeby nadać przesyłkę i powiadomić Cię o jej odbiorze. Mapa Paczkomatów w formularzu zamówienia ładowana jest z serwerów InPost — InPost otrzymuje wtedy adres IP przeglądarki, a jeśli na to pozwolisz w przeglądarce, także Twoją lokalizację, żeby pokazać najbliższe punkty.
• Ministerstwo Finansów (wykaz podatników VAT, tzw. biała lista) — przy zamówieniu z fakturą przesyłamy wpisany numer NIP, żeby pobrać nazwę i adres firmy; nie przekazujemy innych danych.
• Dostawca poczty e-mail i hostingu domeny, inni przewoźnicy i firmy kurierskie oraz biuro rachunkowe — w zakresie potrzebnym do realizacji zamówień i obowiązków prawnych.

Część dostawców (np. Vercel, Google, Gravatar) może przetwarzać dane poza Europejskim Obszarem Gospodarczym. Odbywa się to na podstawie zabezpieczeń przewidzianych w RODO — decyzji Komisji Europejskiej (EU-U.S. Data Privacy Framework) lub standardowych klauzul umownych.

4. Jak długo przechowujemy dane

• Dane konta — do czasu jego usunięcia (możesz to zrobić samodzielnie, patrz pkt 5); dane do faktury zapisane na koncie — do czasu, aż je usuniesz w zakładce „Dane do faktury”, albo do usunięcia konta. Dane do faktury podane w zamówieniu przechowujemy jak pozostałe dane zamówienia.
• Dane zamówień — przez okres wymagany przepisami podatkowymi (5 lat, licząc od końca roku, w którym upłynął termin zapłaty podatku za rok złożenia zamówienia), a jeśli dłużej — do upływu terminów przedawnienia roszczeń związanych z zamówieniem. Po tym czasie dane osobowe w zamówieniach są anonimizowane.
• Historia Punktów programu lojalnościowego — do czasu usunięcia konta (wtedy Punkty przepadają, § 9 Regulaminu). Obniżka za Punkty wykorzystana w zamówieniu jest częścią danych zamówienia i przechowujemy ją razem z nimi.
• Zapis akceptacji regulaminu i polityki prywatności — do upływu terminów przedawnienia roszczeń, także po usunięciu konta.
• Korespondencja i notatki dotyczące obsługi — przez czas potrzebny do załatwienia sprawy, a potem do upływu terminów przedawnienia roszczeń, których mogłaby dotyczyć.
• Statystyki linków promocyjnych — dane anonimowe przechowujemy bez ograniczenia czasu; informacja, z którego linku przyszło zamówienie, jest przechowywana razem z danymi zamówienia.
• Logi serwera — krótko, zgodnie z ustawieniami dostawcy hostingu (zwykle nie dłużej niż kilka tygodni).
• Dane zapisane w Twojej przeglądarce (pkt 6) — do czasu, aż je usuniesz.

5. Twoje prawa

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii,
• sprostowania danych,
• usunięcia danych („prawo do bycia zapomnianym”) — z zastrzeżeniem danych, które musimy przechowywać na podstawie przepisów (pkt 4),
• ograniczenia przetwarzania,
• przenoszenia danych,
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (np. statystyk linków promocyjnych),
• cofnięcia zgody w dowolnym momencie, jeśli przetwarzanie odbywa się na jej podstawie,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Konto możesz usunąć samodzielnie w zakładce Moje konto → „Usuń konto”. Aby skorzystać z pozostałych praw, napisz na adres sklep@kraftowelove.pl. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

6. Pliki cookies i pamięć przeglądarki

Sklep używa wyłącznie mechanizmów potrzebnych do działania sklepu lub włączonych przez Ciebie:

• plików cookies sesji logowania — utrzymują zalogowanie do konta,
• pamięci przeglądarki (localStorage) — zapamiętuje zawartość koszyka oraz to, że zamknięto pasek z informacją o kodzie rabatowym,
• pamięci przeglądarki dla opcji „Zapamiętaj moje dane” w formularzu zamówienia bez konta — tylko jeśli ją zaznaczysz: imię, nazwisko, adres e-mail, telefon, wybrany sposób dostawy i Paczkomat oraz dane do faktury (jeśli je podasz) zostają na Twoim urządzeniu, żeby następnym razem nie wpisywać ich od nowa; odznaczenie opcji przy kolejnym zamówieniu je usuwa,
• pamięci karty przeglądarki (sessionStorage) — szkic formularza zamówienia (imię, nazwisko, adres e-mail, telefon, uwagi, sposób dostawy i Paczkomat, bez haseł), żeby wpisane dane nie zginęły przy logowaniu w trakcie zamówienia; znika po złożeniu zamówienia albo zamknięciu karty,
• pliku cookie z kodem rabatowym — zapisywanego tylko po wejściu z linku zawierającego kod, aby kod sam uzupełnił się w zamówieniu; przechowywany do 7 dni i usuwany po złożeniu zamówienia.

Sklep nie korzysta z narzędzi analitycznych ani reklamowych firm trzecich (np. Google Analytics czy pikseli reklamowych) i nie umieszcza ich cookies. Własne statystyki linków promocyjnych opisuje pkt 2 — nie zapisują niczego na Twoim urządzeniu. Mapa Paczkomatów (InPost) i zdjęcia profilowe (Gravatar) ładowane są z serwerów tych dostawców. Ustawienia cookies i pamięci przeglądarki można zmienić w przeglądarce, jednak ich zablokowanie uniemożliwi logowanie i zapamiętanie koszyka.

7. Bezpieczeństwo

Połączenie ze sklepem jest szyfrowane (HTTPS), hasła przechowywane są wyłącznie jako zaszyfrowane skróty, a dostęp do danych w bazie jest ograniczony regułami uprawnień — każdy klient ma dostęp tylko do własnych danych, a panel sklepu jest dostępny wyłącznie dla osób obsługujących sklep.

8. Zmiany polityki prywatności

Polityka może zostać zmieniona, np. w związku ze zmianą przepisów lub funkcji sklepu. Zarejestrowani klienci zostaną poinformowani o zmianie e-mailem. Datę obowiązywania i numer wersji widać na górze dokumentu, a wcześniejsze wersje pozostają dostępne pod adresem z datą wersji (np. /polityka-prywatnosci/2026-10-12). Zasady sprzedaży opisuje Regulamin.