Polityka prywatności

Obowiązuje od

Tu wyjaśniamy prostym językiem, jakie dane osobowe zbiera sklep internetowy „Beka pod Choinką”. Piszemy też, po co je zbieramy, na jakiej podstawie prawnej, komu je przekazujemy, jak długo je przechowujemy i jakie masz prawa.

1. Kto jest administratorem Twoich danych

Administratorem Twoich danych osobowych jest , osoba fizyczna prowadząca jednoosobową działalność gospodarczą (sole trader) w Zjednoczonym Królestwie pod nazwą „Beka pod Choinką”. Adres: . W tej polityce piszemy o sobie „my”.

W każdej sprawie dotyczącej Twoich danych możesz się z nami skontaktować:

• e-mailem: ,
• telefonicznie: (opłata według taryfy Twojego operatora),
• listownie: na adres podany wyżej,
• przez wiadomość prywatną na Instagramie lub TikToku, wysłaną do profilu sklepu „Beka pod Choinką”.

Jakie przepisy stosujemy

Sprzedajemy konsumentom w Polsce, dlatego przetwarzamy dane zgodnie z rozporządzeniem (UE) 2016/679 (RODO). Działalność prowadzimy w Zjednoczonym Królestwie, więc stosujemy też brytyjskie przepisy o ochronie danych (UK GDPR i Data Protection Act 2018).

2. Skąd mamy Twoje dane i jakie to dane

Nasza strona to prosty sklep. Nie zakładasz na niej konta i nie ma na niej formularzy ani newslettera. Twoje dane trafiają do nas tylko w sytuacjach opisanych poniżej.

Gdy płacisz za zamówienie

Po kliknięciu „Kup teraz” przechodzisz na stronę płatności prowadzoną przez Stripe. Tam podajesz imię i nazwisko, adres e-mail, adres dostawy, numer telefonu i dane potrzebne do zapłaty. Zaznaczasz też, że akceptujesz regulamin, a przy produktach przeznaczonych wyłącznie dla osób pełnoletnich potwierdzasz, że masz ukończone 18 lat. Po opłaceniu zamówienia Stripe przekazuje nam:

• imię i nazwisko, adres e-mail, numer telefonu i adres dostawy, a także adres rozliczeniowy, jeśli Stripe o niego poprosi,
• zamówione produkty, kwotę, datę i numer transakcji,
• informację o akceptacji regulaminu, a przy produktach dla osób pełnoletnich – Twoje potwierdzenie, że masz ukończone 18 lat,
• status płatności i rodzaj metody płatności (BLIK, karta, Apple Pay, Google Pay). Przy karcie dostajemy jej ostatnie cztery cyfry i kraj wydania,
• ocenę ryzyka oszustwa, a w niektórych przypadkach adres IP, z którego zapłacono.

Nie widzimy pełnego numeru Twojej karty ani danych logowania do banku. Te dane obsługują wyłącznie Stripe i operatorzy płatności.

Gdy wysyłasz prezent innej osobie

Jeśli w adresie dostawy podasz dane innej osoby, np. obdarowanego, dostajemy od Ciebie jej imię i nazwisko, adres i numer telefonu, jeśli go podasz. Używamy ich tylko do doręczenia paczki. Prosimy, powiedz tej osobie, że przekazujesz nam jej dane, i pokaż jej tę politykę.

Gdy trafiasz do nas z oznaczonego linku

Linki, które publikujemy (np. na TikToku albo na Instagramie), mogą zawierać w adresie krótkie oznaczenie kanału, np. „tt”. Jeśli z takiej strony przejdziesz do płatności, dołączamy to oznaczenie do zamówienia w Stripe. Dzięki temu wiemy, z którego kanału przyszło zamówienie. Oznaczenie jest takie samo dla każdego, kto kliknął ten sam link, więc samo w sobie Cię nie identyfikuje. Nie zapisujemy go w Twojej przeglądarce.

Gdy do nas piszesz lub dzwonisz

Jeśli napiszesz do nas e-mail albo wiadomość na Instagramie lub TikToku, albo zadzwonisz, przetwarzamy Twoje dane kontaktowe (adres e-mail, nazwę profilu lub numer telefonu), treść wiadomości i dane, które w niej podasz (np. numer zamówienia, adres, zdjęcia uszkodzonego produktu).

Gdy odwiedzasz stronę

Nasz dostawca hostingu (Cloudflare) automatycznie zapisuje podstawowe dane techniczne każdego połączenia ze stroną. Są to adres IP, data i godzina, adres otwartej podstrony oraz informacje o przeglądarce i urządzeniu (tzw. logi serwera). Nie łączymy ich z danymi zamówień. Nie używamy ich do śledzenia ani do reklam.

Czy musisz podać dane

Podanie danych jest dobrowolne. Bez imienia i nazwiska, adresu dostawy, adresu e-mail, numeru telefonu i danych do płatności nie możemy jednak przyjąć ani dostarczyć zamówienia. Numer telefonu jest potrzebny przewoźnikowi do doręczenia paczki. Produktu przeznaczonego wyłącznie dla osób pełnoletnich nie da się zamówić bez potwierdzenia, że masz ukończone 18 lat.

3. Po co przetwarzamy dane i na jakiej podstawie

• Zawarcie i wykonanie umowy sprzedaży. Obejmuje to przyjęcie płatności, przyjęcie Twojego potwierdzenia akceptacji regulaminu i – przy produktach dla osób pełnoletnich – potwierdzenia, że masz ukończone 18 lat, przekazanie zamówienia do realizacji i wysyłki, doręczenie paczki, informowanie Cię o zamówieniu i przesyłce oraz obsługę zwrotów, odstąpienia od umowy i wiadomości dotyczących zamówienia. Podstawa: art. 6 ust. 1 lit. b RODO (dane są niezbędne do wykonania umowy).
• Obowiązki wynikające z prawa Unii Europejskiej i prawa polskiego. Obejmuje to rozpatrywanie reklamacji i odstąpień od umowy zgodnie z ustawą o prawach konsumenta oraz powiadomienie Cię o wycofaniu produktu z rynku lub o ostrzeżeniu dotyczącym bezpieczeństwa (art. 35 rozporządzenia (UE) 2023/988 w sprawie ogólnego bezpieczeństwa produktów). Obejmuje też obowiązki podatkowe, jeśli wynikają z tych przepisów, oraz obsługę Twoich żądań dotyczących danych osobowych. Podstawa: art. 6 ust. 1 lit. c RODO (obowiązek prawny).
• Nasze prawnie uzasadnione interesy. Podstawa: art. 6 ust. 1 lit. f RODO. Te interesy to:
  • prowadzenie dokumentacji sprzedaży wymaganej przez brytyjskie przepisy podatkowe. RODO uznaje za obowiązek prawny tylko przepisy UE i państw członkowskich, dlatego tu powołujemy się na nasz uzasadniony interes w przestrzeganiu prawa kraju, w którym prowadzimy działalność,
  • ustalenie, dochodzenie i obrona roszczeń związanych z zamówieniem,
  • zapobieganie oszustwom i nadużyciom przy płatnościach,
  • doręczenie prezentu osobie wskazanej przez kupującego,
  • odpowiadanie na wiadomości, które nie dotyczą zamówienia,
  • sprawdzanie, które kanały (np. TikTok, Instagram) przynoszą zamówienia. Opieramy się tylko na oznaczeniu kanału z linku, bez profilowania,
  • zapewnienie bezpieczeństwa i prawidłowego działania strony (logi serwera).

Nie wysyłamy newslettera ani reklam e-mailem. Nie profilujemy Cię. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu. Stripe może automatycznie oceniać ryzyko oszustwa przy płatności. Zasady tej oceny opisuje polityka prywatności Stripe.

4. Komu przekazujemy dane

Dane przekazujemy tylko tym odbiorcom, bez których nie możemy zrealizować zamówienia ani prowadzić sklepu, i tylko w potrzebnym zakresie:

• Operator płatności: Stripe. Stripe obsługuje płatności i przekazuje nam dane zamówienia. Dane przetwarzają spółki z grupy Stripe, m.in. Stripe Payments Europe, Limited i Stripe Technology Company, Limited (Irlandia), Stripe Payments UK, Ltd. (Zjednoczone Królestwo) oraz Stripe, LLC (USA). Do niektórych celów, np. świadczenia usług płatniczych, zapobiegania oszustwom i wypełniania własnych obowiązków prawnych, Stripe przetwarza dane jako odrębny administrator. Która spółka Stripe za co odpowiada, opisuje polityka prywatności Stripe: stripe.com/pl/privacy. Jeśli płacisz kartą (także przez Apple Pay lub Google Pay), dane przetwarzają też operator danej metody płatności i Twój bank, każdy na własnych zasadach.
• Dostawca towaru. Przygotowuje zamówienie i wysyła je bezpośrednio do Ciebie. Przekazujemy mu tylko dane potrzebne do wysyłki: imię i nazwisko odbiorcy, adres dostawy i numer telefonu. Nie przekazujemy mu Twojego adresu e-mail.
• Firmy kurierskie i pocztowe, które przewożą i doręczają przesyłkę. Jeśli przesyłka podlega odprawie celnej, dane otrzymują też agencje celne i organy celne, w zakresie potrzebnym do odprawy.
• Dostawca hostingu: Cloudflare, Inc. (USA), na którego serwerach działa strona (usługa Cloudflare Pages). Przetwarza dane w naszym imieniu, na podstawie umowy powierzenia przetwarzania danych.
• Dostawca naszej poczty e-mail, który przetwarza korespondencję w naszym imieniu.
• Instagram i TikTok. Jeśli piszesz do nas przez te serwisy, Twoje wiadomości przetwarzają też ich operatorzy (Meta w przypadku Instagrama, TikTok w przypadku TikToka) jako odrębni administratorzy, na zasadach opisanych w swoich politykach prywatności.
• Doradcy, np. księgowy lub prawnik, gdy jest to potrzebne do rozliczeń albo do dochodzenia lub obrony roszczeń.
• Organy publiczne, gdy wymagają tego przepisy.

Na Twoją prośbę podamy nazwy konkretnych odbiorców, którym przekazaliśmy Twoje dane. Jeśli zażądasz dostępu do swoich danych (art. 15 RODO), zawsze wskażemy tych odbiorców.

5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część odbiorców działa poza Europejskim Obszarem Gospodarczym (EOG). Poniżej piszemy, na jakiej podstawie dane trafiają do każdego z nich:

• Zjednoczone Królestwo. Tu prowadzimy działalność i tu przetwarzamy dane zamówień. Komisja Europejska uznała, że Zjednoczone Królestwo zapewnia odpowiedni stopień ochrony danych. Obecna decyzja pochodzi z 19 grudnia 2025 r. i obowiązuje do 27 grudnia 2031 r.
• Stripe. Stripe może przekazywać dane do Stripe, LLC w Stanach Zjednoczonych. Podstawą jest decyzja Komisji Europejskiej z 10 lipca 2023 r. w sprawie programu EU-U.S. Data Privacy Framework, w którym uczestniczy Stripe, LLC, a także standardowe klauzule umowne przyjęte przez Komisję. Część danych przetwarza Stripe Payments UK, Ltd. w Zjednoczonym Królestwie – podstawą jest decyzja opisana w punkcie wyżej. Szczegóły znajdziesz w polityce prywatności Stripe.
• Cloudflare. Cloudflare, Inc. ma siedzibę w Stanach Zjednoczonych. Podstawą przekazania jest decyzja Komisji Europejskiej z 10 lipca 2023 r. w sprawie programu EU-U.S. Data Privacy Framework, w którym uczestniczy Cloudflare, a także standardowe klauzule umowne przyjęte przez Komisję, zawarte w umowie powierzenia z Cloudflare.
• Dostawca towaru i przewoźnicy na początkowym etapie transportu. Działają w państwie spoza Europejskiego Obszaru Gospodarczego, dla którego Komisja Europejska nie wydała decyzji stwierdzającej odpowiedni stopień ochrony. Przekazujemy im tylko imię i nazwisko, adres dostawy i numer telefonu. Podstawą przekazania są standardowe klauzule umowne przyjęte przez Komisję Europejską (decyzja wykonawcza (UE) 2021/914), zawarte z dostawcą. Kopię możesz otrzymać, pisząc na . Na Twoją prośbę – a zawsze w odpowiedzi na żądanie dostępu do danych – podamy, o które państwo chodzi.
• Dostawca poczty e-mail. Jeśli przetwarza dane poza EOG, wybieramy tylko takiego, który zapewnia zabezpieczenia wymagane przez RODO: decyzję Komisji Europejskiej o odpowiednim stopniu ochrony albo standardowe klauzule umowne przyjęte przez Komisję.

Kopię stosowanych zabezpieczeń (np. standardowych klauzul umownych) możesz dostać, pisząc na adres .

6. Jak długo przechowujemy dane

• Dane zamówienia (w tym potwierdzenie akceptacji regulaminu i potwierdzenie ukończenia 18 lat): przez czas realizacji zamówienia, a potem do przedawnienia roszczeń z umowy. Zwykle trwa to 6 lat, a termin kończy się ostatniego dnia roku kalendarzowego (art. 118 Kodeksu cywilnego).
• Dokumenty sprzedaży potrzebne do rozliczeń podatkowych: przez okres, którego wymagają przepisy podatkowe. Według prawa brytyjskiego jest to 5 lat od terminu złożenia rocznego zeznania podatkowego za rok, w którym doszło do sprzedaży. W praktyce to około 6–7 lat od zakupu. Jeśli przepisy o VAT wymagają dłuższego okresu, przechowujemy dokumenty do 10 lat od końca roku, w którym doszło do sprzedaży.
• Korespondencja (e-mail oraz wiadomości na Instagramie i TikToku): jeśli dotyczy zamówienia, reklamacji lub zwrotu, przechowujemy ją tak długo jak dane zamówienia. Pozostałą korespondencję przechowujemy 12 miesięcy od ostatniej wiadomości. Wiadomości wysłane przez Instagram lub TikTok przechowują też te serwisy, na własnych zasadach.
• Oznaczenie kanału: w zamówieniu, tak długo jak dane zamówienia.
• Logi serwera: przez krótki czas potrzebny do zapewnienia bezpieczeństwa strony, zgodnie z ustawieniami dostawcy hostingu.

Jeśli do tych samych danych stosuje się kilka okresów, przechowujemy je do końca najdłuższego z nich, a potem usuwamy. Jeśli Twój sprzeciw okaże się skuteczny, przestaniemy przetwarzać dane w celu, którego dotyczył. Stripe przechowuje dane płatności przez okresy opisane w swojej polityce prywatności.

7. Twoje prawa

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii, w tym informacji, komu je przekazaliśmy (art. 15 RODO),
• sprostowania danych, np. poprawienia błędnego adresu (art. 16 RODO),
• usunięcia danych (art. 17 RODO), chyba że musimy je dalej przechowywać, np. ze względu na przepisy podatkowe lub możliwe roszczenia,
• ograniczenia przetwarzania (art. 18 RODO),
• przenoszenia danych, które przetwarzamy w celu wykonania umowy. Dostaniesz je w popularnym formacie elektronicznym (art. 20 RODO),
• wniesienia sprzeciwu (art. 21 RODO) – zob. niżej.

Prawo sprzeciwu. W każdej chwili możesz wnieść sprzeciw wobec przetwarzania Twoich danych na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), z przyczyn związanych z Twoją szczególną sytuacją. Napisz na . Wtedy przestaniemy przetwarzać Twoje dane w tym celu, chyba że wykażemy ważne, prawnie uzasadnione podstawy, które są nadrzędne wobec Twoich interesów, praw i wolności, albo dane są nam potrzebne do ustalenia, dochodzenia lub obrony roszczeń.

Aby skorzystać ze swoich praw, napisz na albo wyślij list na adres z punktu 1 albo skontaktuj się z naszym przedstawicielem w UE. Odpowiemy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. W wyjątkowo złożonych sprawach możemy przedłużyć ten termin o dwa miesiące. Wtedy powiadomimy Cię o tym w ciągu pierwszego miesiąca. Co do zasady nie pobieramy opłat. Żeby mieć pewność, że piszemy z Tobą, możemy poprosić Cię o wiadomość z adresu e-mail podanego przy zamówieniu albo o numer zamówienia.

8. Prawo do skargi

Jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych: ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl. Możesz też złożyć skargę do organu ochrony danych w innym państwie UE, w którym mieszkasz, pracujesz lub w którym doszło do naruszenia. Zachęcamy, żeby najpierw napisać do nas. Postaramy się szybko załatwić sprawę.

9. Pliki cookies i pamięć przeglądarki

Nasza strona nie używa własnych plików cookies. Nie korzystamy z narzędzi analitycznych (np. Google Analytics) ani z pikseli reklamowych (np. Meta, TikTok). Nie wczytujemy czcionek ani skryptów z zewnętrznych serwerów. Wszystkie pliki strony, także czcionki, pochodzą z naszego hostingu, więc przy wyświetlaniu strony Twoje dane nie trafiają np. do Google.

Strona nie zapisuje niczego w pamięci Twojej przeglądarki.

Strona płatności należy do Stripe. Stripe używa na niej własnych plików cookies i podobnych technologii, m.in. do zapobiegania oszustwom. Zasady opisuje polityka cookies Stripe: stripe.com/cookies-policy/legal.

10. Bezpieczeństwo

Strona działa tylko przez szyfrowane połączenie (HTTPS). Płatności obsługuje Stripe, więc nie mamy dostępu do pełnych danych kart i ich nie przechowujemy. Dostęp do danych zamówień mamy tylko my. Naszym dostawcom przekazujemy tylko dane potrzebne do wykonania ich zadań.

11. Zmiany tej polityki

Jeśli zmienimy tę politykę, opublikujemy na tej stronie nową wersję z nową datą. O zmianach, które dotyczą Twojego zamówienia, powiadomimy Cię e-mailem.