Polityka Prywatności

Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych użytkowników sklepu internetowego Trichovita (dalej: „Sklep”) oraz wykorzystania plików cookies i innych podobnych technologii. Dbamy o bezpieczeństwo danych osobowych i przetwarzamy je zgodnie z obowiązującym prawem, w szczególności z RODO (Rozporządzeniem UE 2016/679), ustawą o świadczeniu usług drogą elektroniczną, ustawą Prawo komunikacji elektronicznej oraz Prawem telekomunikacyjnym, a także innymi właściwymi przepisami. Polityka jest skierowana do wszystkich klientów Sklepu, zarówno konsumentów (B2C), jak i przedsiębiorców (B2B), korzystających z usług Sklepu na terenie Polski.

Administratorem danych osobowych (dalej: „Administrator” lub „my”) jest TRICHOVITA Spółka z ograniczoną odpowiedzialnością z siedzibą w Poznaniu (adres: Os. Stefana Batorego 79/U4, 60-687 Poznań). Spółka wpisana jest do rejestru przedsiębiorców KRS pod numerem 0000223026 (NIP: 7792234940, REGON: 634598564). Administrator prowadzi Sklep internetowy pod adresem www.trichovita.pl.

W sprawach dotyczących ochrony danych osobowych można skontaktować się z Administratorem pisemnie na powyższy adres lub poprzez formularz kontaktowy dostępny na stronie Sklepu (sekcja „Kontakt”).

Przetwarzamy dane osobowe użytkowników w określonych celach, w minimalnym zakresie niezbędnym do realizacji tych celów. Poniżej przedstawiamy, jakie dane, w jakich sytuacjach zbieramy, w jakim celu je przetwarzamy oraz na jakiej podstawie prawnej:

• Składanie zamówień (zakup towarów): podczas składania zamówienia prosimy o podanie danych niezbędnych do realizacji umowy sprzedaży: imienia i nazwiska, adresu dostawy (ulica, kod pocztowy, miejscowość), adresu e-mail oraz numeru telefonu kontaktowego. W przypadku klientów będących przedsiębiorcami dodatkowo możemy zbierać nazwę firmy oraz NIP (dla celów fakturowania). Dane te są przetwarzane w celu realizacji zamówienia, tj. zawarcia i wykonania umowy sprzedaży na odległość (przyjęcia zamówienia, płatności, dostawy towaru, obsługi ewentualnych reklamacji). Podstawą prawną jest niezbędność do wykonania umowy (art. 6 ust. 1 lit. b RODO), bez tych danych nie moglibyśmy zrealizować sprzedaży. Ponadto niektóre dane (np. dane do faktury) przetwarzamy w celu wypełnienia obowiązków prawnych ciążących na nas jako sprzedawcy, np. obowiązków podatkowych i księgowych (wystawienie i przechowywanie faktur, rachunków), podstawą jest art. 6 ust. 1 lit. c RODO. Możemy też przetwarzać te dane w oparciu o nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) w zakresie niezbędnym do ustalenia, dochodzenia lub obrony roszczeń (np. przechowywanie informacji o zamówieniu aż do upływu terminu przedawnienia roszczeń z umowy).
• Konto Klienta: zakładając dobrowolne Konto Klienta w naszym Sklepie, użytkownik potwierdza swoją tożsamość wybraną metodą logowania. Adres e-mail jest opcjonalny przy logowaniu przez Facebook. Do korzystania z Konta potrzebne są imię, nazwisko i numer telefonu; służą do obsługi zamówień, zwrotów i reklamacji. Użytkownik może również zapisać adresy dostawy. Konto nie posiada hasła. Logowanie odbywa się jednorazowym linkiem lub sześciocyfrowym kodem wysyłanym na adres e-mail użytkownika (link i kod są ważne 15 minut i działają jednorazowo), sześciocyfrowym kodem SMS wysyłanym na numer telefonu potwierdzony wcześniej w Koncie, albo przez konto Google lub Facebook, jeżeli dana metoda jest dostępna w formularzu logowania. Kod SMS wysyła w naszym imieniu zewnętrzny dostawca bramki SMS z siedzibą w Polsce (jak przy weryfikacji numeru dla płatności za pobraniem). Przy logowaniu przez Google lub Facebook użytkownik jest przekierowywany do wybranego dostawcy. Do potwierdzenia tożsamości i powiązania Konta wykorzystujemy stały identyfikator użytkownika u tego dostawcy oraz potwierdzony adres e-mail, jeżeli został udostępniony. W przypadku Facebooka prosimy o uprawnienia email i public_profile. Dostawca może przekazać także imię, nazwisko i adres zdjęcia profilowego. Dane te mogą znajdować się w technicznym rekordzie tożsamości utrzymywanym przez dostawcę usługi uwierzytelniania w naszym imieniu; nie wykorzystujemy ich do automatycznego uzupełniania profilu klienta ani do łączenia zamówień. Usługa uwierzytelniania działa na podstawie umowy powierzenia i pośredniczy w wymianie kodu autoryzacyjnego. Jej sesję kończymy po obsłudze logowania, a dalszy dostęp do Sklepu opiera się na własnej, odwoływalnej sesji Konta Klienta. Samo zakończenie sesji nie usuwa technicznego rekordu tożsamości. W danych Konta zapisujemy identyfikator dostawcy oraz powiązanie z potwierdzonym adresem e-mail, jeśli został dodany; adres chronimy szyfrowaniem, a do wyszukiwania powiązań używamy jego skrótu. Nie otrzymujemy haseł do Google ani Facebooka. Nie prosimy o dostęp do znajomych, postów ani publikowania w imieniu użytkownika. Tokenów dostawcy nie używamy do pobierania dodatkowych danych po logowaniu. Facebook umożliwia utworzenie Konta i kolejne logowanie także bez udostępnienia adresu e-mail. Adres można później dobrowolnie dodać i potwierdzić w ustawieniach Konta. Zamówienia przypisujemy wyłącznie po adresie e-mail, którego własność została potwierdzona; numer telefonu ani imię, nazwisko lub zdjęcie z profilu społecznościowego nie służą do łączenia kont. Przetwarzamy również dane techniczne aktywnych sesji logowania (m.in. datę logowania, informację o przeglądarce i adres IP), aby użytkownik mógł przeglądać i odwoływać sesje swoich urządzeń w ustawieniach bezpieczeństwa konta. Dane te są przetwarzane w celu utworzenia i prowadzenia Konta Klienta oraz umożliwienia korzystania z jego funkcjonalności (podgląd historii zamówień, przesyłek, faktur i zwrotów, zapisane adresy, ustawienia bezpieczeństwa i prywatności). Po potwierdzeniu adresu e-mail do konta przypisywane są zamówienia złożone z użyciem tego adresu, w tym wcześniejsze zakupy dokonane bez konta. Podstawą prawną przetwarzania jest niezbędność do wykonania umowy o świadczenie usług drogą elektroniczną: utworzenie i prowadzenie konta (art. 6 ust. 1 lit. b RODO). Przy aktywacji konta użytkownik akceptuje Regulamin i oświadcza, że ukończył 16 lat; odnotowujemy wersję Regulaminu, w brzmieniu której oświadczenia te zostały złożone. Dane profilu, zapisanych adresów i sesji przechowujemy do czasu usunięcia konta przez użytkownika (samodzielnie, w panelu konta) lub przez Administratora. Usunięcie konta nie powoduje usunięcia danych dot. zrealizowanych zamówień, które możemy nadal przechowywać np. dla celów podatkowych czy prawnych (zgodnie z zasadami opisanymi w niniejszej Polityce); pełne usunięcie danych osobowych realizujemy w procedurze RODO opisanej w niniejszej Polityce, dostępnej na stronie Moje dane.
• Newsletter (informacje handlowe e-mail): zapisując się do newslettera, użytkownik przekazuje nam swój adres e-mail (oraz ewentualnie imię, jeśli chce być personalnie pozdrawiany). Dane te wykorzystujemy w celu wysyłania newslettera, czyli informacji o nowościach, promocjach, ofertach i artykułach związanych ze Sklepem. Wysyłka newslettera następuje wyłącznie po uzyskaniu wyraźnej zgody użytkownika na otrzymywanie od nas informacji handlowych drogą elektroniczną (zgodnie z wymogami prawa komunikacji elektronicznej). Podstawą prawną przetwarzania danych (adresu e-mail) jest zgoda osoby (art. 6 ust. 1 lit. a RODO). Użytkownik może w każdej chwili wycofać swoją zgodę, np. klikając link „wypisz się” w stopce każdego newslettera lub kontaktując się z nami w dowolny sposób. Wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania dokonanego przed cofnięciem zgody. Po wycofaniu zgody nie będziemy już wysyłać newslettera na dany adres e-mail.
• Formularz kontaktowy: korzystając z formularza kontaktowego lub wysyłając do nas wiadomość (np. e-mailowo), użytkownik podaje takie dane jak: imię, nazwisko, adres e-mail, numer telefonu (opcjonalnie) oraz treść zapytania. Dane te są przetwarzane w celu obsługi zapytania: udzielenia odpowiedzi, rozwiązania przedstawionej sprawy, kontaktu zwrotnego. Podstawą prawną przetwarzania może być nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na komunikacji z osobami pytającymi o nasze usługi i utrzymaniu relacji z klientami. Jeśli zapytanie dotyczy np. oferty przed zawarciem umowy, podstawą może być także podjęcie działań na żądanie osoby przed zawarciem umowy (art. 6 ust. 1 lit. b RODO). Dane z korespondencji będą przetwarzane przez czas potrzebny do obsługi zapytania oraz ewentualnie dłużej, na wypadek dochodzenia roszczeń lub obrony przed roszczeniami (co stanowi nasz uzasadniony interes). Na przykład, korespondencję możemy archiwizować przez okres do 2 lat od zakończenia sprawy, o ile jest to konieczne dla celów dowodowych (np. historii ustaleń z klientem).
• Opinie i recenzje: nasz Sklep umożliwia pozostawianie opinii o produktach lub o działalności Sklepu (np. w formie recenzji lub ocen). Jeśli użytkownik zdecyduje się opublikować opinię, przetwarzamy dane podane w formularzu opinii: treść recenzji, ocenę produktu oraz dane autora opinii (takie jak imię/pseudonim, ewentualnie podstawowe dane konta, jeśli opinia jest publikowana przez zalogowanego użytkownika). Przetwarzanie odbywa się w celu publikacji opinii użytkownika na stronie Sklepu i ewentualnej moderacji tych treści. Podstawą prawną jest zgoda użytkownika wyrażona przez dobrowolne zamieszczenie opinii (art. 6 ust. 1 lit. a RODO), użytkownik decyduje się upublicznić swoje dane w ramach opinii. Zastrzegamy sobie prawo do moderowania lub usuwania opinii naruszających prawo lub dobre obyczaje (zgodnie z regulaminem Sklepu). Użytkownik może w każdej chwili zażądać usunięcia swojej opublikowanej recenzji, wtedy zaprzestaniemy przetwarzania związanych z nią danych (chyba że dalsze ich przechowywanie wynika z innych celów, np. obrony przed roszczeniami). Alternatywną podstawą prawną przetwarzania danych w kontekście opinii może być nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na udostępnianiu rzetelnych informacji o produktach i jakości naszej obsługi innym klientom, zawsze jednak respektujemy wolę użytkownika co do zamieszczenia lub usunięcia jego opinii.
• Prośba o opinię: około 14 dni po doręczeniu zamówienia ze Sklepu wysyłamy jedną wiadomość e-mail z prośbą o opinię o kupionych produktach. Podstawą jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO): chcemy wiedzieć, jak sprawdzają się nasze produkty i obsługa. Osobom należącym do Klubu Trichovita podajemy w niej też punkty, które za opinię przysługują zgodnie z regulaminem klubu. Z takich wiadomości zrezygnujesz, pisząc na kontakt@trichovita.pl.
• Klub Trichovita: udział w programie jest dobrowolny i wymaga przyjęcia regulaminu klubu. Obsługujemy go na podstawie umowy o uczestnictwo (art. 6 ust. 1 lit. b RODO). Przetwarzamy dane Konta, historię zakupów i zwrotów, opinie, polecenia, naliczenia i wykorzystanie punktów oraz potwierdzenie pełnoletności i przyjęcia regulaminu. Możesz podać dzień i miesiąc urodzin, bez roku, aby otrzymać premię urodzinową. Możesz też usunąć tę datę w Koncie. Na adres e-mail wysyłamy wiadomości potrzebne do obsługi uczestnictwa, np. potwierdzenie dołączenia, informację o wygasających punktach lub decyzji dotyczącej członkostwa. Wiadomości marketingowe wysyłamy po uzyskaniu wymaganej zgody; udział w klubie nie zastępuje takiej zgody. W celu przeciwdziałania nadużyciom porównujemy zweryfikowane adresy e-mail, numery telefonu, dane zamówień, adres IP i informacje o przeglądarce. Identyfikatory stosowane przy Blokadach zapisujemy jako skróty zabezpieczone tajnym kluczem. Podstawą jest nasz prawnie uzasadniony interes w ochronie programu przed nadużyciami (art. 6 ust. 1 lit. f RODO). Podejrzenia udziału z kilku Kont, polecenia samej siebie i innych naruszeń ocenia uprawniony pracownik; uczestnik może przedstawić wyjaśnienia i wystąpić o ponowne rozpatrzenie. Automatyczne sprawdzenie aktywnej Blokady może uniemożliwić ponowne dołączenie do klubu, ale nie zakupy w Sklepie.

Dane geolokalizacyjne (mapa wyboru paczkomatu / punktu odbioru)

Podczas finalizacji zamówienia (na stronie koszyka, w kroku wyboru paczkomatu lub punktu odbioru) udostępniamy interaktywną mapę pozwalającą znaleźć najbliższe punkty kurierskie. Jeżeli użytkownik świadomie kliknie przycisk „Użyj mojej lokalizacji”, przeglądarka poprosi go o zgodę na przekazanie nam współrzędnych geograficznych (szerokości i długości geograficznej). Współrzędne te wykorzystujemy jednorazowo: nasz serwer zaokrągla je i pyta pośrednika, przez którego zamawiamy usługi kurierskie, o listę punktów odbioru w tej okolicy, przekazując mu wyłącznie obszar mapy, bez danych identyfikujących użytkownika. Nie zapisujemy współrzędnych w bazie danych, nie łączymy ich z kontem klienta i nie wykorzystujemy ich do żadnych innych celów (analitycznych, marketingowych ani profilowania). Jeśli użytkownik nie wyrazi zgody, mapa nadal działa, można wyszukać paczkomat ręcznie po nazwie miasta lub kodzie pocztowym; wpisany tekst nasz serwer przekazuje wtedy zewnętrznej usłudze geokodowania, która zamienia go na położenie na mapie, również bez danych identyfikujących użytkownika. Sam podkład mapy przeglądarka pobiera bezpośrednio od zewnętrznego dostawcy map, który w związku z tym otrzymuje adres IP urządzenia i informację o oglądanym fragmencie mapy. Podstawą prawną przetwarzania jest zgoda użytkownika (art. 6 ust. 1 lit. a RODO), wyrażona poprzez świadome kliknięcie ikony lokalizacji i potwierdzenie pop-upa przeglądarki; zgodę można w każdej chwili wycofać w ustawieniach przeglądarki (Safari / Chrome / Firefox → Ustawienia witryny → Lokalizacja).

Weryfikacja numeru telefonu przy płatności za pobraniem (kod SMS)

Jeżeli przy składaniu Zamówienia wybierzesz płatność za pobraniem, na podany w formularzu numer telefonu wyślemy jednorazowy, 6-cyfrowy kod SMS - jego wpisanie potwierdza, że numer jest poprawny i należy do Ciebie, i umożliwia złożenie Zamówienia. Robimy to, ponieważ przy pobraniu kurier musi mieć możliwość skutecznego kontaktu z odbiorcą, a błędny numer lub fałszywe zamówienie oznaczałoby nieodebraną przesyłkę. Kod przechowujemy wyłącznie w postaci skróconej (hash), maksymalnie przez 10 minut; rejestrujemy także krótkotrwałe liczniki wysyłek i prób weryfikacji (ograniczenie nadużyć). Wysyłkę SMS realizuje w naszym imieniu zewnętrzny dostawca bramki SMS z siedzibą w Polsce, któremu przekazujemy wyłącznie numer telefonu i treść wiadomości z kodem. Podstawą prawną przetwarzania jest niezbędność do podjęcia działań przed zawarciem umowy i do jej wykonania (art. 6 ust. 1 lit. b RODO) oraz nasz prawnie uzasadniony interes polegający na przeciwdziałaniu nadużyciom i pomyłkom w danych kontaktowych (art. 6 ust. 1 lit. f RODO).

Zapamiętanie danych do zamówienia na urządzeniu (ułatwienie ponownych zakupów)

Aby ułatwić Ci ponowne zakupy, po złożeniu zamówienia dane podane w formularzu zamówienia (imię i nazwisko, adres dostawy, adres e-mail, numer telefonu oraz preferowana metoda dostawy) możemy zapisać wyłącznie lokalnie, w pamięci Twojej przeglądarki na Twoim urządzeniu. Dzięki temu podczas kolejnej wizyty zaproponujemy Ci automatyczne uzupełnienie formularza, abyś nie musiał(a) wpisywać tych danych ponownie i mógł/mogła szybciej sfinalizować zakup. Danych tych w tym celu nie przesyłamy ani nie przechowujemy na naszych serwerach, nie tworzymy z nich konta ani profilu klienta i nie łączymy ich między urządzeniami; nie zapisujemy żadnych danych płatniczych (te obsługuje wyłącznie operator płatności Przelewy24). Funkcja działa dla Twojej wygody, możesz odmówić uzupełnienia danych przy powrotnej wizycie, a zapisane dane w każdej chwili usunąć (przyciskiem w oknie propozycji, czyszcząc pamięć przeglądarki lub poprzez stronę „Moje dane”). Zapisane dane wygasają automatycznie po 90 dniach od ostatniego zamówienia. Podstawą prawną jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na ułatwieniu Klientom ponownych zakupów, a w zakresie zapisu informacji na Twoim urządzeniu, akceptacja tej funkcjonalności wraz z akceptacją Regulaminu przy składaniu zamówienia. Dane pozostają wyłącznie na Twoim urządzeniu, w ramach EOG, i nie są przekazywane poza ten obszar.

Nasza strona Sklepu wykorzystuje tzw. pliki cookies (ciasteczka) oraz podobne technologie, aby zapewnić jej prawidłowe działanie, ulepszać jej funkcje oraz prowadzić analizę i marketing. Cookies to niewielkie pliki tekstowe, które serwis zapisuje w urządzeniu Użytkownika (komputerze, smartfonie itp.) podczas przeglądania strony.

• Cookies niezbędne technicznie: są to cookies konieczne do prawidłowego funkcjonowania Sklepu i realizacji podstawowych usług. Używamy ich m.in. do utrzymania sesji po zalogowaniu, zapamiętania zawartości koszyka, ustawień preferencji (np. język). Te pliki cookies nie gromadzą danych w celach marketingowych czy analitycznych, a jedynie zapewniają funkcjonalność Sklepu. Z uwagi na ich niezbędność, nie wymagamy odrębnej zgody na ich stosowanie, ich wykorzystanie odbywa się na podstawie art. 173 Prawa telekomunikacyjnego (zapewnienie transmisji komunikatu w sieci) i naszego uzasadnionego interesu w zapewnieniu usług żądanych przez użytkownika.
• Cookies analityczne: to pliki używane w celu zbierania informacji o tym, w jaki sposób użytkownicy korzystają z naszego Sklepu (np. które podstrony odwiedzają, ile czasu na nich spędzają, jakie funkcje klikają). Wykorzystujemy narzędzia analityczne, takie jak Google Analytics (dostarczane przez Google Ireland Ltd.), które za pomocą cookies gromadzą anonimowe dane statystyczne (np. zanonimizowane adresy IP, identyfikatory urządzeń) w celu analizowania ruchu na stronie i ulepszania naszego Sklepu. Stosowanie analitycznych cookies odbywa się wyłącznie za zgodą użytkownika: przy pierwszej wizycie pytamy o zgodę na tego typu cookies. Jeśli się nie zgodzisz, nadal możesz korzystać ze Sklepu, a Google Analytics dostanie tylko ogólne statystyki bez plików cookies (zob. „Tryb zgody Google”). Podstawą prawną przetwarzania danych z cookies analitycznych jest zgoda użytkownika (art. 6 ust. 1 lit. a RODO) w połączeniu z wymogami Prawa telekomunikacyjnego i RODO. Informacje zbierane przez Google Analytics mogą być przekazywane do serwerów Google poza Europą (np. w USA), korzystamy jednak z tych narzędzi zgodnie z mechanizmami zgodności przewidzianymi przez prawo (np. standardowe klauzule umowne zatwierdzone przez Komisję Europejską). Szczegóły na temat polityki prywatności Google znajdują się na stronach Google. Ta sama zgoda obejmuje nagrywanie sesji, opisane niżej.
• Cookies marketingowe (reklamowe): Sklep korzysta z Google Ads do pomiaru skuteczności reklam i konwersji po kliknięciu reklamy, a także do remarketingu i personalizacji reklam. Pliki cookies Google Ads, remarketing (nasze reklamy w Google i na innych stronach) i dopasowanie reklam włączamy tylko po Twojej osobnej zgodzie na kategorię „Marketingowe”. Bez niej Google Ads dostaje tylko ogólne statystyki bez plików cookies (zob. „Tryb zgody Google”). Po udzieleniu zgody możemy zapisać na okres do 90 dni własny plik trichovita_attribution zawierający identyfikator kliknięcia Google (gclid, gbraid lub wbraid) i parametry kampanii. Przy utworzeniu zamówienia zapisujemy z nim stan tej zgody. Po potwierdzeniu płatności możemy przekazać Google identyfikator kliknięcia, numer i wartość zamówienia oraz zahaszowane dane podane przez klienta (np. adres e-mail lub numer telefonu) w celu pomiaru konwersji rozszerzonych. Brak zgody lub odmowa w chwili utworzenia zamówienia blokuje taki upload. Późniejsze wycofanie zgody usuwa cookie atrybucyjne i blokuje jego przyszłe zapisy oraz konwersje dla kolejnych zamówień. Odbiorcą danych jest Google Ireland Ltd.; informacje mogą być przetwarzane poza EOG zgodnie z mechanizmami transferu opisanymi niżej.
• Tryb zgody Google: narzędzia Google (Analytics i Ads) wczytują się od razu po wejściu na stronę. Dopóki się nie zgodzisz, nie zapisują ani nie czytają plików cookies, a Google dostaje tylko ogólne statystyki: odsłony stron, dodania do koszyka i zakupy, Twój wybór w banerze, rodzaj przeglądarki i adres strony bez prywatnych kodów. Google widzi przy tym adres IP, jak przy każdym połączeniu z internetem. Te dane służą tylko do ogólnych statystyk ruchu i reklam, nie do pokazywania Ci reklam ani tworzenia Twojego profilu. Podstawa: nasz prawnie uzasadniony interes, czyli sprawdzanie, jak działają Sklep i reklamy (art. 6 ust. 1 lit. f RODO).

Własna statystyka odsłon (bez plików cookies)

Niezależnie od opisanych wyżej cookies analitycznych prowadzimy własną, anonimową statystykę odsłon stron Sklepu, która nie wykorzystuje plików cookies ani innej formy zapisu danych w urządzeniu użytkownika. Przy wejściu na stronę zapisujemy: adres odwiedzonej podstrony i jej typ (np. wpis na blogu, strona produktu), język, źródło wejścia (domenę strony odsyłającej), kraj oraz rodzaj urządzenia (telefon, tablet, komputer). Przy zgodzie na cookies marketingowe dopisujemy do takiego wpisu również parametry kampanii z adresu wejścia (utm_source, utm_medium, utm_campaign) oraz wersję udzielonej zgody. Bez tej zgody parametrów kampanii nie zapisujemy. Nie zapisujemy adresu IP, używamy go wyłącznie chwilowo, bez utrwalania, do wyliczenia nieodwracalnego, codziennie zmienianego skrótu służącego do przybliżonego liczenia unikalnych odwiedzin; skrót ten nie pozwala zidentyfikować konkretnej osoby ani śledzić jej w kolejnych dniach. Danych tych nie łączymy z kontem klienta, zamówieniami ani innymi informacjami; wejścia robotów i wyszukiwarek oraz strony zwrotu, śledzenia przesyłki i potwierdzenia zamówienia są z tej statystyki wyłączone. Mierzymy natomiast trzy kroki formularza zamówienia (dane, dostawa, podsumowanie), zapisując wyłącznie numer kroku, bez treści formularza. Statystyki używamy wyłącznie w celu zrozumienia, które treści są czytane, oraz ulepszania Sklepu (w tym bloga). Z uwagi na anonimowy charakter i brak cookies prowadzenie tego pomiaru nie wymaga Twojej zgody, a podstawą prawną jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na prowadzeniu statystyki odwiedzin i rozwoju Sklepu. Dane te przetwarzamy na naszej infrastrukturze w ramach Europejskiego Obszaru Gospodarczego i nie przekazujemy ich poza EOG.

Nagrywanie sesji i monitorowanie błędów

Korzystamy z zewnętrznego narzędzia do wykrywania błędów aplikacji oraz do nagrywania sesji, czyli zapisu przebiegu wizyty: kolejnych podstron, kliknięć i układu strony. Nagrywanie uruchamiamy wyłącznie po wyrażeniu zgody na cookies analityczne i zatrzymujemy je natychmiast po wycofaniu tej zgody. Nagranie zapisuje w przeglądarce własny klucz sesji, dlatego traktujemy je tak samo jak pozostałe cookies analityczne. Nagrywamy około 1% wizyt oraz wizyty, w których wystąpił błąd aplikacji. W nagraniu maskujemy cały tekst i wszystkie pola formularzy oraz blokujemy obrazy i wideo, więc dane wpisywane w zamówieniu (imię i nazwisko, adres, e-mail, telefon) nie trafiają do nagrania; widoczny jest układ strony i miejsca kliknięć. Podstawą prawną jest Twoja zgoda (art. 6 ust. 1 lit. a RODO).

Niezależnie od nagrywania sesji to samo narzędzie zbiera zgłoszenia błędów aplikacji (treść komunikatu błędu, adres podstrony, rodzaj przeglądarki). Nie wykorzystuje to plików cookies, a przed wysłaniem usuwamy z takich zgłoszeń dane mogące identyfikować osobę (adresy e-mail, numery telefonu, kody pocztowe) oraz jednorazowe tokeny z adresów. Podstawą prawną jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na zapewnieniu bezpieczeństwa i poprawnego działania Sklepu.

Korzystamy również z pomiaru wbudowanego w infrastrukturę hostingową Sklepu: licznika odsłon oraz pomiaru wydajności (czasy ładowania stron u realnych użytkowników). Pomiar ten nie wykorzystuje plików cookies ani innego zapisu w Twoim urządzeniu, a z przekazywanych adresów podstron usuwamy jednorazowe tokeny z linków (np. do zwrotu albo weryfikacji danych), zanim opuszczą przeglądarkę. Podstawą prawną jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na utrzymaniu wydajności Sklepu.

Dostawca narzędzia do monitorowania błędów i nagrywania sesji oraz dostawca hostingu przetwarzają te dane na nasze zlecenie, na podstawie umów powierzenia (art. 28 RODO); dane mogą być przetwarzane poza EOG na zasadach opisanych niżej.

Zarządzanie cookies: Podczas pierwszej wizyty w Sklepie wyświetlamy komunikat (baner cookies) z informacją o stosowaniu cookies oraz prośbą o wyrażenie zgody na cookies nieobowiązkowe (analityczne, marketingowe). Użytkownik ma możliwość zaakceptowania wszystkich cookies, odrzucenia cookies nieistotnych lub wybrania poszczególnych kategorii, na które wyraża zgodę. Decyzję tę można w każdym momencie zmienić, np. poprzez zmianę ustawień cookies w przeglądarce (możliwe jest usunięcie zapisanych plików lub zablokowanie przyszłych cookies) albo poprzez ponowne otwarcie ustawień cookies linkiem w stopce Sklepu. Po wycofaniu zgody zatrzymujemy pomiar i kasujemy z Twojej przeglądarki identyfikatory Google zapisane wcześniej (pliki _ga, _gid, _gat, _gcl_* i _gac_*) oraz nasz plik atrybucyjny. Instrukcje zarządzania cookies w najpopularniejszych przeglądarkach znajdują się zazwyczaj w sekcji „Pomoc” danej przeglądarki. Proszę pamiętać, że zablokowanie cookies niezbędnych może utrudnić korzystanie ze Sklepu, np. koszyk zakupowy i proces zamówienia mogą nie działać poprawnie bez cookies sesyjnych.

W związku z prowadzeniem Sklepu, możemy przekazywać zebrane dane osobowe wybranym podmiotom zewnętrznym, jeśli jest to konieczne do realizacji usług lub wynika z obowiązujących przepisów. Dbamy o to, by każdy taki podmiot gwarantował odpowiedni poziom ochrony danych. Dane mogą być przekazywane następującym kategoriom odbiorców:

• Firmy kurierskie i operatorzy pocztowi: w celu dostarczenia zamówionych produktów przekazujemy dane adresowe i kontaktowe klienta firmom realizującym przesyłki (InPost, DPD, DHL, Orlen Paczka, zgodnie z wybraną metodą dostawy). Udostępniane są tylko dane niezbędne do doręczenia paczki (np. imię i nazwisko, adres dostawy, nr telefonu do kontaktu dla kuriera). W tym samym zakresie dane otrzymuje pośrednik, za pośrednictwem którego zamawiamy usługi kurierskie i generujemy etykiety przesyłek.
• Operatorzy płatności elektronicznych: w naszym Sklepie korzystamy z usług zewnętrznych systemów płatności, aby umożliwić bezpieczne opłacenie zamówień online. Dane niezbędne do zrealizowania płatności (np. kwota, numer zamówienia, e-mail, czasem imię i nazwisko płatnika) przekazywane są operatorowi płatności. Przykładem takiego podmiotu jest PayPro S.A. (ul. Pastelowa 8, 60-198 Poznań), operator systemu Przelewy24. Operator płatności staje się odrębnym administratorem otrzymanych danych w zakresie realizacji transakcji, przetwarza je zgodnie ze swoją polityką prywatności i wymogami prawa (np. ustawy o przeciwdziałaniu praniu pieniędzy, wymogami KNF itp.).
• Dostawcy usług IT i infrastruktury technicznej: współpracujemy z zewnętrznymi podmiotami zapewniającymi nam usługi niezbędne do funkcjonowania Sklepu, w szczególności w kategoriach: hosting aplikacji (wraz z opisanym wyżej pomiarem odsłon i wydajności), zarządzana baza danych, obsługa uwierzytelniania przy logowaniu przez konto Google lub Facebook, transakcyjna poczta elektroniczna (wysyłka potwierdzeń zamówień, powiadomień o wysyłce, newslettera), bramka SMS (jednorazowe kody oraz wiadomości dotyczące zwrotu przesyłki), ochrona przed botami i spamem (CAPTCHA), monitorowanie błędów aplikacji i nagrywanie sesji. Każdy z tych podmiotów działa na podstawie umowy powierzenia przetwarzania (art. 28 RODO) i przetwarza dane wyłącznie na nasze polecenie. Dostawca bramki SMS ma siedzibę w Polsce, pozostali dostawcy z tej grupy to podmioty z siedzibą w USA, przy czym dane w bazie przechowujemy w centrum danych na terenie Unii Europejskiej. Część z nich posiada infrastrukturę poza EOG (m.in. w USA). W takich przypadkach transfer danych odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (Ramy ochrony danych UE-USA), jeżeli dostawca uczestniczy w tym programie, a w pozostałych przypadkach na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską zgodnie z art. 46 RODO. Osobie, której dane dotyczą, na jej żądanie złożone w ramach prawa dostępu (art. 15 RODO) przekazujemy informację o konkretnych odbiorcach jej danych oraz o podstawie prawnej transferu.
• Google Ireland Ltd. - program opinii o sklepie: jeśli po złożeniu zamówienia wyrazisz na to zgodę w wyświetlonym okienku, przekazujemy Google Twój adres e-mail, numer zamówienia oraz przewidywaną datę dostawy, aby Google mogło wysłać Ci ankietę z prośbą o ocenę zakupów (program Opinie klientów Google). Podstawą przetwarzania jest Twoja dobrowolna zgoda (art. 6 ust. 1 lit. a RODO), której brak w żaden sposób nie wpływa na realizację zamówienia. Zgodę możesz wycofać w każdej chwili, kontaktując się z nami lub bezpośrednio z Google. Google występuje tu jako odrębny administrator otrzymanych danych i przetwarza je zgodnie z własną polityką prywatności; dane mogą być przekazywane poza EOG na zasadach opisanych niżej. Wystawiona przez Ciebie ocena publikowana jest w sposób niepowiązany z Twoimi danymi identyfikacyjnymi.
• Google Ireland Ltd. - logowanie przez konto Google: jeśli wybierzesz logowanie do Konta Klienta przez Google, Google uwierzytelnia Cię jako odrębny administrator zgodnie z własną polityką prywatności i przekazuje nam potwierdzony adres e-mail oraz identyfikator Twojego konta Google. Nie przekazujemy Google danych o Twoich zamówieniach; Google otrzymuje jedynie informację, że logujesz się do Sklepu. Podstawą przetwarzania jest niezbędność do wykonania umowy o prowadzenie Konta (art. 6 ust. 1 lit. b RODO); wybór tej metody logowania jest dobrowolny, a e-mail i kod SMS pozostają dostępne. Dane mogą być przekazywane poza EOG na zasadach opisanych niżej.
• Meta Platforms Ireland Limited - logowanie przez Facebook: jeżeli wybierzesz tę metodę, Meta uwierzytelnia Cię jako odrębny administrator zgodnie z polityką prywatności Meta i przekazuje dane w zakresie opisanym przy Koncie Klienta. Meta otrzymuje informację o użyciu logowania do naszego Sklepu. W ramach tego logowania nie przekazujemy Meta historii zamówień ani danych płatniczych. Uzyskane dane służą uwierzytelnianiu i prowadzeniu Konta, na podstawie art. 6 ust. 1 lit. b RODO; nie sprzedajemy ich ani nie używamy do kierowania reklam. Wybór Facebooka jest dobrowolny, a logowanie kodem e-mail pozostaje dostępne. Przetwarzanie po stronie Meta, w tym ewentualne transfery poza EOG, podlega zasadom opisanym w jej polityce prywatności.
• Biuro rachunkowe / doradcy podatkowi: korzystamy z zewnętrznych usług księgowych do prowadzenia naszej dokumentacji finansowej. Dane naszych klientów (np. informacje na fakturach sprzedaży: imię, nazwisko/nazwa firmy, adres, NIP w przypadku firm, wartość transakcji) mogą być przekazywane do biura rachunkowego obsługującego naszą spółkę w zakresie koniecznym do zaksięgowania dokumentów i wywiązania się z obowiązków podatkowych. Podmiot ten przetwarza dane na podstawie umowy powierzenia i zgodnie z przepisami (np. ustawy o rachunkowości).
• Kancelarie prawne, windykatorzy: w razie potrzeby możemy udostępnić dane osobowe naszym doradcom prawnym lub firmom windykacyjnym, jeżeli będzie to konieczne do dochodzenia roszczeń wynikających z zawartej z klientem umowy (np. nieopłacone zamówienie, naruszenie regulaminu) lub obrony przed ewentualnymi roszczeniami. Podstawą takiego przekazania jest nasz prawnie uzasadniony interes w ochronie naszych praw (art. 6 ust. 1 lit. f RODO).
• Organy publiczne: udostępniamy dane wyłącznie po potwierdzeniu autentyczności żądania, uprawnienia organu i właściwej podstawy prawnej. Oceniamy niezbędność zakresu i przekazujemy tylko dane potrzebne do wykonania zgodnego z prawem żądania. Żądania niejasne lub nadmierne wyjaśniamy i ograniczamy; jeżeli są bezprawne, korzystamy z dostępnych środków ich zakwestionowania. Dokumentujemy ocenę, decyzję, odbiorcę i zakres przekazania. Przy żądaniach organów spoza EOG odrębnie oceniamy podstawę przetwarzania i dopuszczalność transferu zgodnie z rozdziałem V RODO, w tym art. 48. Zagraniczne żądanie nie jest samo w sobie wystarczającą podstawą ujawnienia danych. Obowiązki informowania osoby realizujemy z uwzględnieniem ograniczeń przewidzianych prawem.

W każdym przypadku przekazywania danych dbamy o to, by przekazać tylko minimalny, niezbędny zakres danych. Podmioty przetwarzające dane w naszym imieniu (np. dostawcy usług IT, firmy kurierskie) mają obowiązek zabezpieczać dane i wykorzystywać je tylko do celów, w jakich zostały im udostępnione.

Przekazywanie danych poza EOG: Korzystanie z dostawców hostingu, bazy danych, uwierzytelniania, poczty transakcyjnej, monitorowania błędów i narzędzi analitycznych może wiązać się z przetwarzaniem danych poza Europejskim Obszarem Gospodarczym, w szczególności w USA, a w przypadku obsługi infrastruktury także w Singapurze. Dotyczy to również dostępu personelu wsparcia i podwykonawców. Wybór serwera w EOG nie oznacza, że wszystkie operacje dostawcy odbywają się wyłącznie w EOG. Transfery związane z niezbędnymi usługami technicznymi są niezależne od zgody na cookies analityczne. W takich przypadkach zapewniamy zgodność przetwarzania z rozdziałem V RODO, stosujemy standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską (art. 46 RODO) lub korzystamy z innych mechanizmów legalizujących transfer danych. Użytkownik, wyrażając zgodę na cookies analityczne lub marketingowe, jest informowany o możliwym przekazaniu danych do państw trzecich. W razie pytań dotyczących transferu danych poza EOG prosimy o kontakt, udzielimy dodatkowych informacji, a osobie, której dane dotyczą, udostępnimy na żądanie kopię zastosowanych zabezpieczeń oraz informację o konkretnych odbiorcach jej danych (art. 15 RODO).

Przechowujemy dane osobowe tylko tak długo, jak jest to potrzebne do realizacji celów, dla których zostały zebrane, lub tak długo, jak wymagają tego przepisy prawa. Okresy przechowywania zostały dostosowane do charakteru danych i obowiązujących regulacji. Poniżej przedstawiamy główne zasady dotyczące retencji danych:

• Dane związane z realizacją zamówień (sprzedażą): będziemy przechowywać dane dotyczące złożonych zamówień tak długo, jak to konieczne do realizacji umowy oraz obsługi posprzedażowej (np. rozliczeń, obsługi zwrotów i reklamacji). Po realizacji zamówienia podstawowe dane transakcyjne (faktury, paragony, dowody sprzedaży) przechowujemy przez okres wymagany przepisami podatkowymi i rachunkowymi, tj. 5 lat liczonych od końca roku kalendarzowego, w którym upłynął termin płatności podatku za daną transakcję. Oznacza to w praktyce, że np. faktury sprzedaży za dany rok przechowywane są niekiedy do 6 lat od momentu zakupu (zgodnie z Ordynacją podatkową). Dodatkowo w celach obrony prawnej, możemy przechowywać dane dot. zamówienia do czasu upływu terminu przedawnienia roszczeń z umowy, co w większości przypadków wynosi maksymalnie 6 lat (zgodnie z Kodeksem cywilnym, dla roszczeń okresowych lub związanych z działalnością gospodarczą może to być 3 lata, ale w odniesieniu do konsumentów przyjmujemy bezpieczny dłuższy okres).
• Dane konta użytkownika: przechowujemy dane podane przy rejestracji konta tak długo, jak użytkownik posiada aktywne konto w naszym Sklepie. Po usunięciu konta (na żądanie użytkownika lub z inicjatywy Administratora, np. z powodu długiego okresu nieaktywności), dane zostaną usunięte lub zanonimizowane, z wyjątkiem tych informacji, które musimy dalej przechowywać z innych powodów (np. historię zamówień będziemy przechowywać zgodnie z powyższymi zasadami dotyczącymi zamówień, a dowody księgowe przez wymagany okres 5 lat). Innymi słowy, usunięcie konta nie zawsze oznacza natychmiastowe usunięcie wszystkich danych, jeśli prawo nakazuje ich dłuższe przechowanie (ograniczymy jednak przetwarzanie takich danych wyłącznie do tych celów).
• Dane newsletterowe: adres e-mail (oraz ewentualnie imię) podany do subskrypcji newslettera będziemy przetwarzać do momentu wycofania zgody przez subskrybenta. Po wypisaniu się z newslettera zaprzestajemy wysyłki wiadomości na ten adres. Sam adres e-mail przechowujemy jednak w naszej wewnętrznej „liście blokującej” (suppress list) tak długo, jak jest to potrzebne, żeby uszanować wypis: bez tego zapisu nie wiedzielibyśmy, że na ten adres nie wolno już wysyłać wiadomości marketingowych. Służy to udokumentowaniu cofnięcia zgody i zabezpieczeniu przed ponownym omyłkowym wysłaniem newslettera (co stanowi nasz prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO). Lista taka jest prowadzona wyłącznie w celu dowodowym i ochrony przed spamem i zawiera minimalny zakres danych (adres e-mail, data wypisu).
• Dane z korespondencji (formularz kontaktowy, e-maile): przechowujemy je przez okres niezbędny do obsługi sprawy, z której wyniknęły, a następnie (jeśli to stosowne) przez okres do 2 lat w celach archiwalnych (dowodowych) wynikających z naszego uzasadnionego interesu, co odpowiada okresowi przedawnienia roszczeń o odszkodowanie z czynów niedozwolonych. Jeśli korespondencja dotyczy wykonania umowy lub reklamacji, mogą obowiązywać dłuższe okresy (np. 1 rok w przypadku przechowywania odpowiedzi na reklamacje konsumenckie, zgodnie z przepisami o prawach konsumenta). W każdym razie regularnie dokonujemy przeglądu przechowywanej korespondencji i usuwamy tę, której dalsze przechowywanie nie jest uzasadnione.
• Opinie/recenzje: opublikowane na stronie opinie użytkowników będą dostępne publicznie do czasu, aż zdecydujemy się je usunąć (np. na żądanie autora lub z powodu zakończenia prezentacji danego produktu) bądź do czasu likwidacji strony/sklepu. Jeżeli opinie są powiązane z kontem użytkownika, usunięcie konta nie zawsze oznacza automatycznego usunięcia dodanych wcześniej opinii. W razie chęci usunięcia także opinii prosimy o osobny kontakt. Zastrzegamy sobie prawo do anonimizacji autora opinii po zamknięciu konta (np. wyświetlania recenzji jako „Użytkownik anonimowy”).
• Dane Klubu Trichovita: historię uczestnictwa i punktów przechowujemy przez okres członkostwa, a po jego zakończeniu do końca szóstego roku następującego po roku zakończenia, na potrzeby rozliczeń i roszczeń. Zapis wykorzystania premii jednorazowej usuwamy po 24 miesiącach od zakończenia członkostwa, a przy wykonaniu żądania usunięcia danych także wcześniej. Dzień i miesiąc urodzin usuwamy po usunięciu ich w Koncie lub zakończeniu uczestnictwa. Dane zakończonej sprawy naruszenia usuwamy do końca szóstego roku po roku decyzji, chyba że są nadal potrzebne do aktywnej Blokady. Identyfikatory Blokady przechowujemy przez czas jej trwania, a rejestr prób jej obejścia przez 24 miesiące. Zasadność Blokady bezterminowej weryfikujemy co 24 miesiące; po jej zniesieniu lub upływie terminu usuwamy identyfikatory. Przy usunięciu danych pozostają wyłącznie informacje niezbędne do egzekwowania trwającej Blokady. Techniczne zdarzenia klubu usuwamy po 30 dniach od obsłużenia lub po 90 dniach od ostatecznego niepowodzenia. Dokumenty księgowe i dane zamówień podlegają odrębnym okresom opisanym powyżej.

Po upływie wskazanych okresów dane są usuwane lub trwale anonimizowane, tak aby nie można było zidentyfikować na ich podstawie konkretnej osoby. Pamiętaj, że w określonych sytuacjach (np. toczące się postępowanie, spór sądowy) niektóre dane możemy przechowywać dłużej, do czasu prawomocnego zakończenia sprawy, jeżeli istnieje ku temu podstawa prawna.

Każdej osobie, której dane osobowe przetwarzamy, przysługują następujące prawa wynikające z RODO:

• Prawo dostępu do danych: masz prawo uzyskać od nas potwierdzenie, czy przetwarzamy Twoje dane osobowe, a jeżeli ma to miejsce, prawo do uzyskania dostępu do nich. Na żądanie udzielimy Ci informacji m.in. o celach przetwarzania, kategoriach danych, odbiorcach danych oraz planowanym okresie przechowywania. Masz także prawo otrzymać kopię swoich danych podlegających przetwarzaniu.
• Prawo sprostowania danych: masz prawo zażądać od nas niezwłocznego sprostowania dotyczących Ciebie danych osobowych, które są nieprawidłowe, oraz uzupełnienia danych niekompletnych (w tym poprzez przedstawienie dodatkowego oświadczenia). Dbamy, by Twoje dane były aktualne i poprawne, dlatego zachęcamy do korzystania z tego prawa, gdy zajdzie taka potrzeba.
• Prawo do usunięcia danych („prawo do bycia zapomnianym”): masz prawo żądać usunięcia swoich danych osobowych, a my mamy obowiązek je usunąć, jeżeli zachodzi jedna z przesłanek przewidzianych w art. 17 RODO. Możesz domagać się usunięcia danych m.in. gdy: nie są już potrzebne do celów, w których zostały zebrane, cofnąłeś/cofnęłaś zgodę i nie mamy innej podstawy prawnej przetwarzania, wniosłeś/wniosłaś sprzeciw wobec przetwarzania i nie istnieją nadrzędne prawnie uzasadnione podstawy przetwarzania, dane były przetwarzane niezgodnie z prawem lub muszą zostać usunięte w celu wywiązania się z obowiązku prawnego. Pamiętaj jednak, że w pewnych sytuacjach nie możemy usunąć Twoich danych na żądanie, dotyczy to zwłaszcza sytuacji, gdy przetwarzanie jest nadal potrzebne z uwagi na obowiązek prawny (np. nie możemy usunąć danych transakcyjnych przed upływem wymaganego okresu przechowywania dokumentów księgowych) lub w celu ustalenia, dochodzenia lub obrony roszczeń. W odpowiedzi na Twój wniosek poinformujemy Cię o ewentualnych powodach, dla których nie możemy spełnić żądania w całości (jeśli takie wystąpią).
• Prawo do ograniczenia przetwarzania: masz prawo zażądać od nas czasowego ograniczenia przetwarzania Twoich danych osobowych w następujących przypadkach: gdy kwestionujesz prawidłowość danych (na okres pozwalający nam sprawdzić ich poprawność), gdy przetwarzanie jest niezgodne z prawem, ale sprzeciwiasz się usunięciu danych i w zamian żądasz ograniczenia ich użycia, gdy nie potrzebujemy już danych do celów przetwarzania, ale są one potrzebne Tobie do ustalenia, dochodzenia lub obrony roszczeń, lub gdy wniosłeś sprzeciw wobec przetwarzania, do czasu stwierdzenia, czy nasze prawnie uzasadnione podstawy są nadrzędne wobec podstaw Twojego sprzeciwu. Ograniczenie przetwarzania oznacza, że poza przechowywaniem, możemy dane przetwarzać wyłącznie za Twoją zgodą lub w celu dochodzenia/obrony roszczeń, ochrony praw innej osoby lub z ważnych względów publicznych.
• Prawo do przenoszenia danych: w zakresie, w jakim Twoje dane przetwarzamy na podstawie Twojej zgody (art. 6 ust. 1 lit. a) lub na podstawie umowy (art. 6 ust. 1 lit. b), i jednocześnie przetwarzanie odbywa się w sposób zautomatyzowany, masz prawo otrzymać od nas swoje dane osobowe w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (np. CSV, JSON). Masz też prawo przesłać te dane innemu administratorowi bez przeszkód z naszej strony. Na Twoje życzenie, jeśli będzie to technicznie możliwe, możemy przesłać dane bezpośrednio wskazanemu przez Ciebie innemu administratorowi (dotyczy to głównie danych, które posiadamy w formie elektronicznej). Prawo to dotyczy danych, które nam sam dostarczyłeś (np. danych konta, informacji podanych przy zamówieniu czy w formularzu).
• Prawo do sprzeciwu: masz prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania Twoich danych osobowych, jeśli podstawą takiego przetwarzania jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). Sprzeciw powinnaś/powinieneś uzasadnić swoją szczególną sytuacją, która Twoim zdaniem sprawia, że powinniśmy zaprzestać przetwarzania objętego sprzeciwem. Po otrzymaniu sprzeciwu zaprzestaniemy przetwarzania danych w tych celach, chyba że wykażemy istnienie ważnych, prawnie uzasadnionych podstaw do przetwarzania, które są nadrzędne wobec Twoich interesów, praw i wolności, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. Jeżeli jednak dane przetwarzamy na potrzeby marketingu bezpośredniego, masz bezwzględne prawo do sprzeciwu. Oznacza to, że w przypadku sprzeciwu co do przetwarzania danych w celach marketingu bezpośredniego (np. profilowania marketingowego, wysyłki newslettera na podstawie uzasadnionego interesu), niezwłocznie zaprzestaniemy takiego przetwarzania. Sprzeciw nie wymaga uzasadnienia, gdy dotyczy marketingu.
• Prawo do wycofania zgody: jeśli przetwarzamy Twoje dane na podstawie udzielonej zgody, masz prawo cofnąć tę zgodę w dowolnym momencie. Cofnięcie zgody nie wpływa na legalność przetwarzania, którego dokonaliśmy na podstawie zgody przed jej wycofaniem. Możesz wycofać zgodę tak samo łatwo, jak ją wyraziłeś, np. jeśli zapisałeś się na newsletter przez zaznaczenie checkboxu na stronie, możesz wypisać się, klikając odpowiedni link w mailu lub kontaktując się z nami. Po wycofaniu zgody zaprzestaniemy przetwarzania danych w celu którego ta zgoda dotyczyła.
• Prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji (w tym profilowaniu): obecnie nie podejmujemy wobec użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nie wpływały. Oznacza to, że nie stosujemy tzw. profilowania w rozumieniu art. 22 RODO w sposób, który mógłby negatywnie wpływać na prawa użytkownika (np. nie odmawiamy świadczenia usług w oparciu o automatyczną analizę profilu klienta). Doprecyzowanie: w ramach cookies analitycznych (tylko za Twoją zgodą, np. Google Analytics) wykonujemy profilowanie statystyczne w rozumieniu art. 4 pkt 4 RODO, analizujemy zachowania użytkowników w sposób zagregowany (skąd przychodzą, które podstrony odwiedzają, jak długo) wyłącznie w celu poprawy Sklepu. Tego typu profilowanie nie podejmuje automatycznych decyzji wpływających na Twoją sytuację prawną. Pliki cookies marketingowe, remarketing i dopasowanie reklam włączamy tylko po Twojej osobnej zgodzie na kategorię „Marketingowe”. Gdybyśmy planowali wprowadzenie zautomatyzowanych decyzji w rozumieniu art. 22, zostaniesz o tym wcześniej poinformowany i przysługiwać Ci będzie prawo do uzyskania ludzkiej interwencji w proces decyzyjny.
• Prawo wniesienia skargi do organu nadzorczego: jeżeli uznasz, że przetwarzamy Twoje dane niezgodnie z prawem lub w sposób naruszający Twoje prawa, przysługuje Ci prawo złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). Organ ten pełni funkcję nadzorczą w zakresie przestrzegania przepisów o ochronie danych osobowych w Polsce. Skargę można wnieść pisemnie na adres Urzędu Ochrony Danych Osobowych: ul. Stanisława Moniuszki 1A, 00-014 Warszawa lub w formie elektronicznej (szczegółowe informacje dostępne są na stronie internetowej UODO). Zachęcamy jednak, aby przed złożeniem skargi skontaktować się bezpośrednio z nami. Postaramy się wyjaśnić sytuację i rozwiązać problem polubownie. Skorzystanie z prawa do skargi nie wstrzymuje jednak ani nie ogranicza Twoich innych praw opisanych powyżej.

Aby skorzystać ze swoich praw, możesz skontaktować się z nami w dowolny sposób, np. poprzez wysłanie żądania na nasz adres korespondencyjny lub poprzez e-mail/formularz kontaktowy (jeśli został udostępniony). Na żądania dotyczące praw odpowiadamy bez zbędnej zwłoki, co do zasady w ciągu miesiąca od ich otrzymania. W razie potrzeby termin ten może zostać wydłużony o kolejne dwa miesiące (poinformujemy Cię o przyczynach opóźnienia). Realizacja praw jest co do zasady bezpłatna; jeśli jednak Twoje żądania byłyby ewidentnie nieuzasadnione lub nadmierne (np. zgłaszane wielokrotnie), możemy nałożyć opłatę w rozsądnej wysokości za ich spełnienie albo odmówić podjęcia działań (zgodnie z art. 12 ust. 5 RODO).

Usługi Sklepu nie są przeznaczone dla osób poniżej 16. roku życia. Świadomie nie zbieramy ani nie przetwarzamy danych osobowych dzieci, które nie ukończyły 16 lat. W szczególności nie ma możliwości rejestracji konta ani składania zamówień przez osoby, które nie mają ukończonych 16 lat. Podczas zakładania konta wymagamy potwierdzenia, że użytkownik spełnia ten warunek. Wynika to z przepisów RODO, które przewidują szczególną ochronę danych dzieci. Przetwarzanie danych dziecka poniżej 16 lat jest zgodne z prawem tylko w przypadku wyrażenia zgody przez jego opiekuna prawnego. Dlatego osoby poniżej 16 lat prosimy o niepodawanie nam swoich danych osobowych. Jeżeli okaże się, że przetwarzamy dane dziecka poniżej 16 lat bez odpowiedniej zgody, niezwłocznie je usuniemy. Rodziców lub opiekunów prosimy o nadzorowanie, czy ich dzieci nie rejestrują się w Sklepie bez pozwolenia.

Podanie przez Ciebie danych osobowych jest co do zasady dobrowolne, ale w niektórych przypadkach niezbędne, abyś mógł skorzystać z określonych usług lub funkcjonalności Sklepu. Każdorazowo informujemy Cię, które dane są wymagane (np. oznaczamy je symbolem * lub komunikatem w formularzu). Odmowa podania wymaganych danych lub ich niekompletność może skutkować określonymi konsekwencjami:

• Jeśli nie podasz danych potrzebnych do złożenia zamówienia (takich jak dane adresowe, kontaktowe czy informacje płatnicze), nie będziemy mogli przyjąć i zrealizować Twojego zamówienia. Złożenie zamówienia jest równoznaczne z zawarciem umowy. Pewne dane (jak imię, nazwisko, adres dostawy) stanowią warunek kontraktowy; ich brak uniemożliwia nam wykonanie umowy sprzedaży.
• Jeśli nie podasz danych wymaganych do rejestracji konta, nie będziesz mógł założyć konta użytkownika w Sklepie. Rejestracja jest dobrowolna. Możesz przeglądać ofertę i (czasami) składać zamówienia jako gość, ale posiadanie konta wymaga przekazania minimum danych (np. adresu e-mail do logowania). Brak konta oznacza brak dostępu do funkcjonalności zarezerwowanych dla zarejestrowanych użytkowników (np. podgląd historii zakupów, udział w programie lojalnościowym itp.).
• Jeśli nie podasz danych w formularzu kontaktowym lub nie podasz danych do kontaktu, może to uniemożliwić lub utrudnić udzielenie odpowiedzi na Twoje zapytanie. Na przykład, jeśli nie wpiszesz swojego adresu e-mail, nie będziemy wiedzieli, na jaki adres wysłać odpowiedź. Podanie danych w zapytaniu jest dobrowolne, ale bez co najmniej podstawowych danych kontaktowych nie będziemy mogli się z Tobą skutecznie skomunikować.
• Zgoda na newsletter: jest całkowicie dobrowolna. Jeśli jej nie wyrazisz, nie będziesz otrzymywać od nas newslettera ani informacji marketingowych drogą e-mail. Nie wpłynie to jednak w żaden sposób na możliwość korzystania ze Sklepu czy składania zamówień. Oznacza jedynie, że nie zostaniesz zapisany do listy mailingowej. Analogicznie, odmowa zgody na pliki cookies analityczne lub marketingowe spowoduje ograniczenie naszych możliwości analizy i personalizacji oferty, ale nie zablokuje dostępu do samego Sklepu.

Podsumowując: podanie danych jest dobrowolne, lecz czasem konieczne do zawarcia umowy lub świadczenia usługi. W takich przypadkach brak danych oznacza brak możliwości realizacji danego świadczenia. Zawsze staramy się minimalizować zakres danych wymaganych, pytamy tylko o informacje, które są naprawdę potrzebne dla danego celu.

Zapewniamy, że dokładamy wszelkich starań, aby Twoje dane osobowe były odpowiednio zabezpieczone. Wdrożyliśmy odpowiednie środki techniczne i organizacyjne mające na celu ochronę danych przed nieuprawnionym dostępem, utratą, modyfikacją czy zniszczeniem. Nasza strona korzysta z protokołu HTTPS (SSL), co oznacza, że komunikacja między Twoim urządzeniem a naszym serwerem jest szyfrowana. Dane przechowujemy na zabezpieczonych serwerach, a dostęp do nich mają wyłącznie upoważnione osoby, które zostały przeszkolone z zakresu ochrony danych i zobowiązały się do zachowania poufności. Regularnie monitorujemy nasze systemy informatyczne pod kątem podatności i stosujemy aktualizacje bezpieczeństwa. Ponadto w przypadku podmiotów zewnętrznych przetwarzających dane w naszym imieniu, wymagamy od nich stosowania co najmniej równorzędnych środków bezpieczeństwa.

W razie mało prawdopodobnego naruszenia ochrony danych osobowych (np. włamania do bazy danych) posiadamy procedury pozwalające niezwłocznie zareagować, zidentyfikować incydent, ograniczyć jego skutki oraz powiadomić osoby, których dane dotyczą, oraz odpowiednie organy, jeśli zajdzie taka konieczność (zgodnie z art. 33-34 RODO).

Możesz zażądać usunięcia danych otrzymanych przez Facebook Login za pomocą formularza Moje dane albo pisząc na kontakt@trichovita.pl. Wskaż adres e-mail używany w Koncie i że wniosek dotyczy danych logowania przez Facebook. Jeżeli Konto nie ma przypisanego adresu e-mail, napisz o tym; ustalimy z Tobą sposób identyfikacji Konta. Nie przesyłaj hasła ani tokenów Facebooka. Przed wykonaniem żądania potwierdzimy Twoją tożsamość; nie wymagamy logowania przez Facebook, jeśli nie masz już do niego dostępu. Wniosek obejmuje powiązanie z identyfikatorem Facebooka oraz odpowiednie dane uwierzytelniania przetwarzane na nasze zlecenie. Samo odłączenie aplikacji Trichovita w ustawieniach Facebooka blokuje dalszy dostęp zgodnie z zasadami Meta, ale nie oznacza usunięcia danych już zapisanych w Sklepie. Na żądanie odpowiadamy bez zbędnej zwłoki, co do zasady w ciągu miesiąca. Jeżeli zgodnie z art. 12 ust. 3 RODO konieczne jest przedłużenie terminu, poinformujemy Cię w tym pierwszym miesiącu o przyczynie. Dane zamówień podlegające obowiązkom podatkowym lub niezbędne do ochrony roszczeń mogą pozostać przez wymagany okres; wyjaśnimy podstawę i zakres takiego ograniczenia.

Zastrzegamy sobie prawo do dokonywania zmian niniejszej Polityki Prywatności w przyszłości, przede wszystkim w celu dostosowania jej do zmian w przepisach prawa (np. gdy wejdą w życie nowe regulacje dotyczące ochrony danych osobowych, usług elektronicznych czy cookies) lub do zmian w naszych procesach przetwarzania danych (np. wprowadzenie nowych funkcjonalności Sklepu, narzędzi czy usług). W przypadku istotnych zmian, które wpływają na zakres Twoich praw lub obowiązków, powiadomimy Cię o takiej zmianie w widoczny sposób (np. poprzez komunikat na stronie Sklepu lub wiadomość e-mail, w przypadku subskrybentów newslettera).

Aktualna wersja Polityki jest zawsze dostępna na naszej stronie (link w stopce „Polityka prywatności”). Zachęcamy do okresowego sprawdzania jej treści. Data ostatniej aktualizacji: 1 listopada 2026 r. Dodaliśmy opis prośby o opinię, którą wysyłamy po doręczeniu zamówienia. Aktualizacja z 11 października 2026 r.: Doprecyzowaliśmy, że kod SMS do logowania wysyłamy wyłącznie na numer telefonu potwierdzony w Koncie, oraz że do korzystania z Konta potrzebne są imię, nazwisko i numer telefonu. Doprecyzowaliśmy też, że po wypisie z newslettera adres e-mail zostaje na liście blokującej tak długo, jak jest to potrzebne, żeby uszanować wypis. Aktualizacja z 9 października 2026 r.: Dodaliśmy opis trybu zgody Google: bez Twojej zgody narzędzia Google działają bez plików cookies. Aktualizacja z 26 września 2026 r.: Doprecyzowano możliwość utworzenia Konta przez Facebook bez adresu e-mail i jego późniejszego, dobrowolnego dodania. Aktualizacja z 24 września 2026 r.: Opisano opcjonalne logowanie przez Facebook, dane technicznych rekordów uwierzytelniania, sposób żądania ich usunięcia oraz procedurę obsługi żądań organów publicznych. Aktualizacja z 17 września 2026 r. porządkuje opis odbiorców danych: dostawców usług technicznych opisujemy kategoriami (rodzajem świadczonej usługi), dopisaliśmy pośrednika usług kurierskich i bramkę SMS, z których korzystaliśmy już wcześniej, oraz doprecyzowaliśmy opis mapy punktów odbioru. Cele i podstawy przetwarzania danych pozostają bez zmian. Aktualizacja z 5 września 2026 r. opisywała logowanie do Konta Klienta przez konto Google (Google jako odrębny administrator, dostawca usługi uwierzytelniania jako podmiot przetwarzający), logowanie kodem SMS oraz zasadę przypisywania zamówień wyłącznie po potwierdzonym adresie e-mail. Aktualizacja z 18 sierpnia 2026 r. opisywała nagrywanie sesji i monitorowanie błędów, pomiar wydajności stron, zapis parametrów kampanii we własnej statystyce odsłon oraz kasowanie identyfikatorów Google po wycofaniu zgody. Aktualizacja z 16 sierpnia 2026 r. objęła opis Konta Klienta (zakres danych Konta, logowanie jednorazowym linkiem lub kodem, dane techniczne sesji) oraz wymóg potwierdzenia ukończenia 16 lat przy zakładaniu Konta. Zmiany dotyczące Konta wchodzą w życie z dniem 31 sierpnia 2026 r., razem z § 5a Regulaminu. Wcześniejsze zmiany, dotyczące zapamiętywania danych do szybszych zakupów (§5 Regulaminu), weszły w życie z dniem 15 lipca 2026 r.

Jeśli masz jakiekolwiek pytania lub wątpliwości związane z niniejszą Polityką lub ogólnie z przetwarzaniem Twoich danych osobowych przez TRICHOVITA Sp. z o.o., pozostajemy do dyspozycji. Skontaktuj się z nami, a udzielimy Ci wszelkich potrzebnych informacji.