Polityka prywatności

1. Administrator i kontakt

Administratorem danych jest wskazany wyżej sprzedawca. W każdej sprawie związanej z danymi, w tym w celu wykonania swoich praw, napisz na kontakt@strefaduszy.pl albo na adres pocztowy administratora.

2. Jakie dane trafiają do formularza

Formularz obejmuje imię, nazwisko, e-mail, numer telefonu i adres dostawy: ulicę, numer domu, opcjonalny numer lokalu, kod pocztowy i miejscowość. Dostawa jest przygotowywana wyłącznie dla Polski. Numer telefonu będzie potrzebny do kontaktu dotyczącego dostawy, a e-mail do obsługi zamówienia.

Zapis obejmuje także numer zamówienia, identyfikator, nazwę książki, ilość, ceny, walutę, status i datę utworzenia. W bazie zapisujemy skrót kryptograficzny tokenu linku statusu, nie jego jawną treść. Nie zbieramy przez ten formularz PESEL, daty urodzenia, danych karty ani kodu BLIK.

Przy kontakcie otrzymujemy treść wiadomości i podane przez Ciebie dane kontaktowe. Test płatności w Przelewy24 Sandbox zapisuje identyfikator sesji, identyfikator transakcji, kwotę, walutę i potwierdzenie weryfikacji. Po uruchomieniu sprzedaży mogą dojść dane potrzebne do rozliczenia, numer przesyłki oraz informacje o reklamacji lub zwrocie. Obecny moduł nie obsługuje rzeczywistych płatności, wysyłki ani automatycznych e-maili.

3. Cele i podstawy prawne

• Obecny test i bezpieczeństwo formularza: sprawdzenie poprawności zapisu oraz odczytu i ochrona systemu. Podstawa: art. 6 ust. 1 lit. f RODO — uzasadniony interes administratora polegający na sprawdzeniu działania i bezpieczeństwa usługi. Testuj wyłącznie na danych fikcyjnych; jeśli przekażesz dane osobowe, obejmują je zasady tej polityki.
• Planowane zamówienie, kontakt dotyczący jego wykonania i dostawa: podjęcie działań na Twoje żądanie przed zawarciem umowy oraz wykonanie umowy — art. 6 ust. 1 lit. b RODO. W tej podstawie mieści się przekazanie niezbędnych danych do obsługi płatności i dostawy po ich uruchomieniu.
• Reklamacje, odstąpienie i obowiązki podatkowe lub księgowe: wykonanie obowiązków prawnych, w szczególności wynikających z ustawy o prawach konsumenta i właściwych przepisów podatkowych oraz, jeśli mają zastosowanie, ustawy o rachunkowości — art. 6 ust. 1 lit. c RODO.
• Pozostała korespondencja: odpowiedź na pytania i prowadzenie kontaktu — art. 6 ust. 1 lit. f RODO, czyli uzasadniony interes polegający na obsłudze korespondencji. Jeśli pytanie zmierza do zawarcia umowy, właściwą podstawą jest art. 6 ust. 1 lit. b RODO.
• Ustalenie, dochodzenie lub obrona roszczeń: art. 6 ust. 1 lit. f RODO — uzasadniony interes w ochronie praw administratora i zachowaniu niezbędnych dowodów.

Podanie danych jest dobrowolne, ale bez danych wymaganych formularzem nie można go wysłać, a po uruchomieniu sprzedaży — obsłużyć zakupu i dostawy. Numer lokalu podajesz tylko wtedy, gdy dotyczy adresu. Przetwarzania niezbędnego do umowy lub obowiązku prawnego nie uzależniamy od zgody na marketing.

4. Odbiorcy danych — obecni i planowani

Obecnie: dane formularza są przechowywane w infrastrukturze Supabase. Dostęp jest ograniczony do administratora, upoważnionej obsługi i dostawców technicznych w zakresie koniecznym do obsługi infrastruktury. Supabase działa jako podmiot przetwarzający na zasadach umowy powierzenia. Korespondencja e-mail korzysta z infrastruktury dostawcy skrzynki, a po udostępnieniu serwisu jego obsługa będzie wymagać dostawcy hostingu; szczegóły tych usług trzeba uzupełnić przed startem publicznej sprzedaży.

Test P24 Sandbox: po włączeniu płatności testowej przekazujemy do środowiska testowego Przelewy24 podany adres e-mail, numer i opis zamówienia, identyfikator sesji, kwotę, walutę oraz adres powrotu do statusu zamówienia. Używaj fikcyjnych danych. Wybór metody płatności odbywa się na stronie P24; formularz książki nie zbiera kodu BLIK ani danych karty.

Po uruchomieniu sprzedaży: InPost ma otrzymywać niezbędne dane odbiorcy i adresowe w celu dostawy; Przelewy24 — dane potrzebne do przeprowadzenia płatności; Resend — adres e-mail i treść wiadomości transakcyjnej. Obecny formularz nie przekazuje danych do InPost ani Resend. Uruchomienie sprzedaży będzie poprzedzone uzupełnieniem informacji o podmiotach prawnych dostawców, rolach i zasadach przetwarzania. Operator płatności i przewoźnik mogą także działać jako odrębni administratorzy w zakresie własnych obowiązków prawnych.

W zakresie niezbędnym do obowiązków prawnych lub roszczeń dane mogą otrzymać podmioty prowadzące księgowość, uprawnione organy publiczne lub doradcy prawni, jeśli uczestniczą w danej sprawie. Nie udostępniamy danych z checkoutu do reklam ani do generowania treści przez AI.

5. Infrastruktura i transfery poza EOG

Supabase korzysta z międzynarodowej infrastruktury i podwykonawców. Sam wybór europejskiego regionu bazy nie wyklucza dostępu do danych spoza Europejskiego Obszaru Gospodarczego. Nie deklarujemy, że dane zawsze pozostają wyłącznie w Polsce lub w EOG.

Dokumentacja umowna Supabase przewiduje standardowe klauzule umowne Komisji Europejskiej jako zabezpieczenie transferów w odpowiednich przypadkach. Informacje są dostępne w umowie powierzenia Supabase i wykazie podwykonawców. O informację lub kopię zabezpieczeń dotyczących Twoich danych możesz zwrócić się do administratora.

Region projektu, warunki powierzenia i rzeczywiste kierunki transferów wymagają potwierdzenia przez administratora przed publiczną sprzedażą. Takiego samego sprawdzenia wymagają planowany Resend oraz docelowy hosting i dostawca poczty. Nie traktujemy samej akceptacji regulaminu jako zgody na transfer poza EOG.

6. Jak długo dane są potrzebne

• Dane testu: do zakończenia weryfikacji działania formularza i wyjaśnienia związanych z nim błędów. Po ustaniu tego celu dane osobowe należy usunąć lub trwale zanonimizować, chyba że konkretna inna podstawa wymaga dalszego przechowywania. Testowe zamówienie samo w sobie nie jest dokumentem podatkowym.
• Realizacja sprzedaży: przez czas potrzebny do obsługi umowy, dostawy, zwrotu i reklamacji. Po zakończeniu tych celów pozostaje tylko zakres niezbędny do obowiązków prawnych lub roszczeń.
• Dokumenty podatkowe: do przedawnienia zobowiązania podatkowego — co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Zawieszenie lub przerwanie przedawnienia może wydłużyć okres. Jeśli stosuje się ustawę o rachunkowości, dokumenty przechowuje się także przez terminy właściwe dla ich rodzaju, co do zasady 5 lat od początku roku następującego po roku obrotowym, którego dotyczą. Nie oznacza to przechowywania wszystkich pól zamówienia przez taki sam czas.
• Korespondencja: do zakończenia sprawy, a następnie tylko jeśli jest konieczna jako dowód — do przedawnienia właściwego roszczenia.
• Roszczenia: przez właściwy okres przedawnienia. Ogólne terminy wynoszą 6 lat, a dla roszczeń związanych z działalnością gospodarczą i okresowych 3 lata; przepisy szczególne mogą je zmienić, np. roszczenia sprzedawcy z działalności przedsiębiorstwa co do zasady przedawniają się po 2 latach. Bieg i zakończenie terminu ocenia się według Kodeksu cywilnego, w tym reguł o jego końcu i przerwaniu. W przypadku sporu niezbędne dane mogą pozostać do jego prawomocnego zakończenia i wykonania rozstrzygnięcia.

Nie przechowujemy danych bezterminowo „na wszelki wypadek”. Terminy kopii zapasowych i logów zależą od przyjętej konfiguracji dostawców; przed startem sprzedaży administrator musi ustalić harmonogram usuwania obejmujący także te kopie. Obecny moduł nie ma automatycznego harmonogramu usuwania.

7. Twoje prawa

Na zasadach RODO masz prawo do dostępu do danych i ich kopii, sprostowania, usunięcia oraz ograniczenia przetwarzania. Prawo do przenoszenia dotyczy danych przetwarzanych automatycznie na podstawie zgody lub umowy, gdy spełnione są warunki art. 20 RODO.

Możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO. Wtedy administrator oceni, czy istnieją nadrzędne prawnie uzasadnione podstawy dalszego przetwarzania albo potrzeba ustalenia, dochodzenia lub obrony roszczeń. Gdyby przetwarzanie opierało się na zgodzie, można ją wycofać bez wpływu na zgodność wcześniejszego przetwarzania; obecny checkout nie zbiera takich zgód.

Napisz do administratora, wskazując żądanie. Jeśli będzie to konieczne, możemy poprosić o proporcjonalne informacje służące potwierdzeniu tożsamości. Odpowiadamy co do zasady w ciągu miesiąca; przy złożonych lub licznych żądaniach termin może zostać przedłużony o dwa miesiące, o czym wraz z przyczyną poinformujemy w pierwszym miesiącu.

Niektóre dane mogą pozostać mimo żądania usunięcia, np. gdy wymaga tego prawo lub obrona roszczeń. Możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych; informacje o sposobie jej złożenia znajdziesz na uodo.gov.pl.

8. Cookies i bezpieczeństwo

W obecnym module /book nie wdrożono newslettera, narzędzi reklamowych, analityki zachowań ani marketingowych cookies. Checkout nie zapisuje danych formularza w localStorage ani sessionStorage; pola pozostają w pamięci strony do jej opuszczenia lub przeładowania, niezależnie od funkcji autouzupełniania samej przeglądarki. Nie zakładamy kont klientów i nie profilujemy ich ani nie podejmujemy wobec nich wyłącznie automatycznych decyzji wywołujących skutki prawne.

Obsługa połączeń sieciowych wymaga danych technicznych, np. adresu IP. Ostateczny zakres logów i plików technicznych dostawców trzeba sprawdzić dla docelowego hostingu i płatności przed ich włączeniem. Dodanie usług wymagających zgody musi zostać poprzedzone właściwą informacją i mechanizmem zgody.

Dostęp do tabel zamówień jest ograniczony uprawnieniami bazy. Klucz serwerowy nie trafia do kodu klienta, a komunikacja z Supabase korzysta z HTTPS. Link statusu jest poufny: pokazuje numer i status, bez adresu, telefonu i e-maila. Nie udostępniaj go innym osobom. Ostateczne zabezpieczenia publicznego hostingu, logów i kopii zapasowych zostaną sprawdzone przed udostępnieniem sprzedaży.

9. Zakres i aktualizacje

Polityka opisuje obecny test i przygotowywany proces zakupu książki. Włączenie nowych dostawców lub funkcji wymaga jej aktualizacji przed rozpoczęciem odpowiedniego przetwarzania. Aktualna wersja i jej data pozostają dostępne na tej stronie.