Polityka prywatności

1. Administrator i kontakt

Administratorem danych jest wskazany wyżej sprzedawca. W każdej sprawie związanej z danymi, w tym w celu wykonania swoich praw, napisz na kontakt@strefaduszy.pl albo na adres pocztowy administratora.

2. Jakie dane trafiają do formularza

Formularz obejmuje imię, nazwisko, e-mail, numer telefonu i adres dostawy: ulicę, numer domu, opcjonalny numer lokalu, kod pocztowy i miejscowość. Pola te służą obsłudze zamówienia i dostawy wyłącznie na terenie Polski. Numer lokalu jest opcjonalny.

Istniejące zapisy zamówień obejmują także numer zamówienia, identyfikator, nazwę książki, ilość, ceny, walutę, status i datę utworzenia. W bazie zapisujemy skrót kryptograficzny tokenu linku statusu, nie jego jawną treść. Nie zbieramy przez ten formularz PESEL, daty urodzenia, danych karty ani kodu BLIK.

Przy kontakcie otrzymujemy treść wiadomości i podane przez Ciebie dane kontaktowe. Obsługa płatności w Przelewy24 zapisuje identyfikator sesji, identyfikator transakcji, kwotę, walutę i potwierdzenie weryfikacji. Obejmuje to istniejące rzeczywiste zamówienia oraz odrębnie oznaczone dane technicznych testów. Automatyczne wiadomości transakcyjne obsługują kwalifikujące się zamówienia. Historyczne i techniczne zapisy sprzed uruchomienia automatyki są wyłączone z tego procesu.

System wiadomości transakcyjnych przechowuje w kolejce adres e-mail, imię i nazwisko, adres dostawy, numer i dane zamówienia, kwoty, informację o potwierdzonej płatności oraz — dla wiadomości o wysyłce — numer przesyłki. Zachowuje przygotowaną treść wiadomości i załączniki oraz informacje techniczne o próbach wysłania, wyniku, terminach ponowienia i identyfikatorze wiadomości dostawcy. Kopia danych w kolejce nie obejmuje numeru telefonu, prywatnego linku statusu, kodu BLIK ani danych karty.

3. Cele i podstawy prawne

• Działanie strony i bezpieczeństwo: udostępnianie oferty, ochrona istniejących zapisów zamówień i diagnostyka kontrolowanych testów oraz wykrywanie i wyjaśnianie błędów. Podstawa: art. 6 ust. 1 lit. f RODO — uzasadniony interes administratora w zapewnieniu dostępności i bezpieczeństwa usługi.
• Zamówienie, płatność, kontakt dotyczący jego wykonania i dostawa: podjęcie działań na Twoje żądanie przed zawarciem umowy oraz wykonanie umowy — art. 6 ust. 1 lit. b RODO. Obejmuje to potwierdzenie zamówienia i płatności oraz informację o wysyłce. Przekazanie klientowi wymaganych prawem informacji, w tym potwierdzenia umowy, regulaminu i pouczenia o odstąpieniu, służy również wykonaniu obowiązku prawnego — art. 6 ust. 1 lit. c RODO. Wiadomości te nie są marketingiem.
• Reklamacje, odstąpienie i obowiązki podatkowe lub księgowe: wykonanie obowiązków prawnych, w szczególności wynikających z ustawy o prawach konsumenta i właściwych przepisów podatkowych oraz, jeśli mają zastosowanie, ustawy o rachunkowości — art. 6 ust. 1 lit. c RODO.
• Pozostała korespondencja: odpowiedź na pytania i prowadzenie kontaktu — art. 6 ust. 1 lit. f RODO, czyli uzasadniony interes polegający na obsłudze korespondencji. Jeśli pytanie zmierza do zawarcia umowy, właściwą podstawą jest art. 6 ust. 1 lit. b RODO.
• Ustalenie, dochodzenie lub obrona roszczeń: art. 6 ust. 1 lit. f RODO — uzasadniony interes w ochronie praw administratora i zachowaniu niezbędnych dowodów.

Podanie danych kontaktowych jest dobrowolne, ale dane pozwalające odpowiedzieć są potrzebne do obsługi korespondencji. Dane wymagane formularzem są niezbędne do obsługi zakupu i dostawy. Numer lokalu podajesz tylko wtedy, gdy dotyczy adresu. Przetwarzania niezbędnego do umowy lub obowiązku prawnego nie uzależniamy od zgody na marketing.

4. Odbiorcy danych i używane usługi

home.pl: dostawca VPS, na którym działa strona, oraz skrzynki kontakt@strefaduszy.pl. Usługi te służą obsłudze połączeń ze stroną, jej zabezpieczeniu i korespondencji. Dane są dostępne administratorowi i upoważnionej obsłudze oraz dostawcy w zakresie koniecznym do świadczenia tych usług.

Supabase Pte. Ltd.: dostawca bazy zamówień, zdarzeń płatności i kolejki wiadomości transakcyjnych, działający jako podmiot przetwarzający. Projekt korzysta z regionu West EU (Ireland), eu-west-1 — Irlandia.

PayPro S.A. (Przelewy24): operator płatności produkcyjnych, w tym BLIK. Przekazujemy adres e-mail, numer i opis zamówienia, identyfikator sesji, kwotę, walutę oraz adres powrotu do statusu. Odbieramy i weryfikujemy potwierdzenie transakcji. Publiczny checkout nadal nie tworzy nowych zamówień. Zasady przetwarzania przez operatora opisuje obowiązek informacyjny Przelewy24.

Resend (Plus Five Five, Inc.): dostawca techniczny wysyłki wiadomości transakcyjnych, działający w tym zakresie jako podmiot przetwarzający. Przy wysłaniu wiadomości otrzymuje adres odbiorcy oraz jej treść i załączniki: potwierdzenie zamówienia z imieniem, nazwiskiem, adresem dostawy, numerem zamówienia, produktem, kwotami i informacją o płatności albo informację o wysyłce z numerem przesyłki. Załączniki do potwierdzenia zakupu to regulamin oraz pouczenie i formularz odstąpienia. Resend nie otrzymuje od aplikacji telefonu, kodu BLIK, danych karty ani prywatnego tokenu statusu zamówienia. Usługa nie służy newsletterowi ani reklamom. Skrzynka kontaktowa i odpowiedzi na wiadomości pozostają obsługiwane przez home.pl.

Nie uruchomiono integracji API InPost; obecny moduł nie przekazuje automatycznie danych dostawy przewoźnikowi. Dane mogą zostać udostępnione uprawnionym organom lub doradcom, jeśli jest to niezbędne do obowiązku prawnego albo ochrony roszczeń. Danych checkoutu nie wykorzystujemy do reklam ani generowania treści przez AI.

5. Przechowywanie i transfery poza EOG

Główny region bazy Supabase znajduje się w Irlandii, w Europejskim Obszarze Gospodarczym. Dostawca korzysta jednak z międzynarodowej obsługi i podwykonawców; lokalizacja bazy nie oznacza wykluczenia wszystkich transferów poza EOG.

W przypadkach objętych umową powierzenia Supabase zabezpieczenie transferu stanowią standardowe klauzule umowne Komisji Europejskiej. Szczegóły i odbiorców opisują umowa powierzenia i wykaz podwykonawców. Informację lub kopię właściwych zabezpieczeń można uzyskać, kontaktując się z administratorem. Zapoznanie się z tą polityką nie jest zgodą na transfer danych.

Resend przetwarza dane także w Stanach Zjednoczonych. Jego umowa powierzenia danych określa zasady przekazywania poza EOG, w tym standardowe klauzule umowne dla transferów wymagających takiego zabezpieczenia. Informacje o dalszych odbiorcach są dostępne w wykazie podwykonawców Resend. O informację lub kopię właściwych zabezpieczeń można wystąpić do administratora. Nie traktujemy zapoznania się z polityką jako zgody na transfer.

6. Jak długo dane są potrzebne

• Dane testu: do zakończenia weryfikacji działania formularza i wyjaśnienia związanych z nim błędów. Po ustaniu tego celu dane osobowe należy usunąć lub trwale zanonimizować, chyba że konkretna inna podstawa wymaga dalszego przechowywania. Testowe zamówienie samo w sobie nie jest dokumentem podatkowym.
• Realizacja sprzedaży: przez czas potrzebny do obsługi umowy, dostawy, zwrotu i reklamacji. Po zakończeniu tych celów pozostaje tylko zakres niezbędny do obowiązków prawnych lub roszczeń.
• Dokumenty podatkowe: do przedawnienia zobowiązania podatkowego — co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Zawieszenie lub przerwanie przedawnienia może wydłużyć okres. Jeśli stosuje się ustawę o rachunkowości, dokumenty przechowuje się także przez terminy właściwe dla ich rodzaju, co do zasady 5 lat od początku roku następującego po roku obrotowym, którego dotyczą. Nie oznacza to przechowywania wszystkich pól zamówienia przez taki sam czas.
• Korespondencja: do zakończenia sprawy, a następnie tylko jeśli jest konieczna jako dowód — do przedawnienia właściwego roszczenia.
• Roszczenia: przez właściwy okres przedawnienia. Ogólne terminy wynoszą 6 lat, a dla roszczeń związanych z działalnością gospodarczą i okresowych 3 lata; przepisy szczególne mogą je zmienić, np. roszczenia sprzedawcy z działalności przedsiębiorstwa co do zasady przedawniają się po 2 latach. Bieg i zakończenie terminu ocenia się według Kodeksu cywilnego, w tym reguł o jego końcu i przerwaniu. W przypadku sporu niezbędne dane mogą pozostać do jego prawomocnego zakończenia i wykonania rozstrzygnięcia.

Kopia danych zamówienia i przygotowana wiadomość w kolejce są przechowywane dla obsługi wysyłki, bezpiecznych ponowień i wyjaśnienia błędów, a następnie wyłącznie w zakresie potrzebnym do wykazania wykonania umowy, obowiązków prawnych lub ochrony roszczeń opisanych wyżej. Aplikacja nie ma automatycznego mechanizmu usuwania tych kopii; administrator rozpatruje ich usunięcie lub ograniczenie zgodnie z celem i podstawą przetwarzania. Status przyjęcia wiadomości przez dostawcę nie jest dowodem jej przeczytania przez odbiorcę.

Resend podaje 30-dniową retencję danych e-maili i logów dla planów Free, Pro i Scale; dla planu Enterprise warunki mogą być indywidualne. Ten okres po stronie dostawcy nie usuwa kopii wiadomości zapisanej w naszej kolejce ani w skrzynce odbiorcy. Żądania dotyczące danych obsługuje administrator także w odniesieniu do dostawców.

Logi serwera WWW podlegają codziennej rotacji z zachowaniem do 14 niepustych plików archiwalnych. Nie oznacza to stałego terminu 14 dni, jeśli w danym dniu nie powstały wpisy. Dzienniki systemowe podlegają rotacji zależnej od zajętego miejsca, bez ustawionego stałego limitu dni. Dane związane z konkretnym incydentem mogą być potrzebne do jego wyjaśnienia lub ochrony roszczeń. Żądania usunięcia lub ograniczenia danych rozpatruje administrator; aplikacja nie ma automatycznego harmonogramu usuwania danych zamówień.

Kopie zapasowe

Według stanu potwierdzonego 28 września 2026 r. panel projektu Supabase wskazuje brak kopii zapasowych. Administrator nie wykonuje dodatkowych kopii bazy ani VPS. Nie oznacza to wykluczenia wewnętrznych mechanizmów infrastrukturalnych dostawców. Nie przypisujemy im niepotwierdzonych okresów przechowywania; ich zasady wynikają z warunków świadczenia usług i powierzenia danych.

7. Twoje prawa

Na zasadach RODO masz prawo do dostępu do danych i ich kopii, sprostowania, usunięcia oraz ograniczenia przetwarzania. Prawo do przenoszenia dotyczy danych przetwarzanych automatycznie na podstawie zgody lub umowy, gdy spełnione są warunki art. 20 RODO.

Możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO. Wtedy administrator oceni, czy istnieją nadrzędne prawnie uzasadnione podstawy dalszego przetwarzania albo potrzeba ustalenia, dochodzenia lub obrony roszczeń. Gdyby przetwarzanie opierało się na zgodzie, można ją wycofać bez wpływu na zgodność wcześniejszego przetwarzania; obecny checkout nie zbiera takich zgód.

Napisz do administratora, wskazując żądanie. Jeśli będzie to konieczne, możemy poprosić o proporcjonalne informacje służące potwierdzeniu tożsamości. Odpowiadamy co do zasady w ciągu miesiąca; przy złożonych lub licznych żądaniach termin może zostać przedłużony o dwa miesiące, o czym wraz z przyczyną poinformujemy w pierwszym miesiącu.

Niektóre dane mogą pozostać mimo żądania usunięcia, np. gdy wymaga tego prawo lub obrona roszczeń. Możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych; informacje o sposobie jej złożenia znajdziesz na uodo.gov.pl.

8. Cookies i bezpieczeństwo

W obecnym module /book nie wdrożono newslettera, narzędzi reklamowych, analityki zachowań ani marketingowych cookies. Checkout nie zapisuje danych formularza w localStorage ani sessionStorage; pola pozostają w pamięci strony do jej opuszczenia lub przeładowania, niezależnie od funkcji autouzupełniania samej przeglądarki. Nie zakładamy kont klientów i nie profilujemy ich ani nie podejmujemy wobec nich wyłącznie automatycznych decyzji wywołujących skutki prawne.

Serwer przetwarza dane techniczne połączeń, m.in. adres IP, czas i adres żądania, informację o przeglądarce oraz wynik obsługi. Służą one dostępności i bezpieczeństwu strony. Dla stron z prywatnym tokenem statusu i powiadomień P24 wyłączono dziennik dostępu serwera WWW. Dane techniczne mogą wystąpić także w dziennikach błędów.

Dostęp do tabel zamówień jest ograniczony uprawnieniami bazy. Klucz serwerowy nie trafia do kodu klienta, a komunikacja z Supabase korzysta z HTTPS. Link statusu jest poufny: pokazuje numer i status, bez adresu, telefonu i e-maila. Nie udostępniaj go innym osobom. Połączenia ze stroną są szyfrowane przez HTTPS.

9. Zakres i aktualizacje

Polityka opisuje ofertę książki, zamówienia, produkcyjne płatności oraz aktywną obsługę wiadomości transakcyjnych. Włączenie nowych dostawców lub funkcji wymaga jej aktualizacji przed rozpoczęciem odpowiedniego przetwarzania. Aktualna wersja i jej data pozostają dostępne na tej stronie.