Polityka prywatności - Shopilo Polska

1. Administrator danych

Administratorem danych osobowych w rozumieniu art. 4 pkt 7 RODO w odniesieniu do przetwarzania danych w serwisie pl.shopilo.com jest:

1.1 Inspektor ochrony danych

W naszej ocenie wyznaczenie inspektora ochrony danych zgodnie z art. 37 RODO nie jest obecnie dla naszej spółki obowiązkowe. We wszystkich sprawach dotyczących ochrony danych prosimy o kontakt pod adresem [email protected].

1.2 Czego NIE zbieramy

Aplikacja mobilna Shopilo dodatkowo nie zbiera mobilnych identyfikatorów reklamowych (Apple IDFA / Google Advertising ID) oraz nie zawiera żadnych SDK reklamowych ani SDK analitycznych podmiotów trzecich. Google Analytics 4 i Meta Pixel działają wyłącznie na stronie internetowej, a nie w aplikacji.

2. Jakie dane przetwarzamy i dlaczego?

Poniższa tabela zawiera przegląd wszystkich czynności przetwarzania w serwisie pl.shopilo.com:

2.1 Prawnie uzasadnione interesy (art. 6 ust. 1 lit. f RODO)

Na podstawie prawnie uzasadnionych interesów przetwarzamy wyłącznie dane niewymagające zapisywania ani odczytywania informacji na Państwa urządzeniu końcowym – w szczególności serwerowe logi bezpieczeństwa (Cloudflare, Hetzner), służące zapewnieniu technicznie stabilnego działania usługi oraz wykrywaniu i zapobieganiu nadużyciom (atakom, botom, próbom włamań). W ramach testu równowagi interesów uwzględniliśmy, że logi te są przechowywane krótko (zob. punkt 6), a żadne dane nie są przekazywane podmiotom trzecim do ich własnych celów. Analityka internetowa (Google Analytics 4) opiera się natomiast wyłącznie na Państwa zgodzie – zob. wiersz A tabeli powyżej oraz punkt 5.

2.2 Alerty cenowe i newsletter – zgoda i double opt-in

Alerty cenowe wymagają Państwa wyraźnej zgody, potwierdzanej w procedurze double opt-in, zgodnie z art. 6 ust. 1 lit. a RODO. Jeżeli w przyszłości zaoferujemy newsletter, będą obowiązywać te same zasady: przesyłanie marketingu bezpośredniego za pomocą środków komunikacji elektronicznej (e-mail, powiadomienia push) wymaga uprzedniej zgody zgodnie z art. 398 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (PKE) w związku z art. 6 ust. 1 lit. a RODO. Prawnie uzasadniony interes nie może stanowić podstawy prawnej e-mail marketingu. Procedura double opt-in nie jest wprost wymagana przez prawo, stanowi jednak rekomendowaną dobrą praktykę dowodową.

2.3 Osoby małoletnie

Pl.shopilo.com nie jest kierowany do dzieci ani młodzieży poniżej 16. roku życia. Zgodnie z art. 8 ust. 1 RODO – stosowanym w Polsce bezpośrednio, ponieważ polski ustawodawca nie skorzystał z możliwości obniżenia tego progu – minimalny wiek samodzielnego wyrażenia zgody na usługi społeczeństwa informacyjnego wynosi w Polsce 16 lat. W przypadku osób poniżej 16 lat wymagana jest zgoda osoby sprawującej władzę rodzicielską lub opiekę. Świadomie nie zbieramy danych osobowych osób poniżej 16. roku życia. Jeżeli dowiemy się, że takie dane zostały zebrane, niezwłocznie je usuniemy.

Aplikacja mobilna Shopilo — dodatkowe przetwarzanie

Oprócz przetwarzania opisanego powyżej, podczas korzystania z aplikacji mobilnej Shopilo (iOS i Android) obowiązują poniższe zasady. Logowanie do aplikacji odbywa się bez hasła: na Państwa adres e-mail wysyłany jest jednorazowy kod lub link logowania (magic link). Państwa konto, obserwowane sklepy i preferencje dotyczące newslettera stanowią te same dane konta, co na stronie internetowej (zob. kategoria D powyżej).

Przetwarzanie realizowane w aplikacji na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO) obejmuje: stały identyfikator instalacji aplikacji, służący do obsługi sesji gościa i zabezpieczenia dostępu do API, atestację integralności urządzenia wykonywaną za pomocą Apple App Attest i Google Play Integrity w celu ochrony naszych usług przed nadużyciami i zautomatyzowanymi atakami, oraz diagnostykę awarii i błędów, służącą utrzymaniu stabilności aplikacji. Diagnostyka awarii jest przetwarzana wyłącznie na naszej własnej, samodzielnie hostowanej infrastrukturze monitorowania błędów (Sentry, obsługiwanej przez DontPayFull SRL na serwerach pozostających pod naszą kontrolą). Żadne z tych danych nie są wykorzystywane do celów reklamowych ani profilowania.

3. Podmioty przetwarzające i odbiorcy

Korzystamy z następujących podmiotów przetwarzających zgodnie z art. 28 RODO. Ze wszystkimi podmiotami przetwarzającymi zawarto umowy powierzenia przetwarzania danych:

Inne podmioty trzecie otrzymują Państwa dane osobowe wyłącznie wtedy, gdy wymaga tego prawo (np. na żądanie organów ścigania po przedstawieniu prawomocnego nakazu) lub gdy wyrazili Państwo na to wyraźną zgodę.

Aplikacja mobilna Shopilo — dodatkowi odbiorcy

Jeżeli włączą Państwo powiadomienia push w aplikacji mobilnej Shopilo, za pośrednictwem Expo Push Service (650 Industries, Inc., USA) generowany jest token push, a powiadomienia są dostarczane przez usługę powiadomień platformy Państwa urządzenia — Apple Push Notification service (Apple Inc.) w systemie iOS lub Firebase Cloud Messaging (Google LLC) w systemie Android. Token push jest technicznym identyfikatorem służącym do kierowania powiadomień; nie jest wykorzystywany do celów reklamowych ani do śledzenia między aplikacjami. W celu ochrony naszego API przed nadużyciami aplikacja weryfikuje integralność urządzenia i instalacji aplikacji za pomocą Apple App Attest (iOS) oraz Google Play Integrity API (Android); w ramach tej weryfikacji Apple lub Google otrzymuje z Państwa urządzenia techniczne żądanie atestacji. Aplikacja okresowo sprawdza również dostępność aktualizacji za pośrednictwem usługi EAS Update firmy Expo, co technicznie wiąże się z przekazaniem Państwa adresu IP na serwery Expo.

4. Międzynarodowe przekazywanie danych

Niektóre z naszych podmiotów przetwarzających mają siedzibę poza Europejskim Obszarem Gospodarczym (EOG). W przypadku takich transferów do państw trzecich zapewniamy wymagany zgodnie z art. 44 i nast. RODO poziom ochrony w następujący sposób:

4.1 Google LLC i Meta Platforms Inc. – EU-US Data Privacy Framework

Google LLC i Meta Platforms Inc. posiadają certyfikację w ramach EU-US Data Privacy Framework (DPF), uznanego przez Komisję Europejską decyzją stwierdzającą odpowiedni stopień ochrony z 10 lipca 2023 r. (C(2023) 4745). Przekazywanie danych do USA jest zatem dopuszczalne na podstawie art. 45 RODO. Aktualne certyfikacje można sprawdzić na stronie dataprivacyframework.gov.

4.2 Google Analytics 4 – dodatkowe techniczne środki ochrony

4.3 Cloudflare Inc. – DPF i standardowe klauzule umowne

Cloudflare również posiada certyfikację w ramach EU-US DPF. Dodatkowo uzgodniono standardowe klauzule umowne (SCC) zgodnie z art. 46 ust. 2 lit. c RODO. Zdecydowana większość przetwarzania odbywa się przez europejskie punkty obecności (PoP) na terenie EOG.

4.4 Hetzner Online GmbH i CookieScript – wewnątrz UE

Hetzner Online GmbH (Niemcy) i CookieScript (UE) przetwarzają dane wyłącznie na terenie EOG. Dla tych podmiotów przetwarzających nie są wymagane szczególne zabezpieczenia dotyczące transferów do państw trzecich.

Apple Inc. i 650 Industries, Inc. (Expo) — aplikacja mobilna

W odniesieniu do aplikacji mobilnej Shopilo Apple Inc. (Apple Push Notification service, App Attest) oraz Google LLC (Firebase Cloud Messaging, Play Integrity) posiadają certyfikację w ramach EU-US Data Privacy Framework (DPF); przekazywanie danych do USA jest zatem dopuszczalne na podstawie art. 45 RODO. 650 Industries, Inc. (“Expo”, USA) przetwarza tokeny push oraz żądania aktualizacji aplikacji; transfery te są zabezpieczone standardowymi klauzulami umownymi (SCC) zgodnie z art. 46 ust. 2 lit. c RODO, zawartymi w ramach umowy powierzenia przetwarzania danych z Expo.

5. Cookies i śledzenie

Sama aplikacja mobilna Shopilo nie instaluje żadnych plików cookies i nie zawiera żadnych SDK śledzących, reklamowych ani analitycznych podmiotów trzecich. Niniejszy punkt dotyczy wyłącznie strony internetowej.

5.1 Zarządzanie zgodą przez CookieScript

Podczas pierwszej wizyty w serwisie pl.shopilo.com wyświetlany jest baner cookies narzędzia CookieScript. Mogą Państwo w nim wyrazić zgodę na poszczególne kategorie cookies lub jej odmówić. Państwa preferencje są zapisywane i mogą zostać w każdej chwili wycofane lub zmienione za pomocą linku ustawień cookies w stopce. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego na podstawie wcześniejszej zgody.

5.2 Kategorie cookies

Cookies niezbędne technicznie (bez wymogu opt-in, art. 399 ust. 3 PKE): te pliki cookies są nieodzowne do działania usługi, np. do zapisania Państwa decyzji dotyczącej zgody (cookie sesyjne CookieScript) lub zapewnienia podstawowych funkcji bezpieczeństwa (Cloudflare).

Cookies analityczne (opt-in zgodnie z art. 399 ust. 1 PKE w związku z art. 6 ust. 1 lit. a RODO): Google Analytics 4 – aktywne wyłącznie po wyrażeniu przez Państwa zgody w banerze cookies. Niezależnie od udzielonej zgody stosujemy dodatkowe środki ochrony prywatności (skracanie adresu IP na serwerze proxy w UE, wyłączone Google Signals – zob. punkt 4.2).

Cookies marketingowe (opt-in zgodnie z art. 399 ust. 1 PKE + art. 6 ust. 1 lit. a RODO): Piksel Meta – aktywny wyłącznie po wyraźnym wyrażeniu przez Państwa zgody.

5.3 Cookies afiliacyjne

Pl.shopilo.com nie instaluje własnych afiliacyjnych cookies śledzących. Po kliknięciu w link sprzedawcy i przejściu na jego stronę sprzedawca lub odpowiednia sieć afiliacyjna mogą instalować cookies na swoich własnych domenach. Podlegają one wyłącznie postanowieniom dotyczącym ochrony danych danego sprzedawcy lub sieci, a nie niniejszej Polityce prywatności.

5.4 Opt-out z Google Analytics 4

Oprócz zarządzania zgodą przez CookieScript mogą Państwo wyłączyć zbieranie danych przez Google Analytics 4 za pomocą dodatku do przeglądarki udostępnianego przez Google: tools.google.com/dlpage/gaoptout

Szczegółowe informacje o wszystkich stosowanych plikach cookies, okresach ich przechowywania i dostawcach znajdą Państwo w naszej Polityce cookies.

6. Okresy przechowywania

Dane osobowe są usuwane lub anonimizowane, gdy tylko ustanie cel przetwarzania i nie stoją temu na przeszkodzie ustawowe obowiązki przechowywania. Poniższa tabela podsumowuje terminy:

Ustawowe obowiązki przechowywania (np. obowiązki podatkowe wynikające z rumuńskiego prawa podatkowego) mogą w konkretnym przypadku uzasadniać dłuższe okresy przechowywania. W takiej sytuacji przetwarzanie ogranicza się do zakresu wymaganego prawem.

7. Państwa prawa

Osobom, których dane dotyczą, przysługują wobec DontPayFull SRL następujące prawa. W celu skorzystania z nich prosimy o kontakt pod adresem [email protected]. Na Państwa wniosek odpowiemy w ciągu miesiąca (art. 12 ust. 3 RODO).

7.1 Prawa wynikające z RODO (art. 15–22)

7.2 Polska ustawa o ochronie danych osobowych

Uzupełniająco do RODO w Polsce obowiązuje ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych. Ustawa ta ma przede wszystkim charakter ustrojowo-proceduralny (m.in. określa Prezesa UODO jako organ nadzorczy) i nie przyznaje osobom, których dane dotyczą, dodatkowych praw materialnych wykraczających poza katalog praw z RODO opisany w punkcie 7.1.

7.3 Brak obowiązku podania danych

Korzystanie z podstawowych funkcji pl.shopilo.com nie wymaga podawania danych osobowych. Jeżeli skorzystanie z określonych funkcji (konto, alert cenowy) wymaga podania danych, zostaną Państwo o tym poinformowani przy ich wprowadzaniu. Niepodanie tych danych skutkuje jedynie brakiem możliwości skorzystania z danej funkcji.

8. Organy nadzorcze

Mają Państwo prawo wniesienia skargi do organu nadzorczego ds. ochrony danych w związku z przetwarzaniem przez nas Państwa danych osobowych (art. 77 RODO).

8.1 Wiodący organ nadzorczy (one-stop-shop)

Właściwym wiodącym organem nadzorczym zgodnie z art. 56 RODO (mechanizm one-stop-shop) jest rumuński organ ochrony danych:

8.2 Lokalny organ nadzorczy dla użytkowników w Polsce

Użytkownicy w Polsce mogą ponadto zwrócić się do Prezesa Urzędu Ochrony Danych Osobowych:

Prawo wniesienia skargi do organu nadzorczego nie wyłącza innych środków ochrony prawnej.

9. Kontakt i wnioski dotyczące danych

We wszystkich sprawach dotyczących ochrony danych, wykonywania Państwa praw lub zgłoszeń dotyczących prywatności prosimy o kontakt:

Na wnioski dotyczące ochrony danych odpowiadamy bezpłatnie w ciągu miesiąca (art. 12 ust. 3 RODO). W przypadku spraw złożonych lub licznych wniosków możemy przedłużyć ten termin o kolejne dwa miesiące, o czym poinformujemy Państwa z wyprzedzeniem.

9.1 Weryfikacja tożsamości przy wnioskach osób, których dane dotyczą

Aby chronić Państwa dane przed nieuprawnionym dostępem, przy wnioskach osób, których dane dotyczą, możemy zażądać odpowiedniego potwierdzenia tożsamości. Zebrane w tym celu dane identyfikacyjne wykorzystamy wyłącznie do rozpatrzenia wniosku, a następnie je usuniemy.

9.2 Zmiany niniejszej Polityki prywatności

Zastrzegamy sobie prawo do zmiany niniejszej Polityki prywatności w razie zmian przepisów prawa, uwarunkowań technicznych lub naszej usługi. Istotne zmiany ogłosimy co najmniej 14 dni przed ich wejściem w życie poprzez wyraźną informację w serwisie pl.shopilo.com lub, o ile to możliwe, e-mailem do zarejestrowanych użytkowników. Zmiany nie są uznawane za zaakceptowane przez samo dalsze korzystanie z usługi; poprosimy Państwa o aktywne zapoznanie się z nimi. Data ostatniej aktualizacji na początku strony zostanie odpowiednio zmieniona.

Dalsze informacje prawne znajdą Państwo w naszej Nocie prawnej, Regulaminie oraz Polityce cookies.