Polityka prywatności

1. Administrator danych osobowych

Administratorem danych osobowych użytkowników serwisu uczesane-mysli.pl (blog oraz sklep) jest Lumato sp. z o.o. z siedzibą przy ul. Bluszczowa 20/8, 04-234 Warszawa, NIP: 9522225694, KRS: 0000958788.

Kontakt z Administratorem w sprawach ochrony danych: [email protected].

2. Cele i podstawy prawne przetwarzania danych

Administrator przetwarza dane osobowe w następujących celach:

• Realizacja zamówień i wykonanie umowy sprzedaży – podstawa: art. 6 ust. 1 lit. b RODO (niezbędność do wykonania umowy). Dane: imię, nazwisko, adres dostawy, adres e-mail, numer telefonu.
• Obsługa reklamacji, zwrotów i odstąpień od umowy – podstawa: art. 6 ust. 1 lit. b i c RODO (wykonanie umowy i obowiązek prawny). Dane: jak przy zamówieniu oraz opis zgłoszenia.
• Wypełnienie obowiązków podatkowych i księgowych – podstawa: art. 6 ust. 1 lit. c RODO. Dane: dane nabywcy na fakturze.
• Wysyłka newslettera – podstawa: art. 6 ust. 1 lit. a RODO (zgoda). Dane: adres e-mail, ewentualnie imię. Zgoda może być wycofana w każdej chwili bez wpływu na zgodność z prawem wcześniejszego przetwarzania.
• Analiza ruchu i optymalizacja serwisu (GA4, PostHog) – podstawa: art. 6 ust. 1 lit. a RODO (zgoda na cookies analityczne). Dane: zanonimizowane dane o zachowaniu w serwisie.
• Marketing i retargeting (Facebook Pixel) – podstawa: art. 6 ust. 1 lit. a RODO (zgoda na cookies marketingowe). Dane: dane behawioralne przekazywane do Meta.
• Obsługa komentarzy na blogu (Disqus) – podstawa: art. 6 ust. 1 lit. a RODO (zgoda). Przetwarzanie odbywa się przez Disqus Inc. na warunkach ich własnej polityki prywatności.
• Dochodzenie lub obrona roszczeń – podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora).

Administrator nie przetwarza danych dotyczących zdrowia ani żadnych innych danych szczególnych kategorii w rozumieniu art. 9 RODO.

3. Okres przechowywania danych

• Dane zamówieniowe i transakcyjne: 5 lat od końca roku podatkowego, w którym zawarto umowę (wymogi prawa podatkowego).
• Dane reklamacyjne i zwrotowe: 3 lata od daty rozpatrzenia reklamacji lub zwrotu (okres przedawnienia roszczeń).
• Dane do wysyłki newslettera: do czasu wycofania zgody lub wypisania się z listy mailingowej.
• Dane analityczne (GA4, PostHog): zgodnie z ustawieniami retencji danych w poszczególnych narzędziach, nie dłużej niż 26 miesięcy.
• Dane komentarzy (Disqus): zgodnie z polityką prywatności Disqus Inc.

4. Odbiorcy danych osobowych

Dane osobowe mogą być przekazywane następującym kategoriom odbiorców:

• DialCom24 sp. z o.o. (Przelewy24), ul. Kanclerska 15, 60-327 Poznań – operator płatności; dane niezbędne do realizacji transakcji.
• InPost S.A., ul. Malborska 130, 30-624 Kraków – operator logistyczny; dane dostawy oraz dane niezbędne do obsługi zwrotów przez platformę szybkiezwroty.pl.
• UAB MailerLite, J. Basanaviciaus 15, 03108 Wilno, Litwa – platforma e-mail marketingu; dane subskrybentów newslettera. Przetwarzanie w EOG.
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia – Google Analytics 4; zanonimizowane dane analityczne. Możliwy transfer do USA na podstawie standardowych klauzul umownych (SCC).
• Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Irlandia – Facebook Pixel; dane behawioralne dla celów reklamowych. Możliwy transfer do USA na podstawie SCC.
• PostHog Inc., 965 Mission St Suite 100, San Francisco, CA 94103, USA – platforma analityczna PostHog Cloud; dane o zachowaniu użytkowników. Transfer do USA na podstawie SCC. Umowa DPA dostępna na posthog.com/dpa.
• Disqus Inc., 717 Market St, San Francisco, CA 94103, USA – platforma komentarzy; dane komentujących. Transfer do USA na podstawie SCC. Własna polityka prywatności Disqus dostępna na disqus.com/privacy-policy.
• Dostawca oprogramowania sklepowego (WordPress/WooCommerce) oraz dostawca hostingu.
• Biuro rachunkowe obsługujące Administratora – dane niezbędne do prowadzenia księgowości.

Dane nie są przekazywane do państw spoza Europejskiego Obszaru Gospodarczego bez zapewnienia odpowiednich zabezpieczeń (standardowe klauzule umowne zatwierdzone przez Komisję Europejską).

5. Prawa osób, których dane dotyczą

Każda osoba, której dane przetwarza Administrator, ma następujące prawa:

• Prawo dostępu do swoich danych oraz otrzymania ich kopii (art. 15 RODO).
• Prawo do sprostowania danych nieprawidłowych lub uzupełnienia danych niekompletnych (art. 16 RODO).
• Prawo do usunięcia danych („prawo do bycia zapomnianym”) – o ile nie zachodzą przesłanki dalszego przetwarzania (art. 17 RODO).
• Prawo do ograniczenia przetwarzania (art. 18 RODO).
• Prawo do przenoszenia danych – w zakresie danych przetwarzanych automatycznie na podstawie zgody lub umowy (art. 20 RODO).
• Prawo do wniesienia sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 21 RODO).
• Prawo do cofnięcia zgody w dowolnym momencie – bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem.

Wnioski dotyczące realizacji praw należy kierować na adres e-mail: [email protected]. Administrator odpowiada bez zbędnej zwłoki, nie później niż w ciągu 30 dni od otrzymania wniosku.

Przysługuje również prawo wniesienia skargi do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

6. Zautomatyzowane podejmowanie decyzji i profilowanie

Administrator nie stosuje w stosunku do użytkowników zautomatyzowanego podejmowania decyzji, w tym profilowania, które wywoływałoby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływało.