Administrator i kontakt

Za przetwarzanie danych klientów przez sklep NIVVA odpowiada podmiot prowadzący sklep jako administrator danych. W sprawach prywatności, realizacji praw i bezpieczeństwa danych skontaktuj się z wsparcie@nivva.pl.

Ta polityka dotyczy sklepu internetowego NIVVA, obsługi zamówień, konta klienta i korespondencji. Gdy korzystasz z odrębnej usługi operatora płatności lub przewoźnika, ten podmiot może przetwarzać dane również jako osobny administrator, według własnej informacji o prywatności.

Jakie dane otrzymujemy i skąd

• Zakup i doręczenie: imię i nazwisko, adres e-mail, dane do dostawy, numer telefonu potrzebny do obsługi doręczenia, zawartość i wartość zamówienia oraz jego status.
• Rozliczenia: dane do faktury, jeśli są wymagane, identyfikator i status płatności oraz informacje o zwrotach. Dane płatnicze wpisujesz w bezpiecznym formularzu właściwego operatora, a nie w wiadomości do obsługi.
• Konto klienta: dane podane przy założeniu konta, dane uwierzytelniania obsługiwane przez platformę oraz powiązana historia zakupów. Założenie konta nie jest obowiązkowe do zakupu.
• Kontakt, zwroty i reklamacje: dane identyfikujące zakup, treść wiadomości, odpowiedzi i dobrowolnie przekazane załączniki.
• Korzystanie ze strony: adres IP, informacje o przeglądarce i urządzeniu, czas żądania, dane sesji oraz identyfikatory techniczne potrzebne do działania i ochrony sklepu.
• Zgody i komunikacja dodatkowa: wybory dotyczące prywatności, data i sposób ich wyrażenia oraz adres kontaktowy, jeżeli zapiszesz się do udostępnionej komunikacji marketingowej.

Dane pochodzą przede wszystkim od Ciebie i Twojej przeglądarki. Od operatora płatności otrzymujemy informacje o rozliczeniu, a od InPost informacje o doręczeniu. Jeżeli zamawiasz dla innego odbiorcy, podawaj tylko dane potrzebne do realizacji przesyłki i przekaż tej osobie niniejszą informację.

Do zwykłego zakupu nie potrzebujemy danych dotyczących zdrowia, numeru PESEL ani kopii dokumentu tożsamości. Nie umieszczaj ich w wiadomościach i załącznikach, jeżeli nie ma ku temu wyraźnej, uzasadnionej potrzeby.

Cele i podstawy prawne

Przyjęcie i realizacja zamówienia

Przetwarzamy dane, aby podjąć działania na Twoje żądanie przed zakupem, zawrzeć i wykonać umowę, obsłużyć płatność, doręczenie oraz kontakt dotyczący zamówienia. Podstawą jest art. 6 ust. 1 lit. b RODO.

Konto klienta

Jeżeli zdecydujesz się na konto, dane służą świadczeniu tej usługi i udostępnianiu funkcji konta. Podstawą jest wykonanie umowy o usługę elektroniczną, czyli art. 6 ust. 1 lit. b RODO.

Rozliczenia, zwroty i reklamacje

Dokumentowanie transakcji, realizacja obowiązków podatkowych i rachunkowych oraz obowiązków wynikających z praw konsumenta opierają się na art. 6 ust. 1 lit. c RODO. Czynności związane z wykonaniem umowy, w tym jej rozliczeniem, mogą równocześnie opierać się na art. 6 ust. 1 lit. b RODO.

Odpowiedzi, bezpieczeństwo i roszczenia

Na podstawie art. 6 ust. 1 lit. f RODO możemy prowadzić korespondencję niezwiązaną bezpośrednio z umową, zapewniać bezpieczeństwo sklepu, przeciwdziałać nadużyciom oraz ustalać, dochodzić i bronić roszczeń. Naszym prawnie uzasadnionym interesem jest sprawna obsługa pytań, ochrona klientów i systemów oraz ochrona praw związanych z prowadzoną działalnością. Stosowanie tej podstawy wymaga uwzględnienia Twoich praw i interesów.

Dobrowolna komunikacja i technologie dodatkowe

Jeśli udostępnimy zapis na wiadomości marketingowe i zdecydujesz się je otrzymywać, podstawą przetwarzania w tym celu jest zgoda, art. 6 ust. 1 lit. a RODO. Bezpośredni marketing elektroniczny wymaga też uprzedniej zgody wymaganej przez Prawo komunikacji elektronicznej. Zakup nie oznacza automatycznego zapisu na marketing.

Analityka lub reklama wykorzystująca nieniezbędne identyfikatory urządzenia wymaga odpowiedniej zgody. Zasady tych technologii opisuje Polityka cookies NIVVA. Zgoda na marketing ani na dodatkowe cookies nie jest warunkiem złożenia zamówienia.

Komu dane mogą być przekazywane

Udostępniamy dane w zakresie uzasadnionym daną usługą lub obowiązkiem. Odbiorcami mogą być:

• Shopify, dostawca platformy sklepu, hostingu i obsługi jego funkcji.
• InPost, w zakresie potrzebnym do dostawy do Paczkomatu lub na adres i przekazywania informacji o przesyłce.
• Operatorzy płatności i banki, właściwi dla metody wybranej w kasie.
• Dostawcy obsługi technicznej i korespondencji, w zakresie utrzymania sklepu i kontaktu z klientami.
• Podmioty obsługujące rozliczenia oraz doradcy, jeżeli udział księgowości lub obsługi prawnej jest potrzebny do wykonania obowiązku lub ochrony roszczeń.
• Organy publiczne, gdy udostępnienie wynika z przepisów i prawidłowego żądania.

Podmiot działający wyłącznie na nasze zlecenie powinien przetwarzać dane według udokumentowanych instrukcji i odpowiedniej umowy. Dostawca świadczący własną, niezależną usługę może działać jako odrębny administrator.

Strony informacyjne korzystają z krojów Lora i Inter pobieranych z usługi Google Fonts. Pobranie pliku czcionki powoduje połączenie przeglądarki z infrastrukturą Google i przekazanie danych technicznych żądania, w tym adresu IP. Służy to wyświetleniu typografii strony. Samo pobranie fontu nie oznacza zgody na marketing. Informacje o dostawcy są dostępne w polityce prywatności Google.

Shopify i przetwarzanie poza EOG

Sklep działa na Shopify. W podstawowej obsłudze danych zamówień Shopify wykonuje czynności na rzecz sklepu. Odrębne usługi, takie jak Shop lub Shop Pay, mogą wiązać się z własną rolą Shopify jako administratora.

Infrastruktura Shopify jest międzynarodowa, dlatego dane mogą być przetwarzane poza Europejskim Obszarem Gospodarczym, między innymi w Kanadzie i Stanach Zjednoczonych. Shopify opisuje zabezpieczenia obejmujące wiążące reguły korporacyjne i, w odpowiednich przypadkach, standardowe klauzule umowne. Szczegóły przedstawiają Polityka prywatności Shopify i umowa Shopify dotycząca przetwarzania danych.

Przekazywanie danych innym odbiorcom poza EOG wymaga podstawy przewidzianej w rozdziale V RODO, na przykład decyzji stwierdzającej odpowiedni stopień ochrony lub odpowiednich zabezpieczeń. Możesz napisać na wsparcie@nivva.pl, aby uzyskać informacje o transferach dotyczących Twoich danych i kopię właściwych zabezpieczeń, z uwzględnieniem ochrony praw innych osób.

Jak długo przechowujemy dane

• Zamówienia: przez czas realizacji i rozliczenia umowy, a następnie w zakresie niezbędnym do obowiązków prawnych i roszczeń.
• Dokumenty podatkowe i księgowe: przez okres wynikający z przepisów. Dla dokumentacji podatkowej jest to co do zasady pięć lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku, z uwzględnieniem przepisów mogących zmienić bieg tego okresu.
• Konto: przez okres korzystania z usługi, a po jego zamknięciu tylko w zakresie potrzebnym do rozliczeń, obowiązków prawnych i roszczeń. Usunięcie konta nie oznacza automatycznego usunięcia wymaganej dokumentacji transakcji.
• Reklamacje i korespondencja: przez czas niezbędny do zakończenia sprawy, a następnie do upływu właściwego terminu przedawnienia roszczeń, jeśli dalsze zachowanie danych jest uzasadnione.
• Marketing na podstawie zgody: do jej wycofania albo wcześniejszego zakończenia danego celu. Ograniczone dane potwierdzające zgodę lub jej wycofanie mogą być zachowane dla wykazania zgodności działania i ochrony roszczeń.
• Logi bezpieczeństwa i identyfikatory: przez okres odpowiadający ich funkcji. Dłuższe zachowanie wymaga konkretnej potrzeby, na przykład wyjaśnienia incydentu. Cookies podlegają także terminom technicznym opisanym w polityce cookies.

Po ustaniu właściwego celu i podstawy prawnej dane powinny zostać usunięte lub trwale zanonimizowane. Nie przechowujemy ich bezterminowo tylko dlatego, że zostały kiedyś przekazane.

Twoje prawa

W granicach określonych w RODO przysługują Ci:

• dostęp do danych i uzyskanie ich kopii;
• sprostowanie nieprawidłowych i uzupełnienie niekompletnych danych;
• usunięcie danych, gdy zachodzą ustawowe przesłanki;
• ograniczenie przetwarzania;
• przenoszenie danych przekazanych przez Ciebie, jeśli przetwarzanie odbywa się automatycznie na podstawie zgody lub umowy;
• sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie, z przyczyn związanych z Twoją szczególną sytuacją;
• sprzeciw w dowolnym momencie wobec przetwarzania na potrzeby marketingu bezpośredniego, w tym powiązanego profilowania;
• wycofanie zgody w dowolnym momencie.

Wycofanie zgody nie wpływa na zgodność z prawem działań podjętych przed jej wycofaniem. Usunięcie danych nie zawsze jest możliwe od razu, na przykład gdy określone dane nadal muszą być przechowywane z przyczyn podatkowych lub dla ustalenia i obrony roszczeń.

Jeśli istnieją uzasadnione wątpliwości co do tożsamości osoby składającej żądanie, możemy poprosić o dodatkowe informacje potrzebne do jej potwierdzenia. Nie przesyłaj z własnej inicjatywy skanu dowodu osobistego.

Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Aktualne sposoby kontaktu i wniesienia skargi znajdziesz na oficjalnej stronie UODO. Wcześniejszy kontakt z nami nie jest warunkiem złożenia skargi.

Czy musisz podawać dane

Podanie danych jest dobrowolne, ale dane oznaczone jako niezbędne są potrzebne do przyjęcia, opłacenia i doręczenia zamówienia albo udzielenia odpowiedzi. Ich niepodanie może uniemożliwić wykonanie wybranej czynności.

Dane wymagane przepisami, na przykład do wystawienia określonego dokumentu rozliczeniowego, wynikają z obowiązku prawnego. Pozostałe informacje, w tym zapis na komunikację marketingową i założenie konta, zależą od Twojej decyzji. Nie uzależniamy rozpatrzenia reklamacji od zgody na marketing.

Automatyzacja i profilowanie

Sklep wykorzystuje automatyczne funkcje platformy do obsługi koszyka, płatności, wiadomości transakcyjnych i statusu zamówienia. Takie czynności techniczne same w sobie nie oznaczają podejmowania decyzji, o której mowa w art. 22 RODO.

Jeżeli zostanie wdrożone profilowanie marketingowe lub analityczne, wymaga ono odpowiedniej podstawy prawnej, informacji o jego zakresie i uzyskania zgody na nieniezbędne technologie, gdy prawo jej wymaga. Samo odwiedzenie tej strony nie jest taką zgodą.

Jeśli wybierzesz usługę odrębnego dostawcy, na przykład finansowanie zakupu, zapoznaj się z jego informacją o danych. Dostawca może stosować własną ocenę ryzyka i odrębne zasady dotyczące automatycznych decyzji. W sprawie decyzji dotyczącej Twojego zamówienia możesz zwrócić się do obsługi NIVVA.

Bezpieczeństwo i aktualizacje

Dostęp do danych powinien być ograniczony do osób i dostawców, którzy potrzebują go do swoich zadań. Ochrona obejmuje odpowiednie środki organizacyjne i techniczne, dostosowane do rodzaju danych i ryzyka. Po Twojej stronie pomocne są aktualna przeglądarka, zabezpieczenie poczty oraz nieudostępnianie kodów logowania innym osobom.

Jeśli podejrzewasz nieuprawnione użycie danych związane ze sklepem, napisz na wsparcie@nivva.pl. Nie przesyłaj w zgłoszeniu haseł ani pełnych danych płatniczych.

Polityka może być aktualizowana w związku ze zmianą funkcji sklepu, dostawców lub przepisów. Data aktualizacji widnieje na początku. Zmiana dokumentu nie zastępuje wymaganej zgody na nowy cel przetwarzania.

Podstawę zasad ochrony danych stanowi RODO, rozporządzenie (UE) 2016/679. Uporządkowane informacje wymagane przy zbieraniu danych zawiera również Informacja o przetwarzaniu danych osobowych NIVVA.