Polityka prywatności

Niniejsza Polityka Prywatności określa zasady przetwarzania i ochrony danych osobowych osób korzystających ze sklepu internetowego działającego pod adresem carverse.pl (dalej: Sklep), w tym w zakresie sprzedaży hurtowej B2B.

Polityka realizuje obowiązek informacyjny wynikający z art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO).

Administrator dokłada szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności zapewnia, że zbierane dane są: przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty; zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach; adekwatne, stosowne i ograniczone do tego, co niezbędne; prawidłowe i w razie potrzeby uaktualniane; przechowywane nie dłużej, niż jest to niezbędne; przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo.

Niniejsza Polityka ma charakter informacyjny i nie jest źródłem obowiązków dla osób, których dane dotyczą.

Polityka stanowi uzupełnienie Regulaminu Sklepu Internetowego CARVERSE.PL.

Administratorem danych osobowych przetwarzanych w związku z funkcjonowaniem Sklepu jest:

Administrator nie wyznaczył Inspektora Ochrony Danych (IOD), ponieważ nie zachodzi żadna z przesłanek obligatoryjnego wyznaczenia określonych w art. 37 ust. 1 RODO. Wszelkie sprawy dotyczące danych osobowych należy kierować bezpośrednio do Administratora na dane wskazane powyżej.

Administrator prowadzi Rejestr Czynności Przetwarzania zgodnie z art. 30 RODO oraz - w zakresie danych powierzonych - Rejestr Kategorii Czynności Przetwarzania.

Administrator pozyskuje dane osobowe:

• bezpośrednio od osoby, której dane dotyczą - poprzez formularz zamówienia, formularz rejestracji konta, formularz kontaktowy, zapis do newslettera, wystawienie opinii, kontakt telefoniczny lub e-mailowy;
• od operatorów platform marketplace - w przypadku zamówień składanych za pośrednictwem serwisów Allegro, Amazon oraz eBay. Platformy te przekazują Administratorowi dane niezbędne do realizacji zamówienia (art. 14 RODO). Zakres tych danych obejmuje: imię i nazwisko lub nazwę firmy, adres dostawy, adres e-mail (często w postaci aliasu platformy), numer telefonu, numer zamówienia oraz - w przypadku faktur - NIP i adres rozliczeniowy. Z chwilą otrzymania tych danych Administrator staje się ich odrębnym administratorem w zakresie realizacji umowy sprzedaży;
• automatycznie - poprzez pliki cookies i podobne technologie podczas korzystania ze Sklepu (§ 14).

Operatorzy platform marketplace (Allegro sp. z o.o., Amazon Europe Core S.à r.l., eBay Marketplaces GmbH) są odrębnymi administratorami danych w zakresie prowadzonych przez siebie serwisów. Zasady przetwarzania danych przez te podmioty określają ich własne polityki prywatności.

W zależności od podejmowanych działań Administrator może przetwarzać następujące kategorie danych:

Administrator nie przetwarza szczególnych kategorii danych osobowych (tzw. danych wrażliwych) w rozumieniu art. 9 RODO ani danych dotyczących wyroków skazujących i naruszeń prawa.

Administrator nie przechowuje pełnych danych kart płatniczych. Autoryzacja płatności odbywa się w całości po stronie operatora płatności.

Podanie danych osobowych jest dobrowolne, jednak w określonych przypadkach jest warunkiem koniecznym:

• warunkiem umownym - podanie danych identyfikacyjnych, adresu dostawy i danych kontaktowych jest niezbędne do zawarcia i realizacji umowy sprzedaży. Konsekwencją ich niepodania jest brak możliwości złożenia zamówienia;
• wymogiem ustawowym - podanie danych niezbędnych do wystawienia faktury (w tym numeru NIP w przypadku przedsiębiorców) wynika z przepisów podatkowych. Konsekwencją ich niepodania jest brak możliwości wystawienia dokumentu księgowego;
• dobrowolne w pełni - podanie danych w celu zapisu do newslettera, wystawienia opinii lub wyrażenia zgód marketingowych. Ich niepodanie nie wpływa na możliwość złożenia zamówienia.

Dane osobowe mogą być przekazywane wyłącznie zaufanym odbiorcom, w zakresie niezbędnym do realizacji celów wskazanych w § 6. Każdy podmiot przetwarzający dane w imieniu Administratora działa na podstawie zawartej umowy powierzenia przetwarzania danych osobowych (art. 28 RODO) i przetwarza dane wyłącznie zgodnie z udokumentowanymi poleceniami Administratora.

Kategorie odbiorców danych:

Administrator nie sprzedaje, nie wymienia ani nie udostępnia danych osobowych podmiotom trzecim w celach marketingowych tych podmiotów.

Aktualna lista podmiotów przetwarzających dostępna jest na żądanie pod adresem biuro@carverse.pl.

W związku ze stosowaniem narzędzia Meta Pixel (piksel Facebooka) Administrator oraz Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irlandia) są współadministratorami danych osobowych w rozumieniu art. 26 RODO - w zakresie operacji zbierania i przekazywania danych do Meta w celu tworzenia statystyk, pomiaru konwersji oraz kierowania reklam.

Zakres i podział odpowiedzialności współadministratorów określa Załącznik dotyczący Administratora Danych (Controller Addendum) Meta, dostępny pod adresem facebook.com/legal/controller_addendum.

Zgodnie z tym uzgodnieniem Meta ponosi główną odpowiedzialność za realizację obowiązków wynikających z RODO wobec osób, których dane dotyczą, w zakresie przetwarzania danych po ich przekazaniu do Meta, w tym za realizację praw z art. 15-20 RODO.

Administrator odpowiada za: zapewnienie podstawy prawnej (uprzedniej zgody wyrażonej w banerze cookies) dla zbierania i przekazywania danych oraz za realizację obowiązku informacyjnego, którego realizacją jest niniejszy paragraf.

Zasady przetwarzania danych przez Meta opisane są w Zasadach ochrony prywatności Meta. Ustawienia reklam można zmienić pod adresem facebook.com/settings?tab=ads.

Meta Pixel uruchamiany jest wyłącznie po wyrażeniu zgody przez Użytkownika w banerze zgód. Zgodę można wycofać w każdej chwili poprzez zmianę ustawień cookies.

Co do zasady dane osobowe przetwarzane są na terytorium EOG. W określonych przypadkach dane mogą być przekazywane do państw trzecich w związku z korzystaniem z narzędzi dostawców mających siedzibę lub infrastrukturę poza EOG.

Podstawy prawne transferów:

Lista podmiotów certyfikowanych w ramach EU-U.S. Data Privacy Framework dostępna jest pod adresem dataprivacyframework.gov.

Kopię zabezpieczeń stosowanych przy transferze danych można uzyskać, kontaktując się z Administratorem pod adresem biuro@carverse.pl.

Przekazywanie danych poza EOG w celach marketingowych i analitycznych następuje wyłącznie po wyrażeniu przez Użytkownika zgody w banerze cookies.

Dane osobowe Użytkowników mogą podlegać profilowaniu w rozumieniu art. 4 pkt 4 RODO, polegającemu na zautomatyzowanej analizie zachowań w Sklepie (przeglądane towary, dodania do koszyka, dokonane zakupy) w celu:

• wyświetlania spersonalizowanych reklam w sieciach Google Ads i Meta (remarketing);
• prezentowania rekomendacji produktowych w Sklepie;
• dostosowania treści newslettera do zainteresowań odbiorcy.

Profilowanie w celach marketingowych odbywa się wyłącznie na podstawie zgody Użytkownika (art. 6 ust. 1 lit. a RODO), wyrażonej w banerze cookies. Zgodę można wycofać w każdej chwili, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Profilowanie stosowane przez Administratora nie wywołuje wobec Użytkownika skutków prawnych ani nie wpływa w podobnie istotny sposób na jego sytuację - nie jest wykorzystywane do podejmowania decyzji o zawarciu umowy, ustaleniu ceny ani odmowie realizacji zamówienia.

Administrator nie stosuje personalizacji cen w oparciu o zautomatyzowane podejmowanie decyzji, o której mowa w art. 12 ust. 1 pkt 5a ustawy o prawach konsumenta.

Administrator nie podejmuje wobec Użytkowników decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały (art. 22 RODO). Wyjątkiem mogą być zautomatyzowane mechanizmy antyfraudowe stosowane przez operatorów płatności - zasady ich działania określają polityki prywatności tych podmiotów.

Użytkownikowi przysługuje prawo do wniesienia sprzeciwu wobec profilowania na potrzeby marketingu bezpośredniego (art. 21 ust. 2 RODO) - sprzeciw ten ma charakter bezwzględny i Administrator jest zobowiązany go uwzględnić.

Każdej osobie, której dane dotyczą, przysługują następujące prawa:

Sposób realizacji praw. Żądanie można złożyć:

• e-mailem na adres: biuro@carverse.pl;
• pisemnie na adres: CARVERSE Adam Pasternak, ul. Tuwima 55/8, 59-900 Zgorzelec;
• w przypadku newslettera - poprzez kliknięcie linku rezygnacyjnego w stopce każdej wiadomości;
• w przypadku cookies - poprzez zmianę ustawień w banerze zgód lub w przeglądarce.

Administrator udziela odpowiedzi na żądanie bez zbędnej zwłoki, nie później niż w terminie 1 miesiąca od jego otrzymania. W razie potrzeby termin może zostać przedłużony o kolejne 2 miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań - o przedłużeniu Administrator informuje w terminie miesiąca od otrzymania żądania, podając przyczyny opóźnienia.

Realizacja praw jest nieodpłatna. W przypadku żądań ewidentnie nieuzasadnionych lub nadmiernych, w szczególności ze względu na ich ustawiczny charakter, Administrator może pobrać rozsądną opłatę albo odmówić podjęcia działań (art. 12 ust. 5 RODO).

Administrator może zwrócić się o dodatkowe informacje pozwalające zidentyfikować osobę składającą żądanie, jeżeli ma uzasadnione wątpliwości co do jej tożsamości (art. 12 ust. 6 RODO).

Osobie, której dane dotyczą, przysługuje prawo wniesienia skargi do organu nadzorczego, którym w Polsce jest:

Skargę można wnieść, jeżeli osoba, której dane dotyczą, uzna, że przetwarzanie jej danych narusza przepisy RODO.

Osobie, której dane dotyczą, przysługuje również prawo do skutecznego środka ochrony prawnej przed sądem (art. 79 RODO) oraz prawo do odszkodowania za szkodę majątkową lub niemajątkową poniesioną w wyniku naruszenia RODO (art. 82 RODO).

Sklep wykorzystuje pliki cookies (ciasteczka) - niewielkie pliki tekstowe zapisywane na urządzeniu końcowym Użytkownika - oraz podobne technologie (local storage, piksele śledzące).

Administrator stosuje następujące kategorie plików cookies:

• Niezbędne - konieczne do prawidłowego działania Sklepu (sesja, koszyk, logowanie, bezpieczeństwo, zapamiętanie wyboru zgód). Podstawa: art. 6 ust. 1 lit. f RODO oraz art. 173 ust. 3 Prawa telekomunikacyjnego - nie wymagają zgody;
• Analityczne / statystyczne - Google Analytics 4. Służą do mierzenia ruchu i sposobu korzystania ze Sklepu. Wymagają zgody;
• Marketingowe / reklamowe - Google Ads oraz Meta Pixel. Służą do pomiaru skuteczności reklam, remarketingu i budowania grup odbiorców. Wymagają zgody;
• Funkcjonalne - zapamiętanie preferencji Użytkownika (np. waluta, ostatnio oglądane towary). Wymagają zgody.

Pliki cookies inne niż niezbędne są instalowane wyłącznie po wyrażeniu uprzedniej, dobrowolnej i świadomej zgody Użytkownika w banerze zgód, zgodnie z art. 173 ust. 1 ustawy Prawo telekomunikacyjne oraz art. 6 ust. 1 lit. a RODO. Do momentu wyrażenia zgody skrypty analityczne i marketingowe pozostają nieaktywne.

Administrator stosuje Google Consent Mode v2, dzięki czemu narzędzia Google i Meta respektują wybory dokonane przez Użytkownika w banerze zgód.

Zgodę można w każdej chwili wycofać lub zmienić poprzez panel ustawień cookies dostępny w Sklepie (link „Ustawienia cookies" w stopce) lub poprzez usunięcie plików cookies w ustawieniach przeglądarki.

Użytkownik może samodzielnie zarządzać plikami cookies w ustawieniach swojej przeglądarki, w tym całkowicie je zablokować. Ograniczenie stosowania plików cookies może wpłynąć na niektóre funkcjonalności Sklepu.

Szczegółowy wykaz stosowanych plików cookies wraz z okresami ich ważności zawiera Polityka Cookies.

Administrator wdraża odpowiednie środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw i wolności osób fizycznych (art. 32 RODO), w szczególności:

• szyfrowanie transmisji danych protokołem SSL/TLS;
• przechowywanie haseł wyłącznie w postaci skrótów kryptograficznych (hash);
• kontrolę dostępu do danych w oparciu o zasadę minimalnych uprawnień;
• uwierzytelnianie wieloskładnikowe (MFA) do paneli administracyjnych;
• regularne kopie zapasowe;
• zobowiązanie osób upoważnionych do przetwarzania danych do zachowania poufności;
• zawieranie umów powierzenia przetwarzania z wszystkimi procesorami;
• okresowy przegląd i aktualizację stosowanych zabezpieczeń.

W przypadku naruszenia ochrony danych osobowych Administrator zgłasza je Prezesowi UODO bez zbędnej zwłoki, nie później niż w terminie 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 RODO).

Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, Administrator zawiadamia o nim również osoby, których dane dotyczą, bez zbędnej zwłoki (art. 34 RODO).

Administrator zaleca Użytkownikom stosowanie silnych, unikalnych haseł do konta w Sklepie oraz nieudostępnianie ich osobom trzecim.

Sklep nie jest skierowany do osób poniżej 16. roku życia i Administrator nie zbiera świadomie danych osobowych takich osób.

Usługi świadczone drogą elektroniczną, w szczególności newsletter, są kierowane wyłącznie do osób, które ukończyły 16 lat. W przypadku osób poniżej 16. roku życia przetwarzanie danych na podstawie zgody wymaga zgody lub aprobaty osoby sprawującej władzę rodzicielską lub opiekę (art. 8 RODO w zw. z art. 8 ustawy o ochronie danych osobowych).

W przypadku powzięcia informacji o przetwarzaniu danych osoby poniżej 16. roku życia bez wymaganej zgody, Administrator niezwłocznie usunie takie dane. Zgłoszenia w tej sprawie należy kierować na adres biuro@carverse.pl.

Administrator zastrzega sobie prawo do zmiany niniejszej Polityki Prywatności w przypadku: zmiany przepisów prawa, zmiany zakresu lub sposobu przetwarzania danych, wdrożenia nowych narzędzi lub usług, zmiany podmiotów przetwarzających albo w celu doprecyzowania treści.

O istotnych zmianach Administrator poinformuje Użytkowników posiadających konto lub subskrybujących newsletter drogą elektroniczną, z co najmniej 14-dniowym wyprzedzeniem, a pozostałych Użytkowników poprzez komunikat w Sklepie.

Aktualna wersja Polityki wraz z datą jej obowiązywania jest zawsze dostępna w Sklepie. Archiwalne wersje udostępniane są na żądanie.

Zmiana Polityki nie może prowadzić do ograniczenia praw przysługujących osobom, których dane dotyczą, na podstawie RODO.

We wszystkich sprawach dotyczących przetwarzania danych osobowych, w tym w celu realizacji przysługujących praw, prosimy o kontakt:

W tytule wiadomości prosimy o wskazanie: „RODO - [rodzaj żądania]", co przyspieszy rozpatrzenie sprawy.