POLITYKA PRYWATNOŚCI I COOKIES NEROMA

obowiązująca od dnia 17 sierpnia 2026 r.

1. Postanowienia ogólne

1. Niniejsza Polityka Prywatności i Cookies określa zasady przetwarzania danych osobowych w związku z korzystaniem ze Sklepu Internetowego Neroma dostępnego pod adresem www.neroma.pl, w szczególności w związku ze:

   1. składaniem i realizacją Zamówień;

   2. dokonywaniem płatności;

   3. dostawą Towarów;

   4. wystawianiem dokumentów sprzedaży;

   5. składaniem reklamacji oraz oświadczeń o odstąpieniu od Umowy;

   6. kontaktowaniem się z Neroma;

   7. korzystaniem z Newslettera, jeżeli usługa ta została uruchomiona;

   8. korzystaniem z profili Neroma w mediach społecznościowych;

   9. korzystaniem ze strony internetowej oraz plików cookies i podobnych technologii.

2. Polityka służy w szczególności wykonaniu obowiązków informacyjnych wynikających z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, zwanego dalej „RODO”, oraz przekazaniu informacji dotyczących stosowania plików cookies i innych technologii podlegających przepisom Prawa komunikacji elektronicznej.

3. Politykę należy czytać łącznie z Regulaminem Sklepu Internetowego Neroma, jeżeli dana osoba korzysta ze Sklepu lub zawiera Umowę ze Sprzedawcą.

4. Terminy pisane wielką literą, które nie zostały zdefiniowane odrębnie w niniejszej Polityce, mają znaczenie określone w Regulaminie Sklepu Internetowego Neroma.

2. Administrator danych osobowych

1. Administratorem danych osobowych jest:

Arkadiusz Gruszka, prowadzący działalność gospodarczą wpisaną do Centralnej Ewidencji i Informacji o Działalności Gospodarczej,

adres miejsca wykonywania działalności i adres do korespondencji:

ul. Graniczna 20
64-100 Przybyszewo

NIP: 6972399926
REGON: 528497983

e-mail: biuro@neroma.pl
tel.: +48 733 084 150

zwany dalej „Administratorem”.

2. We wszystkich sprawach dotyczących ochrony danych osobowych można kontaktować się z Administratorem:

   1. pocztą elektroniczną: biuro@neroma.pl;

   2. pisemnie: ul. Graniczna 20, 64-100 Przybyszewo.

3. Podstawowe zasady przetwarzania danych

Administrator przetwarza dane osobowe zgodnie z zasadami wynikającymi z RODO, w szczególności:

1. zgodnie z prawem, rzetelnie i w sposób przejrzysty;

2. w jasno określonych i prawnie uzasadnionych celach;

3. w zakresie adekwatnym, stosownym i ograniczonym do tego, co niezbędne;

4. dbając o prawidłowość danych;

5. przez okres nie dłuższy, niż jest to konieczne dla danego celu, chyba że dalsze przechowywanie wynika z przepisów prawa albo jest konieczne do ustalenia, dochodzenia lub obrony roszczeń;

6. z zastosowaniem odpowiednich środków technicznych i organizacyjnych służących ochronie danych.

4. Źródła danych osobowych

1. Administrator pozyskuje dane osobowe przede wszystkim bezpośrednio od osoby, której dane dotyczą, w szczególności podczas:

   1. składania Zamówienia;

   2. korzystania z formularzy;

   3. korespondencji e-mailowej;

   4. składania reklamacji;

   5. odstępowania od Umowy;

   6. zapisywania się do Newslettera;

   7. kontaktowania się z Neroma w mediach społecznościowych.

2. W określonych przypadkach Administrator może otrzymać dane również z innych źródeł, w szczególności:

   1. od operatora płatności – np. informacje dotyczące statusu płatności;

   2. od banku – informacje dotyczące przelewu;

   3. od przewoźnika – informacje dotyczące realizacji lub problemów z dostawą;

   4. od platform społecznościowych – dane związane z komentarzami, reakcjami, wiadomościami i korzystaniem z profilu Neroma;

   5. ze źródeł publicznie dostępnych – w zakresie, w jakim dana osoba sama upubliczniła dane, np. poprzez publiczny komentarz lub opinię w mediach społecznościowych.

3. Jeżeli dane osobowe nie zostały uzyskane bezpośrednio od osoby, Administrator wykonuje obowiązek informacyjny zgodnie z art. 14 RODO, w wymaganym terminie, chyba że zachodzi jeden z przewidzianych prawem wyjątków, w szczególności gdy osoba posiada już wymagane informacje.

5. Zakres przetwarzanych danych

W zależności od rodzaju relacji z Administratorem przetwarzane mogą być w szczególności:

1. dane identyfikacyjne, takie jak:

   • imię;

   • nazwisko;

   • firma;

2. dane kontaktowe, takie jak:

   • adres e-mail;

   • numer telefonu;

   • adres zamieszkania, korespondencyjny lub dostawy;

3. dane dotyczące działalności gospodarczej i fakturowania, takie jak:

   • firma;

   • adres;

   • NIP;

   • dane wymagane do wystawienia faktury;

4. dane dotyczące Zamówienia, takie jak:

   • numer Zamówienia;

   • zakupione Towary;

   • wariant i ilość Towarów;

   • cena;

   • data Zamówienia;

   • sposób dostawy;

   • sposób płatności;

   • status realizacji;

5. dane dotyczące płatności, takie jak:

   • wybrany sposób płatności;

   • status transakcji;

   • informacje o dokonanym przelewie lub płatności przekazane Administratorowi przez bank albo operatora płatności;

6. dane dotyczące dostawy, takie jak:

   • dane odbiorcy;

   • adres dostawy;

   • adres wybranego punktu lub automatu paczkowego;

   • numer telefonu;

   • adres e-mail;

   • numer przesyłki;

7. dane zawarte w korespondencji, w tym:

   • treść wiadomości;

   • informacje podane w formularzu;

   • dokumenty i załączniki przesłane przez osobę;

8. dane związane z reklamacjami i odstąpieniami od Umowy, w tym:

   • treść zgłoszenia;

   • informacje o Towarze;

   • zdjęcia;

   • nagrania;

   • dokumentacja przesyłki;

   • informacje potrzebne do dokonania zwrotu;

9. dane Newslettera, w szczególności:

   • adres e-mail;

   • imię, jeżeli pole takie będzie wykorzystywane;

   • informacje dotyczące udzielenia, potwierdzenia lub cofnięcia zgody;

10. dane z mediów społecznościowych, w szczególności:

• nazwa profilu;

• publiczne zdjęcie profilowe;

• komentarze;

• reakcje;

• treść wiadomości;

• inne informacje udostępnione Administratorowi przez użytkownika lub platformę;

11. dane techniczne, w szczególności:

• adres IP;

• informacje dotyczące przeglądarki;

• systemu operacyjnego;

• urządzenia;

• logów technicznych;

• czasu i sposobu korzystania ze strony;

12. identyfikatory i informacje pochodzące z plików cookies lub podobnych technologii, jeżeli są wykorzystywane i – gdy jest to wymagane – użytkownik udzielił odpowiedniej zgody.

6. Zamówienia i realizacja Umowy

1. Dane Klienta są przetwarzane w celu:

   1. przyjęcia Zamówienia;

   2. podjęcia działań przed zawarciem Umowy;

   3. zawarcia Umowy;

   4. wykonania Umowy;

   5. kontaktu dotyczącego realizacji Zamówienia;

   6. przygotowania Towaru;

   7. organizacji dostawy.

2. Podstawą przetwarzania jest art. 6 ust. 1 lit. b RODO – niezbędność przetwarzania do wykonania Umowy lub podjęcia działań na żądanie osoby przed jej zawarciem.

3. Podanie danych niezbędnych do realizacji Zamówienia jest dobrowolne, ale konieczne do zawarcia i wykonania Umowy. Niepodanie wymaganych danych może uniemożliwić realizację Zamówienia.

4. Dane związane z Umową są przetwarzane przez okres jej realizacji, a po jej wykonaniu mogą być przechowywane:

   1. przez okres wymagany przepisami podatkowymi, księgowymi lub innymi przepisami prawa;

   2. do czasu upływu terminów przedawnienia roszczeń związanych z Umową;

   3. dłużej, jeżeli jest to konieczne w związku z toczącym się postępowaniem, sporem lub obowiązkiem prawnym.

7. Płatności

1. W przypadku płatności elektronicznych dane niezbędne do obsługi płatności mogą być przekazywane operatorowi płatności Stripe.

2. W przypadku tradycyjnego przelewu dane związane z płatnością są przetwarzane również przez bank obsługujący rachunek Administratora.

3. Administrator nie otrzymuje ani nie przechowuje pełnych danych karty płatniczej, jeżeli są one wprowadzane bezpośrednio w środowisku operatora płatności.

4. Administrator może otrzymać w szczególności:

   1. informację o statusie transakcji;

   2. identyfikator płatności;

   3. dane niezbędne do powiązania płatności z Zamówieniem.

5. Podstawą przetwarzania po stronie Administratora jest:

   1. art. 6 ust. 1 lit. b RODO – wykonanie Umowy;

   2. art. 6 ust. 1 lit. c RODO – w zakresie wynikającym z obowiązków prawnych, np. rachunkowych lub podatkowych;

   3. art. 6 ust. 1 lit. f RODO – w zakresie niezbędnym do wyjaśniania nieprawidłowości płatniczych, zapobiegania nadużyciom oraz ustalania, dochodzenia lub obrony roszczeń.

6. Bank i operator płatności mogą w określonym zakresie działać jako odrębni administratorzy danych i przetwarzać dane zgodnie z własnymi obowiązkami prawnymi.

8. Dostawa

1. Dane potrzebne do realizacji dostawy są przekazywane wybranemu przewoźnikowi.

2. Dotyczy to również sytuacji, w której Administrator ręcznie zleca przesyłkę przewoźnikowi, bez automatycznej integracji systemu przewoźnika ze Sklepem.

3. Zakres danych przekazywanych przewoźnikowi może obejmować w szczególności:

   1. imię i nazwisko odbiorcy;

   2. adres dostawy albo dane punktu lub automatu odbioru;

   3. numer telefonu;

   4. adres e-mail;

   5. dane potrzebne do identyfikacji przesyłki.

4. Podstawą przetwarzania po stronie Administratora jest art. 6 ust. 1 lit. b RODO – wykonanie Umowy.

5. Przewoźnik może przetwarzać przekazane dane jako odrębny administrator w zakresie wynikającym z jego własnych obowiązków oraz zasad świadczenia usługi przewozowej.

9. Faktury, księgowość i KSeF

1. Administrator przetwarza dane w celu:

   1. wystawiania i przechowywania dokumentów sprzedaży;

   2. prowadzenia ewidencji podatkowej i księgowej;

   3. realizacji obowiązków dotyczących podatku VAT;

   4. realizacji obowiązków związanych z Krajowym Systemem e-Faktur;

   5. wykonywania innych obowiązków wynikających z przepisów podatkowych i rachunkowych.

2. Administrator korzysta obecnie z systemu Fakturownia oraz z usług zewnętrznego podmiotu świadczącego obsługę księgową.

3. Fakturownia może być wykorzystywana również do obsługi wymiany danych z Krajowym Systemem e-Faktur.

4. Podstawą przetwarzania jest art. 6 ust. 1 lit. c RODO – wypełnianie obowiązku prawnego ciążącego na Administratorze.

5. Dane zawarte w dokumentacji księgowej i podatkowej są przechowywane przez okres wymagany obowiązującymi przepisami.

6. Faktury ustrukturyzowane przesłane do Krajowego Systemu e-Faktur są przechowywane w KSeF przez okres wynikający z przepisów regulujących działanie tego systemu.

7. Dane mogą być przekazywane:

   1. dostawcy programu fakturowego;

   2. podmiotowi świadczącemu usługi księgowe;

   3. właściwym organom Krajowej Administracji Skarbowej, w tym za pośrednictwem Krajowego Systemu e-Faktur;

   4. innym organom publicznym, jeżeli obowiązek przekazania danych wynika z prawa.

10. Reklamacje, odstąpienia i pozostałe uprawnienia Klienta

1. Dane są przetwarzane w celu:

   1. rozpatrywania reklamacji;

   2. obsługi odstąpienia od Umowy;

   3. realizacji zwrotów;

   4. wyjaśniania uszkodzeń Towaru lub przesyłki;

   5. wykonywania praw i obowiązków wynikających z Umowy;

   6. ustalenia, dochodzenia albo obrony roszczeń.

2. Podstawami przetwarzania są, zależnie od sytuacji:

   1. art. 6 ust. 1 lit. b RODO – wykonanie Umowy;

   2. art. 6 ust. 1 lit. c RODO – wykonanie obowiązków prawnych Administratora;

   3. art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na dokumentowaniu przebiegu sprawy oraz ustalaniu, dochodzeniu i obronie roszczeń.

3. Klient może dobrowolnie przesłać zdjęcia, nagrania i inne materiały ułatwiające ocenę zgłoszenia.

4. Dane są przetwarzane przez czas potrzebny do rozpatrzenia sprawy, a następnie przez okres potrzebny do wykonania obowiązków prawnych lub upływu terminów przedawnienia roszczeń.

11. Szczególne kategorie danych, w tym informacje dotyczące zdrowia

1. Administrator co do zasady nie żąda przekazywania szczególnych kategorii danych osobowych, w tym danych dotyczących zdrowia.

2. Ze względu na charakter Towarów może jednak zdarzyć się, że Klient z własnej inicjatywy zawrze w reklamacji, roszczeniu albo korespondencji informację dotyczącą swojego zdrowia, np. opis reakcji organizmu.

3. Jeżeli dane takie nie są potrzebne do rozpatrzenia sprawy, Administrator w miarę możliwości:

   1. nie wykorzystuje ich do innych celów;

   2. ogranicza ich zakres;

   3. usuwa je lub anonimizuje, jeżeli nie ma podstawy do dalszego przetwarzania.

4. Jeżeli przetwarzanie danych dotyczących zdrowia jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń, podstawą przetwarzania szczególnej kategorii danych jest art. 9 ust. 2 lit. f RODO, w związku z właściwą podstawą z art. 6 RODO.

5. Jeżeli podstawą przetwarzania szczególnych kategorii danych miałaby być wyraźna zgoda osoby, Administrator pozyska taką zgodę zgodnie z wymaganiami RODO.

12. Kontakt i korespondencja

1. Dane przekazane Administratorowi:

   1. pocztą elektroniczną;

   2. telefonicznie;

   3. za pośrednictwem formularza kontaktowego;

   4. za pośrednictwem mediów społecznościowych

mogą być przetwarzane w celu prowadzenia korespondencji, udzielenia odpowiedzi oraz załatwienia sprawy, której dotyczy kontakt.

2. Jeżeli kontakt zmierza do zawarcia Umowy lub dotyczy jej wykonywania, podstawą przetwarzania jest art. 6 ust. 1 lit. b RODO.

3. W pozostałych przypadkach podstawą jest art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na:

   1. komunikowaniu się z osobami zainteresowanymi działalnością Neroma;

   2. udzielaniu odpowiedzi na pytania;

   3. prowadzeniu korespondencji biznesowej;

   4. dokumentowaniu istotnej korespondencji.

4. Dane zawarte w zwykłej korespondencji są przechowywane przez czas potrzebny do załatwienia sprawy.

5. Po zakończeniu sprawy Administrator okresowo weryfikuje zasadność dalszego przechowywania korespondencji i usuwa ją, gdy nie jest już potrzebna, chyba że:

   1. stanowi ona część dokumentacji Umowy;

   2. dotyczy reklamacji;

   3. jest potrzebna do wykazania określonych okoliczności;

   4. jej dalsze przechowywanie jest uzasadnione możliwością powstania roszczeń;

   5. obowiązek jej przechowywania wynika z prawa.

6. Administrator nie przyjmuje jednego sztywnego okresu retencji dla całej korespondencji, jeżeli charakter poszczególnych spraw uzasadnia różne okresy jej przechowywania.

13. Newsletter i marketing elektroniczny

1. Jeżeli Newsletter Neroma zostanie uruchomiony, zapis do niego będzie dobrowolny i niezależny od możliwości dokonania zakupu.

2. Newsletter może zawierać w szczególności:

   1. informacje o nowych Towarach;

   2. informacje związane z marką Neroma;

   3. materiały informacyjne;

   4. informacje o promocjach;

   5. kody rabatowe;

   6. informacje handlowe i marketingowe.

3. Administrator może korzystać do obsługi Newslettera z systemu MailerLite.

4. Podstawą przetwarzania danych osobowych w celu prowadzenia Newslettera jest art. 6 ust. 1 lit. a RODO – zgoda.

5. Wykorzystywanie poczty elektronicznej do przesyłania informacji handlowej, w tym marketingu bezpośredniego, odbywa się po uzyskaniu uprzedniej zgody wymaganej przez obowiązujące przepisy Prawa komunikacji elektronicznej.

6. Formularz zapisu powinien jasno wskazywać, na jaki rodzaj komunikacji zapisuje się użytkownik.

7. Zgoda może zostać cofnięta w dowolnym momencie, w szczególności poprzez:

   1. skorzystanie z linku rezygnacji w wiadomości;

   2. kontakt na adres biuro@neroma.pl.

8. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

9. Dane są wykorzystywane do wysyłki Newslettera do czasu:

   1. cofnięcia zgody;

   2. wniesienia właściwego sprzeciwu, jeżeli ma zastosowanie;

   3. zakończenia świadczenia usługi Newslettera.

10. Po rezygnacji Administrator może zachować ograniczony zakres informacji dotyczących udzielonej i cofniętej zgody, jeżeli jest to potrzebne:

11. do wykazania zgodności działania Administratora z prawem;

12. do respektowania rezygnacji użytkownika;

13. do ustalenia, dochodzenia lub obrony roszczeń.

14. Dane zachowane w takim celu nie są wykorzystywane do dalszej wysyłki marketingowej.

14. Kod rabatowy za zapis do Newslettera

1. Administrator może oferować kod rabatowy lub inną korzyść w związku z zapisaniem się do Newslettera.

2. Informacja o takiej korzyści nie zmienia dobrowolnego charakteru zgody na Newsletter.

3. Przed zapisem użytkownik jest informowany:

   1. że zapis oznacza zgodę na określoną komunikację;

   2. jakie treści mogą być przesyłane;

   3. że zgodę można cofnąć w dowolnym momencie.

4. Szczegółowe zasady wykorzystania kodu rabatowego mogą być określone w komunikacie towarzyszącym promocji.

15. Opinie i rekomendacje

1. Administrator może publikować w Sklepie opinie lub rekomendacje dotyczące Neroma albo Towarów.

2. Jeżeli opinia pochodzi z zewnętrznego źródła, np. Facebooka, Administrator nie będzie przedstawiał jej jako opinii pochodzącej ze zweryfikowanego zakupu, jeżeli zakup nie został rzeczywiście zweryfikowany.

3. Jeżeli Administrator zamierza opublikować na stronie opinię pochodzącą z mediów społecznościowych wraz z danymi umożliwiającymi identyfikację autora, w szczególności:

   1. imieniem i nazwiskiem;

   2. nazwą profilu;

   3. zdjęciem profilowym;

   4. wizerunkiem,

publikacja nastąpi na odpowiedniej podstawie prawnej, w szczególności po uzyskaniu zgody autora, jeżeli zgoda jest wymagana.

4. W przypadku przetwarzania danych na podstawie zgody podstawą jest art. 6 ust. 1 lit. a RODO.

5. Autor może cofnąć zgodę zgodnie z zasadami określonymi w RODO.

6. Jeżeli opinia zostanie skutecznie i trwale zanonimizowana w taki sposób, że nie jest możliwe zidentyfikowanie jej autora przy użyciu rozsądnie dostępnych środków, nie stanowi ona danych osobowych.

16. Media społecznościowe

1. Administrator prowadzi lub może prowadzić profile Neroma w szczególności w serwisach:

   1. Facebook;

   2. Instagram;

   3. TikTok.

2. Administrator może przetwarzać dane osób, które:

   1. obserwują profile Neroma;

   2. reagują na publikowane treści;

   3. komentują publikacje;

   4. udostępniają treści;

   5. wysyłają prywatne wiadomości;

   6. w inny sposób kontaktują się z Neroma za pośrednictwem platformy.

3. Dane mogą obejmować w szczególności:

   1. identyfikator lub nazwę profilu;

   2. imię i nazwisko, jeżeli jest widoczne;

   3. zdjęcie profilowe;

   4. publiczne informacje z profilu;

   5. treść komentarza lub wiadomości;

   6. informacje dotyczące reakcji lub innej interakcji.

4. Źródłem tych danych jest:

   1. osoba korzystająca z platformy;

   2. operator danej platformy;

   3. w zakresie publicznych danych – publicznie dostępny profil lub treść opublikowana przez użytkownika.

5. Podstawą przetwarzania przez Administratora jest przede wszystkim art. 6 ust. 1 lit. f RODO, tj. prawnie uzasadniony interes polegający na:

   1. prowadzeniu profilu marki;

   2. komunikacji z użytkownikami;

   3. budowaniu społeczności;

   4. odpowiadaniu na komentarze i wiadomości;

   5. promowaniu działalności Neroma;

   6. ochronie praw Administratora.

6. Jeżeli wiadomość dotyczy zawarcia lub realizacji Umowy, podstawą może być również art. 6 ust. 1 lit. b RODO.

7. Operatorzy platform przetwarzają dane również na własnych zasadach i we własnych celach jako odrębni administratorzy.

8. W określonych przypadkach, w szczególności w zakresie statystyk udostępnianych administratorom profili, Administrator i operator platformy mogą działać jako współadministratorzy w zakresie wynikającym z przepisów i warunków danej platformy.

9. Administrator nie ma pełnej kontroli nad:

   1. zakresem danych zbieranych przez operatora platformy;

   2. okresem ich przechowywania;

   3. dalszym wykorzystywaniem danych przez operatora.

10. Strona www.neroma.pl może zawierać zwykłe odnośniki prowadzące do profili Neroma w mediach społecznościowych.

11. Samo umieszczenie zwykłego odnośnika nie oznacza osadzenia na stronie feedu, komentarzy ani innych funkcji danej platformy.

17. Bezpieczeństwo strony i logi techniczne

1. Podczas korzystania ze strony mogą być automatycznie generowane dane techniczne i logi systemowe.

2. Dane te mogą być przetwarzane w celu:

   1. zapewnienia prawidłowego działania strony;

   2. zapewnienia bezpieczeństwa;

   3. wykrywania awarii;

   4. ochrony przed nieuprawnionym dostępem;

   5. zapobiegania nadużyciom;

   6. diagnozowania błędów.

3. Podstawą przetwarzania jest art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na ochronie strony internetowej, systemów, danych i użytkowników.

4. Dane techniczne są przechowywane przez okres wynikający z ich funkcji oraz konfiguracji infrastruktury technicznej, a w przypadku incydentu – przez okres niezbędny do jego wyjaśnienia i ewentualnego dochodzenia roszczeń.

18. Odbiorcy danych osobowych

1. Administrator korzysta z usług zewnętrznych podmiotów wspierających prowadzenie Sklepu i działalności Neroma.

2. Dane mogą być ujawniane lub powierzane – zależnie od konkretnej sytuacji – w szczególności:

   1. Hostinger – jako dostawcy hostingu, domeny oraz platformy Sklepu;

   2. dostawcy poczty elektronicznej;

   3. Stripe – w związku z obsługą płatności elektronicznych;

   4. bankowi obsługującemu rachunek Administratora;

   5. przewoźnikom, w szczególności podmiotowi realizującemu wybraną dostawę;

   6. Fakturownia – jako dostawcy systemu fakturowania;

   7. zewnętrznemu podmiotowi świadczącemu usługi księgowe;

   8. MailerLite – jeżeli Administrator korzysta z tego systemu w celu obsługi Newslettera;

   9. dostawcom usług informatycznych, serwisowych i administracyjnych;

   10. dostawcom narzędzi wykorzystywanych do obsługi strony, jeżeli zostaną wdrożone;

   11. kancelariom prawnym, doradcom, ubezpieczycielom, podmiotom windykacyjnym i innym profesjonalnym usługodawcom – w zakresie, w jakim ich udział jest konieczny;

   12. właściwym organom publicznym, jeżeli obowiązek udostępnienia danych wynika z prawa;

   13. operatorom serwisów społecznościowych – w związku z korzystaniem z tych platform.

3. Nie każdy z wymienionych podmiotów otrzymuje wszystkie dane.

4. Zakres danych udostępnianych odbiorcy jest ograniczony do danych potrzebnych do realizacji danego celu.

5. W zależności od charakteru danej usługi podmioty zewnętrzne mogą działać jako:

   1. podmioty przetwarzające dane w imieniu Administratora;

   2. odrębni administratorzy;

   3. w szczególnych przypadkach – współadministratorzy.

19. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Ze względu na korzystanie z międzynarodowych dostawców usług technologicznych określone dane mogą być przetwarzane poza Europejskim Obszarem Gospodarczym.

2. Dotyczyć może to w szczególności infrastruktury lub podwykonawców dostawców takich jak:

   1. Hostinger;

   2. Stripe;

   3. MailerLite;

   4. operatorzy mediów społecznościowych;

   5. inni dostawcy technologiczni, jeżeli zostaną w przyszłości wdrożeni.

3. Administrator korzysta z dostawców zapewniających podstawę prawną międzynarodowego transferu danych zgodną z rozdziałem V RODO.

4. W zależności od konkretnego transferu podstawę mogą stanowić w szczególności:

   1. decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony;

   2. standardowe klauzule umowne Komisji Europejskiej (SCC);

   3. EU–US Data Privacy Framework, jeżeli odbiorca posiada ważną certyfikację i mechanizm ten ma zastosowanie;

   4. inne rozwiązanie przewidziane w RODO.

5. Hostinger przewiduje stosowanie standardowych klauzul umownych w odniesieniu do właściwych transferów danych poza EOG do państw, wobec których Komisja Europejska nie stwierdziła odpowiedniego poziomu ochrony.

6. MailerLite przewiduje stosowanie standardowych klauzul umownych dla właściwych transferów danych objętych RODO poza Europę.

7. Stripe stosuje mechanizmy międzynarodowych transferów określone w jego dokumentacji dotyczącej ochrony danych, w tym – w odpowiednich przypadkach – EU–US Data Privacy Framework oraz inne zabezpieczenia przewidziane prawem.

8. Informacje o konkretnym mechanizmie transferu mającym zastosowanie do danych danej osoby można uzyskać, kontaktując się z Administratorem pod adresem biuro@neroma.pl.

9. Jeżeli transfer odbywa się na podstawie odpowiednich zabezpieczeń przewidzianych w RODO, osoba może zwrócić się do Administratora o informację dotyczącą możliwości uzyskania kopii tych zabezpieczeń albo wskazania miejsca, w którym są one dostępne.

20. Pliki cookies i podobne technologie

20.1. Czym są cookies

1. Pliki cookies są niewielkimi informacjami zapisywanymi w urządzeniu użytkownika albo odczytywanymi z tego urządzenia podczas korzystania ze strony.

2. Podobne cele mogą realizować również inne technologie, np. pamięć lokalna przeglądarki, identyfikatory internetowe lub inne mechanizmy wykorzystywane przez stronę i jej dostawców.

3. Nie każda informacja techniczna stanowi dane osobowe, jednak część identyfikatorów i informacji uzyskiwanych za pomocą cookies może stanowić dane osobowe w rozumieniu RODO.

20.2. Cookies niezbędne

1. Sklep może wykorzystywać cookies i podobne technologie niezbędne do:

   1. prawidłowego działania strony;

   2. działania koszyka;

   3. przeprowadzenia procesu Zamówienia;

   4. zapewnienia bezpieczeństwa;

   5. zapamiętania preferencji dotyczących prywatności i zgód;

   6. działania innych funkcji wyraźnie żądanych przez użytkownika.

2. Jeżeli przechowywanie informacji lub uzyskiwanie do niej dostępu jest konieczne do wykonania transmisji albo dostarczenia usługi elektronicznej żądanej przez użytkownika, nie jest wymagana zgoda przewidziana dla niekoniecznych cookies.

3. Jeżeli informacje uzyskiwane za pomocą cookies niezbędnych stanowią dane osobowe, podstawą ich przetwarzania na gruncie RODO może być – zależnie od konkretnego celu:

   1. art. 6 ust. 1 lit. b RODO – jeżeli przetwarzanie jest konieczne do wykonania usługi lub Umowy;

   2. art. 6 ust. 1 lit. c RODO – jeżeli dane są potrzebne do wykonania obowiązku prawnego, np. wykazania zarządzania zgodą;

   3. art. 6 ust. 1 lit. f RODO – np. w celu zapewnienia bezpieczeństwa i prawidłowego działania strony.

20.3. Cookies analityczne i statystyczne

1. Jeżeli Administrator wdroży narzędzia analityczne wykorzystujące niekonieczne cookies lub podobne technologie, mogą być one wykorzystywane m.in. do:

   1. ustalania liczby odwiedzin;

   2. analizowania popularności podstron;

   3. ustalania źródeł ruchu;

   4. analizowania sposobu korzystania ze strony;

   5. poprawy funkcjonalności Sklepu.

2. Niekonieczne cookies analityczne są uruchamiane dopiero po uzyskaniu zgody użytkownika, jeżeli zgoda jest wymagana przez obowiązujące przepisy.

3. Jeżeli za ich pomocą przetwarzane są dane osobowe, podstawą przetwarzania na gruncie RODO jest art. 6 ust. 1 lit. a RODO – zgoda.

20.4. Cookies marketingowe

1. Jeżeli Administrator w przyszłości uruchomi rozwiązania marketingowe lub reklamowe wymagające zapisu lub odczytu informacji z urządzenia użytkownika, mogą one służyć m.in. do:

   1. mierzenia skuteczności reklam;

   2. tworzenia grup odbiorców;

   3. remarketingu;

   4. dopasowania reklam;

   5. analizy skuteczności kampanii.

2. Narzędzia takie nie są uruchamiane przed uzyskaniem wymaganej zgody.

3. Jeżeli informacje zbierane za pomocą tych technologii stanowią dane osobowe, podstawą przetwarzania na gruncie RODO jest art. 6 ust. 1 lit. a RODO – zgoda.

20.5. Zarządzanie zgodą na cookies

1. Jeżeli strona wykorzystuje niekonieczne cookies lub podobne technologie, przed ich uruchomieniem użytkownik otrzymuje informację umożliwiającą podjęcie świadomej decyzji.

2. Użytkownik powinien mieć możliwość:

   1. zaakceptowania niekoniecznych cookies;

   2. odmowy ich zastosowania;

   3. wyboru poszczególnych kategorii – jeżeli panel zgód oferuje taką możliwość.

3. Odmowa niekoniecznych cookies nie powinna uniemożliwiać korzystania z podstawowych funkcjonalności Sklepu.

4. Zgoda nie może być domyślnie zaznaczona ani wynikać z samej bezczynności użytkownika.

5. Użytkownik może cofnąć lub zmienić zgodę w dowolnym momencie za pomocą mechanizmu zarządzania cookies dostępnego na stronie.

6. Cofnięcie zgody powinno być możliwe w sposób porównywalnie łatwy do jej udzielenia.

7. Cofnięcie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

8. Użytkownik może także kontrolować cookies za pomocą ustawień swojej przeglądarki, przy czym zablokowanie cookies rzeczywiście niezbędnych może wpłynąć na działanie określonych funkcji strony.

20.6. Wykaz wykorzystywanych cookies

1. Szczegółowy wykaz aktualnie wykorzystywanych cookies i podobnych technologii powinien odpowiadać rzeczywistej konfiguracji Sklepu.

2. Jeżeli na stronie dostępny jest panel zarządzania cookies, może on zawierać szczegółowe informacje dotyczące:

   1. nazwy pliku lub technologii;

   2. dostawcy;

   3. celu;

   4. kategorii;

   5. okresu działania lub przechowywania.

3. Administrator nie przedstawia jako aktywnych narzędzi, które nie zostały faktycznie wdrożone.

4. W szczególności narzędzia takie jak:

   • Google Analytics;

   • Google Ads;

   • Meta Pixel;

   • TikTok Pixel;

   • Microsoft Clarity;

   • Hotjar

nie są uznawane za aktywne wyłącznie dlatego, że zostały wymienione w niniejszym przykładowym katalogu potencjalnych technologii.

5. Jeżeli którekolwiek z takich narzędzi zostanie wdrożone, Administrator odpowiednio aktualizuje dokumentację prywatności i mechanizm zarządzania zgodami.

21. Formularz Newslettera MailerLite

1. Jeżeli na stronie aktywny jest formularz Newslettera obsługiwany przez MailerLite, dane podane w formularzu są przekazywane temu dostawcy w celu obsługi listy mailingowej i wysyłki wiadomości.

2. Zakres danych zależy od pól faktycznie zastosowanych w formularzu.

3. Administrator ogranicza zakres wymaganych pól do danych odpowiednich do celu prowadzenia Newslettera.

4. Dane nie powinny być wykorzystywane do celów wykraczających poza zakres komunikacji, na którą użytkownik wyraził zgodę, chyba że Administrator posiada inną odpowiednią podstawę prawną.

22. Formularze kontaktowe

1. Na stronie mogą być dostępne formularze kontaktowe o różnym przeznaczeniu.

2. Zakres danych wymaganych w formularzu powinien być ograniczony do danych potrzebnych do obsługi konkretnego zgłoszenia.

3. Pola wymagane powinny być odpowiednio oznaczone.

4. Jeżeli numer telefonu nie jest konieczny do obsługi formularza, jego podanie powinno mieć charakter dobrowolny.

5. Przy formularzu użytkownik otrzymuje podstawową informację o przetwarzaniu danych oraz możliwość zapoznania się z niniejszą Polityką.

6. Zapoznanie się z Polityką Prywatności nie wymaga składania zgody na samo przetwarzanie danych, jeżeli Administrator posiada inną właściwą podstawę prawną.

7. Polityka Prywatności ma charakter informacyjny i nie jest dokumentem, który użytkownik musi „zaakceptować” jako warunek wysłania zwykłego formularza, chyba że odrębny obowiązek wynika z charakteru konkretnej usługi.

23. Profilowanie i zautomatyzowane podejmowanie decyzji

1. Administrator nie podejmuje obecnie wobec Klientów decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które:

   1. wywoływałyby wobec osoby skutki prawne albo

   2. w podobny sposób istotnie na nią wpływały.

2. Administrator nie uzależnia możliwości dokonania zakupu od automatycznej oceny Klienta.

3. Administrator nie prowadzi obecnie automatycznej segmentacji klientów na podstawie ich historii zakupów w celu podejmowania wobec nich decyzji określonych w art. 22 RODO.

4. Jeżeli w przyszłości zostaną wdrożone narzędzia reklamowe pozwalające na tworzenie grup odbiorców lub analizowanie zainteresowań, ich wykorzystanie zostanie odpowiednio opisane i – jeżeli wymagają tego przepisy – uzależnione od wcześniejszej zgody.

5. Zewnętrzni usługodawcy, w szczególności operatorzy płatności lub platformy technologiczne, mogą stosować własne mechanizmy automatycznej analizy, np. w celu zapobiegania oszustwom. W takim zakresie działają oni zgodnie z własnymi zasadami i rolą wynikającą z przepisów o ochronie danych.

24. Dobrowolność podania danych

1. Podanie danych osobowych jest co do zasady dobrowolne.

2. Podanie określonych danych może być jednak konieczne do:

   1. złożenia i wykonania Zamówienia;

   2. dokonania lub zidentyfikowania płatności;

   3. realizacji dostawy;

   4. wystawienia wymaganej faktury;

   5. realizacji obowiązków podatkowych;

   6. obsługi reklamacji;

   7. wykonania prawa odstąpienia;

   8. udzielenia odpowiedzi na zapytanie;

   9. zapisania się do Newslettera.

3. Niepodanie danych wymaganych w danym celu może uniemożliwić jego realizację.

4. Podanie danych i udzielenie zgody w celach marketingowych jest dobrowolne i nie stanowi warunku dokonania zakupu.

25. Okres przechowywania danych

1. Administrator nie przechowuje wszystkich kategorii danych przez jeden wspólny okres.

2. Okres retencji ustala się zgodnie z celem przetwarzania oraz obowiązującymi przepisami.

3. W szczególności:

   1. dane dotyczące Zamówień i Umów – przez okres wykonywania Umowy, następnie przez okres wymagany prawem oraz niezbędny do upływu przedawnienia roszczeń;

   2. dane podatkowe i księgowe – przez okres wymagany przepisami podatkowymi i rachunkowymi;

   3. dane zawarte w KSeF – przez okres przewidziany dla faktur ustrukturyzowanych w przepisach regulujących KSeF;

   4. dane reklamacyjne – przez okres rozpatrywania reklamacji oraz odpowiedni okres związany z roszczeniami;

   5. zwykła korespondencja – do czasu zakończenia sprawy, a następnie do czasu, gdy dalsze przechowywanie przestanie być potrzebne, z uwzględnieniem ewentualnych roszczeń i obowiązków prawnych;

   6. Newsletter – do czasu cofnięcia zgody lub zakończenia Newslettera, z możliwością dalszego przechowywania minimalnych informacji potrzebnych do wykazania zgody lub respektowania rezygnacji;

   7. dane oparte na zgodzie – zasadniczo do czasu jej cofnięcia, chyba że istnieje odrębna podstawa dalszego przechowywania;

   8. dane przetwarzane w celu ustalenia, dochodzenia lub obrony roszczeń – do czasu wygaśnięcia takiej potrzeby, w szczególności upływu terminu przedawnienia albo prawomocnego zakończenia sprawy;

   9. dane techniczne i logi – przez okres uzasadniony bezpieczeństwem i konfiguracją infrastruktury, a w razie incydentu odpowiednio dłużej w zakresie potrzebnym do jego wyjaśnienia;

   10. cookies i informacje powiązane z nimi – zgodnie z czasem działania danego pliku lub narzędzia wskazanym w panelu cookies i ustawieniach odpowiedniego dostawcy, nie dłużej jednak niż jest to potrzebne dla określonego celu.

4. Dane mogą zostać usunięte wcześniej, jeżeli:

   1. ustała podstawa ich przetwarzania;

   2. skutecznie cofnięto zgodę i nie ma innej podstawy prawnej;

   3. uwzględniono żądanie usunięcia;

   4. uwzględniono sprzeciw;

   5. Administrator stwierdził brak potrzeby dalszego ich przechowywania.

26. Prawa osób, których dane dotyczą

Na zasadach określonych w RODO osobie, której dane dotyczą, mogą przysługiwać:

1. prawo dostępu do danych;

2. prawo otrzymania kopii danych;

3. prawo sprostowania nieprawidłowych danych;

4. prawo uzupełnienia niekompletnych danych;

5. prawo usunięcia danych, jeżeli spełnione są przesłanki przewidziane przez prawo;

6. prawo ograniczenia przetwarzania;

7. prawo do przenoszenia danych, jeżeli spełnione są warunki określone w RODO;

8. prawo wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO;

9. prawo wniesienia sprzeciwu wobec marketingu bezpośredniego;

10. prawo cofnięcia zgody w dowolnym momencie, jeżeli przetwarzanie odbywa się na jej podstawie;

11. prawo wniesienia skargi do organu nadzorczego.

Realizacja poszczególnych praw zależy od podstawy i okoliczności przetwarzania.

W celu realizacji swoich praw można skontaktować się z Administratorem:

e-mail: biuro@neroma.pl

lub pisemnie:

Arkadiusz Gruszka
ul. Graniczna 20
64-100 Przybyszewo

Administrator może poprosić o informacje niezbędne do potwierdzenia tożsamości osoby składającej żądanie, jeżeli ma uzasadnione wątpliwości co do jej tożsamości.

27. Prawo do sprzeciwu

1. Jeżeli Administrator przetwarza dane na podstawie art. 6 ust. 1 lit. f RODO, osoba może wnieść sprzeciw z przyczyn związanych z jej szczególną sytuacją.

2. Po otrzymaniu sprzeciwu Administrator zaprzestanie przetwarzania danych w danym celu, chyba że:

   1. wykaże istnienie ważnych prawnie uzasadnionych podstaw nadrzędnych wobec interesów, praw i wolności osoby albo

   2. dane są niezbędne do ustalenia, dochodzenia lub obrony roszczeń.

3. Jeżeli dane są przetwarzane na potrzeby marketingu bezpośredniego, osoba może w dowolnym momencie wnieść sprzeciw wobec takiego przetwarzania.

4. Po wniesieniu sprzeciwu wobec marketingu bezpośredniego dane nie będą dalej przetwarzane w tym celu.

28. Cofnięcie zgody

1. Jeżeli przetwarzanie odbywa się na podstawie zgody, można ją cofnąć w dowolnym momencie.

2. Cofnięcie zgody powinno być równie łatwe jak jej udzielenie.

3. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania wykonanego przed jej cofnięciem.

4. Cofnięcie zgody nie oznacza automatycznego usunięcia wszystkich danych, jeżeli Administrator posiada inną podstawę prawną do przechowywania określonego zakresu danych.

29. Prawo wniesienia skargi

1. Jeżeli osoba uważa, że jej dane są przetwarzane z naruszeniem przepisów, może wnieść skargę do właściwego organu nadzorczego.

2. Organem nadzorczym właściwym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych.

3. Prawo wniesienia skargi nie ogranicza innych środków ochrony prawnej.

30. Bezpieczeństwo danych

1. Administrator stosuje środki techniczne i organizacyjne odpowiednie do:

   1. charakteru danych;

   2. zakresu przetwarzania;

   3. kontekstu przetwarzania;

   4. możliwego ryzyka dla praw i wolności osób.

2. Administrator podejmuje działania służące w szczególności ochronie danych przed:

   1. nieuprawnionym dostępem;

   2. nieuprawnionym ujawnieniem;

   3. utratą;

   4. przypadkowym zniszczeniem;

   5. zmianą;

   6. bezprawnym wykorzystaniem.

3. Dostęp do danych powinien być ograniczony do osób i podmiotów, które potrzebują go do wykonywania swoich obowiązków.

4. Administrator korzysta z usług dostawców zewnętrznych przy uwzględnieniu obowiązków dotyczących ochrony danych oraz – tam, gdzie jest to wymagane – odpowiednich umów powierzenia przetwarzania danych.

31. Linki do zewnętrznych serwisów

1. Strona może zawierać odnośniki do zewnętrznych stron i serwisów, w szczególności profili Neroma w mediach społecznościowych.

2. Po przejściu na stronę zewnętrznego usługodawcy zasady przetwarzania danych określa również ten podmiot.

3. Administrator nie odpowiada za zasady prywatności stosowane przez niezależne serwisy, nad którymi nie sprawuje kontroli.

4. Użytkownik powinien zapoznać się z polityką prywatności odpowiedniego usługodawcy.

32. Zmiany Polityki Prywatności

1. Polityka może być aktualizowana w szczególności w przypadku:

   1. zmiany przepisów prawa;

   2. zmiany sposobu funkcjonowania Sklepu;

   3. zmiany dostawców usług;

   4. wdrożenia nowych formularzy;

   5. uruchomienia nowych funkcji Newslettera;

   6. wdrożenia nowych technologii analitycznych lub marketingowych;

   7. zmiany zakresu przetwarzanych danych;

   8. zmiany sposobu realizacji płatności lub dostaw;

   9. konieczności doprecyzowania informacji wynikających z doświadczeń związanych z funkcjonowaniem Sklepu.

2. Aktualna wersja Polityki jest udostępniana na stronie www.neroma.pl.

3. Zmiana Polityki nie stanowi sama w sobie podstawy do wykorzystywania danych w nowym celu, jeżeli zgodnie z prawem wykorzystanie danych w takim celu wymaga dodatkowej informacji, nowej podstawy prawnej albo zgody osoby.

4. Jeżeli zmiana ma istotny wpływ na sposób przetwarzania danych, Administrator przekazuje wymagane informacje osobom, których dane dotyczą, w sposób odpowiedni do charakteru zmiany.

33. Kontakt w sprawach prywatności

W sprawach dotyczących ochrony danych osobowych oraz niniejszej Polityki można kontaktować się z Administratorem:

Arkadiusz Gruszka
ul. Graniczna 20
64-100 Przybyszewo

e-mail: biuro@neroma.pl
tel.: +48 733 084 150