Polityka prywatności i cookies
Wersja 1.0 · obowiązuje od wersja archiwalna
To wersja archiwalna. Aktualna wersja jest pod stałym adresem.
1. Administrator danych
Administratorem danych osobowych osób korzystających ze sklepu bombdope.pl (dalej: „Sklep”) jest Dyspenseria Sp. z o.o., ul. Firlejowska 2A/16, 20-306 Lublin, KRS 0001031366, NIP 9462727540 (dalej: „Administrator” lub „my”). Kontakt w sprawach danych osobowych: polskadyspenseria@gmail.com, listownie na adres siedziby. Administrator nie wyznaczył inspektora ochrony danych.
Producentem produktów Bomb Dope jest Bomb Dope Globe spółka z ograniczoną odpowiedzialnością (Prezydenta Gabriela Narutowicza 40/1, 90-135 Łódź, NIP 7252367212); nie otrzymuje on danych klientów Sklepu. Hurtem zajmuje się Mind Logistic – dane osób pytających o współpracę B2B przez formularz przekazujemy temu partnerowi wyłącznie w celu odpowiedzi na zapytanie.
2. Jakie dane, w jakim celu i na jakiej podstawie
| Cel | Dane | Podstawa prawna (RODO) | Jak długo |
|---|---|---|---|
| Realizacja zamówienia: przyjęcie, płatność, dostawa, kontakt w sprawie zamówienia | imię, nazwisko, e-mail, telefon, adres dostawy lub kod Paczkomatu, dane do faktury (firma, NIP, adres), treść zamówienia, IP i data akceptacji regulaminu oraz oświadczenia o pełnoletności | art. 6 ust. 1 lit. b – wykonanie umowy | 5 lat od końca roku podatkowego, w którym złożono zamówienie (obowiązki księgowe), następnie dane są usuwane |
| Wystawienie faktury i rozliczenia podatkowe | dane z zamówienia, dane do faktury | art. 6 ust. 1 lit. c – obowiązek prawny (ustawa o rachunkowości, ustawa o VAT) | 5 lat od końca roku podatkowego |
| Obsługa reklamacji, odstąpień, dochodzenie i obrona roszczeń | dane z zamówienia, korespondencja | art. 6 ust. 1 lit. f – prawnie uzasadniony interes | do przedawnienia roszczeń (co do zasady 6 lat, dla roszczeń konsumenckich krócej – zgodnie z Kodeksem cywilnym) |
| Newsletter | e-mail, data i IP zapisu i potwierdzenia, kod rabatowy | art. 6 ust. 1 lit. a – zgoda (double opt-in); art. 10 u.ś.u.d.e. | do wypisania się; po wypisaniu przechowujemy jedynie informację o cofnięciu zgody (art. 6 ust. 1 lit. f – wykazanie zgodności) |
| Formularz kontaktowy | imię, e-mail, temat, treść, opcjonalnie numer zamówienia, IP | art. 6 ust. 1 lit. f – odpowiedź na zapytanie; lit. b, gdy dotyczy umowy | 12 miesięcy od wysłania, następnie automatyczne usunięcie |
| Statystyki odwiedzin (Google Analytics 4) | identyfikatory cookies, dane o urządzeniu i zachowaniu na stronie (zanonimizowane IP) | art. 6 ust. 1 lit. a – zgoda wyrażona w banerze; art. 173 Prawa telekomunikacyjnego | zgodnie z tabelą cookies (do 2 lat); zgodę można cofnąć w każdej chwili |
| Marketing: pomiar skuteczności reklam (Piksel Meta, TikTok Pixel) | identyfikatory cookies, zdarzenia (odwiedziny, dodanie do koszyka, zakup) | art. 6 ust. 1 lit. a – zgoda w banerze | zgodnie z tabelą cookies (do 13 miesięcy); do cofnięcia zgody |
| Bezpieczeństwo, logi serwera, ochrona przed nadużyciami (limity zapytań, honeypot) | IP, adres żądania, czas, przeglądarka | art. 6 ust. 1 lit. f – prawnie uzasadniony interes | 90 dni |
Podanie danych oznaczonych w formularzach jako wymagane jest dobrowolne, ale niezbędne do złożenia zamówienia, zapisu do newslettera lub wysłania wiadomości. Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, wywołujących skutki prawne.
Sklep jest przeznaczony dla osób pełnoletnich. Nie kierujemy usług do osób poniżej 18 lat i nie przetwarzamy świadomie ich danych.
3. Odbiorcy danych
Dane przekazujemy wyłącznie podmiotom, które są niezbędne do działania Sklepu, na podstawie umów powierzenia (art. 28 RODO) albo jako odrębnym administratorom (operator płatności, przewoźnik, organy):
| Odbiorca | Rola | Kraj / transfer poza EOG |
|---|---|---|
| Krajowy Integrator Płatności S.A. (Tpay), Poznań | operator płatności – odrębny administrator danych transakcji | Polska |
| InPost sp. z o.o., Kraków (InPost Paczkomat / kurier) | przewoźnik – odrębny administrator danych przesyłki | Polska |
| BaseLinker sp. z o.o., Wrocław (BaseLinker) | system obsługi zamówień i magazynu – podmiot przetwarzający | Polska |
| InsERT S.A. (Subiekt) – oprogramowanie księgowe oraz biuro rachunkowe obsługujące Administratora | fakturowanie, księgowość – podmiot przetwarzający / odrębny administrator (biuro) | Polska |
| Resend (Resend, Inc., USA) | wysyłka e-maili transakcyjnych, newslettera i autoodpowiedzi – podmiot przetwarzający | USA – Resend, Inc. jest certyfikowany w EU-U.S. Data Privacy Framework (decyzja Komisji (UE) 2023/1795 o adekwatności; wpis nr 8907 na liście dataprivacyframework.gov), dodatkowo standardowe klauzule umowne w DPA (art. 46 ust. 2 lit. c RODO) |
| seohost.pl (dostawca serwera VPS) | hosting Sklepu, API i bazy danych – podmiot przetwarzający | Polska |
| Google Ireland Ltd. (Google Analytics 4) – tylko po zgodzie | statystyki – podmiot przetwarzający | Irlandia; możliwy transfer do USA (Google LLC) na podstawie decyzji o adekwatności EU-US Data Privacy Framework oraz standardowych klauzul umownych |
| Meta Platforms Ireland Ltd. (Piksel Meta) – tylko po zgodzie | pomiar konwersji – współadministrator w zakresie zdarzeń (art. 26 RODO) | Irlandia; transfer do USA (Meta Platforms, Inc.) – DPF i standardowe klauzule umowne |
| TikTok Technology Ltd. (TikTok Pixel) – tylko po zgodzie | pomiar konwersji – współadministrator w zakresie zdarzeń | Irlandia; możliwy transfer poza EOG (m.in. USA, Singapur) na podstawie standardowych klauzul umownych |
| Mind Logistic (partner hurtowy) | odpowiedź na zapytania B2B z formularza | Polska |
| organy publiczne (np. urząd skarbowy, sąd) | gdy wymaga tego prawo | Polska |
4. Twoje prawa
Masz prawo do: dostępu do danych i ich kopii (art. 15), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20), sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym marketingu (art. 21), oraz cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania przed cofnięciem (art. 7 ust. 3). Zgody cookies zmienisz w każdej chwili przez link „Ustawienia cookies” w stopce; z newslettera wypiszesz się linkiem w każdej wiadomości.
Żądania kieruj na polskadyspenseria@gmail.com. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
5. Cookies i podobne technologie
Sklep używa plików cookies i pamięci przeglądarki (localStorage). Niezbędne działają zawsze (koszyk, zapamiętany wybór zgód, płatność, mapa Paczkomatów). Statystyki i marketing uruchamiamy wyłącznie po Twojej zgodzie wyrażonej w banerze – odrzucenie jest tak samo łatwe jak akceptacja, a bez zgody skrypty Google, Meta i TikTok nie są w ogóle ładowane (Consent Mode v2, domyślnie „denied”). Wybór przechowujemy 12 miesięcy w Twojej przeglądarce; po tym czasie zapytamy ponownie.
Pełna lista poniżej jest generowana z tego samego źródła, którym posługuje się baner zgody:
| Nazwa | Kategoria | Dostawca | Rodzaj | Cel | Czas |
|---|---|---|---|---|---|
bd-cart:* | Niezbędne | bombdope.pl | localStorage | Zawartość koszyka (SKU → ilość). | do wyczyszczenia przez użytkownika |
bd-consent | Niezbędne | bombdope.pl | localStorage | Zapamiętany wybór zgód cookies (wersja, data, kategorie). | do zmiany decyzji |
bd-purchase:* | Niezbędne | bombdope.pl | localStorage | Znacznik, że zdarzenie zakupu zostało już zliczone (brak podwójnego zliczania po odświeżeniu strony zamówienia). | do wyczyszczenia przez użytkownika |
cookies Tpay | Niezbędne | Tpay (secure.tpay.com) | cookie (domena operatora) | Sesja płatności po przekierowaniu do operatora; ustawiane wyłącznie na stronach Tpay. | sesja |
cookies InPost Geowidget | Niezbędne | InPost (geowidget.inpost.pl) | cookie / localStorage (ramka mapy) | Działanie mapy wyboru Paczkomatu (ostatnia lokalizacja, sesja widgetu). | sesja / do 12 mies. |
_ga | Statystyki (zgoda) | Google Ireland Ltd. | cookie | Rozróżnianie użytkowników (identyfikator losowy). | 2 lata |
_ga_<ID> | Statystyki (zgoda) | Google Ireland Ltd. | cookie | Stan sesji GA4 dla właściwości pomiarowej. | 2 lata |
_fbp | Marketing (zgoda) | Meta Platforms Ireland Ltd. | cookie | Identyfikator przeglądarki dla Piksela Meta (pomiar konwersji reklam). | 3 miesiące |
_ttp | Marketing (zgoda) | TikTok Technology Ltd. | cookie | Identyfikator dla TikTok Pixel (pomiar konwersji reklam). | 13 miesięcy |
_tt_enable_cookie | Marketing (zgoda) | TikTok Technology Ltd. | cookie | Flaga aktywności TikTok Pixel. | 13 miesięcy |
Cookies możesz też usunąć lub zablokować w ustawieniach przeglądarki; zablokowanie niezbędnych uniemożliwi złożenie zamówienia.
6. Bezpieczeństwo
Połączenie ze Sklepem jest szyfrowane (HTTPS). Dane kart płatniczych są podawane wyłącznie na stronach operatora Tpay i nigdy nie trafiają do nas. Dostęp do zamówień mają tylko upoważnione osoby; kopie zapasowe bazy zamówień wykonujemy codziennie i przechowujemy wyłącznie na tym samym serwerze w Polsce (EOG), z dostępem ograniczonym do administratora.
7. Zmiany Polityki
Polityka w wersji 1.0 obowiązuje od 6 października 2026 i zastępuje politykę prywatności bombdope.pl z 20 czerwca 2020 r. Wersje archiwalne: /polityka-prywatnosci/archiwum. Numer wersji zaakceptowanej przy zamówieniu, zapisie do newslettera lub wysłaniu wiadomości jest przechowywany wraz z tą czynnością.