1. Administrator i kontakt
Administratorem danych przetwarzanych w związku z działalnością sklepu https://www.mmhairshop.com jest „KAIROS EDU” Akademia Edukacyjna Marlena Mańko, NIP 5381607321, ul. Warszawska 18a, 21-300 Radzyń Podlaski.
W sprawach danych osobowych można kontaktować się pod adresem manager@mmhairshop.com lub listownie na powyższy adres. Reklamacje dotyczące zakupów należy kierować na reklamacje@mmhairshop.com.
2. Jakie dane przetwarzamy
Zakres zależy od sposobu korzystania ze sklepu. Może obejmować imię i nazwisko, adres e-mail, numer telefonu, identyfikator konta, adres dostawy, dane do faktury, historię zamówień i rozliczeń, przypisane szkolenia oraz informacje potrzebne do zapewnienia dostępu do materiałów. W związku z klubem przetwarzamy także identyfikator karty, punkty, status, zakupy istotne dla korzyści, akceptację zasad i informacje o weryfikacji e-maila. W korespondencji przetwarzamy dane przekazane w wiadomościach. Systemy techniczne mogą przetwarzać adres IP, dane przeglądarki, urządzenia, sesji i zdarzeń bezpieczeństwa.
Dane uwierzytelniania są obsługiwane przez Clerk. Dane klientów, zamówień, faktur i programu lojalnościowego są przechowywane w bazie Supabase. Dane karty płatniczej wpisywane do formularza płatności obsługuje wybrany operator płatności. W przypadku uruchomienia i wybrania metody Przelewy24 operatorem tym jest PayPro S.A.; sklep korzysta z identyfikatorów płatności i informacji o ich wyniku.
3. Cele i podstawy prawne
| Cel | Podstawa prawna |
|---|---|
| Przygotowanie i realizacja zamówienia, płatność, dostawa oraz udostępnienie szkolenia | Art. 6 ust. 1 lit. b RODO — umowa lub działania przed jej zawarciem |
| Prowadzenie konta i umożliwienie logowania | Art. 6 ust. 1 lit. b RODO — umowa o usługę konta |
| Udział w dobrowolnym MM Hair Club, weryfikacja i naliczanie korzyści | Art. 6 ust. 1 lit. b RODO — umowa uczestnictwa w programie |
| Dokumenty księgowe, podatkowe oraz ustawowe obowiązki związane z reklamacjami | Art. 6 ust. 1 lit. c RODO — obowiązek prawny |
| Odpowiedzi na pytania związane z zakupem | Art. 6 ust. 1 lit. b RODO; w pozostałej korespondencji art. 6 ust. 1 lit. f RODO — uzasadniony interes polegający na obsłudze kontaktu |
| Bezpieczeństwo, przeciwdziałanie nadużyciom, ustalanie, dochodzenie i obrona roszczeń | Art. 6 ust. 1 lit. f RODO — uzasadniony interes administratora |
| Marketing e-mailowy, jeżeli został zamówiony | Art. 6 ust. 1 lit. a RODO — dobrowolna zgoda; dodatkowo wymagana zgoda na dany kanał komunikacji zgodnie z Prawem komunikacji elektronicznej |
Zapoznanie się z polityką prywatności nie stanowi zgody na wszystkie cele przetwarzania. Dane konieczne do umowy lub obowiązków prawnych są przetwarzane na właściwej podstawie, bez wymuszania zgody marketingowej. Akceptacja zasad klubu dotyczy dobrowolnej umowy uczestnictwa i nie zastępuje zgody na reklamy.
4. Źródło danych i dobrowolność
Dane otrzymujemy przede wszystkim od Ciebie — przez formularze, konto, zakupy, kontakt i zapis do programu w POS. Otrzymujemy też potwierdzenia płatności od operatora, informacje o doręczeniu od podmiotów obsługujących dostawę oraz dane sesji od dostawcy uwierzytelniania. Przy użyciu zewnętrznego logowania otrzymujemy dane udostępnione w ramach wybranej metody i jej ustawień.
Podanie danych jest dobrowolne, ale brak danych oznaczonych jako konieczne może uniemożliwić utworzenie konta, zakup, dostawę, wystawienie właściwej faktury lub udział w klubie. Dane wymagane do faktury wynikają z przepisów. Odmowa marketingu nie ogranicza zakupów ani klubu.
5. Odbiorcy i dostawcy
Dostęp do danych mogą otrzymywać upoważnione osoby obsługujące sklep oraz dostawcy usług w zakresie koniecznym do realizacji ich zadań:
- Clerk — logowanie, rejestracja i zabezpieczenie kont;
- Supabase — baza danych i przechowywanie plików;
- Vercel — hosting, działanie aplikacji i logi techniczne;
- PayPro S.A. / Przelewy24 — realizacja i ochrona uruchomionych płatności internetowych, na zasadach opisanych poniżej;
- Spaceship / Spacemail — obsługa skrzynek i wiadomości sklepu;
- InPost — realizacja przesyłek kurierskich i dostaw do automatów Paczkomat;
- podmioty świadczące obsługę księgową, prawną i techniczną oraz uprawnione organy publiczne, gdy wynika to z prawa;
- Bunny Stream / bunny.net — hosting i odtwarzanie nagrań Kairos Edu; Vimeo lub YouTube / Google wyłącznie wtedy, gdy dana starsza lekcja nadal wykorzystuje ich odtwarzacz.
Dostawcy mogą działać jako podmioty przetwarzające na nasze zlecenie albo jako odrębni administratorzy, zależnie od usługi i obowiązków prawnych, np. operator płatności lub przewoźnik. Nie oznacza to przekazywania każdemu dostawcy całej bazy klientów.
Jeżeli klient wybierze udostępnioną w checkout metodę Przelewy24, dane potrzebne do rozliczenia płatności, w szczególności identyfikator zamówienia, kwota, waluta oraz dane identyfikacyjne i kontaktowe wymagane dla transakcji, są przekazywane PayPro S.A., ul. Pastelowa 8, 60-198 Poznań, KRS 0000347935, NIP 7792369887, REGON 301345068. W zakresie własnych usług płatniczych PayPro działa jako odrębny administrator danych. Przekazanie przez sklep następuje w celu wykonania umowy, na podstawie art. 6 ust. 1 lit. b RODO; operator ma również własne podstawy przetwarzania wynikające m.in. z obowiązków prawnych. Informacje dla płatników, prawa i kontakt do operatora opisano na https://www.przelewy24.pl/obowiazek-informacyjny-rodo-platnicy. Dane nie są przekazywane Przelewy24 jedynie dlatego, że metoda jest planowana — musi zostać wybrana w uruchomionym procesie płatności.
6. Przekazywanie poza EOG
Korzystanie z usług międzynarodowych może wiązać się z przekazywaniem danych poza Europejski Obszar Gospodarczy, również w związku z obsługą techniczną. Sam wybór europejskiego regionu bazy nie wyklucza wszystkich takich transferów.
Transfery wymagają właściwej podstawy wynikającej z rozdziału V RODO: decyzji o odpowiednim stopniu ochrony, jeżeli obejmuje konkretnego odbiorcę i transfer, lub odpowiednich zabezpieczeń, np. standardowych klauzul umownych Komisji Europejskiej, wraz z wymaganymi środkami uzupełniającymi. Informacje o zabezpieczeniach i możliwość uzyskania ich kopii można uzyskać, kontaktując się z administratorem.
7. Okres przechowywania
Dane konta przechowujemy przez okres jego prowadzenia i realizacji powiązanych umów. Po zakończeniu przechowujemy tylko dane potrzebne do obowiązków prawnych lub roszczeń przez właściwy dla nich okres.
Dokumentację podatkową i księgową przechowujemy przez okres wymagany przepisami; dla zobowiązań podatkowych jest to co do zasady pięć lat od końca roku, w którym upłynął termin płatności podatku, z uwzględnieniem przypadków wpływających na bieg tego terminu. Poszczególne dokumenty mogą podlegać innym ustawowym okresom.
Dane programu lojalnościowego przechowujemy podczas uczestnictwa, a po jego zakończeniu w zakresie potrzebnym do rozliczenia programu, wykazania jego przebiegu i obsługi roszczeń. Ważność kodu aktywacyjnego wynosi 10 minut; wygaśnięcie kodu nie oznacza automatycznego usunięcia historii zgłoszenia.
Dane marketingowe przechowujemy do wycofania zgody; po wycofaniu możemy zachować ograniczony dowód zgody i jej cofnięcia dla obrony roszczeń oraz informację konieczną do respektowania rezygnacji. Korespondencję przechowujemy do zakończenia sprawy, następnie w zakresie uzasadnionym obowiązkami i terminami roszczeń.
Logi i dane bezpieczeństwa powinny być przechowywane przez okres niezbędny do diagnozy i ochrony systemu, a dane związane z konkretnym incydentem do wyjaśnienia sprawy i zakończenia właściwych terminów roszczeń. Informacje o okresach właściwych dla konkretnej kategorii danych można uzyskać, kontaktując się z administratorem.
8. Twoje prawa
W granicach określonych w RODO przysługują Ci prawa dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania oraz przenoszenia danych. Możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie z przyczyn związanych z Twoją szczególną sytuacją, a wobec marketingu bezpośredniego — w każdym czasie.
Zgodę można wycofać w każdym czasie przez kontakt z administratorem lub udostępnioną funkcję rezygnacji. Wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania. Usunięcie danych nie obejmuje informacji, które nadal musimy przechowywać zgodnie z prawem.
Na wniosek odpowiadamy co do zasady w ciągu miesiąca. Jeżeli prawo dopuszcza wydłużenie terminu, poinformujemy o nim i przyczynach. Możemy poprosić o informacje niezbędne do potwierdzenia tożsamości, bez żądania nadmiarowych danych.
Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych. Informacje o kontakcie i procedurze są dostępne na https://uodo.gov.pl.
9. Automatyczne naliczanie korzyści
System klubu może automatycznie naliczać punkty, status i rabaty na podstawie zakupów oraz zasad programu. Nie jest to deklaracja stosowania decyzji o skutkach prawnych lub podobnie istotnym wpływie w rozumieniu art. 22 RODO. Sklep nie wykorzystuje tego mechanizmu do decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na osobę. Nieprawidłowe naliczenie można zgłosić obsłudze do sprawdzenia.
Dostęp PRO i ochrona szkoleń
Dane wniosku PRO (imię i nazwisko, nazwa salonu, NIP, adres salonu oraz link do portfolio), identyfikator konta, decyzję i jej uzasadnienie przetwarzamy w celu obsługi wniosku i zamówionej funkcji konta — art. 6 ust. 1 lit. b RODO. Dane potrzebne do zapobiegania nadużyciom i wykazania przebiegu weryfikacji przetwarzamy w uzasadnionym interesie administratora — art. 6 ust. 1 lit. f RODO. Nie wymagamy skanów dokumentów tożsamości. Administrator ocenia wniosek; samo podanie NIP-u nie stanowi automatycznej akceptacji.
Dla ochrony dostępu do szkoleń przetwarzamy powiązanie konta z lekcją, skrót identyfikatora sesji i czas jej ważności. Służy to wykonaniu umowy i ograniczeniu nadużyć. Aktywna sesja wygasa po 75 sekundach bez odnowienia. W odtwarzaczu wyświetlamy adres e-mail zalogowanej osoby jako ruchomy znak wodny; nie przekazujemy tego e-maila w adresie URL Bunny. Dane wniosku i weryfikacji przechowujemy podczas obsługi wniosku i aktywnego dostępu, a następnie w zakresie koniecznym do ochrony roszczeń oraz realizacji praw użytkownika, zgodnie z ogólnymi zasadami retencji.
11. Aktualizacje
Polityka opisuje przetwarzanie danych i nie zastępuje regulaminu sprzedaży ani zasad klubu. Aktualizujemy ją przy zmianach usług lub procesów. O istotnych zmianach dotyczących istniejących klientów informujemy odpowiednio do ich charakteru; publikacja dokumentu nie zastępuje nowej zgody, jeżeli jest potrzebna.