Polityka prywatności

Ta polityka dotyczy sklepu shop.home-labs.pl. Strona główna home-labs.pl ma tego samego administratora i wspólną z nami zgodę na cookies; jej własna polityka opisuje formularze konsultacji i wyceny.

1. Administrator danych

Administratorem Twoich danych osobowych jest Home Labs Mikołaj Michałow, ul. Tadeusza Bramińskiego 1/31, 80-180 Gdańsk, NIP 5833578694.

W sprawach danych osobowych napisz na [email protected] albo listem na adres powyżej. Nie wyznaczyliśmy inspektora ochrony danych; nie mamy takiego obowiązku.

2. Jakie dane zbieramy i po co

Zbieramy tylko to, co jest potrzebne. Konto nie jest wymagane, nie pytamy o datę urodzenia ani o dane, których nie użyjemy.

Zamówienie

Dane: imię i nazwisko, adres e-mail, numer telefonu, adres dostawy albo wybrany Paczkomat, przy fakturze także NIP, nazwa firmy i adres; przy zdalnej konfiguracji - Twoje odpowiedzi na pytania o system i preferowane terminy; treść wiadomości, które do nas piszesz.
Cel i podstawa: zawarcie i wykonanie umowy sprzedaży oraz umowy o usługę konfiguracji, obsługa dostawy, płatności, odstąpienia i reklamacji (art. 6 ust. 1 lit. b RODO); wystawienie faktury i rozliczenia podatkowe (art. 6 ust. 1 lit. c RODO); ustalenie i dochodzenie roszczeń albo obrona przed nimi oraz zapobieganie nadużyciom (art. 6 ust. 1 lit. f RODO - nasz prawnie uzasadniony interes).
Przy składaniu zamówienia zapisujemy też treść i wersję zaakceptowanego regulaminu, polityki prywatności oraz pozostałych zgód i oświadczeń (np. żądanie rozpoczęcia usługi przed upływem terminu odstąpienia) razem z datą i skrótem adresu IP - jako dowód, co i kiedy zaakceptowałeś.
Podanie danych jest dobrowolne, ale bez nich nie możemy przyjąć zamówienia.

Status zamówienia, odstąpienie i reklamacje

Link do statusu zamówienia i do formularza odstąpienia zawiera losowy token; w naszej bazie przechowujemy tylko jego skrót, więc nikt bez Twojego e-maila go nie odtworzy.
Oświadczenie o odstąpieniu (zakres, Twoje uzasadnienie, jeśli je wpiszesz, data) i reklamację (opis problemu, żądanie, pozycje, daty, nasza odpowiedź) przechowujemy razem z zamówieniem. Podstawa: obowiązek prawny (art. 6 ust. 1 lit. c RODO) i umowa (lit. b).

Konto klienta

Konto zakładasz dobrowolnie: adresem e-mail i hasłem albo przez logowanie Google lub Apple. Przechowujemy: adres e-mail, opcjonalne imię, hasło wyłącznie jako skrót Argon2id (nigdy jawnie), datę założenia i ostatniego logowania, sesje (data, skrót tokenu, nazwa przeglądarki, skrót adresu IP), zgody (regulamin, polityka, newsletter), zapisane adresy dostawy, ulubione produkty oraz powiązanie z zamówieniami - także tymi, które złożyłeś wcześniej jako gość na ten sam adres e-mail (po jego potwierdzeniu).
Cel i podstawa: prowadzenie konta i obsługa zamówień (art. 6 ust. 1 lit. b RODO); bezpieczeństwo konta (lit. f).
Przy ustawianiu hasła sprawdzamy, czy nie pojawiło się ono w znanych wyciekach. Do serwisu Have I Been Pwned wysyłamy tylko pierwsze pięć znaków skrótu SHA-1 hasła (metoda k-anonimowości) - samo hasło ani Twój adres nigdy nie opuszczają sklepu.
Logowanie przez Google albo Apple: dostawca przekazuje nam adres e-mail (i opcjonalnie imię) oraz identyfikator Twojego konta u niego. Nie dostajemy hasła ani dostępu do innych danych. Google i Apple są odrębnymi administratorami swoich usług logowania.
Adres e-mail konta zmieniasz w ustawieniach: podajesz obecne hasło, a nowy adres potwierdzasz linkiem wysłanym na nową skrzynkę. Na dotychczasowy adres wysyłamy powiadomienie o zgłoszeniu i o dokonanej zmianie, a sam adres przechowujemy jeszcze 30 dni na wypadek zgłoszenia, że zmiana nie była Twoja.
Konto usuniesz w ustawieniach (hasłem albo linkiem z e-maila). Usuwamy wtedy konto, sesje, adresy, ulubione, powiązania z dostawcami logowania i oczekujące powiadomienia o dostępności, a zapis do newslettera wygasa. Zamówienia zostają jako dokumenty sprzedaży przez okres wymagany prawem, ale przestają być połączone z kontem.
Kopię danych konta pobierzesz jako plik JSON w ustawieniach (prawo do przenoszenia danych).

Zapis jest dobrowolny i wymaga potwierdzenia linkiem z e-maila (double opt-in). Przechowujemy adres e-mail, treść i wersję zgody, datę zapisu, potwierdzenia i rezygnacji, źródło zapisu (sklep, strona główna, koszyk) oraz skrót adresu IP. Podstawa: zgoda (art. 6 ust. 1 lit. a RODO).
Ten sam formularz jest na stronie głównej home-labs.pl; listę prowadzi sklep.
Z newslettera zrezygnujesz jednym kliknięciem w każdej wiadomości albo w ustawieniach konta. Wycofanie zgody nie wpływa na zgodność z prawem wysyłek sprzed wycofania.

Powiadomienie o dostępności produktu

Jeśli na karcie niedostępnego produktu zostawisz adres e-mail, użyjemy go do jednej wiadomości: że produkt (albo wybrany wariant) jest znów do kupienia. Nie wysyłamy potwierdzenia zapisu ani innych wiadomości. Podstawa: Twoje żądanie (art. 6 ust. 1 lit. b RODO - czynności na żądanie przed zawarciem umowy).
Powiadomienie anulujesz linkiem pokazanym po zapisie. Adresu nie zapisujemy w logach ani w dzienniku zdarzeń.

Bezpieczeństwo i zapobieganie nadużyciom

Adres IP zapisujemy wyłącznie jako skrót SHA-256 z solą - służy do limitowania liczby prób (np. składania zamówień, logowania) i jako dowód złożenia zamówienia; z samego skrótu nie da się odtworzyć adresu.
Formularze chroni Cloudflare Turnstile (weryfikacja antybotowa); działa bez CAPTCHA i bez identyfikowania Cię.
Logi techniczne sklepu nie zawierają danych osobowych.
Podstawa: nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

Kontakt e-mail i telefon

Gdy piszesz na [email protected] albo dzwonisz, przetwarzamy Twoje dane kontaktowe i treść sprawy, żeby odpowiedzieć (art. 6 ust. 1 lit. b albo f RODO). Korespondencję przechowujemy przez czas obsługi sprawy i okres przedawnienia ewentualnych roszczeń.

3. Odbiorcy danych

Dane przekazujemy tylko podmiotom, które są potrzebne do obsługi Twojego zamówienia albo działania sklepu:

PayPro S.A. (operator płatności Przelewy24) - obsługa płatności online: e-mail, imię i nazwisko, numer telefonu, numer zamówienia, kwota. Operator jest odrębnym administratorem w zakresie realizacji transakcji. Przy przelewie tradycyjnym Twój bank przekazuje nam dane nadawcy przelewu (imię i nazwisko, numer rachunku, tytuł), które przechowujemy na wyciągu bankowym przez okres wymagany przepisami o rachunkowości.
InPost sp. z o.o. - dostawa: imię i nazwisko, telefon, e-mail, adres albo Paczkomat. Odrębny administrator w zakresie usługi przewozu.
BaseLinker sp. z o.o. (Base.com) - system obsługi wysyłek i zamówień: dane zamówienia i dostawy. Podmiot przetwarzający na nasze zlecenie.
inFakt sp. z o.o. - wystawianie faktur i wysyłka do Krajowego Systemu e-Faktur (KSeF): dane nabywcy z faktury. Podmiot przetwarzający; KSeF prowadzi Ministerstwo Finansów jako odrębny administrator.
Google Ireland Limited - poczta e-mail sklepu (Google Workspace), Google Analytics (tylko za Twoją zgodą), logowanie Google (gdy z niego korzystasz).
Apple Distribution International Ltd - logowanie Apple (gdy z niego korzystasz).
Meta Platforms Ireland Limited - Meta Pixel (tylko za Twoją zgodą).
Cloudflare, Inc. - ochrona sklepu przed atakami, sieć dostarczania treści, weryfikacja antybotowa Turnstile i przechowywanie plików sklepu.
Dostawca infrastruktury serwerowej, na której działa sklep i jego baza danych - podmiot przetwarzający.
Have I Been Pwned - sprawdzenie hasła po pięciu znakach skrótu; nie otrzymuje danych osobowych.
Biuro rachunkowe, kancelaria prawna - gdy wymaga tego rozliczenie albo spór; organy publiczne - gdy obowiązek wynika z prawa.

Z podmiotami przetwarzającymi mamy umowy powierzenia przetwarzania danych.

Przekazywanie poza Europejski Obszar Gospodarczy

Google, Apple, Meta i Cloudflare mogą przetwarzać dane także w Stanach Zjednoczonych. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej o adekwatności (EU-U.S. Data Privacy Framework) dla podmiotów certyfikowanych, a w pozostałym zakresie na podstawie standardowych klauzul umownych. Kopię zabezpieczeń dostaniesz, pisząc na [email protected].

4. Jak długo przechowujemy dane

Dane	Okres
Zamówienie (dane klienta, dostawy, faktury, zgody, odstąpienie, reklamacja)	przez okres wymagany przepisami podatkowymi i rachunkowymi (5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku) oraz do upływu przedawnienia roszczeń z umowy; potem dane identyfikujące Cię anonimizujemy, a zapis finansowy (numer, pozycje, kwoty, daty) zostaje
Zamówienie nieopłacone (anulowane automatycznie po 24 h)	nie dłużej niż zamówienie opłacone; bez faktury i płatności nie ma obowiązku księgowego, więc anonimizujemy je po upływie przedawnienia roszczeń
Koszyk	30 dni od ostatniej aktywności; koszyk nie zawiera danych osobowych
Konto klienta	do usunięcia konta przez Ciebie; konto niepotwierdzone - 7 dni; sesja - 30 dni bezczynności, maksymalnie 180 dni; linki potwierdzające - 24 godziny, link do resetu hasła - 60 minut; poprzedni adres e-mail po zmianie - 30 dni
Newsletter	zapis niepotwierdzony - 7 dni; potwierdzony - do rezygnacji; po rezygnacji adres ze znacznikiem wycofania zgody jako dowód przez okres przedawnienia roszczeń związanych z wysyłką
Powiadomienie o dostępności	do wysłania wiadomości, najdłużej 180 dni; po wysłaniu albo anulowaniu - 30 dni
Skróty adresów IP do limitowania prób	7 dni
Potwierdzenia od operatora płatności (dowód w sporze)	90 dni; odrzucone jako niepoprawne - 7 dni
Dziennik zdarzeń technicznych (bez danych osobowych)	400 dni
Korespondencja e-mail	czas obsługi sprawy i okres przedawnienia roszczeń

5. Twoje prawa

Masz prawo:

dostępu do swoich danych i otrzymania ich kopii,
sprostowania danych,
usunięcia danych („prawo do bycia zapomnianym”) - z wyjątkiem danych, które musimy przechowywać z mocy prawa (np. faktury),
ograniczenia przetwarzania,
przenoszenia danych (konto: plik JSON w ustawieniach),
sprzeciwu wobec przetwarzania opartego na naszym uzasadnionym interesie,
wycofania zgody w każdej chwili (newsletter, cookies), bez wpływu na zgodność z prawem przetwarzania sprzed wycofania,
wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Żeby skorzystać z tych praw, napisz na [email protected]. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Możemy poprosić o potwierdzenie tożsamości (np. odpowiedź z adresu e-mail użytego przy zamówieniu).

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne albo podobnie istotnie na Ciebie wpływały.

6. Cookies i podobne technologie

Zgoda na cookies jest wspólna dla home-labs.pl i shop.home-labs.pl: zapisujemy ją w jednym ciasteczku hl-consent dla domeny home-labs.pl, ważnym 12 miesięcy. Zmienisz ją w każdej chwili przyciskiem „Ustawienia cookies” w stopce. Zgoda nigdy nie jest domyślnie zaznaczona.

Niezbędne (bez zgody - sklep bez nich nie działa)

Nazwa	Do czego	Jak długo
`hl-cart`	Twój koszyk	30 dni od ostatniej aktywności
`__Host-hl-session`	sesja zalogowanego konta	30 dni bezczynności, maks. 180 dni
`hl-account`	znacznik „zalogowany” dla strony głównej (bez danych)	jak sesja
`hl-consent`	Twoja decyzja o cookies	12 miesięcy
stan logowania Google/Apple	ochrona przekierowania podczas logowania	10 minut
Cloudflare Turnstile	weryfikacja antybotowa formularzy	czas sesji

W pamięci przeglądarki (nie w ciasteczkach) trzymamy jeszcze: wybrany motyw jasny albo ciemny (hl-theme w localStorage, do zmiany przez Ciebie) oraz odpowiedzi z konfiguratora przekazywane do koszyka w obrębie jednej karty (sessionStorage, znikają po jej zamknięciu). Żadne z nich nie opuszcza Twojej przeglądarki.

Analityczne (za zgodą)

Google Analytics 4: które strony oglądasz, jak trafiłeś do sklepu, zdarzenia zakupowe (obejrzenie produktu, dodanie do koszyka, rozpoczęcie zamówienia, zakup). Zdarzenia nie zawierają danych osobowych - tylko identyfikatory produktów, kwoty i numer zamówienia. Google może łączyć te dane ze swoim kontem użytkownika według własnych zasad.

Marketingowe (za zgodą)

Meta Pixel i sygnały reklamowe Google: pozwalają mierzyć skuteczność reklam i wyświetlać Ci reklamy Home Labs w serwisach Meta i Google. Te same zdarzenia zakupowe co wyżej, bez danych osobowych.

Bez Twojej zgody skrypty analityczne i marketingowe nie są ładowane.

7. Zgody marketingowe

Każda zgoda marketingowa (newsletter, cookies marketingowe) jest osobna, dobrowolna i nigdy domyślnie zaznaczona. Brak zgody nie wpływa na możliwość złożenia zamówienia. Zgodę wycofasz tak samo łatwo, jak ją dałeś: link w wiadomości, ustawienia konta albo „Ustawienia cookies” w stopce.

8. Bezpieczeństwo

Połączenie ze sklepem jest szyfrowane (TLS). Hasła przechowujemy wyłącznie jako skróty Argon2id, tokeny linków i sesji - jako skróty SHA-256, adresy IP

jako skróty z solą. Dostęp do danych zamówień ma tylko administrator i podmioty wymienione w punkcie 3, w zakresie niezbędnym do ich zadań. Komunikacja między sklepem a naszym systemem obsługi jest podpisywana kryptograficznie.

9. Zmiany polityki

Politykę możemy zmienić, gdy zmieni się prawo, zakres usług sklepu albo lista odbiorców. Każda wersja jest oznaczona datą; wersję obowiązującą przy Twoim zamówieniu zapisujemy razem z zamówieniem. O istotnych zmianach informujemy posiadaczy kont e-mailem.