1. Kto odpowiada za Twoje dane

Administratorem danych jest Małgorzata Sieszpowska, prowadząca działalność gospodarczą pod firmą GOOD-LOOK MAŁGORZATA SIESZPOWSKA, ul. Mieszka I 102/2, 05-230 Kobyłka, NIP: 1251120475, REGON: 146907764.

W sprawach danych osobowych napisz na esklep@biostopa.pl, zadzwoń pod 512 910 909 lub wyślij pismo na powyższy adres.

Polityka opisuje przetwarzanie danych w związku z korzystaniem z biostopa.pl, zakupami, kontem klienta, rezerwacjami, kontaktem oraz newsletterem. Ma charakter informacyjny. Zapoznanie się z nią nie jest zgodą na marketing.

2. Jakie dane otrzymujemy

Otrzymujemy dane, które podajesz w formularzach lub korespondencji: imię i nazwisko, adres dostawy, e-mail, telefon, dane do faktury, dane zamówienia, wybrany produkt i rozmiar, treść zapytania lub opinii. Przy zwrocie płatności może być potrzebny numer rachunku. Konto obejmuje również dane logowania i zapisaną historię.

Od podmiotów obsługujących płatność i dostawę otrzymujemy informacje potrzebne do rozliczenia zamówienia, np. status i identyfikator płatności oraz status przesyłki. Podanie cudzych danych, np. odbiorcy przesyłki, powinno odbywać się zgodnie z prawem; odbiorcę należy poinformować o przekazaniu danych i udostępnić mu tę politykę.

Podczas korzystania ze strony przetwarzane mogą być również adres IP, identyfikatory internetowe, informacje o urządzeniu i przeglądarce, data i czas wizyty oraz zdarzenia związane z korzystaniem ze strony. Zakres analityki i reklamy zależy od uruchomionych narzędzi i zgód.

Do doboru rozmiaru ani złożenia zamówienia nie wymagamy dokumentacji medycznej. Nie przesyłaj wyników badań, rozpoznań ani innych zbędnych informacji o zdrowiu w uwagach do zamówienia lub publicznych opiniach.

3. Po co przetwarzamy dane

• Zakupy, także bez rejestracji: przygotowanie i wykonanie umowy, dostawa, komunikacja dotycząca zamówienia i płatności — art. 6 ust. 1 lit. b RODO. Konto nie jest warunkiem zakupu.
• Rezerwacja do przymiarki: przyjęcie zgłoszenia, przygotowanie produktów, informacja o gotowości i obsługa rezygnacji — art. 6 ust. 1 lit. b RODO. Rezerwacja nie zobowiązuje do zakupu.
• Konto i powiadomienia o dostępności: realizacja zamówionej usługi — art. 6 ust. 1 lit. b RODO. Powiadomienie o dostępności nie oznacza zapisu do newslettera.
• Faktury i rozliczenia podatkowe: wykonanie obowiązków prawnych — art. 6 ust. 1 lit. c RODO.
• Reklamacje i odstąpienia: obsługa praw i obowiązków związanych z umową — art. 6 ust. 1 lit. b i c RODO; ustalenie, dochodzenie lub obrona roszczeń — art. 6 ust. 1 lit. f RODO.
• Kontakt: odpowiedź na pytania o zakup — art. 6 ust. 1 lit. b RODO; pozostała korespondencja — art. 6 ust. 1 lit. f RODO, czyli nasz interes polegający na udzielaniu odpowiedzi i dokumentowaniu ustaleń.
• Publikacja opinii produktowej: realizacja usługi publikacji zamówionej przez użytkownika — art. 6 ust. 1 lit. b RODO. Obsługa zgłoszeń dotyczących bezprawnych treści może wynikać z obowiązku prawnego — lit. c — oraz interesu w ochronie praw — lit. f.
• Newsletter: wysyłka za zgodą — art. 6 ust. 1 lit. a RODO oraz wymagania Prawa komunikacji elektronicznej. Zakup i założenie konta nie są zgodą na newsletter.
• Bezpieczeństwo i ciągłość działania: ograniczanie nadużyć, diagnostyka błędów, kopie zapasowe i dokumentowanie zgód — art. 6 ust. 1 lit. f RODO. Interesem jest ochrona sklepu i użytkowników oraz możliwość wykazania prawidłowości działań.
• Analityka i reklama wymagająca zgody: art. 6 ust. 1 lit. a RODO oraz właściwe przepisy Prawa komunikacji elektronicznej dotyczące dostępu do urządzenia.

Podanie danych jest dobrowolne, lecz brak danych niezbędnych do zamówionej usługi uniemożliwi jej wykonanie. Dane wymagane przepisami, np. dane faktury, są potrzebne do wykonania obowiązków prawnych. Pola opcjonalne nie są warunkiem zakupu.

4. Kto może otrzymywać dane

Udostępniamy dane w zakresie potrzebnym do konkretnej usługi, a nie wszystkim podmiotom przy każdym zakupie.

• HitMe: hosting sklepu i obsługa poczty elektronicznej.
• Brevo: obsługa listy subskrybentów i wysyłka newslettera.
• PayPro S.A. — Przelewy24: obsługa płatności elektronicznych. Zależnie od wybranej metody w płatności uczestniczą również banki i dostawcy usług, m.in. PayPo lub PayPal. W zakresie własnych obowiązków usługodawcy płatniczy są odrębnymi administratorami danych. Informacja Przelewy24 dla płatników.
• DPD i InPost: wykonanie wybranej dostawy. Dane rezerwacji do przymiarki nie są z tego powodu przekazywane kurierowi.
• Operator Wygodnych Zwrotów: organizacja przesyłki zwrotnej, jeżeli skorzystasz z tej dobrowolnej usługi.
• TrustMate S.A.: obsługa zaproszeń i opinii oraz prezentowanie ocen. Polityka prywatności TrustMate.
• Zewnętrzne biuro księgowe: prowadzenie rozliczeń i dokumentacji. Faktury wystawiamy ręcznie w programie Elisoft Firma. Nie pobieramy zamówień do zewnętrznego systemu zarządzania zamówieniami.
• Dostawcy usług IT i upoważniona obsługa techniczna: wyłącznie w zakresie niezbędnym do utrzymania, wsparcia i zabezpieczenia sklepu.
• Cloudflare, Inc.: ochrona formularzy przed botami za pomocą Turnstile.
• Google i Meta: w związku z narzędziami opisanymi poniżej.
• Organy publiczne i inne uprawnione podmioty, jeżeli obowiązek udostępnienia wynika z prawa, oraz doradcy prawni w zakresie niezbędnym do ochrony praw.

Podmioty przetwarzające dane na nasze zlecenie działają na podstawie odpowiednich umów i instrukcji. Niektórzy usługodawcy przetwarzają dane również jako odrębni administratorzy w ramach własnych usług i obowiązków.

5. Newsletter i opinie

Newsletter wysyłamy przez Brevo. Dane subskrybentów przekazujemy do Brevo ręcznie. Możesz wycofać zgodę przez link rezygnacji w wiadomości lub kontakt z nami. Prośby o rezygnację przesłane do nas e-mailem realizujemy ręcznie. Wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania. Ograniczony zapis rezygnacji może pozostać na liście blokującej wysyłkę, aby nie zapisać Cię ponownie bez Twojej woli.

Brevo może rejestrować otwarcia wiadomości i kliknięcia w linki, powiązane z odbiorcą, w celu oceny skuteczności newslettera. Ustawienia konta uwzględniają indywidualną zgodę na śledzenie i wyłączają śledzenie kontaktów o nieznanym statusie zgody. Zmiana ustawień śledzenia nie usuwa automatycznie historii wcześniejszych kampanii.

Opinie zamieszczane bezpośrednio przy produktach mogą dodawać zalogowani użytkownicy, również bez zakupu. Publikowana jest treść opinii, ocena i oznaczenie autora widoczne w formularzu. Nie umieszczaj w opinii danych innych osób ani informacji, których nie chcesz upublicznić.

Zaproszenia TrustMate wysyłane są po zakupie. Do ich obsługi wykorzystywane są dane kontaktowe i informacje o transakcji w zakresie przekazywanym przez integrację. Wystawienie opinii jest dobrowolne.

6. Jak długo przechowujemy dane

Okres przechowywania zależy od celu przetwarzania i rodzaju dokumentacji. Usunięcie konta lub rezygnacja z newslettera nie powoduje usunięcia dokumentów, które musimy zachować na podstawie przepisów.

• Zamówienia: przez czas realizacji umowy, a następnie w zakresie potrzebnym do obowiązków prawnych i ochrony roszczeń do upływu właściwych terminów przedawnienia.
• Reklamacje, zwroty i dowody zakupu: przez czas obsługi sprawy, a następnie w niezbędnym zakresie do upływu właściwych terminów przedawnienia roszczeń oraz obowiązkowego przechowywania dokumentacji. Reguła 12 miesięcy dla zwykłych zapytań nie obejmuje tej dokumentacji. Rezerwację zakończoną zakupem traktujemy jak zakup.
• Dokumenty podatkowe: co do zasady przez 5 lat licząc od końca roku, w którym upłynął termin płatności podatku; termin może się wydłużyć, np. wskutek zawieszenia lub przerwania przedawnienia. Dokumenty rachunkowe podlegają właściwym dla nich terminom ustawowym.
• Konto: przez czas prowadzenia konta. Możesz zrezygnować z niego, kontaktując się z nami. Zamknięcie konta nie anuluje zamówień ani praw z zawartych umów. Po zamknięciu pozostają dane potrzebne do odrębnych celów, np. rozliczeń i roszczeń.
• Newsletter: do wycofania zgody lub zakończenia usługi; dowód zgody i minimalny zapis rezygnacji mogą być zachowane w celu wykazania prawidłowości działań i respektowania rezygnacji.
• Opinie: przez czas ich publikacji i obsługi usługi, a w razie sporu w zakresie i przez czas potrzebny do jego wyjaśnienia oraz ochrony praw.
• Rezerwacje zakończone bez zakupu: przez 12 miesięcy od zakończenia lub anulowania, następnie usuwamy dane identyfikujące klienta, o ile nie są potrzebne do konkretnego sporu lub obowiązku prawnego.
• Zwykła korespondencja: przez 12 miesięcy od zakończenia rozmowy. Wiadomości dotyczące zamówienia, reklamacji lub sporu przechowujemy zgodnie z okresem właściwym dla danej sprawy.
• Powiadomienia o dostępności: do wysłania powiadomienia lub rezygnacji, nie dłużej niż 24 miesiące od zgłoszenia. Okres ten dotyczy nowych zgłoszeń i uwzględnia sezonowe uzupełnianie modeli. Wcześniej przypisane terminy nie są wydłużane. Starsze zgłoszenia bez daty utworzenia objęto okresem przejściowym nie dłuższym niż 12 miesięcy od 19 października 2026 r. Jeśli definitywnie zakończymy oferowanie danego produktu lub wariantu, wcześniej zakończymy oczekiwanie i usuniemy zapis, o ile nie istnieje odrębna podstawa zachowania niezbędnych danych.
• Logi serwera i kopie zapasowe HitMe: przez 14 dni. Centrum danych znajduje się w Gdańsku, w Polsce. Po usunięciu danych z systemu roboczego ich pozostałości w kopiach wygasają w cyklu rotacji kopii; nie służą bieżącej obsłudze ani marketingowi.

Trwające sprawy: jeżeli dane stanowią niezbędny dowód w reklamacji, sporze lub postępowaniu, wstrzymujemy ich planowe usunięcie. Po zakończeniu sprawy oceniamy dalszą konieczność przechowywania i właściwe terminy. Zachowujemy tylko potrzebny zakres danych, z dostępem ograniczonym do uprawnionych osób; nie wykorzystujemy archiwum dowodowego do marketingu. Zamknięcie konta ani oznaczenie wiadomości jako „zamknięta” nie przesądza o usunięciu dokumentacji.

Okres odpowiedzialności sprzedawcy za niezgodność towaru z umową nie jest tym samym co termin przedawnienia roszczenia. Dla roszczeń konsumenta z tytułu niezgodności towaru z umową termin przedawnienia wynosi co do zasady 6 lat. Początek i koniec biegu terminu oraz ewentualne zawieszenie lub przerwanie wymagają oceny dla danego roszczenia. Nie stosujemy automatycznej reguły „6 lat od zakupu” do wszystkich danych.

Roszczenia mają różne terminy przedawnienia, w szczególności 2, 3 lub 6 lat zależnie od rodzaju roszczenia i przepisów. Nie oznacza to, że wszystkie dane przechowujemy przez najdłuższy z tych terminów.

7. Cookies i podobne technologie

Cookies to niewielkie pliki zapisywane na urządzeniu. Podobne funkcje mogą pełnić lokalna pamięć przeglądarki, identyfikatory i piksele. Mogą zawierać identyfikatory powiązane z użytkownikiem — nie należy utożsamiać ich automatycznie z danymi anonimowymi.

• Niezbędne: obsługa sesji, koszyka, logowania, bezpieczeństwa i zapamiętanie wyboru zgód. Ich wykorzystanie nie wymaga zgody, gdy rzeczywiście spełnia ustawowe przesłanki niezbędności.
• Statystyczne: pomiar korzystania ze strony i skuteczności jej działania.
• Marketingowe: pomiar reklam, tworzenie grup odbiorców i dopasowywanie reklam.

Zapisywanie i odczytywanie opcjonalnych cookies analitycznych i reklamowych wymaga zgody. Google otrzymuje także sygnał o Twoim wyborze; w obecnej konfiguracji po odmowie mogą być wysyłane żądania pomiarowe bez zgody na zapis cookies. Nie oznacza to automatycznie, że nie są przekazywane żadne dane techniczne. Odmowa nie uniemożliwia złożenia zamówienia. Aby zmienić lub wycofać zgodę, wybierz „Ustawienia cookies” w stopce strony. Możesz użyć „Odrzuć opcjonalne” albo dostosować kategorie i kliknąć „Zapisz wybór”. Wycofanie nie wpływa na wcześniejsze zgodne z prawem przetwarzanie. Wcześniej zapisane cookies mogą pozostawać w przeglądarce; możesz je usunąć w jej ustawieniach. Moduł zapamiętuje wybór przez 365 dni, chyba że wcześniej usuniesz odpowiedni plik cookie. Ustawienia przeglądarki umożliwiają także usuwanie cookies, lecz zablokowanie niezbędnych plików może utrudnić działanie koszyka lub logowania.

8. Analityka, reklama i funkcje zewnętrzne

Google Analytics 4 służy analizie korzystania ze sklepu; Google Ads i piksel Meta służą pomiarowi kampanii i dopasowaniu reklam. Mogą przetwarzać identyfikatory internetowe, dane urządzenia i zdarzenia na stronie, np. wyświetlenie produktu lub zakup. Korzystanie z opcjonalnych funkcji wymagających zgody zależy od Twojego wyboru.

W Google Analytics 4 ustawiliśmy przechowywanie danych na poziomie użytkownika i zdarzenia przez 14 miesięcy. Nowa aktywność odnawia okres przechowywania danych użytkownika. Ustawienie nie oznacza usuwania wszystkich zagregowanych raportów po 14 miesiącach. W konfiguracji aktywne są Google Signals oraz personalizacja reklam w połączonej usłudze Google Ads; wykorzystanie funkcji wymagających zgody powinno odpowiadać udzielonym zgodom.

Dopasowywanie reklam może obejmować profilowanie zainteresowań na podstawie aktywności. Nie należy mylić go z decyzją o przyznaniu finansowania: warunki i ewentualne decyzje dotyczące PayPo określa dostawca tej usługi w odrębnej informacji.

Cloudflare Turnstile (Cloudflare, Inc.) chroni formularze przed botami i automatycznymi nadużyciami. W tym celu przetwarza sygnały techniczne, m.in. adres IP, informacje o przeglądarce, cechy połączenia TLS oraz identyfikator widżetu i adres witryny. Wykorzystujemy tę ochronę w ramach uzasadnionego interesu polegającego na zapewnieniu bezpieczeństwa sklepu i użytkowników. Cloudflare działa jako podmiot przetwarzający przy ochronie naszej witryny, a jako odrębny administrator przy doskonaleniu wykrywania botów. W aktualnej konfiguracji wyłączono pre-clearance, czyli dodatkowe potwierdzenie uprawniające do pomijania zabezpieczeń Cloudflare na kolejnych stronach. Więcej informacji zawiera informacja o prywatności Turnstile.

Mapy Google, jeśli uruchomisz mapę na stronie, służą pokazaniu lokalizacji. Połączenie z tą usługą może przekazywać dostawcy m.in. adres IP i dane przeglądarki. Zakres i sposób uruchamiania powinny odpowiadać właściwym podstawom przetwarzania i ustawieniom prywatności.

Informacje dostawców: Google, Meta, Brevo.

9. Przetwarzanie poza Europejskim Obszarem Gospodarczym

Korzystanie z międzynarodowych usług, w szczególności Google, Meta, Brevo i Cloudflare, może wiązać się z przetwarzaniem danych poza EOG, w tym w USA. Ochrona takich transferów wymaga właściwego mechanizmu przewidzianego w RODO, np. mającej zastosowanie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony albo standardowych klauzul umownych i wymaganych środków uzupełniających.

Zgodnie z opublikowaną umową powierzenia Brevo korzysta z podwykonawców i spółek grupy, również poza EOG. Umowa przewiduje standardowe klauzule umowne i środki uzupełniające oraz, gdy ma zastosowanie, EU–US Data Privacy Framework. Informacje o podwykonawcach i zabezpieczeniach zawiera umowa Brevo, załącznik 3. Możesz zwrócić się do nas o informacje dotyczące zastosowanych zabezpieczeń i sposobu uzyskania ich kopii.

Cloudflare przewiduje możliwość przetwarzania danych poza EOG. Dla transferów objętych unijnym RODO, które wymagają odpowiednich zabezpieczeń, umowa powierzenia Cloudflare przewiduje standardowe klauzule umowne Komisji Europejskiej z 2021 r. oraz dodatkowe zabezpieczenia. Szczegóły zawiera umowa powierzenia Cloudflare, punkt 6.

10. Twoje prawa

Na zasadach określonych w RODO możesz żądać dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania oraz przeniesienia danych, gdy spełnione są warunki tego prawa.

Możesz wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie z przyczyn związanych z Twoją szczególną sytuacją. W przypadku marketingu bezpośredniego sprzeciw możesz wnieść w każdej chwili, bez uzasadnienia, również wobec związanego z nim profilowania.

Jeżeli podstawą jest zgoda, możesz ją wycofać w dowolnym momencie. Wycofanie nie działa wstecz. Nie każde żądanie usunięcia powoduje skasowanie wszystkich danych — możemy nadal przechowywać dane wymagane prawem lub potrzebne do ochrony roszczeń.

Odpowiadamy co do zasady w ciągu miesiąca od otrzymania żądania. Przy sprawach złożonych lub licznych termin może zostać przedłużony o dwa miesiące; o przedłużeniu i jego przyczynach informujemy w pierwszym miesiącu. W uzasadnionych przypadkach możemy poprosić o informacje potrzebne do potwierdzenia tożsamości, ograniczając je do niezbędnego zakresu.

Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Nie musisz wcześniej składać reklamacji w sklepie.

11. Aktualizacje polityki

Aktualizujemy informacje w razie zmian usług, narzędzi, zasad przetwarzania lub przepisów. Aktualizacja polityki nie jest automatyczną zgodą na nowe cele marketingowe. Jeżeli zmiana wymaga nowej zgody, należy ją uzyskać odrębnie.

Zasady zakupów i rezerwacji opisuje regulamin sklepu.