Polityka prywatności

1. Administrator

Administratorem danych przetwarzanych na tej stronie w rozumieniu art. 4 pkt 7 RODO jest:

2. Najważniejsze informacje

• Nie używamy narzędzi analitycznych ani śledzących plików cookie.
• Czcionki znajdują się na naszym własnym serwerze. Ładowanie strony nie wysyła żadnych zapytań do Google.
• Zbieramy dane tylko w zakresie potrzebnym do działania strony, Państwa zamówienia, konta, opinii lub potwierdzonego przez Państwa newslettera.

3. Hosting i logi serwera

Strona jest hostowana przez Vercel. Przy każdej wizycie ze względów technicznych przetwarzane są dane dostępowe: adres IP, data i godzina, wywołany adres, kod statusu, przeglądarka i system operacyjny oraz poprzednio odwiedzona strona (referrer).

Podstawą prawną jest art. 6 ust. 1 lit. f RODO. Naszym prawnie uzasadnionym interesem jest bezpieczne i stabilne działanie strony oraz wykrywanie ataków. Logi są przechowywane tylko tak długo, jak jest to do tego potrzebne, a następnie usuwane automatycznie zgodnie z ustawieniami przechowywania dostawcy hostingu.

4. Pliki cookie i pamięć przeglądarki

Ustawiamy wyłącznie pliki cookie bezwzględnie niezbędne do usługi, o którą Państwo proszą:

• Pliki cookie logowania (nazwa zaczyna się od „sb-”): utrzymują zalogowanie. Są ustawiane tylko przy logowaniu i wygasają po wylogowaniu lub zakończeniu sesji.
• Plik cookie języka („lang”): zapamiętuje wybrany język.

Ponadto Państwa przeglądarka zapisuje w pamięci lokalnej (localStorage) koszyk oraz dane wpisane w formularzu zamówienia. Dane te pozostają na Państwa urządzeniu, dopóki nie usuną ich Państwo w przeglądarce; trafiają do nas dopiero przy złożeniu zamówienia.

Podstawą prawną zapisu i odczytu na urządzeniu jest § 25 ust. 2 pkt 2 TDDDG (niemiecka ustawa o ochronie danych w telekomunikacji i usługach cyfrowych), a dalszego przetwarzania art. 6 ust. 1 lit. b i f RODO. Ponieważ wszystko to jest bezwzględnie niezbędne, nie potrzebujemy zgody i nie wyświetlamy banera cookie.

Przy płatności Państwa przeglądarka ładuje przyciski płatności bezpośrednio z PayPal. PayPal otrzymuje wtedy Państwa adres IP i dane techniczne przeglądarki i może ustawiać własne pliki cookie. Szczegóły w punkcie 6 oraz w polityce prywatności PayPal.

5. Konto klienta i logi uwierzytelniania

Na potrzeby konta klienta przetwarzamy Państwa adres e-mail i dane logowania. Konta i logowanie obsługuje Supabase. Powstają przy tym logi uwierzytelniania zawierające czas, rodzaj zdarzenia (na przykład logowanie lub nieudana próba), adres IP i identyfikator przeglądarki.

Podstawą prawną konta jest art. 6 ust. 1 lit. b RODO, a logów uwierzytelniania art. 6 ust. 1 lit. f RODO (ochrona kont przed nieuprawnionym dostępem). Konto istnieje do czasu jego usunięcia przez Państwa. Logi uwierzytelniania są usuwane automatycznie po upływie okresu przechowywania w danej usłudze.

Po usunięciu konta

Gdy usuną Państwo konto, usuwamy je oraz usuwamy Państwa adres e-mail z rekordów zamówień w naszej bazie danych. Pozostają dwie rzeczy:

• Hash adresu IP Państwa urządzenia jest przechowywany przez 14 dni, a następnie usuwany. Jest to hash z kluczem, z którego nie można odtworzyć adresu IP, ale nadal stanowi on dane osobowe. Służy zapobieganiu oszustwom, na przykład wielokrotnemu zakładaniu i usuwaniu kont. Podstawą prawną jest art. 6 ust. 1 lit. f RODO.
• Dane zamówień i faktur, które mamy obowiązek przechowywać (punkt 7).

6. Zamówienie, płatność i wysyłka

Na potrzeby zamówienia przetwarzamy imię i nazwisko, adres dostawy, adres e-mail, zamówione artykuły, kwoty, numer zamówienia oraz numery referencyjne PayPal i Printful. Podstawą prawną jest art. 6 ust. 1 lit. b RODO (wykonanie umowy). Bez tych danych nie możemy zrealizować zamówienia.

Przy płatności przelewem otrzymujemy od Państwa banku imię i nazwisko, IBAN, kwotę i tytuł przelewu. Bank przetwarza płatność jako samodzielny administrator. Adres dostawy przechowujemy do momentu przekazania go firmie Printful. Jeśli zamówienie nie zostanie opłacone i zostanie anulowane, usuwamy je.

• Supabase przechowuje zamówienia w naszej bazie danych.
• PayPal obsługuje płatność i jest w tym zakresie samodzielnym administratorem (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luksemburg). PayPal otrzymuje dane płatności i zamówienia i może przeprowadzać weryfikację zdolności płatniczej oraz kontrole antyfraudowe na własnych zasadach. Obowiązuje polityka prywatności PayPal.
• Printful drukuje i wysyła towar z centrów realizacji zamówień w UE (Łotwa, Hiszpania). W tym celu Printful otrzymuje imię i nazwisko, adres dostawy i adres e-mail oraz zamówione artykuły.
• Resend wysyła potwierdzenie zamówienia i inne wiadomości dotyczące zamówienia.

Kod rabatowy przechowujemy wraz z przypisanym adresem e-mail, numerem referencyjnym PayPal i czasem realizacji, aby można go było wykorzystać tylko raz (art. 6 ust. 1 lit. b i f RODO).

Dobrowolny napiwek jest osobną płatnością przez PayPal i jest przypisywany do Państwa numeru zamówienia.

7. Przechowywanie danych zamówień

Dane zamówień i faktur przechowujemy w zakresie wymaganym przez § 147 AO (niemiecka ordynacja podatkowa) i § 257 HGB (niemiecki kodeks handlowy): w zależności od rodzaju dokumentu 6 lat (listy handlowe i korespondencja biznesowa), 8 lat (dowody księgowe) lub 10 lat (księgi i sprawozdania). Okres ten biegnie od końca roku kalendarzowego, w którym powstał dokument.

Podstawą prawną jest art. 6 ust. 1 lit. c RODO. Żądanie usunięcia danych ani usunięcie konta nie kończy tego obowiązku (art. 17 ust. 3 lit. b RODO): faktury i dowody księgowe pozostają w PayPal i w naszej księgowości także po usunięciu konta, do upływu tego okresu. W tym czasie używamy ich wyłącznie do wypełnienia tych obowiązków.

8. Odstąpienie od umowy

Jeśli odstępują Państwo od umowy, przetwarzamy imię i nazwisko, numer zamówienia, adres e-mail, ewentualną wiadomość oraz datę i godzinę wpływu. Potrzebujemy tych danych, aby obsłużyć odstąpienie i potwierdzić jego otrzymanie (art. 6 ust. 1 lit. b i c RODO, § 356a BGB). Przechowujemy je tak długo jak powiązane dane zamówienia (punkt 7).

9. Newsletter

Newsletter otrzymują Państwo wyłącznie za zgodą (art. 6 ust. 1 lit. a RODO) i w procedurze podwójnej zgody (double opt-in): po zapisaniu się wysyłamy e-mail z linkiem potwierdzającym, a zapis staje się aktywny dopiero po jego kliknięciu. Zapis jest przechowywany w Supabase, a wysyłka odbywa się przez Resend.

Aby móc udowodnić udzielenie zgody (art. 5 ust. 2 i art. 7 ust. 1 RODO), rejestrujemy adres e-mail, język, treść zgody, hash adresu IP oraz czas zapisu, potwierdzenia i wypisania. Podstawą prawną jest art. 6 ust. 1 lit. f RODO.

Zgodę można wycofać w każdej chwili ze skutkiem na przyszłość, korzystając z linku do wypisania w każdej wiadomości lub pisząc na adres Purrlightshop@gmail.com. Następnie nie wysyłamy już newslettera. Rejestr zgód zachowujemy tak długo, jak dowód może być prawnie potrzebny, zwykle do upływu ogólnego terminu przedawnienia (§§ 195, 199 BGB).

10. Opinie i zdjęcia

Gdy dodają Państwo opinię, przetwarzamy numer zamówienia, adres e-mail, wyświetlaną nazwę, ocenę w gwiazdkach, tekst i maksymalnie dwa zdjęcia oraz czas udzielenia zgody. Numer zamówienia i adres e-mail służą sprawdzeniu, czy opinia dotyczy prawdziwego zamówienia, i nie są publikowane. Wyświetlana nazwa, ocena, tekst i zdjęcia są publicznie widoczne na tej stronie.

Podstawą prawną jest Państwa zgoda (art. 6 ust. 1 lit. a RODO). Zdjęcia przechowujemy jako pliki WebP w publicznie dostępnej pamięci w Supabase. Prosimy nie przesyłać zdjęć, na których rozpoznawalne są inne osoby bez ich zgody.

Zgodę wycofuje się, usuwając opinię za pomocą linku z naszej wiadomości e-mail lub pisząc na adres Purrlightshop@gmail.com. Opinia i zdjęcia zostają wtedy usunięte. Pojedynczych zdjęć nie można usunąć osobno, tylko całą opinię. W pozostałych przypadkach opinie są przechowywane do czasu ich usunięcia.

11. Ochrona przed nadużyciami

Aby chronić formularze i interfejsy przed masowymi zapytaniami i nadużyciami, zliczamy zapytania na adres IP i przechowujemy znaczniki w Upstash Redis. Liczniki zawierają adres IP i wygasają po około minucie. Znaczniki przechowywane dłużej zawierają adres IP wyłącznie w postaci hasha z kluczem. Podstawą prawną jest art. 6 ust. 1 lit. f RODO; naszym prawnie uzasadnionym interesem jest bezpieczeństwo sklepu.

12. Projekty do druku

Nasze projekty do druku są przechowywane w ImgBB. Znajdują się tam wyłącznie grafiki i żadne Państwa dane osobowe.

13. Odbiorcy

Następujący usługodawcy przetwarzają dane osobowe w naszym imieniu i na nasze polecenie (art. 28 RODO):

• Vercel (USA): hosting i logi serwera
• Supabase (USA): konta, zamówienia, opinie, zdjęcia, zgody na newsletter
• Upstash (USA): Redis do ograniczania liczby zapytań i ochrony przed nadużyciami
• Resend (USA): wysyłka e-maili
• Printful (USA, realizacja na Łotwie i w Hiszpanii): produkcja i wysyłka; otrzymuje imię i nazwisko, adres i adres e-mail

PayPal przetwarza dane płatności jako samodzielny administrator. Organom przekazujemy dane tylko wtedy, gdy wymaga tego prawo. Dane nie są sprzedawane.

14. Przekazywanie danych do państw trzecich

W przypadku dostawców z siedzibą w USA dane mogą być przekazywane do USA. Przekazywanie opiera się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony w ramach EU-U.S. Data Privacy Framework (art. 45 RODO), jeśli dostawca jest certyfikowany, a w pozostałych przypadkach na standardowych klauzulach umownych Komisji (art. 46 ust. 2 lit. c RODO). Kopię zabezpieczeń można otrzymać, pisząc na adres Purrlightshop@gmail.com.

15. Państwa prawa

Przysługują Państwu następujące prawa. Aby z nich skorzystać, prosimy napisać na adres Purrlightshop@gmail.com.

• Dostęp do danych (art. 15 RODO)
• Sprostowanie nieprawidłowych danych (art. 16 RODO)
• Usunięcie danych (art. 17 RODO), o ile nie stoi temu na przeszkodzie ustawowy obowiązek przechowywania
• Ograniczenie przetwarzania (art. 18 RODO)
• Przenoszenie danych (art. 20 RODO)
• Wycofanie zgody ze skutkiem na przyszłość (art. 7 ust. 3 RODO); przetwarzanie dokonane do tego czasu pozostaje zgodne z prawem

Prawo sprzeciwu (art. 21 RODO)

Jeśli przetwarzamy dane na podstawie art. 6 ust. 1 lit. f RODO, mogą Państwo w każdej chwili wnieść sprzeciw z przyczyn związanych ze swoją szczególną sytuacją. Przestajemy wtedy przetwarzać te dane, chyba że wykażemy istnienie ważnych prawnie uzasadnionych podstaw, nadrzędnych wobec Państwa interesów, lub przetwarzanie służy ustaleniu, dochodzeniu lub obronie roszczeń.

16. Skarga do organu nadzorczego

Mogą Państwo złożyć skargę do każdego organu nadzorczego ds. ochrony danych (art. 77 RODO), w szczególności w państwie członkowskim swojego zwykłego pobytu, miejsca pracy lub miejsca domniemanego naruszenia. Właściwym dla nas organem jest urząd ochrony danych niemieckiego kraju związkowego, w którym mamy siedzibę. Lista niemieckich organów jest dostępna na stronie Datenschutzkonferenz.

17. Obowiązek podania danych i zautomatyzowane decyzje

Ze strony można korzystać bez konta. Dane wymagane w formularzach zamówienia, konta i opinii są nam potrzebne do danego celu; bez nich nie można go zrealizować. Poza tym nie ma ustawowego obowiązku ich podania. Nie stosujemy zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 RODO ani profilowania.