1) ADMINISTRATOR DANYCH I DANE KONTAKTOWE

Administratorem Twoich danych osobowych jest:

Punkt kontaktowy w sprawach danych osobowych: shop@steprovia.com lub Kontakt z nami. Administrator może (jeżeli wymagają tego przepisy lub potrzeby organizacyjne) wyznaczyć Inspektora Ochrony Danych (IOD) — w takim przypadku dane kontaktowe IOD zostaną opublikowane w Sklepie.

2) KOGO DOTYCZY KLAUZULA I SKĄD POCHODZĄ DANE

1. Klauzula dotyczy w szczególności:
   • Klientów i osób składających zamówienia w Sklepie,
   • Użytkowników Konta Klienta (Moje konto),
   • Subskrybentów Newslettera (jeżeli aktywny),
   • Osób kontaktujących się ze Sklepem (e-mail/telefon/formularze),
   • Osób składających oświadczenia dot. odstąpienia, wymiany, reklamacji,
   • Użytkowników odwiedzających Sklep (dane techniczne/cookies — zgodnie z ustawieniami zgód).
2. Dane co do zasady pochodzą bezpośrednio od Ciebie (np. checkout, konto, kontakt, zgłoszenia).
3. Dane mogą pochodzić również:
   • z logów technicznych i bezpieczeństwa (np. adres IP, identyfikatory sesji),
   • od operatorów płatności/banków (wyłącznie w zakresie informacji niezbędnych do rozliczenia przelewu lub zwrotu),
   • od przewoźnika (np. status doręczenia, informacja o próbie doręczenia),
   • z narzędzi cookies/analitycznych/marketingowych — tylko w zakresie Twoich zgód (patrz: Polityka plików cookies).

3) JAKIE DANE MOŻEMY PRZETWARZAĆ (KATEGORIE)

Zakres danych zależy od tego, z jakich funkcji korzystasz. Najczęściej przetwarzamy:

1. Dane identyfikacyjne – imię i nazwisko (lub nazwa podmiotu), ewentualnie dane do faktury.
2. Dane kontaktowe – e-mail, numer telefonu (jeżeli podany).
3. Dane dostawy – adres dostawy, dane odbiorcy.
4. Dane transakcyjne – zamówienia, kwoty, wybrana metoda płatności (przelew/COD), status realizacji, zwroty, wymiany, reklamacje.
5. Dane rozliczeniowe – paragon; dane do faktury, NIP (jeżeli żądasz faktury i podasz te dane).
6. Dane komunikacyjne – treść kontaktu i zgłoszeń oraz ustalenia (np. dostawa poza PL po wcześniejszym kontakcie).
7. Dane techniczne – IP, identyfikatory sesji, znaczniki czasu, informacje o przeglądarce/urządzeniu, logi bezpieczeństwa.
8. Dane dot. zgód – zgody marketingowe i cookies (np. log zgody w Cookie-Script), preferencje komunikacji.

Prosimy o niepodawanie danych nadmiarowych (np. informacji wrażliwych) w korespondencji — nie są potrzebne do obsługi zamówień.

4) CELE PRZETWARZANIA I PODSTAWY PRAWNE (LEGAL BASIS)

Przetwarzamy dane w jasno zdefiniowanych celach, w oparciu o odpowiednie podstawy prawne RODO:

5) ODBIORCY DANYCH (KATEGORIE PODMIOTÓW)

Dane mogą zostać ujawnione wyłącznie w zakresie niezbędnym do realizacji celów („need-to-know”) następującym kategoriom odbiorców:

1. Przewoźnik: InPost (kurier) — dane do doręczenia przesyłki i obsługi doręczenia.
2. Banki i rozliczenia: bank prowadzący rachunek Administratora oraz bank Klienta — w zakresie realizacji przelewów i rozliczeń.
3. Dostawcy IT: hosting, utrzymanie serwisu, poczta e-mail, kopie zapasowe, bezpieczeństwo, wsparcie techniczne.
4. Cookie-Script (CMP): cookie-script.com — obsługa panelu zgód, rejestr zgód, konfiguracja preferencji cookies.
5. Narzędzia analityczne/marketingowe: dostawcy narzędzi pomiarowych i reklamowych — tylko zgodnie z Twoimi zgodami cookies.
6. Wsparcie biznesowe: biuro rachunkowe, kancelaria prawna, dostawcy narzędzi obsługi klienta — jeżeli Administrator korzysta.
7. Organy publiczne: podmioty uprawnione na podstawie przepisów (np. organy podatkowe) — w zakresie wymaganym prawem.

Jeżeli dany podmiot działa jako „podmiot przetwarzający”, Administrator zawiera umowę powierzenia przetwarzania danych i egzekwuje standardy poufności oraz bezpieczeństwa.

6) PRZEKAZYWANIE DANYCH POZA EOG

1. W zależności od wykorzystywanych narzędzi (np. analitycznych/marketingowych) dane mogą być przekazywane do państw spoza EOG. Jeżeli taki transfer występuje, Administrator stosuje wymagane prawem zabezpieczenia (np. standardowe klauzule umowne lub inne instrumenty legalizujące transfer).
2. Szczegóły dotyczące cookies i dostawców technologii (jeżeli aktywne) znajdują się w: Polityce plików cookies.

7) OKRES PRZECHOWYWANIA DANYCH (RETENCJA)

Dane są przechowywane przez okres adekwatny do celu, nie dłużej niż to konieczne. Standardowe zasady retencji:

1. Zamówienia i dokumenty rozliczeniowe: przez okres wymagany przepisami podatkowymi i rachunkowymi (w praktyce do upływu terminów przedawnienia obowiązków publicznoprawnych).
2. Zwroty, wymiany, reklamacje, roszczenia: przez czas obsługi sprawy, a następnie przez okres przedawnienia roszczeń lub do czasu zakończenia postępowań.
3. Konto Klienta: przez okres utrzymywania konta; po usunięciu konta — w zakresie niezbędnym do rozliczeń i celów dowodowych.
4. Newsletter i zgody: do czasu wycofania zgody/wypisania; następnie przez czas potrzebny do wykazania faktu udzielenia zgody (rozliczalność).
5. Kontakt i korespondencja: przez czas obsługi kontaktu oraz przez okres niezbędny dla jakości obsługi i roszczeń.
6. Cookies i identyfikatory online: zgodnie z ustawieniami cookies, konfiguracją panelu zgód Cookie-Script i ustawieniami przeglądarki (szczegóły w Polityce cookies).
7. Logi bezpieczeństwa: przez okres uzasadniony bezpieczeństwem i diagnostyką, z poszanowaniem minimalizacji.

8) TWOJE PRAWA (DATA SUBJECT RIGHTS)

W granicach przepisów przysługują Ci następujące prawa:

1. Prawo dostępu do danych oraz uzyskania kopii danych.
2. Prawo sprostowania danych (korekta danych nieprawidłowych/uzupełnienie).
3. Prawo usunięcia danych („bycie zapomnianym”) — w przypadkach przewidzianych prawem.
4. Prawo ograniczenia przetwarzania — w przypadkach przewidzianych prawem.
5. Prawo przenoszenia danych — gdy podstawą jest zgoda lub umowa i przetwarzanie jest zautomatyzowane.
6. Prawo sprzeciwu — wobec przetwarzania opartego na uzasadnionym interesie, w tym wobec marketingu bezpośredniego.
7. Prawo wycofania zgody — w dowolnym momencie (bez wpływu na zgodność z prawem działań dokonanych przed wycofaniem).
8. Prawo wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych (PUODO).

Wnioski dotyczące realizacji praw kieruj na: shop@steprovia.com. W uzasadnionych sytuacjach Administrator może poprosić o dodatkowe informacje, aby zweryfikować tożsamość osoby składającej wniosek (security & compliance).

9) CZY PODANIE DANYCH JEST OBOWIĄZKOWE

1. Podanie danych jest co do zasady dobrowolne, ale niezbędne do realizacji określonych celów:
   • bez danych identyfikacyjnych i adresowych nie jest możliwe zawarcie i wykonanie umowy sprzedaży (dostawa),
   • bez e-mail nie jest możliwe przesłanie potwierdzeń transakcyjnych i kontakt w sprawie realizacji,
   • bez danych do faktury (w tym NIP) nie jest możliwe wystawienie faktury zgodnie z Twoim żądaniem.
2. Zgody marketingowe i cookies (inne niż niezbędne) są dobrowolne — ich brak nie powinien blokować zakupów, ale może ograniczyć personalizację i analitykę.

10) ZAUTOMATYZOWANE DECYZJE I PROFILOWANIE

1. Administrator co do zasady nie podejmuje decyzji wywołujących skutki prawne lub podobnie istotne wyłącznie w sposób zautomatyzowany.
2. W zakresie analityki/marketingu mogą występować mechanizmy profilowania (np. dopasowanie treści, pomiar konwersji, remarketing), wyłącznie w oparciu o Twoje zgody cookies i ustawienia panelu Cookie-Script (szczegóły w Polityce cookies).
3. W celu ochrony bezpieczeństwa mogą działać automatyczne reguły antyfraudowe (np. wykrywanie nadużyć i nietypowych zachowań), które służą ochronie interesów Administratora oraz Klientów i nie są wykorzystywane do podejmowania decyzji „prawnie istotnych” wyłącznie automatycznie.

11) BEZPIECZEŃSTWO I POUFNOŚĆ

Administrator stosuje adekwatne środki organizacyjne i techniczne w celu ochrony danych (m.in. SSL, kontrola dostępu, kopie zapasowe, procedury reagowania na incydenty). Administrator zapewnia też spójność procesów sprzedażowych i rozliczeniowych w zakresie zależnym od Administratora oraz jego zaufanych dostawców (vendor management).

Rekomendacja operacyjna: dbaj o bezpieczeństwo swojej poczty e-mail i urządzeń (aktualizacje, silne hasła, ostrożność wobec phishingu), ponieważ jest to element wspólnego modelu bezpieczeństwa.

12) ZMIANY KLAUZULI

1. Administrator może aktualizować Klauzulę w szczególności w przypadku zmian przepisów, zmian procesów lub dostawców narzędzi (np. cookies/analityka/marketing).
2. Aktualna wersja jest publikowana na stronie: RODO — klauzula informacyjna.
3. Klauzula obowiązuje od dnia 10.01.2026 r.