Polityka prywatności
Wersja 1.0
Polityka prywatności Nano Car Club
1. Administrator danych
Administratorem Państwa danych osobowych jest Nano Car Club Sp. z o.o. z siedzibą w Bielsku-Białej (43-300), ul. Lipnicka 51, KRS [...], NIP [...].
Kontakt w sprawach danych osobowych: [...] (e-mail), [...] (telefon).
[DO USTALENIA] *— czy powołano Inspektora Ochrony Danych. Dla działalności tej skali zwykle nie jest wymagany (art. 37 RODO), ale decyzję warto odnotować.*
2. Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie
2.1. Zamówienia w sklepie internetowym
Dane — imię i nazwisko, adres e-mail, numer telefonu, adres dostawy (ulica, kod pocztowy, miejscowość, kraj) lub kod paczkomatu, zawartość zamówienia, kwota, numer zamówienia
Cel — zawarcie i wykonanie umowy sprzedaży, dostawa, obsługa płatności, kontakt w sprawie zamówienia
Podstawa — art. 6 ust. 1 lit. b RODO — niezbędność do wykonania umowy
Okres — przez czas realizacji umowy, następnie do upływu terminów przedawnienia roszczeń oraz terminów wynikających z przepisów podatkowych i rachunkowych (co do zasady 5 lat od końca roku, w którym powstał obowiązek podatkowy)
2.2. Rezerwacja terminu usługi
Dane — imię i nazwisko, telefon, e-mail, marka, model i rok pojazdu, opcjonalnie numer rejestracyjny, wybrana usługa i termin, uwagi
Cel — umówienie i wykonanie usługi, kontakt w sprawie terminu
Podstawa — art. 6 ust. 1 lit. b RODO — działania przed zawarciem umowy i jej wykonanie
Okres — przez czas realizacji usługi, następnie do upływu terminów przedawnienia roszczeń
2.3. Zapytania ofertowe (konfigurator Starlight, formularz kontaktowy)
Dane — imię i nazwisko, e-mail, telefon, dane pojazdu, treść zapytania i parametry konfiguracji
Cel — udzielenie odpowiedzi i przygotowanie oferty
Podstawa — art. 6 ust. 1 lit. b RODO (działania na żądanie przed zawarciem umowy) oraz art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes polegający na obsłudze korespondencji
Okres — [...] miesięcy od ostatniego kontaktu [DO USTALENIA] *— sugerowane 12–24 miesiące*
2.4. Historia klienta i pojazdu (kartoteka serwisowa)
Dane — dane kontaktowe klienta, powiązane z nimi pojazdy (marka, model, rok, numer rejestracyjny, VIN jeżeli podano) oraz historia zamówień, rezerwacji i wykonanych usług
Cel — prowadzenie historii serwisowej pojazdu, obsługa reklamacji i gwarancji, przypomnienia o ponowieniu usługi (np. odnowienie powłoki ceramicznej)
Podstawa — art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes polegający na obsłudze klienta, prowadzeniu dokumentacji wykonanych prac i utrzymaniu relacji z klientem
Okres — [...] lat od ostatniej usługi [DO USTALENIA]
Wyjaśnienie: rekordy klienta i pojazdu tworzone są automatycznie na podstawie
zamówienia, rezerwacji lub zapytania — poprzez dopasowanie po adresie e-mail lub numerze
telefonu. Jeżeli ta sama osoba składa kolejne zamówienie, dane trafiają do istniejącej
kartoteki zamiast tworzyć nową. [DO USTALENIA] *— prawnik powinien ocenić, czy
przypomnienia o ponowieniu usługi mieszczą się w uzasadnionym interesie, czy wymagają
zgody marketingowej. Rozróżnienie: przypomnienie serwisowe dotyczące wykonanej pracy
zwykle mieści się w art. 6 ust. 1 lit. f; oferta nowych usług to już marketing.*
2.5. Reklamacje i odstąpienia od umowy
Dane — dane identyfikacyjne i kontaktowe, treść zgłoszenia, numer rachunku bankowego do zwrotu
Cel — rozpatrzenie zgłoszenia i dokonanie zwrotu
Podstawa — art. 6 ust. 1 lit. c RODO — obowiązek prawny; art. 6 ust. 1 lit. f — obrona przed roszczeniami
Okres — do upływu terminów przedawnienia roszczeń
2.6. Dokumentacja księgowa
Dane — dane niezbędne do wystawienia faktury lub paragonu
Cel — wypełnienie obowiązków podatkowych i rachunkowych
Podstawa — art. 6 ust. 1 lit. c RODO w zw. z ustawą o rachunkowości i Ordynacją podatkową
Okres — 5 lat od końca roku kalendarzowego, w którym powstał obowiązek podatkowy
3. Czy podanie danych jest obowiązkowe
Podanie danych jest dobrowolne, ale niezbędne do zawarcia i wykonania umowy. Bez adresu e-mail nie jest technicznie możliwe zarejestrowanie płatności ani przesłanie potwierdzenia zamówienia. Bez adresu dostawy nie jest możliwa wysyłka Towaru.
4. Komu przekazujemy dane
Dane mogą być przekazywane następującym kategoriom odbiorców, wyłącznie w zakresie niezbędnym do realizacji wskazanych celów:
Odbiorca — Rola — Zakres
PayPro S.A. (Przelewy24), Poznań — operator płatności — odrębny administrator — imię i nazwisko, e-mail, kwota, identyfikator transakcji
Resend, Inc., USA — dostawca poczty transakcyjnej — podmiot przetwarzający — adres e-mail, treść potwierdzenia zamówienia
Supabase (baza danych, region UE — Frankfurt) — podmiot przetwarzający — wszystkie dane zamówień, rezerwacji i kartoteki
Hostinger International Ltd., Litwa — hosting aplikacji — podmiot przetwarzający — dane przetwarzane w ramach działania serwisu
Google Ireland Ltd. — mapa dojazdu osadzona na stronie kontaktu — adres IP i dane przeglądarki użytkownika odwiedzającego stronę
Firmy kurierskie / InPost S.A. — doręczenie przesyłki — odrębni administratorzy — imię i nazwisko, adres lub kod paczkomatu, telefon
Biuro rachunkowe [...] — obsługa księgowa — podmiot przetwarzający — dane z dokumentów księgowych
Kancelaria prawna, podmioty windykacyjne — w razie sporu — zakres niezbędny do dochodzenia roszczeń
[DO USTALENIA] *— należy zweryfikować i uzupełnić: nazwę biura rachunkowego, oraz potwierdzić, czy zawarto umowy powierzenia przetwarzania (art. 28 RODO) z Resend, Supabase i Hostingerem. Wszyscy trzej udostępniają standardowe DPA do zaakceptowania online.*
5. Przekazywanie danych poza EOG
Dane przechowywane są w Unii Europejskiej. Wyjątkiem jest Resend, Inc. z siedzibą w Stanach Zjednoczonych, wykorzystywany do wysyłki wiadomości transakcyjnych — przekazanie odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, a od 2023 r. dodatkowo w oparciu o decyzję o adekwatności dla Data Privacy Framework, o ile dostawca jest do niego przystąpiony.
[DO USTALENIA] *— potwierdzić aktualny status certyfikacji Resend w DPF. Jeżeli nie jest certyfikowany, podstawą pozostają standardowe klauzule umowne i należy to tak opisać. Alternatywą jest wybór dostawcy poczty z infrastrukturą w UE.*
6. Pliki cookies
Serwis wykorzystuje wyłącznie pliki cookies i mechanizmy pamięci przeglądarki niezbędne do działania serwisu, w szczególności do:
- utrzymania zawartości koszyka pomiędzy podstronami,
- zapamiętania sesji administratora po zalogowaniu do panelu,
- zapewnienia bezpieczeństwa sesji.
Pliki te są niezbędne do świadczenia usługi żądanej przez użytkownika, w związku z czym ich stosowanie nie wymaga zgody (art. 173 ust. 3 pkt 2 Prawa telekomunikacyjnego).
Serwis nie wykorzystuje obecnie narzędzi analitycznych ani marketingowych — w tym Google Analytics, piksela Meta ani systemów remarketingowych.
Osadzona mapa Google na stronie kontaktu może zapisywać własne pliki cookies po załadowaniu mapy. [DO USTALENIA] *— mapa ładowana jest dopiero po interakcji użytkownika (lazy loading), co ogranicza problem, ale prawnik powinien ocenić, czy wymagany jest mechanizm zgody. Najprostsze rozwiązanie: zastąpienie osadzonej mapy statycznym obrazem z odnośnikiem do Map Google.*
Ważne przy rozbudowie serwisu: dodanie jakiegokolwiek narzędzia analitycznego lub
marketingowego wymaga wdrożenia banera zgody działającego zgodnie z wytycznymi
(zgoda uprzednia, równie łatwa odmowa jak akceptacja, brak zgody domyślnej) oraz
aktualizacji niniejszego rozdziału.
7. Prawa osób, których dane dotyczą
Przysługuje Państwu prawo do:
na podstawie przepisów podatkowych lub w celu obrony przed roszczeniami,
w tym wobec przypomnień serwisowych (art. 21),
podstawie; cofnięcie nie wpływa na zgodność z prawem przetwarzania dokonanego przed cofnięciem,
00-193 Warszawa.
- dostępu do danych oraz otrzymania ich kopii (art. 15 RODO),
- sprostowania danych nieprawidłowych lub uzupełnienia niekompletnych (art. 16),
- usunięcia danych (art. 17) — z zastrzeżeniem danych, które musimy zachować
- ograniczenia przetwarzania (art. 18),
- przenoszenia danych przetwarzanych na podstawie umowy lub zgody (art. 20),
- sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie —
- cofnięcia zgody w dowolnym momencie, jeżeli przetwarzanie odbywa się na jej
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2,
Wnioski prosimy kierować na adres [...]. Odpowiadamy bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania wniosku.
8. Zautomatyzowane podejmowanie decyzji
Dane nie są wykorzystywane do zautomatyzowanego podejmowania decyzji wywołujących skutki prawne ani do profilowania w rozumieniu art. 22 RODO.
9. Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności: szyfrowanie transmisji (HTTPS), ograniczenie dostępu do panelu administracyjnego do uwierzytelnionych użytkowników oraz przechowywanie danych u dostawców zapewniających odpowiedni poziom bezpieczeństwa. Nie przechowujemy danych kart płatniczych — obsługuje je wyłącznie operator płatności.
10. Zmiany polityki
Polityka może być aktualizowana. Aktualna wersja jest zawsze dostępna na stronie serwisu wraz z datą ostatniej zmiany.