Polityka prywatności

2. Jakie dane zbieramy i skąd

Rezerwacja w przedsprzedaży i powiadomienie o dostępności: adres e-mail, ilość, ewentualne uwagi, język strony oraz kraj ustalony z lokalizacji sieciowej (sam kod kraju, bez adresu IP).

Zamówienie i konto klienta: imię i nazwisko, adres dostawy i rozliczeniowy, e-mail, telefon, dane do faktury (w tym nazwa firmy i NIP), historia zamówień, numer przesyłki. Dane karty, BLIK czy przelewu trafiają wyłącznie do operatora płatności Stripe — my ich nie widzimy i nie przechowujemy; od Stripe otrzymujemy jedynie status płatności, ostatnie cyfry karty i wynik weryfikacji.

Klub Pierwszych (newsletter): adres e-mail, język, data i źródło zapisu. Formularz kontaktowy: imię, e-mail, treść wiadomości.

Skąd nas znalazłeś: przy pierwszym wejściu zapisujemy w Twojej przeglądarce (localStorage) kanał wejścia — np. wyszukiwarka, asystent AI, media społecznościowe, link z kampanii (parametry utm) — i stronę wejścia. Zapis nie zawiera identyfikatora osoby ani urządzenia; dołączamy go do rezerwacji, zapisu lub zamówienia tylko po to, by wiedzieć, które kanały działają.

Anonimowa statystyka odwiedzin: kolejność odwiedzanych podstron i otwarć kart produktów w ramach jednej wizyty, powiązana z losowym identyfikatorem sesji w sessionStorage (znika po zamknięciu karty). Nie zapisujemy adresu IP ani danych pozwalających Cię zidentyfikować. Adres IP jest przetwarzany ulotnie przez hosting (logi bezpieczeństwa, ochrona przed nadużyciami, limit zgłoszeń) i nie trafia do naszej bazy.

Dane od osób trzecich: Stripe przekazuje nam status płatności i wynik oceny ryzyka; przewoźnik — status doręczenia. Innych danych o Tobie nie pozyskujemy z zewnętrznych źródeł.

3. Cele i podstawy prawne

Przyjęcie i obsługa rezerwacji przedsprzedażowej, realizacja umowy sprzedaży i prowadzenie konta, w tym kontakt w sprawie dostawy — art. 6 ust. 1 lit. b RODO (umowa lub działania przed jej zawarciem).

Wystawianie faktur, księgowość, rozpatrywanie reklamacji i odstąpień, obowiązki z zakresu bezpieczeństwa produktów — art. 6 ust. 1 lit. c RODO (obowiązek prawny).

Newsletter Klubu Pierwszych i powiadomienia o dostępności — art. 6 ust. 1 lit. a RODO (zgoda), którą wycofasz w każdej chwili linkiem w wiadomości lub pisząc do nas; wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

Odpowiedzi na wiadomości, ochrona przed nadużyciami i botami, zapobieganie oszustwom płatniczym, anonimowa statystyka odwiedzin, analiza kanałów pozyskania klientów oraz ustalenie, dochodzenie i obrona roszczeń — art. 6 ust. 1 lit. f RODO (nasz uzasadniony interes: bezpieczne prowadzenie i rozwój sklepu).

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne. Operator płatności Stripe ocenia automatycznie ryzyko oszustwa (Stripe Radar) i może odrzucić transakcję — robi to jako niezależny administrator, a Ty możesz wybrać inną metodę płatności lub skontaktować się z nami.

4. Komu przekazujemy dane

Tylko podmiotom niezbędnym do działania sklepu, na podstawie umów powierzenia (podmioty przetwarzające) lub jako odrębnym administratorom: Vercel Inc. (hosting strony, funkcje serwerowe, Vercel Analytics), Neon Inc. (baza danych sklepu), Stripe Payments Europe Ltd. (płatności i zapobieganie oszustwom — odrębny administrator), Resend Inc. (wysyłka e-maili transakcyjnych i newslettera), Apaczka sp. z o.o. oraz przewoźnicy realizujący dostawę (DPD, DHL, GLS, UPS, kurierzy paletowi — odrębni administratorzy w zakresie doręczenia), biuro rachunkowe oraz — w razie sporu — kancelaria prawna. Organom publicznym udostępniamy dane wyłącznie na podstawie przepisów prawa.

Część tych dostawców ma serwery poza Europejskim Obszarem Gospodarczym (USA). Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej o adekwatności (EU-U.S. Data Privacy Framework) lub standardowych klauzul umownych zatwierdzonych przez Komisję; kopię zabezpieczeń udostępnimy na życzenie. Nie sprzedajemy Twoich danych i nie udostępniamy ich sieciom reklamowym.

5. Jak długo przechowujemy dane

Rezerwacje przedsprzedażowe: do zrealizowania lub anulowania, a potem maksymalnie 12 miesięcy na wypadek pytań. Zamówienia, faktury i korespondencja reklamacyjna: 5 lat od końca roku podatkowego, w którym wystawiono fakturę (przepisy podatkowe), a w zakresie roszczeń — do upływu terminów przedawnienia (co do zasady 6 lat). Konto klienta: do jego usunięcia. Zgody marketingowe: do wycofania zgody; potem przez 3 lata przechowujemy jedynie dowód, że zgoda była i została wycofana. Wiadomości z formularza: do 12 miesięcy po zakończeniu sprawy. Anonimowa statystyka odwiedzin: 24 miesiące. Logi bezpieczeństwa hostingu: do 30 dni.

6. Twoje prawa

Masz prawo dostępu do danych i otrzymania ich kopii, sprostowania, usunięcia („prawo do bycia zapomnianym”), ograniczenia przetwarzania, przenoszenia danych (w zakresie przetwarzanym na podstawie umowy lub zgody), wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie — w tym w każdej chwili wobec marketingu bezpośredniego — oraz wycofania zgody w dowolnym momencie. Wystarczy e-mail na office@saribali.com; odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

Masz też prawo wnieść skargę do organu nadzorczego: w Polsce do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl), a jeśli mieszkasz w innym kraju UE — do organu nadzorczego w tym kraju.

Podanie danych jest dobrowolne, ale bez adresu e-mail nie przyjmiemy rezerwacji, a bez adresu dostawy i danych do faktury nie zrealizujemy zamówienia. Sklep nie jest kierowany do osób poniżej 16. roku życia i świadomie nie zbieramy ich danych.

7. Pliki cookie i pamięć przeglądarki

Używamy wyłącznie plików i wpisów niezbędnych do działania strony, na które zgodnie z art. 173 ust. 3 Prawa telekomunikacyjnego i art. 5 ust. 3 dyrektywy 2002/58/WE nie jest wymagana zgoda: ciasteczko sesji koszyka i konta (Payload, do 2 dni), ciasteczko wybranego języka (NEXT_LOCALE), ciasteczko dostępu do wersji roboczej sklepu (do 30 dni), ciasteczka operatora płatności Stripe na stronie płatności (zapobieganie oszustwom) oraz wpisy localStorage/sessionStorage z listą ostatnio oglądanych przedmiotów, wybranym motywem, zamkniętym paskiem informacyjnym, anonimowym identyfikatorem wizyty i kanałem wejścia. Żaden z nich nie śledzi Cię między stronami innych firm.

Nie używamy ciasteczek reklamowych ani zewnętrznej analityki opartej na ciasteczkach, dlatego nie wyświetlamy banera zgody. Vercel Analytics mierzy odwiedziny bez ciasteczek i bez identyfikowania osób (zanonimizowany skrót zapytania, bez adresu IP w bazie). Czcionki serwujemy z własnego serwera — nie łączymy się z Google Fonts. Jeżeli w przyszłości wdrożymy narzędzia wymagające zgody, najpierw o nią zapytamy.

8. Bezpieczeństwo i zmiany polityki

Połączenie ze stroną jest szyfrowane (HTTPS, HSTS). Dostęp do panelu sklepu mają wyłącznie osoby prowadzące Sari Bali, po zalogowaniu z blokadą po nieudanych próbach; dane w bazie są szyfrowane w spoczynku i w transmisji. Publiczne formularze mają zabezpieczenia przed automatami (limity zgłoszeń, pola-pułapki). O naruszeniu ochrony danych, które mogłoby powodować wysokie ryzyko dla Twoich praw, poinformujemy Cię bez zbędnej zwłoki.

Politykę aktualizujemy, gdy zmieniają się narzędzia lub przepisy. Datę ostatniej zmiany podajemy poniżej; o istotnych zmianach poinformujemy na stronie, a posiadaczy kont — e-mailem.