Polityka Prywatności

Administratorem Twoich danych osobowych jest:

Administrator przetwarza dane osobowe zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (RODO) oraz polskimi przepisami o ochronie danych osobowych.

Twoje dane osobowe przetwarzamy w następujących celach:

W związku z realizacją zamówień i świadczeniem usług przetwarzamy następujące kategorie danych:

• Dane identyfikacyjne: imię, nazwisko.
• Dane kontaktowe: adres email, numer telefonu.
• Dane adresowe: adres dostawy (ulica, miasto, kod pocztowy).
• Dane transakcyjne: historia zamówień, metoda płatności (Sprzedawca nie przechowuje pełnych danych kart płatniczych - są one przetwarzane wyłącznie po stronie operatora płatności).
• Dane techniczne: adres IP, dane cookies (za zgodą).

Twoje dane osobowe są powierzane wskazanym poniżej podmiotom przetwarzającym wyłącznie w zakresie i w celach niezbędnych do świadczenia usług. Wszyscy wymienieni odbiorcy są zobowiązani do zachowania poufności i stosowania odpowiednich środków bezpieczeństwa zgodnie z art. 28 RODO.

Operatorzy płatności i dostaw:

• Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlandia, CRO 469135) - obsługa płatności online (karty, BLIK, szybkie przelewy). Stripe może udostępniać dane podmiotom powiązanym (m.in. Stripe, Inc. w USA) w ramach swojej architektury, na podstawie wewnętrznych SCC; szczegóły w polityce Stripe.
• DPD Polska Sp. z o.o. (DPD Food) - realizacja dostawy w łańcuchu chłodniczym (imię, nazwisko, adres dostawy, telefon, email).

Dostawcy infrastruktury (podmioty przetwarzające w USA z SCC):

• Vercel Inc. (San Francisco, USA) - hosting aplikacji webowej, edge runtime, podstawowa analityka (Vercel Web Analytics - pseudonimowane wizyty).
• Supabase, Inc. (San Francisco, USA - z opcją regionu EU) - baza danych klientów, zamówień, autoryzacja kont, przechowywanie obrazów.
• Resend Inc. (Delaware, USA) - wysyłka emaili transakcyjnych (potwierdzenia zamówień, reset hasła) na zlecenie Administratora.
• Functional Software, Inc. dba Sentry (San Francisco, USA) - monitoring błędów aplikacji. PII (email, telefon, fullName) są redagowane po stronie aplikacji przed wysłaniem; logowane są m.in. adres IP, user-agent, breadcrumby nawigacyjne i metadane technicznych błędów.
• Upstash, Inc. (USA, multi-region) - Redis do ograniczenia liczby żądań (rate limiting). Przetwarza wyłącznie pseudonimowane adresy IP w celu ochrony przed nadużyciami; dane przechowywane do 24 godzin.

Analityka (przetwarzanie warunkowane Twoją zgodą):

• Google LLC / Google Ireland Limited (Google Tag Manager + Google Analytics 4) - analiza ruchu na stronie. Aktywowane wyłącznie po wyrażeniu zgody na cookies analityczne. Google stosuje SCC i Data Processing Addendum dla transferów do USA.

Pozostali odbiorcy:

• Biuro rachunkowe - księgowość i wystawianie faktur.
• Organy państwowe - gdy wymagają tego przepisy prawa.

Część naszych podmiotów przetwarzających znajduje się w Stanach Zjednoczonych. Każdy taki transfer odbywa się na podstawie zabezpieczeń wymaganych przez RODO (Rozdział V):

• Standardowe klauzule umowne UE (SCC) w wersji z 2021 r. - stosowane z każdym z procesorów wymienionych w §4 (Vercel, Supabase, Resend, Sentry, Upstash, Google).
• Decyzja Komisji Europejskiej w sprawie EU–US Data Privacy Framework (DPF) - dla podmiotów, które są certyfikowane w ramach DPF (m.in. Google, Vercel).
• Dodatkowe środki techniczne - szyfrowanie w tranzycie (TLS 1.2+), pseudonimizacja danych technicznych (IP), redakcja PII przed wysłaniem do narzędzi analitycznych i monitoringowych.

Możesz uzyskać kopię stosowanych SCC, pisząc na: kontakt@musmalina.pl.

Twoje dane osobowe przechowujemy przez okres:

• Dane związane z zamówieniami i fakturami: 5 lat od końca roku podatkowego, w którym dokonano transakcji (wymóg przepisów podatkowych).
• Dane konta użytkownika: do momentu usunięcia konta lub zgłoszenia żądania usunięcia danych.
• Dane do celów marketingowych: do momentu wycofania zgody.
• Dane z reklamacji: 3 lata od zakończenia postępowania reklamacyjnego.
• Logi serwerowe i błędy aplikacji (Sentry): 90 dni.
• Dane analityczne (GA4): 26 miesięcy (domyślna konfiguracja Google Analytics 4) - od momentu wyrażenia zgody na cookies analityczne.
• Dane rate-limitingu (Upstash): do 24 godzin.

W związku z przetwarzaniem Twoich danych osobowych przysługują Ci następujące prawa:

• Prawo dostępu do danych - możesz uzyskać informację o tym, jakie dane przetwarzamy.
• Prawo do sprostowania - możesz żądać poprawienia nieprawidłowych danych.
• Prawo do usunięcia („prawo do bycia zapomnianym") - możesz żądać usunięcia danych, gdy nie są już potrzebne.
• Prawo do ograniczenia przetwarzania - możesz ograniczyć przetwarzanie w określonych przypadkach.
• Prawo do przenoszenia danych - możesz otrzymać swoje dane w ustrukturyzowanym formacie.
• Prawo do sprzeciwu - możesz sprzeciwić się przetwarzaniu danych w celach marketingowych.
• Prawo do wycofania zgody - w przypadku przetwarzania na podstawie zgody, możesz ją wycofać w dowolnym momencie.

Aby skorzystać z powyższych praw, skontaktuj się z nami pod adresem: kontakt@musmalina.pl.

Masz również prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Nasza strona wykorzystuje pliki cookies (ciasteczka) - małe pliki tekstowe zapisywane na Twoim urządzeniu. Wykorzystujemy też zbliżone technologie: localStorage i sessionStorage przeglądarki. Stosujemy je w czterech kategoriach. Ustawieniami zarządzasz przez banner cookies i link „Zarządzaj cookies" w stopce.

Konieczne (zawsze aktywne, podstawa: prawnie uzasadniony interes / wykonanie umowy):

• mm_guest_checkout_id - identyfikator gościa w trakcie checkoutu (180 dni).
• mm_order_session - token sesji zamówienia (do 24h).
• mm_discount, mm_loyalty - pamięć podręczna rabatów (do 6h).
• sb-* - cookies sesji Supabase (autoryzacja zalogowanego konta).
• cc_cookie - zapisana decyzja w sprawie cookies (12 miesięcy).
• localStorage: koszyk, preferencja odbioru osobistego, zweryfikowany adres dostawy.

Funkcjonalne (za zgodą, ulepszają UX):

• Cache wyceny koszyka po stronie sessionStorage (mm_cart_pricing_preview:*) - eliminuje migotanie rabatu.

Analityczne (za zgodą, podstawa: zgoda):

• _ga, _ga_* - Google Analytics 4 (do 26 miesięcy).
• _gid - Google Analytics, identyfikator sesji (24h).
• Vercel Web Analytics - pseudonimizowane wizyty, bez identyfikatora urządzenia.

Marketingowe (za zgodą, podstawa: zgoda):

• Obecnie nie używamy cookies marketingowych (Meta Pixel, Google Ads itp.). Jeśli zostaną w przyszłości dodane, zaktualizujemy tę listę i poprosimy Cię o zgodę przed ich aktywacją.

Wycofać zgodę można w każdej chwili klikając „Zarządzaj cookies" w stopce strony lub usuwając pliki cookies w ustawieniach przeglądarki. Wyłączenie cookies koniecznych uniemożliwi działanie niektórych funkcji (np. koszyk, logowanie).

Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony Twoich danych osobowych, w tym:

• szyfrowanie połączenia (SSL/TLS),
• bezpieczne przechowywanie danych na serwerach z certyfikatami bezpieczeństwa,
• ograniczony dostęp do danych tylko dla upoważnionych osób,
• regularne kopie zapasowe.

Administrator nie podejmuje wobec Ciebie zautomatyzowanych decyzji wywołujących skutki prawne lub w podobny sposób istotnie wpływających na Twoją sytuację(w rozumieniu art. 22 RODO). Każde zamówienie weryfikujemy ręcznie przed realizacją.

Operator płatności Stripe może stosować zautomatyzowane systemy wykrywania nadużyć (Stripe Radar) w celu ochrony przed oszustwami płatniczymi. Decyzje te są podejmowane przez Stripe jako odrębnego administratora - szczegóły i prawo do interwencji człowieka opisuje polityka prywatności Stripe.

Jeśli aktywujesz cookies analityczne, Google Analytics 4 może tworzyć zagregowane raporty o demografii i zachowaniach grup użytkowników. Te dane są pseudonimizowane i nie pozwalają na identyfikację pojedynczej osoby.

Zastrzegamy sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności. O wszelkich zmianach będziemy informować poprzez aktualizację daty publikacji na tej stronie.

W przypadku istotnych zmian, możemy dodatkowo powiadomić Cię drogą mailową (jeśli posiadasz konto w naszym sklepie).

W przypadku pytań dotyczących przetwarzania danych osobowych lub chęci skorzystania ze swoich praw, skontaktuj się z nami: