Dokument prawny
Polityka prywatności
Wersja 2.0 — obowiązuje od 21 czerwca 2026 r.
§ 1. Administrator danych osobowych
- Administratorem danych osobowych jest Il Buon Caffe Dariusz Praczyk, jednoosobowa działalność gospodarcza, ul. Biskupa Czesława Domina 3/6, Koszalin, NIP 6692036051, REGON 330511794 (dalej „Administrator").
- Kontakt w sprawach danych osobowych: e-mail kontakt@ilbuoncaffe.pl, tel. +48 664 937 937, adres korespondencyjny jak wyżej.
- Administrator nie wyznaczył Inspektora Ochrony Danych. We wszystkich sprawach dotyczących przetwarzania danych można kontaktować się bezpośrednio z Administratorem.
§ 2. Słowniczek
- RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.
- Dane osobowe – informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
- Sklep – sklep internetowy ilbuoncaffe.pl.
- Użytkownik – osoba, której dane dotyczą (Klient, osoba odwiedzająca Sklep, subskrybent Newslettera, osoba odbierająca przesyłkę).
- EOG – Europejski Obszar Gospodarczy.
§ 3. Cele, podstawy prawne i okresy przechowywania
| Cel przetwarzania | Zakres danych | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Prowadzenie Konta | imię, e-mail, hasło (w postaci zaszyfrowanej) | art. 6 ust. 1 lit. b RODO (umowa) | do usunięcia/anonimizacji Konta |
| Rejestr zgód na pliki cookies (wykazanie zgody) | losowy identyfikator zgody, zaznaczone kategorie, wersja Polityki cookies, data, adres IP, identyfikator przeglądarki | art. 6 ust. 1 lit. c RODO w zw. z art. 7 ust. 1 RODO (obowiązek wykazania zgody) | 3 lata od zapisania wpisu; starsze wpisy są usuwane automatycznie |
| Lista ulubionych produktów (Konto) | identyfikatory produktów (SKU) powiązane z Kontem | art. 6 ust. 1 lit. b RODO (umowa – funkcja Konta, wygoda zakupów) | do usunięcia produktu z listy albo usunięcia/anonimizacji Konta |
| Rekomendacje produktowe na Koncie („Kup ponownie”) | identyfikatory produktów (SKU) z wcześniejszych zamówień Użytkownika | art. 6 ust. 1 lit. f RODO (uzasadniony interes – ułatwienie ponownego zakupu) | dane nie są przechowywane odrębnie – lista powstaje na bieżąco z historii zamówień |
| Realizacja zamówienia i umowy sprzedaży | imię, nazwisko, adres dostawy, telefon, e-mail; opcjonalnie nazwa firmy i NIP | art. 6 ust. 1 lit. b RODO | do czasu realizacji, następnie zgodnie z obowiązkami podatkowymi (poniżej) |
| Wystawianie faktur i rozliczenia podatkowe | dane do faktury, kwoty, historia transakcji | art. 6 ust. 1 lit. c RODO (ustawa o rachunkowości, ustawa o VAT) | 5 lat licząc od końca roku kalendarzowego, w którym powstał obowiązek podatkowy |
| Obsługa płatności | e-mail, kwota, numer zamówienia (przekazywane operatorowi); Administrator nie przechowuje danych kart | art. 6 ust. 1 lit. b i c RODO | jak dla zamówień/faktur |
| Bezpieczeństwo i przeciwdziałanie nadużyciom | adres IP, dane przeglądarki (user agent), czas logowania, liczba nieudanych prób | art. 6 ust. 1 lit. f RODO (uzasadniony interes – ochrona Sklepu i Użytkowników) | 1 rok |
| Rejestr zgód (rozliczalność) | typ zgody, wersja dokumentu, data, IP, user agent | art. 6 ust. 1 lit. c RODO oraz art. 7 RODO | do wycofania zgody + 3 lata (przedawnienie roszczeń) |
| Newsletter / marketing e-mail | adres e-mail (opcjonalnie imię) | art. 6 ust. 1 lit. a RODO (zgoda) w zw. z art. 398 Prawa komunikacji elektronicznej | do wycofania zgody |
| Analityka (Google Analytics 4, Microsoft Clarity) | identyfikator pliku cookie, dane o wizytach, a w przypadku Clarity także zapis interakcji ze stroną (ruch kursora, kliknięcia, przewijanie) z pominięciem zamaskowanej treści pól formularzy | art. 6 ust. 1 lit. a RODO (zgoda) | Google Analytics 4 – do 14 miesięcy; nagrania w Clarity – 30 dni (ulubione i losowa próbka do 9 miesięcy) |
| Weryfikacja pełnoletności (sprzedaż alkoholu) | oświadczenie o pełnoletności | art. 6 ust. 1 lit. c RODO (ustawa o wychowaniu w trzeźwości) | jak dla zamówień |
| Obsługa zamówień z zewnętrznych platform sprzedażowych | dane kupującego przekazane przez operatora platformy | art. 6 ust. 1 lit. b i c RODO | jak dla zamówień/faktur |
| Dostawa do osoby trzeciej (inny odbiorca) | imię, nazwisko, adres, telefon odbiorcy | art. 6 ust. 1 lit. f RODO (uzasadniony interes – realizacja dostawy) | do czasu realizacji dostawy |
| Obsługa zapytań (formularz/e-mail) | dane podane w zapytaniu | art. 6 ust. 1 lit. f RODO (uzasadniony interes – udzielenie odpowiedzi) | do zakończenia korespondencji, nie dłużej niż 1 rok |
| Opinie o produktach (publikacja i moderacja) | podpis autora, treść i ocena, adres e-mail lub numer zamówienia użyty do potwierdzenia zakupu, adres IP | art. 6 ust. 1 lit. a RODO (zgoda — publikacja opinii) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes — weryfikacja pochodzenia opinii i przeciwdziałanie nadużyciom) | do wycofania zgody lub usunięcia opinii |
| Zwroty, odstąpienia od umowy i reklamacje | dane zgłaszającego, dane zamówienia, opis żądania, załączone zdjęcia, numer rachunku bankowego do zwrotu płatności | art. 6 ust. 1 lit. c RODO (obowiązek prawny — rozpatrzenie zgłoszenia) oraz art. 6 ust. 1 lit. b RODO (wykonanie umowy) | przez okres przedawnienia roszczeń, nie krócej niż wymagają tego przepisy podatkowe |
| Dochodzenie i obrona przed roszczeniami | dane niezbędne do ustalenia/obrony roszczeń | art. 6 ust. 1 lit. f RODO | do przedawnienia roszczeń |
| Zaproszenie do ankiety w programie Opinie konsumenckie Google (po wyrażeniu zgody) | adres e-mail, numer zamówienia, kraj dostawy, przewidywana data doręczenia, numery EAN zamówionych Towarów | art. 6 ust. 1 lit. a RODO (zgoda) | dane przekazywane jednorazowo przy wyświetleniu modułu na stronie potwierdzenia zamówienia; okres ich przechowywania określa Google |
Dodatkowo: dane sesji wygasłych przechowywane są przez okres do 30 dni po wygaśnięciu (na podstawie art. 6 ust. 1 lit. f RODO – bezpieczeństwo IT i wykrywanie nadużyć, np. ponownego użycia unieważnionych tokenów), po czym są trwale usuwane; logi audytu zmian danych Użytkownika do 1 roku, a logi synchronizacji z zewnętrznymi platformami sprzedażowymi do 90 dni.
Lista ulubionych produktów służy wyłącznie wygodzie korzystania ze Sklepu (szybki powrót do wybranych produktów) i nie jest wykorzystywana do marketingu, profilowania ani wysyłki powiadomień. U Użytkownika niezalogowanego lista zapisywana jest wyłącznie lokalnie w przeglądarce (pamięć localStorage) i nie trafia do Administratora; po zalogowaniu może zostać przeniesiona na Konto. Szczegóły dotyczące pamięci lokalnej zawiera Polityka cookies.
Rekomendacje produktowe widoczne po zalogowaniu („Kup ponownie”) powstają wyłącznie z historii zamówień Użytkownika i są wyliczane na bieżąco po stronie serwera. Administrator nie tworzy w tym celu odrębnego profilu, nie łączy tych danych z aktywnością przeglądania Sklepu ani z danymi z innych źródeł, nie wykorzystuje ich do reklamy i nie udostępnia ich podmiotom trzecim. Użytkownik może w każdej chwili wnieść sprzeciw wobec tego przetwarzania (art. 21 RODO), kontaktując się z Administratorem; skutkiem sprzeciwu jest prezentowanie wyłącznie ogólnej oferty Sklepu. Produkty proponowane na stronach produktowych („Podobne wina”, „Podobne kawy”) dobierane są wyłącznie na podstawie cech samego produktu i nie wykorzystują danych o Użytkowniku.
§ 4. Odbiorcy danych (podmioty przetwarzające)
Dane mogą być powierzane następującym kategoriom odbiorców działających na zlecenie Administratora, na podstawie umów powierzenia przetwarzania (art. 28 RODO):
| Odbiorca | Rola | Zakres danych | Lokalizacja / transfer |
|---|---|---|---|
| PayPro S.A. (Przelewy24), Poznań | obsługa płatności | e-mail, kwota, numer zamówienia | Polska / EOG |
| Cloudflare, Inc. | hosting aplikacji, CDN, zabezpieczenia (WAF), pamięć i pliki | adres IP, żądania HTTP, pliki | USA – transfer poza EOG (zob. § 5) |
| Functional Software, Inc. (Sentry) | rejestrowanie błędów technicznych Sklepu i panelu | treść komunikatu błędu, adres strony lub trasy API, identyfikator żądania, adres IP, informacje o przeglądarce | Unia Europejska (region EU) / EOG |
| Hetzner Online GmbH | hosting bazy danych | dane przechowywane w bazie Sklepu | Niemcy / EOG |
| Plus Five Five, Inc. (Resend) | wysyłka e-maili transakcyjnych oraz Newslettera | adres e-mail, treść powiadomień, dane zamówienia | USA / wysyłka realizowana w regionie UE (Irlandia) – transfer poza EOG (zob. § 5) |
| Google LLC (Google Analytics 4) | analityka (po wyrażeniu zgody) | identyfikator cookie, dane o wizytach | USA – transfer poza EOG (zob. § 5) |
| Microsoft Ireland Operations Limited (Microsoft Clarity) | analiza sposobu korzystania ze Sklepu – mapy ciepła i nagrania sesji (po wyrażeniu zgody) | identyfikator cookie, adres IP, dane o urządzeniu i przeglądarce, zapis interakcji ze stroną | Irlandia / EOG, z przekazaniem do USA (zob. § 5) |
| Operator zewnętrznej platformy sprzedażowej | platforma sprzedażowa (źródło i realizacja zamówień) | dane zamówień złożonych na tej platformie | Polska / EOG |
| InPost S.A., ul. Pruszkowska 15, 02-118 Warszawa | dostawa przesyłek do Paczkomatu InPost | imię, nazwisko, e-mail, telefon, wskazany Paczkomat, numer przesyłki | Polska / EOG |
| Google Ireland Limited (Opinie konsumenckie Google) | wysyłka ankiety oceniającej zakup i prezentacja zbiorczej oceny Sklepu (po wyrażeniu zgody) | adres e-mail, numer zamówienia, kraj dostawy, przewidywana data doręczenia, numery EAN Towarów | Irlandia / EOG, z możliwym przekazaniem do USA (zob. § 5) |
PayPro S.A. (Przelewy24) jest wobec danych płatnika odrębnym administratorem, a nie podmiotem przetwarzającym na zlecenie Administratora. Operator płatności przetwarza dane we własnych celach wynikających z przepisów o usługach płatniczych i przeciwdziałaniu praniu pieniędzy, na podstawie własnej informacji o przetwarzaniu danych, dostępnej w serwisie Przelewy24.
Google Ireland Limited jest wobec danych przekazanych w programie Opinie konsumenckie Google odrębnym administratorem, a nie podmiotem przetwarzającym na zlecenie Administratora. Google wykorzystuje adres e-mail wyłącznie do wysłania ankiety o zrealizowanym zamówieniu i przetwarza zebrane oceny we własnych celach, na podstawie własnej informacji o przetwarzaniu danych. Moduł zaproszenia uruchamia się dopiero po wyrażeniu zgody na pliki analityczne lub marketingowe, a kliknięcie „Tak” w jego oknie jest odrębną zgodą na otrzymanie ankiety.
Microsoft jest wobec danych zbieranych przez Microsoft Clarity odrębnym administratorem, a nie podmiotem przetwarzającym na zlecenie Administratora. Skrypt Clarity ładuje się wyłącznie po wyrażeniu zgody na pliki analityczne i rejestruje sposób korzystania ze Sklepu (ruch kursora, kliknięcia, przewijanie, wyświetlaną treść stron). Treść pól formularzy, liczby i adresy e-mail są maskowane po stronie przeglądarki i nie są przesyłane do Microsoftu. Zasady przetwarzania opisuje Oświadczenie o ochronie prywatności Microsoft; zakres i okresy przechowywania wskazuje § 5 Polityki cookies.
Google Ireland Limited jest wobec danych przetwarzanych przy logowaniu kontem Google odrębnym administratorem, a nie podmiotem przetwarzającym na zlecenie Administratora. Jeżeli Użytkownik wybierze ten sposób logowania, Administrator otrzymuje od Google wyłącznie adres e-mail, imię oraz identyfikator konta Google i wykorzystuje je do założenia lub uwierzytelnienia Konta. Zakres danych przetwarzanych po stronie Google oraz zasady ich przekazywania opisuje własna informacja Google o przetwarzaniu danych (zob. § 5).
Dane mogą być także udostępniane podmiotom uprawnionym na podstawie przepisów prawa (np. organom państwowym) oraz – w niezbędnym zakresie – doradcom (księgowość, obsługa prawna).
§ 5. Przekazywanie danych poza EOG
- Co do zasady dane przetwarzane są w Polsce i na terenie EOG. Hosting bazy danych (Hetzner) odbywa się w EOG, a wysyłka poczty realizowana jest z regionu UE (Irlandia).
- W odniesieniu do usług Cloudflare, Resend oraz Google Analytics 4, Opinie konsumenckie Google, logowanie kontem Google oraz Microsoft Clarity może dochodzić do przekazania danych do Stanów Zjednoczonych. Transfer odbywa się na podstawie odpowiednich zabezpieczeń, tj. uczestnictwa odbiorcy w EU-U.S. Data Privacy Framework lub standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.
- Kopię zabezpieczeń lub informację o sposobie ich udostępnienia można uzyskać, kontaktując się z Administratorem.
§ 6. Prawa osób, których dane dotyczą
Użytkownikowi przysługują prawa do:
- dostępu do danych oraz uzyskania ich kopii (art. 15 RODO),
- sprostowania danych (art. 16 RODO),
- usunięcia danych (art. 17 RODO),
- ograniczenia przetwarzania (art. 18 RODO),
- przenoszenia danych (art. 20 RODO),
- wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21 RODO),
- cofnięcia zgody w dowolnym momencie – bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia (art. 7 ust. 3 RODO),
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
W celu realizacji praw należy skontaktować się z Administratorem. Administrator odpowiada bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.
§ 7. Realizacja prawa do usunięcia i przenoszenia danych
- Realizując prawo do usunięcia, Administrator może zastosować anonimizację zamiast trwałego usunięcia w zakresie danych powiązanych z dokumentacją, którą jest zobowiązany przechowywać (np. faktury). Dane osobowe są wówczas trwale zastępowane danymi zanonimizowanymi, a dane transakcyjne zachowywane wyłącznie w celu wypełnienia obowiązków podatkowych.
- Realizując prawo do przenoszenia danych, Administrator udostępnia dane w ustrukturyzowanym formacie (JSON) – funkcja eksportu danych jest dostępna w panelu Konta.
§ 8. Profilowanie i decyzje automatyczne
Administrator nie podejmuje wobec Użytkowników decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na Użytkownika.
Rekomendacje produktowe, o których mowa w § 3, stanowią profilowanie wyłącznie w zakresie doboru produktów prezentowanych na Koncie. Nie wywołują one wobec Użytkownika skutków prawnych ani nie wpływają na cenę, dostępność ani warunki zakupu – ceny są jednakowe dla wszystkich Użytkowników.
§ 9. Pliki cookies
Sklep wykorzystuje pliki cookies oraz podobne technologie. Cookies analityczne uruchamiane są wyłącznie po wyrażeniu zgody (mechanizm Google Consent Mode v2 – domyślnie zgody opcjonalne są wyłączone). Szczegółowe informacje zawiera Polityka cookies dostępna w Sklepie.
§ 10. Bezpieczeństwo danych
Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności: szyfrowanie połączeń (HTTPS/TLS), przechowywanie haseł w postaci skrótów (bcrypt), szyfrowanie tokenów (AES-256-GCM), krótki czas życia i rotację tokenów uwierzytelniających, ciasteczka z atrybutami HttpOnly/Secure, blokadę Konta po kilku nieudanych próbach logowania, ochronę przed atakami (Cloudflare WAF/DDoS) oraz kontrolę dostępu do panelu administracyjnego.
§ 11. Źródła danych
Dane pochodzą bezpośrednio od Użytkownika (rejestracja, zamówienie, zapytanie, zapis na Newsletter). W przypadku zamówień składanych za pośrednictwem zewnętrznej platformy sprzedażowej dane kupującego Administrator otrzymuje od jej operatora w zakresie niezbędnym do realizacji zamówienia.
Jeżeli Użytkownik loguje się przy użyciu konta Google, adres e-mail, imię oraz identyfikator konta Administrator otrzymuje od Google Ireland Limited (zob. § 4).
§ 12. Dobrowolność podania danych
Podanie danych jest dobrowolne, lecz niezbędne do zawarcia i realizacji umowy, wystawienia faktury, założenia Konta lub otrzymywania Newslettera. Niepodanie danych uniemożliwia realizację danego celu. Złożenie zamówienia na napoje alkoholowe wymaga oświadczenia o pełnoletności.
Logowanie przy użyciu konta Google jest dobrowolną alternatywą dla hasła — Konto można założyć i obsługiwać bez korzystania z niego.
§ 13. Zmiany Polityki prywatności
Administrator może aktualizować Politykę prywatności. Aktualna wersja jest zawsze dostępna w Sklepie wraz z datą obowiązywania. O istotnych zmianach Użytkownicy posiadający Konto mogą zostać poinformowani drogą elektroniczną.