Dokument prawny
Polityka prywatności
Wersja 2.0 — obowiązuje od 21 czerwca 2026 r.
§ 1. Administrator danych osobowych
- Administratorem danych osobowych jest Il Buon Caffe Dariusz Praczyk, jednoosobowa działalność gospodarcza, ul. Biskupa Czesława Domina 3/6, Koszalin, NIP 6692036051, REGON 330511794 (dalej „Administrator").
- Kontakt w sprawach danych osobowych: e-mail kontakt@ilbuoncaffe.pl, tel. +48 664 937 937, adres korespondencyjny jak wyżej.
- Administrator nie wyznaczył Inspektora Ochrony Danych. We wszystkich sprawach dotyczących przetwarzania danych można kontaktować się bezpośrednio z Administratorem.
§ 2. Słowniczek
- RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.
- Dane osobowe – informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
- Sklep – sklep internetowy ilbuoncaffe.pl.
- Użytkownik – osoba, której dane dotyczą (Klient, osoba odwiedzająca Sklep, subskrybent Newslettera, osoba odbierająca przesyłkę).
- EOG – Europejski Obszar Gospodarczy.
§ 3. Cele, podstawy prawne i okresy przechowywania
| Cel przetwarzania | Zakres danych | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Prowadzenie Konta | imię, e-mail, hasło (w postaci zaszyfrowanej) | art. 6 ust. 1 lit. b RODO (umowa) | do usunięcia/anonimizacji Konta |
| Rejestr zgód na pliki cookies (wykazanie zgody) | losowy identyfikator zgody, zaznaczone kategorie, wersja Polityki cookies, data, adres IP, identyfikator przeglądarki | art. 6 ust. 1 lit. c RODO w zw. z art. 7 ust. 1 RODO (obowiązek wykazania zgody) | 3 lata od zapisania wpisu; starsze wpisy są usuwane automatycznie |
| Lista ulubionych produktów (Konto) | identyfikatory produktów (SKU) powiązane z Kontem | art. 6 ust. 1 lit. b RODO (umowa – funkcja Konta, wygoda zakupów) | do usunięcia produktu z listy albo usunięcia/anonimizacji Konta |
| Rekomendacje produktowe na Koncie („Kup ponownie”) | identyfikatory produktów (SKU) z wcześniejszych zamówień Użytkownika | art. 6 ust. 1 lit. f RODO (uzasadniony interes – ułatwienie ponownego zakupu) | dane nie są przechowywane odrębnie – lista powstaje na bieżąco z historii zamówień |
| Realizacja zamówienia i umowy sprzedaży | imię, nazwisko, adres dostawy, telefon, e-mail; opcjonalnie nazwa firmy i NIP | art. 6 ust. 1 lit. b RODO | do czasu realizacji, następnie zgodnie z obowiązkami podatkowymi (poniżej) |
| Wystawianie faktur i rozliczenia podatkowe | dane do faktury, kwoty, historia transakcji | art. 6 ust. 1 lit. c RODO (ustawa o rachunkowości, ustawa o VAT) | 5 lat licząc od końca roku kalendarzowego, w którym powstał obowiązek podatkowy |
| Obsługa płatności | e-mail, kwota, numer zamówienia (przekazywane operatorowi); Administrator nie przechowuje danych kart | art. 6 ust. 1 lit. b i c RODO | jak dla zamówień/faktur |
| Bezpieczeństwo i przeciwdziałanie nadużyciom | adres IP, dane przeglądarki (user agent), czas logowania, liczba nieudanych prób | art. 6 ust. 1 lit. f RODO (uzasadniony interes – ochrona Sklepu i Użytkowników) | 1 rok |
| Rejestr zgód (rozliczalność) | typ zgody, wersja dokumentu, data, IP, user agent | art. 6 ust. 1 lit. c RODO oraz art. 7 RODO | do wycofania zgody + 3 lata (przedawnienie roszczeń) |
| Newsletter / marketing e-mail | adres e-mail (opcjonalnie imię) | art. 6 ust. 1 lit. a RODO (zgoda) w zw. z art. 398 Prawa komunikacji elektronicznej | do wycofania zgody |
| Analityka (Google Analytics 4) | identyfikator pliku cookie, dane o wizytach | art. 6 ust. 1 lit. a RODO (zgoda) | do 14 miesięcy |
| Weryfikacja pełnoletności (sprzedaż alkoholu) | oświadczenie o pełnoletności | art. 6 ust. 1 lit. c RODO (ustawa o wychowaniu w trzeźwości) | jak dla zamówień |
| Obsługa zamówień z zewnętrznych platform sprzedażowych | dane kupującego przekazane przez operatora platformy | art. 6 ust. 1 lit. b i c RODO | jak dla zamówień/faktur |
| Dostawa do osoby trzeciej (inny odbiorca) | imię, nazwisko, adres, telefon odbiorcy | art. 6 ust. 1 lit. f RODO (uzasadniony interes – realizacja dostawy) | do czasu realizacji dostawy |
| Obsługa zapytań (formularz/e-mail) | dane podane w zapytaniu | art. 6 ust. 1 lit. f RODO (uzasadniony interes – udzielenie odpowiedzi) | do zakończenia korespondencji, nie dłużej niż 1 rok |
| Monitoring wizyjny w lokalu | wizerunek osób przebywających w lokalu | art. 6 ust. 1 lit. f RODO (uzasadniony interes – bezpieczeństwo osób i mienia) | nie dłużej niż 3 miesiące, chyba że nagranie stanowi dowód w postępowaniu |
| Dochodzenie i obrona przed roszczeniami | dane niezbędne do ustalenia/obrony roszczeń | art. 6 ust. 1 lit. f RODO | do przedawnienia roszczeń |
Dodatkowo: dane sesji wygasłych przechowywane są przez okres do 30 dni po wygaśnięciu (na podstawie art. 6 ust. 1 lit. f RODO – bezpieczeństwo IT i wykrywanie nadużyć, np. ponownego użycia unieważnionych tokenów), po czym są trwale usuwane; logi audytu zmian danych Użytkownika do 1 roku, a logi synchronizacji z zewnętrznymi platformami sprzedażowymi do 90 dni.
Lista ulubionych produktów służy wyłącznie wygodzie korzystania ze Sklepu (szybki powrót do wybranych produktów) i nie jest wykorzystywana do marketingu, profilowania ani wysyłki powiadomień. U Użytkownika niezalogowanego lista zapisywana jest wyłącznie lokalnie w przeglądarce (pamięć localStorage) i nie trafia do Administratora; po zalogowaniu może zostać przeniesiona na Konto. Szczegóły dotyczące pamięci lokalnej zawiera Polityka cookies.
Rekomendacje produktowe widoczne po zalogowaniu („Kup ponownie”) powstają wyłącznie z historii zamówień Użytkownika i są wyliczane na bieżąco po stronie serwera. Administrator nie tworzy w tym celu odrębnego profilu, nie łączy tych danych z aktywnością przeglądania Sklepu ani z danymi z innych źródeł, nie wykorzystuje ich do reklamy i nie udostępnia ich podmiotom trzecim. Użytkownik może w każdej chwili wnieść sprzeciw wobec tego przetwarzania (art. 21 RODO), kontaktując się z Administratorem; skutkiem sprzeciwu jest prezentowanie wyłącznie ogólnej oferty Sklepu. Produkty proponowane na stronach produktowych („Podobne wina”, „Podobne kawy”) dobierane są wyłącznie na podstawie cech samego produktu i nie wykorzystują danych o Użytkowniku.
§ 4. Odbiorcy danych (podmioty przetwarzające)
Dane mogą być powierzane następującym kategoriom odbiorców działających na zlecenie Administratora, na podstawie umów powierzenia przetwarzania (art. 28 RODO):
| Odbiorca | Rola | Zakres danych | Lokalizacja / transfer |
|---|---|---|---|
| PayPro S.A. (Przelewy24), Poznań | obsługa płatności | e-mail, kwota, numer zamówienia | Polska / EOG |
| Cloudflare, Inc. | hosting aplikacji, CDN, zabezpieczenia (WAF), pamięć i pliki | adres IP, żądania HTTP, pliki | USA – transfer poza EOG (zob. § 5) |
| Hetzner Online GmbH | hosting bazy danych | dane przechowywane w bazie Sklepu | Niemcy / EOG |
| Plus Five Five, Inc. (Resend) | wysyłka e-maili transakcyjnych oraz Newslettera | adres e-mail, treść powiadomień, dane zamówienia | USA / wysyłka realizowana w regionie UE (Irlandia) – transfer poza EOG (zob. § 5) |
| Google LLC (Google Analytics 4) | analityka (po wyrażeniu zgody) | identyfikator cookie, dane o wizytach | USA – transfer poza EOG (zob. § 5) |
| Operator zewnętrznej platformy sprzedażowej | platforma sprzedażowa (źródło i realizacja zamówień) | dane zamówień złożonych na tej platformie | Polska / EOG |
| Smart Courier (firma kurierska) | dostawa przesyłek | imię, nazwisko, adres, telefon | Polska / EOG |
Dane mogą być także udostępniane podmiotom uprawnionym na podstawie przepisów prawa (np. organom państwowym) oraz – w niezbędnym zakresie – doradcom (księgowość, obsługa prawna).
§ 5. Przekazywanie danych poza EOG
- Co do zasady dane przetwarzane są w Polsce i na terenie EOG. Hosting bazy danych (Hetzner) odbywa się w EOG, a wysyłka poczty realizowana jest z regionu UE (Irlandia).
- W odniesieniu do usług Cloudflare, Resend oraz Google Analytics 4 może dochodzić do przekazania danych do Stanów Zjednoczonych. Transfer odbywa się na podstawie odpowiednich zabezpieczeń, tj. uczestnictwa odbiorcy w EU-U.S. Data Privacy Framework lub standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.
- Kopię zabezpieczeń lub informację o sposobie ich udostępnienia można uzyskać, kontaktując się z Administratorem.
§ 6. Prawa osób, których dane dotyczą
Użytkownikowi przysługują prawa do:
- dostępu do danych oraz uzyskania ich kopii (art. 15 RODO),
- sprostowania danych (art. 16 RODO),
- usunięcia danych (art. 17 RODO),
- ograniczenia przetwarzania (art. 18 RODO),
- przenoszenia danych (art. 20 RODO),
- wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21 RODO),
- cofnięcia zgody w dowolnym momencie – bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia (art. 7 ust. 3 RODO),
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
W celu realizacji praw należy skontaktować się z Administratorem. Administrator odpowiada bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.
§ 7. Realizacja prawa do usunięcia i przenoszenia danych
- Realizując prawo do usunięcia, Administrator może zastosować anonimizację zamiast trwałego usunięcia w zakresie danych powiązanych z dokumentacją, którą jest zobowiązany przechowywać (np. faktury). Dane osobowe są wówczas trwale zastępowane danymi zanonimizowanymi, a dane transakcyjne zachowywane wyłącznie w celu wypełnienia obowiązków podatkowych.
- Realizując prawo do przenoszenia danych, Administrator udostępnia dane w ustrukturyzowanym formacie (JSON) – funkcja eksportu danych jest dostępna w panelu Konta.
§ 8. Profilowanie i decyzje automatyczne
Administrator nie podejmuje wobec Użytkowników decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na Użytkownika.
Rekomendacje produktowe, o których mowa w § 3, stanowią profilowanie wyłącznie w zakresie doboru produktów prezentowanych na Koncie. Nie wywołują one wobec Użytkownika skutków prawnych ani nie wpływają na cenę, dostępność ani warunki zakupu – ceny są jednakowe dla wszystkich Użytkowników.
§ 9. Monitoring wizyjny
- W lokalu Administratora (ul. Biskupa Czesława Domina 3/6, Koszalin) prowadzony jest monitoring wizyjny w celu zapewnienia bezpieczeństwa osób i mienia (art. 6 ust. 1 lit. f RODO).
- Strefa monitoringu jest oznaczona. Nagrania przechowywane są przez okres wskazany w § 3 i nie są wykorzystywane do innych celów, chyba że stanowią dowód w postępowaniu.
§ 10. Pliki cookies
Sklep wykorzystuje pliki cookies oraz podobne technologie. Cookies analityczne uruchamiane są wyłącznie po wyrażeniu zgody (mechanizm Google Consent Mode v2 – domyślnie zgody opcjonalne są wyłączone). Szczegółowe informacje zawiera Polityka cookies dostępna w Sklepie.
§ 11. Bezpieczeństwo danych
Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności: szyfrowanie połączeń (HTTPS/TLS), przechowywanie haseł w postaci skrótów (bcrypt), szyfrowanie tokenów (AES-256-GCM), krótki czas życia i rotację tokenów uwierzytelniających, ciasteczka z atrybutami HttpOnly/Secure, blokadę Konta po kilku nieudanych próbach logowania, ochronę przed atakami (Cloudflare WAF/DDoS) oraz kontrolę dostępu do panelu administracyjnego.
§ 12. Źródła danych
Dane pochodzą bezpośrednio od Użytkownika (rejestracja, zamówienie, zapytanie, zapis na Newsletter). W przypadku zamówień składanych za pośrednictwem zewnętrznej platformy sprzedażowej dane kupującego Administrator otrzymuje od jej operatora w zakresie niezbędnym do realizacji zamówienia.
§ 13. Dobrowolność podania danych
Podanie danych jest dobrowolne, lecz niezbędne do zawarcia i realizacji umowy, wystawienia faktury, założenia Konta lub otrzymywania Newslettera. Niepodanie danych uniemożliwia realizację danego celu. Złożenie zamówienia na napoje alkoholowe wymaga oświadczenia o pełnoletności.
§ 14. Zmiany Polityki prywatności
Administrator może aktualizować Politykę prywatności. Aktualna wersja jest zawsze dostępna w Sklepie wraz z datą obowiązywania. O istotnych zmianach Użytkownicy posiadający Konto mogą zostać poinformowani drogą elektroniczną.