Polityka prywatności HardFish

W tym dokumencie wyjaśniamy, jakie dane przetwarzamy podczas korzystania ze sklepu internetowego hardfish.pl, dlaczego to robimy, komu możemy je przekazać, jak długo je przechowujemy oraz jakie prawa przysługują osobom, których dane dotyczą.

1. Administrator danych i kontakt

Administratorem danych osobowych jest Hard Fish Daniel Kotulski, adres: Dworcowa 1, 58-100 Świdnica, NIP: 8842216236, REGON: 891126290.

W sprawach dotyczących danych osobowych i realizacji praw można skontaktować się:

• e-mailem: kontakt@hardfish.pl;
• telefonicznie: 793 783 001;
• pisemnie na adres Administratora podany powyżej.

Administrator nie wyznaczył inspektora ochrony danych. Wiadomości w sprawach prywatności obsługuje bezpośrednio pod wskazanymi danymi kontaktowymi.

2. Zakres i źródła danych

Dane otrzymujemy przede wszystkim bezpośrednio od użytkownika. Dodatkowe dane techniczne powstają podczas korzystania ze strony, a informację o statusie płatności lub dostawy możemy otrzymać odpowiednio od operatora płatności albo przewoźnika.

W zależności od używanej funkcji możemy przetwarzać:

• zamówienia i dostawę: imię, nazwisko, e-mail, telefon, adres dostawy, wybrany punkt odbioru, treść uwag, zawartość i wartość zamówienia, sposób dostawy oraz informacje o realizacji;
• płatność: wybraną metodę, kwotę, identyfikatory transakcji i jej status; HardFish nie otrzymuje pełnych danych karty ani danych logowania do banku;
• kontakt: imię, e-mail, opcjonalny numer telefonu, treść wiadomości i późniejszą korespondencję;
• newsletter: e-mail, źródło zapisu, wersję treści zgody oraz datę jej udzielenia lub wycofania;
• dane techniczne i bezpieczeństwa: adres IP, czas i adres żądania, informacje o przeglądarce i urządzeniu, identyfikator sesji, logi serwera oraz informacje o próbach logowania.

3. Cele, podstawy prawne i okresy przechowywania

Zamówienie, płatność i dostawa

Dane przetwarzamy w celu przyjęcia i wykonania zamówienia, obsługi płatności, dostawy oraz kontaktu dotyczącego umowy — na podstawie art. 6 ust. 1 lit. b RODO. Dokumentację rozliczeniową przechowujemy również w celu wykonania obowiązków podatkowych i rachunkowych na podstawie art. 6 ust. 1 lit. c RODO.

Dane przechowujemy przez czas realizacji umowy, a następnie przez okres wymagany przepisami podatkowymi i rachunkowymi oraz do upływu właściwych terminów przedawnienia roszczeń. Dokumenty podatkowe są co do zasady przechowywane przez 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku.

Zwroty, reklamacje i roszczenia

Dane wykorzystujemy do obsługi odstąpienia od umowy, reklamacji i rękojmi na podstawie art. 6 ust. 1 lit. b i c RODO, a także do ustalenia, dochodzenia lub obrony roszczeń w prawnie uzasadnionym interesie Administratora — art. 6 ust. 1 lit. f RODO. Przechowujemy je do zakończenia sprawy, a następnie do upływu właściwego terminu przedawnienia albo dłużej, jeżeli wymagają tego przepisy.

Formularz kontaktowy i korespondencja

Na wiadomości zmierzające do zawarcia lub wykonania umowy odpowiadamy na podstawie art. 6 ust. 1 lit. b RODO. Pozostałą korespondencję prowadzimy w prawnie uzasadnionym interesie polegającym na obsłudze zapytań i zachowaniu dowodu ustaleń — art. 6 ust. 1 lit. f RODO. Dane przechowujemy do zakończenia sprawy, a później tylko tak długo, jak jest to potrzebne do ochrony przed roszczeniami lub wykonania obowiązków prawnych.

Newsletter HardFish

E-mail i dowód zgody przetwarzamy na podstawie dobrowolnej zgody — art. 6 ust. 1 lit. a RODO — w celu wysyłania newslettera oraz zgodnie z przepisami dotyczącymi komunikacji marketingowej. Zgodę można wycofać w każdym momencie, pisząc na kontakt@hardfish.pl. Wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

Po rezygnacji przestajemy wysyłać newsletter. Możemy zachować minimalny zapis dotyczący udzielenia i wycofania zgody, aby wykazać prawidłowość działań lub respektować sprzeciw, do upływu właściwego terminu roszczeń.

Bezpieczeństwo i działanie serwisu

Dane techniczne przetwarzamy w celu utrzymania sesji i koszyka, ochrony formularzy, wykrywania nadużyć, ograniczania prób logowania, diagnostyki oraz zapewnienia bezpieczeństwa — w prawnie uzasadnionym interesie Administratora, art. 6 ust. 1 lit. f RODO. Przechowujemy je przez okres wynikający z konfiguracji systemu i hostingu, nie dłużej niż jest to potrzebne do diagnostyki, zabezpieczenia serwisu lub wyjaśnienia incydentu. Skróty identyfikatorów używane do ograniczania prób logowania są okresowo usuwane z aktywnego rejestru.

4. Dobrowolność podania danych

Podanie danych oznaczonych w zamówieniu jako wymagane jest dobrowolne, ale konieczne do zawarcia i wykonania umowy. Bez nich nie zrealizujemy zamówienia. Podanie danych w formularzu kontaktowym jest dobrowolne, ale bez danych kontaktowych możemy nie móc odpowiedzieć. Zapis do newslettera jest całkowicie dobrowolny i nie jest warunkiem zakupu.

5. Odbiorcy danych

Dane przekazujemy tylko w zakresie potrzebnym do wykonania konkretnego zadania. Odbiorcami lub podmiotami przetwarzającymi dane mogą być:

• SEOHOST Sp. z o.o. — dostawca hostingu, infrastruktury serwera i poczty elektronicznej;
• Krajowy Integrator Płatności S.A. (Tpay) — jeśli wybrano płatność internetową;
• wybrany przewoźnik lub operator punktu odbioru, w tym InPost sp. z o.o., jeżeli taka metoda dostawy jest dostępna i została wybrana;
• dostawcy obsługi technicznej, kopii zapasowych i bezpieczeństwa, którzy działają na polecenie Administratora i mają dostęp wyłącznie w niezbędnym zakresie;
• podmioty świadczące usługi księgowe, prawne lub doradcze;
• banki oraz organy publiczne, gdy przekazanie danych jest wymagane prawem.

Aktualna metoda dostawy i jej operator są wskazywane podczas składania zamówienia. Dane nie są sprzedawane.

6. Płatności Tpay

Po wybraniu Tpay przekazujemy dane potrzebne do utworzenia i rozliczenia transakcji, w szczególności identyfikator i opis zamówienia, kwotę, walutę oraz dane płatnika wymagane przez integrację. Operatorem jest Krajowy Integrator Płatności S.A., plac Andersa 3, 17 piętro, 61-894 Poznań, KRS 0000412357, NIP 7773061579, REGON 300878437.

Tpay działa jako odrębny administrator danych w zakresie świadczenia usług płatniczych i realizuje własne obowiązki prawne. Szczegóły opisują Polityka prywatności Tpay i Regulamin dokonywania płatności Tpay.

7. Dostawa i InPost

Jeżeli wybierzesz dostawę przez przewoźnika, przekazujemy mu dane konieczne do doręczenia i komunikacji o przesyłce: imię i nazwisko, adres albo wybrany punkt odbioru, e-mail, numer telefonu oraz dane niezbędne do identyfikacji przesyłki. Przewoźnik może przetwarzać te dane jako odrębny administrator w zakresie wykonania usługi przewozowej, obsługi reklamacji i obowiązków prawnych.

W przypadku InPost informacje o przetwarzaniu danych są dostępne na stronie Ochrona danych osobowych InPost.

8. Pliki cookie i pamięć przeglądarki

Sklep używa wyłącznie mechanizmów potrzebnych do działania strony lub zapamiętania wybranej przez użytkownika prezentacji katalogu:

• HARDFISHSESSID — własny, niezbędny plik cookie sesyjny. Utrzymuje bezpieczną sesję, koszyk, ochronę formularzy i — po zalogowaniu — sesję administratora. Jest wysyłany tylko przez HTTP(S), ma atrybuty HttpOnly i SameSite=Lax, a w połączeniu HTTPS także Secure. Wygasa po zakończeniu sesji przeglądarki;
• hardfish.catalog.view — wpis w pamięci lokalnej przeglądarki (localStorage), który zapamiętuje wybór widoku siatki lub listy. Nie zawiera identyfikatora użytkownika, nie jest wysyłany automatycznie do serwera i pozostaje do usunięcia danych strony w przeglądarce.

W aktualnej wersji sklepu nie są uruchomione analityczne ani reklamowe pliki cookie, Google Analytics, Meta Pixel ani podobne skrypty śledzące. Jeżeli takie narzędzia zostaną wdrożone, polityka zostanie wcześniej zaktualizowana, a narzędzia wymagające zgody nie zostaną uruchomione przed jej udzieleniem.

Pliki cookie można usunąć lub zablokować w ustawieniach przeglądarki. Zablokowanie niezbędnego pliku sesyjnego może uniemożliwić działanie koszyka, formularzy i panelu.

9. Treści i odnośniki zewnętrzne

Zdjęcia części produktów są dostarczane bezpośrednio z serwerów dostawców, obecnie m.in. z domen media.mikado.pl i b2b.robinson.pl. Podczas pobierania takiego obrazu jego serwer otrzymuje dane techniczne typowe dla połączenia internetowego, takie jak adres IP, informacje o przeglądarce, czas żądania i adres naszej domeny. Podstawą jest prawnie uzasadniony interes Administratora polegający na prawidłowej prezentacji oferowanych produktów — art. 6 ust. 1 lit. f RODO.

Odnośniki do Map Google, mediów społecznościowych, Tpay lub innych zewnętrznych stron nie ładują treści tych usług przed kliknięciem. Po przejściu na stronę zewnętrzną jej operator przetwarza dane według własnych zasad.

10. Przekazywanie danych poza Europejski Obszar Gospodarczy

W ramach podstawowych funkcji sklepu opisanych w tej polityce Administrator nie planuje przekazywania danych poza Europejski Obszar Gospodarczy. Jeżeli zmiana dostawcy lub uruchomienie nowej usługi będzie wiązać się z takim przekazaniem, nastąpi ono wyłącznie na podstawie mechanizmu dopuszczonego przez RODO, np. decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych, a polityka zostanie odpowiednio zaktualizowana.

Samodzielne przejście przez odnośnik do zewnętrznego serwisu może prowadzić do przetwarzania danych poza EOG przez jego operatora. Szczegóły znajdują się w polityce prywatności tego serwisu.

11. Prawa osoby, której dane dotyczą

W granicach przewidzianych przez RODO przysługuje prawo do:

• dostępu do danych i otrzymania ich kopii;
• sprostowania nieprawidłowych danych;
• usunięcia danych lub ograniczenia ich przetwarzania;
• przenoszenia danych przetwarzanych na podstawie zgody lub umowy w sposób zautomatyzowany;
• wniesienia sprzeciwu z przyczyn związanych ze szczególną sytuacją wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO;
• wycofania zgody w dowolnym momencie, gdy przetwarzanie opiera się na zgodzie.

Żądanie można przesłać na kontakt@hardfish.pl. Przed realizacją możemy poprosić o informacje potrzebne do potwierdzenia tożsamości. Niektóre prawa podlegają ograniczeniom wynikającym z RODO i innych przepisów, np. obowiązku przechowywania dokumentacji podatkowej.

Jeżeli uważasz, że dane są przetwarzane niezgodnie z prawem, masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych. Informacje i dane kontaktowe organu znajdują się na stronie uodo.gov.pl.

12. Zautomatyzowane decyzje i profilowanie

HardFish nie podejmuje wobec klientów decyzji wywołujących skutki prawne lub w podobny sposób istotnie na nich wpływających wyłącznie w oparciu o zautomatyzowane przetwarzanie i nie prowadzi profilowania marketingowego. Operator płatności lub przewoźnik może stosować własne mechanizmy zapobiegania nadużyciom zgodnie ze swoimi obowiązkami i zasadami.

13. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności szyfrowane połączenie HTTPS, kontrolę uprawnień, ochronę formularzy, bezpieczne mechanizmy sesji, ograniczanie prób logowania, rejestrowanie operacji administracyjnych i weryfikację komunikacji z operatorem płatności. Dostęp do danych otrzymują wyłącznie osoby i podmioty, które potrzebują go do wykonania swoich zadań.

14. Zmiany polityki

Politykę aktualizujemy, gdy zmienią się przepisy, funkcje sklepu, zakres danych lub wykorzystywani dostawcy. Aktualna wersja jest publikowana na tej stronie z datą obowiązywania. Zmiany nie ograniczają praw nabytych ani nie zmieniają wstecz podstawy przetwarzania danych.