Polityka prywatności

Acnova Oy – Tuusula, Finlandia

Niniejsza polityka prywatności opisuje, w jaki sposób Acnova Oy przetwarza dane osobowe zgodnie z ogólnym rozporządzeniem o ochronie danych UE (RODO / GDPR) oraz przepisami fińskiego prawa o ochronie danych osobowych.

Możemy przetwarzać następujące kategorie danych:

• Imię i nazwisko

• Nazwa firmy

• Adres e-mail

• Numer telefonu

• Adres dostawy i adres do faktur

• Dane zamówienia

• Historia zakupów

• Wiadomości przesłane za pośrednictwem formularzy lub czatu

• Dane analityczne (na podstawie zgody)

• Adres IP (haszowany na potrzeby rejestrowania zgód na pliki cookie)

Przetwarzamy dane osobowe na następujących podstawach prawnych:

• Wykonanie umowy (zamówienia, dostawa, płatności)

• Obowiązek prawny (księgowość i rozliczenia podatkowe)

• Prawnie uzasadniony interes (bezpieczeństwo serwisu, zapobieganie nadużyciom)

• Zgoda (analityka, marketing, pliki cookie)

Do analizy korzystania z serwisu używamy Google Analytics 4. Analityka jest uruchamiana wyłącznie po wyrażeniu zgody przez użytkownika. Przed wyrażeniem zgody analityczne pliki cookie nie są ładowane. Stosujemy mechanizm Google Consent Mode v2.

Rejestry zgód na pliki cookie są przechowywane przez 365 dni w postaci zabezpieczonej (adres IP oraz User-Agent są haszowane z użyciem soli).

Dostawca usługi:

Google Ireland Limited.

Do obsługi płatności wykorzystujemy Stripe oraz Paytrail. W zakresie danych dotyczących płatności dostawcy usług płatniczych działają jako niezależni administratorzy danych.

Aby dostarczyć Twoje zamówienie, przekazujemy dane odbiorcy wybranemu przewoźnikowi: imię i nazwisko, adres dostawy lub punkt odbioru, e-mail i numer telefonu.

Komu. Korzystamy z przewoźników Shipit Oy Ab, PostNord Oy. Działają jako podmioty przetwarzające w naszym imieniu i używają danych wyłącznie do dostawy i powiadomień o niej (np. SMS «paczka do odbioru»).

Podstawa. art. 6 ust. 1 lit. b RODO — przetwarzanie jest niezbędne do wykonania umowy zamówienia. Odrębna zgoda nie jest potrzebna.

Jak długo. Dane kontaktowe (e-mail, telefon) usuwamy z zamówienia, gdy poprosisz o usunięcie konta. Imię i nazwisko oraz adres dostawy odbiorcy zachowujemy przez ustawowy okres przechowywania dokumentów księgowych, bo są częścią dowodu zrealizowanego zamówienia (art. 17 ust. 3 lit. b RODO).

Wiadomości serwisowe i transakcyjne. Potwierdzenia zamówień, faktury proforma, faktury, powiadomienia o płatności oraz noty kredytowe wysyłamy w celu wykonania zawartej z Tobą umowy (art. 6 ust. 1 lit. b RODO) oraz w celu wypełnienia ciążących na nas obowiązków prawnych, w tym obowiązków księgowych i podatkowych (art. 6 ust. 1 lit. c RODO). Wiadomości te nie stanowią marketingu, nie wymagają odrębnej zgody i nie podlegają wypisaniu się, dopóki Twoje zamówienie pozostaje aktywne.

Wiadomości marketingowe. Newslettery i oferty, a także przypomnienia o niedokończonym zamówieniu (porzucony koszyk), wysyłamy wyłącznie na podstawie zgody udzielonej podczas składania zamówienia albo na podstawie przepisów o marketingu bezpośrednim wobec dotychczasowych klientów (fińska ustawa o usługach łączności elektronicznej, Laki sähköisen viestinnän palveluista 917/2014, § 200). Każda wiadomość marketingowa zawiera możliwość rezygnacji jednym kliknięciem; po wypisaniu się nie wysyłamy kolejnych wiadomości. Wiadomości są dostarczane za pośrednictwem usługi Google Workspace.

Po dostarczeniu zamówienia możemy również podziękować Ci i zaprosić do wystawienia opinii o zakupie (w tym za pośrednictwem naszego partnera opinii Trustpilot). Te wiadomości są wysyłane na tej samej podstawie — marketing bezpośredni do istniejących klientów (§ 200) — i zawierają, jak wszystkie wiadomości marketingowe, link do rezygnacji za jednym kliknięciem.

Do zbierania opinii korzystamy z usługi Trustpilot (Trustpilot A/S, Dania, UE). Na nasze zlecenie przekazywane są jej Twoje imię, adres e-mail oraz zawartość zamówienia w celu wysłania zaproszenia do wystawienia opinii. Trustpilot działa jako podmiot przetwarzający na podstawie umowy powierzenia przetwarzania danych; administratorem danych pozostaje Acnova Oy.

Do kontaktu wykorzystujemy WhatsApp Business API (Meta) oraz Telegram. W obu kanałach odpowiada Ci asystentka AI Hanna — patrz punkt 9. Dane mogą być przekazywane poza EOG, patrz punkt 13.

Gdy piszesz na czacie na naszej stronie oraz na WhatsAppie i Telegramie, rozmawiasz z Hanną — asystentką AI Acnova Oy. Nie jest ona człowiekiem. Mówimy o tym już w pierwszej wiadomości i w nagłówku czatu. W każdej chwili możesz poprosić o kontakt z człowiekiem — wystarczy to napisać: rozmowa zostaje wtedy przekazana osobie, a Hanna się wycofuje.

Co przetwarzamy. Treść Twoich wiadomości i wcześniejsze wiadomości z tej samej rozmowy; pliki, które sam załączysz; język interfejsu i stronę, z której napisałeś. Imię, e-mail i w razie potrzeby telefon — tylko to, co sam podasz.

W jakim celu i na jakiej podstawie. Wyłącznie po to, by odpowiedzieć na Twoje pytanie i obsłużyć zgłoszenie. Podstawą jest art. 6 ust. 1 lit. b RODO — działania na Twoje żądanie przed zawarciem umowy. Odrębna zgoda nie jest do tego potrzebna i nie jest zbierana. Newsletter to osobna sprawa: wysyłamy go wyłącznie na podstawie odrębnej zgody potwierdzonej linkiem w wiadomości e-mail.

Kto jeszcze widzi rozmowę. Aby Hanna mogła odpowiedzieć, treść rozmowy jest przekazywana dostawcy modelu sztucznej inteligencji — Anthropic PBC, który działa jako nasz podprocesor na podstawie umowy powierzenia przetwarzania danych. Administratorem danych pozostaje Acnova Oy. Przetwarzanie odbywa się w USA; podstawą przekazania są standardowe klauzule umowne Komisji Europejskiej (SCC) — szczegóły w punkcie 13. Zgodnie z warunkami dostawcy Twoja rozmowa nie jest wykorzystywana do trenowania jego modeli.

Czego model nigdy nie widzi. Zgłoszenia dotyczące zdrowia — reakcja skórna, oparzenie, wysypka, wizyta u lekarza — nigdy nie są przekazywane do zewnętrznego modelu: taką sprawę od razu przejmuje człowiek. Są to dane szczególnej kategorii (art. 9 RODO), a my zdecydowaliśmy się nie wysyłać ich na zewnątrz nawet na sekundę.

Jak długo przechowujemy. Przechowujemy rozmowę tak długo, jak jest to potrzebne do obsługi Twojego zgłoszenia. Jeśli z rozmowy powstanie zamówienie lub faktura, do tych danych stosuje się terminy z punktu 12.

Jak usunąć. Napisz na adres [email protected] — usuniemy Twoje dane kontaktowe i wymażemy je z treści rozmowy bez zbędnej zwłoki, w każdym razie w ciągu miesiąca (art. 12 ust. 3 RODO). Sama rozmowa może pozostać w formie zanonimizowanej — bez imienia, e-maila i telefonu. Zachowujemy również dowód tego, co Ci pokazano i co odpowiedziałeś (art. 7 ust. 1 RODO): to nasz obowiązek, a Twoje dane kontaktowe zostały z niego usunięte.

Jeśli masz konto klienta, możesz zrobić to samo samodzielnie: w sekcji „Moje dane" widzisz dokładnie, co o Tobie mamy, do jakiej daty musimy to przechowywać, oraz znajdziesz tam przycisk wniosku o usunięcie.

Do zabezpieczenia formularzy stosujemy Google reCAPTCHA.

Serwis może zawierać treści osadzone (YouTube, mapy), które mogą gromadzić dane w związku z interakcją użytkownika.

Korzystanie z Cloudflare (CDN i ochrona witryny)

Nasza witryna korzysta z Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA) jako odwrotnego serwera proxy, sieci dostarczania treści (CDN), zapory aplikacji internetowych (WAF) oraz ochrony przed atakami DDoS i szkodliwymi botami. Cały ruch między Twoim urządzeniem a naszą witryną przechodzi przez sieć Cloudflare.

Jako nasz podmiot podprzetwarzający Cloudflare przetwarza adres IP odwiedzającego, metadane żądania (m.in. adres strony, typ i wersję przeglądarki, stronę odsyłającą oraz nagłówki żądania) oraz techniczne pliki cookie Cloudflare. Ponieważ Cloudflare działa jako odwrotny serwer proxy i kończy szyfrowane połączenie (TLS), treść ruchu jest technicznie dostępna dla Cloudflare w momencie przetwarzania. Podstawą prawną jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) w zakresie bezpieczeństwa, dostępności i wydajności witryny.

Przetwarzanie odbywa się w globalnej sieci Cloudflare, w tym na serwerach w USA, co stanowi przekazanie danych osobowych poza EOG. Przekazywanie odbywa się na podstawie standardowych klauzul umownych Komisji Europejskiej (SCC) włączonych do umowy powierzenia przetwarzania danych Cloudflare (DPA), wraz z dodatkowymi środkami ochrony; dodatkowo Cloudflare, Inc. posiada certyfikat w ramach EU-U.S. Data Privacy Framework. Więcej informacji: https://www.cloudflare.com/cloudflare-customer-dpa/ ; https://www.cloudflare.com/gdpr/subprocessors/ ; https://www.cloudflare.com/privacypolicy/ .

Dane księgowe — 10 lat. Zamówienia, faktury, płatności i powiązane z nimi dokumenty przechowujemy przez 10 lat od końca roku obrotowego, w którym dokument powstał. Każda spółka grupy jest administratorem danych w zakresie dokumentów swoich własnych klientów: Acnova Oy — w zakresie faktur i zamówień swoich (fińskich i pozostałych) klientów, YDE Areal Est OÜ — w zakresie faktur i zamówień swoich estońskich klientów. Do dokumentów obu spółek stosuje się ten sam okres przechowywania.

Prawo wymaga mniej: fińska ustawa o rachunkowości (kirjanpitolaki 1336/1997, rozdz. 2 § 10) wymaga 10 lat dla ksiąg rachunkowych i 6 lat dla dokumentów źródłowych; estońska ustawa o rachunkowości (raamatupidamise seadus § 12) wymaga co najmniej 7 lat. Świadomie wybraliśmy jeden wspólny, dłuższy okres — tak jest prościej i dzięki temu na pewno nie usuniemy niczego, co jesteśmy zobowiązani przechowywać.

Dopóki trwa ten okres, nie możemy usunąć tych danych na żądanie — wynika to wprost z art. 17 ust. 3 lit. b RODO (przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego). Ich przetwarzanie jest jednak ograniczone (art. 18 RODO): takie zapisy są wyłączone z marketingu, analityki i rekomendacji i istnieją wyłącznie ze względu na przepisy prawa. Po upływie okresu są usuwane w zwykłym trybie. Dokładną datę dla swoich danych możesz sprawdzić samodzielnie w koncie klienta, w sekcji „Moje dane".

Pozostałe. Dane marketingowe — do momentu wycofania zgody. Logi zgody na cookies — 365 dni. Rozmowy na czacie — patrz punkt 9.

Część naszych dostawców przetwarza dane poza EOG. Wskazujemy ich wprost, abyś wiedział, o kogo chodzi:

— Anthropic PBC (USA) — model sztucznej inteligencji, na którym działa asystentka Hanna. Przekazywana jest treść rozmowy oraz pliki, które sam załączysz (punkt 9). — Cloudflare, Inc. (USA) — ochrona i dostarczanie strony. Co dokładnie jest przekazywane i na jakiej podstawie, opisano szczegółowo w punkcie 11. — WhatsApp / Meta — rozmowy w kanale WhatsApp (punkt 8). — Google Ireland Limited — analityka i usługa poczty e-mail (punkty 4, 7); w ramach grupy Google dane mogą być przetwarzane poza EOG.

Podstawa przekazania: standardowe klauzule umowne Komisji Europejskiej (SCC), zawarte w umowach powierzenia przetwarzania danych z dostawcami; tam, gdzie ma to zastosowanie, dodatkowo obowiązuje certyfikacja danego dostawcy w programie EU-U.S. Data Privacy Framework.

Kopię zastosowanych zabezpieczeń (warunków umownych przekazania) możesz zażądać od nas pod adresem [email protected] — mamy obowiązek ją dostarczyć (art. 13 ust. 1 lit. f i art. 15 ust. 2 RODO).

Przysługuje Państwu prawo do:

• Dostępu do swoich danych

• Żądania sprostowania danych

• Żądania usunięcia danych

• Ograniczenia przetwarzania

• Wycofania zgody

• Wniesienia skargi do organu nadzorczego ds. ochrony danych

Acnova Oy

E-mail:

[email protected]

Telefon:

+358 9 424 513 15