GDPR

Wersja 1.0 · 23 sierpnia 2026

Co przechowujemy

Zbieramy tylko to, co jest potrzebne do realizacji i dostawy zamówienia — adres e-mail i adres dostawy (oraz imię i telefon dla przewoźnika) — plus zapisy techniczne wymagane przez prawo i bezpieczeństwo (historia zamówień do przechowywania księgowego, zdarzenia bezpieczeństwa logowania i referencje płatności u dostawcy; nigdy nie widzimy numerów kart).

Nie przechowujemy informacji finansowych

Nie przechowujemy informacji finansowych — numerów kart kredytowych ani debetowych, danych bankowych ani danych portfela. Te dane zbierają, przechowują i obsługują wyłącznie procesorzy płatności, z których korzystamy. Dziś jest to Stripe, certyfikowany PCI-DSS. PayPal, Paytrail, Klarna i MobilePay mogą być oferowane po włączeniu; każdy z nich jest certyfikowany PCI-DSS. Sklep otrzymuje tylko referencję płatności i status płatności.

Logowanie

Możesz utworzyć konto z e-mailem i hasłem albo użyć standardowych przycisków Google i Facebook. Prosimy o najmniejszy potrzebny zestaw uprawnień. Od nich otrzymujemy tylko imię i adres e-mail, nigdy kontaktów, wpisów ani znajomych. Przechowujemy też identyfikator użytkownika u dostawcy, aby rozpoznać Cię przy następnym logowaniu. Zakresy (cytowane dokładnie): Google: openid email profile. Facebook: email,public_profile.

Asystent zakupowy (sztuczna inteligencja)

Sklep udostępnia opcjonalnego asystenta zakupowego opartego na sztucznej inteligencji. Działa on tylko wtedy, gdy go otworzysz i coś napiszesz; wszystkie pozostałe części sklepu działają bez niego. To, co napiszesz, oraz otrzymana odpowiedź są przesyłane do Google, dostawcy modelu Gemini generującego odpowiedź, wyłącznie w celu udzielenia odpowiedzi na Twoje pytanie. Wywołanie trafia do modelu Gemini w Google Cloud Vertex AI w regionie UE europe-north1 — tym samym, w którym działa sam sklep — więc Twój tekst pozostaje w EOG; zobacz sekcję o przekazywaniu międzynarodowym.

Wiadomości do asystenta są wykorzystywane wyłącznie po to, aby Ci odpowiedzieć. Nie wykorzystujemy ich do reklamy, profilowania ani zautomatyzowanego podejmowania decyzji i nigdy ich nie sprzedajemy. Z dostawcy modelu korzystamy w ramach płatnego planu, którego warunki nie zezwalają na wykorzystywanie Twoich wiadomości do trenowania jego modeli. Asystent nie może przyjąć płatności ani zmienić zamówienia; zajmuje się tym człowiek. Prosimy nie wpisywać w nim numerów kart, haseł ani informacji o zdrowiu — wspomniany przez Ciebie szczegół dotyczący diety lub alergii jest wysyłany wraz z wiadomością.

Rozmowa jest przechowywana razem z Twoją sesją czatu, aby asystent mógł śledzić jej przebieg, i jest automatycznie usuwana najpóźniej po 90 dniach. Jeśli wolisz, aby Twój tekst nie był w ten sposób przetwarzany, po prostu nie korzystaj z asystenta: jest opcjonalny, a katalog, Twoje konto i finalizacja zamówienia działają w pełni bez niego.

Bez e-maili marketingowych

Nigdy nie wyślemy e-maila marketingowego, chyba że wyraźnie się zapiszesz. Domyślnie nie wysyłamy nic poza wiadomościami transakcyjnymi wymaganymi przez zamówienie (potwierdzenie, wysyłka, reset hasła i potwierdzenie e-maila). Subskrypcję można wycofać w dowolnym momencie.

Administrator i podmiot przetwarzający

Administratorem jest Sprzedawca wskazany w stopce sklepu (nazwa prawna, fiński identyfikator działalności / Y-tunnus i adres rejestrowy). Sprzedawca decyduje, dlaczego i jak przetwarzane są Twoje dane osobowe.

Podmiotem przetwarzającym jest Csitea Oy, operator platformy. Csitea hostuje sklep i przetwarza dane osobowe tylko na polecenie Sprzedawcy, na podstawie umowy powierzenia (art. 28 RODO).

Jakie dane zbieramy i dlaczego

W zależności od sposobu korzystania ze sklepu możemy przetwarzać:

• Adres e-mail — konto, wiadomości o zamówieniu i dostawie oraz wsparcie.
• Imię, adres i telefon dostawy — aby przewoźnik mógł dostarczyć towar.
• Adres rozliczeniowy — na fakturę wymaganą przez fińskie prawo księgowe.
• Zawartość, kwoty i status zamówienia — wykonanie umowy i księgowość.
• Referencje płatności (nigdy numery kart) — dostawca trzyma płatność; my tylko referencję.
• Zdarzenia bezpieczeństwa logowania (czas, metoda, adres IP, przeglądarka) — ochrona kont.
• Identyfikatory logowania społecznościowego, jeśli logujesz się przez Google lub Facebook.
• Opinia, którą nam wyślesz, jeśli użyjesz formularza.
• Twój wybór plików cookie, w przeglądarce, nie na naszych serwerach.
• Wiadomości, które piszesz do asystenta zakupowego, oraz jego odpowiedzi, jeśli zdecydujesz się z niego skorzystać.

Podstawy prawne

• Umowa (RODO art. 6(1)(b)) — przyjęcie i dostawa zamówienia.
• Obowiązek prawny (art. 6(1)(c)) — księgowe przechowywanie zamówień i faktur.
• Prawnie uzasadniony interes (art. 6(1)(f)) — bezpieczeństwo logowania i zapobieganie oszustwom.
• Zgoda (art. 6(1)(a)) — zbędne pliki cookie i ewentualny e-mail marketingowy.
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) — odpowiadanie na Twoje pytania w opcjonalnym asystencie zakupowym, którego sam uruchamiasz.

Kto otrzymuje dane

• Procesorzy płatności włączone przy kasie (dziś Stripe; inne po włączeniu) — do przyjęcia płatności.
• Przewoźnik — tylko imię, telefon i adres dostawy.
• Dostawca poczty — do poczty transakcyjnej.
• Google Cloud w UE (europe-north1, Finlandia) — aplikacja i baza danych.
• Google jako dostawca modelu Gemini stojącego za asystentem zakupowym — wiadomości, które do niego wysyłasz; przetwarzane w tym samym regionie UE co sklep (europe-north1, Finlandia).
• Csitea Oy jako podmiot przetwarzający.

Nie sprzedajemy Twoich danych. Nie profilujemy Cię na potrzeby reklamy, a nic z tego, co napiszesz do asystenta zakupowego, nie jest wykorzystywane do reklamy.

Jak długo je przechowujemy

• Zamówienia i faktury: co najmniej sześć lat zgodnie z fińskim prawem księgowym; niektóre zapisy księgowe mogą być przechowywane dziesięć lat.
• Dane konta: do czasu prośby o usunięcie, z wyjątkiem zapisów, które musimy zachować.
• Zdarzenia bezpieczeństwa logowania: krótki okres potrzebny do zbadania bezpieczeństwa.
• Wybór cookie: w przeglądarce, zwykle do 12 miesięcy.
• Rozmowy z asystentem zakupowym: maksymalnie 90 dni, po czym są usuwane automatycznie.

Twoje prawa

Możesz żądać dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i sprzeciwu. Zgodę na cookie lub marketing możesz wycofać w każdej chwili. Wyślij wniosek na e-mail ze strony kontaktu. Może być konieczne potwierdzenie tożsamości.

Możesz złożyć skargę do fińskiego rzecznika ochrony danych (Tietosuojavaltuutettu): tietosuoja.fi

Przekazania międzynarodowe

Sklep i baza danych działają w UE/EOG (Google Cloud europe-north1). Model Gemini stojący za asystentem zakupowym działa w tym samym regionie UE (Google Cloud Vertex AI, europe-north1), a Google jest jego podprzetwarzającym, więc to, co piszesz asystentowi, nie jest przekazywane poza EOG. Dostawca płatności przetwarza dane poza EOG; takie przekazywanie opiera się na standardowych klauzulach umownych Komisji Europejskiej oraz na warunkach RODO dostawcy. W żadnym innym celu nie przekazujemy Twoich danych poza EOG.

Kontakt

Pytania o to oświadczenie: użyj e-maila ze strony kontaktu. Sprzedawca jest administratorem; Csitea Oy jest podmiotem przetwarzającym.

Inspektor ochrony danych (DPO) — Длъжностно лице по защита на данните

Operator platformy wyznacza inspektora ochrony danych (DPO). Wnioski o ochronę danych kieruj na dane kontaktowe na tej stronie. Publiczny fiński rejestr spółek: finder.fi

Rejestr czynności przetwarzania (art. 30 RODO)

Artykuł 30 RODO nakłada na administratora obowiązek prowadzenia rejestru czynności przetwarzania. To właśnie ten rejestr dla jedynej czynności, którą wykonuje sklep — prowadzenia rejestru klientów — i jest opublikowany tutaj, abyś mógł go przeczytać bez konieczności występowania o niego.

1. Administrator danych

Administratorem jest Sprzedawca, który jest przedsiębiorcą realizującym Twoje zamówienie. Jego nazwa prawna, numer identyfikacyjny przedsiębiorstwa, forma prawna, siedziba oraz adres siedziby i adres do korespondencji — ulica, kod pocztowy i miejscowość — są wymienione w sekcji „Administrator danych” poniżej na tej stronie. Są odczytywane z konfiguracji sklepu podczas budowania strony, więc strona zawsze pokazuje aktualnie obowiązujące dane, a nie kopię, która może po cichu się zdezaktualizować.

Dane kontaktowe w sprawach dotyczących tego rejestru: Sprzedawca nie opublikował numeru telefonu ani odrębnego adresu e-mail do spraw ochrony danych. Do czasu, gdy to zrobi, korzystaj z kontaktu do spraw ochrony danych operatora platformy — nazwa spółki, imię i nazwisko osoby kontaktowej, adres, kod pocztowy i miejscowość, numer telefonu oraz adres e-mail — podanego w sekcjach „Podmiot przetwarzający” i „Inspektor ochrony danych” poniżej na tej stronie. Wnioski otrzymane tam są przekazywane Sprzedawcy.

Inspektor ochrony danych, jeżeli dotyczy: w dokumentacji sklepu nie wskazano inspektora ochrony danych dla Sprzedawcy, a art. 30 ust. 1 lit. a) wymaga tego kontaktu tylko wtedy, gdy taka osoba została wyznaczona. Operator platformy wskazuje jednak osobę kontaktową do spraw ochrony danych; jej imię i nazwisko, adres, kod pocztowy i miejscowość, numer telefonu oraz adres e-mail znajdują się w sekcji „Inspektor ochrony danych” poniżej na tej stronie.

2. Osoby, których dane dotyczą

Rejestr obejmuje następujące osoby:

• Klienci składający zamówienie z konta — posiadacz konta oraz osoba wskazana jako odbiorca przesyłki, jeżeli jest to ktoś inny.
• Klienci składający zamówienie bez konta, identyfikowani wyłącznie po adresie e-mail i danych dostawy podanych przy składaniu zamówienia.
• Osoby, które założyły konto, ale nie złożyły zamówienia, w tym osoby, które zalogowały się kontem Google lub Facebook.
• Osoby, które piszą do nas przez formularz opinii.
• Osoby korzystające z nieobowiązkowego asystenta zakupów opartego na sztucznej inteligencji.
• Własni użytkownicy zaplecza sklepu, których logowania oraz zmiany w zamówieniach, produktach i cenach są rejestrowane.

3. Cel wykorzystywania danych osobowych

Rejestr jest prowadzony na następujących podstawach prawnych:

• Dane osobowe są przetwarzane na podstawie relacji z klientem — wykonania umowy sprzedaży, którą zawierasz przy składaniu zamówienia (art. 6 ust. 1 lit. b) RODO). Obejmuje to zamówienie, dostawę i konto, z którego je składasz.
• Dane osobowe są przetwarzane w celu wypełnienia obowiązku prawnego (art. 6 ust. 1 lit. c)) — przechowywania zamówień i faktur wymaganego przez fińskie przepisy o rachunkowości.
• Dane osobowe są przetwarzane na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f)) — zapewnienia bezpieczeństwa kont, zapobiegania oszustwom i nadużyciom, odpowiadania na wiadomości, które do nas wysyłasz, oraz odpowiadania na pytania zadawane asystentowi zakupów.
• Dane osobowe są przetwarzane na podstawie zgody (art. 6 ust. 1 lit. a)) — pliki cookie inne niż niezbędne, umożliwiany przez nie pomiar szybkości stron oraz wiadomości marketingowe. Każdą z tych zgód można wycofać w dowolnym momencie.

Cele przetwarzania to:

• Przyjęcie, obciążenie płatnością, dostarczenie i w razie potrzeby zwrot środków za Twoje zamówienie oraz informowanie Cię o nim.
• Utrzymanie relacji z klientem — prowadzenie Twojego konta, umożliwienie logowania i pokazywanie Twojej własnej historii zamówień.
• Odpowiadanie na wiadomości i pytania, które do nas wysyłasz przez formularz opinii lub asystenta zakupów.
• Zapewnienie bezpieczeństwa kont i sklepu — wykrywanie i badanie nieuprawnionych logowań, oszustw i nadużyć.
• Prowadzenie księgowości i wystawianie faktur wymaganych przez fińskie przepisy o rachunkowości.
• Informowanie o produktach sklepu, wyłącznie jeśli wyraźnie się zapisałeś. Domyślnie nic nie jest wysyłane, a zapis można wycofać w dowolnym momencie.

4. Dane osobowe przechowywane w rejestrze

Rejestr klientów zawiera następujące dane w takiej postaci, w jakiej aplikacja faktycznie je przechowuje:

• Konto: adres e-mail; imię i nazwisko; numer telefonu; hasło, przechowywane wyłącznie jako nieodwracalny skrót i nigdy w postaci czytelnej; wybrany przez Ciebie język sklepu; rola Twojego konta; czas utworzenia konta; czas potwierdzenia Twojego adresu e-mail; czas ostatniego logowania; czy zapisałeś się na wiadomości marketingowe, kiedy i skąd; oraz zdjęcie profilowe, jeśli je prześlesz.
• Zamówienie: numer zamówienia; adres dostawy i adres rozliczeniowy dokładnie w takiej postaci, w jakiej podano je przy składaniu zamówienia — imię i nazwisko odbiorcy, ulica, kod pocztowy, miejscowość, kraj i numer telefonu; adres e-mail podany dla zamówienia złożonego bez konta; zamówione produkty, ilości i ceny; kwoty, podatek i koszt dostawy; waluta; język, w którym ukończono składanie zamówienia; status zamówienia i historia jego zmian; przewoźnik, kod i link do śledzenia; ewentualne zwroty środków; oraz numer faktury z datą wystawienia i terminem płatności.
• Płatność: nazwa użytego dostawcy usług płatniczych; zwracane przez niego oznaczenie płatności; rodzaj metody płatności; oraz dwuliterowy kod kraju wydawcy karty, który zgłasza dostawca usług płatniczych i który decyduje o tym, jakie metody płatności sklep może Ci zaoferować. Sklep nie przechowuje numerów kart, danych bankowych ani danych uwierzytelniających portfela — pozostają one u dostawcy usług płatniczych.
• Logowanie przez serwis społecznościowy: jeśli logujesz się przez Google lub Facebook — nazwa dostawcy, identyfikator użytkownika, który nam przekazuje, oraz adres e-mail, który zwraca.
• Bezpieczeństwo: zdarzenia logowania — czas, adres e-mail, metoda logowania, adres IP i identyfikacja przeglądarki; jednorazowe tokeny resetu hasła i potwierdzenia adresu e-mail, przechowywane wyłącznie jako skrót; oraz, w przypadku użytkowników zaplecza, zapis zmian dokonanych w zamówieniach, produktach i cenach, wraz z czasem, osobą i adresem IP.
• Opinie: przesyłane przez Ciebie imię i nazwisko, adres e-mail, temat i wiadomość; strona, z której je wysłałeś; Twój język i identyfikacja Twojej przeglądarki; a także status rozpatrzenia i wewnętrzne notatki sklepu dotyczące Twojej wiadomości.
• Asystent zakupów: sesja rozmowy i jej język, wiadomości, które piszesz, oraz otrzymywane odpowiedzi.
• Pomiar szybkości stron: jeśli zaakceptujesz kategorię analitycznych plików cookie — własne pomiary sklepu dotyczące tego, jak szybko wczytują się strony: ścieżka strony, wskaźnik i wartość, wraz z identyfikacją Twojej przeglądarki, wysyłane na własny serwer sklepu i do żadnej strony trzeciej.
• Diagnostyka błędów: jeśli zaakceptujesz kategorię analitycznych plików cookie — zapis o awariach technicznych, które Twoja przeglądarka napotkała na stronach sklepu: metoda żądania, adres strony bez części zapytania, kod odpowiedzi lub nazwa błędu, własny kod błędu sklepu oraz numer referencyjny identyfikujący zapis, a nie Ciebie — wysyłany na własny serwer sklepu i do żadnej strony trzeciej. Treść błędu, zawartość żądań i odpowiedzi ani żadne hasła, tokeny, adresy e-mail czy numery kart nigdy nie są zbierane.
• Wybór dotyczący plików cookie: przechowywany w Twojej własnej przeglądarce, a nie na serwerach sklepu.

W rejestrze nie ma żadnych innych danych osobowych. Sklep nie żąda ani nie przechowuje numeru identyfikacyjnego, daty urodzenia, danych o zdrowiu ani żadnej innej szczególnej kategorii danych osobowych. Gdy usuniesz konto na stronie konta, powyższe dane zostaną usunięte lub zastąpione anonimowym oznaczeniem, Twoje powiązania logowania przez serwisy społecznościowe i niewykorzystane tokeny zostaną usunięte, a Twoje rozmowy z asystentem zostaną zanonimizowane; zamówienia i faktury, które przepisy o rachunkowości nakazują sklepowi przechowywać, pozostają; wysłana przez Ciebie wiadomość z opinią zostaje pozbawiona Twojego imienia i nazwiska, Twojego adresu oraz swojej treści, tak że pozostaje jedynie anonimowy zapis, iż zgłoszenie istniało; a zdarzenie logowania zachowuje swój czas, metodę i adres sieciowy jako zapis bezpieczeństwa, przy czym Twój adres e-mail zostaje zastąpiony tym samym anonimowym oznaczeniem co konto.

Ten rejestr obejmuje rejestr klientów. Sklep przetwarza ponadto jeden numer telefonu w celu, który nie ma nic wspólnego z klientami: własny numer firmowy operatora, opublikowany już na stronach kontaktu i opinii, jest skonfigurowany tak, aby otrzymywać automatyczną wiadomość, gdy sklep nie działa lub jest nieosiągalny, tak by awaria została zauważona w ciągu minut, a nie godzin. Wiadomości te wysyła Google Cloud Monitoring, a dalej doręcza je operator komórkowy, którego nie jesteśmy w stanie wskazać; każda zawiera wyłącznie nazwę usługi, stan i znacznik czasu, nigdy danych klientów ani zamówień, a my nie prowadzimy ewidencji wysłanych wiadomości. Nie są przy tym przetwarzane dane osobowe żadnego klienta.