Polityka prywatności

1. Administrator danych

Administratorem danych osobowych jest Studio Natalia Rasiewicz-Kiełbasa, adres: Uczniowska 4C/32, 70-893 Szczecin, NIP: 9552597288. Kontakt w sprawach danych osobowych: formularz kontaktowy, telefon: numer widoczny po włączeniu JavaScriptu.

2. Zakres i źródła danych

Możemy przetwarzać dane podane bezpośrednio przez osobę, jej przedstawiciela lub pracodawcę, w szczególności: imię i nazwisko, firmę, NIP, adres, e-mail, telefon, dane do faktury, treść korespondencji, dane dotyczące zamówienia, Domeny i Strony, historię płatności, identyfikator transakcji, token płatniczy, treść oraz czas udzielenia lub cofnięcia zgody na obciążenia, adres IP, informacje techniczne i logi bezpieczeństwa. Nie otrzymujemy pełnego numeru karty ani kodu CVV/CVC. Jeżeli dane otrzymaliśmy od przedstawiciela, pracodawcy lub innej osoby działającej w związku z zamówieniem, źródłem danych jest ten podmiot lub osoba.

3. Cele, podstawy i czas przetwarzania

• Zawarcie i wykonanie umowy – art. 6 ust. 1 lit. b RODO; przez czas wykonywania umowy, a po jej zakończeniu do upływu właściwego terminu przedawnienia roszczeń, który co do zasady wynosi 3 lata dla roszczeń związanych z działalnością gospodarczą i świadczeń okresowych albo 6 lat dla pozostałych roszczeń, z uwzględnieniem ustawowego sposobu liczenia terminu.
• Obsługa płatności, dokumentowanie zgód na obciążenia i zwroty – art. 6 ust. 1 lit. b RODO oraz uzasadniony interes z art. 6 ust. 1 lit. f RODO polegający na wykazaniu prawidłowości rozliczeń; przez czas Umowy i do upływu właściwego terminu przedawnienia roszczeń.
• Faktury, podatki i rachunkowość – art. 6 ust. 1 lit. c RODO; co do zasady przez 5 lat liczonych od końca roku, w którym upłynął termin płatności podatku, albo dłużej, jeżeli wymagają tego przepisy lub postępowanie.
• Kontakt przed zawarciem umowy – art. 6 ust. 1 lit. b RODO albo uzasadniony interes z art. 6 ust. 1 lit. f RODO; do zakończenia rozmów, a następnie nie dłużej niż 12 miesięcy od ostatniego kontaktu, chyba że zawarto umowę lub materiał jest potrzebny do ustalenia, dochodzenia albo obrony roszczeń.
• Bezpieczeństwo, logi i zapobieganie nadużyciom – art. 6 ust. 1 lit. f RODO; co do zasady nie dłużej niż 12 miesięcy, a dane dotyczące incydentu do jego wyjaśnienia i upływu właściwego terminu roszczeń.
• Dochodzenie i obrona roszczeń – art. 6 ust. 1 lit. f RODO; do upływu właściwego terminu przedawnienia lub prawomocnego zakończenia postępowania.
• Marketing elektroniczny – art. 6 ust. 1 lit. a RODO oraz zgoda wymagana przepisami o komunikacji elektronicznej; do wycofania zgody lub stwierdzenia nieaktualności danych. Minimalne dane potwierdzające sprzeciw albo cofnięcie zgody mogą być przechowywane w celu respektowania decyzji i obrony przed roszczeniami.

4. Odbiorcy danych i dostawcy

Dane mogą być powierzane podmiotom wspierającym Administratora, wyłącznie w niezbędnym zakresie i na podstawie odpowiednich umów lub przepisów. Należą do nich w szczególności:

• Hostido.pl Gałązka sp.j. – dostawca infrastruktury hostingowej i kopii zapasowych;
• Krajowy Integrator Płatności S.A. (Tpay), pl. Andersa 3, 17. piętro, 61-894 Poznań, KRS 0000412357, NIP 7773061579 – operator płatności, który w zakresie świadczenia usług płatniczych działa również jako odrębny administrator danych (regulamin operatora, klauzula informacyjna operatora);
• PayPro S.A. (Przelewy24), ul. Pastelowa 8, 60-198 Poznań, KRS 0000347935, NIP 7792369887 – operator płatności, który w zakresie świadczenia usług płatniczych działa również jako odrębny administrator danych (regulamin operatora, klauzula informacyjna operatora);
• Fakturownia sp. z o.o. – dostawca systemu fakturowania i integracji z KSeF;
• rejestratorzy domen i właściwe rejestry, w tym NASK dla domen .pl – w zakresie rejestracji, utrzymania i przenoszenia Domeny;
• Google Ireland Limited i podmioty z grupy Google – jako dostawcy plików Google Fonts ładowanych z serwerów Google, jeżeli nie są one hostowane lokalnie;
• dostawcy poczty elektronicznej, wsparcia IT, kancelaria prawna, księgowość i organy publiczne uprawnione na podstawie prawa.

Aktualni dostawcy mogą się zmienić, jeżeli jest to potrzebne do świadczenia usług. Administrator dobiera podmioty zapewniające odpowiedni poziom bezpieczeństwa.

5. Operatorzy płatności i dane płatnicze

Administrator korzysta z dwóch bramek płatniczych: Tpay oraz Przelewy24. Operatora obsługującego konkretną płatność wybiera Administrator przed skierowaniem Klienta do zapłaty; Klient przed dokonaniem płatności widzi, przez którego operatora płaci, a sama płatność jest inicjowana w środowisku tego operatora.

Dane instrumentu płatniczego (numer karty, kod CVV/CVC, dane logowania do bankowości) są przekazywane bezpośrednio wybranemu operatorowi i Administrator ich nie otrzymuje. Administrator otrzymuje informacje niezbędne do identyfikacji i rozliczenia transakcji oraz, w przypadku płatności powtarzalnych, token pozwalający zlecić obciążenie automatycznie według harmonogramu albo manualnie w dniu wymagalności zgodnie z udzieloną zgodą. Token jest zapisany u jednego operatora i nie jest przenoszony pomiędzy operatorami – obciążenia u drugiego operatora wymagają odrębnej zgody. Administrator przechowuje informacje potrzebne do wykazania zakresu zgody, jej cofnięcia, prób obciążenia i zwrotów.

W zakresie świadczenia usług płatniczych każdy z operatorów jest odrębnym administratorem danych i przetwarza je na podstawie własnej klauzuli informacyjnej, udostępnianej podczas płatności:

• Tpay – Krajowy Integrator Płatności S.A. działający pod marką Tpay, z siedzibą pod adresem pl. Andersa 3, 17. piętro, 61-894 Poznań, KRS 0000412357, Sąd Rejonowy Poznań – Nowe Miasto i Wilda w Poznaniu, VIII Wydział Gospodarczy KRS, NIP 7773061579, REGON 300878437, kapitał zakładowy 5 494 980,00 zł opłacony w całości, krajowa instytucja płatnicza nadzorowana przez Komisję Nadzoru Finansowego, wpisana do rejestru krajowych instytucji płatniczych pod numerem IP27/2014; regulamin operatora, klauzula informacyjna operatora.
• Przelewy24 – PayPro S.A. działający pod marką Przelewy24, z siedzibą pod adresem ul. Pastelowa 8, 60-198 Poznań, KRS 0000347935, Sąd Rejonowy Poznań – Nowe Miasto i Wilda w Poznaniu, VIII Wydział Gospodarczy KRS, NIP 7792369887, REGON 301345068, kapitał zakładowy 4 737 100,00 zł opłacony w całości, krajowa instytucja płatnicza nadzorowana przez Komisję Nadzoru Finansowego, wpisana do rejestru krajowych instytucji płatniczych pod numerem IP24/2014; regulamin operatora, klauzula informacyjna operatora.

6. Fakturownia i KSeF

Dane nabywcy i informacje o transakcji mogą zostać przekazane do Fakturowni w celu wystawienia, przechowywania i doręczenia faktury oraz, gdy ma zastosowanie, obsługi KSeF. Zakres danych wynika z przepisów podatkowych i danych podanych przez Klienta.

7. Przekazywanie poza EOG

Niektórzy dostawcy, w szczególności podmioty z grupy Google przy zdalnym ładowaniu Google Fonts, mogą przetwarzać dane w państwach poza Europejskim Obszarem Gospodarczym, w tym w Stanach Zjednoczonych. Przekazanie odbywa się na podstawie mechanizmu przewidzianego w RODO, odpowiednio decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych albo innej właściwej podstawy. Informację o stosowanym mechanizmie i kopię odpowiednich zabezpieczeń można uzyskać, kontaktując się z Administratorem.

8. Prawa osoby

Osobie przysługuje – zależnie od podstawy przetwarzania – prawo dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie oraz wycofania zgody w dowolnym momencie. Wycofanie zgody nie wpływa na legalność wcześniejszego przetwarzania. Żądanie można przesłać na adres wskazany w formularzu kontaktowym.

Przysługuje także prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl.

9. Dobrowolność podania danych

Podanie danych jest dobrowolne, ale dane oznaczone jako niezbędne są wymagane do zawarcia i wykonania umowy, obsługi płatności lub wystawienia faktury. Niepodanie ich może uniemożliwić realizację usługi.

10. Zautomatyzowane decyzje

Administrator nie podejmuje wobec Klientów decyzji wywołujących skutki prawne lub w podobny sposób istotnie na nich wpływających wyłącznie w sposób zautomatyzowany. Automatyczne odnotowanie płatności, automatyczne albo manualnie wywołane obciążenie zgodne ze zgodą, ponowienie nieudanej próby lub wysłanie przypomnienia jest elementem wykonania umowy, a nie profilowaniem marketingowym.

11. Cookies, pamięć przeglądarki i Google Fonts

Serwis może korzystać z niezbędnych technicznie plików cookies oraz lokalnej pamięci przeglądarki, np. w celu utrzymania sesji, zabezpieczenia formularzy lub zapamiętania wybranego motywu. Takie mechanizmy nie służą śledzeniu reklamy. Narzędzia analityczne lub marketingowe wymagające zgody nie są uruchamiane przed uzyskaniem ważnej zgody użytkownika.

Jeżeli fonty są ładowane z Google Fonts, przeglądarka łączy się z domenami fonts.googleapis.com i fonts.gstatic.com. Do Google są wówczas przekazywane co najmniej adres IP, żądany adres zasobu oraz nagłówki techniczne, takie jak informacje o przeglądarce, systemie i stronie odsyłającej. Według informacji Google usługa Google Fonts nie ustawia cookies i nie wykorzystuje tych danych do profilowania ani reklam spersonalizowanych.

Czat AI i opinie Google Maps

Czat służy do odpowiadania na pytania o ofertę oraz przyjmowania zgłoszeń. Po wysłaniu wiadomości jej treść, ograniczona historia rozmowy i publiczne materiały strony są przekazywane do dostawcy AI skonfigurowanego dla czatu (OpenAI lub DeepSeek). Nie podawaj haseł, kluczy API, danych kart ani innych informacji, których nie chcesz przekazywać dostawcy. Czat nie ma dostępu do konta klienta ani informacji o jego płatnościach.

Treść rozmowy jest przechowywana w sesji na serwerze przez maksymalnie dwie godziny dostępności sesji. Wygasłe pliki są usuwane przy uruchamianiu kolejnych sesji lub przez zadanie porządkowania. Niezbędny plik cookie SN_SUPPORT utrzymuje sesję czatu. Do ochrony usługi przed nadużyciami używany jest skrót adresu IP i liczniki aktywności; liczniki są usuwane po wygaśnięciu ich okien czasowych podczas kolejnych żądań. Treści rozmów i klucze API nie są zapisywane w dzienniku błędów czatu.

Podsumowanie oraz imię i e-mail do odpowiedzi trafiają do Studio Natalii dopiero po sprawdzeniu treści i wybraniu przez rozmówcę wysyłki zgłoszenia. Wysłane zgłoszenie podlega zasadom przechowywania korespondencji opisanym wyżej. Odpowiedź modelu może zawierać błędy; nie jest potwierdzeniem płatności, zmiany strony ani indywidualnych ustaleń umownych. Zasady dostawców, w tym ich własne okresy przechowywania danych, opisują polityka OpenAI i polityka DeepSeek.

Sekcja opinii korzysta z Google Maps Platform (Places API). Podczas jej wyświetlania serwer pobiera opinie i oznaczenia autorów; opinie nie są zapisywane w trwałej pamięci podręcznej strony. Zdjęcia autorów i oznaczenie Google Maps mogą być pobierane przez przeglądarkę z serwerów Google, co ujawnia Google dane techniczne połączenia, w tym adres IP. Do korzystania z tej funkcji odnoszą się także Polityka prywatności Google oraz Warunki korzystania z Google Maps.

12. Bezpieczeństwo i zmiany polityki

Administrator stosuje środki adekwatne do ryzyka, w tym szyfrowane połączenie, ograniczenie dostępu, kopie zapasowe, aktualizacje i rejestrowanie istotnych zdarzeń. Polityka może być aktualizowana w razie zmiany prawa, dostawców lub sposobu przetwarzania. Aktualna wersja jest publikowana na tej stronie.