Polityka prywatności

§ 1. Informacje podstawowe

1. Niniejsza Polityka Prywatności określa zasady przetwarzania i ochrony danych osobowych przekazanych przez Użytkowników w związku z korzystaniem ze Sklepu Internetowego.
2. Administratorem danych osobowych jest:
   BDT Projekt S.C.
   ul. Maratońska 11a, 41-407 Imielin
   NIP: 6463009101
   REGON: 527206788
   E-mail: handel@bdtprojekt.pl
   Telefon: +48 789 197 133
3. Dane osobowe przetwarzane są zgodnie z:
   • Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO)
   • Ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych
   • Ustawą z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną
   • Ustawą z dnia 16 lipca 2004 r. Prawo telekomunikacyjne
   • Rozporządzeniem ePrivacy (obowiązującym od 2025 roku)
   • Data Act i Digital Services Act (DSA) obowiązującymi w UE od 2024/2025 roku

§ 2. Zakres przetwarzanych danych osobowych

1. Dane zbierane automatycznie podczas korzystania ze Sklepu:
   • Adres IP
   • Typ przeglądarki internetowej
   • System operacyjny
   • Adres strony, z której nastąpiło przekierowanie
   • Czas spędzony na stronie
   • Data i godzina wizyty
   • Informacje o urządzeniu (rozdzielczość ekranu, ustawienia)
2. Dane podawane podczas rejestracji konta:
   • Imię i nazwisko / Nazwa firmy
   • Adres e-mail
   • Numer telefonu
   • Adres zamieszkania / siedziby
   • NIP (w przypadku firm)
3. Dane podawane podczas składania zamówienia:
   • Dane kontaktowe (imię, nazwisko, e-mail, telefon)
   • Adres dostawy
   • Adres do faktury
   • Historia zamówień
   • Informacje o płatnościach (w zakresie niezbędnym do realizacji)
4. Dane w plikach cookies i podobnych technologiach:
   • Identyfikatory sesji
   • Preferencje użytkownika
   • Dane techniczne niezbędne do funkcjonowania Sklepu

§ 3. Cele i podstawy prawne przetwarzania danych

§ 4. Odbiorcy danych osobowych

1. Dane osobowe mogą być przekazywane następującym kategoriom odbiorców:
   • Dostawcy usług kurierskich i transportowych — w zakresie niezbędnym do dostarczenia zamówienia
   • Operatorzy płatności (Przelewy24, PayU, Stripe, etc.) — w zakresie niezbędnym do obsługi płatności
   • Banki — w zakresie niezbędnym do obsługi płatności i zwrotów
   • Biuro rachunkowe — w zakresie prowadzenia księgowości i rozliczeń podatkowych
   • Dostawcy usług IT — hosting, utrzymanie infrastruktury technicznej, wsparcie techniczne
   • Kancelarie prawne i doradcy — w przypadku sporów prawnych
   • Organy państwowe — na podstawie obowiązujących przepisów prawa (np. Urząd Skarbowy, organy ścigania)
2. Administrator zawiera z odbiorcami danych stosowne umowy powierzenia przetwarzania danych osobowych, zapewniające odpowiedni poziom ochrony.
3. Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG):

   Obecnie nie przekazujemy danych osobowych poza Europejski Obszar Gospodarczy. W przypadku przyszłej konieczności takiego przekazania, zapewnimy odpowiednie zabezpieczenia zgodnie z wymogami RODO (standardowe klauzule umowne, decyzje Komisji Europejskiej o adekwatności ochrony).

§ 5. Prawa osoby, której dane dotyczą

1. Prawo dostępu do danych (Art. 15 RODO)

   Użytkownik ma prawo uzyskać potwierdzenie, czy przetwarzamy jego dane osobowe, oraz otrzymać ich kopię wraz z informacjami o celu, kategoriach danych, odbiorcach i okresie przechowywania.

2. Prawo do sprostowania danych (Art. 16 RODO)

   Użytkownik ma prawo żądać niezwłocznego sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych osobowych.

3. Prawo do usunięcia danych — „prawo do bycia zapomnianym” (Art. 17 RODO)

   Użytkownik ma prawo żądać usunięcia danych, gdy:

   • Dane nie są już niezbędne do celów, dla których zostały zebrane
   • Użytkownik cofnął zgodę i nie ma innej podstawy prawnej przetwarzania
   • Użytkownik wniósł sprzeciw wobec przetwarzania
   • Dane są przetwarzane niezgodnie z prawem

   Uwaga: Prawo do usunięcia nie ma zastosowania, gdy przetwarzanie jest niezbędne dla wypełnienia obowiązku prawnego (np. przechowywanie faktur przez 5 lat).

4. Prawo do ograniczenia przetwarzania (Art. 18 RODO)

   Użytkownik ma prawo żądać ograniczenia przetwarzania w przypadkach przewidzianych prawem (np. kwestionowanie prawidłowości danych).

5. Prawo do przenoszenia danych (Art. 20 RODO)

   Użytkownik ma prawo otrzymać swoje dane w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (np. CSV, JSON, XML) oraz prawo przesłać te dane innemu administratorowi.

6. Prawo do sprzeciwu (Art. 21 RODO)

   Użytkownik ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania danych:

   • W celach marketingu bezpośredniego (w tym profilowania)
   • Na podstawie prawnie uzasadnionego interesu Administratora
7. Prawo do cofnięcia zgody (Art. 7 ust. 3 RODO)

   W przypadkach, gdy przetwarzanie odbywa się na podstawie zgody, Użytkownik ma prawo ją cofnąć w dowolnym momencie. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania przed jej cofnięciem.

8. Prawo do niewyrażenia zgody na zautomatyzowane podejmowanie decyzji, w tym profilowanie (Art. 22 RODO)

   Użytkownik ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu i wywołuje skutki prawne lub istotnie wpływa na jego sytuację.

   Profilowanie w naszym Sklepie: Stosujemy profilowanie wyłącznie w celach marketingowych (dopasowanie ofert) i tylko za wyraźną zgodą. Użytkownik ma prawo odmówić lub wycofać zgodę w dowolnym momencie.

9. Prawo do wniesienia skargi do organu nadzorczego (Art. 77 RODO)

   Jeśli Użytkownik uważa, że przetwarzanie jego danych narusza RODO, ma prawo wnieść skargę do:

   Prezes Urzędu Ochrony Danych Osobowych (PUODO)
   ul. Stawki 2, 00-193 Warszawa
   Tel.: 22 531 03 00
   E-mail: kancelaria@uodo.gov.pl
   www.uodo.gov.pl

§ 6. Pliki cookies i podobne technologie

1. Czym są pliki cookies?

   Pliki cookies to małe pliki tekstowe zapisywane na urządzeniu użytkownika przez przeglądarkę internetową podczas korzystania ze strony. Zawierają informacje pozwalające na rozpoznanie użytkownika podczas kolejnych wizyt.

2. Rodzaje wykorzystywanych cookies:

   Typ cookies	Cel	Podstawa prawna (2025)	Okres
   Niezbędne	Umożliwiają podstawowe funkcje strony (koszyk, logowanie, sesja)	Prawnie uzasadniony interes (Art. 6 ust. 1 lit. f RODO + wyłączenie z Rozporządzenia ePrivacy)	Sesja lub do 24h
   Funkcjonalne	Zapamiętują preferencje użytkownika (język, waluta, ustawienia wyświetlania)	Prawnie uzasadniony interes (Art. 6 ust. 1 lit. f RODO)	Do 12 miesięcy

3. Szczegółowa lista stosowanych cookies:
   • PHPSESSID — identyfikator sesji PHP (niezbędny)
   • _sylius_cart — przechowywanie koszyka zakupowego (niezbędny)
   • language — preferencja językowa (funkcjonalny)
   • currency — wybrana waluta (funkcjonalny)
   • cookie_consent — status zgody na cookies (niezbędny)
4. Zarządzanie plikami cookies:

   Użytkownik może w dowolnym momencie:

   • Zmienić ustawienia przeglądarki, aby blokować lub usuwać cookies
   • Skorzystać z trybu prywatnego/incognito przeglądarki

   Uwaga: Zablokowanie niezbędnych cookies (sesja, koszyk) uniemożliwi korzystanie z podstawowej funkcjonalności Sklepu, takiej jak składanie zamówień czy logowanie. Cookies funkcjonalne (język, waluta) poprawiają komfort użytkowania, ale nie są wymagane do korzystania ze Sklepu.

5. Zgodność z Rozporządzeniem ePrivacy (2025):

   Od 2025 roku obowiązuje nowe Rozporządzenie ePrivacy. Nasz Sklep wykorzystuje wyłącznie cookies niezbędne do funkcjonowania strony oraz cookies funkcjonalne poprawiające komfort użytkowania. Nie stosujemy cookies marketingowych ani analitycznych stron trzecich, co zapewnia maksymalny poziom prywatności naszych użytkowników.

§ 7. Bezpieczeństwo danych osobowych

1. Administrator stosuje środki techniczne i organizacyjne zapewniające ochronę danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, w szczególności:
   • Szyfrowanie: Połączenie SSL/TLS (HTTPS) dla całej strony
   • Szyfrowanie danych: Hasła są hashowane algorytmem bcrypt z solą
   • Kontrola dostępu: Ograniczenie dostępu do danych tylko dla upoważnionych osób
   • Uwierzytelnianie wieloskładnikowe (MFA/2FA): Dla kont administracyjnych
   • Firewall i systemy IDS/IPS: Ochrona przed nieautoryzowanym dostępem
   • Kopie zapasowe: Regularne backupy z możliwością przywrócenia
   • Aktualizacje bezpieczeństwa: Regularne łatanie luk bezpieczeństwa
   • Monitorowanie: System wykrywania anomalii i prób włamania
   • Pseudonimizacja i minimalizacja danych: Zgodnie z zasadami RODO
   • Regularne audyty bezpieczeństwa: Testy penetracyjne i przeglądy zabezpieczeń
2. Administrator prowadzi rejestr czynności przetwarzania danych osobowych zgodnie z Art. 30 RODO.
3. W przypadku naruszenia ochrony danych osobowych Administrator:
   • Zgłosi naruszenie do PUODO w ciągu 72 godzin (jeśli naruszenie wiąże się z ryzykiem)
   • Poinformuje osoby, których dane dotyczą, jeśli naruszenie może skutkować wysokim ryzykiem dla ich praw i wolności
   • Podejmie działania naprawcze zgodnie z planem reakcji na incydenty
4. Zgodność z Data Act (2025): Administrator przestrzega nowych wymogów dotyczących udostępniania danych i interoperacyjności systemów zgodnie z Data Act obowiązującym w UE od 2025 roku.

§ 8. Marketing i newsletter

1. Zgoda na newsletter:

   Wysyłka newslettera wymaga dobrowolnej, wyraźnej zgody użytkownika (mechanizm opt-in). Zgoda jest wyrażana poprzez zaznaczenie odpowiedniego checkboxa i potwierdzenie w e-mailu (double opt-in).

2. Zakres danych przetwarzanych w celach marketingowych:
   • Adres e-mail
   • Imię (opcjonalnie)
   • Historia zamówień (do personalizacji ofert)
   • Preferencje i zainteresowania (jeśli podane)
   • Dane o interakcjach z wiadomościami (otwarcia, kliknięcia)
3. Rezygnacja z newslettera:

   Użytkownik może w dowolnym momencie zrezygnować z newslettera poprzez:

   • Link „Wypisz się” w stopce każdej wiadomości e-mail
   • Ustawienia konta w Sklepie
   • Kontakt z Administratorem

   Rezygnacja jest skuteczna natychmiast, dane nie będą już wykorzystywane do wysyłki newslettera.

4. Marketing bezpośredni:

   Administrator może przetwarzać dane do celów marketingu bezpośredniego swoich produktów/usług na podstawie prawnie uzasadnionego interesu (soft opt-in). Użytkownik ma prawo w dowolnym momencie wnieść sprzeciw wobec takiego przetwarzania.

§ 9. Ochrona danych dzieci

1. Sklep nie jest przeznaczony dla dzieci poniżej 16. roku życia.
2. Świadomie nie zbieramy danych osobowych od dzieci poniżej 16. roku życia bez zgody rodzica lub opiekuna prawnego.
3. Zgodnie z Art. 8 RODO, przetwarzanie danych osobowych dziecka w związku z usługami społeczeństwa informacyjnego jest zgodne z prawem, jeżeli dziecko ma co najmniej 16 lat. W przypadku dziecka poniżej 16. roku życia, takie przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy zgodę wyraził lub zatwierdził rodzic lub opiekun.
4. Jeśli dowiemy się, że nieumyślnie zebraliśmy dane osobowe dziecka bez odpowiedniej zgody rodzica/opiekuna, podejmiemy kroki w celu usunięcia tych danych.
5. Rodzice/opiekunowie mogą w dowolnym momencie skontaktować się z nami w celu:
   • Sprawdzenia, jakie dane dziecka zostały zebrane
   • Żądania usunięcia danych dziecka
   • Odmowy dalszego zbierania lub wykorzystywania danych dziecka

§ 10. Zautomatyzowane podejmowanie decyzji i profilowanie

1. Czy stosujemy zautomatyzowane podejmowanie decyzji?

   W naszym Sklepie nie stosujemy w pełni zautomatyzowanego podejmowania decyzji wywołującego skutki prawne lub w podobny sposób istotnie wpływającego na użytkownika.

2. Profilowanie:

   Obecnie nie stosujemy zautomatyzowanego profilowania użytkowników. W przypadku przyszłego wprowadzenia takich funkcji, użytkownicy zostaną o tym poinformowani i będą mogli wyrazić lub odmówić zgody.

3. Prawa użytkownika:

   Użytkownik ma prawo do:

   • Odmowy wyrażenia zgody na profilowanie
   • Wycofania zgody w dowolnym momencie
   • Uzyskania informacji o logice profilowania
   • Interwencji człowieka w przypadku wątpliwości co do decyzji

§ 11. Logi serwera i dane techniczne

1. Podczas korzystania ze Sklepu automatycznie zbierane są informacje techniczne zapisywane w logach serwera:
   • Adres IP
   • Nazwa domeny
   • Data i godzina żądania
   • Typ i wersja przeglądarki
   • System operacyjny
   • Strona, z której nastąpiło przekierowanie (HTTP referer)
   • Adres żądanej strony
   • Kod odpowiedzi HTTP
2. Dane w logach serwera wykorzystywane są wyłącznie do:
   • Administrowania serwerem i zapewnienia stabilności działania Sklepu
   • Analizy problemów technicznych
   • Wykrywania nadużyć, ataków i zagrożeń bezpieczeństwa
   • Tworzenia anonimowych statystyk
3. Logi serwera przechowywane są przez okres do 90 dni, po czym są automatycznie usuwane (z wyjątkiem przypadków wykrytych naruszeń bezpieczeństwa lub w celach dowodowych).

§ 12. Zmiany polityki prywatności

1. Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności.
2. O wszelkich zmianach użytkownicy zostaną poinformowani poprzez:
   • Komunikat na stronie głównej Sklepu
   • Wiadomość e-mail (jeśli zmiana ma istotny wpływ na przetwarzanie danych)
   • Pop-up informacyjny przy następnej wizycie
3. Zmiany wchodzą w życie w terminie 14 dni od daty ich opublikowania, chyba że zmiana wynika z konieczności dostosowania do przepisów prawa (wtedy obowiązuje od razu).
4. Kontynuowanie korzystania ze Sklepu po wejściu w życie zmian oznacza akceptację nowej Polityki Prywatności.
5. Poprzednie wersje Polityki Prywatności są archiwizowane i dostępne na żądanie.

§ 13. Dane kontaktowe w sprawach ochrony danych

Administrator danych osobowych

Organ nadzorczy

Podstawy prawne

Niniejsza Polityka Prywatności została opracowana zgodnie z:

• Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO)
• Ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2019 poz. 1781)
• Ustawą z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. 2020 poz. 344)
• Ustawą z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz.U. 2019 poz. 2460)
• Rozporządzeniem ePrivacy (Regulation on Privacy and Electronic Communications) — obowiązującym w UE od 2025 roku
• Data Governance Act (DGA) — Rozporządzenie (UE) 2022/868
• Data Act — Rozporządzenie (UE) 2023/2854 (obowiązuje od września 2025)
• Digital Services Act (DSA) — Rozporządzenie (UE) 2022/2065 (pełna implementacja 2024/2025)
• Digital Markets Act (DMA) — Rozporządzenie (UE) 2022/1925

Dokument obowiązuje od: 23.02.2026