Podstawowe zasady przetwarzania danych

Ochrona danych osobowych jest istotnym elementem korzystania ze sklepu internetowego. Dane powinny być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty, wyłącznie w określonych i zgodnych z prawem celach.

Zakres przetwarzanych informacji powinien być ograniczony do danych niezbędnych dla danego celu. Dane należy odpowiednio zabezpieczać i przechowywać nie dłużej, niż jest to konieczne zgodnie z obowiązującymi przepisami.

Zasady te wynikają w szczególności z ogólnego rozporządzenia o ochronie danych, określanego jako RODO.

Dane związane ze składaniem zamówienia

Realizacja zamówienia w sklepie internetowym może wymagać przetwarzania danych identyfikacyjnych i kontaktowych klienta, adresu dostawy, informacji o zamówionych produktach oraz danych niezbędnych do obsługi płatności i dokumentów sprzedażowych.

Podstawą prawną przetwarzania danych niezbędnych do zawarcia i wykonania umowy jest art. 6 ust. 1 lit. b RODO. Jeśli określone dane muszą być przetwarzane w celu wykonania obowiązku prawnego, odpowiednią podstawą może być art. 6 ust. 1 lit. c RODO.

Nie wszystkie dane są potrzebne w każdej sytuacji. Zakres informacji powinien odpowiadać rzeczywistemu procesowi zakupowemu.

Korespondencja, zwroty i reklamacje

Dane podane podczas kontaktu ze sklepem mogą być niezbędne do udzielenia odpowiedzi, identyfikacji zamówienia, rozpatrzenia reklamacji, obsługi odstąpienia od umowy lub dochodzenia praw związanych z zakupem.

Podstawy prawne zależą od celu i okoliczności sprawy. Mogą obejmować wykonanie umowy, spełnienie obowiązku prawnego albo prawnie uzasadniony interes administratora, jeżeli spełnione są odpowiednie przesłanki.

Nie należy przesyłać w korespondencji haseł ani pełnych danych kart płatniczych.

Korzystanie ze strony internetowej

Podczas korzystania z witryny mogą powstawać informacje techniczne, takie jak adres IP, dane przeglądarki, informacje o urządzeniu oraz zapisy związane z bezpieczeństwem i działaniem strony.

Cel, podstawa prawna i okres przechowywania takich danych zależą od konkretnych technologii wykorzystywanych w witrynie. W przypadku plików cookies i podobnych narzędzi zastosowanie mają również zasady przedstawione w Polityce plików cookies.

Newsletter i informacje handlowe

Jeżeli sklep udostępnia możliwość zapisu do newslettera, użytkownik powinien otrzymać informacje o zakresie komunikacji, odpowiednich podstawach przetwarzania danych oraz możliwości rezygnacji.

Wysyłanie informacji marketingowych i wykorzystywanie danych do marketingu bezpośredniego wymaga przestrzegania właściwych przepisów, w tym zasad dotyczących zgód na określone kanały komunikacji.

Udzieloną zgodę można wycofać, jeżeli to ona stanowi podstawę danego działania. Wycofanie zgody nie wpływa na zgodność z prawem czynności dokonanych przed jej wycofaniem.

Podmioty uczestniczące w obsłudze sklepu

W zależności od faktycznie wykorzystywanych usług przetwarzanie danych może obejmować dostawców infrastruktury sklepu, usług płatniczych, firm transportowych, usług informatycznych, obsługi klienta i księgowości.

Dostęp do danych powinien być ograniczony do zakresu potrzebnego do wykonywania określonych zadań. Jeśli dany podmiot działa jako podmiot przetwarzający, zastosowanie mają odpowiednie wymagania RODO dotyczące powierzenia przetwarzania.

Przekazywanie danych poza Europejski Obszar Gospodarczy

Jeśli konkretna usługa wiąże się z przekazywaniem danych osobowych poza Europejski Obszar Gospodarczy, należy stosować odpowiednią podstawę transferu przewidzianą w RODO oraz informować osoby, których dane dotyczą, zgodnie z właściwymi wymaganiami.

Może to obejmować decyzję stwierdzającą odpowiedni stopień ochrony albo inne dopuszczalne mechanizmy zabezpieczające, zależnie od kraju i okoliczności transferu.

Jak długo przechowywane są dane?

Okres przechowywania zależy od celu przetwarzania i obowiązujących przepisów. Dane związane z dokumentacją sprzedaży mogą podlegać obowiązkom podatkowym i rachunkowym. Informacje dotyczące reklamacji lub sporów mogą być potrzebne przez okres właściwy dla dochodzenia lub obrony roszczeń.

Informacje wykorzystywane na podstawie zgody powinny podlegać zasadom dotyczącym jej wycofania oraz odpowiedniej polityce usuwania danych.

Prawa osób, których dane dotyczą

Na zasadach określonych w RODO osoba, której dane dotyczą, może mieć prawo do:

• dostępu do danych osobowych;
• sprostowania nieprawidłowych informacji;
• usunięcia danych, jeśli spełnione są przesłanki prawne;
• ograniczenia przetwarzania;
• przenoszenia danych w sytuacjach przewidzianych przepisami;
• sprzeciwu wobec określonych form przetwarzania;
• wycofania zgody, gdy przetwarzanie odbywa się na jej podstawie;
• wniesienia skargi do właściwego organu nadzorczego.

W Polsce organem nadzorczym w zakresie ochrony danych osobowych jest Prezes Urzędu Ochrony Danych Osobowych.

Profilowanie i zautomatyzowane decyzje

Jeżeli w witrynie stosowane są narzędzia profilowania lub zautomatyzowanego podejmowania decyzji, obowiązek informacyjny zależy od faktycznego charakteru tych operacji. Szczególne wymagania RODO odnoszą się do decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie wpływają na osobę.

Ochrona informacji

Dane osobowe powinny być chronione odpowiednimi środkami technicznymi i organizacyjnymi, uwzględniającymi charakter informacji i ryzyko związane z ich przetwarzaniem.

Użytkownik powinien również dbać o bezpieczeństwo własnych urządzeń, kont oraz danych dostępowych.