POLITYKA PRYWATNOŚCI

1 ADMINISTRATOR DANYCH

1.1. Administratorem danych osobowych przetwarzanych w związku z korzystaniem ze sklepu internetowego aromatarius.pl jest Omnia SRL z siedzibą w Brukseli, av. des Gerfauts 10 34, 1170 Bruksela, Belgia, VAT BE0744618124.

1.2. Kontakt w sprawach ochrony danych osobowych odbywa się pod adresem email biuro@aromatarius.pl oraz listownie na adres siedziby Administratora.

1.3. W sprawach związanych z ochroną danych osobowych Klient może również kontaktować się z Inspektorem Ochrony Danych, jeżeli taki został wyznaczony. W razie braku wyznaczonego inspektora kontakt odbywa się bezpośrednio z Administratorem.

1.4. Organem nadzorczym właściwym dla Administratora jest belgijski organ ochrony danych Autorité de protection des données Gegevensbeschermingsautoriteit. Osoby, których dane dotyczą, mają prawo wniesienia skargi do tego organu.

2 ZAKRES I KATEGORIE PRZETWARZANYCH DANYCH

2.1. Przetwarzane kategorie danych obejmują dane identyfikacyjne i kontaktowe, w tym imię i nazwisko, adres dostawy, adres email oraz numer telefonu.

2.2. Przetwarzane są dane transakcyjne i fakturowe, w tym informacje o zamówieniach, numerach zamówień, pozycjach zamówionych, cenach, fakturach oraz historii zakupów.

2.3. Dane płatnicze obejmują informacje niezbędne do realizacji płatności przekazywane przez operatorów płatności. Administrator nie przechowuje pełnych danych kart płatniczych poza systemami operatorów płatności. W przypadku korzystania z zewnętrznych operatorów płatności obowiązują zasady ochrony danych tych operatorów oraz umowy powierzenia przetwarzania.

2.4. Dane dotyczące reklamacji i zwrotów obejmują opis reklamacji, dokumentację fotograficzną, korespondencję, informacje logistyczne oraz dane niezbędne do rozpatrzenia reklamacji.

2.5. Dane marketingowe obejmują zgody marketingowe, historię zgód, preferencje komunikacyjne oraz dane wykorzystywane do wysyłki newslettera i ofert handlowych, jeżeli Klient wyraził na to zgodę.

2.6. Dane techniczne i dane zbierane za pomocą cookies obejmują adres IP, dane o urządzeniu i przeglądarce, dane o aktywności na stronie, identyfikatory cookies oraz dane analityczne zbierane w celu poprawy funkcjonowania serwisu.

3 CELE PRZETWARZANIA I PODSTAWY PRAWNE

3.1. Realizacja umowy sprzedaży: przetwarzanie danych niezbędnych do realizacji zamówienia, dostawy oraz wystawienia faktury. Podstawa prawna: wykonanie umowy.

3.2. Obsługa płatności i zapobieganie nadużyciom: przetwarzanie danych w celu realizacji płatności, weryfikacji transakcji oraz zapobiegania oszustwom. Podstawa prawna: wykonanie umowy oraz prawnie uzasadniony interes Administratora polegający na zapewnieniu bezpieczeństwa transakcji.

3.3. Obsługa reklamacji, dochodzenie roszczeń oraz wypełnianie obowiązków księgowych i podatkowych: przetwarzanie danych niezbędnych do rozpatrzenia reklamacji, prowadzenia ewidencji księgowej oraz wypełnienia obowiązków prawnych. Podstawa prawna: obowiązek prawny oraz wykonanie umowy w zakresie reklamacji.

3.4. Marketing bezpośredni i newsletter: przesyłanie informacji handlowych oraz ofert marketingowych wyłącznie na podstawie wyraźnej zgody Klienta. Podstawa prawna: zgoda. Informacje marketingowe mogą być również wysyłane na podstawie prawnie uzasadnionego interesu Administratora tylko wtedy, gdy obowiązujące przepisy na to pozwalają i gdy osoba nie wniesie sprzeciwu.

3.5. Analityka i profilowanie: przetwarzanie danych w celach analitycznych, statystycznych oraz w celu personalizacji oferty. Profilowanie, które może mieć istotne skutki dla osoby, odbywa się wyłącznie na podstawie zgody lub po przeprowadzeniu oceny prawnie uzasadnionego interesu z zapewnieniem praw osób. Podstawa prawna: zgoda lub prawnie uzasadniony interes w zakresie, w jakim jest to dopuszczalne.

3.6. Utrzymanie i rozwój serwisu: przetwarzanie danych w celu zapewnienia prawidłowego działania strony, obsługi technicznej oraz rozwoju funkcjonalności. Podstawa prawna: prawnie uzasadniony interes Administratora.

3.7. Realizacja obowiązków wynikających z prawa: przetwarzanie danych w celu wypełnienia obowiązków prawnych, w tym podatkowych i księgowych. Podstawa prawna: obowiązek prawny.

4 OKRESY PRZECHOWYWANIA DANYCH

4.1. Dane transakcyjne i księgowe przechowywane są przez okres wymagany przepisami podatkowymi i księgowymi obowiązującymi w jurysdykcji, w której Administrator prowadzi działalność, standardowo przez okres 7 lat od końca roku obrotowego, którego dotyczą zapisy księgowe.

4.2. Dane związane z reklamacjami i roszczeniami przechowywane są przez okres niezbędny do zabezpieczenia praw Administratora oraz do czasu przedawnienia roszczeń, zgodnie z obowiązującymi przepisami prawa. Okres ten może wynosić od 2 do 10 lat w zależności od rodzaju roszczenia i obowiązujących przepisów.

4.3. Dane marketingowe i zgody marketingowe przechowywane są do czasu wycofania zgody przez osobę, której dane dotyczą, lub do czasu zakończenia celów marketingowych, chyba że obowiązujące przepisy wymagają dłuższego okresu przechowywania.

4.4. Dane techniczne, logi serwera oraz dane analityczne przechowywane są przez okres adekwatny do celu, zwykle do 12 miesięcy, chyba że cel przetwarzania wymaga krótszego lub dłuższego okresu.

4.5. Szczegółowe okresy przechowywania danych oraz kryteria określania tych okresów są opisane w wewnętrznych politykach Administratora i udostępniane na żądanie.

5 ODBIORCY DANYCH I POWIERZENIA PRZETWARZANIA

5.1. Odbiorcami danych mogą być podmioty przetwarzające dane na zlecenie Administratora, w tym operatorzy płatności, firmy kurierskie, operatorzy paczkomatów, dostawcy hostingu i usług IT, dostawcy systemów sklepowych, biuro rachunkowe oraz podmioty świadczące usługi prawne i doradcze.

5.2. Z każdym podmiotem przetwarzającym dane na zlecenie Administratora zawarto umowę powierzenia przetwarzania zgodną z art. 28 RODO, która określa zakres, cel i sposób przetwarzania oraz obowiązki procesora w zakresie bezpieczeństwa i poufności.

5.3. Administrator stosuje procedury weryfikacji procesorów, monitoruje ich zgodność z umowami oraz wymaga stosowania odpowiednich środków technicznych i organizacyjnych.

6 PRZEKAZYWANIE DANYCH POZA EOG

6.1. Administrator nie planuje rutynowych przekazań danych osobowych poza Europejski Obszar Gospodarczy.

6.2. W przypadku konieczności przekazania danych do państw trzecich Administrator zapewni odpowiednie zabezpieczenia prawne, takie jak standardowe klauzule umowne zatwierdzone przez Komisję Europejską, decyzje Komisji uznające odpowiedni stopień ochrony lub inne mechanizmy dopuszczalne na mocy prawa Unii Europejskiej.

6.3. Przed przekazaniem danych poza EOG Administrator przeprowadzi ocenę ryzyka oraz wdroży dodatkowe środki ochronne, w tym techniczne i organizacyjne, aby zapewnić odpowiedni poziom ochrony danych. Informacje o przekazaniach i zastosowanych zabezpieczeniach są udostępniane na żądanie osobie, której dane dotyczą.

7 PRAWA OSÓB, KTÓRYCH DANE DOTYCZĄ I PROCEDURA REALIZACJI

7.1. Osoby, których dane dotyczą, mają prawo dostępu do swoich danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu wobec przetwarzania danych oraz prawo do wycofania zgody w dowolnym czasie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed wycofaniem zgody.

7.2. Wnioski dotyczące realizacji praw należy kierować na adres email biuro@aromatarius.pl lub listownie na adres siedziby Administratora. Wniosek powinien zawierać dane umożliwiające identyfikację osoby składającej wniosek oraz zakres żądania. Administrator może poprosić o dodatkowe informacje niezbędne do weryfikacji tożsamości w celu ochrony danych.

7.3. Administrator rozpatruje wnioski niezwłocznie, nie później niż w terminie przewidzianym przez RODO, zwykle w ciągu jednego miesiąca od otrzymania wniosku. W uzasadnionych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące, o czym Administrator poinformuje osobę składającą wniosek wraz z uzasadnieniem opóźnienia.

7.4. Osoba, której dane dotyczą, ma prawo wniesienia skargi do belgijskiego organu nadzorczego Autorité de protection des données Gegevensbeschermingsautoriteit, jeżeli uzna, że przetwarzanie jej danych narusza przepisy RODO.

8 ZAUTOMATYZOWANE PODEJMOWANIE DECYZJI I PROFILOWANIE

8.1. Administrator może wykorzystywać zautomatyzowane narzędzia analityczne w celu poprawy oferty i obsługi. Decyzje w sprawach indywidualnych nie będą podejmowane wyłącznie w sposób zautomatyzowany bez udziału człowieka, chyba że osoba wyrazi na to wyraźną zgodę.

8.2. W przypadku zastosowania profilowania Administrator informuje o charakterze profilowania, podstawie prawnej, przewidywanych skutkach dla osoby oraz o prawie wniesienia sprzeciwu. Administrator udostępnia informacje o kryteriach stosowanych przy profilowaniu na żądanie.

9 BEZPIECZEŃSTWO DANYCH

9.1. Administrator stosuje odpowiednie środki techniczne i organizacyjne adekwatne do ryzyka, w tym szyfrowanie transmisji danych, zabezpieczenia dostępu do systemów, kontrolę uprawnień, regularne aktualizacje oprogramowania, kopie zapasowe oraz procedury reagowania na incydenty.

9.2. Administrator stosuje zasadę minimalizacji danych oraz pseudonimizację tam, gdzie jest to możliwe. Dostęp do danych mają wyłącznie osoby upoważnione, które zostały przeszkolone w zakresie ochrony danych.

9.3. W przypadku naruszenia ochrony danych osobowych Administrator wdraża procedury powiadamiania organu nadzorczego oraz, jeżeli jest to wymagane, osób, których dane dotyczą, zgodnie z obowiązującymi przepisami.

10 COOKIES I PODOBNE TECHNOLOGIE

10.1. Sklep wykorzystuje pliki cookies i podobne technologie w celach niezbędnych do funkcjonowania serwisu, w celach analitycznych oraz w celach marketingowych.

10.2. Szczegółowa Polityka Cookies dostępna na stronie aromatarius.pl opisuje rodzaje cookies, cele ich użycia, okresy przechowywania oraz sposób wyrażenia i wycofania zgody. Cookies analityczne i marketingowe są stosowane po uzyskaniu zgody użytkownika.

10.3. Użytkownik może w dowolnym momencie zmienić ustawienia cookies w swojej przeglądarce lub za pomocą mechanizmów udostępnionych na stronie. Wycofanie zgody na cookies nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem zgody.

11 DPIA I OCENA RYZYKA

11.1. W przypadku planowanego przetwarzania, które może powodować wysokie ryzyko dla praw i wolności osób fizycznych, Administrator przeprowadza ocenę skutków dla ochrony danych DPIA oraz wdraża środki minimalizujące ryzyko zgodnie z wytycznymi organu nadzorczego.

11.2. Wyniki DPIA oraz zastosowane środki ochronne są dokumentowane i udostępniane na żądanie osobie, której dane dotyczą, o ile przepisy prawa nie wykluczają takiego udostępnienia.

12 ZMIANY POLITYKI I UDOSTĘPNIANIE INFORMACJI

12.1. Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności. Zmiany będą publikowane na stronie aromatarius.pl.

12.2. W przypadku istotnych zmian wpływających na prawa osób, których dane dotyczą, Administrator poinformuje o nich w sposób adekwatny, w tym poprzez powiadomienie email, jeżeli Klient wyraził na to zgodę lub jeżeli jest to wymagane przepisami prawa.

12.3. Na żądanie Administrator udostępni szczegółowe informacje o powierzeniach przetwarzania, przeprowadzonych ocenach skutków dla ochrony danych oraz zastosowanych zabezpieczeniach przy przekazaniach poza Europejski Obszar Gospodarczy.