Polityka Prywatności - Salecare

Wprowadzenie

1. Niniejsza Polityka Prywatności (dalej: Polityka) opisuje zasady przetwarzania danych osobowych w związku z korzystaniem z serwisu Salecare (dalej: Serwis) - aplikacji internetowej w modelu SaaS dla sprzedawców działających na platformie Allegro.
2. Polityka dotyczy danych osobowych, których administratorem jest Operator (Usługodawca) - w szczególności danych Użytkowników (sprzedawców) zakładających i prowadzących Konto, danych rozliczeniowych oraz danych osób działających w imieniu Użytkownika.
3. Dane osobowe klientów Użytkownika (kupujących/odbiorców zamówień z Allegro oraz osób piszących na skrzynki pocztowe, które Użytkownik podłączył do Serwisu), przetwarzane przez Serwis w imieniu Użytkownika, podlegają odrębnym zasadom - w tym zakresie administratorem jest Użytkownik (sprzedawca), a Operator występuje jako podmiot przetwarzający (procesor) na podstawie Umowy Powierzenia Przetwarzania Danych (DPA). Zasady te opisuje sekcja 10 Polityki oraz sam DPA (Załącznik nr 2 do Regulaminu).
4. Pojęcia pisane wielką literą, które nie zostały zdefiniowane w Polityce, mają znaczenie nadane im w Regulaminie.

1. Administrator danych i kontakt

1. Administratorem danych osobowych, o których mowa w sekcji 2, jest Operator (Usługodawca):
   • Firma: Simple Studio Piotr Hyra
   • Forma prawna: jednoosobowa działalność gospodarcza wpisana do CEIDG
   • Adres: ul. Wręczycka 90, 42-133 Bieżeń
   • NIP: 5742060804 · REGON: 365542882
   • Adres e-mail do spraw ochrony danych: [email protected]
2. Inspektor Ochrony Danych (IOD). Operator nie wyznaczył Inspektora Ochrony Danych - nie zachodzą przesłanki ustawowego obowiązku jego powołania (art. 37 RODO). We wszystkich sprawach dotyczących ochrony danych można kontaktować się bezpośrednio z Operatorem.
3. We wszelkich sprawach dotyczących przetwarzania danych osobowych oraz realizacji praw, o których mowa w sekcji 8, można kontaktować się z Operatorem pod adresem e-mail [email protected].

2. Jakie dane przetwarzamy i skąd pochodzą

Operator przetwarza następujące kategorie danych, których jest administratorem:

1. Dane Konta i dane kontaktowe - podawane przez Użytkownika przy rejestracji i w trakcie korzystania z Serwisu: imię i nazwisko osoby zakładającej/obsługującej Konto, adres e-mail, dane logowania (hasło przechowywane w postaci skrótu - hash), opcjonalnie numer telefonu, dane firmy (nazwa, adres, NIP). Jeżeli Użytkownik zakłada Konto lub loguje się przez Google, Microsoft albo Apple, Operator otrzymuje od tej usługi imię i nazwisko oraz adres e-mail; usługa ta jest odrębnym administratorem danych logowania.
2. Dane rozliczeniowe i podatkowe - dane niezbędne do wystawienia faktury i rozliczenia Abonamentu oraz doładowań Portfela AI: firma, adres, NIP, wybrany Plan, historia płatności, token płatniczy oraz dane techniczne transakcji (np. ostatnie cyfry numeru karty, data ważności) otrzymywane od Operatora Płatności. Operator nie przechowuje pełnego numeru karty ani kodu CVC/CVV.
3. Dane pobrane z Allegro (na polecenie Użytkownika) - w zakresie, w jakim dotyczą one Użytkownika jako przedsiębiorcy (np. identyfikatory konta sprzedawcy Allegro, dane ofert, rozliczeń i prowizji). Dane te są pobierane za pośrednictwem interfejsu (API) Allegro na podstawie autoryzacji udzielonej przez Użytkownika, a dane reklamowe Allegro Ads - za pośrednictwem rozszerzenia „Salecare Ads” z panelu Allegro Ads Użytkownika (zob. niżej). Dane osobowe klientów Użytkownika pobrane z zamówień Allegro Operator przetwarza jako procesor - zob. sekcja 10.
4. Dane o korzystaniu z Usługi (dane użycia) - informacje o aktywności w Serwisie: wykonane operacje, ustawienia, użycie funkcji AI (Asystent AI) i powiązane z nim rozliczenie zużycia z Portfela AI.
5. Dane techniczne i logi - adres IP, identyfikatory sesji, typ przeglądarki/urządzenia, daty i czasy żądań, zdarzenia bezpieczeństwa (logowania, błędy). Dane te są zbierane automatycznie i służą zapewnieniu bezpieczeństwa, diagnostyce oraz ciągłości działania Serwisu.

Podanie danych jest dobrowolne, lecz niezbędne do zawarcia i wykonania Umowy; podanie danych do faktur jest dodatkowo wymogiem ustawowym (przepisy podatkowe i o rachunkowości). Bez podania tych danych korzystanie z Serwisu nie jest możliwe.

Rozszerzenie „Salecare Ads”. Funkcje Allegro Ads korzystają z opcjonalnego rozszerzenia do przeglądarki Chrome, które Użytkownik instaluje dobrowolnie (§ 6 ust. 10 Regulaminu). Rozszerzenie działa wyłącznie w otwartej karcie panelu Allegro Ads, w sesji, do której Użytkownik jest zalogowany, i przekazuje do Serwisu wyłącznie dane reklamowe (kampanie, grupy reklam, placementy, statystyki, stawki i budżety). Nie przekazuje danych osobowych kupujących ani treści zamówień. Rozszerzenie nie odczytuje i nie przekazuje danych logowania do Allegro ani plików cookie Allegro. W pamięci rozszerzenia (magazyn przeglądarki) zapisywany jest token połączenia z Serwisem, identyfikator konta reklamowego odczytany z panelu oraz znaczniki stanu: data ostatniej synchronizacji każdego konta, zakres danych przyjęty przez panel, znacznik trwającej synchronizacji (dzięki niemu kilka otwartych kart panelu przesyła dane raz) i informacja o obejrzeniu samouczka. W Rozszerzeniu Użytkownik widzi też rekomendacje i zatwierdzone zmiany pobrane z Serwisu dla konta otwartego w panelu; są to dane samego Użytkownika, prezentowane w jego przeglądarce. Odinstalowanie rozszerzenia albo rozłączenie go w Serwisie (Ustawienia → Salecare Ads) kończy przekazywanie danych tym kanałem i unieważnia token.

3. Cele i podstawy prawne przetwarzania

Operator przetwarza dane osobowe wyłącznie w określonych, zgodnych z prawem celach. Podstawy prawne wskazuje art. 6 RODO:

Operator nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, wywołujących skutki prawne lub w podobny sposób istotnie na nich wpływających, w rozumieniu art. 22 RODO.

4. Odbiorcy danych

1. Operator może udostępniać dane osobowe wyłącznie podmiotom uprawnionym na podstawie przepisów prawa oraz zaufanym dostawcom (podmiotom przetwarzającym) działającym na jego zlecenie, w zakresie niezbędnym do świadczenia Usługi. Korzystanie z usług podmiotów przetwarzających odbywa się na podstawie umów powierzenia spełniających wymogi art. 28 RODO.
2. W zakresie danych, których administratorem jest Operator, odbiorcami są następujące kategorie podmiotów:

3. Poza powyższymi kategoriami odbiorcami danych mogą być również organy publiczne - w zakresie i na podstawie przepisów prawa.
4. Na żądanie osoby, której dane dotyczą, Operator wskaże tożsamość konkretnych odbiorców jej danych (art. 15 ust. 1 lit. c RODO).
5. Imienny wykaz tych podmiotów, z siedzibą, rolą, zakresem danych, lokalizacją przetwarzania i podstawą transferu każdego z nich, zawiera Załącznik B do DPA (Załącznik nr 2 do Regulaminu). Ten sam wykaz obejmuje podprocesorów przetwarzających dane klientów Użytkownika (gdzie Operator jest procesorem).

5. Przekazywanie danych do państw trzecich

1. Co do zasady dane przetwarzane są na terenie Europejskiego Obszaru Gospodarczego (EOG).
2. Część odbiorców wskazanych w sekcji 4 ma siedzibę albo przetwarza dane poza EOG, w szczególności w Stanach Zjednoczonych (m.in. dostawcy narzędzi sztucznej inteligencji, poczty elektronicznej, monitorowania błędów, sieci dostarczania treści i zarządzania serwerami). Wiąże się to z przekazaniem danych do państwa trzeciego w rozumieniu rozdziału V RODO (art. 44–49). Lokalizację i podstawę transferu dla każdego z tych podmiotów wskazuje Załącznik B do DPA.
3. Przekazanie odbywa się zgodnie z rozdziałem V RODO. W zakresie, w jakim odbiorca jest objęty certyfikacją w ramach EU-US Data Privacy Framework, podstawą przekazania jest decyzja Komisji Europejskiej o adekwatności (art. 45 RODO); niezależnie od tego stosowane są standardowe klauzule umowne (Standard Contractual Clauses, SCC) przyjęte przez Komisję Europejską (art. 46 RODO), wraz z dodatkowymi środkami tam, gdzie są wymagane. Google, jako dostawca modeli Gemini, zobowiązany jest umownie do niewykorzystywania przekazanych treści do trenowania modeli.
4. Jeżeli Użytkownik wyrazi zgodę na pliki analityczne, dane o korzystaniu z publicznych stron Serwisu przetwarzane w ramach Google Analytics mogą być przekazywane do Google LLC z siedzibą w Stanach Zjednoczonych. Google LLC jest objęty certyfikacją w ramach EU-US Data Privacy Framework, więc podstawą przekazania jest decyzja Komisji Europejskiej o adekwatności (art. 45 RODO); uzupełniająco zastosowanie mają standardowe klauzule umowne (art. 46 RODO). Bez zgody Użytkownika narzędzie nie jest ładowane i żadne dane nie są przekazywane.
5. Gdy Użytkownik zacznie wypełniać formularz rejestracji, formularz kontaktowy albo formularz prośby o dostęp, Serwis wczytuje Google reCAPTCHA, co wiąże się z przekazaniem adresu IP, danych przeglądarki oraz informacji o interakcji z formularzem do Google Ireland Limited, a w zakresie, w jakim Google korzysta z infrastruktury w Stanach Zjednoczonych - do Google LLC. Google LLC jest objęty certyfikacją w ramach EU-US Data Privacy Framework, więc podstawą przekazania jest decyzja Komisji Europejskiej o adekwatności (art. 45 RODO); uzupełniająco zastosowanie mają standardowe klauzule umowne (art. 46 RODO). Samo otwarcie strony z formularzem nie wczytuje reCAPTCHA, a sprawdzenie odpowiedzi po stronie Google następuje w momencie wysłania formularza. Serwis nie stosuje reCAPTCHA na stronach bez takiego formularza.
6. Aby ograniczyć zakres danych przekazywanych poza EOG, Operator dąży do minimalizacji danych kierowanych do funkcji AI. Użytkownik decyduje, czy i w jakim zakresie korzysta z Asystenta AI.
7. Kopię lub informację o zastosowanych zabezpieczeniach transferu można uzyskać, kontaktując się z Operatorem pod adresem [email protected].

6. Okres przechowywania danych

1. Dane przetwarzane są przez okres niezbędny do realizacji celów, dla których zostały zebrane, a po jego upływie - przez okres wynikający z przepisów prawa lub do czasu przedawnienia roszczeń:
   • dane Konta i Dane Użytkownika - przez czas obowiązywania Umowy; po jej zakończeniu dane są dostępne do samodzielnego pobrania przez 30 dni (okno pobrania, zgodnie z art. 25 rozporządzenia (UE) 2023/2854 i § 18 Regulaminu), a następnie usuwane lub anonimizowane po upływie okresu karencji wynoszącego 90 dni od zakończenia, z zastrzeżeniem poniższych wyjątków;
   • faktury i dokumenty rozliczeniowe - przez okres wymagany przepisami podatkowymi i o rachunkowości (co do zasady 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku); faktury VAT są wystawiane i przechowywane w systemie do fakturowania Infakt sp. z o.o., a dokumenty płatności u Operatora Płatności, gdzie są przechowywane przez wymagany okres niezależnie od usunięcia Konta w Serwisie, w związku z czym operacyjne dane rozliczeniowe w Serwisie usuwane są wraz z Kontem; wyjątkiem jest zapis weryfikacji numeru VAT w systemie VIES (numer VAT, odpowiedź rejestru z nazwą i adresem firmy oraz numer konsultacji) i potwierdzenia siedziby firmy spoza Unii Europejskiej, który jest dowodem zastosowania odwrotnego obciążenia na fakturach i jest przechowywany przez ten sam okres co one;
   • dane z formularza kontaktowego i z prośby o dostęp - przez czas potrzebny do odpowiedzi i załatwienia sprawy, a przy prośbie o dostęp do założenia Konta, nie dłużej niż 12 miesięcy od ostatniej wiadomości w sprawie; wpis o wysłaniu formularza w dzienniku serwera (adres e-mail, a przy prośbie o dostęp także nazwa firmy) jest usuwany po 14 dniach;
   • dane na potrzeby roszczeń - do upływu okresu przedawnienia roszczeń wynikających z Umowy;
   • logi i dane bezpieczeństwa - przez okres 12 miesięcy, chyba że dłuższe przechowywanie jest niezbędne dla wyjaśnienia incydentu bezpieczeństwa.
2. Po upływie właściwego okresu dane są usuwane lub nieodwracalnie anonimizowane.
3. Zasady przechowywania i usuwania danych klientów Użytkownika (gdzie Operator jest procesorem) określa DPA.

7. Bezpieczeństwo danych

Operator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), w szczególności: szyfrowanie połączeń, kontrolę i ograniczenie dostępu na zasadzie niezbędności, oddzielenie danych poszczególnych Użytkowników (tak by jeden Użytkownik nie miał dostępu do danych innego), regularne kopie zapasowe, rejestrowanie zdarzeń oraz monitorowanie bezpieczeństwa.

8. Prawa osób, których dane dotyczą

1. Osobie, której dane dotyczą, przysługują następujące prawa:
   • prawo dostępu do danych oraz uzyskania ich kopii (art. 15 RODO);
   • prawo do sprostowania danych nieprawidłowych lub uzupełnienia niekompletnych (art. 16 RODO);
   • prawo do usunięcia danych („prawo do bycia zapomnianym”) - w sytuacjach określonych w art. 17 RODO;
   • prawo do ograniczenia przetwarzania (art. 18 RODO);
   • prawo do przenoszenia danych - w zakresie danych przetwarzanych na podstawie umowy lub zgody, w sposób zautomatyzowany (art. 20 RODO);
   • prawo do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO);
   • prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu (art. 22 RODO);
   • jeżeli przetwarzanie odbywa się na podstawie zgody - prawo do jej cofnięcia w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem.
2. W celu realizacji praw należy skontaktować się z Operatorem pod adresem [email protected]. Operator odpowiada bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania (z możliwością przedłużenia zgodnie z art. 12 RODO).
3. Skarga do organu nadzorczego. Osobie, której dane dotyczą, przysługuje prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl.
4. Jeżeli żądanie dotyczy danych klienta Użytkownika (gdzie administratorem jest Użytkownik, a Operator procesorem), Operator - o ile to możliwe - przekaże żądanie właściwemu Użytkownikowi (administratorowi) i wesprze go w jego realizacji zgodnie z DPA.

9. Pliki cookies

1. Serwis wykorzystuje pliki cookies oraz technologie pokrewne w celu prawidłowego świadczenia Usługi, zapamiętania preferencji Użytkownika oraz - za zgodą - pomiaru ruchu. Szczegółowy wykaz plików, ich cele i czas przechowywania określa odrębna Polityka Cookies dostępna w Serwisie.
2. Pliki niezbędne (m.in. utrzymanie sesji i uwierzytelnienie zalogowanego Użytkownika, ochrona przed atakami CSRF, ochrona formularzy rejestracji, kontaktu i prośby o dostęp przed botami za pomocą Google reCAPTCHA, zapamiętanie samego wyboru dotyczącego cookies) są konieczne do działania Serwisu i stosowane na podstawie art. 399 ust. 3 ustawy z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej (PKE). Ich stosowanie nie wymaga uprzedniej zgody.
3. Pliki preferencji (zapamiętanie wybranego języka, motywu lub układu interfejsu) są zapisywane wyłącznie w wyniku wyraźnego działania Użytkownika i służą zrealizowaniu zażądanej przez niego funkcji - stosowane są na podstawie art. 399 ust. 3 PKE i również nie wymagają uprzedniej zgody.
4. Pliki analityczne są stosowane wyłącznie po uzyskaniu uprzedniej zgody Użytkownika, wyrażanej za pośrednictwem bannera zgody. Podstawą jest art. 399 ust. 1 PKE oraz art. 6 ust. 1 lit. a RODO (zgoda). W tej kategorii Serwis wykorzystuje Google Analytics (ładowany dopiero po wyrażeniu zgody). Plików marketingowych ani reklamowych Serwis nie stosuje.
5. Zgoda jest dobrowolna i może zostać w każdej chwili wycofana lub zmieniona poprzez odnośnik „Ustawienia cookies” w stopce strony głównej i podstron opisujących funkcje Serwisu. Po wycofaniu zgody Serwis zaprzestaje ładowania narzędzia analitycznego i usuwa zapisane przez nie pliki cookies. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
6. Użytkownik może zarządzać plikami cookies także w ustawieniach swojej przeglądarki, w tym je usuwać lub blokować; ograniczenie cookies niezbędnych może jednak uniemożliwić poprawne działanie Serwisu (np. logowanie).
7. Korzystanie z Google Analytics może wiązać się z przekazaniem danych do państwa trzeciego (USA) - na zasadach i z zabezpieczeniami opisanymi w sekcji 5.

10. Dane osobowe klientów Użytkownika (rola procesora)

1. W ramach Usługi Serwis przetwarza dane osobowe klientów Użytkownika (kupujących/odbiorców zamówień), pobierane z Allegro w imieniu Użytkownika - w szczególności: imię, nazwisko, adres, adres e-mail, numer telefonu. Serwis nie pobiera z Allegro numeru PESEL. Jeżeli Użytkownik podłączy do Serwisu skrzynkę pocztową, Serwis pobiera w jego imieniu wszystkie wiadomości z folderu wskazanego przez Użytkownika (domyślnie INBOX), wraz z adresami i danymi nadawców, treścią wiadomości i załącznikami; także w tym zakresie Operator działa jako procesor.
2. W odniesieniu do tych danych administratorem jest Użytkownik (sprzedawca), który decyduje o celach i sposobach ich przetwarzania, a Operator działa wyłącznie jako podmiot przetwarzający (procesor) - przetwarza dane wyłącznie na udokumentowane polecenie Użytkownika, w celu świadczenia Usługi.
3. Zasady tego przetwarzania - w tym przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych, kategorie osób, obowiązki stron, podpowierzenie oraz środki bezpieczeństwa - określa Umowa Powierzenia Przetwarzania Danych (DPA), stanowiąca Załącznik nr 2 do Regulaminu, akceptowana przez Użytkownika przy zawarciu Umowy.
4. Operator nie ponosi wobec klientów Użytkownika odpowiedzialności administratora za te dane; obowiązki administratora (m.in. obowiązek informacyjny z art. 13/14 RODO wobec własnych klientów, podstawa prawna przetwarzania) spoczywają na Użytkowniku.

11. Zmiany Polityki Prywatności

1. Operator może aktualizować Politykę, w szczególności w razie zmiany przepisów, zakresu Usługi, wykazu podprocesorów lub stosowanych zabezpieczeń.
2. O istotnych zmianach Operator informuje Użytkowników w sposób przyjęty w Serwisie (np. komunikatem w panelu lub wiadomością e-mail), z odpowiednim wyprzedzeniem, co najmniej 14 dni przed wejściem zmiany w życie.
3. Aktualna wersja Polityki jest każdorazowo dostępna w Serwisie wraz z datą jej ostatniej aktualizacji.