Polityka prywatności
Data wejścia w życie: 20 października 2026 r.
Większość polityk prywatności odpowiada na pytanie „jakie dane zbieramy". To pytanie wygląda na najważniejsze, a nie jest. Lista pól — imię, adres, e-mail — nikogo nie niepokoi i niczego nie wyjaśnia.
Niepokoi co innego: że na podstawie tych danych ktoś coś o Tobie rozstrzyga. Czy zamówienie przejdzie. Jaką reklamę zobaczysz za tydzień na zupełnie innej stronie. Czy dostaniesz maila, o który nie prosiłeś.
Dlatego ta polityka jest ułożona według decyzji, które zapadają na Twój temat. Przy każdej: co ją napędza, na jakiej podstawie prawnej, kto ją faktycznie podejmuje — człowiek czy maszyna — i jak możesz ją zatrzymać. Pełna lista danych, podstaw i terminów przechowywania jest w tabeli na końcu, bo jest obowiązkowa, a nie dlatego, że jest ciekawa.
Administratorem Twoich danych jest Przytulnia To znaczy, że decyzje opisane niżej są nasze i odpowiedzialność za nie też.
Część I — Decyzje, które podejmujemy
Decyzja 1 — czy Twoje zamówienie zostanie przyjęte
Co ją napędza: adres IP, z którego przyszło zamówienie; to, czy adres rozliczeniowy zgadza się z adresem dostawy; wynik weryfikacji po stronie operatora płatności; historia obciążeń zwrotnych dla tego zamówienia.
Na jakiej podstawie: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). Nazwijmy go wprost, bo przepis tego wymaga: za zamówienie opłacone skradzioną kartą płaci sklep, a wysłanie towaru oszustowi kosztuje prawdziwego właściciela karty popołudnie w banku. Zestawiliśmy to z Twoimi interesami przy założeniu, że odrzucone zamówienie jest dla Ciebie nieporównanie mniejszą przykrością niż zamówienie cudze.
Kto decyduje: system może oznaczyć zamówienie. Nie może go anulować. Przy oznaczeniu patrzy na nie człowiek, a jeśli odmawiamy realizacji — możesz zapytać dlaczego, przedstawić swoje racje i doprowadzić do ponownego rozpatrzenia przez człowieka. Dzięki temu nie jest to decyzja wyłącznie zautomatyzowana w rozumieniu art. 22 RODO, i tak właśnie ma być.
Jak to zatrzymać: możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie. Wtedy musimy wykazać ważne, prawnie uzasadnione podstawy nadrzędne wobec Twoich — a ciężar tego wykazania jest nasz.
Decyzja 2 — kto zobaczy Twój adres
Co ją napędza: sam fakt, że paczka musi gdzieś dojechać.
Komu przekazujemy i co dokładnie: InPost — imię i nazwisko, adres dostawy, kod pocztowy oraz e-mail lub numer telefonu do powiadomienia o przesyłce. Nic poza tym. Przewoźnik nie dostaje listy zamówionych produktów ani kwoty zamówienia.
Na jakiej podstawie: wykonanie umowy (art. 6 ust. 1 lit. b RODO). To nie jest zgoda, której można nie udzielić i mimo to dostać paczkę.
Kto decyduje: nikt — to jest konsekwencja zakupu, a nie wybór.
Czego nie robimy: nie przekazujemy przewoźnikowi niczego do jego własnych celów marketingowych.
Decyzja 3 — czy dostaniesz od nas wiadomość i jaką
Tu rozchodzą się dwie zupełnie różne rzeczy, a sklepy chętnie je mieszają.
Wiadomości transakcyjne — potwierdzenie zamówienia, informacja o wysyłce, odpowiedź na Twoje pytanie, informacja o zwrocie. Podstawa: wykonanie umowy. Nie da się z nich zrezygnować, dopóki trwa zamówienie, bo bez nich nie wiedziałbyś, co się z nim dzieje.
Marketing — newsletter i oferty. Podstawa: Twoja zgoda (art. 6 ust. 1 lit. a RODO), a dodatkowo zgoda wymagana przy marketingu kierowanym środkami komunikacji elektronicznej (art. 398 Prawa komunikacji elektronicznej).
Co przechowujemy, żeby to udowodnić: adres e-mail oraz datę, godzinę i treść zgody, którą zaznaczyłeś. Ten zapis istnieje po to, żeby w razie sporu można było wykazać, że mieliśmy prawo pisać — i równie dobrze służy Tobie, bo pozwala pokazać, że nie miałeś nic zaznaczonego.
Jak to zatrzymać: link na dole każdej wiadomości albo jeden mail do nas. Sprzeciw wobec marketingu bezpośredniego jest bezwarunkowy — nie ma tu żadnego ważenia interesów, po prostu przestajemy.
I rzecz, którą trzeba powiedzieć, bo nigdzie się jej nie pisze: po wypisaniu Twój adres trafia na listę wykluczeń i zostaje tam na stałe. Jedynym sposobem, żeby nigdy więcej do Ciebie nie napisać, jest zapamiętanie, że nie wolno. Ta lista służy wyłącznie temu, sprawdzamy ją przed wysyłką i nigdy nie dodajemy jej do kampanii.
Zakup u nas nigdy nie zależy od zgody na marketing.
Decyzja 4 — jakie reklamy zobaczysz poza naszą stroną
To decyzja, która wychodzi najdalej poza sklep, i jedyna, która nie zapada, dopóki nie powiesz „tak".
Co ją napędza: informacja o tym, że odwiedziłeś stronę, które podstrony oglądałeś i czy zakończyło się to zamówieniem. Przekazują ją piksele i tagi.
Kto je dostaje: Google — w ramach Google Ads (pomiar konwersji) i Google Analytics (statystyka korzystania ze strony). Google wykorzystuje część tych danych także do własnych celów, a nie wyłącznie na nasze polecenie — w tym zakresie jest odrębnym administratorem i obowiązuje jego własna polityka prywatności obok tej.
Na jakiej podstawie: zgoda, udzielona w banerze cookies. Bez niej te narzędzia się nie uruchamiają.
Kto decyduje: Ty, i tylko Ty. Wycofanie zgody jest tak samo łatwe jak jej udzielenie — ten sam baner, jedno kliknięcie.
Co się zmienia, gdy odmówisz: nic. Ceny są te same, dostawa trwa tyle samo, a baner nie pyta ponownie na każdej podstronie.
Decyzja 5 — co robimy z tym, co do nas napiszesz
Co zbieramy: treść wiadomości, adres e-mail, numer telefonu, jeśli go podasz, i numer zamówienia. Przy rozmowie telefonicznej — krótką notatkę z ustaleń. Rozmów nie nagrywamy.
Na jakiej podstawie: wykonanie umowy, gdy wiadomość dotyczy zamówienia; uzasadniony interes, gdy dotyczy pytania przed zakupem — a interesem jest po prostu możliwość prowadzenia sklepu, który odpowiada na pytania.
Czego z tym nie robimy: napisanie do nas nie zapisuje Cię na nic. Nie dodajemy adresu do listy mailingowej, nie wykorzystujemy treści wiadomości do marketingu i nie przekazujemy jej dalej.
Decyzja 6 — czy usuniemy Twoje dane, gdy o to poprosisz
Jedyna decyzja na tej liście, której nie podejmujemy swobodnie.
Usuwamy wszystko, do czego nie mamy już podstawy. Ale danych rozliczeniowych usunąć nie możemy, dopóki trwa obowiązek podatkowy — i wtedy mówimy Ci, której części to dotyczy i do kiedy, zamiast odmawiać całego wniosku.
Reszta — konto, korespondencja, zapis zgody marketingowej — znika.
Decyzje, których nie podejmujemy
Równie ważne, i łatwiejsze do sprawdzenia niż deklaracje o trosce.
Nie ustalamy ceny na podstawie tego, kim jesteś. Każdy widzi tę samą cenę tego samego produktu tego samego dnia — niezależnie od urządzenia, lokalizacji i historii zakupów.
Nie podejmujemy wobec Ciebie decyzji wyłącznie automatycznie, jeśli miałaby wywoływać skutki prawne lub podobnie istotne. Zobacz Decyzję 1.
Nie profilujemy Cię pod kątem wiarygodności, zamożności ani skłonności do zwrotów.
Nie sprzedajemy Twoich danych i nie udostępniamy ich brokerom danych ani nikomu, kto buduje Twój profil na sprzedaż. Ani za pieniądze, ani za cokolwiek innego o wartości — ta druga część jest tu istotniejsza, bo to ona zwykle wypada z takich zdań.
Część II — Dane, podstawy i terminy
Wszystko w jednej tabeli
| Dane | Po co | Podstawa | Jak długo |
|---|---|---|---|
| Imię, adresy, e-mail, telefon, treść zamówienia, kwota | realizacja i rozliczenie zamówienia | umowa, a po realizacji obowiązek prawny | 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 86 Ordynacji podatkowej, art. 74 ustawy o rachunkowości) |
| Potwierdzenie płatności, cztery ostatnie cyfry karty, wynik autoryzacji | rozliczenie, obsługa reklamacji płatniczych | umowa i obowiązek prawny | 5 lat, razem z zamówieniem |
| Dane konta: e-mail, zahaszowane hasło, zapisane adresy, historia zamówień | obsługa konta | umowa | do usunięcia konta, plus 30 dni na wygaśnięcie kopii zapasowych |
| Korespondencja z obsługą klienta | odpowiedź i możliwość odtworzenia ustaleń | umowa lub uzasadniony interes | 24 miesiące, a przy reklamacji, zwrocie lub sporze — 6 lat |
| Zapis zgody marketingowej, adres e-mail, otwarcia i kliknięcia | wysyłka newslettera i wykazanie zgody | zgoda | do wycofania zgody; adres na liście wykluczeń — bezterminowo |
| Dane zwrotu i reklamacji | obsługa i wykazanie, że dotrzymaliśmy terminów | umowa i obowiązek prawny | 6 lat |
| IP zamówienia, zgodność adresów, wynik weryfikacji, obciążenia zwrotne | przeciwdziałanie oszustwom | uzasadniony interes | 12 miesięcy, a przy obciążeniu zwrotnym — 6 lat |
| Logi serwera: IP, przeglądarka, system, żądany zasób, czas | bezpieczeństwo i diagnostyka | uzasadniony interes | 90 dni |
| Statystyka korzystania ze strony | ulepszanie sklepu | zgoda | 14 miesięcy |
Podanie danych przy zamówieniu jest warunkiem jego realizacji — bez adresu nie ma dokąd wysłać. Podanie numeru telefonu, założenie konta i zapis na newsletter są całkowicie dobrowolne i ich brak niczego w zamówieniu nie zmienia.
Pliki cookie
Pełna, aktualna lista — każdy plik, kto go ustawia, po co i na jak długo — znajduje się w banerze cookies, w zakładce „Ustawienia". Jest generowana z tego, co faktycznie działa, więc to ona jest listą wiążącą, a nie ta strona.
Niezbędne. Koszyk, składanie zamówienia, logowanie, token zabezpieczający i zapis Twojego wyboru w banerze. Nie pytamy o zgodę, bo bez nich sklep nie działa (art. 399 Prawa komunikacji elektronicznej).
Funkcjonalne, analityczne i reklamowe. Uruchamiają się dopiero po Twojej zgodzie (art. 398 Prawa komunikacji elektronicznej w związku z art. 6 ust. 1 lit. a RODO). Zgodę możesz w każdej chwili zmienić lub wycofać w tym samym banerze.
Ustawienia przeglądarki nie są u nas zgodą. Możesz ich użyć, żeby pliki cookie blokować lub kasować — to Twoje narzędzie i działa niezależnie od nas — ale samo ustawienie przeglądarki nigdy nie zostanie przez nas potraktowane jako wyrażenie zgody.
Komu przekazujemy dane
Dwie kategorie, i różnica między nimi jest istotniejsza, niż wygląda.
Podmioty przetwarzające — działają wyłącznie na nasze polecenie. Platforma sklepowa (Shopify: hosting, koszyk, przechowywanie zamówień), InPost w zakresie adresu dostawy, dostawca poczty e-mail. Z każdym łączy nas umowa powierzenia wymagana przez art. 28 RODO: przetwarzają tylko to, co im zlecimy, nie mogą wykorzystywać danych do własnych celów i muszą je zwrócić lub usunąć na nasze żądanie.
Odrębni administratorzy — mają własne cele i własne obowiązki. Operator płatności, ze względu na przepisy o usługach płatniczych i przeciwdziałaniu praniu pieniędzy. Google, w zakresie własnych produktów reklamowych i analitycznych. Obok tej polityki obowiązują w tym zakresie ich własne.
Doradcy — prawni i księgowi, wyłącznie w zakresie konkretnej sprawy.
Organy publiczne — gdy wymagają tego przepisy. Nie wydajemy danych klienta na uprzejmą prośbę. Sprawdzamy, czy pytający ma podstawę prawną, przekazujemy minimum, które ta podstawa obejmuje, i informujemy Cię o tym wszędzie tam, gdzie wolno nam to zrobić.
Przekazywanie poza Europejski Obszar Gospodarczy
Część naszych dostawców przetwarza dane poza EOG — dotyczy to przede wszystkim Shopify i Google.
Przekazanie poza EOG jest zgodne z prawem tylko na jednej z podstaw z rozdziału V RODO. Nasze to:
- decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony — w tym Data Privacy Framework dla certyfikowanych odbiorców w USA,
- a w pozostałych przypadkach standardowe klauzule umowne wraz z oceną skutków przekazania.
Zapytaj, a powiemy, na której podstawie opiera się konkretny odbiorca. To pytanie ma odpowiedź i należy Ci się ona na mocy art. 13 ust. 1 lit. f RODO.
Część III — Twoje prawa i to, co musimy zrobić
Prawa
Wszystkie są bezpłatne.
- Dostęp — kopia Twoich danych wraz z kontekstem: po co je mamy, komu je przekazaliśmy, jak długo je trzymamy.
- Sprostowanie — poprawienie błędnych i uzupełnienie niekompletnych.
- Usunięcie — tam, gdzie nie mamy już podstawy. Zobacz Decyzję 6.
- Ograniczenie przetwarzania — zamrożenie na czas sporu o prawidłowość danych lub podstawę.
- Sprzeciw — wobec przetwarzania opartego na uzasadnionym interesie. Wobec marketingu bezpośredniego sprzeciw jest bezwarunkowy.
- Przenoszenie danych — w formacie nadającym się do odczytu maszynowego, dla Ciebie lub dla wskazanego podmiotu.
- Wycofanie zgody — w każdej chwili, równie łatwo jak jej udzielenie. Wycofanie nie podważa legalności tego, co zrobiliśmy wcześniej.
- Niepodleganie decyzji wyłącznie zautomatyzowanej wywołującej skutki prawne lub podobnie istotne.
Jak złożyć wniosek
Napisz na pomoc@przytulnia.com z dopiskiem „Prywatność" w temacie. Nie musisz powoływać się na numer artykułu ani używać określonej formuły — „proszę o wszystkie dane, jakie macie na mój temat" jest w pełni skutecznym wnioskiem o dostęp.
Odpowiadamy w ciągu jednego miesiąca. Przy wniosku szczególnie skomplikowanym albo przy dużej ich liczbie możemy przedłużyć ten termin o kolejne dwa miesiące — i wtedy informujemy o tym w ciągu pierwszego miesiąca, podając powód.
Tożsamość. Możemy poprosić o jej potwierdzenie, bo wydanie Twoich danych komuś innemu byłoby gorszym błędem niż zwłoka. Prosimy o absolutne minimum, które sprawę rozstrzyga — zwykle wystarczy odpowiedź z adresu e-mail użytego przy zamówieniu. Nie żądamy skanu dowodu osobistego, żeby odpowiedzieć na maila.
Jeśli uważasz, że zrobiliśmy to źle
Napisz najpierw do nas — zwykle da się to wyjaśnić od razu.
Niezależnie od tego masz prawo wnieść skargę do organu nadzorczego. Nie potrzebujesz naszej zgody i nie musisz najpierw wyczerpywać drogi u nas.
Prezes Urzędu Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa infolinia 606-950-000 · uodo.gov.pl
Przysługuje Ci też droga sądowa oraz odszkodowanie za szkodę — w tym niemajątkową — wyrządzoną naruszeniem przepisów o ochronie danych. Nic na tej stronie tego nie ogranicza.
Część IV — Cztery rzeczy, które zwykle się pomija
Jeśli dojdzie do naruszenia ochrony danych
Gdy dane zostaną utracone, wykradzione lub ujawnione, badamy sprawę natychmiast i zgłaszamy ją Prezesowi UODO w ciągu 72 godzin, jeżeli naruszenie może powodować ryzyko naruszenia Twoich praw lub wolności (art. 33 RODO). Jeżeli ryzyko dla Ciebie jest wysokie, zawiadamiamy również Ciebie, bez zbędnej zwłoki i prostym językiem: co się stało, jakich danych dotyczy, co już zrobiliśmy i co powinieneś zrobić Ty (art. 34 RODO).
Nie nazwiemy naruszenia „incydentem technicznym" w wiadomości napisanej tak, żeby nikt jej nie doczytał.
Dzieci
Sklep jest przeznaczony dla osób dorosłych i nic w nim nie jest kierowane do dzieci. W Polsce granicą dla samodzielnej zgody dziecka na usługi społeczeństwa informacyjnego jest 16 lat (art. 8 RODO w związku z ustawą o ochronie danych osobowych). Nie zbieramy świadomie danych osób młodszych. Jeśli podejrzewasz, że dziecko przekazało nam swoje dane — napisz, usuniemy je.
Bezpieczeństwo, uczciwie
Szyfrowanie transmisji na całej stronie. Dane karty nie trafiają na nasze systemy — wpisujesz je w formularzu operatora płatności. Hasła przechowywane w postaci zahaszowanej. Dostęp do danych zamówień ograniczony do osób, które potrzebują go do pracy, i odbierany, gdy przestaje być potrzebny. Dostawcy wybierani z uwzględnieniem ich zabezpieczeń i związani umowami powierzenia.
Czego nie napiszemy, to że Twoje dane są całkowicie bezpieczne, bo nikt nie może tego zagwarantować, a zdanie jest bezwartościowe. Mogą być dobrze chronione, i powyższe jest tym, co robimy. Gdyby to zawiodło, obowiązuje akapit o naruszeniu.
Zmiany tej polityki
Przy każdej zmianie zmienia się data na górze. Jeżeli zmiana istotnie wpływa na to, co robimy z danymi, które już mamy, poinformujemy Cię bezpośrednio — mailem, jeśli mamy Twój adres — zamiast zostawiać to do odkrycia na tej stronie. Nie prosimy, żebyś ją okresowo przeglądał. Starsze wersje udostępniamy na żądanie.
Kontakt
| Nazwa sklepu | Przytulnia |
| Nazwa firmy | Przytulnia |
| Adres firmy | ul. Bolesława Chrobrego 1, 26-600 Radom, Polska |
| pomoc@przytulnia.com | |
| Godziny obsługi klienta | pon.–pt.: 09:00–17:00 |
| Sobota i niedziela | Nieczynne |
| Czas odpowiedzi | W ciągu 2 dni roboczych |