Політика приватності

1. Адміністратор даних

Адміністратором персональних даних є Анастасія Хариш (Anastasiia Kharysh), яка здійснює підприємницьку діяльність під назвою Anastasiia Kharysh BAŻANE, Aleja Wojciecha Korfantego 97, 40-160 Katowice, NIP 6343076968, внесена до Центрального реєстру підприємницької діяльності Польщі (CEIDG), e-mail: info@bazane.pl. З питань персональних даних пишіть на info@bazane.pl. Інспектора із захисту даних ми не призначали — такого обов'язку в нас немає, на всі питання відповідаємо самі.

Ця політика стосується онлайн-магазину bazane.pl і кабінету клієнта, зокрема входу через Google.

2. Які дані ми збираємо

Під час замовлення: ім'я та прізвище й адреса e-mail замовника, ім'я та прізвище й телефон одержувача, адреса доставки та текст листівки. Дані одержувача вказує замовник — якщо ви замовляєте квіти для когось, повідомте цю людину, що передаєте нам її дані для доставки.

Даних платіжної картки ми не бачимо й не зберігаємо — ви вводите їх безпосередньо на сторінці оплати оператора Stripe.

Під час створення акаунта: адреса e-mail, ім'я, за бажанням телефон, збережені адреси доставки й історія замовлень. Пароль ми не зберігаємо — лише його хеш, обчислений алгоритмом Argon2.

Під час підписки на розсилку: адреса e-mail, мова й момент надання згоди. У повідомленні з контактної форми: ім'я, адреса e-mail і текст. У запиті на розрахунок букета: обрані параметри, ім'я, телефон, за бажанням e-mail і побажання.

Під час кожного відвідування сервер фіксує IP-адресу, час і адресу запитаної сторінки. Це потрібно лише для безпеки — наприклад, щоб обмежити кількість спроб входу.

3. Вхід через Google

Акаунт можна створити й входити в нього через Google. Ми просимо в Google лише дозволи openid, email і profile. Отримуємо тільки: адресу e-mail, позначку, чи підтвердив її Google, ім'я та прізвище з профілю й постійний ідентифікатор акаунта Google. Доступу до ваших контактів, пошти, календаря, файлів чи будь-яких інших даних у Google ми не маємо.

Ці дані ми використовуємо лише для того, щоб: вас впустити, пов'язати вхід через Google з акаунтом на ту саму адресу e-mail і підставити ім'я у форму замовлення. Адреса e-mail також потрібна для листів про ваш акаунт і замовлення.

Дані, отримані від Google, ми не продаємо, не використовуємо для реклами чи профілювання, не передаємо брокерам даних, не використовуємо для оцінки кредитоспроможності й не використовуємо для навчання моделей штучного інтелекту. Ми не передаємо їх іншим — окрім постачальників, які надсилають для нас листи й дають хостинг (див. «Одержувачі даних»). Використання інформації, отриманої з API Google, відповідає правилам Google API Services User Data Policy, зокрема вимогам обмеженого використання (Limited Use).

Доступ можна будь-коли відкликати в налаштуваннях акаунта Google: myaccount.google.com/permissions. Видалення акаунта в магазині прибирає й зв'язок із Google.

4. Мета й підстава обробки

Виконання замовлення й доставка — виконання договору (ст. 6 ч. 1 п. b GDPR). Бухгалтерські документи та їх зберігання — юридичний обов'язок (п. c).

Ведення акаунта, зокрема вхід через Google, — виконання договору про надання послуги акаунта (п. b).

Відповідь на повідомлення й підготовка розрахунку — дії на ваш запит до укладення договору (п. b).

Розсилка — ваша згода (п. a), підтверджена переходом за посиланням із листа. Згоду можна будь-коли відкликати, що не впливає на законність попередньої обробки.

Вимірювання дієвості реклами та її показ тим, хто вже був у магазині (піксель Meta), — ваша згода (п. a), надана в банері cookie. Згоду можна будь-коли відкликати через «Налаштування cookie» в підвалі сторінки; це не впливає на законність попередньої обробки.

Безпека магазину, зокрема логи сервера й захист від зловживань, — наш законний інтерес (п. f).

5. Чи обов'язково надавати дані

Надання даних добровільне, але без даних замовлення ми не доставимо квіти, без адреси e-mail не вийде створити акаунт чи підписатися на розсилку, а без контактів ми не зможемо відповісти на повідомлення. Замовити можна й без акаунта.

Ми не ухвалюємо автоматизованих рішень і самі не профілюємо клієнтів. Якщо ви погодитесь на піксель Meta, Meta може пов'язувати дані про відвідування з вашим акаунтом у Facebook чи Instagram, щоб добирати рекламу, — за правилами політики приватності Meta.

6. Одержувачі даних

Ми передаємо дані лише тим, без кого магазин не працює, і лише в потрібному обсязі. Даних ми не продаємо.

Stripe Payments Europe, Limited (Ірландія) — оператор онлайн-оплат: BLIK, картка, Apple Pay і Google Pay. Отримує номер і суму замовлення, адресу e-mail і платіжні дані, які ви вводите на сторінці Stripe. Stripe може передавати дані Stripe, Inc. (США) на підставі EU-U.S. Data Privacy Framework.

Постачальник сервера в Європейському Союзі — хостинг магазину й бази даних.

Cloudflare, Inc. (США) — сервіс Turnstile, який при оформленні замовлення перевіряє, що його не надсилає автомат; обробляє IP-адресу й технічні дані браузера на підставі стандартних договірних положень.

Proton (Швейцарія) — надсилання листів про замовлення, акаунт і повідомлення з форми. Європейська комісія визнала, що Швейцарія забезпечує належний рівень захисту даних.

Resend (США) — надсилання розсилки. Туди потрапляє лише адреса e-mail тих, хто підтвердив підписку, на підставі стандартних договірних положень.

Google — лише якщо ви обрали вхід через Google, в обсязі, описаному вище.

Meta Platforms Ireland Ltd. (Ірландія) — лише за вашою згодою. Піксель Meta отримує адресу відкритої сторінки, IP-адресу, технічні дані браузера й події в магазині: переглянутий товар, додавання в кошик, оформлення замовлення з його сумою та надсилання форми. Вашого імені, адреси e-mail, телефону й адреси доставки ми Meta не передаємо. За збір цих даних пікселем ми відповідаємо спільно з Meta. Meta може передавати їх Meta Platforms, Inc. (США) на підставі EU-U.S. Data Privacy Framework.

Бухгалтерське бюро — документи продажу. Державні органи — лише коли цього вимагає закон.

7. Строк зберігання

Замовлення — стільки, скільки вимагає податкове законодавство, тобто 5 років від кінця року, в якому замовлення виконано. Акаунт — до його видалення. Розсилка — до відкликання згоди; непідтверджену підписку видаляємо через 30 днів. Повідомлення з форми й запити на розрахунок — 12 місяців. Логи сервера автоматично перезаписуються новішими записами.

Після видалення акаунта ми видаляємо ім'я, телефон, збережені адреси, пароль і зв'язок із Google, а адресу e-mail замінюємо знеособленою. Замовлення лишаються на строк, якого вимагає податкове законодавство.

Вибір у банері cookie зберігається у вашому браузері, доки ви його не зміните. Cookie пікселя Meta (_fbp, _fbc) спливають через 90 днів.

8. Як ми захищаємо дані

Уся взаємодія з магазином іде зашифрованим з'єднанням HTTPS. Дані зберігаються на сервері в Європейському Союзі, доступ до них має лише студія. Паролі ми зберігаємо тільки у вигляді хешу Argon2, а сесію входу тримаємо в захищеній cookie, недоступній для скриптів сторінки.

Дані, отримані від Google, зберігаються лише в базі магазину разом із вашим акаунтом. Ми не зберігаємо токени доступу Google — після входу ми не маємо жодного доступу до вашого акаунта Google.

Щоб видалити дані, отримані від Google, видаліть акаунт у налаштуваннях магазину або напишіть на info@bazane.pl — ми видалимо їх протягом 30 днів.

9. Ваші права

Ви маєте право на доступ до своїх даних, їх виправлення, видалення, обмеження обробки й перенесення, а також право заперечити проти обробки на підставі нашого законного інтересу. Акаунт можна видалити самостійно в налаштуваннях; з рештою питань пишіть на info@bazane.pl — відповімо протягом місяця.

Також можна подати скаргу Голові Управління захисту персональних даних Польщі (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

10. Файли cookie та аналітика

Без вашої згоди ми використовуємо лише cookie, необхідні для роботи магазину: cookie сесії після входу (до 30 днів) і короткочасну cookie, що захищає вхід через Google (10 хвилин). Такі cookie згоди не потребують.

За вашою згодою, наданою в банері, ми завантажуємо піксель Meta. Він зберігає cookie _fbp і _fbc (до 90 днів) і передає Meta дані, описані в розділі «Одержувачі даних». Без згоди скрипт пікселя не завантажується взагалі. Змінити чи відкликати згоду можна будь-коли через «Налаштування cookie» в підвалі сторінки.

Для статистики відвідувань і знеособлених карт кліків та прокрутки ми використовуємо Umami на власному сервері. Він не зберігає cookie й не ідентифікує користувачів, тому згоди ми не просимо. Кошик зберігається локально у вашому браузері.

11. Зміни політики

Якщо ми змінимо спосіб використання даних — зокрема даних, отриманих від Google, — ми оновимо цю сторінку й дату вгорі, а про суттєві зміни повідомимо власників акаунтів листом.