POLITYKA PRYWATNOŚCI I PLIKÓW COOKIES AROMACRAFT

§ 1. Administrator danych osobowych

1. Administratorem danych osobowych Użytkowników Sklepu Internetowego działającego pod adresem https://www.aromacraft.pl/ jest MK Craft & Trade spółka z ograniczoną odpowiedzialnością z siedzibą w Krakowie, ul. Maćka z Bogdańca 16, 30-398 Kraków, KRS 0001100591, NIP 6762667154, REGON 528387102, kapitał zakładowy 5 000 zł, dalej jako „Administrator”.
2. W sprawach dotyczących danych osobowych można skontaktować się:
   • pocztą elektroniczną: kontakt@aromacraft.pl,
   • listownie: MK Craft & Trade sp. z o.o., ul. Maćka z Bogdańca 16, 30-398 Kraków,
   • telefonicznie: 500 469 651.
3. Polityka wyjaśnia zasady przetwarzania danych osób odwiedzających Sklep, Klientów, posiadaczy Kont, odbiorców Newslettera, autorów Opinii i osób kontaktujących się z Administratorem.
4. Pojęcia pisane wielką literą, których nie zdefiniowano w Polityce, mają znaczenie nadane im w Regulaminie Sklepu.

§ 2. Zakres i źródła danych

1. W zależności od sposobu korzystania ze Sklepu Administrator może przetwarzać:
   • dane identyfikacyjne – imię, nazwisko, nazwa firmy, NIP,
   • dane kontaktowe – adres e-mail, numer telefonu, adres dostawy i adres rozliczeniowy,
   • dane dotyczące Zamówień – numer i historia Zamówienia, wybrane Towary, ceny, rabaty, metoda płatności, sposób i status dostawy, numer przesyłki, zwroty i reklamacje,
   • dane płatnicze – informacja o wybranej metodzie, statusie i identyfikatorze transakcji oraz numer rachunku do zwrotu; Administrator co do zasady nie otrzymuje pełnych danych karty ani danych logowania do banku,
   • dane Konta – login, zaszyfrowane hasło, historia aktywności i ustawienia Konta,
   • dane komunikacyjne – treść korespondencji, formularzy, zgłoszeń i rozmów dotyczących obsługi Klienta,
   • dane związane z Opiniami – treść i ocena, oznaczenie autora, powiązanie z zakupem oraz informacje potrzebne do moderacji,
   • dane marketingowe – zgody, wycofania zgód, historia wysłanych komunikatów oraz interakcje z Newsletterem,
   • dane techniczne – adres IP, data i czas wizyty, typ urządzenia, system operacyjny, przeglądarka, adresy odwiedzanych podstron, identyfikatory internetowe, logi bezpieczeństwa i informacje zapisane w cookies.
2. Dane pochodzą bezpośrednio od Użytkownika, z jego urządzenia i przeglądarki, a w zakresie niezbędnym do realizacji Umowy także od operatorów płatności, InPost Pay, przewoźników lub innych podmiotów uczestniczących w realizacji Zamówienia.
3. Podanie danych jest dobrowolne, lecz dane oznaczone jako wymagane są niezbędne do zawarcia lub wykonania Umowy, utworzenia Konta, udzielenia odpowiedzi albo świadczenia wybranej usługi. Brak danych może uniemożliwić realizację danego celu.

§ 3. Cele i podstawy prawne przetwarzania

§ 4. Okres przechowywania danych

1. Dane związane z Zamówieniem są przechowywane przez czas wykonania Umowy, a następnie do upływu okresów przedawnienia roszczeń i okresów wymaganych przepisami podatkowymi lub rachunkowymi.
2. Dane rachunkowe i podatkowe są przechowywane przez okres wymagany przez obowiązujące przepisy, co do zasady przez 5 lat liczonych zgodnie z właściwymi przepisami podatkowymi.
3. Dane Konta są przechowywane do czasu jego usunięcia, a następnie w niezbędnym zakresie do upływu terminów przedawnienia roszczeń lub wykonania obowiązków prawnych.
4. Dane dotyczące reklamacji, zwrotów i sporów są przechowywane do zakończenia sprawy, a następnie do upływu właściwego terminu przedawnienia.
5. Dane z korespondencji są przechowywane przez czas potrzebny do obsługi sprawy, a później przez okres niezbędny do wykazania przebiegu komunikacji i ochrony przed roszczeniami.
6. Dane Newslettera są przetwarzane do wycofania zgody lub zakończenia usługi. Informacja o udzieleniu albo wycofaniu zgody może być przechowywana dłużej w celu wykazania zgodności działania Administratora z prawem i ochrony przed roszczeniami.
7. Opinia jest przechowywana przez okres jej publikacji, a dane potrzebne do wykazania jej pochodzenia lub obrony przed roszczeniami – przez właściwy okres przedawnienia.
8. Dane techniczne i logi bezpieczeństwa są przechowywane przez okres niezbędny do zapewnienia bezpieczeństwa, analizy zdarzeń i obrony przed nadużyciami, co do zasady nie dłużej niż 12 miesięcy, chyba że określone zdarzenie wymaga dłuższego zachowania dowodów.
9. Cookies sesyjne wygasają po zakończeniu sesji, a trwałe po upływie czasu ustawionego dla danego pliku lub po ich wcześniejszym usunięciu. Informacje o plikach Microsoft Clarity i ich przeznaczeniu są dostępne w dokumentacji dostawcy wskazanej w § 11. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

§ 5. Odbiorcy danych

Dane mogą być przekazywane wyłącznie w zakresie niezbędnym do realizacji danego celu następującym kategoriom odbiorców:

• Selesto sp. z o.o. oraz dostawcom hostingu, infrastruktury, wsparcia i utrzymania systemu Sklepu,
• Microsoft – w zakresie korzystania z Microsoft Clarity po wyrażeniu zgody na analitykę,
• operatorom płatności, w szczególności PayPro S.A. (Przelewy24), bankom oraz dostawcom metod płatności dostępnych w InPost Pay,
• InPost sp. z o.o. i innym przewoźnikom wybranym przez Klienta,
• dostawcom systemów księgowych, fakturowania, poczty elektronicznej, Newslettera i obsługi Klienta,
• dostawcom narzędzi analitycznych i reklamowych – wyłącznie w zakresie wynikającym z udzielonych zgód,
• kancelariom prawnym, doradcom, księgowym, audytorom i ubezpieczycielom,
• organom publicznym, sądom i innym uprawnionym podmiotom, gdy obowiązek przekazania wynika z prawa.

Niektórzy odbiorcy, w szczególności operatorzy płatności, InPost Pay, przewoźnicy oraz dostawcy narzędzi reklamowych, mogą przetwarzać otrzymane dane jako odrębni administratorzy zgodnie z własnymi politykami prywatności.

§ 6. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Korzystanie z usług globalnych dostawców, takich jak Microsoft, Google, Meta lub TikTok, może wiązać się z przekazywaniem danych poza Europejski Obszar Gospodarczy.
2. Przekazanie następuje wyłącznie przy zastosowaniu mechanizmu dopuszczonego przez RODO, w szczególności na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony – w tym Ram Ochrony Danych UE–USA, jeżeli odbiorca jest nimi objęty – albo standardowych klauzul umownych oraz, gdy jest to potrzebne, dodatkowych zabezpieczeń.
3. Informacje o stosowanym mechanizmie można uzyskać, kontaktując się z Administratorem.

§ 7. Prawa osoby, której dane dotyczą

1. Na zasadach określonych w RODO Użytkownik ma prawo do:
   • dostępu do danych i otrzymania ich kopii,
   • sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych,
   • usunięcia danych, jeżeli zachodzą przesłanki prawne,
   • ograniczenia przetwarzania,
   • przenoszenia danych przetwarzanych na podstawie zgody lub Umowy w sposób zautomatyzowany,
   • wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO z przyczyn związanych ze szczególną sytuacją,
   • wniesienia w każdej chwili sprzeciwu wobec marketingu bezpośredniego, w tym związanego z nim profilowania,
   • wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania.
2. W celu realizacji praw należy skontaktować się z Administratorem. Administrator może poprosić o informacje potrzebne do potwierdzenia tożsamości osoby składającej żądanie.
3. Jeżeli Użytkownik uważa, że dane są przetwarzane niezgodnie z prawem, może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, https://uodo.gov.pl/.
4. Prawa nie mają charakteru bezwzględnego. Administrator może odmówić realizacji żądania w zakresie, w którym dalsze przetwarzanie jest wymagane przez prawo lub niezbędne do ustalenia, dochodzenia albo obrony roszczeń.

§ 8. Profilowanie i zautomatyzowane decyzje

1. Jeżeli Użytkownik wyrazi zgodę na analityczne lub marketingowe pliki cookies, informacje o jego aktywności mogą być wykorzystywane do tworzenia grup odbiorców, mierzenia skuteczności reklam, dopasowania komunikacji i prezentowania reklam odpowiadających zainteresowaniom.
2. Takie działania mogą stanowić profilowanie, ale Administrator nie podejmuje wobec Użytkownika decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na niego wpływały.
3. Zgodę można w każdej chwili wycofać w ustawieniach cookies dostępnych przez „Zmień zgody cookies” w stopce.

§ 9. Pliki cookies i podobne technologie

1. Cookies są niewielkimi informacjami zapisywanymi w urządzeniu Użytkownika podczas korzystania ze Sklepu. Mogą być plikami sesyjnymi, usuwanymi po zamknięciu przeglądarki, albo trwałymi, przechowywanymi przez określony czas.
2. Sklep może wykorzystywać następujące kategorie cookies:
   • niezbędne – wymagane do działania Sklepu, zabezpieczenia sesji, Koszyka, logowania, zapamiętania ustawień prywatności oraz realizacji funkcji wyraźnie żądanych przez Użytkownika,
   • funkcjonalne – pozwalające zapamiętać dodatkowe preferencje i udostępnić rozszerzone funkcje,
   • analityczne – pomagające mierzyć ruch i sposób korzystania ze Sklepu,
   • marketingowe – służące mierzeniu kampanii, budowaniu grup odbiorców i dopasowaniu reklam.
3. Cookies niezbędne mogą być używane bez zgody w zakresie koniecznym do zapewnienia działania Sklepu lub usługi żądanej przez Użytkownika. Pozostałe kategorie są uruchamiane wyłącznie po uzyskaniu odpowiedniej zgody.
4. Ograniczenie cookies niezbędnych w ustawieniach przeglądarki może spowodować nieprawidłowe działanie Koszyka, logowania, płatności albo innych podstawowych funkcji.
5. Panel cookies pozwala włączyć lub wyłączyć kategorie „Marketing” oraz „Analityka i pozostałe”. Microsoft Clarity należy do kategorii „Analityka i pozostałe”. Cookies niezbędne pozostają aktywne.

§ 10. Zarządzanie zgodami cookies

1. Sklep korzysta z wbudowanego panelu zgód Selesto. Panel pozwala zaakceptować wszystkie opcjonalne kategorie albo zapisać własny wybór.
2. Wybór jest zapamiętywany w technicznym pliku popups, aby stosować go również podczas kolejnych odwiedzin. Techniczny plik ac_clarity_consent_v1 przez rok pamięta, że Użytkownik podjął decyzję po otrzymaniu informacji o Clarity; nie jest identyfikatorem osoby. Osoba z wcześniejszą zgodą na ogólną kategorię „Pozostałe” zobaczy raz zaktualizowany panel, zanim Clarity będzie mogło zostać uruchomione.
3. Użytkownik może w każdej chwili otworzyć „Zmień zgody cookies” w stopce, odznaczyć wybraną kategorię i nacisnąć „Zapisz ustawienia”.
4. Microsoft Clarity jest uruchamiany wyłącznie po zgodzie na kategorię „Analityka i pozostałe”. Wycofanie tej zgody zatrzymuje dalsze nagrywanie oraz usuwa własne cookies Clarity w domenie Sklepu. Nie wpływa to na wcześniejsze, zgodne z prawem przetwarzanie.

§ 11. Opcjonalne narzędzia analityczne i reklamowe

W zależności od aktualnej konfiguracji Sklep może korzystać z poniższych narzędzi. Narzędzia wykorzystujące opcjonalne cookies są uruchamiane dopiero po wyrażeniu właściwej zgody w ustawieniach cookies.

1. Microsoft Clarity – mapy ciepła oraz odtwarzanie przebiegu wizyt służące poprawie działania i wygody Sklepu. Po zgodzie narzędzie analizuje odwiedzane strony, kliknięcia, przewijanie oraz dane techniczne przeglądarki i urządzenia. Treści wpisywane w formularzach oraz pola adresowe i podsumowania danych klienta są maskowane. Strony konta i podsumowania konkretnego zamówienia są wyłączone z tej integracji. Sklep nie przekazuje do Clarity imienia, adresu e-mail ani numeru zamówienia jako identyfikatorów użytkownika i nie udziela poprzez tę integrację zgody reklamowej Microsoft. Pliki _clck i _clsk służą rozpoznawaniu wizyt i łączeniu odsłon w sesję. Szczegóły: Oświadczenie o ochronie prywatności Microsoft oraz opis cookies Clarity.
2. Google Analytics 4 – analiza ruchu, statystyki korzystania ze Sklepu i poprawa jego działania.
3. Google Ads – mierzenie skuteczności kampanii, remarketing i dopasowanie reklam.
4. Google Tag Manager – techniczne zarządzanie znacznikami i uruchamianiem zintegrowanych narzędzi zgodnie z ustawieniami zgód.
5. Meta Pixel – mierzenie skuteczności reklam na Facebooku i Instagramie, tworzenie grup odbiorców oraz remarketing.
6. TikTok Pixel / TikTok Ads – analiza skuteczności kampanii, tworzenie grup odbiorców i dopasowanie reklam w TikTok.

Własne zasady przetwarzania danych przez dostawców opisują ich aktualne polityki prywatności. Użytkownik może zablokować powyższe narzędzia, odrzucając odpowiednią kategorię cookies lub później wycofując zgodę.

§ 12. Newsletter

1. Zapis do Newslettera jest dobrowolny. Newsletter może zawierać informacje o produktach, nowościach, promocjach i kodach rabatowych AromaCraft.
2. W celu zapisu należy podać adres e-mail, zaakceptować wymaganą zgodę i – jeżeli Sklep stosuje mechanizm podwójnego potwierdzenia – potwierdzić zapis poprzez odnośnik przesłany pocztą elektroniczną.
3. Newsletter jest wysyłany z częstotliwością zależną od pojawiania się nowych informacji i ofert.
4. Ze zgody i Newslettera można zrezygnować w dowolnym momencie poprzez odnośnik znajdujący się w każdej wiadomości albo kontakt z Administratorem. Rezygnacja jest bezpłatna.
5. Wycofanie zgody nie wpływa na zgodność z prawem wiadomości wysłanych przed jej wycofaniem.

§ 13. Bezpieczeństwo danych

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne dostosowane do ryzyka, w szczególności szyfrowanie transmisji, kontrolę dostępu, kopie zapasowe, aktualizacje systemów oraz procedury ograniczające dostęp do danych.
2. Dostęp do danych otrzymują wyłącznie osoby i podmioty, które potrzebują go do wykonania swoich obowiązków i są zobowiązane do zachowania poufności lub przestrzegania właściwych zasad ochrony danych.
3. Żaden sposób transmisji ani przechowywania danych nie gwarantuje całkowitego bezpieczeństwa. Administrator regularnie ocenia środki ochrony i reaguje na stwierdzone zagrożenia.

§ 14. Zmiany Polityki prywatności

1. Polityka może zostać zmieniona w szczególności wskutek zmiany prawa, funkcji Sklepu, dostawców usług lub stosowanych technologii.
2. Aktualna wersja jest publikowana w Sklepie wraz z datą obowiązywania. Jeżeli zmiana istotnie wpływa na prawa osób lub sposób korzystania z danych, Administrator przekaże odpowiednią informację dostępnymi kanałami.
3. Zmiana Polityki nie ogranicza praw nabytych ani nie stanowi samodzielnej podstawy wykorzystania danych w nowym celu. Jeżeli nowy cel wymaga zgody, Administrator zwróci się o jej udzielenie.
4. Polityka obowiązuje od dnia 1 sierpnia 2026 r.