Polityka prywatności

Wersja 1.0. Ostatnia aktualizacja: 3 sierpnia 2026 r.

W tej polityce wyjaśniamy, jakie dane osobowe przetwarzamy w związku z korzystaniem ze sklepu Gildia Grodzisk, w jakich celach to robimy, komu możemy przekazywać dane, jak długo je przechowujemy oraz jakie prawa przysługują osobom, których dane dotyczą.

1. Administrator danych

Administratorem danych osobowych jest Gildia Grodzisk sp. z o.o. z siedzibą przy ul. ks. M. Tokarzewskiego 9A lok. 5, 05-825 Grodzisk Mazowiecki, NIP 5291867142, REGON 544011034, KRS 0001224094.

W sprawach dotyczących danych osobowych można skontaktować się z nami:

e-mailem: privacy@gildia-grodzisk.pl,
telefonicznie: +48 511 545 362,
listownie lub osobiście pod adresem sklepu wskazanym powyżej.

2. Skąd otrzymujemy dane

Większość danych otrzymujemy bezpośrednio od osoby, której dane dotyczą, na przykład podczas zakładania konta, składania zamówienia, zapisu na wydarzenie, kontaktu ze sklepem albo zamawiania powiadomienia o dostępności produktu.

Dane mogą również pochodzić:

od osoby, która zgłasza innego uczestnika wydarzenia;
od operatora płatności, banku lub przewoźnika, gdy przekazują nam status płatności, zwrotu albo przesyłki;
z systemów sprzedażowych i magazynowych wykorzystywanych przez sklep, jeśli dane zostały wcześniej podane w związku z zakupem lub obsługą klienta.

Jeżeli przekazujesz nam dane innej osoby, na przykład uczestnika wydarzenia albo odbiorcy przesyłki, upewnij się, że możesz to zrobić i przekaż tej osobie informację o niniejszej polityce.

3. W jakich celach przetwarzamy dane

Korzystanie ze strony, koszyka i zabezpieczeń

Zakres danych: identyfikator sesji, zawartość koszyka, podstawowe dane techniczne urządzenia i przeglądarki, informacje o żądaniach kierowanych do serwisu oraz identyfikatory sieciowe używane do ochrony sklepu.
Cel: zapewnienie działania strony, koszyka i logowania, zapobieganie nadużyciom, ochrona kont, zamówień i infrastruktury sklepu oraz diagnostyka błędów.
Podstawa prawna: wykonanie usługi lub podjęcie działań na żądanie użytkownika (art. 6 ust. 1 lit. b RODO) oraz nasz prawnie uzasadniony interes polegający na zapewnieniu bezpieczeństwa i dochodzeniu lub obronie roszczeń (art. 6 ust. 1 lit. f RODO).
Okres: zwykłe logi techniczne przechowujemy co do zasady do 30 dni, dane nieukończonych sesji do 14 dni, a informacje związane ze zdarzeniami bezpieczeństwa zazwyczaj do 90 dni. Dane dotyczące krytycznych zdarzeń bezpieczeństwa mogą być przechowywane do 24 miesięcy, jeżeli jest to potrzebne do wyjaśnienia zdarzenia lub ochrony przed roszczeniami.

Konto klienta

Zakres danych: imię, nazwisko, adres e-mail, opcjonalny numer telefonu, zabezpieczone hasło, zapisane adresy, historia ustawień konta, zamówień, zgód i programu lojalnościowego.
Cel: utworzenie, aktywacja i obsługa konta, logowanie, odzyskanie dostępu, zapamiętanie adresów, przedstawianie historii zamówień oraz naliczanie korzyści programu lojalnościowego.
Podstawa prawna: wykonanie umowy o prowadzenie konta lub działania podejmowane przed jej zawarciem (art. 6 ust. 1 lit. b RODO).
Okres:Dane aktywnego konta przechowujemy przez okres korzystania z konta. Konto, które nie zostało aktywowane i nie ma historii zamówień ani innych wymagających zachowania powiązań, usuwamy po 90 dniach od jego utworzenia. Wyłączone konto bez zamówień, zapisów na wydarzenia, historii programu lojalnościowego ani innych danych wymagających dalszego przechowywania możemy usunąć po 36 miesiącach od ostatniej aktywności lub zmiany konta. Aktywne konta nie są usuwane automatycznie w ramach tego mechanizmu. Dane zamówień i rozliczeń przechowujemy odrębnie przez okres wynikający z przepisów lub konieczny do ochrony roszczeń.

Zamówienia i obsługa sprzedaży

Zakres danych: imię, nazwisko, e-mail, telefon, adres dostawy, opcjonalne dane do faktury i dane firmy, zawartość i wartość zamówienia, zastosowane ceny i rabaty, sposób dostawy i płatności, wybrany punkt odbioru, uwagi do zamówienia oraz identyfikatory płatności i przesyłki.
Cel: przyjęcie i realizacja zamówienia, kontakt dotyczący zakupu, przygotowanie wydania lub wysyłki, obsługa płatności, zwrotu, reklamacji i odstąpienia od umowy.
Podstawa prawna: zawarcie i wykonanie umowy sprzedaży (art. 6 ust. 1 lit. b RODO), obowiązki prawne sprzedawcy (art. 6 ust. 1 lit. c RODO) oraz nasz prawnie uzasadniony interes dotyczący ustalenia, dochodzenia lub obrony roszczeń (art. 6 ust. 1 lit. f RODO).
Okres: przez czas realizacji zamówienia, a następnie przez okres wymagany przepisami podatkowymi i rachunkowymi, co do zasady 5 lat liczonych zgodnie z właściwymi przepisami. Dane możemy przechowywać dłużej, jeżeli jest to konieczne z powodu trwającej reklamacji, postępowania, kontroli albo biegu terminu przedawnienia roszczeń.

Podanie danych oznaczonych jako wymagane jest niezbędne do złożenia i wykonania zamówienia. Dane do faktury są potrzebne tylko wtedy, gdy ma zostać wystawiona faktura. Pole uwag jest dobrowolne; nie należy wpisywać w nim danych, które nie są potrzebne do realizacji zamówienia.

Płatności

Zakres danych: numer zamówienia, kwota, waluta, adres e-mail oraz techniczne identyfikatory transakcji i jej status.
Cel: rozpoczęcie i potwierdzenie płatności, uzgodnienie jej statusu, obsługa ponowienia płatności oraz zwrotu środków.
Podstawa prawna: wykonanie umowy sprzedaży (art. 6 ust. 1 lit. b RODO), obowiązki prawne (art. 6 ust. 1 lit. c RODO) oraz ochrona przed nadużyciami i roszczeniami (art. 6 ust. 1 lit. f RODO).
Okres: dane rozliczeniowe przechowujemy wraz z dokumentacją zamówienia. Dane diagnostyczne nieudanych płatności przechowujemy co do zasady do 90 dni, a diagnostykę zwrotów do 24 miesięcy.

Jeżeli zostanie wybrana płatność Przelewy24, dane niezbędne do jej wykonania otrzyma PayPro S.A., operator serwisu Przelewy24. Operator przetwarza dane płatnika również jako odrębny administrator. Szczegóły znajdują się w informacji Przelewy24 dla płatników.

Dostawa i odbiór

Zakres danych: imię, nazwisko, telefon, e-mail, adres dostawy, wybrany punkt odbioru, dane przesyłki i identyfikatory przewozowe.
Cel: przygotowanie, nadanie, śledzenie i doręczenie przesyłki albo przygotowanie zamówienia do odbioru osobistego.
Podstawa prawna: wykonanie umowy sprzedaży (art. 6 ust. 1 lit. b RODO) oraz ochrona roszczeń związanych z dostawą (art. 6 ust. 1 lit. f RODO).
Okres: przez okres realizacji dostawy oraz rozpatrywania ewentualnych reklamacji i roszczeń. Techniczne dane diagnostyczne zakończonych przesyłek przechowujemy co do zasady do 24 miesięcy.

Przy dostawie InPost numer telefonu jest wymagany. Dane potrzebne do dostawy przekazujemy InPost sp. z o.o. za pośrednictwem systemu ShipX. Podczas wyboru punktu odbioru może zostać uruchomione narzędzie Geowidget InPost. Informacje o przetwarzaniu danych przez przewoźnika znajdują się w polityce prywatności InPost.

Dokumenty księgowe i obowiązki prawne

Zakres danych: dane nabywcy, dane firmy i NIP, informacje o sprzedaży, płatności, zwrocie i dokumentach księgowych.
Cel: prowadzenie ksiąg, rozliczenia podatkowe, wystawianie i przechowywanie dokumentów oraz wykonywanie obowiązków wobec organów publicznych.
Podstawa prawna: obowiązek prawny ciążący na administratorze (art. 6 ust. 1 lit. c RODO).
Okres: przez okres wymagany przez przepisy podatkowe i rachunkowe, co do zasady 5 lat liczonych zgodnie z właściwymi przepisami, z uwzględnieniem możliwego zawieszenia lub przerwania biegu terminów.

Do obsługi sprzedaży i gospodarki magazynowej wykorzystujemy system Subiekt nexo. Dane zamówienia mogą zostać wprowadzone do tego systemu w celu wystawienia dokumentów sprzedaży, aktualizacji magazynu i obsługi zamówienia.

Kontakt, reklamacje, zwroty i inne zgłoszenia

Zakres danych: dane kontaktowe, treść wiadomości, numer zamówienia oraz dokumenty i informacje dobrowolnie przekazane w zgłoszeniu.
Cel: udzielenie odpowiedzi, obsługa reklamacji, zwrotu, odstąpienia od umowy lub innego zgłoszenia oraz zachowanie historii ustaleń.
Podstawa prawna: wykonanie umowy lub działania na żądanie osoby (art. 6 ust. 1 lit. b RODO), obowiązek prawny (art. 6 ust. 1 lit. c RODO) albo nasz prawnie uzasadniony interes polegający na obsłudze korespondencji i ochronie roszczeń (art. 6 ust. 1 lit. f RODO).
Okres: przez czas obsługi sprawy, a następnie do upływu okresu właściwego dla danego obowiązku lub roszczenia.

Wydarzenia

Zakres danych: imię i nazwisko uczestnika, wiek, dane kontaktowe, wybrany termin, informacje o zapisie, opłacie, obecności i ewentualnym anulowaniu, dane opiekuna, zgody wyrażone przez opiekuna.
Cel: przyjęcie zgłoszenia, prowadzenie listy uczestników, kontakt organizacyjny, potwierdzenie uprawnienia do udziału i rozliczenie wydarzenia.
Podstawa prawna: wykonanie umowy lub obsługa zgłoszenia na wydarzenie (art. 6 ust. 1 lit. b RODO), obowiązki prawne związane z odpłatnym wydarzeniem (art. 6 ust. 1 lit. c RODO) oraz organizacja i ochrona roszczeń (art. 6 ust. 1 lit. f RODO).
Okres: anulowane zapisy oraz dane uczestników niepowiązane z dokumentacją sprzedaży przechowujemy co do zasady do 90 dni po zakończeniu lub anulowaniu wydarzenia. Dane związane z zakupem wejściówki przechowujemy tak jak dokumentację zamówienia.

Obsługa sklepu może zapisać uczestnika także bez konta klienta, na przykład po zakupie wejściówki w sklepie stacjonarnym albo przy wydarzeniu bezpłatnym. Jeżeli uczestnikiem jest osoba małoletnia, dane powinien przekazać rodzic, opiekun albo inna osoba uprawniona do dokonania zgłoszenia.

Powiadomienie o dostępności produktu

Zakres danych: adres e-mail, identyfikator produktu oraz dane techniczne potrzebne do wysłania i anulowania powiadomienia.
Cel: jednorazowe poinformowanie, że wybrany produkt ponownie jest dostępny.
Podstawa prawna: wykonanie usługi zamówionej przez użytkownika (art. 6 ust. 1 lit. b RODO).
Okres: do wysłania powiadomienia, jego anulowania albo maksymalnie przez 90 dni.

Powiadomienie o dostępności nie jest zapisem na marketing. Można je anulować za pomocą linku udostępnionego w wiadomości.

Program lojalnościowy

Zakres danych: identyfikator konta, historia kwalifikujących się zakupów, zwrotów, naliczonych progów i rabatów oraz ewentualne rabaty indywidualne lub grupowe.
Cel: obliczanie uprawnień i naliczanie korzyści programu.
Podstawa prawna: wykonanie warunków programu dostępnego w ramach konta klienta (art. 6 ust. 1 lit. b RODO).
Okres: przez czas udziału w programie i prowadzenia konta, a w zakresie danych powiązanych z zamówieniami także przez okres właściwy dla dokumentacji sprzedaży i roszczeń.

Marketing e-mail

Zakres danych: adres e-mail, identyfikator konta, decyzja dotycząca zgody oraz wersja treści przedstawionej przy jej udzieleniu lub wycofaniu.
Cel: przesyłanie e-mailem informacji o ofertach, promocjach i działalności sklepu.
Podstawa prawna: dobrowolna zgoda (art. 6 ust. 1 lit. a RODO oraz właściwe przepisy Prawa komunikacji elektronicznej).
Okres: do wycofania zgody lub zakończenia prowadzenia komunikacji marketingowej. Dowód udzielenia i wycofania zgody przechowujemy przez okres potrzebny do wykazania prawidłowości działań i ochrony przed roszczeniami.

Zgoda marketingowa jest dobrowolna. Jej brak nie wpływa na możliwość utworzenia konta ani złożenia zamówienia. Zgodę można wycofać w ustawieniach konta lub kontaktując się z nami. Wycofanie zgody nie wpływa na zgodność z prawem działań wykonanych przed jej wycofaniem.

4. Komu możemy przekazywać dane

Dane przekazujemy tylko w zakresie potrzebnym do realizacji określonego zadania. Odbiorcami lub podmiotami przetwarzającymi dane mogą być:

OVHcloud i inni dostawcy hostingu, poczty elektronicznej, kopii zapasowych oraz infrastruktury informatycznej;
InPost sp. z o.o. oraz inni przewoźnicy wybrani podczas składania zamówienia;
PayPro S.A., operator Przelewy24, gdy ta metoda płatności zostanie wybrana;
podmioty zapewniające obsługę księgową, podatkową, prawną, serwisową lub informatyczną, jeżeli dostęp do danych jest niezbędny do wykonania ich zadań;
dostawcy narzędzi zewnętrznych uruchamianych na żądanie lub za zgodą użytkownika, na przykład Google Maps;
banki i instytucje finansowe uczestniczące w realizacji płatności lub zwrotu;
organy publiczne i inne uprawnione podmioty, jeżeli obowiązek przekazania danych wynika z przepisów prawa.

Gildia Grodzisk Sp. z o.o. nie przekazuje zgromadzonych informacji podmiotom nieuprawnionym.

5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Podstawowe dane sklepu, kont i zamówień są przechowywane w infrastrukturze hostingowej wybranej przez administratora na terenie Unii Europejskiej. Niektóre usługi zewnętrzne, w szczególności Google Maps, mogą jednak powodować przetwarzanie danych poza Europejskim Obszarem Gospodarczym, w tym w Stanach Zjednoczonych.

W takich przypadkach przekazanie danych odbywa się na podstawie mechanizmu dopuszczonego przez RODO, w szczególności decyzji stwierdzającej odpowiedni stopień ochrony, udziału dostawcy w programie EU-U.S. Data Privacy Framework albo standardowych klauzul umownych. Informacje o zasadach stosowanych przez Google znajdują się na stronie Przepisy prawa dotyczące przesyłania danych.

W związku z powyższym niektóre usługi zewnętrzne, w szczególności Google Maps, mogą wiązać się z przetwarzaniem danych poza Europejskim Obszarem Gospodarczym. W takich przypadkach dostawca stosuje mechanizmy przewidziane przez przepisy RODO dla międzynarodowego przekazywania danych.

6. Pliki cookie, pamięć przeglądarki i usługi zewnętrzne

Sklep korzysta z plików cookie i podobnych mechanizmów. Dzielimy je na następujące kategorie:

Niezbędne

Są potrzebne do działania sesji, koszyka, logowania, ochrony formularzy i bezpieczeństwa. Nie wymagają zgody, ponieważ bez nich podstawowe funkcje sklepu nie mogłyby działać prawidłowo. Domyślny czas ważności sesji wynosi 120 minut, chyba że sesja zostanie wcześniej zakończona albo przeglądarka usunie jej dane.

Analityczne

Mogą służyć do mierzenia sposobu korzystania ze sklepu i skuteczności jego działania. Są uruchamiane dopiero po wyrażeniu zgody i tylko wtedy, gdy odpowiednie narzędzie zostało skonfigurowane. Na dzień aktualizacji tej polityki zewnętrzne identyfikatory narzędzi analitycznych nie są skonfigurowane.

Marketingowe

Mogą służyć do pomiaru reklam oraz tworzenia grup odbiorców. Są uruchamiane dopiero po wyrażeniu zgody i tylko wtedy, gdy odpowiednie narzędzie zostało skonfigurowane. Na dzień aktualizacji tej polityki zewnętrzne identyfikatory narzędzi reklamowych nie są skonfigurowane.

Treści zewnętrzne

Pozwalają wyświetlać osadzone treści, takie jak mapa Google. Treść jest ładowana dopiero po wyrażeniu zgody. Dostawca może wtedy otrzymać między innymi adres IP, informacje o przeglądarce i urządzeniu oraz dane o wyświetlanej stronie.

Wybór kategorii prywatności jest zapisywany w pamięci przeglądarki, aby nie trzeba było podejmować tej samej decyzji przy każdej wizycie. Ustawienia można w dowolnym momencie ponownie otworzyć za pomocą przycisku „Ustawienia prywatności” w stopce strony. Usunięcie danych strony w przeglądarce może spowodować ponowne wyświetlenie panelu ustawień.

Geowidget InPost jest uruchamiany po wybraniu dostawy do punktu InPost i otwarciu mapy wyboru punktu. Służy do wykonania wybranej usługi dostawy, a nie do celów reklamowych.

Strona może zawierać zwykłe linki do Facebooka, Instagrama, WhatsAppa albo innych serwisów. Samo wyświetlenie linku nie oznacza uruchomienia ich narzędzi na stronie sklepu. Po przejściu do zewnętrznego serwisu obowiązują zasady prywatności jego dostawcy.

Do prawidłowego działania podstawowych funkcji sklepu, w szczególności sesji, koszyka, logowania i zabezpieczeń, konieczne jest umożliwienie działania mechanizmów niezbędnych. Ich całkowite zablokowanie w ustawieniach przeglądarki może uniemożliwić korzystanie z tych funkcji. Odmowa zgody na mechanizmy analityczne, marketingowe lub opcjonalne treści zewnętrzne nie ogranicza możliwości przeglądania oferty, utworzenia konta ani złożenia zamówienia, z wyjątkiem funkcji bezpośrednio związanej z daną treścią zewnętrzną.

7. Dobrowolność i obowiązek podania danych

Podanie danych jest dobrowolne, ale w niektórych przypadkach niezbędne do wykonania wybranej czynności:

bez danych kontaktowych i dostawy nie można zrealizować zamówienia wysyłkowego;
bez adresu e-mail nie można utworzyć konta ani wysłać powiadomienia o dostępności;
bez wymaganych danych uczestnika nie można potwierdzić zapisu na wydarzenie;
przy dostawie InPost potrzebny jest prawidłowy numer telefonu;
dane do faktury są wymagane tylko wtedy, gdy faktura ma zostać wystawiona;
zgody marketingowe, analityczne, reklamowe i na treści zewnętrzne są dobrowolne.

8. Zautomatyzowane przetwarzanie i program lojalnościowy

Nie podejmujemy wobec klientów decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na daną osobę.

System może automatycznie obliczać wartość zakupów kwalifikujących się do programu lojalnościowego i wynikający z niej próg rabatowy. Jest to techniczne wykonanie zasad programu i nie powoduje skutków innych niż przyznanie przewidzianej w programie korzyści. Zwroty mogą odpowiednio pomniejszyć wartość zakupów uwzględnianych w programie.

9. Prawa osób, których dane dotyczą

W zależności od podstawy i celu przetwarzania przysługuje prawo do:

dostępu do danych oraz otrzymania ich kopii;
sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych;
usunięcia danych, jeżeli nie istnieje dalsza podstawa ich przetwarzania;
ograniczenia przetwarzania;
przenoszenia danych przetwarzanych na podstawie zgody lub umowy w sposób zautomatyzowany;
wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie;
wycofania zgody w dowolnym momencie;
wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Żądanie można przesłać na adres sklep@gildiagrodzisk.pl. Jeżeli nie będziemy mogli potwierdzić tożsamości osoby składającej żądanie, możemy poprosić o dodatkowe informacje potrzebne wyłącznie do jej weryfikacji.

Usunięcie konta nie zawsze oznacza natychmiastowe usunięcie wszystkich danych. Dokumentację zamówień, płatności, faktur, reklamacji lub zwrotów możemy nadal przechowywać, jeżeli wymagają tego przepisy albo jest to potrzebne do ustalenia, dochodzenia lub obrony roszczeń.

Skargę można złożyć do Prezesa Urzędu Ochrony Danych Osobowych. Aktualne dane kontaktowe urzędu znajdują się na stronie uodo.gov.pl.

10. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiednie do rodzaju przetwarzanych danych oraz związanego z nimi ryzyka. Obejmują one między innymi szyfrowane połączenie ze stroną, bezpieczne przechowywanie haseł, ograniczanie dostępu do danych, ochronę panelu administracyjnego, zabezpieczenia przed nadużyciami oraz zasady usuwania danych po upływie okresu ich przydatności.

Żaden sposób przesyłania ani przechowywania danych nie daje całkowitej gwarancji bezpieczeństwa. Jeżeli stwierdzimy naruszenie ochrony danych, podejmiemy działania wymagane przez RODO, w tym zawiadomimy właściwy organ lub osoby, których dane dotyczą, gdy spełnione będą ustawowe warunki.

11. Zmiany polityki

Polityka może zostać zmieniona, jeżeli zmieni się sposób działania sklepu, zakres usług, wykorzystywani dostawcy albo obowiązujące przepisy. Na początku dokumentu podajemy numer wersji i datę ostatniej aktualizacji.

O istotnych zmianach dotyczących osób posiadających konto poinformujemy poprzez wiadomość e-mail albo komunikatem po zalogowaniu w sklepie. Jeżeli nowe działanie będzie wymagało zgody, poprosimy o nią oddzielnie. Samo dalsze korzystanie ze strony nie zastępuje zgody wymaganej przez prawo.

Za istotne zmiany polityki prywatności uznać należy nowy cel przetwarzania danych, nowa kategoria danych, zmiana programu lojalnościowego, narzędzia analityczne, analizy danych, nowe narzędzia reklamowe, transfer poza EOG, ograniczenia praw lub sposobu ich realizacji, zmiany administratora.

Korekty językowe, aktualizacja danych redakcyjnych i usunięcie nieaktywnych funkcji nie wymagają indywidualnej wiadomości do wszystkich klientów, o ile nie zmieniają rzeczywistego sposobu przetwarzania.

12. Kontakt w sprawie prywatności

Pytania dotyczące tej polityki lub przetwarzania danych można przesyłać na adres privacy@gildia-grodzisk.pl albo kierować na adres: Gildia Grodzisk sp. z o.o., ul. ks. M. Tokarzewskiego 9A lok. 5, 05-825 Grodzisk Mazowiecki.