Polityka prywatności

1. Zakres polityki

Niniejsza Polityka określa zasady przetwarzania danych osobowych w związku z korzystaniem z serwisu aurasushi.pl, składaniem i realizacją zamówień, kontaktem z Administratorem, płatnościami, dostawą oraz korzystaniem z plików cookie i podobnych technologii.

Niektórzy dostawcy usług, w szczególności operator płatności, dostawca dostawy oraz dostawcy usług Google, mogą przetwarzać dane jako odrębni administratorzy na zasadach określonych we własnych politykach prywatności.

2. Administrator danych

Administratorem danych osobowych jest:

Kontakt w sprawach dotyczących danych osobowych:

• e-mail: info@aurasushi.pl;
• telefon: +48 537 039 350;
• adres korespondencyjny: ul. Urugwajska 2 lok. U8, 03-969 Warszawa.

3. Jakie dane mogą być przetwarzane

Zakres danych zależy od sposobu korzystania z serwisu i może obejmować:

• dane zamówienia – imię, numer telefonu, adres e-mail, dane dostawy, opcjonalny NIP, wybrane produkty, wartość i numer zamówienia, sposób płatności, odbioru lub dostawy, preferowany termin, informacje dodatkowe przekazane przy zamówieniu oraz status jego realizacji;
• dane adresowe i dotyczące warunków dostawy – adres dostawy, informacje uzupełniające, takie jak numer mieszkania, klatka i piętro, położenie wybranego adresu, przypisana strefa oraz ustalone warunki dostawy;
• dane dotyczące płatności i dostawy – informacje o statusie płatności lub dostawy otrzymywane od odpowiedniego dostawcy; Administrator nie otrzymuje pełnego numeru karty ani kodu CVV;
• dane kontaktowe – dane i treść korespondencji przekazane telefonicznie, pocztą elektroniczną lub przez SMS;
• dane techniczne – w szczególności adres IP, data i czas żądania, odwiedzany adres, strona odsyłająca, typ urządzenia, systemu i przeglądarki, język, identyfikatory techniczne oraz informacje o błędach i bezpieczeństwie;
• dane dotyczące ustawień plików cookie – pseudonimowy identyfikator decyzji, wybrane kategorie oraz data i czas zapisania ustawień;
• dane analityczne i marketingowe – informacje o korzystaniu z serwisu, zdarzeniach, źródle wizyty, parametrach kampanii, przybliżonej lokalizacji, identyfikatorach reklamowych oraz ostatnio oglądanych produktach, jeżeli została udzielona odpowiednia zgoda.

Dane są pozyskiwane bezpośrednio od użytkownika, automatycznie z urządzenia lub przeglądarki, a w zakresie płatności i dostawy również od właściwych dostawców tych usług.

4. Cele i podstawy prawne przetwarzania

4.1. Zamówienia

Dane są przetwarzane w celu przyjęcia i realizacji zamówienia, kontaktu w jego sprawie, obsługi płatności, odbioru lub dostawy oraz reklamacji. Przy dostawie dane służą również sprawdzeniu możliwości i warunków dostawy.

Podstawa prawna: art. 6 ust. 1 lit. b RODO – zawarcie i wykonanie umowy albo podjęcie działań na żądanie osoby przed jej zawarciem.

4.2. Obowiązki prawne

Dane mogą być przetwarzane w celu wykonania obowiązków księgowych, podatkowych i innych obowiązków wynikających z prawa.

Podstawa prawna: art. 6 ust. 1 lit. c RODO.

4.3. Kontakt

Dane zawarte w korespondencji są przetwarzane w celu udzielenia odpowiedzi lub obsługi sprawy. Podstawą jest art. 6 ust. 1 lit. b RODO, jeżeli kontakt dotyczy umowy, albo art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na prowadzeniu komunikacji i obsłudze klienta.

4.4. Ciągłość działania, bezpieczeństwo i roszczenia

Dane techniczne, logi oraz dane związane z rozpoczętym zamówieniem mogą być przetwarzane w celu zapewnienia działania i bezpieczeństwa serwisu, zachowania ciągłości rozpoczętego procesu zamówienia, wyświetlania funkcjonalnych elementów serwisu, zapobiegania nadużyciom, diagnozowania błędów oraz ustalenia, dochodzenia lub obrony roszczeń.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na zapewnieniu ciągłości i bezpieczeństwa serwisu oraz ochronie jego praw.

4.5. Analizy wewnętrzne

Dane dotyczące zamówień mogą być wykorzystywane do wewnętrznych analiz sprzedaży, aktywności zakupowej i jakości obsługi, w zakresie niezbędnym do oceny i ulepszania działalności.

Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na analizie działalności i ulepszaniu obsługi.

4.6. Analityka i marketing online

Opcjonalne narzędzia analityczne i marketingowe, w tym usługi Google i Automattic, pomiar źródła zamówienia oraz personalizowane rekomendacje produktów, są uruchamiane po udzieleniu zgody na odpowiednią kategorię w ustawieniach plików cookie.

Podstawa prawna: art. 6 ust. 1 lit. a RODO oraz art. 399 ustawy – Prawo komunikacji elektronicznej.

4.7. Ustawienia plików cookie

Pseudonimowy zapis decyzji dotyczącej plików cookie jest przetwarzany w celu zapamiętania wyboru i wykazania prawidłowego pozyskania zgody.

Podstawa prawna: art. 6 ust. 1 lit. c RODO w związku z art. 5 ust. 2 i art. 7 ust. 1 RODO.

5. Dobrowolność podania danych

Podanie danych jest dobrowolne, ale dane oznaczone jako wymagane są potrzebne do przyjęcia i realizacji zamówienia. Bez danych kontaktowych, a przy dostawie również bez adresu, realizacja zamówienia nie będzie możliwa. Podanie NIP, informacji dodatkowych oraz udzielenie zgód na analitykę lub marketing jest dobrowolne. Brak zgody na opcjonalne technologie nie ogranicza możliwości złożenia zamówienia.

6. Odbiorcy danych

Dane mogą być przekazywane odbiorcom w zakresie niezbędnym do realizacji danego celu, w szczególności:

• osobom upoważnionym przez Administratora;
• dostawcom hostingu, poczty, utrzymania, bezpieczeństwa, kopii zapasowych oraz zasobów technicznych wykorzystywanych do działania lub wyświetlania serwisu, w tym home.pl S.A.;
• dostawcom technologii sklepu i wsparcia IT;
• PayU S.A. – jeżeli wybrano płatność obsługiwaną przez PayU;
• Wolt oraz kurierowi realizującemu Wolt Drive – jeżeli wybrano dostawę;
• dostawcom wiadomości e-mail i SMS;
• Automattic i podmiotom powiązanym – w zakresie wykorzystywanych usług, w tym usług uruchamianych po zgodzie;
• Google Ireland Limited i podmiotom powiązanym – w zakresie Google Analytics, Google Ads oraz innych faktycznie wykorzystywanych usług Google;
• dostawcom mapy i infrastruktury CDN, w tym OpenFreeMap (Hyperknot Software Kft.), UNPKG i Cloudflare – w zakresie niezbędnym do wyświetlenia mapy obszarów dostawy;
• podmiotom świadczącym usługi księgowe, prawne lub ubezpieczeniowe oraz uprawnionym organom, jeżeli wynika to z prawa lub jest niezbędne do ochrony praw Administratora.

Informacje o wybranych dostawcach:

• Polityka prywatności PayU;
• Polityka prywatności Wolt;
• Polityka prywatności Google;
• Polityka prywatności Automattic;
• Polityka prywatności OpenFreeMap;
• Polityka prywatności Cloudflare.

7. Przekazywanie danych poza EOG

Niektórzy dostawcy technologiczni mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. Jeżeli dochodzi do takiego transferu, odbywa się on na podstawie mechanizmu przewidzianego przez RODO, w szczególności decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych. Szczegółowe informacje o stosowanych mechanizmach są dostępne w politykach odpowiednich dostawców wskazanych powyżej.

8. Okres przechowywania danych

Dane są przechowywane nie dłużej, niż jest to potrzebne do celu, w którym zostały zebrane, z uwzględnieniem obowiązków prawnych i okresów przedawnienia roszczeń. W szczególności:

• dane zamówienia – przez czas jego realizacji i obsługi, a następnie przez okres potrzebny do rozliczeń, reklamacji i ochrony przed roszczeniami;
• dokumentacja księgowa i podatkowa – przez okres wymagany przepisami, co do zasady 5 lat liczonych od końca roku kalendarzowego, w którym upłynął termin płatności podatku;
• korespondencja – do zakończenia sprawy, a w razie potrzeby również przez okres związany z ochroną przed roszczeniami;
• logi techniczne i bezpieczeństwa – przez okres uzasadniony ich przeznaczeniem, cyklem rotacji oraz potrzebą wyjaśnienia incydentu lub nadużycia;
• dane wykorzystywane w analizach wewnętrznych – nie dłużej niż dane zamówienia, z którego pochodzą;
• dane formularza dostawy zachowane przez AURA Atlas – do 24 godzin;
• dane o dokładnym położeniu wybranego adresu zapisane przy zamówieniu – po upływie 7 dni są usuwane w ramach cyklicznego porządkowania; pozostałe dane dostawy podlegają okresowi właściwemu dla danych zamówienia;
• informacje o ostatnio oglądanych produktach – do 30 dni lub do wcześniejszego wycofania zgody marketingowej;
• ustawienia plików cookie zapisane w przeglądarce – przez 180 dni;
• pseudonimowy zapis decyzji dotyczącej plików cookie – przez 365 dni;
• dane przetwarzane na podstawie zgody – do jej wycofania albo wcześniejszego wygaśnięcia danego identyfikatora, chyba że dalsze przechowywanie jest wymagane lub dozwolone przez prawo.

9. Prawa związane z danymi

W przypadkach określonych przez RODO przysługuje prawo do:

• dostępu do danych i otrzymania ich kopii;
• sprostowania danych;
• usunięcia danych;
• ograniczenia przetwarzania;
• przenoszenia danych;
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie;
• wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania;
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Wniosek dotyczący danych można wysłać na adres info@aurasushi.pl lub adres korespondencyjny Administratora. Jeżeli jest to potrzebne do ochrony danych, Administrator może zweryfikować tożsamość osoby składającej wniosek.

Administrator nie podejmuje wobec klientów decyzji wywołujących skutki prawne lub w podobny sposób istotnie na nich wpływających wyłącznie w sposób zautomatyzowany.

10. Pliki cookie i podobne technologie

Niezbędne pliki cookie i podobne technologie są wykorzystywane w zakresie potrzebnym do działania serwisu, koszyka, zamówienia, weryfikacji adresu i strefy dostawy, płatności, bezpieczeństwa oraz zapamiętania ustawień. Opcjonalne technologie analityczne i marketingowe pozostają wyłączone do czasu udzielenia odpowiedniej zgody.

10.1. Niezbędne

• aura_cookie_consent – zapis ustawień i identyfikatora decyzji; 180 dni;
• woocommerce_cart_hash i woocommerce_items_in_cart – obsługa koszyka; sesja przeglądarki;
• wp_woocommerce_session_* – utrzymanie sesji klienta i zamówienia; do 2 dni;
• AURA Atlas – obsługa adresu i warunków dostawy oraz zachowanie danych formularza w niezbędnej sesji sklepu; do 24 godzin;
• OpenFreeMap i UNPKG – zewnętrzne zasoby mapy obszarów dostawy; dostawcy mogą otrzymać adres IP i podstawowe dane techniczne połączenia; podczas wczytywania mapy;
• techniczne identyfikatory operatora płatności – w zakresie potrzebnym do przeprowadzenia płatności.

10.2. Analityczne – po zgodzie

• Google Analytics, w tym identyfikatory _ga i _ga_* – statystyki korzystania z serwisu; domyślnie do 2 lat;
• usługi analityczne Automattic, w tym możliwe identyfikatory tk_* lub jp_* – statystyki ruchu i korzystania ze sklepu, zgodnie z ustawieniami i zasadami dostawcy.

10.3. Marketingowe – po zgodzie

• Google Ads, w tym możliwe identyfikatory _gcl_* i _gac_* – pomiar kliknięć i konwersji; zwykle do 90 dni;
• WooCommerce Order Attribution, w tym sbjs_session i pozostałe identyfikatory sbjs_* – ustalenie źródła wizyty i zamówienia; odpowiednio do 30 minut lub do końca sesji, a dane przypisane do zamówienia przez okres jego przechowywania;
• spersonalizowane rekomendacje produktów – informacje o ostatnio oglądanych produktach zapisane w lokalnej pamięci przeglądarki w celu dopasowania rekomendacji; do 30 dni lub do wycofania zgody marketingowej.

Rzeczywisty okres działania identyfikatora może zostać skrócony przez ustawienia przeglądarki lub dostawcy. Aktualne ustawienia zgody są dostępne po kliknięciu ikony ciasteczka.

11. Zmiana lub wycofanie zgody

Zgodę na analitykę i marketing można w dowolnym momencie zmienić lub wycofać za pomocą ikony ciasteczka w lewym dolnym rogu strony. Wycofanie zgody powoduje zablokowanie dalszego uruchamiania odrzuconych usług, ale nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

Usunięcie plików cookie zapisanych wcześniej przez podmioty trzecie lub oznaczonych jako HttpOnly może wymagać użycia ustawień przeglądarki. Zablokowanie wszystkich plików cookie może wpłynąć na działanie koszyka, sesji zamówienia lub płatności.

12. Bezpieczeństwo danych

Administrator stosuje środki techniczne i organizacyjne odpowiednie do charakteru przetwarzania oraz związanego z nim ryzyka. Dostęp do danych jest ograniczany do osób i podmiotów, które potrzebują go do realizacji określonych zadań.

13. Zmiany polityki

Polityka może być aktualizowana w przypadku zmiany sposobu działania serwisu, wykorzystywanych usług lub obowiązujących przepisów. Aktualna wersja jest publikowana pod adresem aurasushi.pl/polityka-prywatnosci/.