POLITYKA PRYWATNOŚCI I PLIKÓW COOKIES GSG

§ 1. Informacje ogólne

1. Niniejsza Polityka prywatności wyjaśnia zasady przetwarzania danych osobowych osób korzystających z hurtowni internetowej GSG („Sklep”), reprezentantów i pracowników kontrahentów oraz osób kontaktujących się z GSG.

2. Sklep jest przeznaczony dla przedsiębiorców dokonujących zakupów w celu dalszej odsprzedaży. Polityka dotyczy danych osób fizycznych, także wtedy, gdy działają w imieniu spółki lub innego przedsiębiorcy.

3. Polityka opisuje również zasady korzystania z plików cookies i podobnych technologii. Nie zastępuje regulaminu sprzedaży.

§ 2. Administrator danych i kontakt

1. Administratorem danych osobowych jest GSG sp. z o.o. z siedzibą we Wronowicach, ul. Ziołowa 24, 98-100 Wronowice, KRS 0001135496, NIP PL 6372227944 („Administrator”, „GSG”).

2. W sprawach dotyczących danych osobowych można kontaktować się z GSG pod firmowym adresem e-mail info@gsgshop.com lub listownie na adres siedziby.

§ 3. Jakie dane przetwarzamy i skąd je otrzymujemy

1. Przy rejestracji i weryfikacji konta firmowego przetwarzamy obowiązkowo imię i nazwisko osoby kontaktowej, numer telefonu i adres e-mail oraz dane przedsiębiorcy, w tym nazwę, adres i numer NIP/VAT UE. Możemy też przetwarzać dane osób upoważnionych oraz informacje niezbędne do ręcznej weryfikacji działalności. Każde konto zatwierdza upoważniona osoba z GSG; samo przesłanie formularza nie daje dostępu do zakupów.

2. Przy zamówieniach i obsłudze współpracy przetwarzamy dane zamówień, dostaw, płatności, faktur, korespondencji i reklamacji, w tym zdjęcia wadliwych produktów przekazane przez klienta.

3. Przy korzystaniu ze strony możemy przetwarzać dane techniczne, takie jak adres IP, identyfikatory sesji, informacje o urządzeniu i przeglądarce, logi bezpieczeństwa oraz dane o korzystaniu z funkcji Sklepu.

4. Dane otrzymujemy bezpośrednio od użytkownika lub kontrahenta, a w uzasadnionych przypadkach z publicznych rejestrów przedsiębiorców, od podmiotu reprezentowanego przez użytkownika lub od usługodawców uczestniczących w realizacji transakcji.

§ 4. Cele i podstawy prawne

1. Rejestracja konta, jego weryfikacja, logowanie, obsługa zamówień i kontakt związany z zakupami: art. 6 ust. 1 lit. b RODO, gdy osoba jest stroną umowy, lub art. 6 ust. 1 lit. f RODO, gdy działa jako przedstawiciel albo pracownik kontrahenta; uzasadnionym interesem jest prowadzenie relacji handlowych i weryfikacja uprawnień.

2. Wystawianie i przechowywanie dokumentów księgowych, rozliczenia podatkowe i obowiązki prawne: art. 6 ust. 1 lit. c RODO.

3. Obsługa reklamacji, kontakt dotyczący jakości produktów, zabezpieczenie, dochodzenie lub obrona roszczeń: odpowiednio art. 6 ust. 1 lit. b, c lub f RODO, zależnie od sytuacji.

4. Ochrona Sklepu, wykrywanie nadużyć, bezpieczeństwo kont i prowadzenie logów technicznych: art. 6 ust. 1 lit. f RODO, tj. uzasadniony interes Administratora polegający na zapewnieniu bezpieczeństwa usług.

5. Analityka wykorzystująca niekonieczne pliki cookies lub podobne identyfikatory: zgoda na ich użycie zgodnie z prawem komunikacji elektronicznej; gdy na tej podstawie dochodzi do przetwarzania danych osobowych, właściwa podstawa RODO jest określana w zależności od konfiguracji narzędzia, w szczególności zgoda (art. 6 ust. 1 lit. a).

6. Newsletter, oferty handlowe i marketing elektroniczny: na podstawie wymaganej zgody na kanał komunikacji, a w zakresie danych osobowych - na odpowiedniej podstawie RODO, w szczególności art. 6 ust. 1 lit. a lub f, zależnie od rodzaju komunikacji i jej odbiorcy. Zgody marketingowe są dobrowolne i niezależne od rejestracji konta.

§ 5. Odbiorcy danych

1. W zakresie niezbędnym do świadczenia usług dane mogą otrzymywać: Hetzner (hosting, pliki i kopie zapasowe w Niemczech), Brevo (wiadomości e-mail), Fakturownia (faktury i obsługa przekazywania danych do KSeF), Stripe i PayPal (obsługa płatności), DPD i InPost (dostawy), a także UPS, jeżeli zostanie uruchomiona integracja przekazująca dane przesyłek. Przy dostawach międzynarodowych adres i dane konieczne do doręczenia mogą otrzymywać lokalni partnerzy przewoźników. Google Analytics 4 otrzymuje dane analityczne dopiero po wyrażeniu wymaganej zgody. W odpowiednim zakresie odbiorcami mogą być także uprawnione organy publiczne.

2. Dane identyfikacyjne przedsiębiorcy, w tym NIP i VAT UE, mogą być weryfikowane w VIES oraz wykazie podatników VAT Ministerstwa Finansów. W standardowym procesie zamawiania u hurtowni przekazywane są produkty i ilości, bez danych osobowych klientów. W zakresie niezbędnym do obsługi reklamacji dane mogą być udostępniane właściwemu dostawcy lub serwisowi, jeżeli okaże się to konieczne i zgodne z prawem.

3. Dostawcy mogą działać jako podmioty przetwarzające lub odrębni administratorzy danych, zależnie od usługi. Według aktualnej konfiguracji Google Search Console, OVH (obsługa domeny i DNS), monitoring dostępności strony, narzędzie tłumaczeniowe Anthropic (otrzymujące wyłącznie opisy produktów) oraz GitHub (kod sklepu) nie otrzymują danych osobowych klientów. Stan ten podlega ponownej ocenie przy zmianie konfiguracji lub dostępu do systemów.

§ 6. Przekazywanie danych poza EOG

1. Podstawowa infrastruktura sklepu i kopie zapasowe są planowane w centrum danych Hetzner w Niemczech. Brevo i Fakturownia deklarują przechowywanie danych w UE. Mimo europejskiej lokalizacji usług niektóre operacje dostawców, w tym Stripe Payments Europe, Google Ireland i PayPal Europe, mogą wiązać się z dostępem lub transferem danych poza EOG, w szczególności do USA.

2. Jeżeli następuje przekazanie danych poza EOG, Administrator stosuje właściwy mechanizm zgodny z rozdziałem V RODO, np. decyzję o odpowiednim stopniu ochrony (w tym EU-US Data Privacy Framework wyłącznie dla objętego nią certyfikowanego odbiorcy), standardowe klauzule umowne albo zatwierdzone wiążące reguły korporacyjne, o ile mają zastosowanie do danego transferu. Szczegóły mechanizmów i zabezpieczeń można uzyskać kontaktując się z Administratorem.

§ 7. Okresy przechowywania danych

1. Dane konta przechowujemy przez okres korzystania z konta, a po jego zamknięciu jedynie tak długo, jak jest to niezbędne do wykonania obowiązków prawnych, rozliczeń lub dochodzenia i obrony roszczeń.

2. Dokumentację księgową, podatkową oraz dokumentację reklamacji przechowujemy przez okresy wymagane prawem lub uzasadnione dochodzeniem i obroną roszczeń. Zdjęcia i inne dodatkowe załączniki reklamacyjne są automatycznie usuwane po 12 miesiącach od zamknięcia reklamacji, z zastrzeżeniem konieczności dłuższego zachowania w konkretnym przypadku. Zgłoszenie i korespondencja pozostają przez właściwy dla nich okres. Załączniki usunięte z systemu operacyjnego znikają z rotacyjnych kopii zapasowych najpóźniej po około 3 miesiącach.

3. Dane przetwarzane na podstawie zgody przechowujemy do jej wycofania lub zakończenia celu, chyba że istnieje odrębna podstawa dalszego przechowywania. Logi serwera i aplikacji przechowujemy standardowo przez 30 dni; w uzasadnionych przypadkach związanych np. z incydentem bezpieczeństwa mogą być zabezpieczone dłużej, co do zasady do 90 dni, a gdy jest to konieczne do obsługi roszczeń lub obowiązków prawnych - przez wymagany okres. Rotacyjne kopie zapasowe przechowujemy do 3 miesięcy.

§ 8. Prawa osób, których dane dotyczą

1. W granicach określonych w RODO osobie przysługuje prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie.

2. Jeśli przetwarzanie odbywa się na podstawie zgody, można ją wycofać w dowolnym momencie bez wpływu na zgodność z prawem wcześniejszego przetwarzania.

3. Osoba ma prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl). Żądania dotyczące danych można kierować na adres wskazany w § 2.

§ 9. Dobrowolność podania danych

1. Podanie danych wymaganych do utworzenia konta, weryfikacji kontrahenta i realizacji zamówienia jest dobrowolne, ale ich brak może uniemożliwić skorzystanie z danej usługi lub zawarcie i wykonanie umowy.

2. Podanie danych na potrzeby marketingu oraz udzielenie zgód na niekonieczne cookies nie jest warunkiem zakupu.

§ 10. Cookies i technologie podobne

1. Sklep wykorzystuje niezbędne cookies i podobne technologie do działania konta, koszyka, sesji logowania i zabezpieczeń. Korzystanie z takich technologii może nie wymagać zgody, jeśli spełniają przesłanki ustawowego wyjątku.

2. Opcjonalne technologie analityczne i marketingowe uruchamiane są dopiero po uzyskaniu właściwej zgody. Odmowa nie może uniemożliwiać korzystania z podstawowych funkcji Sklepu. Na start nie są wdrażane narzędzia marketingowe wykorzystujące takie technologie.

3. Baner cookies umożliwia zaakceptowanie wszystkich cookies, odrzucenie opcjonalnych lub wybór kategorii: niezbędne, analityczne i marketingowe. Zgody można później zmienić lub wycofać przez link „Ustawienia cookies” w stopce Sklepu.

4. Szczegółowy wykaz rzeczywiście używanych cookies, wraz z nazwami, dostawcami, celami i okresami działania, zostanie przygotowany po uruchomieniu wersji testowej i udostępniony przed publicznym uruchomieniem Sklepu.

§ 11. Narzędzia analityczne, marketingowe i komunikacja

1. Sklep korzysta z Google Analytics 4 do analizy korzystania z witryny. GA4 nie jest ładowany przed wyrażeniem zgody na analitykę; stosowany jest Google Consent Mode v2 w trybie podstawowym (basic). Przed uzyskaniem zgody nie są uruchamiane tagi analityczne GA4. Każde przyszłe narzędzie marketingowe wymagające zgody zostanie uruchomione dopiero po jej uzyskaniu.

2. Wiadomości o nowościach, promocjach i ofertach GSG będą wysyłane wyłącznie zarejestrowanym klientom, którzy wyrazili dobrowolną zgodę na marketing e-mailowy. Zgoda nie jest warunkiem rejestracji ani zakupu. Każda wiadomość marketingowa zawiera link „Wypisz się”, którego użycie powoduje zaprzestanie takiej wysyłki. Dla celów wykazania zgodności można zachować minimalny zapis udzielenia lub wycofania zgody.

3. Komunikaty niezbędne do obsługi konta i zamówienia (np. potwierdzenie rejestracji, status zamówienia, faktura, informacja o reklamacji) nie są automatycznie traktowane jako newsletter marketingowy.

§ 12. Zautomatyzowane decyzje i profilowanie

1. Decyzja o zatwierdzeniu konta klienta jest podejmowana przez upoważnioną osobę GSG, a nie wyłącznie automatycznie. Na etapie przygotowania polityki nie przewiduje się decyzji opartych wyłącznie na automatycznym przetwarzaniu wywołujących skutki określone w art. 22 RODO; stan ten należy zweryfikować przed uruchomieniem sklepu.

2. Samo dopasowywanie treści strony, języka lub waluty nie musi oznaczać profilowania w rozumieniu art. 22 RODO. Na dzień publikacji polityki Sklep nie stosuje personalizacji marketingowej.

§ 13. Bezpieczeństwo danych

1. GSG stosuje odpowiednie do ryzyka środki techniczne i organizacyjne ochrony danych, w szczególności kontrolę dostępu, zabezpieczenie kont, kopie zapasowe i szyfrowanie transmisji, w zakresie wdrożonym w Sklepie.

2. Użytkownik powinien chronić swoje dane logowania i nie udostępniać ich osobom nieupoważnionym. Podejrzenie nieuprawnionego dostępu należy zgłosić GSG.

§ 14. Zmiany polityki i wersje językowe

1. Polityka może być aktualizowana w razie zmiany przepisów, procesów biznesowych lub narzędzi wykorzystywanych przez GSG. Aktualna wersja wraz z datą obowiązywania będzie udostępniana na stronie Sklepu.

2. Polityka może być udostępniana w różnych językach. W razie rozbieżności między tłumaczeniami pierwszeństwo ma wersja polska, o ile przepisy bezwzględnie obowiązujące nie stanowią inaczej.

3. Data wejścia w życie: 13.11.2026.