Polityka prywatności i plików cookies

Obowiązuje od 1 października 2026 r.

1. Kto odpowiada za Twoje dane

1.1. Administratorem Twoich danych osobowych jest BHB Bertsch Holzbau spółka z ograniczoną odpowiedzialnością, ul. Jana Pawła II 29, 33-300 Nowy Sącz, KRS 0000058672, NIP 7342834114, REGON 491983545, właściciel marki Zuluna i sklepu zuluna-shop.pl (dalej: „my”).

1.2. W sprawach danych osobowych napisz na info@zuluna-shop.pl, zadzwoń pod +48 18 444 41 70 albo wyślij list na adres z punktu 1.1. Nie wyznaczyliśmy inspektora ochrony danych.

2. Skąd mamy Twoje dane i jakie to dane

2.1. Dane otrzymujemy od Ciebie, gdy składasz zamówienie, piszesz lub dzwonisz do nas, wysyłasz formularz kontaktowy, zgłaszasz reklamację, odstąpienie od umowy albo sprawę gwarancyjną, zapisujesz się na informacje o promocjach i gdy korzystasz ze strony.

2.2. Przetwarzamy:

• przy zamówieniu: imię i nazwisko, e-mail, telefon, adres dostawy, uwagi do dostawy, a przy fakturze na firmę także nazwę firmy, NIP i adres firmy; zawartość i wartość zamówienia, użyty kod rabatowy oraz Twoje zgody i oświadczenia z datą;
• przy płatności: kwotę, wybraną metodę, status i identyfikatory transakcji w Przelewy24. Nie otrzymujemy danych karty płatniczej ani danych logowania do banku;
• przy dostawie i montażu: ustalenia terminu, informacje o dojeździe i miejscu montażu, protokoły i zdjęcia;
• przy kontakcie: dane z formularza (imię i nazwisko, e-mail, telefon, treść wiadomości) oraz treść korespondencji i notatki z rozmów;
• przy reklamacji, odstąpieniu od umowy i gwarancji: opis sprawy, zdjęcia, korespondencję i dane potrzebne do zwrotu płatności;
• przy korzystaniu ze strony: adres IP, informacje o przeglądarce i urządzeniu, odwiedzane podstrony, źródło wejścia, na przykład identyfikator kliknięcia w reklamę, oraz identyfikatory zapisane w plikach cookies, a po zgodzie „Statystyki” także przebieg wizyty na stronie (punkt 7.3). Zakres tych danych zależy od Twoich ustawień cookies (punkt 7).

2.3. Zawartość koszyka zapisuje się w Twojej przeglądarce i trafia do nas dopiero z zamówieniem. Jeżeli wyrazisz zgodę „Statystyki”, nasz pomiar zapisuje opcje wybierane w konfiguratorze, ich cenę i kroki koszyka (punkt 7.3), bez Twoich danych kontaktowych.

3. Po co przetwarzamy dane, na jakiej podstawie i jak długo

3.1. Zawarcie i wykonanie umowy: przyjęcie zamówienia, płatność, dostawa, montaż, kontakt w sprawie zamówienia, e-maile z potwierdzeniami i SMS z potwierdzeniem płatności. Podstawa: art. 6 ust. 1 lit. b RODO. Okres: dane zamówienia przechowujemy do końca 6. roku kalendarzowego po roku, w którym zrealizowaliśmy zamówienie, a przy sprawie w toku (reklamacja, gwarancja, spór) do jej zakończenia i przedawnienia roszczeń.

3.2. Faktury, księgowość i podatki. Podstawa: art. 6 ust. 1 lit. c RODO w związku z ustawą o podatku od towarów i usług, ustawą o rachunkowości i Ordynacją podatkową. Okres: 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 70 § 1 i art. 86 § 1 Ordynacji podatkowej, art. 74 ustawy o rachunkowości).

3.3. Obsługa odstąpienia od umowy, reklamacji i gwarancji. Podstawa: art. 6 ust. 1 lit. c RODO w związku z ustawą o prawach konsumenta i Kodeksem cywilnym, a przy gwarancji art. 6 ust. 1 lit. b RODO. Okres: do rozpatrzenia sprawy, a potem jak w punkcie 3.4.

3.4. Ustalenie, dochodzenie i obrona roszczeń. Podstawa: art. 6 ust. 1 lit. f RODO, czyli nasz prawnie uzasadniony interes. Okres: do przedawnienia roszczeń; roszczenia konsumentów przedawniają się co do zasady po 6 latach, z końcem roku kalendarzowego (art. 118 Kodeksu cywilnego).

3.5. Odpowiedź na pytania z formularza, e-maili i rozmów telefonicznych. Podstawa: art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes, czyli odpowiedź na Twoje pytanie), a gdy pytasz o zakup, art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy na Twoje żądanie). Okres: 12 miesięcy od ostatniego kontaktu, jeżeli nie dojdzie do umowy; jeżeli dojdzie, jak w punkcie 3.1.

3.6. Informacje o promocjach Zuluny e-mailem. Podstawa: Twoja zgoda na otrzymywanie informacji handlowych e-mailem (art. 398 ustawy Prawo komunikacji elektronicznej) i na przetwarzanie danych w tym celu (art. 6 ust. 1 lit. a RODO). Okres: do wycofania zgody. Informację o tym, kiedy wyraziłeś i wycofałeś zgodę, przechowujemy do przedawnienia roszczeń, żeby móc to wykazać (art. 6 ust. 1 lit. f RODO).

3.7. Statystyki odwiedzin (Google Analytics i nasz własny pomiar korzystania ze strony). Podstawa: Twoja zgoda na cookies „Statystyki” (art. 399 ustawy Prawo komunikacji elektronicznej i art. 6 ust. 1 lit. a RODO). Okres: do wycofania zgody; dane w Google Analytics przechowujemy przez 14 miesięcy, a dane naszego pomiaru 30 dni od wizyty; później zostają tylko zbiorcze zestawienia, z których nie da się nikogo rozpoznać.

3.8. Pomiar skuteczności i dopasowanie reklam (Google Ads, Meta Pixel, Meta Conversions API, konwersje rozszerzone Google). Podstawa: Twoja zgoda na cookies „Reklamy” (art. 399 ustawy Prawo komunikacji elektronicznej i art. 6 ust. 1 lit. a RODO). Okres: do wycofania zgody, a identyfikatory w cookies zgodnie z punktem 7. Meta przechowuje dane o zdarzeniach najdłużej 2 lata. Szczegóły w punktach 5 i 7.

3.9. Bezpieczeństwo i działanie strony: logi serwera, ochrona przed nadużyciami i kopie zapasowe. Podstawa: art. 6 ust. 1 lit. f RODO. Okres: logi serwera WWW do 14 dni, kopie zapasowe bazy do 30 dni (bez danych naszego pomiaru z punktu 7.3).

3.10. Pobranie danych firmy po numerze NIP (punkt 5.1). Podstawa: art. 6 ust. 1 lit. b RODO (działanie na Twoje żądanie przed zawarciem umowy).

3.11. Po upływie tych okresów dane usuwamy albo anonimizujemy.

4. Czy musisz podać dane

4.1. Podanie danych jest dobrowolne. Bez imienia i nazwiska, e-maila, telefonu i adresu dostawy nie możemy jednak przyjąć ani wykonać zamówienia, a bez danych firmy i NIP nie wystawimy faktury na firmę. Bez danych kontaktowych nie odpowiemy na pytanie z formularza. Zgody na promocje i cookies inne niż niezbędne są całkowicie dobrowolne; ich brak nie wpływa na możliwość zakupu.

5. Komu przekazujemy dane

5.1. Twoje dane mogą otrzymać:

• PayPro S.A., ul. Pastelowa 8, 60-198 Poznań, operator Przelewy24: przekazujemy mu numer i kwotę zamówienia, Twój e-mail, imię i nazwisko, telefon i adres, żeby obsłużyć płatność i ewentualny zwrot. PayPro jest odrębnym administratorem tych danych; zasady opisuje w swojej informacji o przetwarzaniu danych płatników;
• Link Mobility Poland sp. z o.o., ul. Toszecka 101, 44-117 Gliwice, operator bramki SMS SMSAPI: po opłaceniu zamówienia przekazujemy mu Twój numer telefonu, imię i numer zamówienia, żeby wysłać SMS z potwierdzeniem płatności. Przetwarza te dane w naszym imieniu, na podstawie umowy powierzenia (art. 28 RODO);
• dostawcy usług informatycznych, którzy działają na nasze zlecenie: firma hostingowa (serwer sklepu i baza danych w Polsce), dostawca poczty e-mail (Polska) oraz wykonawca, który rozwija i utrzymuje sklep i analizuje wyniki naszego pomiaru z punktu 7.3; do tej analizy może korzystać z narzędzi sztucznej inteligencji, którym przekazuje wyłącznie zestawienia bez identyfikatorów. Przetwarzają dane w naszym imieniu, wyłącznie na nasze polecenie i w zakresie potrzebnym do świadczenia tych usług;
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia: po Twojej zgodzie na cookies „Statystyki” lub „Reklamy” w zakresie opisanym w punktach 7.3 i 7.4, a przed decyzją i po odmowie wyłącznie podstawowe informacje opisane w punkcie 7.6. W Google Analytics Google przetwarza dane w naszym imieniu, a w Google Ads (pomiar konwersji, dopasowanie reklam) jako odrębny administrator. Dane z Google Analytics trafiają do połączonego konta Google Ads. Jak Google wykorzystuje dane z witryn, które korzystają z jego usług: policies.google.com/technologies/partner-sites. Mapa na stronie kontaktu łączy się z Google dopiero po jej kliknięciu;
• Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irlandia, wyłącznie jeżeli wyrazisz zgodę na cookies „Reklamy” (szczegóły w punkcie 7.4);
• Szef Krajowej Administracji Skarbowej: gdy przy fakturze na firmę wpiszesz NIP, Twoja przeglądarka pobiera nazwę i adres firmy z publicznego Wykazu podatników VAT (wl-api.mf.gov.pl), a serwer Ministerstwa Finansów otrzymuje wpisany NIP i Twój adres IP. Pobrane dane możesz poprawić przed złożeniem zamówienia;
• podwykonawcy montażu, jeżeli montaż wykonuje podwykonawca, biuro rachunkowe i doradcy podatkowi, jeżeli z nich korzystamy, kancelarie prawne przy sporze, operatorzy pocztowi i banki, w zakresie potrzebnym do wykonania ich zadań;
• organy publiczne, gdy wynika to z przepisów.

5.2. Nie sprzedajemy Twoich danych i nie udostępniamy ich nikomu do jego własnego marketingu.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

6.1. Sklep i jego baza danych działają na serwerze w Polsce. Google i Meta mogą przetwarzać Twoje dane także w Stanach Zjednoczonych (Google LLC, Meta Platforms, Inc.). Podstawą takiego przekazania jest decyzja wykonawcza Komisji (UE) 2023/1795 z 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony danych w ramach EU–U.S. Data Privacy Framework; obie spółki są w nim certyfikowane (wykaz: dataprivacyframework.gov). Gdyby ta podstawa przestała obowiązywać, dostawcy ci stosują standardowe klauzule umowne przyjęte przez Komisję Europejską (decyzja wykonawcza (UE) 2021/914). Kopię tych zabezpieczeń możesz otrzymać od nas na prośbę.

7. Pliki cookies i podobne technologie

7.1. Pliki cookies to niewielkie pliki zapisywane na Twoim urządzeniu. Podobnie działa pamięć przeglądarki (localStorage i sessionStorage). Korzystamy z nich na podstawie art. 399 ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej, a w zakresie danych osobowych także RODO. Niezbędne pliki zapisujemy bez zgody; pozostałe dopiero po Twojej zgodzie w banerze. Pliki możesz też usuwać i blokować w ustawieniach przeglądarki.

7.2. Niezbędne (bez zgody, bo bez nich strona nie zadziała tak, jak chcesz):

• zuluna_consent (nasz plik): zapamiętuje Twój wybór w sprawie cookies, 12 miesięcy;
• zl_order (nasz plik): pozwala pokazać status Twojego zamówienia po powrocie z płatności, 7 dni;
• zuluna_preview_cart_v1 (pamięć przeglądarki): zawartość koszyka, do 30 dni;
• zuluna_discount (pamięć sesji): wpisany kod rabatowy, do zamknięcia karty przeglądarki.

7.3. Statystyki (tylko za zgodą „Statystyki”): Google Analytics zapisuje identyfikatory _ga i _ga_… na 2 lata. Dzięki nim widzimy, ile osób odwiedza stronę i z czego korzysta. Dostęp do tych danych ma Google. Jeżeli złożysz zamówienie z tą zgodą, zapisujemy przy nim te identyfikatory, a po opłaceniu zamówienia nasz serwer przekazuje do Google Analytics informację o zakupie (numer zamówienia, wartość, produkty) razem z nimi, także gdy po płatności nie wrócisz na naszą stronę. Nie przekazujemy przy tym Twojego imienia, e-maila, telefonu ani adresu. Wycofanie zgody „Statystyki” przed opłaceniem zamówienia usuwa te identyfikatory z zamówienia.

Za tą samą zgodą działa nasz własny pomiar korzystania ze strony. Zapisuje: skąd przyszedłeś (strona lub reklama, parametry kampanii), rodzaj i rozmiar ekranu urządzenia, odwiedzane podstrony, które części strony oglądasz i jak długo, jak daleko przewijasz, co klikasz, jakie opcje wybierasz w konfiguratorze i jaka jest ich cena, kroki koszyka i zamówienia (na przykład które pole zacząłeś wypełniać, przy którym pojawił się błąd, jaką metodę płatności wybrałeś i jaki jest status płatności) oraz błędy techniczne strony. Nie zapisuje Twojego adresu IP ani tego, co wpisujesz w pola formularza, i nie nagrywa ekranu. Odsłony łączą losowe numery: zuluna_vid (pamięć przeglądarki, do wycofania zgody, najdłużej 12 miesięcy) i zuluna_sid (pamięć sesji, do zamknięcia karty). Dane trafiają na nasz serwer w Polsce i przechowujemy je 30 dni, a później zostają tylko zbiorcze zestawienia. Korzystamy z nich wyłącznie po to, żeby ulepszać stronę; nie służą do reklam ani do oceny konkretnej osoby.

7.4. Reklamy (tylko za zgodą „Reklamy”):

• Google Ads i Meta Pixel mierzą, czy reklama doprowadziła do wizyty, dodania do koszyka, kontaktu albo zakupu, i pozwalają dopasować, komu wyświetlać nasze reklamy. Zapisują identyfikatory, między innymi _gcl_au i _gcl_aw (Google, 90 dni) oraz _fbp i _fbc (Meta, 90 dni). Dostęp do nich mają Google i Meta;
• zl_gclid, zl_gbraid, zl_wbraid (nasze pliki, 90 dni), zl_attr (pamięć sesji) i zl_purchase_… (pamięć przeglądarki): zapamiętują, z której reklamy przyszedłeś, i pilnują, żeby zakup został policzony tylko raz;
• przez Meta Conversions API nasz serwer przekazuje Meta informacje o tych samych zdarzeniach (na przykład obejrzenie domku, rozpoczęcie zamówienia, zakup i jego wartość) razem z identyfikatorami _fbp i _fbc, adresem IP i informacją o przeglądarce. Przy złożeniu zamówienia i zakupie dołącza Twój e-mail, telefon, imię, nazwisko, miasto, kod pocztowy i kraj, a przy wysłaniu formularza kontaktowego e-mail, telefon i imię. Te dane przekazujemy wyłącznie jako skrót (hash SHA-256), czyli ciąg znaków, z którego nie da się odczytać pierwotnych danych; Meta porównuje go ze skrótami danych swoich użytkowników;
• konwersje rozszerzone Google przekazują w ten sam sposób, jako skrót, e-mail, telefon i adres przy zakupie oraz przy wysłaniu formularza kontaktowego;
• po opłaceniu zamówienia złożonego z tą zgodą nasz serwer przekazuje Google Ads informację o zakupie (numer zamówienia, wartość, czas płatności) razem z identyfikatorem kliknięcia w reklamę Google, jeżeli z niej przyszedłeś, oraz skrótem e-maila i telefonu, a także skrótem imienia i nazwiska z kodem pocztowym i krajem, także gdy po płatności nie wrócisz na naszą stronę.

Jeżeli nie wyrazisz zgody na reklamy, Meta nie otrzymuje od nas żadnych danych, także z serwera. Zdarzenia z okresu, zanim podejmiesz decyzję w banerze, czekają w przeglądarce i trafiają do Meta dopiero po zgodzie; przy odmowie przepadają.

7.5. W zakresie zbierania danych na naszej stronie i przekazywania ich do Meta jesteśmy współadministratorami z Meta Platforms Ireland Limited. Zawarliśmy z Meta porozumienie (Controller Addendum), według którego my odpowiadamy za przekazanie Ci tych informacji, a Meta za realizację Twoich praw z art. 15–20 RODO co do danych, które przechowuje po ich otrzymaniu. Swoje prawa możesz wykonywać wobec nas albo bezpośrednio wobec Meta. Dalsze przetwarzanie danych przez Meta, w tym ich przekazanie do Meta Platforms, Inc. w USA, odbywa się na odpowiedzialność Meta jako odrębnego administratora. Dopasowanie danych kontaktowych i raporty kampanii Meta wykonuje na nasze zlecenie. Dane kontaktowe Meta i jej inspektora ochrony danych, podstawy prawne i sposób wykonywania praw znajdziesz w Polityce prywatności Meta. Z reklam dopasowanych możesz zrezygnować także w ustawieniach reklam Meta i Google (myadcenter.google.com) oraz na stronie youronlinechoices.eu.

7.6. Przed Twoją decyzją i po odmowie skrypt Google (gtag.js) ładuje się na stronie, ale nie zapisuje ani nie odczytuje plików cookies Google. Wysyła wtedy do Google podstawowe informacje o odsłonach i zdarzeniach: czas, typ przeglądarki, adres strony, z której przyszedłeś, Twój wybór w banerze, informację, czy wszedłeś z kliknięcia reklamy Google, i losowy numer odsłony. Google otrzymuje przy tym adres IP. Wykorzystuje te informacje do zbiorczego szacowania ruchu i skuteczności reklam, bez rozpoznawania Cię między wizytami.

7.7. Swój wybór zmienisz albo wycofasz w każdej chwili przez link „Ustawienia cookies” w stopce strony. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, które nastąpiło przed jej wycofaniem.

7.8. Mapa Google na stronie kontaktu łączy się z Google dopiero po kliknięciu „Pokaż mapę Google”. Od tej chwili Google otrzymuje Twój adres IP i może zapisywać własne pliki cookies (na przykład NID na 6 miesięcy) według swoich zasad, jako odrębny administrator.

8. Twoje prawa

8.1. Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO);
• sprostowania danych (art. 16 RODO);
• usunięcia danych (art. 17 RODO);
• ograniczenia przetwarzania (art. 18 RODO);
• przenoszenia danych (art. 20 RODO);
• wycofania zgody w każdej chwili, bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem (art. 7 ust. 3 RODO);
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl, jeżeli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem. Sposoby złożenia skargi opisuje strona UODO.

8.2. Prawo sprzeciwu. W każdej chwili możesz wnieść sprzeciw wobec przetwarzania Twoich danych na podstawie naszego prawnie uzasadnionego interesu (art. 21 RODO), z przyczyn związanych z Twoją szczególną sytuacją. Wtedy przestaniemy je przetwarzać w tym celu, chyba że wykażemy ważne, prawnie uzasadnione podstawy albo dane są nam potrzebne do ustalenia, dochodzenia lub obrony roszczeń.

8.3. Aby skorzystać ze swoich praw, napisz na adres z punktu 1.2. Odpowiemy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; w sprawach złożonych termin może się wydłużyć o kolejne dwa miesiące, o czym Cię poinformujemy. Realizacja praw jest bezpłatna. W razie wątpliwości możemy poprosić o informacje potwierdzające Twoją tożsamość.

9. Profilowanie i decyzje automatyczne

9.1. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Cena w konfiguratorze wynika z cennika i wybranych opcji, jest taka sama dla wszystkich i nie jest dopasowywana indywidualnie.

9.2. Jeżeli wyrazisz zgodę na reklamy, Google i Meta mogą analizować Twoją aktywność, żeby dopasowywać wyświetlane reklamy. Zgodę możesz wycofać w każdej chwili.

9.3. Wyniki naszego własnego pomiaru (punkt 7.3) analizujemy zbiorczo, żeby ulepszać stronę; nie podejmujemy na ich podstawie decyzji wobec konkretnych osób.

10. Bezpieczeństwo

10.1. Połączenie ze stroną jest szyfrowane (HTTPS). Dostęp do danych zamówień mają wyłącznie upoważnione osoby. Dane karty płatniczej i logowania do banku obsługuje wyłącznie Przelewy24; nie mamy do nich dostępu. Dane naszego pomiaru nie zawierają adresu IP ani treści formularzy, a baza danych jest dostępna wyłącznie z serwera sklepu.

11. Zmiany polityki

11.1. Politykę aktualizujemy, gdy zmieniają się przepisy, nasze usługi albo używane narzędzia. Aktualna wersja jest zawsze na tej stronie, z datą wejścia w życie.

11.2. Polityka obowiązuje od 1 października 2026 r. Poprzednia wersja obowiązywała od 29 września 2026 r.