Polityka prywatności

1. Administrator danych

Administratorem Twoich danych osobowych jest MOISS sp. z o.o. z siedzibą we Wrocławiu, ul. Stanisława Leszczyńskiego 4/25, 50-078 Wrocław, KRS 0001254975, NIP 8971976015, REGON 545269929 („my”). W sprawach danych osobowych napisz do nas na contact@velmois.com albo na adres siedziby.

Nie wyznaczyliśmy inspektora ochrony danych, ponieważ przepisy nas do tego nie zobowiązują.

2. Najważniejsze w skrócie

• Zbieramy tylko dane potrzebne do działania Serwisu, Konta i realizacji zamówień.
• Nie używamy zewnętrznych narzędzi analitycznych ani cookies reklamowych i nie sprzedajemy danych. Statystyki sklepu liczymy sami, na naszym serwerze, bez cookies i bez zapisywania, kto co oglądał.
• Serwis działa na serwerze w Polsce, którym zarządzamy sami, bez zewnętrznego hostingu. Emaile wysyłamy przez Scaleway z serwerów we Francji, a zaszyfrowane kopie zapasowe bazy danych przechowujemy w Scaleway w Warszawie.
• Dane Konta przechowujemy do jego usunięcia, a dane zamówień – przez okres wymagany przepisami podatkowymi i przedawnienia roszczeń. Dane techniczne usuwamy automatycznie po czasie podanym w punkcie 3.

3. Cele, podstawy prawne i okresy przechowywania

Cel	Dane	Podstawa prawna	Jak długo
Rejestracja adresem email – do czasu aktywacji Konta	adres email, imię i nazwisko, skrót hasła, język, wersja zaakceptowanego Regulaminu, czas rejestracji	art. 6 ust. 1 lit. b RODO – działania na Twoje żądanie przed zawarciem umowy	do aktywacji Konta, najdłużej 24 godziny od wysłania ostatniego linku aktywacyjnego; usuwamy je w ciągu godziny od upływu tego czasu
Prowadzenie Konta	adres email, imię i nazwisko, skrót hasła (samego hasła nie znamy), język, identyfikator konta Google (jeśli logujesz się przez Google), wersja i czas akceptacji Regulaminu	art. 6 ust. 1 lit. b RODO – wykonanie umowy o prowadzenie Konta	do usunięcia Konta
Książka adresowa w Koncie	imię, nazwisko, nazwa firmy (opcjonalnie), telefon, adres	art. 6 ust. 1 lit. b RODO	do usunięcia adresu albo Konta
Wiadomości związane z Kontem: link aktywacyjny, ustawienie nowego hasła, zmiana adresu email, powiadomienia o zmianie hasła i adresu email	adres email, język	art. 6 ust. 1 lit. b RODO	linki są jednorazowe i wygasają po 1 godzinie (nowe hasło) albo 24 godzinach (aktywacja, zmiana adresu); usuwamy je w ciągu godziny od wygaśnięcia; treść wiadomości przechowujemy tylko do jej wysłania, a zapis o wysłaniu (adres, rodzaj wiadomości, czas) usuwamy po 30 dniach
Informacja o próbie rejestracji na adres, który ma już Konto	adres email	art. 6 ust. 1 lit. f RODO – nasz prawnie uzasadniony interes: ochrona posiadacza Konta	zapis o wysłaniu (adres, rodzaj wiadomości, czas) usuwamy po 30 dniach
Utrzymanie zalogowania	identyfikator sesji (w bazie tylko jego skrót), nazwa przeglądarki i systemu (user-agent), czas wygaśnięcia sesji	art. 6 ust. 1 lit. b RODO; w zakresie nazwy przeglądarki – art. 6 ust. 1 lit. f RODO (bezpieczeństwo Konta)	do wylogowania, zmiany lub ustawienia nowego hasła albo wygaśnięcia sesji – najpóźniej 30 dni po ostatnim użyciu; usuwamy je w ciągu godziny od wygaśnięcia
Koszyk	zawartość koszyka i wpisany kod rabatowy; bez Konta – identyfikator koszyka z pliku cookie (w bazie tylko jego skrót), z Kontem – identyfikator Konta; czas ostatniej zmiany	art. 6 ust. 1 lit. b RODO – wykonanie umowy o prowadzenie koszyka	koszyk bez Konta: 30 dni od ostatniej zmiany, usuwamy go w ciągu godziny od upływu tego czasu albo od razu po zalogowaniu (jego zawartość przenosimy do koszyka Konta); koszyk Konta: do złożenia zamówienia, usunięcia produktów albo usunięcia Konta
Zawarcie i wykonanie umowy sprzedaży: zamówienie, płatność, dostawa, strona zamówienia	adres email, telefon, imię i nazwisko, adres, nazwa firmy i NIP (jeśli chcesz fakturę), kod i adres Paczkomatu, zamówione produkty, ceny i rabaty (z użytym kodem rabatowym; limit użyć kodu na klienta sprawdzamy po adresie email zamówień), sposób dostawy i płatności, numer przesyłki i jej stan w InPost, wersja zaakceptowanego Regulaminu sprzedaży, czas zamówienia, identyfikator Konta (jeśli zamawiasz zalogowany), przebieg realizacji zamówienia, zwroty płatności i notatki naszej obsługi, wiadomości o zamówieniu (potwierdzenie z regulaminem sprzedaży i formularzem odstąpienia, wysyłka, anulowanie, zwrot) i zapis ich wysłania; dane zamówienia trafiają też w wiadomości do naszej skrzynki (nowe zamówienie, problem z płatnością)	art. 6 ust. 1 lit. b RODO – działania przed zawarciem umowy i jej wykonanie	zamówienie nieopłacone w terminie: usuwamy je 7 dni po upływie terminu płatności; zamówienie opłacone: 6 lat od końca roku, w którym zostało zrealizowane (okres przedawnienia roszczeń, art. 118 Kodeksu cywilnego – art. 6 ust. 1 lit. f RODO), potem je anonimizujemy
Doręczenie przesyłki innej osobie, gdy wskażesz ją jako odbiorcę przesyłki kurierskiej	imię i nazwisko, telefon i adres odbiorcy	art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes nasz i kupującego w doręczeniu zamówienia wskazanej osobie	tak jak dane zamówienia, do którego należą
Paragony, faktury i dokumentacja księgowa	dane z zamówienia potrzebne do dokumentu: imię i nazwisko albo nazwa firmy, adres, NIP, produkty i kwoty	art. 6 ust. 1 lit. c RODO – obowiązki z ustawy o VAT i ustawy o rachunkowości	5 lat od końca roku, w którym upłynął termin płatności podatku
Blokada adresów, na które nie wysyłamy wiadomości	adres email, zgłoszenie Scaleway, że skrzynka nie istnieje, czas zgłoszenia	art. 6 ust. 1 lit. f RODO – nasz prawnie uzasadniony interes: niewysyłanie wiadomości, które nie dotrą, i ochrona doręczalności naszych wiadomości	do odblokowania adresu (np. na Twoją prośbę), najdłużej 3 lata od zgłoszenia
Odstąpienie od umowy i reklamacje	dane z zamówienia, treść zgłoszenia i odpowiedzi	art. 6 ust. 1 lit. c RODO – obowiązki z ustawy o prawach konsumenta i Kodeksu cywilnego	tak jak dane opłaconego zamówienia
Ochrona przed nadużyciami (limity prób logowania, rejestracji, ustawiania hasła i zmian w Koncie, liczby wyszukiwań, tworzenia koszyków i składania zamówień)	adres IP, adres email wpisany w formularzu, identyfikator Konta, liczba prób	art. 6 ust. 1 lit. f RODO – bezpieczeństwo Serwisu i Kont	do 25 godzin
Kopie zapasowe bazy danych	wszystkie dane osobowe zapisane w bazie danych Serwisu, wymienione wyżej, jako zaszyfrowana kopia	art. 6 ust. 1 lit. f RODO – nasz prawnie uzasadniony interes: ochrona danych przed utratą i przywrócenie działania Serwisu po awarii; to także środek bezpieczeństwa, którego wymaga art. 32 RODO	30 dni od wykonania kopii; Scaleway usuwa ją w ciągu kolejnych 2 dni
Logi serwera	adres IP, data i czas, adres strony, kod odpowiedzi, rozmiar odpowiedzi, adres strony odsyłającej, nazwa przeglądarki i systemu	art. 6 ust. 1 lit. f RODO – bezpieczeństwo Serwisu, wykrywanie ataków i usuwanie błędów	30 dni
Statystyki sklepu: ile razy danego dnia oglądano każdy produkt i każdą kolekcję, dodano produkt do koszyka, złożono zamówienie i kliknięto przycisk na stronie głównej, oraz jakie frazy wpisano w wyszukiwarce (ile razy i czy coś znalazły); najczęstsze frazy, których każde słowo znalazło produkty (co najmniej 3 razy w ciągu 30 dni), pokazujemy innym odwiedzającym w wyszukiwarce jako „Często wyszukiwane”	wyłącznie dzienne sumy, bez adresu IP, cookies ani żadnego identyfikatora, więc nie wiemy, kto co oglądał ani kto wpisał daną frazę; frazę zapisujemy małymi literami, tak jak ją wpiszesz, dlatego nie wpisuj w wyszukiwarkę swoich danych; nazwę przeglądarki i adres poprzedniej strony sprawdzamy tylko po to, by nie liczyć robotów ani ponownego pokazania tej samej strony, i nie zapisujemy ich; nie liczymy wizyt ani zamówień administratorów	art. 6 ust. 1 lit. f RODO – nasz prawnie uzasadniony interes: ulepszanie oferty i Serwisu	25 miesięcy od dnia, którego dotyczą; usuwamy je w ciągu godziny od upływu tego czasu
Korespondencja z nami	adres email, treść wiadomości i dane, które w niej podasz	art. 6 ust. 1 lit. f RODO – odpowiedź na Twoją wiadomość; jeśli dotyczy Konta – art. 6 ust. 1 lit. b RODO	3 lata od zakończenia sprawy, a jeśli w tym czasie pojawi się związane z nią roszczenie – do zakończenia sporu
Ustalenie, dochodzenie lub obrona roszczeń	dane potrzebne w danym sporze	art. 6 ust. 1 lit. f RODO	do zakończenia sporu

Usunięcie Konta usuwa od razu wszystkie dane zapisane w Koncie: sesje, adresy, koszyk, niewykorzystane linki i powiązanie z kontem Google. Złożonych zamówień nie usuwamy razem z Kontem: przechowujemy je przez okresy podane wyżej, bez powiązania z usuniętym Kontem. Dane usuniętego Konta pozostają jeszcze w zaszyfrowanych kopiach zapasowych bazy danych, aż kopie te zostaną usunięte (najpóźniej po 32 dniach, punkt 3); gdybyśmy w tym czasie musieli odtworzyć bazę z kopii, usuniemy je ponownie.

4. Czy musisz podać dane

Podanie adresu email, imienia i nazwiska oraz hasła (albo zalogowanie przez Google) i akceptacja Regulaminu są warunkiem założenia Konta. Bez nich nie możemy go założyć. Zapisywanie adresów jest dobrowolne. Dane w formularzu zamówienia są potrzebne do zawarcia i wykonania umowy sprzedaży oraz wystawienia paragonu; bez nich nie możemy przyjąć zamówienia. Nazwę firmy i NIP podajesz tylko wtedy, gdy chcesz fakturę. Polski numer telefonu jest potrzebny InPost do powiadomień o przesyłce, w tym do wysłania kodu odbioru z Paczkomatu. Adres IP i dane przeglądarki trafiają do nas automatycznie, bo bez nich nie da się wyświetlić strony.

Jeśli wysyłasz zamówienie innej osobie, jej dane otrzymujemy od Ciebie, a nie od niej. Podaj tylko imię i nazwisko, telefon i adres potrzebne do doręczenia i przekaż odbiorcy, że znajdzie te informacje w niniejszej polityce. Odbiorcy przysługują prawa opisane w punkcie 8, w tym prawo sprzeciwu.

5. Dane z Google

Jeśli logujesz się przez Google, Google przekazuje nam identyfikator Twojego konta Google, zweryfikowany adres email oraz imię i nazwisko. Przekazuje też adres zdjęcia profilowego, którego nie zapisujemy. Nie otrzymujemy Twojego hasła do Google ani dostępu do innych danych z konta Google.

6. Komu przekazujemy dane

1. Scaleway SAS (Paryż) – wysyła w naszym imieniu emaile z Serwisu z serwerów we Francji (Scaleway Transactional Email). Przetwarza adres email i treść wiadomości wyłącznie w celu jej doręczenia. Treść wiadomości usuwa po jej doręczeniu, a zapis wysyłki (odbiorca, temat, czas i stan) przechowuje, dopóki nasza domena nadawcza jest u niego aktywna. Adresy, których skrzynka nie istnieje albo jest pełna, przechowuje na liście zablokowanych adresów, żeby nie wysyłać na nie wiadomości: za pierwszym razem przez tydzień, za drugim przez miesiąc, a od trzeciego bez ograniczenia czasu. O skrzynce, która nie istnieje, informuje nas, abyśmy sami przestali na nią pisać (punkt 3). Przechowuje też w Warszawie (Scaleway Object Storage) nasze kopie zapasowe bazy danych (punkt 3); szyfrujemy je na naszym serwerze kluczem, którego Scaleway nie ma, więc nie może ich odczytać.
2. Google Ireland Limited (Irlandia):
   1. obsługuje naszą skrzynkę email (Google Workspace), więc przetwarza w naszym imieniu korespondencję z nami;
   2. przy logowaniu przez Google działa jako odrębny administrator danych Twojego konta Google. Gdy na stronie logowania albo rejestracji klikniesz „Kontynuuj z Google”, przekierujemy Cię na stronę logowania Google, a po zalogowaniu Google odeśle Cię z powrotem do Serwisu. Na swojej stronie Google otrzymuje Twój adres IP i informacje o przeglądarce i używa własnych plików cookies. Na stronach Serwisu nie ładujemy żadnych skryptów Google. Zasady przetwarzania tych danych opisuje polityka prywatności Google.
3. PayPro S.A. (Poznań), operator serwisu Przelewy24 – obsługuje płatności za zamówienia. Otrzymuje adres email, imię i nazwisko, numer i kwotę zamówienia, adres strony zamówienia, na którą wracasz po płatności, oraz dane potrzebne do wybranej metody płatności, a przy płatności przez PayPo także adres. Jako instytucja płatnicza przetwarza je jako odrębny administrator, na zasadach opisanych w polityce prywatności Przelewy24. Przy płatności przez PayPo dane te otrzymuje też PayPo sp. z o.o. (Warszawa), a przy płatności na raty dane podajesz dostawcy rat, który wybierzesz; oboje przetwarzają je jako odrębni administratorzy, aby zawrzeć i wykonać umowę z Tobą, na zasadach swoich polityk prywatności.
4. InPost sp. z o.o. (Kraków):
   1. doręcza przesyłki. Otrzymuje imię i nazwisko i telefon odbiorcy (Twoje albo osoby, którą wskażesz), Twój adres email, adres dostawy albo kod Paczkomatu, numer zamówienia i zadeklarowaną wartość przesyłki. Jako operator pocztowy przetwarza je jako odrębny administrator, na zasadach opisanych w polityce prywatności InPost;
   2. udostępnia w kasie mapę Paczkomatów. Gdy ją otworzysz, przeglądarka pobiera skrypt mapy z serwerów InPost, a sama mapa działa w osobnej ramce InPost, do której nie mamy dostępu. InPost otrzymuje wtedy Twój adres IP, informacje o przeglądarce i to, czego szukasz na mapie, a jeśli klikniesz przycisk lokalizacji i zgodzisz się na to w przeglądarce – także Twoje położenie. Przetwarza je jako odrębny administrator; nam przekazuje tylko kod wybranego punktu.
5. Doradcy prawni i księgowi – gdy jest to potrzebne. Są związani tajemnicą zawodową albo umową powierzenia.
6. Organy publiczne – wyłącznie wtedy, gdy wymaga tego prawo, w tym organy podatkowe.

Nie korzystamy z zewnętrznego hostingu, zewnętrznych czcionek, zewnętrznych narzędzi analitycznych ani sieci reklamowych. Jedynym zewnętrznym skryptem w Serwisie jest mapa Paczkomatów InPost w kasie (ust. 4 pkt 2).

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Google należy do grupy z siedzibą w Stanach Zjednoczonych, więc mimo przechowywania danych w UE nie można wykluczyć dostępu do nich z USA (np. w ramach wsparcia technicznego). Taki transfer odbywa się na podstawie decyzji Komisji Europejskiej z 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework, w którym Google uczestniczy, a w pozostałym zakresie – na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską. Na prośbę przekażemy informacje o tych zabezpieczeniach.

8. Twoje prawa

Masz prawo:

1. dostępu do swoich danych i otrzymania ich kopii;
2. sprostowania danych – imię i nazwisko, adres email i adresy zmienisz też sam w Koncie;
3. usunięcia danych;
4. ograniczenia przetwarzania;
5. przeniesienia danych, które przetwarzamy w celu wykonania umowy;
6. sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie – z przyczyn związanych z Twoją szczególną sytuacją;
7. wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Aby skorzystać z praw, napisz na contact@velmois.com, najlepiej z adresu email Konta. Odpowiadamy w ciągu miesiąca. Jeśli nie będziemy pewni, że prośba pochodzi od Ciebie, poprosimy o potwierdzenie tożsamości.

Nie przetwarzamy danych na podstawie zgody. Nie profilujemy Cię i nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Tymczasowe zablokowanie kolejnych prób logowania po przekroczeniu limitu (punkt 3) jest zabezpieczeniem, a nie taką decyzją.

9. Bezpieczeństwo

Połączenie z Serwisem jest szyfrowane (HTTPS). Hasła przechowujemy wyłącznie w postaci skrótu (Argon2id), a identyfikatory sesji i koszyków oraz linki wysyłane emailem – w postaci skrótu SHA-256. Linki są jednorazowe i krótko ważne. Link do strony zamówienia zawiera losowy ciąg 43 znaków, którego nie da się odgadnąć; sam numer zamówienia jej nie otwiera. Baza danych nie jest dostępna z Internetu, a dostęp do serwera mają wyłącznie upoważnione osoby.

10. Pliki cookies

Pliki cookies to małe pliki tekstowe, które strona zapisuje w przeglądarce. Serwis zapisuje wyłącznie własne pliki cookies, wszystkie niezbędne do działania usługi:

Nazwa	Cel	Kiedy powstaje	Ważność
__Host-session	utrzymuje zalogowanie do Konta	po zalogowaniu	30 dni, odnawiana przy korzystaniu z Serwisu; usuwamy ją przy wylogowaniu
locale	zapamiętuje język Serwisu	gdy zmienisz język albo otworzysz stronę w języku innym niż język przeglądarki	1 rok
__Host-cart	wskazuje Twój koszyk, gdy nie jesteś zalogowany (zawiera losowy identyfikator)	gdy dodasz produkt do koszyka bez logowania	30 dni od ostatniej zmiany koszyka; usuwamy ją po zalogowaniu
__Host-google-signin	zabezpiecza logowanie przez Google (po powrocie z Google sprawdzamy zapisany w nim losowy kod) i zapamiętuje, na którą stronę Serwisu wrócić, w jakim języku i czy Regulamin został zaakceptowany	gdy klikniesz „Kontynuuj z Google”	10 minut; usuwamy ją po powrocie z Google

Wszystkie służą wyłącznie do świadczenia usługi, o którą prosisz, dlatego na podstawie art. 399 ust. 3 ustawy – Prawo komunikacji elektronicznej nie wymagają zgody. Nie używamy cookies analitycznych, reklamowych ani cookies serwisów społecznościowych, dlatego Serwis nie wyświetla banera zgody. Statystyki sklepu (punkt 3) nie korzystają z cookies ani pamięci przeglądarki: liczy je nasz serwer z żądań, które przeglądarka i tak wysyła, aby wyświetlić stronę. Jeśli kiedyś zaczniemy ich używać, najpierw poprosimy Cię o zgodę i zaktualizujemy tę politykę.

Na swojej stronie logowania Google używa własnych plików cookies (punkt 6 ust. 2). Opisuje je polityka Google dotycząca cookies.

Mapa Paczkomatów InPost w kasie (punkt 6 ust. 4 pkt 2) zapisuje w pamięci przeglądarki, w domenie InPost, język wybrany na mapie (geo-lang). Służy to wyłącznie wyświetleniu mapy, o które prosisz, dlatego nie wymaga zgody.

Pliki cookies możesz przeglądać i usuwać w ustawieniach przeglądarki. Jeśli zablokujesz plik __Host-session, nie zalogujesz się do Konta, a jeśli __Host-cart – bez logowania nie dodasz produktów do koszyka.

11. Zmiany polityki prywatności

Każda wersja polityki ma datę, od której obowiązuje. O istotnych zmianach informujemy posiadaczy Kont emailem, zanim wejdą w życie.