Polityka prywatności

Stan na: 27 października 2026 r.

Niniejsza polityka prywatności opisuje, w jaki sposób NordWell Group AB („TwojaOrtopedia”, „Administrator”) przetwarza dane osobowe osób, które odwiedzają stronę twojaortopedia.pl, dokonują zakupów lub w inny sposób kontaktują się z Administratorem. Dane osobowe są przetwarzane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. („RODO”) oraz uzupełniającymi je przepisami szwedzkimi (Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning). W zakresie przechowywania informacji i uzyskiwania dostępu do informacji przechowywanych w urządzeniu końcowym użytkownika (np. plików cookies) Administrator stosuje ustawę z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej („PKE”).

1. Administrator danych osobowych

NordWell Group AB (szwedzka spółka akcyjna, aktiebolag)
Numer rejestrowy (organisationsnummer, Szwecja): 559318-8914
Adres: Blästergatan 21, 462 73 Vänersborg, Szwecja
Osoba uprawniona do reprezentacji (verkställande direktör): Felix Mattisson
E-mail: support@twojaortopedia.pl

NordWell Group AB jest administratorem danych osobowych w rozumieniu art. 4 pkt 7 RODO.

Administrator nie wyznaczył inspektora ochrony danych. Pytania dotyczące przetwarzania danych osobowych można kierować na adres support@twojaortopedia.pl.

2. Jakie dane osobowe przetwarzamy?

Administrator może przetwarzać następujące kategorie danych osobowych:

• dane kontaktowe (imię i nazwisko, adres, adres e-mail, numer telefonu),
• dane dotyczące zamówień i zakupów (informacje o zamówieniu, dane do dostawy),
• informacje związane z płatnością (identyfikator transakcji, status płatności – nigdy pełne dane karty); przy zakupie na fakturę lub na raty dostawca płatności może dodatkowo pobrać datę urodzenia,
• korespondencję z Klientem (e-maile, wiadomości z formularza kontaktowego, rozmowy z asystentem czatu, historia zgłoszeń),
• dane dotyczące odstąpienia od umowy, zwrotów, wymiany i reklamacji,
• dane dotyczące zapisu do newslettera, powiadomień i udziału w programie poleceń,
• dane techniczne (adres IP, informacje o urządzeniu, typ przeglądarki, data i godzina wizyty),
• dane o korzystaniu ze strony (za pomocą plików cookies i podobnych technologii – w zakresie, w jakim wyrażono na to zgodę).

Dane dotyczące zdrowia: Zakup niektórych produktów ortopedycznych może pozwalać na wyciąganie wniosków o stanie zdrowia. Administrator nie przetwarza danych zamówień w celu wyciągania takich wniosków. Prosimy podawać informacje o zdrowiu (np. na czacie, w formularzu kontaktowym lub w reklamacji) tylko w zakresie niezbędnym do załatwienia sprawy.

3. Cele przetwarzania danych osobowych

Poniżej opisano główne cele przetwarzania danych. Dla każdego celu wskazano rodzaj przetwarzania, kategorie danych, podstawę prawną, odbiorców oraz okres przechowywania danych.

3.1 Udostępnianie strony, hosting i system sklepu

• Przetwarzanie: wyświetlanie strony, prowadzenie sklepu internetowego i kasy, zapewnienie bezpieczeństwa i stabilności (np. ochrona przed atakami i oszustwami)
• Dane osobowe: adres IP, data i godzina dostępu, odwiedzane strony, informacje o przeglądarce i urządzeniu, zawartość koszyka
• Podstawa prawna: wykonanie umowy lub działania przed jej zawarciem (art. 6 ust. 1 lit. b RODO) oraz prawnie uzasadniony interes Administratora polegający na zapewnieniu bezpiecznego i sprawnego sklepu (art. 6 ust. 1 lit. f RODO); w zakresie niezbędnych plików cookies – art. 399 PKE (przechowywanie niezbędne do świadczenia usługi żądanej przez użytkownika)
• Odbiorcy: Shopify International Limited, Dublin, Irlandia, jako dostawca platformy sklepu (hosting, system sklepu, kasa); Shopify International Limited współpracuje w tym zakresie z Shopify Inc., Kanada
• Okres przechowywania: dane techniczne są usuwane, gdy przestają być potrzebne do wskazanych celów; w przypadku plików cookies obowiązują okresy podane w wykazie plików cookies

Z Shopify zawarto umowę powierzenia przetwarzania danych (art. 28 RODO). W odniesieniu do Kanady obowiązuje decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony; przekazywanie danych do USA odbywa się na podstawie EU-US Data Privacy Framework lub standardowych klauzul umownych Komisji Europejskiej.

3.2 Realizacja zakupu, płatności i dostawy

• Przetwarzanie: realizacja zamówień, obsługa płatności, dostawa, wyświetlanie opcji i terminów dostawy, prowadzenie konta Klienta (jeżeli zostało założone)
• Dane osobowe: imię i nazwisko, adres, adres e-mail, numer telefonu, informacje o zamówieniu, identyfikator transakcji
• Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO); wypełnienie obowiązku prawnego (art. 6 ust. 1 lit. c RODO) – obowiązki rachunkowe, podatkowe i archiwizacyjne
• Odbiorcy: dostawcy usług płatniczych (Dintero, Klarna, PayPal i Shopify Payments), banki, przewoźnik (DHL), oprogramowanie do obsługi wysyłek (Shipmondo), widżet opcji dostawy (Pango)
• Okres przechowywania: do 7 lat zgodnie z obowiązkami rachunkowymi Administratora jako spółki szwedzkiej (szwedzka ustawa o rachunkowości – Bokföringslagen) oraz do 10 lat w zakresie ewidencji transakcji rozliczanych w procedurze VAT OSS (art. 369 dyrektywy Rady 2006/112/WE); dane konta Klienta – do czasu jego usunięcia

Metody płatności i dostawcy usług płatniczych: Płatności kartami Visa i Mastercard obsługuje Dintero (Dintero AS, Norwegia). Płatności kartami American Express i Maestro oraz Apple Pay i Google Pay obsługuje Shopify Payments (dostawca techniczny: Stripe). Administrator oferuje także płatności przez Klarna (Klarna Bank AB (publ), Sztokholm, Szwecja) oraz PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luksemburg). Administrator nigdy nie przechowuje pełnych danych kart płatniczych.

W przypadku wyboru zakupu na fakturę lub na raty Administrator przekazuje dostawcy płatności dane niezbędne do tego celu (np. imię i nazwisko, adres, adres e-mail, dane zamówienia). Dostawca może w celu weryfikacji tożsamości i zdolności kredytowej pobrać dodatkowe dane, np. datę urodzenia. Za tę weryfikację odpowiada samodzielnie dany dostawca płatności; zastosowanie mają również jego informacje o ochronie danych.

Klarna On-Site Messaging: Na stronach produktów wyświetlane są informacje Klarna o dostępnych metodach płatności. W tym celu nawiązywane jest połączenie z Klarna, która otrzymuje dane techniczne, takie jak adres IP i informacje o przeglądarce. Podstawą prawną jest prawnie uzasadniony interes Administratora polegający na przejrzystym informowaniu o metodach płatności (art. 6 ust. 1 lit. f RODO). Jeżeli Klarna zapisuje lub odczytuje w urządzeniu użytkownika informacje, które nie są do tego niezbędne, następuje to wyłącznie za zgodą użytkownika (art. 6 ust. 1 lit. a RODO, art. 399 PKE).

Wysyłka: W celu doręczenia zamówienia Administrator przekazuje imię i nazwisko, adres dostawy oraz – w zakresie niezbędnym do doręczenia lub powiadomienia o przesyłce – adres e-mail i/lub numer telefonu spółkom z grupy DHL (Deutsche Post DHL Group). Do tworzenia etykiet nadawczych i śledzenia przesyłek Administrator korzysta z oprogramowania Shipmondo A/S, Dania. Do wyświetlania dostępnych opcji dostawy i przewidywanych terminów doręczenia w sklepie i w kasie służy widżet Pango; przetwarzane są przy tym w szczególności kod pocztowy lub adres dostawy oraz dane techniczne.

3.3 Obsługa klienta, odstąpienie od umowy, zwroty i reklamacje

• Przetwarzanie: obsługa zapytań (e-mailem lub przez formularz kontaktowy), oświadczeń o odstąpieniu od umowy, anulowania zamówień, zwrotów, wymiany i reklamacji, wysyłanie potwierdzeń otrzymania oświadczenia o odstąpieniu od umowy, korespondencja
• Dane osobowe: dane kontaktowe, numer zamówienia, treść zapytania lub oświadczenia, data i godzina otrzymania, historia zgłoszenia
• Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO); wypełnienie obowiązku prawnego (art. 6 ust. 1 lit. c RODO), w szczególności obowiązków wynikających z ustawy o prawach konsumenta (m.in. potwierdzenie otrzymania oświadczenia o odstąpieniu od umowy i rozpatrzenie reklamacji); w przypadku zapytań niezwiązanych z umową – prawnie uzasadniony interes Administratora polegający na udzieleniu odpowiedzi (art. 6 ust. 1 lit. f RODO)
• Odbiorcy: portal zwrotów Returnflows (Returnflows ApS, Dania); funkcja odstąpienia od umowy i anulowania zamówień WithdrawOrder (Returnflows); Shopify jako platforma sklepu; przy zwrotach – DHL
• Okres przechowywania: przez czas obsługi sprawy, a następnie do 36 miesięcy; dokumenty mające znaczenie rachunkowe lub podatkowe – przez okresy wskazane w pkt 3.2

3.4 Asystent czatu

• Przetwarzanie: na każdej stronie sklepu dostępny jest asystent czatu, który automatycznie odpowiada na najczęstsze pytania. Przetwarzane są treści wpisywane na czacie oraz dane techniczne niezbędne do jego działania.
• Dane osobowe: treść i przebieg rozmowy, ewentualnie podane dane kontaktowe lub numery zamówień, adres IP, informacje o przeglądarce i urządzeniu
• Podstawa prawna: wykonanie umowy lub działania przed jej zawarciem, jeżeli pytanie dotyczy zamówienia lub planowanego zakupu (art. 6 ust. 1 lit. b RODO); w pozostałym zakresie prawnie uzasadniony interes Administratora polegający na szybkiej i sprawnej obsłudze zapytań (art. 6 ust. 1 lit. f RODO); w zakresie informacji zapisywanych w urządzeniu na potrzeby czatu – art. 399 PKE
• Odbiorcy: Voiceflow Inc., Kanada, za pośrednictwem usługodawcy VIRTIQ
• Okres przechowywania: jak w pkt 3.3 – przez czas obsługi sprawy, a następnie do 36 miesięcy

Odpowiedzi asystenta czatu są generowane automatycznie i nie stanowią wiążących oświadczeń prawnych ani porady medycznej. Prosimy nie podawać na czacie danych o zdrowiu ani innych danych wrażliwych, które nie są potrzebne do udzielenia odpowiedzi. W odniesieniu do Kanady obowiązuje decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony; przekazywanie danych do USA odbywa się na podstawie EU-US Data Privacy Framework lub standardowych klauzul umownych Komisji Europejskiej.

3.5 Newsletter, marketing e-mailowy i powiadomienia

• Przetwarzanie: wysyłka newslettera i ofert e-mailem, formularze zapisu i okna pop-up (w tym pop-up z grą rabatową), przypomnienia o niedokończonych zamówieniach (porzucony koszyk), analiza otwarć i kliknięć w wiadomościach, powiadomienia o ponownej dostępności lub przedsprzedaży produktu, program poleceń
• Dane osobowe: adres e-mail, ewentualnie imię, data i godzina zapisu i potwierdzenia, adres IP, interakcje z wiadomościami, zawartość koszyka, wybrane produkty
• Podstawa prawna: zgoda (art. 6 ust. 1 lit. a RODO) – w przypadku newslettera, przypomnień o porzuconym koszyku i analizy otwarć wiadomości; zgoda na otrzymywanie informacji handlowych drogą elektroniczną wymagana przez art. 398 PKE; wykonanie umowy (art. 6 ust. 1 lit. b RODO) – w przypadku zamówionych powiadomień i udziału w programie poleceń
• Odbiorcy: Klaviyo, Inc., USA (wysyłka e-maili, formularze zapisu, przypomnienia o koszyku); Alia (pop-up i gra rabatowa); Rez (powiadomienia o dostępności i przedsprzedaży); Ambassadorflow (program poleceń)
• Okres przechowywania: do czasu cofnięcia zgody lub wniesienia sprzeciwu; dowód udzielenia zgody jest przechowywany dodatkowo przez okres niezbędny do obrony przed ewentualnymi roszczeniami

Double opt-in: Zapis do newslettera wymaga potwierdzenia – po zapisaniu się użytkownik otrzymuje e-mail z linkiem potwierdzającym i dopiero potem zaczyna otrzymywać newsletter. Przypomnienia o porzuconym koszyku są wysyłane wyłącznie osobom, które wyraziły zgodę na otrzymywanie wiadomości marketingowych.

Brak marketingu bez zgody: Informacje handlowe drogą elektroniczną (w tym e-maile z ofertami dotyczącymi podobnych produktów) Administrator wysyła wyłącznie osobom, które wyraziły na to uprzednią zgodę – również wtedy, gdy dana osoba dokonała już zakupu w sklepie.

Zgodę można w każdej chwili cofnąć, a przetwarzaniu danych w celach marketingowych można się sprzeciwić, np. za pomocą linku do rezygnacji zamieszczonego w każdej wiadomości marketingowej lub e-mailem na adres support@twojaortopedia.pl. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

Przekazywanie danych do Klaviyo w USA odbywa się na podstawie EU-US Data Privacy Framework lub standardowych klauzul umownych Komisji Europejskiej.

3.6 Ulepszanie strony i statystyki

• Przetwarzanie: analiza zachowań odwiedzających, pomiar ruchu, analiza sesji w celu poprawy użyteczności strony
• Dane osobowe: adres IP (skrócony lub pseudonimizowany, jeżeli przewiduje to dostawca), informacje o urządzeniu, identyfikatory internetowe, odwiedzane strony, kliknięcia, ruchy myszy i przewijanie
• Podstawa prawna: zgoda (art. 6 ust. 1 lit. a RODO, art. 399 PKE)
• Odbiorcy: Google Ireland Limited, Dublin, Irlandia (Google Analytics 4); Microsoft Ireland Operations Limited, Dublin, Irlandia (Microsoft Clarity)
• Okres przechowywania: zgodnie z wykazem plików cookies

Google Analytics 4 umożliwia analizę korzystania ze strony. Microsoft Clarity tworzy analizy sesji (np. mapy cieplne i nagrania sesji), aby można było wykrywać i usuwać problemy z obsługą strony.

Google Tag Manager: Administrator korzysta z Google Tag Manager (Google Ireland Limited, Dublin, Irlandia) do zarządzania usługami analitycznymi i marketingowymi na stronie. Sam Tag Manager nie analizuje danych o korzystaniu ze strony, jednak podczas jego ładowania adres IP jest przekazywany do Google. Podstawą prawną jest prawnie uzasadniony interes Administratora polegający na sprawnym zarządzaniu zintegrowanymi usługami (art. 6 ust. 1 lit. f RODO). Usługi analityczne i marketingowe uruchamiane przez Tag Manager są aktywowane wyłącznie zgodnie z udzieloną zgodą.

Google i Microsoft mogą przekazywać dane również swoim spółkom macierzystym w USA na podstawie EU-US Data Privacy Framework lub standardowych klauzul umownych Komisji Europejskiej.

3.7 Marketing internetowy, śledzenie konwersji i remarketing

• Przetwarzanie: pomiar skuteczności reklam (śledzenie konwersji), wyświetlanie reklam osobom, które odwiedziły już stronę (remarketing), optymalizacja kampanii reklamowych
• Dane osobowe: identyfikatory internetowe (np. identyfikatory plików cookies i kliknięć), adres IP, informacje o przeglądarce i urządzeniu, odwiedzane strony, informacje o produktach oglądanych, dodanych do koszyka lub kupionych, wartość zamówienia; przy przekazywaniu po stronie serwera – ewentualnie zahaszowane (pseudonimizowane) dane kontaktowe, takie jak adres e-mail lub numer telefonu
• Podstawa prawna: zgoda (art. 6 ust. 1 lit. a RODO, art. 399 PKE)
• Odbiorcy: Google Ireland Limited, Dublin, Irlandia; Meta Platforms Ireland Limited, Dublin, Irlandia; Microsoft Ireland Operations Limited, Dublin, Irlandia; ProfitMetrics ApS, Dania; za pośrednictwem ProfitMetrics również Pinterest Europe Limited, Dublin, Irlandia, TikTok Technology Limited, Dublin, Irlandia, oraz OpenAI Ireland Limited, Dublin, Irlandia
• Okres przechowywania: zgodnie z wykazem plików cookies lub do czasu cofnięcia zgody

Google Ads i Google Merchant Center: Administrator korzysta ze śledzenia konwersji i remarketingu Google Ads, aby mierzyć skuteczność reklam i wyświetlać odpowiednie reklamy. Za pośrednictwem Google Merchant Center Administrator udostępnia Google dane produktów, aby mogły być wyświetlane w Zakupach Google; pomiar skuteczności odbywa się przez śledzenie konwersji Google Ads.

Piksel Meta i Conversions API: Administrator korzysta z Piksela Meta oraz Conversions API Meta Platforms Ireland Limited. W przypadku Conversions API zdarzenia (np. zakup) są przekazywane do Meta bezpośrednio z systemu sklepu po stronie serwera. Obie funkcje są aktywne wyłącznie po wyrażeniu zgody na marketingowe pliki cookies. Za zbieranie i przekazywanie danych do Meta Administrator i Meta odpowiadają jako współadministratorzy (art. 26 RODO) na podstawie zawartego porozumienia; za dalsze przetwarzanie odpowiada wyłącznie Meta.

Microsoft Advertising: Administrator korzysta ze śledzenia konwersji Microsoft Advertising (Universal Event Tracking, UET), aby mierzyć skuteczność reklam w wyszukiwarce Bing i w sieci reklamowej Microsoft.

ProfitMetrics: Administrator korzysta z ProfitMetrics ApS, Dania, do śledzenia konwersji opartego na zysku. Przetwarzane są dane zamówień i zdarzeń (np. wartość zamówienia, kupione produkty, identyfikatory kampanii), które są przekazywane do wykorzystywanych platform reklamowych (Google, Meta, Microsoft, Pinterest, TikTok oraz OpenAI – reklamy w ChatGPT), aby kampanie mogły być optymalizowane na podstawie rzeczywistej marży. Również to odbywa się wyłącznie za zgodą.

Google, Meta, Microsoft, Pinterest, TikTok i OpenAI mogą przekazywać dane swoim spółkom macierzystym lub powiązanym poza UE (w szczególności w USA) na podstawie EU-US Data Privacy Framework lub standardowych klauzul umownych Komisji Europejskiej.

3.8 Funkcje sklepu i treści osadzone

• Przetwarzanie: wyszukiwarka produktów i filtry, rekomendacje produktów i oferty uzupełniające w sklepie i w koszyku, osadzanie filmów
• Dane osobowe: wyszukiwane frazy, oglądane produkty, zawartość koszyka, adres IP, informacje o przeglądarce i urządzeniu
• Podstawa prawna: prawnie uzasadniony interes Administratora polegający na zapewnieniu wygodnego sklepu (art. 6 ust. 1 lit. f RODO); w zakresie informacji zapisywanych lub odczytywanych w urządzeniu, które są niezbędne do działania wybranej funkcji – art. 399 PKE, a w pozostałym zakresie wyłącznie za zgodą (art. 6 ust. 1 lit. a RODO, art. 399 PKE); osadzone filmy – wyłącznie za zgodą
• Odbiorcy: Boost Commerce (wyszukiwarka produktów i filtry); Selleasy (rekomendacje produktów i oferty uzupełniające); Vimeo (osadzone filmy)
• Okres przechowywania: zgodnie z wykazem plików cookies lub przez czas niezbędny do działania danej funkcji

Vimeo: Na niektórych stronach osadzone są filmy z serwisu Vimeo. Filmy są ładowane dopiero po wyrażeniu zgody na odpowiednie pliki cookies. Dopiero wtedy nawiązywane jest połączenie z serwerami Vimeo, które otrzymują w szczególności adres IP i informację o odwiedzanej stronie.

3.9 Opinie klientów

• Przetwarzanie: zaproszenie do wystawienia opinii po zakupie oraz wyświetlanie opinii na stronie, o ile Administrator korzysta w tym celu z Trustpilot
• Dane osobowe: imię i nazwisko, adres e-mail, numer zamówienia, treść opinii
• Podstawa prawna: zaproszenia do wystawienia opinii wysyłane e-mailem – wyłącznie za zgodą (art. 6 ust. 1 lit. a RODO, art. 398 PKE); wyświetlanie opinii – prawnie uzasadniony interes Administratora polegający na prezentowaniu opinii klientów (art. 6 ust. 1 lit. f RODO)
• Odbiorcy: Trustpilot A/S, Dania
• Okres przechowywania: do czasu cofnięcia zgody lub wniesienia sprzeciwu; opublikowane opinie – przez czas ich dostępności na platformie z opiniami

4. Pliki cookies i zarządzanie zgodami

Na stronie stosowane są pliki cookies i podobne technologie. Do zarządzania zgodami i informowania o plikach cookies Administrator korzysta z narzędzia Pandectes GDPR Compliance (Pandectes, Grecja). Zapisywane są przy tym decyzja użytkownika, data i godzina jej podjęcia oraz dane techniczne (np. adres IP, informacje o przeglądarce), aby można było uwzględnić dokonany wybór i wykazać udzielenie zgody. Podstawą prawną jest art. 6 ust. 1 lit. c w związku z art. 7 ust. 1 RODO oraz art. 399 PKE.

Niezbędne pliki cookies, które są konieczne do działania strony i funkcji wybranych przez użytkownika (np. koszyka, składania zamówienia), są stosowane bez zgody (art. 399 PKE). Wszystkie pozostałe pliki cookies, np. analityczne i marketingowe, są stosowane wyłącznie za zgodą użytkownika (art. 399 PKE, art. 6 ust. 1 lit. a RODO).

Pliki cookies mogą być plikami własnymi (zapisywanymi przez TwojaOrtopedia) lub plikami podmiotów trzecich (zapisywanymi przez zewnętrznych dostawców). Informacje o poszczególnych plikach cookies, ich dostawcach, celu i okresie przechowywania znajdują się w wykazie plików cookies dostępnym w banerze cookies.

Niektóre pliki cookies mogą wiązać się z przekazywaniem danych osobowych do państw spoza UE/EOG, np. do USA. W takich przypadkach przekazywanie odbywa się na podstawie EU-US Data Privacy Framework lub standardowych klauzul umownych Komisji Europejskiej.

Zgodę można w każdej chwili zmienić lub cofnąć w ustawieniach plików cookies na stronie, ze skutkiem na przyszłość. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem. Pliki cookies można też zablokować lub usunąć w ustawieniach przeglądarki.

5. Odbiorcy danych osobowych

Administrator udostępnia dane osobowe wyłącznie w zakresie niezbędnym do danego celu, w szczególności:

• dostawcom usług płatniczych (Dintero, Klarna, PayPal i Shopify Payments),
• partnerom logistycznym (DHL) oraz dostawcom oprogramowania do wysyłek (Shipmondo, Pango),
• dostawcom systemów obsługi klienta i zwrotów (Returnflows, WithdrawOrder) oraz asystenta czatu (Voiceflow za pośrednictwem VIRTIQ),
• dostawcom usług marketingu e-mailowego, analitycznych i reklamowych (zob. pkt 3.5–3.7), jeżeli wyrażono zgodę lub istnieje inna podstawa prawna,
• dostawcom usług IT i systemów (w szczególności Shopify oraz funkcji sklepu wymienionych w pkt 3.8),
• organom i innym podmiotom publicznym, jeżeli Administrator jest do tego zobowiązany przepisami prawa (art. 6 ust. 1 lit. c RODO).

Z podmiotami przetwarzającymi dane osobowe w imieniu Administratora zawarto umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO. Dostawcy usług płatniczych i przewoźnicy przetwarzają przekazane im dane częściowo jako samodzielni administratorzy.

Administrator nigdy nie sprzedaje danych osobowych.

6. Przekazywanie danych do państw trzecich

Dane osobowe przekazywane do państw spoza UE/EOG są przekazywane zgodnie z RODO. Dotyczy to w szczególności:

• Kanady (Shopify Inc., Voiceflow Inc.) – na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony,
• USA (Klaviyo, Inc. oraz ewentualnie amerykańskich spółek macierzystych Google, Meta i Microsoft i innych dostawców wymienionych w niniejszej polityce, którzy mają siedzibę lub podwykonawców w USA) – na podstawie EU-US Data Privacy Framework lub standardowych klauzul umownych Komisji Europejskiej.

Jeżeli inni dostawcy wymienieni w niniejszej polityce mają siedzibę poza UE/EOG lub przekazują tam dane, odbywa się to również na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul umownych Komisji Europejskiej.

7. Jak długo przechowujemy dane osobowe?

Dane osobowe są przechowywane tylko tak długo, jak jest to niezbędne do danego celu lub wymagane przepisami prawa (do 7 lat zgodnie ze szwedzką ustawą o rachunkowości oraz do 10 lat w zakresie ewidencji VAT OSS). Okresy przechowywania dla poszczególnych celów wskazano powyżej. Po ich upływie dane są usuwane lub anonimizowane.

8. Prawa osób, których dane dotyczą

Na zasadach określonych w RODO przysługuje prawo do:

• dostępu do danych osobowych (art. 15 RODO),
• sprostowania nieprawidłowych danych (art. 16 RODO),
• usunięcia danych (w określonych przypadkach, art. 17 RODO),
• ograniczenia przetwarzania (art. 18 RODO),
• przenoszenia danych (art. 20 RODO),
• wniesienia sprzeciwu wobec przetwarzania (art. 21 RODO, zob. poniżej),
• cofnięcia zgody w dowolnym momencie ze skutkiem na przyszłość (art. 7 ust. 3 RODO), np. w ustawieniach plików cookies na stronie, za pomocą linku do rezygnacji w wiadomościach e-mail lub e-mailem do Administratora; cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem,
• wniesienia skargi do organu nadzorczego (art. 77 RODO, zob. poniżej).

W celu skorzystania z tych praw należy skontaktować się z Administratorem e-mailem: support@twojaortopedia.pl. Administrator odpowiada na żądania bez zbędnej zwłoki, nie później niż w ciągu miesiąca.

Prawo sprzeciwu

Jeżeli Administrator przetwarza dane osobowe na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), osobie, której dane dotyczą, przysługuje prawo wniesienia w dowolnym momencie sprzeciwu wobec takiego przetwarzania – z przyczyn związanych z jej szczególną sytuacją.

Jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osobie, której dane dotyczą, przysługuje prawo wniesienia w dowolnym momencie, bez podania przyczyny, sprzeciwu wobec przetwarzania w tym celu. Po wniesieniu sprzeciwu dane nie są już przetwarzane w tym celu.

Sprzeciw można wnieść w dowolnej formie, np. e-mailem na adres support@twojaortopedia.pl.

Prawo do wniesienia skargi do organu nadzorczego

Osobie, której dane dotyczą, przysługuje prawo wniesienia skargi do organu nadzorczego, jeżeli uważa, że przetwarzanie jej danych osobowych narusza RODO. W Polsce organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl). Wiodącym organem nadzorczym dla Administratora jest szwedzki organ ochrony danych Integritetsskyddsmyndigheten (IMY), www.imy.se. Skargę można wnieść do organu nadzorczego w państwie członkowskim swojego zwykłego pobytu, miejsca pracy lub miejsca popełnienia domniemanego naruszenia.

9. Dobrowolność podania danych i zautomatyzowane podejmowanie decyzji

Podanie danych niezbędnych do realizacji zamówienia (w szczególności imienia i nazwiska, adresu, adresu e-mail i danych do płatności) jest warunkiem zawarcia umowy. Bez tych danych realizacja zamówienia nie jest możliwa. Podanie pozostałych danych jest dobrowolne; nie istnieje ustawowy obowiązek ich podania.

Administrator nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, w rozumieniu art. 22 RODO. Dostawcy usług płatniczych mogą podejmować zautomatyzowane decyzje w ramach własnej weryfikacji tożsamości i zdolności kredytowej (zob. pkt 3.2); szczegóły znajdują się w ich informacjach o ochronie danych.

10. Bezpieczeństwo

Administrator stosuje środki techniczne i organizacyjne chroniące dane osobowe przed nieuprawnionym dostępem, utratą lub nadużyciem. Strona jest udostępniana wyłącznie przez szyfrowane połączenie (TLS/HTTPS).

11. Zmiany polityki prywatności

Administrator może okresowo aktualizować niniejszą politykę prywatności. Aktualna wersja jest zawsze opublikowana na stronie sklepu.

12. Kontakt

W sprawach dotyczących przetwarzania danych osobowych można kontaktować się z Administratorem:

E-mail: support@twojaortopedia.pl