Polityka prywatności platformy IoneShop — oferta Shop

Nie zastępuje polityki Enterprise (/enterprise/privacy). Obowiązuje na terenie Europejskiego Obszaru Gospodarczego (EOG) oraz dla usług kierowanych do użytkowników w UE/EOG/UK (w zakresie dopuszczonym prawem).

1. Administrator danych i kontakt

Administratorem danych osobowych w zakresie wskazanym w § 3 jest:

ABSGROUP INC. (Named Alberta Corporation, Kanada) Adres siedziby: 347 Hudson Bend, Edmonton, Alberta T6V 1R5, Canada Alberta Corporate Access Number: 2025055126 · Canada Business Number: 724018148 Data rejestracji (Alberta): 2023-03-30 E-mail ds. ochrony danych (RODO): [email protected] E-mail ogólny / reklamacje: [email protected]

Przedstawiciel w UE (art. 27 RODO) — formalizacja mandatu w toku: QData, Spektrum Tower, Twarda 18, 00-105 Warszawa, Polska Strona: https://qdata.pl Do czasu zakończenia formalizacji mandatu punktem kontaktowym dla organów nadzorczych i osób, których dane dotyczą, pozostaje Administrator ([email protected]). Po zawarciu mandatu QData pełni rolę przedstawiciela zgodnie z art. 27 — równolegle do Administratora.

Produkt cyfrowy: IoneShop (domeny m.in. ioneshop.eu, ioneshop.pl, ioneshop.cloud oraz powiązane hosty aplikacji).

Inspektor Ochrony Danych (IOD) nie jest obecnie wyznaczony (art. 37 — obowiązek IOD zależy od charakteru przetwarzania; przedstawiciel art. 27 ≠ IOD).

2. Zakres Polityki i definicje

2.1. Zakres

Polityka opisuje przetwarzanie danych osobowych w związku z:

1. Stroną marketingową / sprzedażową platformy (m.in. www.ioneshop.eu);
2. Kontami użytkowników SaaS (sprzedawcy / pracownicy merchanta, operatorzy platformy);
3. Obsługą umów B2B, płatnościami abonamentowymi, wsparciem technicznym;
4. Rolą procesora wobec danych klientów końcowych sklepów prowadzonych przez merchantów.

2.2. Definicje

3. Role w rozumieniu RODO (kluczowe dla multi-tenant SaaS)

Operator nie jest sprzedawcą towarów oferowanych w sklepach merchantów i nie jest administratorem celów marketingowych sklepu (newsletter sklepu, remarketing sklepu), chyba że odrębna umowa stanowi inaczej.

Merchant zobowiązany jest do posiadania własnej polityki prywatności i tekstów konsumenckich w sklepie. Platforma może dostarczać szablony, ale ostateczna treść i decyzje o celach należą do merchanta.

4. Kategorie osób i danych

4.1. Osoby odwiedzające stronę marketingową

• Dane techniczne: adres IP, user-agent, znaczniki czasu, URL odsyłający, identyfikatory sesji;
• Dane z formularzy (zamówienie / kontakt): imię, nazwisko / firma, e-mail, telefon, treść wiadomości, NIP (opcjonalnie), preferencje planu;
• Dane zgody cookies / preferencje prywatności;
• Dane analityczne / marketingowe — wyłącznie po zgodzie (jeśli włączone).

4.2. Przedstawiciele merchantów (użytkownicy SaaS)

• Dane identyfikacyjne i kontaktowe: imię, nazwisko, stanowisko, e-mail, telefon;
• Dane firmy: nazwa, adres, NIP/VAT, dane do faktury;
• Dane konta: login, identyfikatory OIDC/SSO, role, logi dostępu;
• Dane rozliczeniowe: historia subskrypcji, status płatności (bez pełnych danych kart — tokeny PSP);
• Treść zgłoszeń supportu, ticketów, korespondencji;
• Metadane bezpieczeństwa (IP logowań, MFA, zdarzenia audytowe).

4.3. Shopperzy (dane w roli procesora)

Przetwarzamy wyłącznie w imieniu merchanta, w zakresie niezbędnym do działania sklepu, m.in.:

• Dane zamówienia (imię, adres dostawy/faktury, e-mail, telefon, pozycje, status);
• Dane konta klienta sklepu (jeśli merchant włączy);
• Preferencje / zgody marketingowe ustalone przez merchanta;
• Dane techniczne sesji sklepu, koszyka, cookies niezbędnych do transakcji;
• Dane zwrotów / reklamacji konsumenckich obsługiwanych w panelu.

Nie przechowujemy numerów PAN/CVV kart płatniczych. Płatności kartowe obsługuje zewnętrzny dostawca płatności (PSP); w systemach Platformy mogą występować wyłącznie tokeny / identyfikatory transakcji.

5. Cele i podstawy prawne (art. 6 RODO)

5.1. Gdy jesteśmy administratorem

5.2. Gdy jesteśmy procesorem

Podstawą po stronie operatora jest umowa z merchantem + DPA (art. 28). Podstawy wobec shoppera ustala merchant (zwykle art. 6 ust. 1 lit. b — sprzedaż; lit. c — obowiązki księgowe/konsumenckie; lit. a — marketing).

6. Obowiązkowe informacje (dyrektywa 2000/31/WE, przepisy krajowe o usługach drogą elektroniczną)

Na stronie Platformy udostępniamy: firmę, adres, dane kontaktowe, numery rejestrowe, ewentualnie organ koncesyjny (jeśli dotyczy). Reklamacje: [email protected].

7. Odbiorcy danych i podwykonawcy (sub-processors)

Dane mogą być ujawniane:

1. Dostawcom infrastruktury EEA (hosting, DNS, CDN, storage obiektowy) — preferencja: lokalizacja w EEA;
2. Dostawcom poczty / ESP, monitoringu, IdP (OIDC);
3. PSP (płatności abonamentu i — w sklepach — płatności shopperów według wyboru merchanta);
4. Doradcom (prawnym, księgowym, audytowym) — na podstawie poufności;
5. Organom publicznym — gdy obowiązek prawny;
6. Nabywcy przedsiębiorstwa — w ramach sukcesji (z powiadomieniem, o ile prawo wymaga).

Aktualna lista kluczowych podwykonawców przetwarzania (art. 28) jest przekazywana Merchantowi wraz z DPA / formularzem zamówienia (załącznik do umowy). Zmiana podwykonawcy: powiadomienie merchantów zgodnie z DPA (co najmniej 14–30 dni, z prawem sprzeciwu w zakresie wymaganym umową).

Zakaz fałszywych claimów: niniejsza Polityka nie stanowi certyfikacji SOC 2, ISO 27001, PCI DSS ani „certyfikatu RODO”.

8. Transfer poza EOG

Domyślnie dążymy do przetwarzania w EEA. Jeżeli transfer poza EOG jest konieczny:

• stosujemy mechanizmy art. 44–49 RODO (decyzja o adekwatności, SCC Komisji Europejskiej, TIA gdy wymagane);
• informujemy w liście podwykonawców o kraju i mechanizmie.

9. Okresy przechowywania

Po upływie okresu dane są usuwane lub anonimizowane, o ile prawo nie nakazuje dłuższej retencji.

10. Prawa osób, których dane dotyczą

Zgodnie z art. 12–22 RODO przysługują m.in.:

• dostęp, sprostowanie, usunięcie („prawo do bycia zapomnianym” — z ograniczeniami);
• ograniczenie przetwarzania, przenoszenie danych;
• sprzeciw (w tym wobec marketingu bezpośredniego);
• cofnięcie zgody (bez wpływu na zgodność przetwarzania sprzed cofnięcia);
• skarga do organu nadzorczego.

Skargi / żądania wobec danych konta Platformy: [email protected] (oraz przedstawiciel UE — QData, jak w § 1).

Żądania shopperów dotyczące sklepu merchanta: należy kierować do merchanta (administrator). Operator przekazuje merchantowi lub wspiera realizację DSR narzędziami Platformy (eksport/usuwanie), zgodnie z DPA — nie zastępuje merchanta w relacji z shopperem.

10.1. Organy nadzorcze (UE) — przykłady

Osoba może złożyć skargę do organu w państwie zwykłego pobytu, miejsca pracy lub miejsca domniemanego naruszenia, m.in.:

Lista EDPB: https://edpb.europa.eu/

11. Cookies i podobne technologie

Szczegóły: [Polityka cookies](/cookies).

• Cookies niezbędne (sesja, bezpieczeństwo, zapamiętanie zgody, load balancing) — bez wymogu zgody marketingowej;
• Cookies analityczne / marketingowe — tylko po zgodzie;
• Preferujemy rozwiązania z minimalizacją / cookieless analytics, gdy to możliwe.

W niektórych państwach członkowskich (np. praktyka CNIL we FR, wytyczne organów DE/IT) wymagania UX zgody (odrzucenie równie łatwe jak akceptacja) są egzekwowane surowiej — Platforma projektuje baner pod ten standard.

12. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka, w tym m.in.:

• izolację danych sklepów (oddzielne środowiska danych per sklep);
• TLS dla ruchu nie-lokalnego;
• szyfrowanie sekretów merchantów w spoczynku;
• kontrolę dostępu i audyt działań administracyjnych;
• ograniczenie dostępu operatorów do danych shopperów (brak rutynowego odszyfrowania; dostęp awaryjny audytowany — w miarę wdrożenia);
• brak przechowywania PAN/CVV.

Środki te nie gwarantują absolutnego bezpieczeństwa i nie stanowią oświadczenia o posiadaniu określonych certyfikatów bez dowodu.

13. Naruszenia ochrony danych

W razie naruszenia mogącego powodować ryzyko dla praw i wolności:

• powiadamiamy właściwy organ nadzorczy bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin (art. 33), gdy jesteśmy administratorem;
• powiadamiamy osoby, gdy wymaga tego art. 34;
• jako procesor — powiadamiamy merchanta bez zbędnej zwłoki zgodnie z DPA (art. 33 ust. 2).

14. Profilowanie i zautomatyzowane decyzje

Nie podejmujemy wobec merchantów decyzji wywołujących skutki prawne wyłącznie w sposób zautomatyzowany w rozumieniu art. 22, poza niezbędnymi kontrolami fraud/abuse (np. zawieszenie przy podejrzeniu nadużycia) — z możliwością kontaktu z supportem.

Funkcje AI (jeśli włączone, np. mapowanie kolumn importu) są narzędziami asystującymi; merchant zachowuje kontrolę nad akceptacją wyników. Klasyfikacja AI Act — według faktycznie wdrożonych funkcji (aktualizacja Polityki przy launch AI).

15. Osoby małoletnie

Usługa SaaS kierowana jest do przedsiębiorców. Nie kierujemy oferty Platformy do dzieci. Sklepy merchantów mogą mieć własną politykę wieku — odpowiedzialność merchanta.

16. Aneks — wybrane aspekty krajowe w UE

Prawo UE (RODO) jest bezpośrednio stosowane; państwa członkowskie doprecyzowują m.in. wiek zgody dziecka, ePrivacy, kary lokalne, właściwość organów.

Merchant sprzedający B2C w wielu krajach UE musi we własnych dokumentach sklepu uwzględnić lokalne wymogi konsumenckie (język, prawo odstąpienia, gwarancje, mediacja). Platforma dostarcza infrastrukturę, nie przejmuje roli sprzedawcy.

17. Zmiany Polityki

O istotnych zmianach informujemy poprzez publikację nowej wersji na stronie oraz — gdy wymaga tego umowa lub prawo — e-mail do merchantów. Data „wejścia w życie” znajduje się w nagłówku.

18. Kontakt

Pytania o prywatność: [email protected] Kontakt ogólny: [email protected] Przedstawiciel UE: QData, Spektrum Tower, Twarda 18, 00-105 Warszawa, Polska

*IoneShop — polityka prywatności oferty Shop. Nie stanowi poradnictwa prawnego.*