Państwa dane, traktowane z troską

Ponieważ mamy siedzibę w Hongkongu, podlegamy tamtejszemu prawu o ochronie danych. Sprzedajemy jednak również gospodarstwom domowym w całej Unii Europejskiej, a art. 3 ust. 2 ogólnego rozporządzenia UE o ochronie danych (RODO) obejmuje sprzedawcę, który robi właśnie to, bez względu na to, gdzie ma siedzibę. Dlatego RODO reguluje również sposób postępowania z danymi tych klientów, a tam, gdzie oba systemy prowadzą w różnych kierunkach, klient z UE korzysta z silniejszej z dwóch ochron.

W praktyce oznacza to, że wszystkie prawa opisane w rozdziale „Państwa prawa” przysługują Państwu, w którymkolwiek z krajów, do których dostarczamy, Państwo mieszkają, i że mogą Państwo złożyć skargę do organu ochrony danych we własnym kraju.

Gdy składają Państwo zamówienie

Imię i nazwisko; numer telefonu; ulicę, miejscowość, kod pocztowy i kraj, do którego ma trafić paczka; adres e-mail, jeśli zdecydują się go Państwo podać; ewentualną uwagę dla kuriera; który produkt, w jakiej ilości i łączną kwotę; kiedy złożono zamówienie; adres IP, z którego wysłano zamówienie; oraz krótką etykietę zapisującą, z której reklamy lub strony Państwo do nas trafili.

• Aby można było potwierdzić zamówienie telefonicznie, dostarczyć je Państwu, przyjąć zapłatę przy drzwiach, a później załatwić sprawę, jeśli nastąpi zwrot lub reklamacja. Podstawa prawna: działania podejmowane na Państwa żądanie przed zawarciem umowy, a następnie wykonanie tej umowy (art. 6 ust. 1 lit. b).
• Aby przechowywać faktury i dokumentację księgową. Podstawa prawna: obowiązki prawne, którym podlegamy jako firma (art. 6 ust. 1 lit. c).
• Aby wykrywać nadużycia i im zapobiegać, takie jak lawina fałszywych zamówień z jednego połączenia czy powtarzające się zamówienia, które nigdy nie zostają odebrane. Podstawa prawna: nasz prawnie uzasadniony interes w utrzymaniu działania sklepu i w tym, by kurierzy byli opłacani wyłącznie za rzeczywiste dostawy (art. 6 ust. 1 lit. f).

Gdy zamawiają Państwo na jednej z naszych stron krajowych

Formularz na tych stronach prosi o trzy rzeczy: imię i nazwisko, numer telefonu oraz adres dostawy w jednym wierszu. Razem z nimi wysyłane są: produkt i strona, na której go zamówiono; adres IP i identyfikacja przeglądarki (user agent), z których wysłano zamówienie, odczytywane przez nasz własny serwer; a także etykiety kampanii zawarte w linku, przez który Państwo do nas trafili — wartości utm i subid oraz, gdy link nie zawiera subid, identyfikator kliknięcia Google (gclid). Wszystko to trafia do nas, a my dzwonimy do Państwa, aby potwierdzić zamówienie, zanim zostanie wysłane. Jak przy każdym zamówieniu, dziennik naszego serwera odnotowuje również adres IP, z którego ono nadeszło.

• Imię i nazwisko, numer telefonu i adres, aby zamówienie można było potwierdzić, dostarczyć i opłacić przy drzwiach. Podstawa prawna: działania podejmowane na Państwa żądanie przed zawarciem umowy, a następnie sama umowa (art. 6 ust. 1 lit. b).
• Adres IP i identyfikacja przeglądarki, aby odróżnić prawdziwe zamówienia od zmyślonych lub wysłanych przez programy. Podstawa prawna: nasz prawnie uzasadniony interes w tym, by nie wysyłać kurierów po zamówienia, których nikt nie złożył (art. 6 ust. 1 lit. f).
• Etykiety kampanii, aby zamówienie zostało przypisane reklamie, która je przyniosła. Podstawa prawna: nasz prawnie uzasadniony interes w tym, by wiedzieć, która część naszej reklamy działa (art. 6 ust. 1 lit. f).

Podczas rozmowy potwierdzającej i po niej

Zapisujemy wynik rozmowy (potwierdzone, zmienione, anulowane, brak kontaktu) oraz każdą przekazaną nam poprawkę. Jeśli rozmowa ma być nagrywana, informujemy o tym na początku, a Państwo mogą się na to nie zgodzić. Podstawa prawna: wykonanie umowy.

Gdy do nas Państwo piszą

Temat wybrany z listy, wpisane imię i adres e-mail, numer zamówienia, jeśli był pod ręką, sama wiadomość, chwila jej wysłania i adres IP, z którego nadeszła. Wszystko to służy jednemu celowi: udzieleniu Państwu odpowiedzi; jeśli wiadomość dotyczy zamówienia, jest przechowywana razem z tym zamówieniem. Podstawa prawna: Państwa zgoda, wyrażona przez zaznaczenie pola w formularzu (art. 6 ust. 1 lit. a); w przypadku wiadomości dotyczących zamówienia również umowa. Zgodę można w każdej chwili wycofać, pisząc do nas; nie wpływa to na przetwarzanie dokonane wcześniej.

Gdy zwracamy pieniądze

Dwie informacje, imię i nazwisko posiadacza rachunku oraz jego numer IBAN, wykorzystywane jednorazowo do przelania pieniędzy. Podstawa prawna: umowa oraz obowiązki nałożone na nas przez prawo. Nikt tutaj, na żadnym etapie, nie prosi o numery kart, kody PIN ani hasła.

Gdy przeglądają Państwo stronę

Firma, która hostuje tę stronę, podczas wyświetlania stron zapisuje krótkie wpisy techniczne — jaki adres wysłał żądanie, w jakiej chwili, o jaką stronę i za pomocą jakiej przeglądarki — i przechowuje je tylko tak długo, jak jest to potrzebne do utrzymania działania i bezpieczeństwa strony. Podstawa prawna: prawnie uzasadniony interes. Państwa wybór dotyczący plików cookie oraz kilka innych elementów, które ta strona zapisuje w pamięci lokalnej — wszystkie wymienione na stronie o plikach cookie, łącznie z tymi, które zapisują wyłącznie strony krajowe — są przechowywane w Państwa przeglądarce i nigdzie indziej, a wszystkie odczytuje wyłącznie ta strona. W formularzu zamówienia na stronach krajowych nie działa żaden skrypt innej firmy. Tag reklamowy działa wyłącznie za Państwa zgodą (art. 6 ust. 1 lit. a), a tagi, których używamy, są wymienione na stronie o plikach cookie, wraz z każdym kluczem, jego nazwą, celem i okresem przechowywania.

Nic z tego nie jest obowiązkowe: żaden przepis nie wymaga od Państwa przekazania nam czegokolwiek. Praktyczne ograniczenie jest po prostu takie — paczki nie da się potwierdzić ani dostarczyć bez imienia i nazwiska, numeru telefonu, pod którym ktoś odbiera, oraz miejsca, do którego należy ją zawieźć.

Dzieci

Ten sklep nie jest skierowany do dzieci. Żadnej z naszych stron ani reklam nie kierujemy do osób poniżej 16. roku życia i świadomie nie zbieramy danych na ich temat. Zamówienia powinny składać osoby dorosłe, ponieważ zawierana jest umowa, a przy drzwiach trzeba zapłacić gotówką. Jeśli uważają Państwo, że dziecko przekazało nam swoje dane, prosimy napisać do nas (privacy@bonnybuy.com), a usuniemy to, co posiadamy, bez pytania o powód.

Konta reklamowe sklepu BonnyBuy, w tym konto Google Ads, są prowadzone na nazwę firmy WHATECH MOBILE CO., LIMITED, która za nie płaci i odpowiada za każdą reklamę, która się w nich ukazuje; ta sama firma prowadzi reklamę i kampanie Google Ads. Google nigdy nie otrzymuje Państwa imienia i nazwiska, adresu, numeru telefonu ani adresu e-mail.

Co o tym decyduje

Państwa odpowiedź na pytanie o pliki cookie i nic poza nią. Jeśli odmówią Państwo, tag Google Ads pozostaje w stanie ograniczonym: żaden plik cookie reklamowy nie będzie mógł zostać zapisany, a Google nie dowie się niczego, co pozwalałoby zidentyfikować Państwa wizytę. Jeśli wyrażą Państwo zgodę, to, co tag może robić, opisano poniżej, a szczegółowo, element po elemencie, na stronie o plikach cookie.

Google (Google Ireland Limited, Irlandia)

Gdy tag Google Ads jest włączony, działa w trybie Google Consent Mode v2. Dopóki nie wyrażą Państwo zgody na pliki cookie reklamowe, pozostaje w stanie ograniczonym: nie zapisuje plików cookie, nie odczytuje ich i przekazuje Google wyłącznie sygnały bez plików cookie, takie jak informacja, że strona została wczytana, z usuniętymi identyfikatorami reklamowymi. Po wyrażeniu zgody może zapisywać własne pliki cookie Google, aby zapamiętać, że trafili Państwo do nas z reklamy, a ekran potwierdzenia zgłasza zrealizowaną sprzedaż wraz z jej wartością w złotych i numerem zamówienia. Nie są przy tym przekazywane informacje o tym, kim Państwo są: ani imię i nazwisko, ani adres, ani numer telefonu czy adres e-mail. Nie korzystamy też z żadnej funkcji przesyłającej dane klientów do Google.

Google działa jako nasz podmiot przetwarzający w zakresie pomiarów wykonywanych w naszym imieniu, a jako odrębny administrator w zakresie tego, co z tymi samymi danymi robi we własnych celach, zgodnie z własną polityką prywatności. Może przetwarzać dane poza Europejskim Obszarem Gospodarczym, w tym w Stanach Zjednoczonych.

Podstawa prawna wszystkiego, co opisano w tej części: Państwa zgoda, wyrażona za pomocą karty plików cookie i możliwa do wycofania w każdej chwili za pomocą przycisku „Ustawienia plików cookie” u dołu każdej strony. Jej wycofanie sprawia, że od tej chwili tagi przestają używać plików cookie; nie cofa jednak tego, co zostało przekazane, gdy zgoda obowiązywała.

Ogólnikowa lista nikomu się nie przyda, dlatego podajemy, kto faktycznie przetwarza Państwa dane, co każdy z tych podmiotów robi i gdzie ma siedzibę. Jeśli kiedykolwiek dodamy kolejny, znajdą go Państwo na tej liście.

• Vercel Inc. (Stany Zjednoczone), nasz dostawca hostingu i rejestrator naszej domeny. Vercel hostuje tę stronę internetową, wyświetla każdą stronę, którą Państwo widzą, i przechowuje dzienniki techniczne żądań, najdłużej przez 12 miesięcy, jak opisano w rozdziale „Jak długo przechowujemy dane”. Ponieważ ta strona nie ma bazy danych klientów, zamówienie lub wiadomość z formularza kontaktowego trafia najpierw do tego dziennika serwera, gdzie nasi pracownicy je odczytują, aby się nimi zająć. Vercel jest naszym podmiotem przetwarzającym, na podstawie umowy powierzenia przetwarzania danych, i nie wykorzystuje tych danych do własnych celów.
• Państwa dane trafiają do nas. Jeśli pracuje dla nas dostawca usług — przy telefonicznym potwierdzaniu Państwa zamówienia albo przy obsłudze technicznej — działa na nasze polecenie, widzi tylko to, czego wymaga dane zadanie, i nie może wykorzystywać tych danych do żadnych własnych celów.
• Firma kurierska lub operator pocztowy w kraju, do którego jedzie paczka. Otrzymuje Państwa imię i nazwisko, adres dostawy, numer telefonu, ewentualną uwagę dla kuriera oraz kwotę do pobrania przy drzwiach. W zakresie przewozu paczki jest odrębnym administratorem, dlatego może kontaktować się z Państwem bezpośrednio w sprawie dostawy. Firmę kurierską wybieramy dla każdego kraju osobno; jej nazwę podajemy Państwu podczas rozmowy potwierdzającej albo kiedy tylko Państwo zapytają.
• Urzędy celne, jeśli paczka przekracza granicę, w zakresie wymaganym przez prawo.
• Księgowi, biegli rewidenci i organy podatkowe, w zakresie wymaganym przez prawo, a także nasz bank, gdy przelewamy Państwu zwrot pieniędzy.
• Sądy, policja lub organy nadzoru, gdy jesteśmy prawnie zobowiązani coś im przekazać.

To pełna lista według stanu na datę podaną na górze tej strony. Nie sprzedajemy danych, nie przekazujemy ich brokerom danych i nie udostępniamy ich żadnemu innemu sklepowi internetowemu. Google opisano osobno w części powyżej: jego tag działa wyłącznie w sposób tam opisany, a pliki cookie reklamowe – dopiero po Państwa zgodzie. Konta reklamowe, do których raportuje ten tag, są prowadzone na nazwę firmy WHATECH MOBILE CO., LIMITED, która za nie płaci i za nie odpowiada.

Każdy dostawca, który przetwarza dane w naszym imieniu, robi to na podstawie pisemnej umowy, która ogranicza go do naszych poleceń, zobowiązuje do zachowania poufności i stosowania odpowiednich zabezpieczeń oraz przewiduje na koniec usunięcie lub zwrot danych.

Dwa z opisanych wyżej rozwiązań wiążą się z przekazaniem danych za granicę, a Państwo mają prawo wiedzieć, na jakiej podstawie.

Do nas, w Hongkongu. Tam firma ma siedzibę i nie obejmuje tego terytorium żadna decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony. Trafia tam to, czego faktycznie wymaga przyjęcie, potwierdzenie i dostarczenie Państwa zamówienia, a może się to odbywać na tej podstawie, ponieważ art. 49 ust. 1 lit. b RODO zezwala na przekazanie niezbędne do wykonania umowy, o którą Państwo wnioskowali. Nic innego nie jest przekazywane tą drogą. W przypadku dokumentacji przechowywanej dłużej niż samo zamówienie — księgowej — podstawą są natomiast standardowe klauzule umowne Komisji Europejskiej, które zobowiązują nas umownie do ochrony danych na poziomie, z jakiego korzystaliby Państwo w Unii.

Do naszego dostawcy hostingu, w Stanach Zjednoczonych. Tam zarejestrowana jest spółka Vercel Inc. Przekazanie to jest zgodne z prawem dzięki standardowym klauzulom umownym Komisji Europejskiej, zawartym w ramach naszej umowy z tą spółką, wraz z zabezpieczeniami, jakich można przy nich oczekiwać: szyfrowanym połączeniem z tą stroną na całej drodze oraz wpisami w dziennikach zawierającymi dane zamówień lub wiadomości, które mogą otwierać wyłącznie nasi pracownicy.

Prosimy zapytać nas (privacy@bonnybuy.com), a poinformujemy Państwa, które zabezpieczenie dotyczy danego dostawcy, i prześlemy jego kopię z usuniętymi postanowieniami stanowiącymi tajemnicę handlową.

Okresy, a nie przymiotniki. Każdy z nich liczy się od zdarzenia wskazanego obok.

• Zrealizowane zamówienia, faktury i dokumentacja zwrotów pieniędzy: 7 lat, licząc od końca roku obrotowego, w którym złożono zamówienie. Taki okres dla dokumentacji firmowej wyznacza hongkońskie rozporządzenie podatkowe (Inland Revenue Ordinance) i jest to najdłuższy okres przechowywania czegokolwiek opisanego na tej stronie.
• Zamówienia anulowane, niepotwierdzone podczas rozmowy lub zwrócone do nas jako nieodebrane: 90 dni od daty zamówienia, po czym są usuwane lub ograniczane do wiersza niepowiązanego z żadną osobą.
• Wszystko, co Państwo do nas napiszą, przez formularz lub e-mailem: 24 miesiące od naszej ostatniej odpowiedzi. Jeśli korespondencja dotyczy zamówienia, jest przechowywana razem z nim i podlega okresowi podanemu wyżej.
• Dane bankowe podane do zwrotu pieniędzy: usuwane w ciągu 30 dni od zaksięgowania przelewu. Sama płatność pozostaje w dokumentacji księgowej, bez numeru rachunku.
• Dzienniki techniczne serwera (adres IP, czas, żądana strona, przeglądarka): 12 miesięcy, na potrzeby bezpieczeństwa i wykrywania nadużyć.
• Zapis Państwa wyboru dotyczącego plików cookie: 12 miesięcy, w Państwa przeglądarce i nigdzie indziej, po czym ponownie prosimy o decyzję.

Po upływie okresu dane są usuwane lub ograniczane do liczb, których nie da się już powiązać z konkretną osobą. Jedyny wyjątek: jeśli w chwili upływu okresu nie została jeszcze zakończona skarga, reklamacja lub spór prawny, przechowujemy to, co ich dotyczy, do ich zakończenia i upływu terminu na wniesienie odwołania.

W każdej chwili i bezpłatnie mogą Państwo:

• zapytać, czy mamy Państwa dane, i otrzymać ich kopię (dostęp);
• żądać sprostowania danych nieprawidłowych lub niekompletnych;
• żądać usunięcia danych, gdy nie są nam już potrzebne, gdy wycofają Państwo udzieloną zgodę albo po wniesieniu sprzeciwu, któremu nie możemy przeciwstawić ważniejszego powodu;
• żądać ograniczenia tego, co wolno nam z nimi robić, do czasu wyjaśnienia związanej z nimi wątpliwości;
• otrzymać przekazane nam dane w postaci zwykłego pliku elektronicznego albo żądać przesłania ich bezpośrednio innej firmie (przenoszenie);
• wnieść sprzeciw wobec przetwarzania opartego na naszych prawnie uzasadnionych interesach, z przyczyn związanych z Państwa sytuacją;
• wycofać udzieloną zgodę, w tym wybór dotyczący plików cookie, ze skutkiem na przyszłość;
• żądać, aby człowiek ponownie rozpatrzył każdą decyzję podjętą w sposób zautomatyzowany.

Prosimy napisać do nas (privacy@bonnybuy.com) albo wysłać list na nasz adres pocztowy. Dla Państwa ochrony przed podjęciem działań możemy poprosić o numer zamówienia i numer telefonu użyty przy zamówieniu; o dokument tożsamości prosimy tylko wtedy, gdy nie ma innego sposobu, aby upewnić się, że to Państwo. Odpowiadamy w ciągu 30 dni. Jeśli wniosek jest rzeczywiście złożony, możemy potrzebować do dwóch dodatkowych miesięcy i poinformujemy o tym, podając przyczynę, w ciągu pierwszych trzydziestu dni.

Prosimy dać nam pierwszą szansę na naprawienie sprawy i napisać do nas (privacy@bonnybuy.com). To prośba, a nie warunek. Organ nadzorczy wysłucha Państwa, kiedy tylko Państwo zechcą, bez uprzedniego zwracania się do nas, a skorzystanie z tej drogi nie pozbawia Państwa żadnych innych środków ochrony prawnej. Organem właściwym dla miejsca naszej siedziby jest Urząd Komisarza ds. Prywatności Danych Osobowych w Hongkongu (Office of the Privacy Commissioner for Personal Data, pcpd.org.hk).

Jeśli mieszkają Państwo w Unii Europejskiej, mogą Państwo całkowicie nas pominąć i zwrócić się do organu nadzorczego w miejscu zamieszkania, w miejscu pracy lub tam, gdzie Państwa zdaniem powstał problem. Organ ten musi przyjąć skargę i poinformować Państwa o jej wyniku. Otwarta jest dla Państwa również droga do sądów w Państwa kraju.

Strona jest udostępniana przez szyfrowane połączenie. Oba formularze zawierają jednorazowy token, dzięki czemu zamówienie lub wiadomość można wysłać wyłącznie ze strony tej witryny, a formularz kontaktowy po cichu odrzuca zautomatyzowane zgłoszenia, które stanowią większość tego, co przychodzi. Dane zamówień i wiadomości mogą odczytywać tylko pracownicy, którzy się nimi zajmują, za pośrednictwem konta hostingowego chronionego indywidualnymi loginami i drugim składnikiem uwierzytelniania. Żaden system nie jest całkowicie bezpieczny; jeśli naruszenie kiedykolwiek narazi Państwa na ryzyko, poinformujemy o tym Państwa i organ nadzorczy, zgodnie z wymogami prawa.

Każda zmiana niniejszej polityki zmienia datę podaną na jej początku. Jeśli zmiana wpłynie na los danych, które już posiadamy, w sposób, którego nie mogliby Państwo przewidzieć, napiszemy do Państwa bezpośrednio, o ile będziemy mieli możliwość się z Państwem skontaktować.