Polityka prywatności

Kto odpowiada za twoje dane

Administratorem twoich danych osobowych jest 10ML, operator serwisu 10ml.com. We wszystkich sprawach dotyczących tej polityki, a także jeśli chcesz skorzystać z któregokolwiek ze swoich praw, napisz na adres contact@10ml.com. Twoja wiadomość trafia bezpośrednio do osób, które zajmują się danymi klientów.

Jakie dane zbieramy i dlaczego

• Gdy składasz zamówienie: imię i nazwisko, adres e-mail, adres dostawy, numer telefonu (przekazywany kurierowi wyłącznie na potrzeby doręczenia), kupione produkty i zapłacona kwota. Wykorzystujemy je, aby przyjąć płatność, spakować i dostarczyć zamówienie, wysyłać e-maile dotyczące zamówienia, obsługiwać zwroty i prowadzić dokumentację księgową wymaganą przez prawo. Podstawą prawną jest wykonanie zawartej z tobą umowy (art. 6 ust. 1 lit. b RODO) oraz nasze obowiązki prawne wynikające z przepisów podatkowych i rachunkowych (art. 6 ust. 1 lit. c). Bez tych danych nie możemy zrealizować zamówienia.
• Gdy płacisz: płatność obsługuje Stripe. Otrzymujemy jej wynik i ograniczone dane karty, takie jak jej rodzaj i cztery ostatnie cyfry, nigdy pełny numer. Stripe sprawdza też każdą płatność pod kątem oszustw, korzystając m.in. z twojego adresu IP i informacji o urządzeniu. Podstawy prawne: zawarta z tobą umowa oraz prawnie uzasadniony interes w zapobieganiu oszustwom, który mamy wspólnie ze Stripe (art. 6 ust. 1 lit. f).
• Gdy zakładasz konto: imię i nazwisko, adres e-mail, hasło (przechowywane wyłącznie w zakodowanej postaci, jako skrót kryptograficzny), zapisane adresy i historia zamówień. Jeśli logujesz się przez Google lub Facebook, otrzymujemy od nich twoje imię i nazwisko, adres e-mail i identyfikator konta. Nigdy nie widzimy twojego hasła do tych serwisów i nigdy niczego nie publikujemy w twoim imieniu. Podstawa prawna: zawarta z tobą umowa.
• Gdy do nas piszesz: twój adres e-mail i treść wiadomości, abyśmy mogli odpowiedzieć. Podstawa prawna: nasz prawnie uzasadniony interes w udzieleniu ci odpowiedzi lub zawarta z tobą umowa, jeśli wiadomość dotyczy zamówienia.
• Gdy zapisujesz się do newslettera: twój adres e-mail, na który wysyłamy nowości i aktualności od 10ML. Podstawa prawna: twoja zgoda (art. 6 ust. 1 lit. a). Każdy newsletter zawiera link do wypisania się, a zgodę możesz wycofać w dowolnym momencie.
• Gdy przeglądasz stronę: nasze serwery przetwarzają twój adres IP, typ przeglądarki i adresy stron, które otwierasz, bo bez tego nie da się wyświetlić strony internetowej ani zapewnić jej bezpieczeństwa. Na podstawie adresu IP ustalamy też, w jakim kraju jesteś, aby strona produktu mogła pokazać informacje o dostawie do tego kraju. Twoja przeglądarka zapamiętuje kod kraju na 24 godziny; w tym celu nie przechowujemy adresu IP. Podstawa prawna: nasz prawnie uzasadniony interes w prowadzeniu bezpiecznego, sprawnie działającego sklepu (art. 6 ust. 1 lit. f).
• Skąd trafiasz na stronę: przy twojej pierwszej wizycie zapisujemy stronę, od której ją zaczynasz, witrynę, która cię do nas skierowała, ewentualne tagi kampanii w linku (np. utm_source), a jeśli trafiasz do nas z asystenta AI, takiego jak ChatGPT, Perplexity, Gemini, Copilot lub Claude, to także informację, z którego. Jeśli przychodzisz z reklamy Google, Meta lub TikTok, zachowujemy też zawarty w linku identyfikator kliknięcia reklamy. Twoja przeglądarka przechowuje te informacje w naszych własnych plikach cookie, a przy zakupie są one dołączane do zamówienia, dzięki czemu wiemy, które kanały przyciągają klientów. Podstawa prawna: nasz prawnie uzasadniony interes w ustaleniu, które z naszych działań marketingowych przynoszą efekty (art. 6 ust. 1 lit. f RODO).
• Analityka w PostHog: PostHog rejestruje oglądane przez ciebie strony i główne etapy zakupów: obejrzenie produktu, dodanie go do koszyka, otwarcie koszyka, rozpoczęcie realizacji zamówienia i złożenie zamówienia (wraz z jego wartością i pojemnościami, nigdy z twoim imieniem i nazwiskiem, adresem e-mail ani adresem). Odnotowuje też, gdzie na stronie użytkownicy klikają i jak daleko ją przewijają, co widzimy w postaci map cieplnych. Nie ustawia żadnych plików cookie. Aby odróżnić od siebie wizyty z jednego dnia, PostHog tworzy jednokierunkowy kod z twojego adresu IP, danych przeglądarki i adresu naszej strony przy użyciu klucza, który zmienia się codziennie, a następnie usuwa adres IP i dane przeglądarki. Gdy składasz zamówienie, nasz serwer przesyła je do PostHog wraz z adresem IP i danymi przeglądarki z realizacji zamówienia, dzięki czemu trafia ono pod ten sam kod. PostHog nie nagrywa twojego ekranu ani sesji.
• Analityka w Google Analytics: Google Analytics 4 mierzy wizyty, ich źródła, produkty oglądane i dodawane do koszyka oraz zakupy. Korzysta z plików cookie wymienionych w naszej polityce plików cookie. Gdy składasz zamówienie, nasz serwer dodatkowo zgłasza zakup do Google Analytics (za pomocą jego Measurement Protocol) z numerem zamówienia, wartością, produktami oraz kodami użytkownika i wizyty z tych plików cookie, dzięki czemu zakup zostaje policzony nawet wtedy, gdy twoja przeglądarka zablokowała tag. Do Google Analytics nie trafia żadne imię i nazwisko, adres e-mail ani adres.
• Reklama w Google Ads: tag Google Ads rejestruje wizyty, produkty dodane do koszyka, rozpoczęte realizacje zamówień i zakupy, abyśmy mogli sprawdzić, które reklamy prowadzą do sprzedaży, i wyświetlać nasze reklamy osobom, które odwiedziły sklep. Na stronie potwierdzenia zamówienia tag otrzymuje także twój adres e-mail, numer telefonu oraz imię i nazwisko w postaci jednokierunkowego skrótu (konwersje rozszerzone), co pozwala Google powiązać zakup z kliknięciem reklamy bez otrzymywania tych danych w czytelnej formie.
• Reklama w Meta (Facebook i Instagram): Piksel Meta rejestruje wyświetlenia stron, obejrzenia produktów, produkty dodane do koszyka, rozpoczęte realizacje zamówień i zakupy. Nasz serwer przesyła te same zdarzenia do Meta za pośrednictwem jej Conversions API, wraz z twoim adresem IP, danymi przeglądarki i kodami z plików cookie Meta zapisanych w twojej przeglądarce, dzięki czemu zdarzenie zostaje policzone nawet wtedy, gdy piksel jest zablokowany. W przypadku zakupów piksel i serwer przesyłają też twój adres e-mail, numer telefonu, imię i nazwisko, miejscowość, kod pocztowy, kraj i numer klienta w postaci jednokierunkowego skrótu, a także wartość zamówienia i produkty. Meta wykorzystuje te dane do mierzenia skuteczności naszych reklam i wyświetlania ich osobom, które mogą być nimi zainteresowane.
• Podstawa prawna analityki i reklamy: nasz prawnie uzasadniony interes w zrozumieniu, jak używany jest sklep, w jego ulepszaniu oraz w mierzeniu i prowadzeniu naszych działań reklamowych (art. 6 ust. 1 lit. f RODO). W każdej chwili możesz wnieść sprzeciw, a większość tych narzędzi możesz wyłączyć samodzielnie (zob. „Jak wyłączyć śledzenie” poniżej).
• Monitorowanie błędów: gdy coś na stronie przestaje działać, Sentry otrzymuje raport techniczny: opis błędu, adres strony oraz typ przeglądarki i urządzenia. Usługa jest skonfigurowana tak, aby nie zbierać twojego imienia i nazwiska ani adresu e-mail, a nagrywanie sesji jest wyłączone. Podstawa prawna: nasz prawnie uzasadniony interes w sprawnie działającym sklepie (art. 6 ust. 1 lit. f).

Komu przekazujemy dane

Nie sprzedajemy ani nie wynajmujemy danych osobowych. Poniżsi usługodawcy przetwarzają dane w naszym imieniu, na podstawie umów powierzenia przetwarzania danych i wyłącznie na nasze polecenie:

• Vercel hostuje stronę internetową.
• Render hostuje system obsługujący nasze zamówienia i konta, na serwerach w UE.
• Supabase obsługuje naszą bazę danych, na serwerach w UE.
• Stripe przetwarza płatności. W zakresie zapobiegania oszustwom i obowiązków wynikających z przepisów regulujących rynek finansowy Stripe działa jako odrębny administrator, zgodnie z własną polityką prywatności.
• Resend wysyła nasze e-maile dotyczące zamówień i kont.
• Google Workspace hostuje naszą skrzynkę pocztową, do której trafiają twoje wiadomości.
• PostHog dostarcza opisaną wyżej analitykę bez plików cookie, z serwerów w UE.
• Google dostarcza Google Analytics i Google Ads, jak opisano powyżej.
• Meta dostarcza Meta Pixel i Conversions API, jak opisano powyżej.
• Sentry zapewnia monitorowanie błędów, z serwerów w UE.
• Cloudflare przechowuje i dostarcza zdjęcia na naszej stronie.

Dane przekazujemy również:

• firmom Google i Meta, które otrzymywane dane pomiarowe wykorzystują również do własnych celów, takich jak prowadzenie i ulepszanie swoich systemów reklamowych. W tych celach działają jako odrębni administratorzy zgodnie z własnymi politykami prywatności;
• naszym partnerom magazynowym i kurierskim, którzy otrzymują twoje imię i nazwisko, adres dostawy, numer telefonu i zawartość zamówienia, aby móc je spakować i dostarczyć;
• Google lub Facebookowi, wyłącznie wtedy, gdy zdecydujesz się logować za ich pośrednictwem; działają one jako odrębni administratorzy zgodnie z własnymi politykami prywatności;
• organom władzy, sądom i doradcom zawodowym, jeśli wymaga tego prawo lub jest to niezbędne do ustalenia, dochodzenia lub obrony roszczeń.

Przekazywanie danych poza UE

Nasza baza danych, system zamówień, analityka PostHog i monitorowanie błędów działają w UE. Niektórzy z wymienionych wyżej usługodawców, w tym Vercel, Stripe, Resend, Google, Meta i Cloudflare, mają siedzibę w Stanach Zjednoczonych lub mogą tam przetwarzać dane. Takie przekazywanie odbywa się na podstawie ramowych zasad ochrony danych UE–USA (Data Privacy Framework) w przypadku certyfikowanych usługodawców lub standardowych klauzul umownych Komisji Europejskiej.

Jak długo przechowujemy dane

• Zamówienia i faktury: tak długo, jak wymagają tego przepisy podatkowe i rachunkowe, czyli nawet do dziesięciu lat.
• Twoje konto: do czasu jego zamknięcia. Następnie usuwamy dane konta, z wyjątkiem dokumentacji zamówień, którą musimy przechowywać.
• Korespondencja e-mail z nami: tak długo, jak jest nam potrzebna do załatwienia twojej sprawy, i nie dłużej niż trzy lata od jej zakończenia.
• Newsletter: do czasu wypisania się.
• Twój koszyk: twoja przeglądarka pozostaje z nim powiązana przez 30 dni od ostatniej zmiany w koszyku.
• Źródło twojej wizyty: zapis pierwszej wizyty przechowujemy do 365 dni, kody kliknięć w reklamy przez 90 dni, a przejście z asystenta AI bierzemy pod uwagę przez 30 dni. Gdy składasz zamówienie, kopię tych informacji zapisujemy w zamówieniu i przechowujemy tak długo jak dokumentację zamówień.
• Analityka: Google Analytics przechowuje dane o wizytach i zdarzeniach nie dłużej niż 14 miesięcy. PostHog przechowuje zdarzenia analityczne od roku do siedmiu lat, w zależności od naszego planu w PostHog, i nigdy wraz z twoim adresem IP. Związane z nimi pliki cookie są przechowywane przez okres podany w naszej polityce plików cookie.
• Reklama: dane otrzymywane przez Google Ads i Meta są przechowywane zgodnie z ich własnymi zasadami przechowywania; poza dokumentacją zamówienia nie przechowujemy ich osobnej kopii.
• Logi serwera i raporty błędów: przez krótki czas, po którym są automatycznie usuwane; raporty błędów przechowujemy nie dłużej niż 90 dni.

Twoje prawa

Na mocy RODO masz prawo do:

• otrzymania kopii danych osobowych, które przechowujemy na twój temat (prawo dostępu);
• sprostowania nieprawidłowych danych;
• usunięcia danych, jeśli nie mamy podstawy prawnej do ich przechowywania;
• ograniczenia przetwarzania twoich danych do czasu wyjaśnienia zgłoszonych co do nich wątpliwości;
• otrzymania przekazanych nam danych w przenośnym formacie nadającym się do odczytu maszynowego;
• wniesienia sprzeciwu wobec przetwarzania twoich danych na podstawie naszych prawnie uzasadnionych interesów, w tym w celach analitycznych i pomiaru skuteczności reklam;
• wycofania zgody w dowolnym momencie, jeśli przetwarzamy dane na jej podstawie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania.

Napisz na adres contact@10ml.com, a odpowiemy w ciągu miesiąca. Możemy najpierw poprosić cię o potwierdzenie tożsamości. Masz też prawo wnieść skargę do organu nadzorczego ds. ochrony danych, w szczególności w kraju UE, w którym mieszkasz lub pracujesz.

Jak wyłączyć śledzenie

• W przeglądarce: zablokuj lub usuń pliki cookie w ustawieniach przeglądarki albo korzystaj z okna prywatnego, a razem z nimi znikną pliki cookie Google i Meta. Bloker treści całkowicie uniemożliwia wczytanie tagów Google Analytics, Google Ads i Meta. Zablokowanie plików cookie nie zakłóca działania sklepu, ale twój koszyk nie będzie zapamiętywany między wizytami.
• Google Analytics: udostępniany przez Google dodatek do przeglądarki blokujący Google Analytics wyłącza tę usługę na wszystkich stronach.
• Reklamy Google: wyłącz reklamy spersonalizowane w Moim centrum reklam.
• Reklamy Meta: w ustawieniach Facebooka lub Instagrama, w Centrum kont, otwórz „Twoja aktywność poza technologiami Meta”, aby odłączyć lub wyczyścić dane przesyłane do Meta przez sklepy.
• Wszystko inne: napisz na adres contact@10ml.com, aby wnieść sprzeciw wobec analityki lub pomiaru skuteczności reklam albo poprosić o usunięcie danych analitycznych powiązanych z twoimi zamówieniami. Odpowiadamy w ciągu miesiąca.

Zautomatyzowane decyzje

Nie podejmujemy wobec ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie na ciebie wpływają. System Stripe wykrywający oszustwa może automatycznie odrzucić płatność, którą uzna za obarczoną wysokim ryzykiem. Jeśli tak się stanie, napisz do nas, a sprawę sprawdzi człowiek.

Pliki cookie

Pliki cookie i pamięć przeglądarki wykorzystujemy w trzech celach: aby sklep działał (koszyk, logowanie, kasa), aby zapamiętać, skąd przyszła twoja wizyta, oraz na potrzeby opisanych wyżej tagów Google Analytics, Google Ads i Meta. PostHog nie zapisuje żadnych plików cookie. Każdy z nich, wraz z okresem przechowywania, wymieniamy w naszej polityce plików cookie.

Dzieci

Nasz sklep nie jest skierowany do dzieci poniżej 16 lat i nie zbieramy świadomie ich danych osobowych.

Bezpieczeństwo

Każde połączenie z naszą stroną jest szyfrowane. Dane płatnicze pozostają w Stripe, a dostęp do danych klientów mają tylko osoby, które potrzebują go w swojej pracy.

Zmiany w tej polityce

Gdy zmienia się sposób, w jaki wykorzystujemy dane osobowe, aktualizujemy tę politykę i datę na jej początku. O istotnych zmianach poinformujemy też klientów e-mailem.