Polityka prywatności, RODO i cookies Bajlusia.pl

Wersja dokumentu: 19 września 2026 r.

1. Administrator i kontakt

Administratorem danych osobowych przetwarzanych w związku z prowadzeniem sklepu Bajlusia.pl jest NDV GROUP spółka z ograniczoną odpowiedzialnością, ul. Święty Marcin 29/8, 61-806 Poznań, Polska, KRS 0001116341, NIP 7831907999, REGON 529168247.

W sprawach danych osobowych, zgód i realizacji praw możesz skontaktować się z nami pod adresem sklep@bajlusia.pl, telefonicznie: +48 511 476 114, albo listownie na adres siedziby. W wiadomości możesz wpisać „Dane osobowe”. Nie jest to warunek rozpatrzenia żądania.

Niniejsza polityka zawiera informacje wymagane przez art. 13 i 14 RODO. Nie jest zgodą na wszystkie opisane sposoby przetwarzania. Zakup nie wymaga zgody na newsletter, analitykę ani reklamę.

2. Jakie dane otrzymujemy

Przetwarzamy dane odpowiednie do wybranej czynności:

• zamówienie i dostawa: imię i nazwisko, adres dostawy, e-mail, numer telefonu potrzebny do obsługi dostawy, dane zamówienia, wybrany punkt odbioru, dane do faktury, a przy fakturze firmowej także nazwę firmy i NIP;
• płatność: metodę i status płatności, identyfikator transakcji, kwotę, informacje o zwrocie; dane uwierzytelniające płatność podajesz w mechanizmach dostawców płatności;
• konto: e-mail, dane profilu i adresowe, historię zakupów oraz informacje potrzebne do uwierzytelnienia;
• kontakt, zwrot i reklamacja: treść korespondencji, dane pozwalające ustalić zakup i rozpatrzyć sprawę oraz dobrowolnie przekazane załączniki;
• newsletter: e-mail, zapisane preferencje, informację o udzieleniu lub wycofaniu zgody i techniczną obsługę doręczenia wiadomości;
• opinie: ocenę, treść opinii, wyświetlane imię lub pseudonim, e-mail używany do weryfikacji, powiązanie z zakupem, a także dobrowolnie dodane materiały;
• korzystanie ze strony: adres IP, dane urządzenia i przeglądarki, zdarzenia techniczne, informacje o sesji oraz — po odpowiedniej zgodzie — identyfikatory i zdarzenia analityczne lub reklamowe, takie jak odwiedzenie produktu, dodanie do koszyka i zakup.

Nie potrzebujemy numeru PESEL, skanu dokumentu tożsamości ani danych o zdrowiu do zwykłego zakupu, zwrotu czy reklamacji. Prosimy nie zamieszczać w opiniach i załącznikach zbędnych danych dzieci ani danych innych osób.

3. Cele, podstawy prawne i okresy przechowywania

Zamówienia, dostawa i płatności

Przetwarzamy dane, aby przyjąć i wykonać zamówienie, skontaktować się w sprawie jego realizacji oraz obsłużyć płatność i zwrot. Podstawą jest art. 6 ust. 1 lit. b RODO — zawarcie i wykonanie umowy z osobą fizyczną. Dane przechowujemy przez czas realizacji umowy, a następnie tylko w zakresie potrzebnym do obowiązków prawnych i roszczeń opisanych poniżej.

Jeżeli działasz jako pracownik lub przedstawiciel kupującej firmy, podstawą przetwarzania danych kontaktowych jest art. 6 ust. 1 lit. f RODO: nasz uzasadniony interes polegający na obsłudze umowy z reprezentowanym podmiotem i utrzymywaniu kontaktu biznesowego.

Dokumenty księgowe i obowiązki prawne

Dokumentujemy sprzedaż, rozliczamy podatki i wykonujemy obowiązki dotyczące praw konsumenta na podstawie art. 6 ust. 1 lit. c RODO. Dokumenty podatkowe przechowujemy co do zasady przez 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku, a dokumenty księgowe przez okres wymagany ustawą o rachunkowości. Termin może ulec wydłużeniu, np. wskutek zawieszenia lub przerwania biegu przedawnienia zobowiązania podatkowego. Nie oznacza to przechowywania przez taki okres wszystkich danych marketingowych czy całego konta.

Konto klienta

Prowadzimy konto na podstawie art. 6 ust. 1 lit. b RODO, przez czas świadczenia tej usługi. Po zamknięciu konta usuwamy albo anonimizujemy dane, których dalsze przechowywanie nie ma odrębnej podstawy. Zamknięcie konta nie wymaga usunięcia dokumentacji rozliczeniowej lub dotyczącej niezakończonej reklamacji.

Kontakt, reklamacje, odstąpienie i roszczenia

Odpowiadamy na pytania związane z umową na podstawie art. 6 ust. 1 lit. b RODO, a obowiązki ustawowe realizujemy na podstawie lit. c. Przy pozostałej korespondencji oraz ustalaniu, dochodzeniu lub obronie roszczeń podstawą jest lit. f — uzasadniony interes polegający na obsłudze zgłoszeń i ochronie praw.

Korespondencję przechowujemy do zakończenia sprawy, a gdy dokumentuje umowę, reklamację lub potencjalny spór — do upływu właściwego terminu przedawnienia. Terminy zależą od rodzaju roszczenia; zasadniczo wynoszą 6 lat, a dla roszczeń związanych z działalnością gospodarczą 3 lata, przy czym przepisy szczególne mogą przewidywać inne terminy. Dane objęte rzeczywistym postępowaniem przechowujemy do jego prawomocnego zakończenia i rozliczenia. Nie wykorzystujemy tego celu do bezterminowego przechowywania wszystkich danych.

Newsletter

Wysyłamy newsletter na podstawie art. 6 ust. 1 lit. a RODO oraz zgody na komunikację elektroniczną wymaganej przez Prawo komunikacji elektronicznej. Korzystamy z Shopify Email / Shopify Messaging. Dane w aktywnej bazie marketingowej przetwarzamy do wycofania zgody albo zakończenia prowadzenia newslettera, zależnie od tego, co nastąpi wcześniej.

Możesz zrezygnować przez link w wiadomości lub e-mail do nas. Nie wpływa to na zgodność wcześniejszego przetwarzania z prawem. Po rezygnacji możemy zachować minimalny zapis wycofania zgody, aby nie wysłać kolejnych wiadomości, oraz dowód zgody niezbędny do wykazania zgodności lub obrony roszczeń — na podstawie art. 6 ust. 1 lit. f RODO, przez właściwy okres przedawnienia. Taki zapis nie jest wykorzystywany do dalszego marketingu.

Wiadomości dotyczące zamówienia, płatności lub reklamacji są komunikacją potrzebną do obsługi zakupu, a nie newsletterem. Rezygnacja z newslettera ich nie blokuje.

Nie prowadzimy indywidualnego śledzenia otwarć i kliknięć w newsletterze bez odrębnej, odpowiedniej zgody. Techniczna informacja o doręczeniu, błędzie lub rezygnacji służy prawidłowej obsłudze wysyłki. Jeżeli w przyszłości zaproponujemy dodatkowy pomiar aktywności odbiorcy, przed jego uruchomieniem poinformujemy o zakresie danych i uzyskamy wymaganą zgodę; odmowa nie wyłączy samego newslettera.

Opinie klientów

Przyjmowanie, publikowanie i zarządzanie dobrowolnie przesłaną opinią odbywa się na podstawie art. 6 ust. 1 lit. b RODO, w celu wykonania usługi publikacji opinii. Sprawdzanie autentyczności i przeciwdziałanie nadużyciom opieramy na lit. f — interesie rzetelnego informowania klientów i ochrony wiarygodności ocen. Obowiązki prawne związane ze zgłoszeniami treści realizujemy na podstawie lit. c.

Opinia jest przechowywana przez okres jej publikowania przy produkcie lub w sklepie. Możesz poprosić o jej usunięcie lub zmianę oznaczenia autora. Po zakończeniu publikacji pozostawiamy wyłącznie dane potrzebne do rozpatrzenia zgłoszenia, wykonania obowiązku prawnego lub ochrony przed konkretnymi roszczeniami. Sama dobrowolność napisania opinii nie oznacza zgody na niezwiązane z nią kampanie reklamowe.

Bezpieczeństwo i niezbędne funkcje

Zapewniamy bezpieczeństwo strony, przeciwdziałamy nadużyciom i diagnozujemy błędy na podstawie art. 6 ust. 1 lit. f RODO. Niezbędne operacje koszyka, konta i zamówienia służą także wykonaniu umowy — lit. b. Logi przechowujemy przez czas niezbędny do wykrycia i wyjaśnienia zdarzeń zgodnie z cyklem technicznym usług; zapisy dotyczące stwierdzonego incydentu mogą być zachowane do jego wyjaśnienia oraz zakończenia związanych z nim roszczeń. Zakres danych ograniczamy do potrzeb danego celu.

Analityka i reklama

Opcjonalna analityka Google Analytics i wykorzystanie Meta Pixel do pomiaru oraz reklamy odbywają się po odpowiedniej zgodzie — art. 6 ust. 1 lit. a RODO oraz zgoda wymagana na dostęp do urządzenia. Przetwarzanie w tych celach kończymy po wycofaniu zgody; istniejące dane usuwamy lub anonimizujemy zgodnie z funkcjami dostawcy i właściwymi okresami retencji. W naszym Google Analytics okres przechowywania danych użytkowników i zdarzeń podlegających ustawieniu retencji wynosi 2 miesiące; nie dotyczy to zagregowanych raportów niezawierających danych osobowych. Wycofanie zgody nie powoduje automatycznie usunięcia danych, dla których istnieje odrębna podstawa prawna.

4. Czy podanie danych jest konieczne

Podanie danych jest dobrowolne, ale bez danych wymaganych do zamówienia nie możemy zawrzeć lub wykonać umowy i dostarczyć towaru. Dane wymagane do prawidłowego dokumentu sprzedaży wynikają również z przepisów. Pola niezbędne są oznaczone w formularzach.

Konto, newsletter, opinia oraz zgody analityczne i reklamowe są dobrowolne. Ich niewybranie nie uniemożliwia zakupu. Niektóre dodatkowe funkcje wymagają danych tylko do ich własnego działania.

5. Odbiorcy danych

Udostępniamy dane tylko w zakresie potrzebnym do danego celu:

• Shopify, w szczególności Shopify International Limited w Irlandii i upoważnionym podwykonawcom — infrastruktura sklepu, konta, zamówienia i komunikacja;
• partnerom logistycznym i podmiotom realizującym magazynowanie, kompletowanie oraz wysyłkę zamówień w Polsce — dane odbiorcy, kontaktowe i zamówienia konieczne do przygotowania przesyłki;
• przewoźnikom i operatorom odbioru przesyłek, w szczególności z grup InPost, GLS i DHL, odpowiednio do wybranej dostawy;
• dostawcom płatności Shopify Payments i współpracującym z nim operatorom, Przelewy24, PayPal oraz dostawcom Apple Pay i Google Pay, w zakresie wybranej metody;
• Judge.me Ltd — obsługa i weryfikacja opinii;
• Google Ireland Limited — Google Analytics, po zgodzie na analitykę;
• Meta Platforms Ireland Limited — Meta Pixel i funkcje reklamowe, po zgodzie na marketing;
• dostawcom obsługi IT, księgowości i doradztwa prawnego, jeżeli dostęp jest niezbędny do wykonania ich zadań;
• organom lub innym podmiotom uprawnionym do otrzymania danych na podstawie prawa.

Podmiot przetwarzający dane w naszym imieniu działa na podstawie odpowiedniej umowy i instrukcji. Niektórzy odbiorcy, np. operatorzy płatności w zakresie własnych obowiązków prawnych, działają jako odrębni administratorzy. Rola odbiorcy zależy od konkretnej czynności, a nie wyłącznie od nazwy usługi.

Korzystanie z partnera obsługującego wysyłkę nie zmienia tego, że sprzedawcą i podmiotem odpowiedzialnym za zamówienie jest NDV GROUP sp. z o.o.

6. Shopify, opinie i narzędzia pomiarowe

Shopify

Shopify przetwarza dane na nasze zlecenie, a przy określonych rozszerzonych usługach, w tym Shopify Network Intelligence, może działać również jako odrębny administrator. Funkcje te mogą wykorzystywać dane o interakcjach i transakcjach z różnych sklepów do ulepszania usług, personalizacji i pomiaru. Cele wymagające zgody uruchamiane są dopiero po jej uzyskaniu. Informacje o własnym przetwarzaniu Shopify i prawach wobec tego podmiotu znajdują się w polityce prywatności Shopify dla konsumentów.

Judge.me

Opublikowana opinia, wyświetlane imię lub pseudonim i dodane materiały są widoczne dla innych odwiedzających. E-mail służący weryfikacji nie jest przeznaczony do publikacji. Mechanizm weryfikacji opisuje regulamin sklepu. Jeśli samodzielnie korzystasz także z konta lub profilu prowadzonego bezpośrednio przez Judge.me, zastosowanie mogą mieć dodatkowe zasady tego usługodawcy: polityka prywatności Judge.me.

Google Analytics

Po zgodzie narzędzie pomaga mierzyć ruch, korzystanie ze strony i skuteczność oferty. Może przetwarzać identyfikatory internetowe, informacje o urządzeniu, źródle wizyty, odwiedzanych stronach i zdarzeniach zakupowych. Nie traktujemy identyfikatorów pseudonimowych jako danych anonimowych. Informacje dostawcy: polityka prywatności Google.

Meta Pixel

Po zgodzie narzędzie umożliwia pomiar skuteczności reklam, tworzenie grup odbiorców i wyświetlanie reklam dopasowanych do aktywności, np. oglądanych produktów. Meta może powiązać otrzymane zdarzenia z kontem użytkownika we własnych usługach. W zakresie wspólnego ustalania celów i sposobów zbierania oraz przekazywania danych poprzez Pixel występuje współadministrowanie z Meta Platforms Ireland Limited. Dalsze własne przetwarzanie przez Meta podlega zasadom tego podmiotu.

Istotne zasady podziału odpowiedzialności opisują warunki wspólnego przetwarzania narzędzi Meta. Informacje o danych i prawach: polityka prywatności Meta. Prawa dotyczące wspólnego przetwarzania możesz zgłaszać zarówno nam, jak i Meta.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Sam magazyn wysyłkowy znajduje się w Polsce. Dostawcy technologii i ich podwykonawcy mogą jednak przetwarzać dane także poza EOG, w szczególności w USA, Kanadzie i Wielkiej Brytanii. Nie deklarujemy, że wszystkie dane pozostają w Polsce lub wyłącznie na europejskich serwerach.

Przekazanie wymaga podstawy przewidzianej w rozdziale V RODO: decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, jeżeli obejmuje dany transfer i odbiorcę, albo odpowiednich zabezpieczeń, takich jak standardowe klauzule umowne lub zatwierdzone wiążące reguły korporacyjne. W razie potrzeby stosuje się środki uzupełniające. W przypadku USA decyzja dotycząca Data Privacy Framework ma zastosowanie tylko do odbiorców objętych ważną certyfikacją w odpowiednim zakresie.

Możesz uzyskać informacje o zastosowanej podstawie transferu i kopię odpowiednich zabezpieczeń, kontaktując się z nami pod adresem sklep@bajlusia.pl. Kopia może wymagać usunięcia informacji prawnie chronionych, bez ograniczenia możliwości oceny ochrony Twoich danych.

8. Cookies, pamięć przeglądarki i zgody

Cookies to małe pliki zapisywane na urządzeniu. Sklep może używać również podobnych technologii, np. pamięci localStorage i pikseli. Zasady zgody odnoszą się także do podobnych sposobów zapisywania lub odczytywania informacji.

Rozróżniamy:

1. Niezbędne — bezpieczeństwo, koszyk, logowanie, realizacja płatności i zapamiętanie wyboru prywatności. Nie wymagają zgody, jeśli są rzeczywiście konieczne do transmisji lub wyraźnie żądanej usługi.
2. Preferencje — opcjonalne zapamiętywanie wyborów. Zgody nie wymaga jedynie zapis ściśle konieczny do funkcji, o którą użytkownik wyraźnie poprosił; inne opcjonalne zapisy wymagają wyboru w ustawieniach.
3. Analityczne — statystyki korzystania ze sklepu, w tym Google Analytics. Wymagają uprzedniej zgody.
4. Marketingowe — pomiar reklam, dopasowanie reklamy i grup odbiorców, w tym Meta Pixel. Wymagają uprzedniej zgody.

Przed zgodą opcjonalne narzędzia nie są uruchamiane. Możesz zaakceptować wszystkie, odrzucić opcjonalne albo wybrać kategorie w panelu zgód. Brak działania, przewijanie strony lub samo korzystanie ze sklepu nie oznaczają zgody.

Wybór możesz zmienić lub wycofać przez odnośnik „Ustawienia cookies” w stopce. Wycofanie powinno być równie łatwe jak udzielenie zgody i nie wpływa na wcześniejsze zgodne z prawem przetwarzanie. Zablokowanie niezbędnych cookies w przeglądarce może utrudnić koszyk, logowanie lub płatność.

Szczegółowe nazwy technologii, dostawców, cele i okresy ich działania są udostępniane w panelu cookies przed wyrażeniem zgody. Cookies sesyjne znikają po zakończeniu sesji; trwałe działają do upływu wskazanego okresu lub wcześniejszego usunięcia. Okres działania pliku na urządzeniu nie jest tym samym co okres przechowywania danych u dostawcy.

Jeżeli korzystasz z ulubionych zapisywanych lokalnie, lista służy odtworzeniu wybranych produktów na tym urządzeniu; możesz ją zmienić w funkcji ulubionych lub usunąć przez wyczyszczenie danych strony. Nie jest to sama w sobie zgoda reklamowa.

9. Profilowanie i decyzje automatyczne

Po zgodzie marketingowej informacje o aktywności mogą służyć przypisaniu do grupy zainteresowań i dopasowaniu reklam. Taki profil może wpływać na to, jaką reklamę zobaczysz. Możesz odmówić lub wycofać tę zgodę.

W ramach prowadzenia sklepu nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na automatycznym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały w rozumieniu art. 22 RODO. Dostawcy płatności mogą odrębnie stosować własne procedury bezpieczeństwa i weryfikacji opisane w swoich informacjach o prywatności.

10. Twoje prawa

Na zasadach i w granicach wynikających z RODO możesz żądać:

• dostępu do danych i ich kopii;
• sprostowania danych;
• usunięcia danych, gdy zachodzą ustawowe przesłanki;
• ograniczenia przetwarzania;
• przeniesienia danych przetwarzanych automatycznie na podstawie zgody lub umowy;
• informacji o odbiorcach danych, zgodnie z zakresem prawa dostępu.

Możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie z przyczyn związanych z Twoją szczególną sytuacją. W przypadku marketingu bezpośredniego sprzeciw jest skuteczny bez potrzeby uzasadnienia i obejmuje związane z nim profilowanie.

Zgodę możesz wycofać w dowolnym momencie. Nie narusza to zgodności z prawem działań sprzed jej wycofania. Usunięcie nie obejmuje danych, które nadal musimy przechowywać na innej zgodnej z prawem podstawie.

Odpowiadamy bez zbędnej zwłoki, zasadniczo w ciągu miesiąca. Przy skomplikowanym żądaniu lub dużej liczbie żądań termin może zostać przedłużony o dwa miesiące; o przyczynie i przedłużeniu informujemy w pierwszym miesiącu. Gdy istnieją uzasadnione wątpliwości co do tożsamości, prosimy tylko o informacje proporcjonalnie potrzebne do jej potwierdzenia.

Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Aktualne sposoby kontaktu i złożenia skargi znajdziesz na uodo.gov.pl. Nie musisz najpierw wyczerpać procedury kontaktu z nami.

11. Dane otrzymane od innej osoby

Jeśli kupujący wskazuje Cię jako odbiorcę przesyłki, otrzymujemy od niego Twoje imię i nazwisko, adres dostawy oraz przekazane dane kontaktowe. Podobnie firma może przekazać dane swojego przedstawiciela. Źródłem jest wówczas osoba składająca zamówienie lub reprezentowany podmiot, a nie publiczna baza danych.

Przetwarzamy te dane w uzasadnionym interesie polegającym na realizacji zamówionej dostawy lub kontakcie dotyczącym umowy — art. 6 ust. 1 lit. f RODO — oraz w celu wykonania obowiązków prawnych. Obowiązują odpowiednie opisane powyżej zasady dotyczące odbiorców, przechowywania i praw. Nie zapisujemy tak wskazanej osoby do newslettera bez jej własnej zgody. Informacje wymagane przez art. 14 RODO przekazujemy w ustawowym terminie, chyba że zachodzi rzeczywisty wyjątek przewidziany prawem.

12. Aktualizacja informacji

Aktualizujemy politykę w razie zmiany sposobów przetwarzania, narzędzi lub prawa. Publikujemy datę wersji, a istotne zmiany komunikujemy odpowiednio do ich charakteru. Sama zmiana dokumentu nie stanowi zgody na nowe cele przetwarzania. Nowa zgoda, jeżeli jest potrzebna, jest uzyskiwana odrębnie.