Polityka Prywatności

Data ostatniej aktualizacji: 28 sierpnia 2026 r.

I. Postanowienia ogólne

1. Niniejsza Polityka prywatności określa zasady zbierania, przetwarzania i przechowywania danych osobowych Użytkowników w związku z korzystaniem ze sklepu internetowego dostępnego pod adresem mariahempeldyblik.pl (dalej: Sklep).

2. Dane osobowe przetwarzane są zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: RODO), ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych oraz ustawą z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz. U. poz. 1221) w zakresie dotyczącym plików cookies i informacji handlowej.

3. Administrator zbiera wyłącznie dane niezbędne do realizacji celów opisanych w niniejszej Polityce.

II. Administrator danych osobowych

Administratorem danych osobowych zbieranych za pośrednictwem Sklepu jest:

Corncrake Michał Lewandowski
ul. Promień 33/11, 51-659 Wrocław
NIP: 898-203-68-76
Telefon: +48 733 869 037
E-mail: kontakt@mariahempeldyblik.pl

Wszelkie zapytania dotyczące przetwarzania danych osobowych oraz zgłoszenia dotyczące realizacji praw opisanych w rozdziale X należy kierować na powyższy adres e-mail lub adres korespondencyjny.

Administrator nie powołał Inspektora Ochrony Danych.

III. Jakie dane przetwarzamy

1. Dane podawane bezpośrednio przez Użytkownika:

imię i nazwisko,
adres dostawy i adres rozliczeniowy,
adres e-mail,
numer telefonu,
nazwa firmy i NIP — w przypadku zakupu na fakturę,
numer rachunku bankowego — w przypadku zwrotu środków,
treść wiadomości przesłanej przez formularz kontaktowy lub pocztą elektroniczną,
login i hasło — w przypadku założenia konta w Sklepie,
adres e-mail, imię i nazwisko, status subskrypcji oraz odrębna zgoda na śledzenie aktywności w wiadomościach — w przypadku zapisu na newsletter.

2. Dane zbierane automatycznie podczas korzystania ze Sklepu:

adres IP oraz wynikająca z niego przybliżona lokalizacja,
typ i wersja przeglądarki, system operacyjny, typ urządzenia, rozdzielczość ekranu,
adres strony, z której nastąpiło przejście do Sklepu, oraz parametry adresu URL, w tym identyfikatory kampanii reklamowych,
historia przeglądanych podstron i produktów, czas wizyty oraz zdarzenia takie jak dodanie produktu do koszyka czy złożenie zamówienia,
identyfikatory nadawane w plikach cookies i w pamięci lokalnej przeglądarki,
zapis interakcji ze stroną — ruchy kursora, kliknięcia, przewijanie — w postaci nagrań sesji i map cieplnych, wyłącznie po wyrażeniu zgody,
adres IP zapisywany w chwili zapisu na newsletter — jako dowód udzielenia zgody,
informacje o otwarciu wiadomości newslettera i kliknięciach w zawarte w niej odnośniki — wyłącznie po wyrażeniu odrębnej zgody na śledzenie aktywności.

3. Dane pochodzące od podmiotów zewnętrznych:

dane zamówień składanych za pośrednictwem platformy Etsy — zamówienia te są pobierane z Etsy przez zewnętrzny system zarządzania zamówieniami i przekazywane do Sklepu za pośrednictwem interfejsu programistycznego,
informacje o statusie płatności otrzymywane od operatora płatności,
informacje o statusie przesyłki otrzymywane od przewoźnika.

Podanie danych jest dobrowolne, ale niezbędne do zawarcia i wykonania umowy sprzedaży, wystawienia dokumentu księgowego i dostarczenia zamówienia. Bez ich podania złożenie zamówienia nie jest możliwe. Podanie danych w celu otrzymywania newslettera jest dobrowolne i nie warunkuje możliwości złożenia zamówienia.

IV. Cele, podstawy prawne i okresy przechowywania

Cel przetwarzania	Podstawa prawna	Okres przechowywania
Zawarcie i wykonanie umowy sprzedaży: realizacja zamówienia, wysyłka, obsługa płatności, kontakt w sprawie zamówienia	art. 6 ust. 1 lit. b RODO — niezbędność do wykonania umowy	Do czasu wykonania umowy, a następnie do upływu terminu przedawnienia roszczeń z niej wynikających
Wystawianie i przechowywanie dokumentów księgowych, rozliczenia podatkowe	art. 6 ust. 1 lit. c RODO — obowiązek prawny wynikający z ustawy o rachunkowości i Ordynacji podatkowej	5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku
Rozpatrywanie reklamacji, zwrotów i odstąpień od umowy	art. 6 ust. 1 lit. c RODO — obowiązek prawny	Do upływu terminu przedawnienia roszczeń
Prowadzenie konta Użytkownika w Sklepie	art. 6 ust. 1 lit. b RODO	Do czasu usunięcia konta przez Użytkownika lub na jego żądanie
Obsługa korespondencji i zapytań przesłanych przez formularz kontaktowy	art. 6 ust. 1 lit. f RODO — uzasadniony interes polegający na udzieleniu odpowiedzi na zapytanie	Do zakończenia korespondencji, a następnie nie dłużej niż 3 lata
Ustalenie, dochodzenie lub obrona przed roszczeniami	art. 6 ust. 1 lit. f RODO — uzasadniony interes	6 lat, a dla roszczeń związanych z prowadzeniem działalności gospodarczej — 3 lata
Zapewnienie bezpieczeństwa Sklepu, diagnostyka i zapobieganie nadużyciom — logi serwera	art. 6 ust. 1 lit. f RODO — uzasadniony interes	Logi dostępu HTTP — 7 dni. Logi błędów aplikacji — usuwane cyklicznie, nie dłużej niż 12 miesięcy. Logi dostępu do skrzynki pocztowej — 30 dni
Rejestrowanie wyrażonych zgód w celu wykazania, że zgoda została udzielona	art. 6 ust. 1 lit. c RODO w związku z art. 7 ust. 1 RODO — obowiązek prawny wykazania zgody	Przez okres ważności zgody, wynoszący 365 dni, a po jej wygaśnięciu lub wycofaniu — przez okres przedawnienia roszczeń związanych z przetwarzaniem danych na jej podstawie. Rekordy przechowywane są w bazie danych Sklepu i nie są przekazywane dostawcy oprogramowania
Wysyłka newslettera — przesyłanie informacji o nowych pracach dostępnych w Sklepie	art. 6 ust. 1 lit. a RODO — zgoda, wyrażona w procedurze podwójnego potwierdzenia (kliknięcie w odnośnik w wiadomości potwierdzającej)	Do wycofania zgody, czyli do momentu wypisania się z newslettera. Adresy niepotwierdzone, przy których nie doszło do kliknięcia w odnośnik potwierdzający, są usuwane po 30 dniach. Renderowana treść wysłanych wiadomości jest usuwana po 30 dniach. Do adresów nieaktywnych przez 12 miesięcy wysyłka jest wstrzymywana
Śledzenie aktywności w wiadomościach newslettera — rejestrowanie otwarć wiadomości i kliknięć w odnośniki w celu dostosowania treści i częstotliwości wysyłki	art. 6 ust. 1 lit. a RODO — odrębna zgoda, wyrażana przy zapisie i możliwa do zmiany w każdej chwili na stronie zarządzania subskrypcją	Do wycofania zgody na śledzenie albo do wypisania się z newslettera
Statystyka i analityka — pomiar ruchu, źródeł wizyt i sposobu korzystania ze Sklepu	art. 6 ust. 1 lit. a RODO — zgoda	Do wycofania zgody. Okresy retencji po stronie dostawcy narzędzia analitycznego: dane zdarzeń — 2 miesiące, dane użytkowników — 14 miesięcy
Marketing, remarketing i personalizacja reklam — wyświetlanie reklam w serwisach Meta i Google, pomiar konwersji, tworzenie grup odbiorców	art. 6 ust. 1 lit. a RODO — zgoda	Do wycofania zgody. Dane przekazane platformom reklamowym przechowywane są zgodnie z politykami tych platform — patrz rozdział VI
Nagrywanie sesji i tworzenie map cieplnych w celu poprawy użyteczności Sklepu	art. 6 ust. 1 lit. a RODO — zgoda	Do wycofania zgody. Okresy retencji po stronie dostawcy narzędzia: nagrania sesji — 30 dni, dane zagregowane i sesje oznaczone — do 13 miesięcy

V. Odbiorcy danych osobowych

Dane osobowe Użytkowników mogą być przekazywane wskazanym niżej odbiorcom, wyłącznie w zakresie niezbędnym do realizacji celów opisanych w rozdziale IV.

1. Kategorie odbiorców w ramach realizacji zamówienia i obsługi Sklepu

Dostawcy usług hostingowych i utrzymania infrastruktury serwerowej z siedzibą na terenie Unii Europejskiej — w zakresie przechowywania danych Sklepu i logów serwera.
Operatorzy płatności elektronicznych z siedzibą w Polsce — w zakresie danych niezbędnych do zrealizowania i rozliczenia transakcji. Podmiotem obsługującym płatności online w Sklepie jest Autopay S.A. z siedzibą w Sopocie.
Operatorzy pocztowi, firmy kurierskie oraz podmioty realizujące kompletację i nadanie przesyłek, działające na terenie Polski i Unii Europejskiej — w zakresie: imię i nazwisko, adres dostawy, numer telefonu, adres e-mail.
Dostawcy oprogramowania do zarządzania zamówieniami oraz wystawiania i archiwizacji dokumentów sprzedaży, z siedzibą w Polsce — w zakresie danych zamówienia i danych do faktury.
Dostawca oprogramowania do zarządzania zgodami — Complianz B.V. z siedzibą w Groningen w Holandii. Podmiot ten nie otrzymuje danych osobowych Użytkowników Sklepu: rekordy wyrażonych zgód przechowywane są wyłącznie w bazie danych Sklepu. Do dostawcy przekazywane są dane techniczne witryny oraz dane kontaktowe Administratora, niezbędne do działania usługi.
Biuro rachunkowe obsługujące Administratora, z siedzibą w Polsce — w zakresie danych zawartych w dokumentach księgowych.
Kancelarie prawne oraz podmioty świadczące usługi windykacyjne z siedzibą w Polsce — wyłącznie w razie potrzeby ustalenia, dochodzenia lub obrony przed roszczeniami.
Organy publiczne — wyłącznie w zakresie i w przypadkach przewidzianych przepisami prawa.

Z podmiotami przetwarzającymi dane w imieniu Administratora zawierane są umowy powierzenia przetwarzania danych osobowych spełniające wymogi art. 28 RODO. Na żądanie skierowane na adres kontakt@mariahempeldyblik.pl Administrator wskaże nazwy konkretnych odbiorców należących do powyższych kategorii.

2. Odbiorcy wskazani z nazwy

Poniżsi odbiorcy wskazani są indywidualnie, ponieważ przekazanie danych wiąże się z ich przetwarzaniem poza Europejskim Obszarem Gospodarczym albo ze współadministrowaniem danymi:

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irlandia — piksel Meta oraz Conversions API. Zakres: identyfikatory z plików cookies, adres IP, informacje o przeglądanych produktach i zdarzeniach zakupowych. Rola: współadministrator — patrz rozdział VII.
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia — narzędzia analityczne i reklamowe. Zakres: identyfikatory z plików cookies, adres IP, zdarzenia w Sklepie, dane o transakcjach.
Microsoft Ireland Operations Limited oraz Microsoft Corporation — narzędzie do analizy zachowań użytkowników. Zakres: nagrania sesji, mapy cieplne, dane techniczne przeglądarki.
Automattic Inc. z siedzibą w San Francisco w Stanach Zjednoczonych oraz Aut O’Mattic A8C Ireland Ltd. z siedzibą w Irlandii — usługa wysyłki newslettera. Zakres: adres e-mail, imię i nazwisko, status subskrypcji oraz — po wyrażeniu odrębnej zgody — informacje o otwarciach wiadomości i kliknięciach w odnośniki.
Etsy Ireland UC oraz Etsy, Inc. — wyłącznie w odniesieniu do zamówień składanych za pośrednictwem platformy Etsy. Etsy występuje w tym zakresie jako odrębny administrator danych.

Wiadomości związane z realizacją zamówienia — potwierdzenia, informacje o wysyłce i dokumenty sprzedaży — nie są wysyłane za pośrednictwem usługi wskazanej powyżej. Usługa ta obsługuje wyłącznie newsletter oraz wiadomości dotyczące samej subskrypcji.

VI. Przekazywanie danych poza Europejski Obszar Gospodarczy

W związku z korzystaniem z narzędzi analitycznych i reklamowych oraz z usługi wysyłki newslettera dane osobowe Użytkowników mogą być przekazywane poza Europejski Obszar Gospodarczy, w szczególności do Stanów Zjednoczonych. Dotyczy to podmiotów wskazanych z nazwy w rozdziale V pkt 2.

W przypadku Meta i Google dane trafiają w pierwszej kolejności do spółek z siedzibą w Irlandii, a następnie mogą być przekazywane odpowiednio do Meta Platforms, Inc. oraz Google LLC w Stanach Zjednoczonych. W przypadku narzędzia analizy zachowań użytkowników dane mogą być przetwarzane przez Microsoft Corporation w Stanach Zjednoczonych.

Podstawą przekazania danych do tych trzech odbiorców jest decyzja wykonawcza Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony danych osobowych zapewniany przez Ramy Ochrony Danych UE–USA (EU–U.S. Data Privacy Framework). Meta Platforms, Inc., Google LLC oraz Microsoft Corporation figurują na liście podmiotów certyfikowanych w ramach tego programu. Uzupełniająco stosowane są standardowe klauzule umowne zatwierdzone przez Komisję Europejską, o których mowa w art. 46 ust. 2 lit. c RODO.

W przypadku usługi wysyłki newslettera dane adresowe subskrybentów przekazywane są do Automattic Inc. w Stanach Zjednoczonych. Podstawą tego przekazania są standardowe klauzule umowne zatwierdzone przez Komisję Europejską, o których mowa w art. 46 ust. 2 lit. c RODO.

Kopię zastosowanych zabezpieczeń można uzyskać, kontaktując się z Administratorem pod adresem kontakt@mariahempeldyblik.pl.

Przekazanie danych do tych odbiorców następuje wyłącznie po wyrażeniu przez Użytkownika zgody — w banerze zgód w przypadku narzędzi analitycznych i reklamowych, a w przypadku newslettera po potwierdzeniu zapisu. W razie braku zgody odpowiednie skrypty nie są uruchamiane, a dane nie są przekazywane.

VII. Współadministrowanie danymi z Meta

W zakresie zbierania danych za pośrednictwem piksela Meta i Conversions API oraz przekazywania ich do Meta w celu tworzenia statystyk i grup odbiorców reklam Administrator oraz Meta Platforms Ireland Limited występują jako współadministratorzy w rozumieniu art. 26 RODO.

Podział odpowiedzialności określa dokument przyjęty przez Meta — Dodatek dotyczący współadministrowania danymi (Controller Addendum), stanowiący element Warunków korzystania z narzędzi biznesowych Meta. Istota uzgodnień dostępna jest pod adresem: https://www.facebook.com/legal/controller_addendum.

Meta odpowiada za realizację praw osób, których dane dotyczą, w odniesieniu do danych przetwarzanych po ich otrzymaniu. Niezależnie od tego Użytkownik może zwrócić się w każdej sprawie do Administratora, który przekaże żądanie zgodnie z zawartymi uzgodnieniami. Zasady przetwarzania danych przez Meta opisuje Polityka prywatności Meta: https://www.facebook.com/privacy/policy.

VIII. Pliki cookies i podobne technologie

1. Sklep wykorzystuje pliki cookies — niewielkie pliki tekstowe zapisywane na urządzeniu Użytkownika — oraz technologie zbliżone, takie jak pamięć lokalna przeglądarki i piksele śledzące.

2. Stosowane pliki cookies dzielą się na cztery kategorie, odpowiadające wyborowi dostępnemu w banerze zgód:

Funkcjonalne — umożliwiają działanie koszyka, procesu zamówienia, logowania oraz zapamiętanie wyboru dokonanego w banerze zgód. Nie wymagają zgody, ponieważ bez nich Sklep nie może funkcjonować.
Preferencje — zapamiętują wybory Użytkownika, na przykład zawartość listy ulubionych produktów oraz historię ostatnio oglądanych produktów. Wymagają zgody.
Statystyka — służą pomiarowi ruchu i sposobu korzystania ze Sklepu. Wymagają zgody.
Marketing — umożliwiają wyświetlanie dopasowanych reklam i pomiar ich skuteczności, a także powiązanie wizyty w Sklepie z kliknięciem w odnośnik zawarty w newsletterze. Wymagają zgody.

3. Szczegółowy wykaz stosowanych plików cookies wraz z nazwą, dostawcą, celem i czasem przechowywania znajduje się na stronie: Polityka plików cookies.

4. Zgoda i jej wycofanie. Przy pierwszej wizycie wyświetlany jest baner zgód. Do momentu wyrażenia zgody uruchamiane są wyłącznie pliki funkcjonalne, a skrypty należące do pozostałych kategorii pozostają zablokowane. Zgodę można w każdej chwili zmienić lub wycofać, korzystając z panelu ustawień zgód:

. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

5. Okres ważności zgody. Dokonany wybór zapamiętywany jest przez 365 dni. Po upływie tego okresu baner zgód wyświetlany jest ponownie.

6. Tryb uzyskiwania zgody. Sklep stosuje mechanizm Google Consent Mode w wersji 2. Narzędzia Google otrzymują informację o zakresie udzielonej zgody, a w razie jej braku nie zapisują identyfikatorów w plikach cookies i nie wykorzystują danych do celów reklamowych.

7. Użytkownik może samodzielnie ograniczyć lub wyłączyć obsługę plików cookies w ustawieniach przeglądarki. Może to wpłynąć na poprawność działania niektórych funkcji Sklepu, w szczególności koszyka i procesu zamówienia.

8. Poza plikami cookies informacje o zrealizowanych transakcjach przekazywane są dostawcom narzędzi analitycznych i reklamowych również bezpośrednio z serwera Sklepu. Mechanizm ten uzupełnia pomiar prowadzony w przeglądarce i podlega tym samym zasadom zgody.

IX. Profilowanie i zautomatyzowane podejmowanie decyzji

1. Po wyrażeniu zgody na cele reklamowe dane Użytkownika podlegają profilowaniu. Polega ono na automatycznej analizie zachowania w Sklepie — przeglądanych produktów, dodań do koszyka, dokonanych zakupów — w celu dopasowania treści reklamowych wyświetlanych w serwisach Meta i Google oraz przypisania Użytkownika do grup odbiorców reklam.

2. Po wyrażeniu odrębnej zgody na śledzenie aktywności w wiadomościach newslettera dane subskrybenta podlegają profilowaniu polegającemu na analizie otwarć wiadomości i kliknięć w odnośniki, w celu dostosowania treści i częstotliwości kolejnych wysyłek.

3. Profilowanie nie wywołuje wobec Użytkownika skutków prawnych ani nie wpływa w podobnie istotny sposób na jego sytuację w rozumieniu art. 22 RODO. Nie są podejmowane zautomatyzowane decyzje dotyczące zawarcia umowy, ceny, dostępności towaru ani warunków sprzedaży.

4. Użytkownik może w każdej chwili sprzeciwić się profilowaniu, wycofując odpowiednią zgodę w ustawieniach zgód, na stronie zarządzania subskrypcją albo kontaktując się z Administratorem.

X. Prawa Użytkownika

1. Użytkownikowi przysługuje prawo do:

dostępu do swoich danych oraz otrzymania ich kopii (art. 15 RODO),
sprostowania danych nieprawidłowych oraz uzupełnienia niekompletnych (art. 16 RODO),
usunięcia danych (art. 17 RODO), o ile nie sprzeciwia się temu obowiązek prawny, w szczególności obowiązek przechowywania dokumentów księgowych,
ograniczenia przetwarzania (art. 18 RODO),
przenoszenia danych przetwarzanych na podstawie zgody lub umowy (art. 20 RODO),
wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie, w tym wobec profilowania na potrzeby marketingu bezpośredniego (art. 21 RODO),
cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem (art. 7 ust. 3 RODO).

2. Żądania należy kierować na adres kontakt@mariahempeldyblik.pl lub na adres korespondencyjny Administratora wskazany w rozdziale II.

3. Subskrybenci newslettera mogą samodzielnie zmienić imię i nazwisko, wycofać zgodę na śledzenie aktywności w wiadomościach oraz wypisać się z newslettera na stronie zarządzania subskrypcją, do której odnośnik znajduje się w stopce każdej wysyłanej wiadomości. Zmiana adresu e-mail nie jest możliwa w tym trybie — wymaga wypisania się i ponownego zapisu.

4. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania. W sprawach skomplikowanych termin może zostać przedłużony o kolejne dwa miesiące, o czym Użytkownik zostanie poinformowany.

5. Po zrealizowaniu żądania usunięcia danych dane mogą pozostawać w kopiach zapasowych Sklepu do czasu ich nadpisania w ramach cyklu rotacji opisanego w rozdziale XI. Przez ten czas nie są wykorzystywane do żadnych celów operacyjnych.

6. Użytkownikowi przysługuje prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa — jeżeli uzna, że przetwarzanie jego danych narusza przepisy RODO.

XI. Bezpieczeństwo danych

1. Administrator stosuje środki techniczne i organizacyjne odpowiadające ryzyku naruszenia praw i wolności osób, których dane dotyczą, w szczególności szyfrowanie połączenia protokołem TLS, kontrolę dostępu do panelu administracyjnego oraz regularne aktualizacje oprogramowania.

2. Administrator wykonuje kopie zapasowe Sklepu. Kopie przechowywane są przez okres około 45 dni, zgodnie z cyklem rotacji stosowanym przez dostawcę hostingu, po czym są nadpisywane.

3. Administrator nie przetwarza szczególnych kategorii danych osobowych, o których mowa w art. 9 RODO.

XII. Odesłania do serwisów zewnętrznych

1. Sklep zawiera odesłania do profili Administratora w serwisach społecznościowych. Przejście do takiego serwisu oznacza, że jego administrator przetwarza dane na podstawie własnej polityki prywatności.

2. Produkty Administratora oferowane są również za pośrednictwem platformy Etsy. Zakup dokonany na Etsy podlega polityce prywatności Etsy, a Administrator otrzymuje wyłącznie dane niezbędne do realizacji i rozliczenia zamówienia.

XIII. Zmiany Polityki prywatności

1. Administrator zastrzega sobie prawo do zmiany niniejszej Polityki, w szczególności w razie zmiany przepisów prawa lub zakresu wykorzystywanych narzędzi.

2. Aktualna wersja Polityki jest zawsze dostępna pod adresem mariahempeldyblik.pl/polityka-prywatnosci. Data ostatniej aktualizacji wskazana jest na początku dokumentu.