POLITYKA PRYWATNOŚCI

Sklepu Internetowego www.malumag.pl

obowiązująca od dnia 15 września 2026 r.

§ 1 – Administrator danych osobowych

1. Administratorem danych osobowych zbieranych za pośrednictwem Sklepu Internetowego www.malumag.pl jest Malumag Cosmetics Sp. z o.o. z siedzibą w Warszawie (04-986), ul. Celulozy 117C, 04-986 Warszawa, wpisana do Rejestru Przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIV Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS: 0001000899, NIP: 9522233831, REGON: 523592665, kapitał zakładowy: 5 000,00 zł (dalej: 'Administrator').

2. Kontakt z Administratorem w sprawach dotyczących danych osobowych jest możliwy: (a) drogą elektroniczną: kontakt@malumag.pl; (b) pisemnie na adres siedziby: Malumag Cosmetics Sp. z o.o., ul. Celulozy 117C, 04-986 Warszawa; (c) telefonicznie: +48 575 739 927.

3. Administrator dokłada szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, i zapewnia, że dane osobowe są: (a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty; (b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach; (c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne; (d) prawidłowe i w razie potrzeby uaktualniane; (e) przechowywane nie dłużej, niż jest to niezbędne; (f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo.

§ 2 – Cele i podstawy prawne przetwarzania danych osobowych

Administrator przetwarza dane osobowe w następujących celach i na następujących podstawach prawnych:

Cel: Zawarcie i realizacja Umowy Sprzedaży

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy lub podjęcie działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy)

Zakres danych: imię i nazwisko, adres dostawy, adres e-mail, numer telefonu, dane do faktury

Cel: Prowadzenie Konta Klienta

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy o świadczenie usługi drogą elektroniczną)

Zakres danych: adres e-mail, hasło (przechowywane w formie zabezpieczonego skrótu kryptograficznego), imię, historia zamówień

Cel: Realizacja obowiązków podatkowych i rachunkowych

Podstawa prawna: art. 6 ust. 1 lit. c RODO (obowiązek prawny ciążący na Administratorze, w szczególności przepisy ustawy o rachunkowości i ustaw podatkowych)

Zakres danych: dane identyfikacyjne, dane transakcyjne

Cel: Rozpatrywanie reklamacji i obsługa odstąpień od umowy

Podstawa prawna: art. 6 ust. 1 lit. b i c RODO

Zakres danych: dane identyfikacyjne, dane zamówienia, korespondencja

Cel: prawnie uzasadniony interes Administratora polegający na ustalaniu, dochodzeniu i obronie przed roszczeniami związanymi z działalnością Sklepu

Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na prowadzeniu korespondencji, udzielaniu odpowiedzi na pytania oraz zapewnieniu prawidłowej obsługi kontaktu z Klientami i użytkownikami Sklepu)

Zakres danych: dane identyfikacyjne, dane transakcyjne, korespondencja

Cel: Marketing bezpośredni – newsletter

Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda), art. 398 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej – zgoda na przesyłanie informacji handlowej, w tym marketingu bezpośredniego.

Zakres danych: adres e-mail

Cel: Analityka internetowa (Google Analytics 4)

Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda wyrażona za pośrednictwem banera cookies). Pliki cookies analityczne Google Analytics 4 są instalowane wyłącznie po uzyskaniu dobrowolnej zgody użytkownika

Zakres danych: identyfikatory cookies (client_id), dane o aktywności w Sklepie (odwiedzane strony, czas wizyty, źródło wejścia), przybliżona lokalizacja (na poziomie miasta/regionu), informacje o urządzeniu i przeglądarce. Google Analytics 4 nie przechowuje pełnych adresów IP

Cel: Kontakt – obsługa zapytań

Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na obsłudze korespondencji)

Zakres danych: imię, adres e-mail, numer telefonu, treść wiadomości

§ 3 – Google Analytics 4 – szczegółowe informacje

1. Administrator korzysta z usługi Google Analytics 4 świadczonej przez Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlandia) w celu analizy ruchu w Sklepie Internetowym oraz optymalizacji jego funkcjonowania.

2. Google Ireland Limited uczestniczy w świadczeniu usługi Google Analytics 4 na rzecz Administratora. Zakres ról stron, zasad przetwarzania oraz ewentualnego powierzenia danych wynika z warunków usługi i zawartych umów dotyczących Google Analytics 4.

3. Google Analytics 4 gromadzi dane za pośrednictwem plików cookies analitycznych, które są instalowane na urządzeniu końcowym użytkownika wyłącznie po wyrażeniu przez niego dobrowolnej, świadomej i jednoznacznej zgody za pośrednictwem banera cookies wyświetlanego przy pierwszej wizycie w Sklepie. Brak zgody na pliki cookies analityczne nie ma wpływu na możliwość korzystania ze Sklepu Internetowego.

4. Dane gromadzone przez Google Analytics 4 obejmują w szczególności: (a) identyfikatory cookies (client_id); (b) informacje o odwiedzanych stronach i wykonywanych interakcjach; (c) czas trwania i częstotliwość wizyt; (d) źródło ruchu (np. wyszukiwarka, link bezpośredni, kampania reklamowa); (e) przybliżona lokalizacja (na poziomie miasta lub regionu – bez dokładnego adresu); (f) informacje o urządzeniu, systemie operacyjnym i przeglądarce. Google Analytics 4 nie przechowuje pełnych adresów IP użytkowników.

5. W związku z korzystaniem z Google Analytics 4 dane osobowe mogą być przekazywane do Google LLC z siedzibą w Stanach Zjednoczonych. Transfer danych odbywa się na podstawie decyzji wykonawczej Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony danych osobowych w ramach EU–U.S. Data Privacy Framework (DPF), o ile Google LLC jest certyfikowana w ramach DPF, oraz na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską, stanowiących dodatkowe zabezpieczenie.

6. Administrator wdrożył następujące środki minimalizujące przetwarzanie danych osobowych przez Google Analytics 4: (a) włączenie anonimizacji danych (ograniczenie geolokalizacji i danych o urządzeniu); (b) ograniczenie okresu przechowywania danych do 2 miesięcy (minimalny okres dostępny w GA4 wyznaczony przez administratora); (c) wyłączenie zbierania szczegółowych danych demograficznych; (d) wdrożenie mechanizmu Google Consent Mode v2, zapewniającego, że dane analityczne są zbierane wyłącznie po uzyskaniu zgody użytkownika.

7. Użytkownik może w każdym czasie cofnąć zgodę na pliki cookies analityczne Google Analytics 4 za pośrednictwem: (a) panelu zarządzania cookies w Sklepie Internetowym; (b) ustawień przeglądarki internetowej; (c) zainstalowania dodatku do przeglądarki blokującego Google Analytics, dostępnego pod adresem: https://tools.google.com/dlpage/gaoptout. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania, które miało miejsce przed cofnięciem zgody.

§ 4 – Okres przechowywania danych osobowych

1. Dane przetwarzane w celu realizacji Umowy Sprzedaży – przez czas trwania umowy, a po jej zakończeniu przez okres przedawnienia roszczeń cywilnoprawnych (co do zasady 6 lat, a dla roszczeń o świadczenia okresowe – 3 lata).

2. Dane przetwarzane w celu realizacji obowiązków podatkowych i rachunkowych – przez okres wymagany przepisami prawa podatkowego i rachunkowego, co do zasady przez okres wskazany w tych przepisach, a następnie do czasu przedawnienia zobowiązań lub roszczeń, jeżeli dalsze przechowywanie jest niezbędne.

3. Dane przetwarzane na podstawie zgody (newsletter, pliki cookies analityczne) – do momentu cofnięcia zgody.

4. Dane przetwarzane na podstawie prawnie uzasadnionego interesu Administratora – do momentu wniesienia skutecznego sprzeciwu lub ustania celu przetwarzania.

5. Dane dotyczące Konta Klienta – do momentu usunięcia Konta przez Klienta lub przez Administratora z uwagi na długotrwałą nieaktywność (po uprzednim powiadomieniu Klienta).

6. Dane gromadzone przez Google Analytics 4 – przez okres 2 miesięcy od daty zebrania (zgodnie z konfiguracją retencji danych w GA4).

§ 5 – Odbiorcy danych osobowych

1. Dane osobowe Klientów mogą być przekazywane następującym kategoriom odbiorców: (a) firmy kurierskie i operatorzy logistyczni (w celu realizacji dostawy); (b) pośrednicy płatności: mBank S.A. (PayNow), Autopay S.A. (płatności kartowe); (c) dostawcy usług IT i hostingu (w celu utrzymania i obsługi technicznej Sklepu); (d) Google Ireland Limited (w związku z korzystaniem z Google Analytics 4); (e) kancelarie prawne i podmioty windykacyjne (w razie konieczności dochodzenia roszczeń); (f) organy państwowe (w przypadkach przewidzianych przepisami prawa).

2. Administrator korzysta z usług podmiotów przetwarzających dane osobowe na jego zlecenie (procesorzy). Z każdym takim podmiotem Administrator zawarł umowę powierzenia przetwarzania danych osobowych, o której mowa w art. 28 RODO.

3. Administrator nie przekazuje danych osobowych do państw trzecich (poza Europejski Obszar Gospodarczy), z zastrzeżeniem § 3 ust. 5 niniejszej Polityki (transfer do Google LLC w ramach EU–U.S. Data Privacy Framework i standardowych klauzul umownych).

§ 6 – Prawa osoby, której dane dotyczą

1. Osobie, której dane dotyczą, przysługują następujące prawa: (a) prawo dostępu do treści swoich danych osobowych (art. 15 RODO); (b) prawo do sprostowania danych (art. 16 RODO); (c) prawo do usunięcia danych (art. 17 RODO); (d) prawo do ograniczenia przetwarzania (art. 18 RODO); (e) prawo do przenoszenia danych (art. 20 RODO); (f) prawo do wniesienia sprzeciwu wobec przetwarzania (art. 21 RODO); (g) prawo do cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego na podstawie zgody przed jej cofnięciem (art. 7 ust. 3 RODO).

2. W celu realizacji powyższych praw należy skontaktować się z Administratorem za pośrednictwem danych kontaktowych wskazanych w § 1 ust. 2 niniejszej Polityki.

3. Administrator rozpatruje żądanie niezwłocznie, nie później niż w terminie miesiąca od jego otrzymania. W razie konieczności termin ten może zostać przedłużony o kolejne dwa miesiące, o czym Administrator informuje osobę składającą żądanie.

4. Osoba, której dane dotyczą, ma prawo wniesienia skargi do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl), jeżeli uzna, że przetwarzanie jej danych osobowych narusza przepisy RODO.

§ 7 – Zautomatyzowane podejmowanie decyzji i profilowanie

1. Administrator nie podejmuje wobec Klientów decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałoby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały.

2. Administrator może wykorzystywać dane dotyczące aktywności Klientów w Sklepie Internetowym (w tym dane z Google Analytics 4) do personalizacji treści marketingowych (profilowanie w celach marketingowych), co nie wywołuje skutków prawnych ani nie wpływa istotnie na sytuację Klienta. Klient ma prawo w każdym czasie wnieść sprzeciw wobec takiego profilowania.

§ 8 – Dobrowolność podania danych

1. Podanie danych osobowych jest dobrowolne, lecz niezbędne do: (a) zawarcia i realizacji Umowy Sprzedaży; (b) założenia Konta Klienta; (c) przesyłania newslettera.

2. Brak podania danych niezbędnych do zawarcia Umowy Sprzedaży uniemożliwia złożenie Zamówienia i realizację umowy.

3. Podanie danych w celu otrzymywania newslettera jest w pełni dobrowolne.

4. Wyrażenie zgody na pliki cookies analityczne (Google Analytics 4) jest w pełni dobrowolne i nie warunkuje możliwości korzystania ze Sklepu Internetowego.

§ 9 – Bezpieczeństwo danych

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzanych danych osobowych, w szczególności uniemożliwiające ich udostępnienie osobom nieupoważnionym, utratę, uszkodzenie lub zniszczenie.

2. Sklep Internetowy wykorzystuje szyfrowanie SSL (Secure Socket Layer) w celu zabezpieczenia transmisji danych.

3. Dane Klientów przechowywane są na serwerach zabezpieczonych hasłem, zaporą sieciową i innymi środkami ochrony.

4. Dostęp do danych osobowych mają wyłącznie osoby upoważnione przez Administratora, które są zobowiązane do zachowania poufności.

§ 10 – Pliki cookies

1. Sklep Internetowy wykorzystuje pliki cookies (ciasteczka), tj. niewielkie pliki tekstowe zapisywane na urządzeniu końcowym Klienta w celu zapewnienia prawidłowego funkcjonowania Sklepu.

2. Pliki cookies dzielą się na: (a) niezbędne – konieczne do prawidłowego działania Sklepu (np. obsługa sesji, koszyka, zapamiętanie preferencji cookies). Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora) oraz art. 399 ust. 3 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej; (b) analityczne – służące zbieraniu informacji o sposobie korzystania ze Sklepu (Google Analytics 4). Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda); (c) marketingowe – wykorzystywane do wyświetlania spersonalizowanych treści reklamowych. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda).

3. Przy pierwszej wizycie w Sklepie Internetowym Klientowi wyświetlany jest baner informacyjny o plikach cookies (mechanizm Consent Mode v2), umożliwiający: (a) zaakceptowanie wszystkich plików cookies; (b) odrzucenie opcjonalnych plików cookies (analitycznych i marketingowych); (c) dokonanie indywidualnego wyboru kategorii plików cookies. Pliki cookies inne niż niezbędne są instalowane dopiero po wyrażeniu zgody przez Klienta.

4. Klient może w dowolnym momencie zmienić ustawienia dotyczące plików cookies, w tym wycofać wcześniej udzieloną zgodę, za pośrednictwem ustawień cookies dostępnych w Sklepie Internetowym lub za pośrednictwem ustawień przeglądarki internetowej.

5. Zablokowanie lub usunięcie plików cookies niezbędnych może uniemożliwić prawidłowe korzystanie ze Sklepu Internetowego.

6. Szczegółowe informacje o plikach cookies wykorzystywanych w Sklepie, w tym nazwy, dostawców, cele i okresy przechowywania, dostępne są w panelu zarządzania cookies w Sklepie Internetowym.

§ 11 – Linki do stron trzecich

1. Sklep Internetowy może zawierać odnośniki do stron internetowych podmiotów trzecich.

2. Administrator nie ponosi odpowiedzialności za zasady ochrony prywatności obowiązujące na stronach podmiotów trzecich. Klient powinien zapoznać się z polityką prywatności danej strony przed podaniem swoich danych osobowych.

§ 12 – Zmiany Polityki Prywatności

1. Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności w celu dostosowania jej do zmian w przepisach prawa lub zmian w sposobie przetwarzania danych osobowych.

2. O wszelkich zmianach Administrator informuje poprzez publikację zaktualizowanej wersji Polityki Prywatności w Sklepie Internetowym oraz – w przypadku istotnych zmian – za pośrednictwem poczty elektronicznej skierowanej do Klientów posiadających Konto.

3. Niniejsza Polityka Prywatności obowiązuje od dnia 15 września 2026 r.