Polityka prywatności

§1 Administrator danych

Administratorem danych osobowych osób korzystających z serwisu chocoyeee.pl (dalej „Serwis”) jest TRUDERS SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ z siedzibą w Olsztyn, ul. Marii Zientary-Malewskiej 55, 10-310 Olsztyn, wpisana do rejestru przedsiębiorców KRS pod numerem 0000631235, NIP 7393887474, REGON 365107318 (dalej „Administrator” lub „my”). Serwis prezentuje produkt CHOCOYEEE Croissant, którego jesteśmy dystrybutorem.

W sprawach danych osobowych można kontaktować się z nami e-mailem na adres biuro@truders.pl, telefonicznie pod numerem +48 604 571 026 lub pisemnie na adres siedziby.

Nie wyznaczyliśmy inspektora ochrony danych, ponieważ nie jesteśmy do tego zobowiązani na podstawie art. 37 RODO. Jeśli to się zmieni, podamy jego dane kontaktowe w tej Polityce.

§2 Czego dotyczy ta Polityka

Polityka opisuje, jakie dane osobowe przetwarzamy w związku z Serwisem, w jakim celu, na jakiej podstawie, komu je przekazujemy i jak długo je przechowujemy. W skrócie:

• Serwis nie wymaga zakładania konta ani logowania; prezentację i kartę produktu można pobrać bez podawania jakichkolwiek danych;
• dane osobowe zbieramy przede wszystkim wtedy, gdy ktoś wyśle formularz „Zostań naszym partnerem” albo skontaktuje się z nami;
• nie korzystamy z narzędzi analitycznych ani reklamowych (np. Google Analytics, Meta Pixel) i nie śledzimy zachowania osób odwiedzających Serwis;
• nie sprzedajemy danych osobowych, nie profilujemy i nie podejmujemy decyzji w sposób zautomatyzowany.

Pojęcie RODO oznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (ogólne rozporządzenie o ochronie danych), a PKE - ustawę z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej.

§3 Formularz „Zostań naszym partnerem”

Zakres danych: imię i nazwisko, nazwa firmy, adres e-mail, branża (vending, stacje paliw, sieci sklepów, hurtownie lub inna) oraz, jeśli zostaną podane, numer telefonu i treść wiadomości. Razem ze zgłoszeniem zapisujemy wersję językową formularza, datę i godzinę wysłania oraz identyfikator zgłoszenia nadany przez Serwis.

Cel: odpowiedź na zapytanie, przygotowanie oferty handlowej i prowadzenie rozmów o współpracy.

Podstawa prawna:

• art. 6 ust. 1 lit. f RODO - nasz prawnie uzasadniony interes, czyli obsługa zapytań i kontakt handlowy z firmami, w imieniu których działają osoby wypełniające formularz;
• art. 6 ust. 1 lit. b RODO - jeśli zapytanie wysyła przedsiębiorca będący osobą fizyczną (np. jednoosobowa działalność gospodarcza) i zmierza ono do zawarcia z nim umowy; przetwarzanie jest wtedy niezbędne do podjęcia działań na jego żądanie przed zawarciem umowy.

Jak przepływają dane: zgłoszenie trafia przez serwer Serwisu bezpośrednio do CRM Truders (crm.truders.pl) - systemu, w którym prowadzimy kontakty handlowe. Serwer Serwisu nie zapisuje treści zgłoszenia, a w logach technicznych pozostaje wyłącznie identyfikator zgłoszenia i status wysyłki. CRM działa na serwerach DigitalOcean w regionie Frankfurt (Niemcy), a ruch do niego przechodzi przez sieć Cloudflare, która chroni system przed atakami.

Dobrowolność: podanie danych jest dobrowolne, ale bez pól wymaganych (imię i nazwisko, nazwa firmy, e-mail, branża) nie można wysłać zapytania. Telefon i wiadomość są opcjonalne.

Okres przechowywania: do czasu zakończenia obsługi zapytania, a jeśli nawiążemy współpracę - do jej zakończenia. Następnie przechowujemy dane do upływu terminu przedawnienia roszczeń (co do zasady 3 lata dla roszczeń związanych z prowadzeniem działalności gospodarczej i 6 lat dla pozostałych, licząc do końca roku kalendarzowego) albo krócej - do skutecznego wniesienia sprzeciwu.

Ochrona formularza: aby ograniczyć spam i nadużycia, formularz chronią następujące zabezpieczenia:

• limit zgłoszeń - serwer Serwisu sprawdza liczbę zgłoszeń wysłanych z danego adresu IP (5 zgłoszeń w ciągu 10 minut). Adres IP jest przy tym używany wyłącznie w pamięci operacyjnej serwera, nie jest zapisywany ani przekazywany do CRM i znika najpóźniej po upływie okna limitu;
• ukryte pole i pomiar czasu - formularz zawiera ukryte pole antyspamowe, a przeglądarka przekazuje serwerowi czas, jaki upłynął od wyświetlenia formularza do jego wysłania; tej wartości nie zapisujemy;
• Vercel BotID - przy wysyłce przeglądarka wykonuje niewidoczny test, który na podstawie technicznych cech przeglądarki i urządzenia oraz adresu IP odróżnia człowieka od zautomatyzowanego programu. Test przeprowadza nasz dostawca hostingu, Vercel Inc.;
• Cloudflare Turnstile - gdy użytkownik zbliża się do formularza, wczytujemy usługę Cloudflare Turnstile (Cloudflare, Inc.), która w tle sprawdza, czy formularz wypełnia człowiek. Zwykle dzieje się to niewidocznie, a tylko w razie wątpliwości Cloudflare poprosi o zaznaczenie pola. Cloudflare przetwarza przy tym adres IP, dane o przeglądarce (m.in. nagłówek User-Agent) i adres strony, wyłącznie w celu wykrywania botów, a nie do reklamy ani profilowania.

Zgłoszenie, które nie przejdzie tych zabezpieczeń, nie trafia do CRM, a w logach technicznych zostaje wyłącznie powód odrzucenia, bez treści zgłoszenia. Podstawa prawna: art. 6 ust. 1 lit. f RODO - nasz prawnie uzasadniony interes w zapewnieniu bezpieczeństwa Serwisu i ochronie przed spamem.

§4 Zgoda na kontakt i informacje handlowe

Pod formularzem znajduje się opcjonalne pole zgody. Jego zaznaczenie nie jest warunkiem wysłania zapytania ani jego obsługi. Treść zgody:

„Wyrażam zgodę na kontakt telefoniczny w celu obsługi mojego zgłoszenia. Wyrażam zgodę na otrzymywanie informacji handlowych od Truders Sp. z o.o. (marka CHOCOYEEE, www.chocoyeee.pl) środkami komunikacji elektronicznej, w tym e-mailem i SMS-em, oraz na wykorzystanie e-maila i telefonu w celach marketingowych. Zgodę mogę wycofać w każdej chwili.”

Cel: kontakt telefoniczny w sprawie zgłoszenia oraz przesyłanie informacji handlowych o produktach CHOCOYEEE i ofercie Truders e-mailem, SMS-em i telefonicznie.

Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda) w związku z art. 398 PKE, który wymaga zgody na wykorzystanie e-maila, SMS-a i telefonu do marketingu bezpośredniego.

Dowód zgody: zgodę zapisujemy w rejestrze zgód w CRM osobno dla każdego kanału (e-mail, SMS, telefon), razem z dokładną treścią klauzuli, datą jej wyrażenia i identyfikatorem zgłoszenia, z którego pochodzi. Jeśli pole nie zostało zaznaczone, zgoda nie jest zapisywana, przy zgłoszeniu w CRM pojawia się adnotacja o braku zgody, a my odpowiadamy wyłącznie na zapytanie.

Wycofanie zgody: w każdej chwili, e-mailem na adres biuro@truders.pl albo w odpowiedzi na otrzymaną od nas wiadomość. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed jej wycofaniem, ani na obsługę samego zapytania.

Okres przechowywania: dane wykorzystujemy w celach marketingowych do czasu wycofania zgody. Informację o udzieleniu i wycofaniu zgody (dowód zgody) przechowujemy do upływu terminu przedawnienia roszczeń, w których moglibyśmy musieć wykazać, że zgoda została udzielona.

§5 Kontakt e-mailowy, telefoniczny i przez WhatsApp

Jeśli ktoś pisze do nas e-mailem, dzwoni lub kontaktuje się przez WhatsApp, przetwarzamy dane podane w tej korespondencji (np. imię i nazwisko, firmę, adres e-mail, numer telefonu, treść wiadomości), aby odpowiedzieć i prowadzić dalszą rozmowę. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes - prowadzenie korespondencji), a w przypadku przedsiębiorcy będącego osobą fizyczną, gdy kontakt zmierza do zawarcia umowy - art. 6 ust. 1 lit. b RODO. Okres przechowywania jest taki sam jak dla danych z formularza (§3).

Przycisk WhatsApp w Serwisie (widoczny w dni robocze w godzinach 8:00-16:00) to zwykły link do komunikatora. Serwis nie przekazuje do WhatsApp żadnych danych - rozmowę rozpoczyna sam użytkownik. Dostawca komunikatora (WhatsApp Ireland Limited, grupa Meta) jest odrębnym administratorem danych przetwarzanych w ramach swojej usługi, na zasadach opisanych w jego polityce prywatności.

§6 Rejestr decyzji w sprawie plików cookies

Każda decyzja podjęta w panelu cookies („Akceptuj wszystkie”, „Odrzuć” lub zapisanie własnych ustawień), a także jej późniejsza zmiana, jest zapisywana w rejestrze zgód.

Zakres danych: losowy identyfikator przeglądarki nadany przy pierwszej decyzji (consentId), wybory w poszczególnych kategoriach cookies, wersja polityki, data i godzina decyzji, wersja językowa Serwisu, informacja o przeglądarce i systemie (user agent) oraz skrót (hash SHA-256) adresu IP wyliczony z tajną solą. Surowego adresu IP nie zapisujemy. Rejestr nie zawiera imienia, nazwiska ani adresu e-mail.

Cel: rozliczalność - możliwość wykazania, czy i kiedy dana przeglądarka wyraziła, odmówiła lub wycofała zgodę na pliki cookies inne niż niezbędne.

Podstawa prawna: art. 6 ust. 1 lit. c RODO w związku z art. 5 ust. 2 i art. 7 ust. 1 RODO (obowiązek wykazania zgody), a w zakresie, w jakim obowiązek ten nie wynika wprost z przepisów, art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes w wykazaniu zgodności z prawem).

Jak przepływają dane: rekord trafia przez serwer Serwisu do platformy integracyjnej Make (serwery w Unii Europejskiej), która zapisuje go w arkuszu Google Sheets prowadzonym przez Administratora.

Okres przechowywania: przez czas obowiązywania decyzji, a po jej zmianie lub wycofaniu - do upływu terminu przedawnienia roszczeń, w których moglibyśmy musieć wykazać zgodność z prawem (rejestr ma charakter dowodowy; zmiana decyzji to nowy wpis, a nie nadpisanie poprzedniego).

§7 Hosting, logi techniczne i monitorowanie błędów

Hosting: Serwis i jego funkcje serwerowe działają na infrastrukturze Vercel Inc. Przy każdym wyświetleniu strony serwer automatycznie rejestruje dane techniczne żądania, w tym adres IP, datę i godzinę, adres podstrony oraz informację o przeglądarce. Cel: dostarczenie Serwisu, jego bezpieczeństwo i diagnozowanie awarii. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w sprawnym i bezpiecznym działaniu Serwisu). Logi są przechowywane przez krótki okres określony przez dostawcę hostingu, nie dłużej niż 30 dni.

Monitorowanie błędów: korzystamy z usługi Sentry, która rejestruje informacje o błędach technicznych Serwisu: komunikat i ślad błędu (stack trace), adres podstrony, typ i wersję przeglądarki oraz systemu, a w metadanych żądania może pojawić się adres IP. Sentry nie nagrywa sesji, nie zapisuje w urządzeniu plików cookies i nie służy do analityki ani marketingu. Cel: wykrywanie i usuwanie awarii. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w bezpieczeństwie i prawidłowym działaniu Serwisu). Zgłoszenia błędów przechowujemy co do zasady przez 90 dni.

Czcionki wyświetlane w Serwisie są serwowane z naszego serwera - przeglądarka nie łączy się w tym celu z Google Fonts ani innymi zewnętrznymi serwerami.

§8 Dane zapisywane w przeglądarce

Serwis zapisuje w przeglądarce wyłącznie informacje niezbędne do działania: decyzję w sprawie plików cookies (pamięć lokalna, klucz chocoyeee-consent) oraz, w niektórych przypadkach, wybraną wersję językową (sesyjny plik cookie NEXT_LOCALE). Nie używamy cookies analitycznych ani marketingowych. Szczegóły, w tym okresy przechowywania i sposób zmiany decyzji, opisujemy w Polityce cookies.

§9 Odbiorcy danych

Dane przekazujemy wyłącznie podmiotom, które pomagają nam prowadzić Serwis i obsługiwać zapytania, na podstawie umów powierzenia przetwarzania danych, oraz podmiotom uprawnionym z mocy prawa:

• Vercel Inc. (USA) - hosting Serwisu i jego funkcji serwerowych oraz ochrona formularza przed botami (Vercel BotID);
• DigitalOcean, LLC (USA; serwery CRM w regionie Frankfurt, Niemcy) - infrastruktura, na której działa CRM Truders;
• Cloudflare, Inc. (USA) - ochrona formularza przed botami (Cloudflare Turnstile) oraz ochrona i dostarczanie ruchu do CRM Truders;
• Make (Celonis) - platforma integracyjna przekazująca rekordy rejestru zgód cookies, serwery w Unii Europejskiej;
• Google Ireland Limited (z udziałem Google LLC, USA) - arkusz Google Sheets, w którym prowadzimy rejestr zgód cookies;
• Functional Software, Inc. (Sentry) (USA) - monitorowanie błędów technicznych;
• dostawcy usług IT i poczty elektronicznej Administratora - w zakresie utrzymania systemów i obsługi korespondencji;
• organy publiczne i inne podmioty uprawnione z mocy prawa - gdy obowiązek przekazania danych wynika z przepisów.

Nie sprzedajemy danych osobowych i nie udostępniamy ich innym podmiotom w celach marketingowych.

§10 Przekazywanie danych poza Europejski Obszar Gospodarczy

Część naszych dostawców (Vercel, DigitalOcean, Cloudflare, Google LLC, Sentry) ma siedzibę w Stanach Zjednoczonych lub może uzyskiwać dostęp do danych z USA. Przekazanie danych odbywa się na podstawie:

• decyzji Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework - wobec dostawców, którzy przystąpili do tego programu;
• standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO) - w pozostałym zakresie.

Kopię stosowanych zabezpieczeń można otrzymać, pisząc na adres biuro@truders.pl.

§11 Okresy przechowywania - podsumowanie

• dane z formularza i korespondencji - do zakończenia obsługi zapytania i ewentualnej współpracy, a następnie do upływu terminu przedawnienia roszczeń (co do zasady 3 lub 6 lat, licząc do końca roku kalendarzowego) lub do skutecznego sprzeciwu;
• dane wykorzystywane na podstawie zgody marketingowej - do wycofania zgody;
• dowód udzielenia i wycofania zgody marketingowej - do upływu terminu przedawnienia roszczeń, w których może być konieczne wykazanie zgody;
• adres IP używany do limitu zgłoszeń - nie jest zapisywany; znika z pamięci serwera najpóźniej po upływie 10-minutowego okna limitu;
• rejestr decyzji w sprawie cookies - przez czas obowiązywania decyzji, a po jej zmianie lub wycofaniu do upływu terminu przedawnienia roszczeń;
• logi serwera - nie dłużej niż 30 dni;
• zgłoszenia błędów technicznych - co do zasady 90 dni;
• dane w przeglądarce - zgodnie z Polityką cookies.

§12 Prawa osób, których dane dotyczą

Każdej osobie, której dane przetwarzamy, przysługuje prawo:

• dostępu do danych i otrzymania ich kopii (art. 15 RODO);
• sprostowania danych nieprawidłowych lub uzupełnienia niekompletnych (art. 16 RODO);
• usunięcia danych (art. 17 RODO);
• ograniczenia przetwarzania (art. 18 RODO);
• przenoszenia danych przetwarzanych na podstawie zgody lub umowy (art. 20 RODO);
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO) - z przyczyn związanych ze szczególną sytuacją osoby, a wobec przetwarzania na potrzeby marketingu bezpośredniego w każdym czasie i bez podawania przyczyny;
• cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem (art. 7 ust. 3 RODO);
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) lub do organu nadzorczego w państwie członkowskim swojego zwykłego pobytu, jeśli osoba uzna, że przetwarzamy jej dane niezgodnie z prawem.

Aby skorzystać z tych praw, wystarczy napisać na adres biuro@truders.pl lub na adres siedziby. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca od otrzymania żądania; w szczególnie złożonych sprawach termin ten może zostać przedłużony o kolejne dwa miesiące, o czym poinformujemy. Możemy poprosić o dodatkowe informacje potrzebne do potwierdzenia tożsamości osoby zgłaszającej żądanie.

Rejestr decyzji w sprawie cookies nie zawiera danych, które pozwalałyby nam bez dodatkowych informacji ustalić, kim jest dana osoba. W takim przypadku obsługa żądania może wymagać podania identyfikatora zgody zapisanego w przeglądarce (art. 11 RODO).

§13 Zautomatyzowane decyzje i profilowanie

Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec kogokolwiek skutki prawne lub w podobny sposób istotnie na niego wpływały.

§14 Serwisy zewnętrzne

Serwis zawiera linki do sklepu internetowego sklep.truders.pl, strony truders.pl, komunikatora WhatsApp oraz profili marki na Instagramie i Facebooku. Serwis nie osadza widżetów tych serwisów, więc nie przekazuje im danych, dopóki użytkownik sam do nich nie przejdzie. Po przejściu dane przetwarzają ich operatorzy na podstawie własnych polityk prywatności - w przypadku sklepu sklep.truders.pl zasady opisuje jego odrębna polityka prywatności.

§15 Zmiany Polityki prywatności

Aktualizujemy Politykę, gdy zmieniają się przepisy, sposób działania Serwisu lub nasi dostawcy. Przed uruchomieniem narzędzi analitycznych lub marketingowych uzupełnimy Politykę i Politykę cookies, a odpowiednie skrypty uruchomimy wyłącznie po wyrażeniu zgody. Aktualna wersja jest zawsze dostępna w stopce Serwisu.

Wersją wiążącą Polityki jest wersja polska. Polityka obowiązuje od dnia 1 października 2026 r.