Polityka Prywatności

1. Administrator Danych Osobowych

Administratorem Twoich danych osobowych jest Firma Szymon Bubała, z siedzibą przy ulicy Jagiellońska 3/28, 41-200 Sosnowiec (dalej: „Administrator", „my", „nas").

• Adres email: kontakt@biohac.pl
• SMS: +48 574 605 627 (tylko SMS)
• Adres: Jagiellońska 3/28, 41-200 Sosnowiec
• NIP: 95 427 927 52
• REGON: 380330131

Możesz skontaktować się z nami w każdej sprawie dotyczącej przetwarzania Twoich danych osobowych za pośrednictwem adresu e-mail kontakt@biohac.pl lub formularza kontaktowego na naszej stronie.

Inspektor Ochrony Danych (IOD): Szymon Bubała (kontakt@biohac.pl) — we wszelkich sprawach dotyczących ochrony danych osobowych prosimy kontaktować się bezpośrednio z Administratorem.

2. Jakie Dane Zbieramy

W zależności od sposobu korzystania z naszej strony, możemy zbierać następujące kategorie danych:

2.1 Dane konta użytkownika

• Imię i nazwisko
• Adres email
• Numer telefonu
• Adres dostawy i rozliczeniowy
• Hasło (w formie zaszyfrowanej)

2.2 Dane zamówienia

• Historia zakupów
• Produkty w koszyku
• Dane płatności (przetwarzane przez PayU)
• Informacje o dostawie

2.3 Dane techniczne

• Adres IP
• Typ przeglądarki i urządzenia
• System operacyjny
• Czas wizyty na stronie
• Odwiedzane podstrony

2.4 Pliki cookie

Używamy plików cookie do poprawy działania strony i analizy ruchu. Więcej informacji w Polityce Cookies.

3. Podstawy Prawne Przetwarzania (RODO Art. 6)

Przetwarzamy Twoje dane osobowe na podstawie następujących przesłanek prawnych:

4. Cele Przetwarzania Danych

Przetwarzamy Twoje dane w następujących celach:

4.1 Realizacja zamówienia

Aby zrealizować Twoje zamówienie, potrzebujemy Twoich danych kontaktowych, adresu dostawy oraz informacji o płatności.

4.2 Obsługa klienta i zwroty

Używamy Twoich danych do odpowiadania na pytania, rozpatrywania reklamacji oraz świadczenia pomocy technicznej. W przypadku zwrotów i wymian przechowujemy dane niezbędne do ich obsługi.

Polityka zwrotów: oferujemy wydłużony okres zwrotu wynoszący 100 dni od daty zakupu (w porównaniu do ustawowego minimum 14 dni). Zwroty i wymiany są bezpłatne. Dane podane w zgłoszeniu zwrotu przetwarzamy wyłącznie w celu jego realizacji, na podstawie Art. 6 ust. 1 lit. b RODO (wykonanie umowy).

4.3 Marketing (z Twoją zgodą)

Jeśli wyrazisz zgodę, będziemy wysyłać Ci newsletter z ofertami, poradami oraz artykułami naukowymi o śnie. Możesz wycofać zgodę w dowolnym momencie.

4.4 Analiza i optymalizacja strony

Z Twoją zgodą używamy Google Analytics (przez serwer Stape) do analizy ruchu na stronie, aby poprawiać jej działanie.

4.5 Przestrzeganie prawa

Przechowujemy dane zamówień przez 5 lat zgodnie z polskim prawem podatkowym i księgowym.

5. Udostępnianie Danych Osobowych

Twoje dane mogą być przekazywane następującym podmiotom:

5.1 Procesor płatności

W procesie płatności dane rozliczeniowe mogą zostać przekazane do pośrednika płatności: PayU S.A..

• PayU S.A. - obsługa płatności online (BLIK, Twisto, karty płatnicze, przelewy bankowe, płatności ratalne)
• Przekazujemy: dane rozliczeniowe, kwotę transakcji, email
• Polityka prywatności: https://www.payu.pl/polityka-prywatnosci

5.2 Firmy kurierskie

• InPost Paczkomaty - dostawa zamówień
• Przekazujemy: imię, nazwisko, adres dostawy, numer telefonu
• Cel: realizacja wysyłki zamówienia

5.3 Narzędzia analityczne

Z Twoją zgodą używamy następujących narzędzi analitycznych:

• Google Analytics 4 - analiza ruchu na stronie, zachowania użytkowników. Serwery Google Analytics zlokalizowane są częściowo w USA; transfer danych odbywa się na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską.
• Stape.io (server-side tagging w UE) - server-side tagging, proxy dla Google Analytics (serwer w Niemczech, UE). Dane są anonimizowane po stronie serwera w EOG, zanim trafią do Google, co minimalizuje transfer danych osobowych poza EOG.
• Dane są anonimizowane i agregowane zgodnie z RODO
• Cookies first-party (gtm.biohac.pl), nie third-party

5.3a Nagrywanie sesji i mapy ciepła

Z Twoją zgodą używamy narzędzia do analizy zachowań na stronie:

• Microsoft Clarity (nagrywanie sesji i mapy ciepła) — nagrywanie sesji użytkowników (ruchy myszy, kliknięcia, przewijanie), mapy ciepła, analiza zaangażowania
• Cel: poprawa użyteczności strony i optymalizacja ścieżki zakupowej
• Dane wrażliwe (hasła, numery kart) są automatycznie maskowane przez Clarity
• Clarity nie zbiera danych osobowych takich jak imię, email czy adres
• Dostawca: Microsoft Corporation (USA). Transfer na podstawie SCC + EU-US Data Privacy Framework
• Polityka prywatności: https://privacy.microsoft.com/privacystatement
• Możesz zrezygnować z nagrywania sesji w ustawieniach prywatności Microsoft

5.4 Narzędzia reklamowe (remarketing)

Z Twoją zgodą używamy następujących narzędzi marketingowych:

• Meta Pixel (Facebook/Instagram Ads) - śledzenie konwersji z reklam Facebook/Instagram, remarketing
• Google Ads - śledzenie konwersji z Google Ads, remarketing
• Dane: zdarzenia (dodanie do koszyka, zakup), anonimowe identyfikatory
• Cel: optymalizacja kampanii reklamowych, remarketing

5.5 Email marketing

Z Twoją zgodą używamy platformy email marketingowej:

• Klaviyo (email marketing) - wysyłka newslettera, automatyzacje email
• Przekazujemy: email, imię, historia zakupów (jeśli wyrazisz zgodę)
• Cel: wysyłka newslettera, ofert promocyjnych, powiadomień o zamówieniu
• Transfer do USA: Klaviyo Inc. ma siedzibę w USA. Transfer danych odbywa się na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską (decyzja 2021/914/UE). Więcej: polityka prywatności Klaviyo.
• Możesz zrezygnować z newslettera w każdej chwili (link "Wypisz się" w emailu)

5.6 Platformy logowania (Social Login)

Możesz zalogować się do sklepu używając konta z następujących platform:

• Google OAuth 2.0 - logowanie przez konto Google
• Facebook Login (Meta) - logowanie przez konto Facebook (planowane — funkcja nie jest jeszcze aktywna w sklepie)
• Sign in with Apple - logowanie przez Apple ID (planowane — funkcja nie jest jeszcze aktywna w sklepie)

Jakie dane otrzymujemy:

• Imię i nazwisko
• Adres email
• Zdjęcie profilowe (opcjonalnie)
• Unikalny identyfikator użytkownika (User ID)

Cel: Ułatwienie procesu rejestracji i logowania, weryfikacja tożsamości.

Podstawa prawna: Zgoda (RODO Art. 6 ust. 1 lit. a) + wykonanie umowy (Art. 6 ust. 1 lit. b).

Uwaga: Nie przechowujemy Twoich haseł z platform społecznościowych. Logowanie odbywa się przez bezpieczny protokół OAuth 2.0.

5.7 Hosting i infrastruktura

• Frontend (strona internetowa): Vercel Inc. (USA) — platforma hostingowa dla warstwy frontendowej. Transfer danych do USA odbywa się na podstawie Standardowych Klauzul Umownych (SCC). Vercel posiada certyfikaty SOC 2 Type 2 i ISO 27001. Więcej: polityka prywatności Vercel.
• Backend WordPress/WooCommerce: Cyberfolks (Polska, UE) — dane zamówień, kont użytkowników i baza danych sklepu przechowywane są w Polsce.
• Wszystkie dane przechowywane są zgodnie z wymogami RODO
• Serwery w bezpiecznych centrach danych z certyfikatami bezpieczeństwa (ISO, SOC 2)

Uwaga: Możemy zmieniać dostawców hostingu w celu optymalizacji wydajności, ale zawsze zapewniamy zgodność z RODO oraz przechowywanie danych w krajach UE/EOG lub u dostawców z odpowiednimi klauzulami umownymi (Standard Contractual Clauses).

6. Okres Przechowywania Danych

Twoje dane przechowujemy przez następujące okresy:

• Dane konta: Do momentu usunięcia konta lub wycofania zgody
• Dane zamówienia: 5 lat (wymagane prawem podatkowym)
• Zgoda na marketing: Do momentu wycofania zgody
• Dane analityczne (cookies): 26 miesięcy (domyślnie w GA4)
• Logi techniczne: 30 dni (bezpieczeństwo serwera)

7. Twoje Prawa (RODO)

Zgodnie z Rozporządzeniem o Ochronie Danych Osobowych (RODO), przysługują Ci następujące prawa:

7.1 Prawo dostępu (Art. 15 RODO)

Możesz poprosić o kopię swoich danych osobowych, które przetwarzamy.

7.2 Prawo do sprostowania (Art. 16 RODO)

Jeśli Twoje dane są nieprawidłowe lub niekompletne, możesz poprosić o ich poprawienie.

7.3 Prawo do usunięcia (Art. 17 RODO)

Możesz poprosić o usunięcie swoich danych, jeśli nie są już potrzebne do celów, dla których zostały zebrane, lub jeśli wycofasz zgodę.

Wyjątek: Nie możemy usunąć danych zamówień przez 5 lat ze względu na obowiązki prawne (prawo podatkowe).

7.4 Prawo do ograniczenia przetwarzania (Art. 18 RODO)

Możesz poprosić o wstrzymanie przetwarzania danych w określonych sytuacjach (np. gdy kwestionujesz ich prawidłowość).

7.5 Prawo do przenoszenia danych (Art. 20 RODO)

Możesz otrzymać swoje dane w formacie CSV lub JSON i przenieść je do innego dostawcy usług.

7.6 Prawo do sprzeciwu (Art. 21 RODO)

Możesz sprzeciwić się przetwarzaniu danych w celach marketingowych lub na podstawie prawnie uzasadnionego interesu.

7.7 Prawo do cofnięcia zgody (Art. 7 ust. 3 RODO)

Jeśli przetwarzamy dane na podstawie zgody (np. newsletter), możesz ją w każdej chwili wycofać.

Jak skorzystać z praw?

Aby skorzystać z powyższych praw, wyślij email na: kontakt@biohac.pl z tematem "RODO - żądanie".

Odpowiemy w ciągu 30 dni od otrzymania żądania (zgodnie z Art. 12 ust. 3 RODO).

8. Prawo do Skargi

Jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, możesz złożyć skargę do polskiego organu nadzorczego:

Urząd Ochrony Danych Osobowych (UODO)
ul. Stawki 2, 00-193 Warszawa
Telefon: +48 22 531 03 00
Email: kancelaria@uodo.gov.pl
Strona: https://uodo.gov.pl

9. Bezpieczeństwo Danych

Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony Twoich danych:

• Szyfrowanie SSL/TLS: Cała komunikacja między Twoją przeglądarką a naszą stroną jest szyfrowana
• Hasła: Przechowywane w formie zaszyfrowanej (bcrypt, SHA-256)
• Dostęp ograniczony: Tylko upoważnieni pracownicy mają dostęp do danych
• Kopie zapasowe: Regularne backupy z szyfrowaniem
• Monitoring: Logi bezpieczeństwa i wykrywanie włamań

10. Przekazywanie Danych Poza EOG

Część naszych dostawców usług ma siedzibę poza Europejskim Obszarem Gospodarczym (EOG). W każdym takim przypadku transfer danych odbywa się na podstawie odpowiednich zabezpieczeń prawnych:

Dostawcy w EOG (brak transferu)

• Stape.io (serwer-side tagging) — Frankfurt, Niemcy 🇩🇪
• PayU S.A. — Poznań, Polska 🇵🇱
• InPost — Polska 🇵🇱
• Backend WordPress/WooCommerce (Cyberfolks) — Polska 🇵🇱

Dostawcy poza EOG (transfer na podstawie SCC)

• Vercel Inc. (USA) — hosting frontendu. Podstawa transferu: Standardowe Klauzule Umowne (SCC, decyzja KE 2021/914/UE). Certyfikaty: SOC 2 Type 2, ISO 27001.
• Klaviyo Inc. (USA) — platforma email marketingowa. Podstawa transferu: Standardowe Klauzule Umowne (SCC, decyzja KE 2021/914/UE). Klaviyo uczestniczy w ramach EU-US Data Privacy Framework.
• Google LLC (USA) — Google Analytics 4, Google Ads. Podstawa transferu: SCC + EU-US Data Privacy Framework. Dane anonimizowane przed transferem przez serwer proxy Stape w Niemczech.
• Microsoft Corporation (USA) — Microsoft Clarity (nagrywanie sesji, mapy ciepła). Podstawa transferu: SCC + EU-US Data Privacy Framework. Dane wrażliwe są automatycznie maskowane. Więcej: oświadczenie o ochronie prywatności Microsoft.
• Meta Platforms Ireland Ltd. — Meta Pixel. Siedziba w Irlandii (EOG); niektóre dane mogą być przetwarzane w USA przez Meta Inc. na podstawie SCC.

Możesz uzyskać kopię stosowanych klauzul umownych, kontaktując się z nami pod adresem kontakt@biohac.pl.

11. Pliki Cookie i Technologie Śledzące

Nasza strona używa plików cookie do zapewnienia podstawowej funkcjonalności oraz, za Twoją zgodą, do analityki i marketingu.

Szczegółowe informacje znajdziesz w Polityce Cookies.

12. Marketing Bezpośredni

Możemy wysyłać Ci wiadomości marketingowe (newsletter) wyłącznie po uzyskaniu Twojej wyraźnej zgody (opt-in).

Jak się wypisać?

• Kliknij link "Wypisz się" na dole każdej wiadomości email
• Zaloguj się na konto i zmień ustawienia komunikacji
• Napisz do nas: kontakt@biohac.pl

13. Dane Dzieci

Nasza strona nie jest przeznaczona dla osób poniżej 18. roku życia. Nie zbieramy świadomie danych dzieci bez zgody rodziców/opiekunów.

Jeśli jesteś rodzicem i uważasz, że Twoje dziecko przekazało nam swoje dane, skontaktuj się z nami natychmiast.

14. Profilowanie i Zautomatyzowane Decyzje

Nie stosujemy zautomatyzowanego podejmowania decyzji ani profilowania w rozumieniu RODO Art. 22.

Możemy jednak personalizować rekomendacje produktów na podstawie Twojej historii zakupów (z Twoją zgodą).

15. Zmiany w Polityce Prywatności

Możemy okresowo aktualizować tę politykę prywatności. O istotnych zmianach poinformujemy Cię:

• Poprzez powiadomienie na stronie głównej
• Przez email (jeśli masz konto)
• Aktualizując datę "Ostatnia aktualizacja" u góry strony

Zachęcamy do regularnego przeglądania tej polityki.

16. Kontakt w Sprawach RODO

W razie pytań dotyczących przetwarzania danych osobowych, skontaktuj się z nami:

• Email: kontakt@biohac.pl (dostępne całodobowo)
• Messenger: Napisz w Messengerze (dostępne całodobowo)
• Telefon: +48 574 605 627
• Godziny kontaktu telefonicznego:
  • poniedziałek, piątek: 10:00 - 18:00
  • wtorek-czwartek: 10:00 - 18:00
• Poczta: Firma Szymon Bubała, Jagiellońska 3/28, 41-200 Sosnowiec

Odpowiadamy na zapytania mailowe i przez Messenger w ciągu 24 godzin (całodobowo, codziennie).

Ostatnia aktualizacja: 4 marca 2026
Wersja: 1.2
Ta polityka prywatności jest zgodna z RODO (Rozporządzenie UE 2016/679)