Polityka prywatności

Obowiązuje od 21 października 2026 r.

Administrator danych: Kramano sp. z o.o., ul. Pałucka 2, 62-200 Gniezno, Polska. To my decydujemy o celach i sposobach przetwarzania opisanych poniżej danych — i to nas rozliczasz z tego, co się z nimi dzieje.

Poprzednia wersja tego dokumentu wyróżniała dwa zbiory danych — „Informacje o zamówieniu” i „Informacje o urządzeniu” — a potem w jednym zdaniu łączyła je w jedno pojęcie i dalej traktowała identycznie.

To właśnie tam zaczynały się jej problemy. Te dwa zbiory mają inną podstawę prawną, inny okres przechowywania, innych odbiorców i inny zakres Twojej kontroli. Jeden możesz kazać nam usunąć dzisiaj, w całości. Drugiego nie możemy usunąć przez pięć lat, nawet gdybyśmy chcieli.

Dlatego ta polityka trzyma je osobno przez cały dokument.

ZBIÓR 1 — DANE, KTÓRE PODAŁEŚ NAM SAM

Czyli wszystko, co wpisałeś przy zamówieniu albo w wiadomości do nas.

Co obejmuje

Imię i nazwisko, adres rozliczeniowy, adres dostawy, adres e-mail, numer telefonu, zawartość zamówienia i historię zamówień, oraz treść korespondencji z nami.

Czego nie obejmuje — i to najważniejsze zdanie w tym dokumencie

Nie obejmuje numeru Twojej karty płatniczej.

Poprzednia wersja wymieniała „informacje dotyczące płatności, w tym dane karty płatniczej” jako dane, które gromadzimy. Nie gromadzimy ich. Dane karty wpisujesz w polach dostawcy usług płatniczych i nie docierają one do naszych systemów. Wracają do nas: cztery ostatnie cyfry, typ karty i informacja o powodzeniu transakcji.

To nie jest skromność. Sklep, który nie widzi numeru karty, nie może go wyciec.

Na jakiej podstawie

Cel Podstawa
Realizacja zamówienia, dostawa, rozliczenie zwrotu art. 6 ust. 1 lit. b RODO — wykonanie umowy
Wystawienie i przechowanie faktury, rozliczenia podatkowe art. 6 ust. 1 lit. c RODO — obowiązek prawny
Rozpatrzenie reklamacji, obrona przed roszczeniami art. 6 ust. 1 lit. f RODO — uzasadniony interes
Marketing e-mail lub SMS art. 6 ust. 1 lit. a RODO — zgoda

Komu je przekazujemy

Shopify — platforma, na której działa sklep. Jest podmiotem przetwarzającym, działa na nasze polecenie na podstawie umowy i nie może wykorzystywać Twoich danych do własnych celów.

Dostawca usług płatniczych — tyle, ile potrzeba do autoryzacji transakcji oraz do wykonania jego własnych obowiązków jako podmiotu nadzorowanego.

Przewoźnik — imię i nazwisko odbiorcy, adres, kod pocztowy i kontakt do powiadomień o dostawie. Nie otrzymuje danych płatniczych, historii zamówień ani treści korespondencji.

Biuro rachunkowe — w zakresie dokumentów księgowych, na podstawie umowy powierzenia.

Jak długo

Co Ile Dlaczego
Dokumenty księgowe i faktury (imię, nazwisko, adres, kwoty) 5 lat od końca roku podatkowego art. 86 § 1 Ordynacji podatkowej, art. 74 ust. 2 ustawy o rachunkowości
Dane zamówienia na potrzeby roszczeń 6 lat art. 118 k.c. — okres przedawnienia
Korespondencja powiązana z zamówieniem razem z zamówieniem jak wyżej
Korespondencja bez zamówienia 2 lata nasz uzasadniony interes
Zapis zgody marketingowej do wycofania, potem zachowujemy sam fakt wycofania art. 7 ust. 1 RODO, żebyśmy nie napisali do Ciebie przez pomyłkę

To jest poprawka wobec poprzedniej wersji, która brzmiała: „zachowujemy Informacje o zamówieniu w naszej dokumentacji, dopóki nie poprosisz nas o ich usunięcie”.

Przechowywanie bezterminowe, domyślnie. Jest to niezgodne z zasadą ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO — dane mają być przechowywane nie dłużej, niż jest to niezbędne. „Dopóki ktoś nie zaprotestuje” nie jest okresem.

Granica Twojego prawa do usunięcia — jedyna

Nie możemy usunąć dokumentu księgowego przed upływem pięciu lat. Nie dlatego, że chcemy go zatrzymać, ale ponieważ jego przechowywanie jest obowiązkiem prawnym (art. 6 ust. 1 lit. c RODO), a art. 17 ust. 3 lit. b RODO wyłącza w takim przypadku prawo do usunięcia.

Gdy odmawiamy usunięcia z tego powodu, podajemy który dokument i datę, w której zostanie usunięty. Wszystko pozostałe — dane marketingowe, korespondencję bez zamówienia, konto — usuwamy na żądanie.

ZBIÓR 2 — DANE, KTÓRE WYSŁAŁO TWOJE URZĄDZENIE

Czyli to, czego nie wpisałeś: adres IP, typ przeglądarki, strefa czasowa, przeglądane podstrony, źródło wejścia na stronę, znaczniki czasu.

Ten zbiór ma zupełnie inny status prawny niż Zbiór 1 — i możesz go wyłączyć.

Technologie

Pliki cookie — pliki zapisywane w Twoim urządzeniu. Pliki dziennika — zapisy zdarzeń na serwerze. Piksele i tagi — pliki rejestrujące sposób przeglądania strony.

Na jakiej podstawie — i co zmieniło polskie prawo

Dostęp do informacji przechowywanych w Twoim urządzeniu końcowym reguluje art. 399 ustawy – Prawo komunikacji elektronicznej, która zastąpiła w tym zakresie art. 173 Prawa telekomunikacyjnego. Zasadą jest uprzednia zgoda, a wyjątkiem wyłącznie to, co niezbędne do transmisji albo do świadczenia usługi, o którą sam poprosiłeś.

Trzy kategorie, bez zacierania różnic:

Niezbędne — koszyk, sesja, logowanie, bezpieczeństwo. Bez nich sklep nie działa; zgoda nie jest wymagana.

Analityczne — nasz własny pomiar tego, jak działają podstrony. Zbierane na podstawie Twojej zgody, wyrażanej w banerze, i wyłączane w jednym kroku.

Reklamowe i profilujące, w tym przekazywane podmiotom trzecim do ich własnych celów — zgoda, za każdym razem. Bez niej nie ustawiamy żadnego identyfikatora reklamowego i nie budujemy z Twojej wizyty grupy odbiorców.

Ustawienia przeglądarki nie są zgodą

Poprzednia wersja odsyłała do zewnętrznej strony „po więcej informacji o plikach cookie i sposobach ich wyłączenia” i traktowała to jako mechanizm zgody. Nie jest nim.

Zgodę wyrażasz albo jej odmawiasz w naszym banerze cookie, a wycofanie zgody musi być tak samo łatwe jak jej udzielenie (art. 7 ust. 3 RODO). Dlatego ustawienia cookie są dostępne na każdej podstronie, a nie tylko przy pierwszej wizycie.

Odbiorcy

Google Analytics — pomiar sposobu korzystania ze strony, wyłącznie za zgodą.

Nie sprzedajemy danych osobowych i nie udostępniamy ich nikomu do jego własnych, niezależnych celów.

Jak długo

Zgodnie z okresami podanymi w informacji o plikach cookie, i nie dłużej. Zgodę możesz wycofać w dowolnym momencie, a po wycofaniu nie zbieramy dalszych danych w tym zakresie.

GDZIE OBA ZBIORY SIĘ STYKAJĄ

Są trzy takie miejsca i pilnujemy ich świadomie, bo to tam dwa zbiory zaczynają tworzyć profil.

Sprawdzanie zamówień pod kątem oszustwa

Tu adres IP (Zbiór 2) zostaje powiązany z zamówieniem (Zbiór 1). Podstawą jest uzasadniony interes (art. 6 ust. 1 lit. f RODO) — także Twój, bo kartą, którą ktoś próbuje się posłużyć, może być Twoja.

Wynik automatycznej oceny nigdy nie decyduje samodzielnie. Jeżeli zamówienie zostanie oznaczone, patrzy na nie człowiek. Jest to celowe: art. 22 RODO ogranicza decyzje podejmowane wyłącznie automatycznie, a my nie chcemy działać na jego granicy.

Jeżeli Twoje zamówienie zostanie anulowane z powodu podejrzenia oszustwa, możesz poprosić o ponowne rozpatrzenie i zrobi to człowiek. Nie usłyszysz, że „tak zdecydował system”.

Marketing dopasowany do historii zakupów

Łączy obie kategorie, dlatego wymaga zgody i nie uruchamia się domyślnie po złożeniu zamówienia.

Obsługa reklamacji

Treść wiadomości (Zbiór 1) bywa czytana razem z danymi technicznymi zamówienia. Nie wykorzystujemy tego do niczego poza rozpatrzeniem sprawy.

TWOJE PRAWA

Prawo Co oznacza Podstawa
Dostęp kopia danych i informacja, po co je mamy art. 15 RODO
Sprostowanie poprawienie tego, co jest nieprawidłowe art. 16
Usunięcie usunięcie, poza danymi objętymi obowiązkiem prawnym art. 17
Ograniczenie wstrzymanie przetwarzania na czas sporu art. 18
Przenoszenie dane w formacie nadającym się do odczytu maszynowego art. 20
Sprzeciw wobec przetwarzania opartego na uzasadnionym interesie, a wobec marketingu bezpośredniego w każdej chwili i bez uzasadnienia art. 21
Wycofanie zgody w zakresie cookie, SMS-ów i e-maili marketingowych art. 7 ust. 3
Decyzja człowieka brak decyzji wyłącznie automatycznej o istotnych skutkach art. 22

Jak: napisz na pomoc@kramano.com. Nie musisz powoływać się na przepis ani używać słowa „wniosek”.

Odpowiadamy w ciągu miesiąca (art. 12 ust. 3 RODO). W sprawach rzeczywiście złożonych termin można wydłużyć o dwa miesiące — informujemy o tym w pierwszym miesiącu, wraz z powodem.

Bezpłatnie. Opłatę możemy pobrać wyłącznie przy żądaniach ewidentnie nieuzasadnionych lub nadmiernych, czego w sklepie z kocami nie przewidujemy.

Możemy poprosić o potwierdzenie tożsamości — tylko w zakresie pozwalającym upewnić się, że nie przekazujemy Twojej historii zamówień komuś innemu.

Skarga do organu nadzorczego

Masz prawo wnieść skargę bez uprzedniego kontaktu z nami (art. 77 RODO).

Prezes Urzędu Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa 606-950-000 · uodo.gov.pl

PRZEKAZYWANIE DANYCH POZA EOG

Infrastruktura naszych dostawców jest międzynarodowa. Tam, gdzie dane opuszczają Europejski Obszar Gospodarczy, odbywa się to na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską albo do państwa objętego decyzją o odpowiednim stopniu ochrony. Na żądanie wskażemy, który mechanizm dotyczy konkretnego przepływu danych.

NARUSZENIA OCHRONY DANYCH

Naruszenie zgłaszamy Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia, jeżeli może powodować ryzyko naruszenia Twoich praw lub wolności (art. 33 RODO).

Przy wysokim ryzyku informujemy również Ciebie, bez zbędnej zwłoki (art. 34 RODO) — co się stało, jakich danych dotyczyło, co zrobiliśmy i co powinieneś zrobić Ty.

Nie nazwiemy naruszenia „problemem technicznym”. Jeżeli Twoje dane zostały ujawnione, taka będzie treść wiadomości.

DZIECI

Nie zbieramy świadomie danych osób poniżej 16. roku życia — w Polsce nie obniżono granicy z art. 8 RODO, więc wynosi ona 16 lat, a nie 13 jak w części państw.

Zamówienie wymaga pełnoletności. Jeżeli uważasz, że trafiły do nas dane dziecka, napisz — usuniemy je.

MARKETING: SMS I E-MAIL

Marketing bezpośredni z użyciem telefonu lub poczty elektronicznej wymaga Twojej uprzedniej zgody (art. 398 Prawa komunikacji elektronicznej). Zgoda jest odrębna od złożenia zamówienia i można ją wycofać w każdej chwili, bez podania powodu.

SMS: odpowiedz STOP na dowolną wiadomość, żeby zrezygnować, albo HELP, jeśli potrzebujesz pomocy. Rezygnację realizujemy natychmiast i zachowujemy wyłącznie zapis, że jej dokonałeś.

Jedna poprawka. Poprzednia wersja brzmiała: „mogą obowiązywać standardowe opłaty operatora za wiadomości i transmisję danych, za które ponosisz odpowiedzialność”. W Polsce za odebranie SMS-a nie płacisz. To zdanie pochodzi z amerykańskiego szablonu i ostrzegało przed opłatą, która nie istnieje.

Każda wiadomość marketingowa identyfikuje nadawcę i zawiera działającą rezygnację. Wiadomość bez jednego i drugiego nie jest od nas.

CZEGO W TEJ POLITYCE NIE MA

Cztery fragmenty poprzedniej wersji zostały usunięte, nie przeredagowane.

Akapit „DO NOT TRACK”, informujący, że nie reagujemy na sygnał Do Not Track z przeglądarki. Ten tekst istnieje z powodu wymogu informacyjnego obowiązującego w Kalifornii. W polskiej polityce był po prostu oświadczeniem, że lekceważymy ustawienie prywatności — bez żadnego powodu, bo mechanizmem obowiązującym tutaj jest zgoda, której przestrzegamy.

Odnośnik do Network Advertising Initiative. NAI jest amerykańską organizacją samoregulacyjną i nie jest miejscem, do którego kieruje się konsumenta w Polsce. Twoje narzędzia to nasze ustawienia cookie, ustawienia prywatności przeglądarki i panele reklamowe samych platform.

„Nakaz przeszukania”. Poprzednia wersja opisywała reakcję na „nakaz sądowy, nakaz przeszukania lub inne zgodne z prawem żądanie” — to instrumenty amerykańskie. Udostępniamy dane, gdy obowiązek wynika z przepisów (art. 6 ust. 1 lit. c RODO) i gdy żądanie uprawnionego organu wskazuje podstawę prawną. Wymagamy formy pisemnej i weryfikujemy podstawę; nieformalna prośba telefoniczna bez wskazanej podstawy spotyka się z odmową i notatką, kto pytał. Informujemy Cię o takim żądaniu, chyba że samo poinformowanie byłoby niezgodne z prawem. Nie przekazujemy danych z własnej inicjatywy.

Dane szczególnych kategorii. Nie zbieramy danych o zdrowiu, przekonaniach ani danych biometrycznych (art. 9 RODO). Sprzedajemy koce, w tym grzewcze, i nie interesuje nas, dlaczego ich potrzebujesz. Jeżeli napiszesz o czymś takim w wiadomości, bo ma to znaczenie dla Twojego pytania, odpowiadamy na pytanie i nie tworzymy z tego zapisu.

Dodatkowo: nie mamy obowiązku powołania inspektora ochrony danych przy naszej skali i nie powołaliśmy go. Sprawy dotyczące danych osobowych trafiają na adres kontaktowy i prowadzimy je sami. Piszemy to wprost, zamiast sugerować istnienie komórki, której nie ma.

ZMIANY POLITYKI

Data na górze wskazuje obowiązującą wersję. Jeżeli zmiana dotyczy Ciebie w sposób istotny — nowy odbiorca danych, nowy cel, dłuższy okres przechowywania — informujemy Cię bezpośrednio, zamiast liczyć na to, że przeczytasz tę stronę ponownie. Poprzednie wersje udostępniamy na żądanie.

GDZIE CO JEST OPISANE

Regulamin — umowa, prawo odstąpienia i uprawnienia przy niezgodności towaru z umową. Polityka dostawy — czasy, śledzenie i terminy zgłoszeń. Polityka zwrotów — przebieg zwrotu i rozliczenie pieniędzy.

KONTAKT
Nazwa sklepu Kramano
Nazwa firmy Kramano sp. z o.o.
Adres ul. Pałucka 2, 62-200 Gniezno, Polska
E-mail pomoc@kramano.com
Numer telefonu +48 61 428 62 49
Godziny obsługi klienta Pon.–Pt.: 09:00–17:00
Sob. i Niedz. Zamknięte
Czas odpowiedzi W ciągu 2 dni roboczych