Polityka Prywatności

§ 1 Administrator danych osobowych

Administratorem Twoich danych osobowych jest:

Administrator nie wyznaczył Inspektora Ochrony Danych (IOD), ponieważ nie jest do tego zobowiązany na podstawie art. 37 RODO. Wszelkie pytania dotyczące przetwarzania danych osobowych prosimy kierować bezpośrednio na powyższy adres e-mail.

§ 2 Cele i podstawy prawne przetwarzania danych

Przetwarzamy Twoje dane osobowe wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach, na podstawie jednej z przesłanek wskazanych w art. 6 RODO.

2.1 Rezerwacja wizyty i świadczenie usług

Dane: imię i nazwisko, numer telefonu, adres e-mail, historia zabiegów, informacje zdrowotne niezbędne do bezpiecznego wykonania zabiegu (np. alergie, przeciwwskazania).
Podstawa: art. 6 ust. 1 lit. b RODO (niezbędność do wykonania umowy) oraz art. 9 ust. 2 lit. h RODO (przetwarzanie danych dotyczących zdrowia w celach profilaktyki zdrowotnej lub medycyny pracy).
Okres przechowywania: przez czas trwania umowy, a następnie przez 3 lata od jej zakończenia (przedawnienie roszczeń). Dokumentacja zdrowotna — przez okres wynikający z przepisów prawa (min. 10 lat, art. 29 ustawy o działalności leczniczej — jeżeli dotyczy).

2.2 Kontakt telefoniczny i e-mailowy

Dane: imię, adres e-mail lub numer telefonu, treść wiadomości.
Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora — odpowiedź na zapytanie).
Okres przechowywania: do 12 miesięcy od ostatniego kontaktu, chyba że konieczne jest dłuższe przechowywanie w związku z zawartą umową lub dochodzeniem roszczeń.

2.3 Wypełnianie obowiązków prawnych (rachunkowość, podatki)

Dane: imię i nazwisko lub nazwa firmy, adres, NIP (gdy wymagana faktura).
Podstawa: art. 6 ust. 1 lit. c RODO (obowiązek prawny — ustawa o rachunkowości, ustawa o VAT).
Okres przechowywania: 5 lat od końca roku podatkowego, w którym nastąpiła transakcja.

2.4 Marketing bezpośredni (tylko za zgodą)

Dane: imię, adres e-mail lub numer telefonu.
Podstawa: art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 10 ustawy o świadczeniu usług drogą elektroniczną i art. 172 Prawa telekomunikacyjnego.
Okres przechowywania: do momentu wycofania zgody. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

2.5 Ustalenie, dochodzenie lub obrona roszczeń

Dane: dane niezbędne do prowadzenia postępowania.
Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora).
Okres przechowywania: przez okres przedawnienia roszczeń wynikający z Kodeksu cywilnego (z reguły 3 lub 6 lat).

§ 3 Odbiorcy danych osobowych

Twoje dane osobowe mogą być przekazywane wyłącznie podmiotom, którym jesteśmy do tego zobowiązani lub które wspierają naszą działalność na podstawie umów powierzenia przetwarzania danych (art. 28 RODO):

• Booksy International sp. z o.o. (system rezerwacji online) — przetwarzanie w celu zarządzania wizytami; Booksy działa jako odrębny administrator w zakresie własnych usług. Polityka prywatności Booksy dostępna jest na stronie booksy.com/pl-pl/privacy.
• Dostawca usług hostingowych — na potrzeby utrzymania serwisu ogrodyspa.pl, na podstawie umowy powierzenia przetwarzania.
• Biuro rachunkowe — w zakresie danych fakturowych, na podstawie umowy powierzenia przetwarzania.
• Google LLC — w zakresie korzystania z Google Analytics 4 (analityka ruchu na stronie — wyłącznie za zgodą użytkownika; szczegóły w § 5), Google Fonts (kroje pisma ładowane przy każdym odwiedzeniu strony; szczegóły w § 5) oraz Google Maps (mapka dojazdu w sekcji Kontakt).
• Organy publiczne — jeżeli jesteśmy do tego zobowiązani na podstawie obowiązujących przepisów prawa.

Nie sprzedajemy, nie wypożyczamy ani nie udostępniamy Twoich danych osobowych podmiotom trzecim w celach marketingowych bez Twojej wyraźnej zgody.

§ 4 Przekazywanie danych poza Europejski Obszar Gospodarczy

Co do zasady nie przekazujemy danych osobowych poza Europejski Obszar Gospodarczy (EOG). Wyjątek stanowi korzystanie z usług Google LLC (siedziba w USA) w zakresie Google Analytics 4, Google Fonts i Google Maps. Google LLC uczestniczy w mechanizmie Data Privacy Framework (DPF) — decyzji Komisji Europejskiej z 10 lipca 2023 r. stwierdzającej odpowiedni poziom ochrony danych w USA, co stanowi gwarancję zgodną z art. 45 RODO. Aktualna lista certyfikowanych podmiotów dostępna jest na stronie dataprivacyframework.gov.

§ 5 Pliki cookies i podobne technologie

5.1 Czym są pliki cookies?

Pliki cookies (ciasteczka) to małe pliki tekstowe zapisywane przez przeglądarkę internetową na Twoim urządzeniu. Umożliwiają rozpoznanie urządzenia podczas kolejnej wizyty i poprawiają funkcjonowanie serwisu.

5.2 Cookies niezbędne (brak możliwości rezygnacji)

Serwis korzysta z niezbędnych technicznie plików cookies, które są konieczne do prawidłowego działania strony. Nie wymagają one Twojej zgody (art. 173 ust. 3 pkt 2 Prawa telekomunikacyjnego). Są to m.in.:

• cc_cookie — zapamiętuje Twój wybór dotyczący cookies (akceptacja / odrzucenie); ważność: 365 dni.
• Pliki sesyjne — usuwane po zamknięciu przeglądarki.

5.3 Cookies analityczne — Google Analytics 4 (wymagają zgody)

Za Twoją wyraźną zgodą (art. 6 ust. 1 lit. a RODO) korzystamy z usługi Google Analytics 4 (dostawca: Google LLC) w celu analizy ruchu na stronie — m.in. które podstrony są odwiedzane, jak długo trwają sesje i skąd pochodzą odwiedzający.

Dane zbierane przez GA4 są anonimizowane (anonimizacja adresu IP) i nie pozwalają na bezpośrednią identyfikację użytkownika. Nie łączymy danych analitycznych z innymi danymi osobowymi.

Pliki cookies zapisywane przez Google Analytics:

• _ga — rozróżnia użytkowników; ważność: 2 lata.
• _ga_* — utrzymuje stan sesji; ważność: 2 lata.

Cookies analityczne są zapisywane wyłącznie po wyrażeniu zgody za pomocą bannera cookie wyświetlanego przy pierwszej wizycie. Możesz zmienić swoją decyzję w dowolnym momencie, klikając „Ustawienia cookies" w stopce strony. Po odrzuceniu zgody pliki _ga i _ga_* są automatycznie usuwane.

Korzystamy z mechanizmu Google Consent Mode v2, co oznacza, że skrypt Google Analytics nie zbiera żadnych danych i nie zapisuje cookies do momentu udzielenia zgody.

5.4 Google Fonts

Serwis ładuje kroje pisma z serwerów Google LLC (fonts.googleapis.com / fonts.gstatic.com). Przy każdym pobraniu pliku czcionki serwer Google może rejestrować Twój adres IP i nagłówki przeglądarki. Zgodnie z polityką Google dane te są agregowane i nie są wykorzystywane do profilowania użytkowników. Podstawą jest prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — zapewnienie spójności wizualnej serwisu.

Jeżeli nie życzysz sobie, by Twój adres IP był przekazywany do Google, możesz zablokować ładowanie zasobów z domen Google za pomocą rozszerzeń przeglądarki (np. uBlock Origin) lub skonfigurować stosowne reguły w systemowym pliku hosts.

5.5 Google Maps

Na stronie /kontakt/ wyświetlamy mapę Google Maps (iframe). Jej wczytanie może powodować przekazanie Twojego adresu IP do serwerów Google oraz ustawienie własnych plików cookies Google. Mapa ładowana jest wyłącznie po wejściu na podstronę kontaktową. Szczegóły w Polityce prywatności Google.

5.6 Zarządzanie plikami cookies w przeglądarce

Możesz samodzielnie zarządzać plikami cookies, zmieniając ustawienia przeglądarki. Poniżej znajdziesz instrukcje dla najpopularniejszych przeglądarek:

• Google Chrome
• Mozilla Firefox
• Safari
• Microsoft Edge

Wyłączenie cookies niezbędnych może wpłynąć na działanie niektórych funkcji serwisu.

§ 6 Logi serwera

Korzystanie z serwisu wiąże się z automatycznym zapisywaniem przez serwer danych w tzw. logach serwera. Logi zawierają: adres IP lub URL żądania, czas żądania, kod odpowiedzi HTTP, liczbę przesłanych bajtów oraz nagłówek User-Agent (typ przeglądarki i systemu operacyjnego).

Dane te są przetwarzane w celach technicznych — diagnostyka błędów, zapewnienie bezpieczeństwa i integralności serwisu. Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes). Logi są przechowywane przez maksymalnie 90 dni, chyba że zajdzie konieczność dłuższego przetwarzania w związku z incydentem bezpieczeństwa.

§ 7 Twoje prawa

Na podstawie RODO przysługują Ci następujące prawa:

§ 8 Profilowanie i zautomatyzowane podejmowanie decyzji

Nie stosujemy zautomatyzowanego podejmowania decyzji, które wywoływałoby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływało (art. 22 RODO). Twoje dane osobowe nie są profilowane w celach marketingowych.

§ 9 Bezpieczeństwo danych

Stosujemy odpowiednie techniczne i organizacyjne środki bezpieczeństwa wymagane przez art. 32 RODO, w szczególności:

• Szyfrowanie transmisji danych (protokół TLS/HTTPS).
• Ograniczenie dostępu do danych do upoważnionych pracowników i współpracowników, zobowiązanych do zachowania poufności.
• Regularne tworzenie kopii zapasowych.
• Stosowanie haseł o wysokiej sile i uwierzytelniania dwuetapowego w systemach IT.

§ 10 Linki do zewnętrznych serwisów

Serwis ogrodyspa.pl może zawierać odnośniki do zewnętrznych serwisów (m.in. Booksy, Instagram, Facebook, TikTok). Administrator nie odpowiada za polityki prywatności tych podmiotów. Zachęcamy do zapoznania się z ich dokumentami przed skorzystaniem z usług.

§ 11 Zmiany Polityki Prywatności

Zastrzegamy sobie prawo do zmiany niniejszej Polityki Prywatności w przypadku zmiany przepisów prawa, stosowanych technologii lub modelu działalności. O istotnych zmianach poinformujemy poprzez wyraźne oznaczenie daty aktualizacji na górze dokumentu. Dalsze korzystanie z serwisu po opublikowaniu zmian oznacza ich akceptację.