Polityka prywatności — Korban Professional (Saint Hair Europe Sp. z o.o.)
Wersja: KPROF-PRIV-v8
Obowiązuje od: 2026-10-19
Poprzednia wersja: KPROF-PRIV-v7 (obowiązuje od 2026-10-18 do dnia poprzedzającego wejście w życie tej wersji)
1. Administrator danych osobowych
Administratorem Twoich danych osobowych jest:
Saint Hair Europe Sp. z o.o.
ul. Karola Marcinkowskiego 8a/1
85-056 Bydgoszcz
NIP: 9671483384
REGON: 540589167
KRS: 0001147669
Kontakt w sprawach danych osobowych: kontakt@korbanprofessional.pl
Telefon: +48 720 803 375 (dni robocze 8:00–16:00)
Marka Korban Professional stanowi działalność handlową prowadzoną przez Saint Hair Europe Sp. z o.o.
2. Cele i podstawy prawne przetwarzania (art. 6 RODO)
Część opisanych w tej polityce funkcji uruchamiamy stopniowo — przetwarzanie danych w ramach danej funkcji zaczyna się dopiero z chwilą jej uruchomienia.
| Cel | Podstawa prawna | Okres przechowywania |
|---|---|---|
| a) Zawarcie i wykonanie umowy sprzedaży (zamówienia w sklepie korbanprofessional.pl oraz zamówienia złożone na platformach sprzedażowych, na których oferujemy produkty, np. TikTok Shop — w tym drugim przypadku dane kupującego potrzebne do wysyłki otrzymujemy od operatora platformy) | art. 6 ust. 1 lit. b RODO (wykonanie umowy) | przez czas trwania umowy + 6 lat (rozliczenia podatkowe) |
| b) Rozpatrywanie reklamacji, gwarancji, zwrotów | art. 6 ust. 1 lit. b i c RODO (umowa + obowiązki prawne) | przez czas trwania umowy + 2 lata |
| c) Wystawienie i przechowywanie faktur | art. 6 ust. 1 lit. c RODO (obowiązek ustawowy, art. 86 § 1 Ordynacji podatkowej) | 5 lat od końca roku, w którym wystawiono fakturę |
| d) Newsletter, mailing marketingowy, follow-up po targach | art. 6 ust. 1 lit. a RODO (Twoja zgoda) | do wycofania zgody, max 5 lat od ostatniej aktywności |
| e) Komunikacja WhatsApp / SMS marketingowa | art. 6 ust. 1 lit. a RODO (Twoja zgoda) | do wycofania zgody, max 5 lat od ostatniej aktywności |
| f) Profilowanie marketingowe (dopasowanie ofert do Twoich aktywności) | art. 6 ust. 1 lit. a RODO (Twoja zgoda) | do wycofania zgody, max 24 miesiące |
| g) Marketing własnych produktów drogą tradycyjną (np. ulotka w paczce) | art. 6 ust. 1 lit. f RODO (uzasadniony interes administratora) | do wniesienia sprzeciwu |
| h) Obsługa zapytań kontaktowych (formularz, email, telefon) | art. 6 ust. 1 lit. f RODO (uzasadniony interes — udzielenie odpowiedzi) | 12 miesięcy od ostatniej korespondencji |
| i) Analityka ruchu na stronie (statystyki — Plausible, agregowane) | art. 6 ust. 1 lit. f RODO (uzasadniony interes — poprawa serwisu) | 25 miesięcy (zgodnie z konfiguracją narzędzia) |
| j) Reklama Google Ads, Facebook Ads, TikTok Ads (retargeting, lookalike) | art. 6 ust. 1 lit. a RODO (Twoja zgoda przez cookies) | do wycofania zgody, max 24 miesiące |
| k) Dochodzenie i obrona roszczeń | art. 6 ust. 1 lit. f RODO (uzasadniony interes) | do upływu terminu przedawnienia |
| l) Założenie konta i logowanie przez konto Google albo Facebook (jeśli wybierzesz tę metodę — zob. pkt 2.1) | art. 6 ust. 1 lit. b RODO (prowadzenie konta na Twoje żądanie) | do usunięcia konta w sklepie |
| m) Ustalenie źródła wizyty — z jakiego linku, kampanii albo strony trafiłaś lub trafiłeś do nas — i zapisanie go przy zgłoszeniu z formularza albo przy zamówieniu (zob. pkt 7.5) | art. 6 ust. 1 lit. f RODO (uzasadniony interes: ocena, które działania informacyjne i reklamowe przynoszą zapytania i zamówienia) | w przeglądarce do 90 dni; przy zgłoszeniu albo zamówieniu — tak długo, jak przechowujemy dane tego zgłoszenia albo zamówienia |
| n) Powiązanie zgłoszenia albo zamówienia z kliknięciem konkretnej reklamy (identyfikator kliknięcia reklamy Google, Meta lub TikTok, zob. pkt 7.5), a gdy zgłoszenie dotyczyło współpracy salonu — przekazanie serwisowi, z którego reklamy pochodzi, informacji o przyjęciu salonu jako partnera albo o jego pierwszym zamówieniu (zob. pkt 7.5) | art. 6 ust. 1 lit. a RODO (zgoda na cookies marketingowe wyrażona w banerze) — dla identyfikatora zapisywanego w pliku kp_atr; art. 6 ust. 1 lit. f RODO (uzasadniony interes, jak w lit. m) — dla identyfikatora, który jest w adresie strony w chwili wysłania formularza (zob. pkt 7.5); przekazanie informacji o współpracy serwisowi reklamowemu — wyłącznie art. 6 ust. 1 lit. a RODO |
do wycofania zgody; w przeglądarce do 90 dni; przy zgłoszeniu z formularza — tak długo, jak przechowujemy dane tego zgłoszenia; informację o współpracy przekazujemy nie później niż 90 dni od kliknięcia reklamy |
| o) Obsługa zgłoszenia wysłanego formularzem w reklamie na Facebooku, Instagramie, TikToku albo w Google (formularz kontaktowy w reklamie, zob. pkt 2.2) | art. 6 ust. 1 lit. f RODO (uzasadniony interes — udzielenie odpowiedzi na zgłoszenie); gdy zgłoszenie dotyczy współpracy salonu — także art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy, podejmowane na Twoje żądanie) | 12 miesięcy od ostatniej korespondencji |
| p) Kontakt telefoniczny w sprawie oferty i szkoleń | art. 6 ust. 1 lit. a RODO (Twoja zgoda) i art. 398 Prawa komunikacji elektronicznej | do wycofania zgody, max 5 lat od ostatniej aktywności |
| q) Ustalenie, czy zamówienie albo zgłoszenie nastąpiło po reklamie — przekazanie Meta, Google i TikTokowi Twojego adresu e-mail i numeru telefonu w postaci zaszyfrowanej jednokierunkowo (skrót SHA-256), przy zamówieniu, przy wysłaniu formularza oraz — Google i Mecie — przy przyjęciu salonu jako partnera i przy jego pierwszym zamówieniu (zob. pkt 7.4 i 7.5) | art. 6 ust. 1 lit. a RODO (zgoda na cookies marketingowe wyrażona w banerze) | do wycofania zgody; serwis reklamowy przechowuje skrót według własnych zasad |
| r) Przypomnienie o niedokończonym zamówieniu — gdy w kasie zgodzisz się na wiadomości e-mail, a zamówienia nie dokończysz, zapamiętujemy adres e-mail i zawartość koszyka i wysyłamy najwyżej dwa przypomnienia | art. 6 ust. 1 lit. a RODO (zgoda na wiadomości e-mail wyrażona w kasie) i art. 398 Prawa komunikacji elektronicznej | do złożenia zamówienia albo wycofania zgody, najdłużej 7 dni od opuszczenia kasy |
| s) Rozpatrzenie wniosku o konto salonu i prowadzenie konta salonu, w tym sprawdzenie, czy numer NIP figuruje w wykazie podatników VAT prowadzonym przez Szefa Krajowej Administracji Skarbowej | art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy i jej wykonanie) | przez czas prowadzenia konta, a potem do upływu terminu przedawnienia roszczeń |
2.1 Logowanie przez konto Google
Konto w sklepie możesz założyć i logować się do niego przez swoje konto Google. To dobrowolne — zawsze możesz zamiast tego założyć konto adresem e-mail i hasłem.
Gdy wybierzesz tę drogę, Google przekazuje nam Twoje imię, nazwisko, adres e-mail i identyfikator Twojego konta Google. Nie dostajemy Twojego hasła ani dostępu do Twojego konta Google, nie zapisujemy zdjęcia profilowego i niczego nie publikujemy w Twoim imieniu.
Imię, nazwisko i adres e-mail zapisujemy w Twoim koncie w sklepie, tak jak przy zwykłej rejestracji. Identyfikator konta Google służy wyłącznie do rozpoznania Cię przy kolejnym logowaniu i przechowujemy go do usunięcia konta w sklepie.
Google dowiaduje się, że logujesz się do naszego sklepu. Za to, co robi z danymi po swojej stronie, Google Ireland Limited odpowiada samodzielnie, jako odrębny administrator — zasady opisuje polityka prywatności Google: policies.google.com/privacy. Google może przekazywać dane do USA na podstawie Data Privacy Framework.
Logowanie przez Google nie jest dostępne dla kont z dostępem do panelu administracyjnego sklepu. Aby usunąć konto razem z powiązaniem z kontem Google, napisz na kontakt@korbanprofessional.pl — zrobimy to w ciągu 30 dni. Dostęp sklepu do Twojego konta możesz też w każdej chwili odebrać w ustawieniach konta Google: myaccount.google.com/connections.
Tak samo możesz założyć konto i logować się przez konto Facebook. Meta przekazuje nam wtedy Twoje imię, nazwisko, adres e-mail i identyfikator konta Facebook. Pozostałe zasady z tego punktu stosuje się odpowiednio, a za to, co Meta robi z danymi po swojej stronie, odpowiada Meta Platforms Ireland Ltd. jako odrębny administrator (pkt 2.2).
2.2 Formularze w reklamach na Facebooku, Instagramie, TikToku i w Google
Część naszych reklam na Facebooku i Instagramie ma formularz kontaktowy, który wypełniasz bez wychodzenia z aplikacji. Formularz udostępnia Meta Platforms Ireland Ltd. i to od niej dostajemy jego treść: dane, które w nim wpisujesz lub potwierdzasz (na przykład imię i nazwisko, adres e-mail, numer telefonu, nazwę salonu, miasto), zaznaczone zgody, czas wysłania oraz oznaczenie reklamy, kampanii i formularza, z których pochodzi zgłoszenie.
Zgłoszenie zapisujemy w naszej bazie klientów, żeby na nie odpowiedzieć (pkt 2 lit. o). Samo wysłanie formularza nie jest zgodą na informacje handlowe. Wiadomości e-mail z ofertą wysyłamy, a z ofertą dzwonimy tylko wtedy, gdy zaznaczysz odpowiednie pole w formularzu. Pola są osobne dla e-maila i dla telefonu, żadne nie jest wymagane do wysłania formularza, a każdą zgodę możesz wycofać (pkt 6).
Gdy piszesz do nas przez Messengera albo Instagram, rozmowa razem z nazwą Twojego profilu trafia do naszej skrzynki zapytań i do bazy klientów. Obsługujemy ją tak jak zapytanie kontaktowe (pkt 2 lit. h). Rozmowa nie jest zgodą na informacje handlowe.
Dane Twojego konta na Facebooku lub Instagramie oraz to, jak korzystasz z tych serwisów, Meta przetwarza na własnych zasadach, jako odrębny administrator. Opisuje je polityka prywatności Meta. Meta przekazuje dane także do USA (pkt 4).
Takie same formularze mają część naszych reklam na TikToku i w Google. Formularz udostępnia wtedy TikTok Technology Limited albo Google Ireland Limited i to od nich dostajemy jego treść, w tym samym zakresie i na tych samych zasadach co przy formularzu Meta — także z osobnymi, niewymaganymi polami zgody na e-mail i na telefon. Dane Twojego konta w tych serwisach przetwarzają one na własnych zasadach, jako odrębni administratorzy.
3. Kategorie danych
W zależności od celu przetwarzamy następujące dane:
- Identyfikacyjne: imię, nazwisko, nazwa firmy/salonu, NIP (dla B2B) i status w wykazie podatników VAT (dla salonów — pobieramy go z wykazu publicznego); identyfikator konta Google albo Facebook, jeśli logujesz się w ten sposób (zob. pkt 2.1)
- Kontaktowe: e-mail, telefon, adres dostawy, adres rozliczeniowy
- Transakcyjne: historia zamówień, kwoty, sposoby płatności
- Behawioralne: aktywność w sklepie, otwarcia maili, kliknięcia (jeśli wyrażono zgodę); źródło wizyty: oznaczenia kampanii z adresu linku, serwis, z którego prowadził link, pierwsza otwarta strona i czas wejścia (zob. pkt 7.5)
- Z formularza w reklamie Meta, TikToka albo Google: dane wpisane lub potwierdzone w formularzu, zaznaczone zgody, czas wysłania oraz oznaczenie reklamy, kampanii i formularza (zob. pkt 2.2)
- Z platform sprzedażowych: dane kupującego potrzebne do wysyłki zamówienia złożonego np. w TikTok Shop (zob. pkt 2 lit. a)
- Techniczne: adres IP (anonimizowany w analityce), przeglądarka, system operacyjny — zbierane przez pliki cookies (zob. sekcja 7)
4. Odbiorcy danych
Twoje dane przekazujemy odbiorcom wymienionym w tabeli. Podmioty przetwarzające działają na podstawie umów powierzenia (art. 28 RODO); przy podmiotach, które są samodzielnymi administratorami albo współadministratorami, mówi o tym ostatnia kolumna.
| Podmiot | Cel | Lokalizacja serwerów | DPA |
|---|---|---|---|
| Hostinger International Ltd. | Hosting sklepu korbanprofessional.pl | UE | tak |
| Cloudflare, Inc. | Sieć dostarczania i serwer strony korbanprofessional.pl, w tym wysyłka zdarzeń z serwera (pkt 7.4); sieć dostarczania sklepu sklep.korbanprofessional.pl | UE + USA (SCC + Data Privacy Framework) | tak |
| Fakturownia sp. z o.o. | Wystawianie i przechowywanie faktur | UE (Polska) | tak |
| BaseLinker sp. z o.o. | Zarządzanie zamówieniami i wysyłką | UE (Polska) | tak |
| Brevo SAS (dawniej Sendinblue) | Wysyłka maili marketingowych i transakcyjnych | UE (Francja) | tak |
| Plausible Analytics (własna instancja na serwerze Hostinger International Ltd.) | Analityka ruchu strony (bez plików cookies) | UE (Litwa) | tak |
| Twenty Sàrl (instancja self-hosted) | CRM (zarządzanie kontaktami) | UE (własny serwer w Polsce) | nie dotyczy (własna infrastruktura) |
| Chatwoot (własna instancja na serwerze Hostinger International Ltd.) | Skrzynka zapytań: wiadomości z formularzy strony oraz rozmowy prowadzone przez Messengera i Instagram | UE (Litwa) | tak (hosting serwera) |
| UW-TEAM.org Jakub Mrugalski (usługi Mikrus) | Serwer naszego narzędzia automatyzacji (n8n, własna instancja), które przekazuje zgłoszenia z formularzy — także z formularzy w reklamach Meta, TikToka i Google — do bazy klientów, skrzynki zapytań i systemu wysyłki e-maili | UE (Finlandia) | w trakcie zawierania |
| PayPro S.A. (operator Przelewy24) | Obsługa płatności online: BLIK, szybki przelew | UE (Polska) | tak |
| Stripe Payments Europe, Ltd. | Obsługa płatności kartą, Apple Pay, Google Pay i Klarna | UE (Irlandia) + USA (Stripe, Inc. — SCC + Data Privacy Framework) | tak |
| Klarna Bank AB (publ) | Płatność odroczona Klarna — Klarna ocenia i udziela płatności odroczonej jako samodzielny administrator, na zasadach własnej informacji o prywatności | UE (Szwecja) | nie dotyczy (samodzielny administrator) |
| Google Ireland Limited (logowanie przez Google — tylko gdy wybierzesz tę metodę) | Potwierdzenie Twojej tożsamości przy logowaniu — Google działa jako samodzielny administrator, na zasadach własnej polityki prywatności (zob. pkt 2.1) | UE (Irlandia) + USA (Data Privacy Framework) | nie dotyczy (samodzielny administrator) |
| Furgonetka sp. z o.o. | Zamawianie przesyłek u przewoźników | UE (Polska) | tak |
| InPost / DPD / DHL / Poczta Polska / ORLEN Paczka | Dostawa zamówień | UE (Polska) | tak |
| Google LLC (Google Analytics, Google Ads — tylko po wyrażeniu zgody w banerze cookies; także zdarzenia wysyłane z naszego serwera i informacja o wyniku zgłoszenia salonu, pkt 7.4 i 7.5) | Reklama i analityka | USA (SCC + Data Privacy Framework) | tak |
| Meta Platforms Ireland Ltd. (Facebook, Instagram Ads — tylko po wyrażeniu zgody w banerze cookies; także zdarzenia wysyłane z naszego serwera i informacja o wyniku zgłoszenia salonu, pkt 7.4 i 7.5) | Reklama i remarketing | UE (Irlandia) + USA (SCC + DPF) | tak |
| TikTok Technology Limited (Irlandia) i TikTok Information Technologies UK Limited (Wielka Brytania) (piksel TikTok — tylko po wyrażeniu zgody w banerze cookies) | Reklama na TikToku: pomiar jej skuteczności i dopasowanie reklam, na podstawie zdarzeń z przeglądarki i z naszego serwera (pkt 7.4). Przy zbieraniu danych pikselem, przekazaniu ich TikTokowi i pomiarze jesteśmy z TikTokiem współadministratorami; dobór odbiorców i ulepszanie reklam TikTok prowadzi jako odrębny administrator | UE (Irlandia) + Wielka Brytania (decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony) | na warunkach TikTok dla narzędzi biznesowych (współadministrowanie) |
| Meta Platforms Ireland Ltd. (formularze kontaktowe w reklamach oraz Messenger i Instagram — tylko gdy z nich korzystasz) | Udostępnienie formularza albo rozmowy i przekazanie nam ich treści; dane Twojego konta Meta przetwarza jako samodzielny administrator (zob. pkt 2.2) | UE (Irlandia) + USA (SCC + DPF) | na warunkach Meta dla formularzy kontaktowych i komunikatorów |
| TikTok Technology Limited (formularze kontaktowe w reklamach — tylko gdy z nich korzystasz) | Udostępnienie formularza i przekazanie nam jego treści; dane Twojego konta TikTok przetwarza jako samodzielny administrator (zob. pkt 2.2) | UE (Irlandia) | na warunkach TikTok dla formularzy w reklamach |
| Google Ireland Limited (formularze kontaktowe w reklamach — tylko gdy z nich korzystasz) | Udostępnienie formularza i przekazanie nam jego treści; dane Twojego konta Google przetwarza jako samodzielny administrator (zob. pkt 2.2) | UE (Irlandia) + USA (Data Privacy Framework) | na warunkach Google dla formularzy w reklamach |
| WhatsApp Ireland Limited (komunikacja przez WhatsApp — tylko gdy z nami tak piszesz albo zgodzisz się na takie wiadomości) | Przekazanie wiadomości; dane Twojego konta WhatsApp przetwarza jako samodzielny administrator | UE (Irlandia) + USA (Data Privacy Framework) | nie dotyczy (samodzielny administrator) |
| Biuro księgowe (na podstawie odrębnej umowy) | Księgowość, rozliczenia podatkowe | UE (Polska) | tak |
Przekazania poza EOG: Google i Meta mają serwery w USA. Korzystamy z Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską oraz z Data Privacy Framework (DPF) dla tych dostawców, którzy są certyfikowani.
Z tych samych mechanizmów korzystają przy przekazaniach do USA Cloudflare, Inc. i WhatsApp Ireland Limited.
TikTok Information Technologies UK Limited ma siedzibę w Wielkiej Brytanii, wobec której Komisja Europejska wydała decyzję stwierdzającą odpowiedni stopień ochrony danych. Dla przekazań do państw bez takiej decyzji warunki TikTok przewidują Standardowe Klauzule Umowne (SCC).
5. Klauzula informacyjna (art. 13 RODO)
Niniejsza polityka stanowi pełną klauzulę informacyjną w rozumieniu art. 13 RODO. W szczególności informujemy że:
- a) Administratorem danych jest podmiot wskazany w sekcji 1.
- b) Cele i podstawy prawne — zob. sekcja 2.
- c) Odbiorcy danych — zob. sekcja 4.
- d) Okres przechowywania — zob. sekcja 2 (kolumna „Okres przechowywania”).
- e) Przysługujące prawa — zob. sekcja 6.
- f) Prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
- g) Podanie danych przy zawarciu umowy sprzedaży jest dobrowolne, ale niezbędne do wykonania umowy. Brak podania uniemożliwia zakup. Podanie danych do newslettera / marketingu jest dobrowolne — brak nie ma skutków.
- h) Dane nie są wykorzystywane do podejmowania decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu wywołującym skutki prawne. Profilowanie marketingowe (jeśli wyrażono zgodę) nie wywołuje takich skutków.
6. Twoje prawa (art. 15-22 RODO)
Masz prawo:
- Dostępu do danych (art. 15 RODO) — uzyskania kopii Twoich danych
- Sprostowania (art. 16 RODO) — poprawienia nieprawidłowych danych
- Usunięcia / „prawo do bycia zapomnianym” (art. 17 RODO) — gdy dane nie są już potrzebne, zgoda została cofnięta, lub przetwarzanie jest niezgodne z prawem
- Ograniczenia przetwarzania (art. 18 RODO)
- Przenoszenia danych (art. 20 RODO) — otrzymania danych w formacie strukturalnym (JSON/CSV) i przesłania ich do innego administratora
- Sprzeciwu (art. 21 RODO) — zwłaszcza wobec przetwarzania opartego na art. 6 ust. 1 lit. f (uzasadniony interes), w tym marketingu tradycyjnego
- Wycofania zgody (art. 7 ust. 3 RODO) — w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed wycofaniem. Sposób wycofania:
– Mailing: kliknij „Nie chcę więcej wiadomości” w stopce dowolnej wiadomości, lub napisz na kontakt@korbanprofessional.pl
– WhatsApp / SMS: odpisz słowem STOP, lub napisz na kontakt@korbanprofessional.pl
– Telefon: powiedz o tym w trakcie rozmowy albo napisz na kontakt@korbanprofessional.pl
– Cookies: kliknij „Ustawienia cookies” w stopce strony albo sklepu i odznacz odpowiednie kategorie
- Wniesienia skargi do Prezesa UODO (ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl)
Realizacja praw: napisz na kontakt@korbanprofessional.pl. Odpowiadamy w ciągu 30 dni (max 90 dni przy skomplikowanych żądaniach, z uprzedzeniem).
7. Pliki cookies i technologie śledzące
Strona korbanprofessional.pl i sklep sklep.korbanprofessional.pl zapisują na Twoim urządzeniu pliki cookies. Część jest niezbędna do działania sklepu. Jeden plik — kp_atr, opisany w pkt 7.5 — zapamiętuje źródło wizyty i zapisujemy go bez pytania o zgodę. Pozostałe zapisujemy wyłącznie za Twoją zgodą (art. 399 Prawa komunikacji elektronicznej, art. 6 ust. 1 lit. a RODO).
7.1 Kategorie cookies
| Kategoria | Po co | Czy potrzebna zgoda | Pliki i czas przechowywania |
|---|---|---|---|
| Niezbędne | Koszyk, logowanie do konta, język i waluta sklepu, bezpieczeństwo płatności, zapamiętanie Twojej decyzji o cookies i zapisanie jej wycofania w naszej bazie klientów | nie | kp_zgoda (12 miesięcy), wp_woocommerce_session_* (do 2 dni), woocommerce_items_in_cart, woocommerce_cart_hash, wordpress_logged_in_* (sesja), wp-wpml_current_language, wcml_client_* (sesja), wc_facebook_signals_state (12 miesięcy, zapamiętuje, że zdarzenia reklamowe są wstrzymane), __stripe_mid (12 miesięcy), __stripe_sid (30 minut) i m — Stripe, ochrona płatności przed oszustwami, kp_wycofanie (90 dni od ostatniego wysłania formularza, tylko w sklepie, niedostępny dla skryptów strony — zapisujemy go wyłącznie wtedy, gdy wysyłasz formularz przy włączonej zgodzie na cookies marketingowe; zawiera podpisany numer Twojego wpisu w naszej bazie klientów, bez adresu e-mail i imienia, i służy tylko do tego, żeby wycofanie tej zgody w banerze trafiło do naszej bazy klientów, zob. pkt 7.2) |
| Źródło wizyty | Zapamiętanie, z jakiego linku albo kampanii do nas trafiłaś lub trafiłeś, żeby przy formularzu albo zamówieniu wiedzieć, skąd przyszło (pkt 7.5) | nie — z wyjątkiem identyfikatora kliknięcia reklamy, który dopisujemy dopiero po zgodzie na cookies marketingowe | kp_atr (do 90 dni; część przeglądarek skraca ten czas do 7 dni) |
| Analityczne | Google Analytics: ile osób odwiedza stronę, co ogląda i skąd przychodzi | tak | _ga, _ga_* (Google Analytics, 2 lata) |
| Marketingowe | Piksel Meta, piksel TikTok i tag reklamowy Google: czy reklama na Facebooku, Instagramie, TikToku albo w Google przyniosła zakup, dopasowanie reklam; zapis źródła wizyty przy zamówieniu; powiązanie zgłoszenia albo zamówienia z kliknięciem konkretnej reklamy | tak | _fbp, _fbc (Meta, 90 dni), _gcl_au, _gcl_aw i pozostałe pliki _gcl_* (Google Ads, 90 dni), _gac_* (Google Ads w Google Analytics, 90 dni), _gcl_ls (Google Ads, wpis w pamięci przeglądarki, a nie plik cookie — przechowuje te same dane kliknięcia reklamy co pliki _gcl_*), IDE (Google, do 13 miesięcy), sbjs_* (źródło wizyty zapisywane przy zamówieniu, sesja), identyfikator kliknięcia reklamy dopisywany do pliku kp_atr (do 90 dni), _ttp, ttcsid*, ttclid, _tt_enable_cookie (TikTok, 13 miesięcy od ostatniego użycia) |
7.2 Jak zarządzasz zgodą
Przy pierwszej wizycie pokazujemy baner z trzema równorzędnymi przyciskami: „Akceptuję wszystkie”, „Odrzucam” i „Chcę wybrać”. Decyzję zapisujemy w pliku kp_zgoda na 12 miesięcy. Obowiązuje ona jednocześnie na stronie i w sklepie, więc nie pytamy Cię drugi raz przy zakupie.
Zdanie zmienisz w każdej chwili przyciskiem „Ustawienia cookies” w stopce strony albo sklepu. Wycofanie zgody usuwa pliki cookies danej kategorii, a z pliku kp_atr — identyfikator kliknięcia reklamy (sam plik zostaje, zob. pkt 7.5). Wycofanie nie wpływa na zgodność z prawem działań sprzed wycofania.
Jeśli wysłałaś lub wysłałeś formularz przy włączonej zgodzie na cookies marketingowe, sklep zapisuje plik kp_wycofanie (pkt 7.1). Dzięki niemu wycofanie zgody w banerze trafia także do naszej bazy klientów i od tej chwili nie przekazujemy serwisom reklamowym informacji o wyniku Twojego zgłoszenia (pkt 7.5). Plik nie służy do niczego innego i nie wystarcza, żeby zgodę ponownie włączyć w Twoim imieniu.
7.3 Plausible — dlaczego nie wymaga zgody
Plausible Analytics mierzy ruch na stronie bez plików cookies i bez zapisywania czegokolwiek na Twoim urządzeniu. Pokazuje nam wyłącznie statystyki zbiorcze (liczba wizyt, źródła ruchu, popularne strony) i nie pozwala rozpoznać konkretnej osoby. Działa na naszym serwerze w Unii Europejskiej, na podstawie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO, pkt 2 lit. i).
7.4 Google Consent Mode v2 — tryb podstawowy
Korzystamy z Google Consent Mode v2 w trybie podstawowym. Dopóki nie wyrazisz zgody, nie ładujemy żadnego skryptu Google ani Meta i nic nie jest do nich wysyłane. Po zgodzie przekazujemy Google informację, na które kategorie się zgodziłaś lub zgodziłeś. Odbiorców danych i podstawy przekazania poza EOG opisuje pkt 4.
Po wyrażeniu zgody na cookies marketingowe część zdarzeń — odsłonę strony, obejrzenie produktu, dodanie do koszyka, wysłanie formularza i zakup — wysyłamy do Meta, TikToka i Google nie tylko z Twojej przeglądarki, lecz także z naszego serwera. Serwer przekazuje wtedy adres IP, informację o przeglądarce, identyfikator zapisany w pliku cookie danego serwisu (np. _fbp, _ttp, _gcl_au) i adres odwiedzanej strony. Bez tej zgody serwer niczego do nich nie wysyła — sprawdza ją przy każdym zdarzeniu. Zdarzenie wysłane obiema drogami ma ten sam numer, więc serwis liczy je raz.
Gdy masz włączoną zgodę na cookies marketingowe i składasz zamówienie albo wysyłasz formularz, przekazujemy Meta, Google i TikTokowi Twój adres e-mail i numer telefonu w postaci zaszyfrowanej jednokierunkowo (skrót SHA-256), żeby serwis mógł ustalić, czy zamówienie albo zgłoszenie nastąpiło po jego reklamie (pkt 2 lit. q). Ze skrótu nie da się odczytać adresu, ale serwis, któremu podałaś lub podałeś ten adres przy zakładaniu konta, porównuje go ze swoimi danymi — dlatego traktujemy skrót jak daną osobową. Bez tej zgody tych danych nie przekazujemy, a jej wycofanie zatrzymuje dalsze przekazywanie.
Tak samo postępujemy z pikselem TikTok: bez zgody na cookies marketingowe nie ładujemy jego skryptu i nic nie jest wysyłane do TikToka. Wycofanie zgody zatrzymuje dalsze przekazywanie danych i usuwa pliki TikToka z Twojego urządzenia, ale nie cofa danych przekazanych wcześniej.
7.5 Plik kp_atr — źródło wizyty
Gdy wchodzisz na stronę, zapisujemy w pliku kp_atr, skąd przyszłaś lub przyszedłeś: oznaczenia kampanii z adresu linku (źródło, rodzaj, nazwa kampanii, treść, fraza), serwis, z którego prowadził link, pierwszą otwartą stronę i czas wejścia. Pamiętamy pierwsze i ostatnie takie wejście. Plik nie zawiera Twojego imienia, adresu e-mail ani żadnego numeru, po którym dałoby się Cię rozpoznać.
Zawartość pliku dołączamy do zgłoszenia, gdy wysyłasz formularz (newsletter, kontakt, wniosek o konto salonu), oraz do zamówienia, jeśli w kasie zgadzasz się na wiadomości e-mail. Dopiero wtedy źródło wizyty łączy się z Twoimi danymi i trafia do naszej bazy klientów.
Ten plik zapisujemy bez pytania o zgodę, na podstawie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO, pkt 2 lit. m): chcemy wiedzieć, które działania przynoszą zapytania i zamówienia. Możesz się temu sprzeciwić, pisząc na kontakt@korbanprofessional.pl. Plik usuniesz też w każdej chwili w ustawieniach przeglądarki.
Jeżeli w banerze zgodzisz się na cookies marketingowe, dopisujemy do pliku identyfikator kliknięcia reklamy Google, Meta lub TikTok (gclid, gbraid, wbraid, fbclid, ttclid). Bez tej zgody identyfikatora w pliku nie zapisujemy, a po jej wycofaniu usuwamy go z pliku. Identyfikator kliknięcia przekazujemy wyłącznie temu serwisowi, z którego reklamy pochodzi — Google, Meta albo TikTokowi — razem ze zdarzeniem zakupu albo zgłoszenia, a gdy zgłoszenie dotyczyło współpracy salonu — także później, z informacją o jej wyniku (opis niżej); zawsze tylko wtedy, gdy masz włączoną tę zgodę. Pozostałej zawartości pliku kp_atr — oznaczeń kampanii, serwisu, z którego prowadził link, i strony wejścia — nie przekazujemy nikomu.
Jeśli zgłosiłaś lub zgłosiłeś salon z reklamy i masz włączoną zgodę na cookies marketingowe, informujemy później ten sam serwis reklamowy — Google albo Metę — że zgłoszenie zakończyło się współpracą: przyjęciem salonu jako partnera albo jego pierwszym zamówieniem. Przekazujemy wtedy identyfikator kliknięcia, skrót SHA-256 adresu e-mail i numeru telefonu oraz rodzaj i datę zdarzenia, a przy pierwszym zamówieniu także jego wartość. Nie przekazujemy treści zgłoszenia, danych firmy ani historii rozmów. Robimy to nie później niż 90 dni od kliknięcia reklamy i tylko z identyfikatorem zapisanym w pliku kp_atr po Twojej zgodzie. Sprawdzamy zgodę w dniu przekazania — po jej wycofaniu niczego więcej nie wysyłamy. Podstawa: zgoda (art. 6 ust. 1 lit. a RODO, pkt 2 lit. n i q).
Jedna sytuacja nie zależy od tej zgody. Jeśli wysyłasz formularz na stronie, na którą weszłaś lub wszedłeś prosto z reklamy, adres tej strony zawiera identyfikator kliknięcia. Formularz przekazuje go wtedy razem ze zgłoszeniem do naszej bazy klientów — także wtedy, gdy nie ma zgody na cookies marketingowe (pkt 2 lit. n). Tego identyfikatora nie zapisujemy w pliku kp_atr i nie przekazujemy go żadnemu serwisowi reklamowemu. Nie dotyczy to zamówień składanych w kasie.
Plik przechowujemy do 90 dni od ostatniej wizyty z linku. Część przeglądarek (np. Safari) sama skraca ten czas do 7 dni.
8. Bezpieczeństwo danych
Stosujemy adekwatne środki techniczne i organizacyjne:
- Szyfrowanie transmisji (HTTPS / TLS 1.3) dla wszystkich komunikacji ze stroną
- Szyfrowanie haseł (bcrypt) w bazie danych
- Regularne kopie zapasowe (codziennie, retencja 30 dni)
- Dostęp ograniczony do osób autoryzowanych (zasada minimalnych uprawnień)
- Logi dostępu do systemów CRM i hostingu (retencja 12 mc)
- Aktualizacje bezpieczeństwa WordPress, WooCommerce, wtyczek (max 14 dni od publikacji)
- MFA (uwierzytelnianie dwuetapowe) dla kont administracyjnych
9. Procedura zgłaszania naruszeń
W przypadku naruszenia ochrony danych osobowych:
- Zgłoszenie do Prezesa UODO w ciągu 72 godzin od stwierdzenia naruszenia (art. 33 RODO)
- Powiadomienie osób, których dane dotyczą, gdy naruszenie może powodować wysokie ryzyko (art. 34 RODO)
10. Postanowienia końcowe
- Polityka może być aktualizowana w związku ze zmianami przepisów lub rozwojem usług
- O istotnych zmianach informujemy na stronie głównej co najmniej 14 dni przed ich wejściem w życie. Zmiany, które wynikają z przepisów, poprawiają opis przetwarzania, które już prowadzimy, albo rozszerzają Twoje prawa, mogą wejść w życie wcześniej.
- W przypadku pytań związanych z ochroną danych osobowych prosimy o kontakt: kontakt@korbanprofessional.pl
Data ostatniej aktualizacji: 2026-10-19
Wersja: KPROF-PRIV-v8
Zmiany w tej wersji: plik kp_wycofanie, dzięki któremu wycofanie zgody na cookies marketingowe w banerze trafia do naszej bazy klientów (pkt 7.1, pkt 7.2); pliki Google _gcl_aw i pozostałe _gcl_*, _gac_* i wpis _gcl_ls oraz poprawiony czas przechowywania plików _ga i _ga_* — 2 lata (pkt 7.1); Cloudflare także jako sieć dostarczania sklepu (pkt 4). Pozostała treść bez zmian względem KPROF-PRIV-v7. Wersję ogłoszono 2026-10-19; obowiązuje od 2026-10-19.