Polityka prywatności Lilivo

§1 Administrator danych i zakres przetwarzanych danych

1.1 Administrator. Administratorem danych osobowych przetwarzanych w ramach Platformy Lilivo jest [DO UZUPEŁNIENIA PO REJESTRACJI CEIDG: imię, nazwisko, firma, adres, NIP, e-mail kontaktowy] (dalej: "Administrator"). Kontakt w sprawach ochrony danych: kontakt@lilivo.pl (patrz §6 niniejszej Polityki).

1.2 Kategorie osób, których dane dotyczą. Administrator przetwarza dane osobowe:

a) Sprzedawców (przedsiębiorców i osób prowadzących działalność nierejestrowaną, które prowadzą Sklepy na Platformie) oraz osób działających w ich imieniu (pracownicy, podkonta);

b) Kupujących (konsumentów i przedsiębiorców na prawach konsumenta dokonujących zakupów), w tym osób kupujących bez zakładania Konta;

c) osób komentujących pod transmisjami Live i postami Sprzedawców w serwisach Facebook i Instagram, w zakresie niezbędnym do realizacji mechanizmu zamówień z komentarzy (zob. §3 Regulaminu);

d) osób kontaktujących się z Administratorem (np. przez stronę Kontakt, e-mail) oraz osób zapisanych na listę rezerwową bez Konta (adres e-mail).

1.3 Zakres danych — Konto Sprzedawcy. Imię i nazwisko osoby reprezentującej, nazwa firmy, NIP, adres prowadzenia działalności, a przy działalności nierejestrowanej — imię i nazwisko, PESEL, data urodzenia i adres zamieszkania (dane wymagane przepisami DAC7), adres e-mail, numer telefonu, dane konta do wypłat (prowadzonego u operatora płatności), identyfikatory połączonych kont na Facebooku i Instagramie oraz sklepów internetowych, dane logowania, historia transakcji i wypłat, treści i materiały publikowane w ramach ofert i transmisji Live.

1.4 Zakres danych — Konto Kupującego. Imię i nazwisko, adres e-mail, numer telefonu, domyślny adres dostawy, dane logowania, historia zamówień i płatności, treść reklamacji i korespondencji z obsługą i Sklepami, ulubione Produkty, obserwowane Sklepy, zapisy na listy rezerwowe, wystawione opinie. Przy zakupie bez Konta: adres e-mail, imię i nazwisko, telefon i adres dostawy.

1.5 Zakres danych — komentarze pod transmisjami Live. Nazwa konta (login) w serwisie Facebook lub Instagram osoby komentującej, treść komentarza (w zakresie kodu produktu), identyfikator umożliwiający wysłanie wiadomości prywatnej (Messenger lub DM na Instagramie) z linkiem do dokończenia zamówienia. Dane te są przetwarzane za pośrednictwem API Meta (Facebook, Instagram) — zob. §3.1 Regulaminu w zakresie zależności od usług Meta.

1.6 Zasada minimalizacji. Administrator przetwarza wyłącznie dane niezbędne do realizacji celów wskazanych w §2 niniejszej Polityki i nie wymaga podawania danych wykraczających poza ten zakres.

§2 Podstawy prawne przetwarzania i okresy przechowywania danych

2.1 Zawarcie i wykonanie umowy (art. 6 ust. 1 lit. b RODO). Założenie i obsługa Konta Sprzedawcy lub Konta Kupującego, realizacja Zamówień, organizacja płatności (realizowanych przez operatora płatności) i dostawy, obsługa reklamacji i odstąpienia od umowy.

2.2 Obowiązek prawny (art. 6 ust. 1 lit. c RODO). Wystawianie i przechowywanie dokumentów sprzedaży/rozliczeniowych, odpowiedzi na żądania organów, przechowywanie danych na potrzeby przepisów podatkowych i rachunkowych (w tym Ordynacji podatkowej i ustawy o rachunkowości), a także przekazywanie Szefowi Krajowej Administracji Skarbowej informacji o Sprzedawcach i ich sprzedaży na podstawie przepisów wdrażających dyrektywę DAC7.

2.3 Prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO). Zapewnienie bezpieczeństwa Platformy i wykrywanie nadużyć, ustalenie, obrona i dochodzenie roszczeń, analityka i statystyka wewnętrzna dotycząca funkcjonowania Platformy, obsługa zgłoszeń w ramach wewnętrznego systemu rozpatrywania skarg (zob. §7.4 Regulaminu — obowiązek wynikający z Rozporządzenia P2B).

2.4 Zgoda (art. 6 ust. 1 lit. a RODO). W zakresie, w jakim przetwarzanie nie jest objęte żadną z powyższych podstaw (np. marketing własnych produktów Administratora, newsletter, cookies niezbędne do działania funkcji opcjonalnych — zob. §5) — wyłącznie po wyrażeniu zgody, którą można wycofać w każdym czasie bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

2.5 Okresy przechowywania:

a) dane Konta Sprzedawcy i Konta Kupującego — przez czas istnienia konta, a po jego usunięciu przez okres niezbędny do rozliczenia ostatnich transakcji i obsługi ewentualnych roszczeń, nie dłużej niż przez okres przedawnienia roszczeń (zasadniczo do 6 lat);

b) dokumenty rozliczeniowe/podatkowe — przez okres wymagany przepisami prawa podatkowego i rachunkowego (co do zasady 5 lat od zakończenia roku, w którym powstał obowiązek podatkowy);

c) dane dotyczące reklamacji i odstąpienia od umowy — przez okres przedawnienia roszczeń z tego tytułu;

d) dane komentujących pod transmisjami Live wykorzystane wyłącznie do wysłania linku DM — nieprzechowywane przez Administratora dłużej, niż jest to niezbędne do obsługi mechanizmu zamówienia z komentarza (zasadniczo do czasu zakołczenia procesu zamówienia lub upływu rozsądnego terminu na jego dokończenie);

e) dane przetwarzane na podstawie zgody — do czasu jej wycofania.

2.6 Dokładne okresy retencji dla danych Sprzedawców po zakończeniu współpracy z Platformą — [DO UZUPEŁNIENIA: zgodnie z §8.5 Regulaminu, w tym z uwzględnieniem obowiązku zapewnienia dostępu do danych po rozwiązaniu umowy wynikającego z Rozporządzenia P2B].

§3 Odbiorcy danych i przekazywanie danych poza EOG

3.1 Kategorie odbiorców. W związku ze świadczeniem usług Platformy, dane osobowe mogą być powierzane lub udostępniane następującym kategoriom podmiotów:

a) dostawca hostingu i infrastruktury technicznej (serwery, baza danych i logowanie), w zakresie niezbędnym do działania Platformy;

b) dostawca usług płatniczych — Stripe Payments Europe Ltd. (Stripe) [PLANOWANE: także PayPro S.A. — Przelewy24], w zakresie niezbędnym do obsługi płatności i rozliczeń (zob. §4.3 Regulaminu);

c) [PLANOWANE] InPost S.A. — w zakresie danych adresowych/danych paczkomatu niezbędnych do realizacji dostawy (centralne konto nadawcze prowadzone przez Operatora — zob. §5 Regulaminu);

d) dostawca usług e-mail — Resend — w zakresie niezbędnym do wysyłki powiadomień transakcyjnych (np. potwierdzenie zamówienia, status wysyłki);

e) Meta Platforms Ireland Ltd. (Facebook, Messenger, Instagram) — w zakresie technicznie niezbędnym do działania mechanizmu zamówień z komentarzy pod transmisjami Live (odczyt komentarzy, wysyłka wiadomości przez Messengera i Instagrama) oraz wyświetlania na stronie Sesji Live osadzonego wideo z Facebooka; korzystanie z tej funkcji podlega również polityce prywatności Meta;

f) podmioty uprawnione na podstawie przepisów prawa — np. organy podatkowe, sądy, organy ochrony konkurencji i konsumentów, na ich uzasadnione żądanie;

g) dorądcy zewnętrzni — np. obsługa prawna, księgowa, IT, w zakresie niezbędnym do świadczonych przez nich usług na rzecz Administratora, na podstawie umów powierzenia przetwarzania danych.

h) Cloudflare, Inc. — ochrona formularzy przed botami (Turnstile);

i) platformy sklepów internetowych połączone przez Sprzedawcę (np. PrestaShop, WooCommerce, Shopify, Shoper, IdoSell, BaseLinker) — w zakresie danych Produktów i stanów magazynowych;

j) Sprzedawcy — Sklep, u którego Kupujący złożył Zamówienie, otrzymuje dane potrzebne do jego realizacji (imię i nazwisko, adres dostawy, telefon, e-mail, treść wiadomości i zgłoszeń). Sprzedawca jest odrębnym administratorem tych danych i odpowiada za ich przetwarzanie; żądania dotyczące tych danych można kierować do Sprzedawcy lub do Administratora, który przekaże je Sprzedawcy.

3.2 Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG). Niektórzy z wymienionych odbiorców (w szczególności dostawcy infrastruktury technicznej oraz serwisy społecznościowe Facebook i Instagram) mogą przetwarzać dane na serwerach zlokalizowanych poza EOG, w tym w Stanach Zjednoczonych. W takich przypadkach przekazanie danych odbywa się na podstawie mechanizmów zapewniających odpowiedni poziom ochrony danych, przewidzianych w RODO (w szczególności standardowe klauzule umowne przyjęte przez Komisję Europejską i/lub decyzje Komisji Europejskiej w sprawie odpowiedniego poziomu ochrony, np. EU-U.S. Data Privacy Framework w odniesieniu do podmiotów certyfikowanych w tym programie). Osoba, której dane dotyczą, może uzyskać kopię stosowanych zabezpieczeń, kontaktując się z Administratorem (zob. §6).

3.3 Administrator nie przekazuje danych osobowych innym podmiotom w celach marketingowych bez odrębnej, wyraźnej podstawy prawnej lub zgody osoby, której dane dotyczą.

§4 Prawa osób, których dane dotyczą

4.1 Katalog praw. Każdej osobie, której dane osobowe przetwarza Administrator, przysługują następujące prawa:

a) prawo dostępu do danych (art. 15 RODO) — uzyskanie informacji, czy i jakie dane są przetwarzane, oraz kopii tych danych;

b) prawo do sprostowania danych (art. 16 RODO) — poprawienie nieprawidłowych lub uzupełnienie niekompletnych danych;

c) prawo do usunięcia danych ("prawo do bycia zapomnianym", art. 17 RODO) — w przypadkach wskazanych w tym przepisie, z zastrzeżeniem obowiązków prawnych Administratora (np. przechowywanie dokumentacji podatkowej);

d) prawo do ograniczenia przetwarzania (art. 18 RODO);

e) prawo do przenoszenia danych (art. 20 RODO) — w zakresie danych przetwarzanych w sposób zautomatyzowany na podstawie zgody lub umowy;

f) prawo do wniesienia sprzeciwu (art. 21 RODO) — wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora, w tym profilowania na tej podstawie;

g) prawo do wycofania zgody w każdym czasie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem — w zakresie przetwarzania opartego na zgodzie;

h) prawo do wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, w przypadku uznania, że przetwarzanie danych narusza przepisy o ochronie danych osobowych.

4.2 Automatyczne podejmowanie decyzji. Administrator nie podejmuje wobec osób, których dane dotyczą, decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywołują wobec nich skutki prawne lub w podobny sposb istotnie na nie wpływają.

4.3 Sposób realizacji praw. Realizacja powyższych praw odbywa się poprzez kontakt z Administratorem na adres e-mail kontakt@lilivo.pl, w tym w zakresie podstawowych danych konta — również samodzielnie w ustawieniach Konta Sprzedawcy lub Konta Kupującego. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania; termin ten może zostać wydłużony o kolejne dwa miesiące w przypadku złożonego charakteru żądania lub liczby żądań, o czym osoba składająca żądanie zostanie poinformowana.

§5 Pliki cookies i bezpieczeństwo danych

5.1 Pliki cookies. Platforma wykorzystuje pliki cookies (i podobne technologie) w następujących kategoriach:

a) cookies niezbędne — konieczne do prawidłowego działania Platformy (np. utrzymanie sesji logowania, obsługa koszyka, zabezpieczenia); nie wymagają zgody użytkownika;

b) cookies analityczne i reklamowe — obecnie Platforma ich nie używa. Jeśli zacznie (np. narzędzia statystyczne), zrobi to wyłącznie po wyrażeniu zgody w banerze cookies, którą będzie można w każdej chwili zmienić;

c) cookies funkcjonalne — zapamiętujące wybory użytkownika (np. język, preferencje wyświetlania).

d) cookies podmiotów zewnętrznych — przy wyświetlaniu osadzonego wideo z Facebooka na stronie Sesji Live Meta może zapisywać własne pliki cookies zgodnie ze swoją polityką; Cloudflare zapisuje pliki niezbędne do ochrony formularzy przed botami.

5.2 Zarządzanie cookies. Użytkownik może w każdym czasie zmienić ustawienia dotyczące cookies w swojej przeglądarce internetowej, w tym usunąć zapisane pliki cookies oraz zablokować ich zapisywanie w przyszłości. Ograniczenie stosowania cookies może wpłynąć na niektóre funkcjonalności Platformy (np. konieczność ponownego logowania).

5.3 Bezpieczeństwo danych. Administrator stosuje techniczne i organizacyjne środki bezpieczeństwa odpowiednie do charakteru, zakresu i celów przetwarzania oraz ryzyka naruszenia praw i wolności osób, których dane dotyczą, w tym w szczególności: szyfrowanie transmisji danych (protokół HTTPS/TLS), kontrolę dostępu do danych ograniczoną do osób upoważnionych, regularne aktualizacje zabezpieczeń infrastruktury technicznej, oraz procedury reagowania na incydenty bezpieczeństwa.

5.4 Zgłaszanie naruszen. W przypadku stwierdzenia naruszenia ochrony danych osobowych mogącego powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, Administrator poinformuje o tym osoby, których dane dotyczą, oraz — w przypadkach wymaganych przepisami — zgłosi naruszenie do Prezesa UODO, zgodnie z art. 33–34 RODO.

§6 Kontakt w sprawach danych osobowych i zmiany Polityki

6.1 Kontakt. We wszystkich sprawach dotyczących przetwarzania danych osobowych oraz realizacji praw opisanych w §4 można kontaktować się z Administratorem przez stronę Kontakt (lilivo.pl/kontakt), pod adresem e-mail: kontakt@lilivo.pl, a także pisemnie na adres: [DO UZUPEŁNIENIA PO REJESTRACJI CEIDG].

6.2 Zmiany Polityki. Administrator może zmienić niniejszą Politykę prywatności, w szczególności w związku ze zmianą przepisów prawa, zmianą zakresu lub sposobu świadczenia usług przez Platformę (np. wyborem pośrednika płatności — zob. §3.1 lit. b) lub zmianą wymogów bezpieczeństwa. O zmianach Polityki Administrator poinformuje z co najmniej 15-dniowym wyprzedzeniem, publikując zaktualizowaną wersję na Platformie oraz — w przypadku istotnych zmian — przesyłając powiadomienie na adres e-mail przypisany do Konta.

6.3 Data obowiązywania. Niniejsza Polityka prywatności obowiązuje od dnia [DO UZUPEŁNIENIA].