Polityka prywatności

Obowiązuje od 15 października 2026 r.

1. Administrator i zakres Polityki

Administratorem danych osobowych jest MAGDA PLANT-BASED sp. z o.o. z siedzibą w Szaflarach, ul. Zakopiańska 35A, 34-424 Szaflary, KRS 0000665193, NIP 7352870212, REGON 366717496 („MAGDA”, „Administrator”).

Kontakt w sprawach danych osobowych:

• e-mail: biuro@magdaplantbased.com;
• adres pocztowy: MAGDA PLANT-BASED sp. z o.o., ul. Zakopiańska 35A, 34-424 Szaflary, z dopiskiem „ochrona danych”;
• telefon: +48 18 275 47 69.

Polityka dotyczy całego serwisu https://magdaplantbased.com, w tym sklepu B2C i B2B, kont użytkowników, formularzy, newslettera, płatności, dostaw oraz integracji zewnętrznych. Jest informacją o przetwarzaniu danych, a nie zgodą ani częścią Regulaminu. Zgoda jest odbierana oddzielnie tylko wtedy, gdy stanowi podstawę konkretnego działania, np. zapisu do newslettera albo uruchomienia opcjonalnych narzędzi analitycznych lub marketingowych.

2. Skąd pochodzą dane i jakie dane przetwarzamy

Większość danych otrzymujemy bezpośrednio od Ciebie, gdy korzystasz z Serwisu, zakładasz konto, składasz zamówienie, zapisujesz się do newslettera albo kontaktujesz się z MAGDĄ. Dane techniczne powstają podczas korzystania z Serwisu. Informacje o płatności i dostawie otrzymujemy także od operatorów płatności, pośrednika kurierskiego i przewoźników.

Dane innego odbiorcy przesyłki otrzymujemy od kupującego. Dane reprezentanta lub osoby kontaktowej klienta B2B możemy otrzymać od niej, od przedsiębiorcy, w którego imieniu działa, od innego reprezentanta albo z publicznych rejestrów przedsiębiorców i podatników.

W zależności od procesu przetwarzamy:

• dane identyfikacyjne i kontaktowe, w tym imię, nazwisko, adres, e-mail i telefon;
• dane przedsiębiorcy i osoby działającej w jego imieniu, w tym firmę, NIP, adres, stanowisko lub rolę oraz wynik weryfikacji konta B2B;
• dane konta, w tym identyfikator użytkownika, zabezpieczone dane uwierzytelniające, zapisane adresy, historię zamówień, faktury, informacje potrzebne do ponowienia zamówienia i listę ulubionych;
• dane zamówienia, dostawy i rozliczenia, w tym produkty, ilości, ceny, rabaty, numer zamówienia, numer przesyłki, wybrany sposób płatności, identyfikator i status transakcji oraz dane faktury;
• adres e-mail i informacje o zgodzie na newsletter;
• dane korespondencji, reklamacji i zgłoszeń jakościowych, w tym treść wiadomości, załączniki, zdjęcia produktu, numer partii i sposób załatwienia sprawy;
• dane techniczne, w tym adres IP, czas i adres żądania, typ przeglądarki i urządzenia, identyfikatory sesji oraz informacje zapisywane lub odczytywane z urządzenia;
• informacje o zgodach i ustawieniach prywatności;
• publiczne dane widoczne w opinii Google, np. nazwę profilu, zdjęcie, ocenę, treść i datę opinii.

Jeżeli dane pozyskaliśmy pośrednio i ciąży na nas obowiązek z art. 14 RODO, przekazujemy właściwą informację najpóźniej przy pierwszym kontakcie, przy pierwszym ujawnieniu danych innemu odbiorcy albo w ciągu miesiąca od ich pozyskania — zależnie od tego, które zdarzenie nastąpi wcześniej. Informację dla autorów publicznych opinii Google udostępniamy w niniejszej Polityce.

3. Cele, podstawy prawne i czas przetwarzania

3.1. Działanie i bezpieczeństwo Serwisu

Dane techniczne przetwarzamy, aby wyświetlić Serwis, utrzymać sesję, koszyk, logowanie i ustawienia prywatności oraz zapewnić bezpieczeństwo kont i systemów. Podstawą jest art. 6 ust. 1 lit. b RODO w zakresie usługi żądanej przez użytkownika oraz art. 6 ust. 1 lit. f RODO w zakresie naszego uzasadnionego interesu polegającego na bezpiecznym, prawidłowym działaniu Serwisu i zapobieganiu nadużyciom.

Część czcionek używanych w Serwisie jest pobierana z serwerów Google (Google Fonts). Podczas ich pobierania Google otrzymuje adres IP i informacje o przeglądarce. Podstawą jest art. 6 ust. 1 lit. f RODO; naszym uzasadnionym interesem jest prawidłowe wyświetlanie Serwisu.

Logi przechowujemy przez okres potrzebny do działania, diagnostyki i ochrony Serwisu. Zapis związany z incydentem zachowujemy do wyjaśnienia sprawy i upływu właściwego terminu roszczeń.

3.2. Konta B2C i B2B

Konto B2C jest dobrowolne. Dane użytkownika będącego stroną umowy przetwarzamy w celu utworzenia i obsługi konta na podstawie art. 6 ust. 1 lit. b RODO.

Konto B2B jest zatwierdzane ręcznie. Dane jednoosobowego przedsiębiorcy przetwarzamy na podstawie art. 6 ust. 1 lit. b RODO. Dane reprezentanta lub osoby kontaktowej przedsiębiorcy przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO; naszym uzasadnionym interesem jest weryfikacja przedsiębiorcy, nawiązanie współpracy, kontakt z właściwą osobą oraz bezpieczna obsługa sprzedaży B2B. Dane firmy możemy porównywać z publicznymi rejestrami. Indywidualne ceny i rabaty B2B są przyznawane ręcznie.

Dane konta przetwarzamy do jego zamknięcia. Jeżeli przez 24 miesiące nie nastąpi logowanie, co najmniej 30 dni wcześniej wysyłamy ostrzeżenie o planowanym usunięciu profilu. Zamknięcie konta nie usuwa danych zamówień, faktur, reklamacji ani innych informacji, które musimy nadal przechowywać na podstawie prawa lub w celu ochrony roszczeń. Dane wniosku B2B, który nie doprowadził do aktywacji konta, usuwamy po zakończeniu weryfikacji i obsługi ewentualnych roszczeń, chyba że wcześniej skutecznie wniesiesz sprzeciw.

3.3. Zamówienia

Dane klienta będącego osobą fizyczną przetwarzamy w celu przyjęcia i wykonania zamówienia na podstawie art. 6 ust. 1 lit. b RODO. Dane osoby działającej w imieniu innego przedsiębiorcy przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO; uzasadnionym interesem MAGDY i klienta B2B jest zawarcie, wykonanie i udokumentowanie transakcji oraz kontakt z właściwą osobą.

Po wykonaniu umowy przechowujemy niezbędny zakres danych do końca właściwego terminu przedawnienia roszczeń. Dane objęte obowiązkami podatkowymi, rachunkowymi, KSeF albo dokumentacją reklamacji przechowujemy przez okres wynikający z tych obowiązków. Jeżeli trwa spór lub postępowanie, dane zachowujemy do jego prawomocnego zakończenia i rozliczenia roszczeń.

Podanie pól oznaczonych jako obowiązkowe jest konieczne do wykonania wskazanej czynności. Bez danych potrzebnych do konta, płatności, dostawy albo faktury nie wykonamy tej części usługi. Klient B2C nie musi podawać NIP.

3.4. Płatności

Dane niezbędne do wykonania wybranej płatności przekazujemy PayPro S.A., operatorowi Przelewy24, albo Autopay S.A. Podstawą jest art. 6 ust. 1 lit. b RODO. Operatorzy działają następnie jako odrębni administratorzy w zakresie obsługi płatności, obowiązków instytucji płatniczej, bezpieczeństwa i reklamacji. Jeżeli wybierzesz płatność ratalną, dane przetwarza także podmiot udzielający kredytu, na własnych zasadach.

MAGDA otrzymuje identyfikator i status transakcji oraz dane potrzebne do rozliczenia.

3.5. Dostawa i inny odbiorca

Dane potrzebne do zorganizowania dostawy przekazujemy Alsendo sp. z o.o., która pośredniczy w zamawianiu usług kurierskich, oraz przewoźnikowi doręczającemu przesyłkę, obecnie InPost sp. z o.o.

Dane kupującego przetwarzamy na podstawie art. 6 ust. 1 lit. b RODO. Dane innej osoby wskazanej jako odbiorca przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO; uzasadnionym interesem kupującego i MAGDY jest doręczenie zamówienia wskazanej osobie i udokumentowanie dostawy.

Dane odbiorcy są używane w aktywnej obsłudze do zakończenia dostawy. Niezbędny dowód nadania i doręczenia może pozostać w dokumentacji zamówienia przez okres właściwy dla obowiązków prawnych i roszczeń.

3.6. Faktury i KSeF

Dane potrzebne do przygotowania i udostępnienia faktury obiecanej w ramach Zamówienia przetwarzamy na podstawie art. 6 ust. 1 lit. b RODO. Obowiązki podatkowe, rachunkowe i dotyczące przechowywania dokumentów wykonujemy na podstawie art. 6 ust. 1 lit. c RODO.

Faktury B2B przekazujemy do KSeF w zakresie wymaganym przez prawo. MAGDA przyjęła również jednolity model przekazywania do KSeF faktur B2C. W zakresie obowiązków podatkowych podstawą jest art. 6 ust. 1 lit. c RODO, a w zakresie dobrowolnego objęcia faktur B2C tym obiegiem — art. 6 ust. 1 lit. f RODO. Uzasadnionym interesem MAGDY jest prowadzenie jednolitego, bezpiecznego i możliwego do wykazania obiegu faktur. Fakturę udostępniamy klientowi e-mailem.

Odbiorcami danych w KSeF są organy Krajowej Administracji Skarbowej i inne podmioty uprawnione przepisami. Do KSeF przekazujemy dane potrzebne do wystawienia faktury. Faktury ustrukturyzowane są przechowywane w KSeF przez 10 lat, licząc od końca roku, w którym zostały wystawione. Pozostałą dokumentację podatkową i rachunkową przechowujemy przez okres wymagany przez właściwe przepisy, z uwzględnieniem zdarzeń wydłużających te terminy.

3.7. Kontakt, reklamacje i zgłoszenia jakościowe

Zwykłą korespondencję prowadzimy na podstawie art. 6 ust. 1 lit. f RODO — naszego uzasadnionego interesu polegającego na udzieleniu odpowiedzi i prowadzeniu relacji. Jeżeli wiadomość dotyczy zawarcia lub wykonania umowy, podstawą jest także art. 6 ust. 1 lit. b RODO. Zwykłą korespondencję przechowujemy do zamknięcia sprawy, a później tylko tak długo, jak jest potrzebna do wykazania jej obsługi lub ochrony roszczeń. Wiadomość dotyczącą zamówienia, reklamacji lub innej sprawy wymagającej dłuższego przechowywania włączamy do właściwej dokumentacji.

Dane reklamacji przetwarzamy w celu jej rozpatrzenia, wykonania obowiązków sprzedawcy, rozliczenia sprawy oraz ochrony roszczeń — na podstawie art. 6 ust. 1 lit. b, c i f RODO. Dokumentację przechowujemy przez okres odpowiedzialności sprzedawcy i przedawnienia właściwych roszczeń, a w razie sporu — do jego prawomocnego zakończenia.

Dane zgłoszenia jakościowego lub dotyczącego bezpieczeństwa żywności przetwarzamy w celu identyfikacji produktu i partii, zbadania zgłoszenia, wykonania obowiązków przedsiębiorstwa spożywczego oraz ochrony roszczeń — na podstawie art. 6 ust. 1 lit. c i f RODO, a gdy zgłoszenie dotyczy umowy także art. 6 ust. 1 lit. b RODO.

Nie prosimy o dokumentację medyczną ani o dane dotyczące zdrowia, chyba że są niezbędne do opisania reakcji lub bezpieczeństwa produktu. Prosimy, aby takie informacje ograniczyć do niezbędnego minimum. Zbędne dane usuwamy lub redagujemy. Jeżeli dane dotyczące zdrowia są niezbędne do ustalenia, dochodzenia lub obrony roszczeń, przetwarzamy je na podstawie art. 9 ust. 2 lit. f RODO; w pozostałym zakresie ich nie zachowujemy.

3.8. Cookies, analityka i narzędzia marketingowe

Technologie konieczne do działania Serwisu wykorzystujemy w zakresie niezbędnym do świadczenia żądanej usługi i zapewnienia bezpieczeństwa. Tagami zarządzamy za pomocą Google Tag Manager. Narzędzia analityczne i marketingowe, w tym Google Analytics 4 i Meta Pixel, oraz treści zewnętrzne, w tym materiały YouTube i widżety z opiniami Google i aktualnościami z Instagrama, działają w zakresie opisanym w Polityce cookies, zależnie od wyborów dokonanych w ustawieniach prywatności. W zakresie, w jakim działają na podstawie zgody, podstawą jest art. 6 ust. 1 lit. a RODO oraz przepisy Prawa komunikacji elektronicznej. Zgodę można w dowolnym momencie zmienić albo wycofać.

Dowód wyboru ustawień prywatności przechowujemy przez okres potrzebny do respektowania wyboru, wykazania zgody lub jej wycofania i ochrony przed związanymi z tym roszczeniami.

3.9. Opinie Google i widżety

Serwis może wyświetlać publiczne opinie z profilu MAGDY w Google oraz publiczne aktualności MAGDY z Instagrama. Widżety dostarcza Elfsight. Publiczne dane autora opinii i jej treść prezentujemy na podstawie art. 6 ust. 1 lit. f RODO; naszym uzasadnionym interesem jest przedstawianie publicznie dostępnych opinii o marce. MAGDA nie weryfikuje, czy autor opinii kupił lub używał produktu. Zasady publikacji i moderacji określa Google.

Zasady ładowania widżetów i związanego z tym przetwarzania danych technicznych opisuje Polityka cookies. Dane opinii wyświetlamy do czasu ich usunięcia w źródle, odświeżenia widżetu albo uwzględnienia uzasadnionego sprzeciwu.

3.10. Narzędzie dostępności

W Serwisie działa narzędzie ułatwiające korzystanie ze strony, m.in. zmianę wielkości tekstu i kontrastu, dostarczane przez Elfsight. Aby je udostępnić, przetwarzamy dane techniczne, w szczególności adres IP i informacje o przeglądarce. Podstawą jest art. 6 ust. 1 lit. f RODO; naszym uzasadnionym interesem jest zapewnienie dostępności Serwisu dla wszystkich użytkowników.

3.11. Newsletter

Jeżeli zapiszesz się do newslettera, przetwarzamy Twój adres e-mail, aby wysyłać informacje o promocjach i nowościach. Podstawą jest Twoja zgoda — art. 6 ust. 1 lit. a RODO oraz zgoda na otrzymywanie informacji handlowych wymagana przez przepisy Prawa komunikacji elektronicznej. Zgodę możesz wycofać w każdej chwili, korzystając z odnośnika w wiadomości albo pisząc na esklep@magdaplantbased.com. Po wycofaniu zgody przestajemy wysyłać newsletter. Informację o udzieleniu i wycofaniu zgody przechowujemy przez okres potrzebny do jej wykazania i ochrony przed roszczeniami — na podstawie art. 6 ust. 1 lit. f RODO.

3.12. Skargi dotyczące dostępności

Dane zawarte w skardze dotyczącej dostępności usługi e-commerce przetwarzamy w celu jej rozpatrzenia i wykonania obowiązków prawnych na podstawie art. 6 ust. 1 lit. c RODO. Niezbędną dokumentację możemy następnie przechowywać na podstawie art. 6 ust. 1 lit. f RODO do końca okresu, w którym trzeba wykazać prawidłowe rozpatrzenie skargi lub chronić roszczenia.

3.13. Obowiązki prawne, realizacja praw i roszczenia

Dane możemy przetwarzać lub udostępnić uprawnionym organom, gdy wymaga tego prawo — art. 6 ust. 1 lit. c RODO. Dane potrzebne do ustalenia, dochodzenia lub obrony roszczeń przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO do upływu właściwego terminu przedawnienia, a w razie postępowania — do jego prawomocnego zakończenia.

Wnioski dotyczące praw z RODO obsługujemy i dokumentujemy na podstawie art. 6 ust. 1 lit. c RODO przez okres potrzebny do wykazania prawidłowej realizacji obowiązku.

4. Odbiorcy danych

W zależności od czynności dane mogą otrzymać:

• OVHcloud — hosting i kopie zapasowe;
• home.pl S.A. — poczta elektroniczna;
• PayPro S.A. i Autopay S.A. — obsługa płatności, a przy płatności ratalnej także podmiot udzielający kredytu;
• Alsendo sp. z o.o. — pośrednictwo w zamawianiu usług kurierskich;
• przewoźnicy, obecnie InPost sp. z o.o. — doręczenie przesyłek;
• organy Krajowej Administracji Skarbowej i inne podmioty uprawnione do danych w KSeF;
• Elfsight — narzędzie dostępności oraz widżety opinii Google i aktualności z Instagrama;
• Google — Google Fonts, a w zakresie opisanym w Polityce cookies także Google Analytics, Google Tag Manager i YouTube;
• Meta i LinkedIn — wyłącznie w zakresie wynikającym z uruchomionych po zgodzie narzędzi;
• dostawcy usług prawnych, audytowych lub ubezpieczeniowych oraz sądy i organy publiczne, gdy jest to niezbędne do wykonania obowiązku prawnego lub ochrony roszczeń.

Podmioty świadczące usługi na nasze zlecenie otrzymują dane tylko w zakresie niezbędnym do wykonania usługi i na podstawie odpowiedniej umowy. Operatorzy płatności, przewoźnicy, platformy zewnętrzne i organy publiczne mogą działać jako odrębni administratorzy w zakresie wynikającym z prawa lub ich własnych usług.

5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Korzystanie z globalnych usług Google, Meta, LinkedIn lub Elfsight może wiązać się z dostępem do danych z państw spoza Europejskiego Obszaru Gospodarczego, w szczególności ze Stanów Zjednoczonych.

Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony — w tym Ram Ochrony Danych UE–USA, jeżeli odbiorca i dana usługa są objęci aktualnym certyfikatem — albo na podstawie standardowych klauzul umownych Komisji Europejskiej, uzupełnionych w razie potrzeby dodatkowymi zabezpieczeniami. Informację o zastosowanym zabezpieczeniu lub jego kopię można uzyskać, kontaktując się z Administratorem.

6. Twoje prawa

Na zasadach określonych w RODO masz prawo do:

• dostępu do danych i otrzymania ich kopii — na żądanie przekazujemy kopię danych związanych z korzystaniem ze Sklepu w formacie PDF lub CSV;
• sprostowania danych;
• usunięcia danych;
• ograniczenia przetwarzania;
• przenoszenia danych, gdy przetwarzanie odbywa się automatycznie na podstawie zgody albo umowy;
• wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania;
• wniesienia sprzeciwu — z przyczyn związanych z Twoją szczególną sytuacją — wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO;
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Prawa mogą podlegać ograniczeniom wynikającym z RODO lub innych przepisów. Przykładowo nie usuniemy danych z faktury przed końcem obowiązkowego okresu jej przechowywania.

Wniosek możesz przesłać na biuro@magdaplantbased.com albo na adres pocztowy Administratora. Przed realizacją wniosku możemy poprosić o potwierdzenie tożsamości, np. przez wiadomość z adresu e-mail przypisanego do konta. Odpowiadamy bez zbędnej zwłoki, zasadniczo w ciągu miesiąca. Jeżeli sprawa jest skomplikowana albo liczba wniosków jest duża, termin może zostać przedłużony zgodnie z art. 12 RODO; poinformujemy o tym w pierwszym miesiącu.

7. Zautomatyzowane decyzje

MAGDA nie podejmuje wobec użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie na nich wpływają w rozumieniu art. 22 RODO. Weryfikacja konta B2B oraz przyznanie indywidualnych cen i rabatów B2B odbywają się ręcznie.

8. Bezpieczeństwo i aktualizacje

Stosujemy środki techniczne i organizacyjne odpowiednie do rodzaju danych i ryzyka, w szczególności ograniczenie dostępów, zabezpieczenia systemów, kopie zapasowe oraz procedury reagowania na incydenty. Rotacyjne kopie zapasowe w OVH przechowujemy do zakończenia cyklu potrzebnego do odtworzenia danych po awarii, po czym są nadpisywane; kopię związaną z incydentem możemy zachować do jego wyjaśnienia i ochrony roszczeń.

Politykę aktualizujemy, gdy zmienia się prawo albo sposób działania Serwisu. Aktualna wersja i data są zawsze dostępne na tej stronie. Zmiana Polityki sama w sobie nie zastępuje zgody, jeżeli dla nowego celu jest ona wymagana.