Polityka Prywatności i Polityka Plików Cookies

Administratorem danych osobowych Użytkowników platformy internetowej dostępnej pod domeną vlnd (dalej: „Platforma”) jest operator Platformy — vlnd (dalej: „Administrator” lub „Operator”).

We wszystkich sprawach dotyczących przetwarzania danych osobowych oraz wykonywania przysługujących Państwu praw można kontaktować się z Administratorem pod adresem e-mail: vlndmarketplace@gmail.com.

Podstawą prawną niniejszej Polityki jest Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych („RODO”), ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, ustawa z dnia 16 lipca 2004 r. — Prawo telekomunikacyjne oraz ustawa z dnia 23 maja 2024 r. wdrażająca Dyrektywę Rady (UE) 2021/514 („DAC7”).

Zakres przetwarzanych danych zależy od roli Użytkownika oraz od zakresu korzystania z Platformy. Poniżej wskazano cele, kategorie danych oraz podstawy prawne przetwarzania.

A. Dane Kupujących

• Zakres danych: adres e-mail, hasło (w postaci zaszyfrowanego skrótu), nazwa użytkownika, adres IP, dane urządzenia i przeglądarki, historia zakupów, dane transakcji (kwota, produkt, data), dane rozliczeniowe (imię, nazwisko, adres, opcjonalnie NIP na potrzeby faktury), treść wiadomości wysyłanych do Sprzedawców, treść zgłoszeń reklamacyjnych i sporów escrow.
• Cele i podstawy prawne:
  • świadczenie usług drogą elektroniczną (założenie i utrzymanie Konta, dostarczanie Produktów Cyfrowych) — art. 6 ust. 1 lit. b RODO (wykonanie umowy);
  • obsługa płatności powierniczych (escrow) i rozliczeń — art. 6 ust. 1 lit. b i lit. c RODO;
  • obsługa reklamacji, sporów oraz procedury Notice & Takedown — art. 6 ust. 1 lit. b, c i f RODO (prawnie uzasadniony interes Administratora polegający na obsłudze roszczeń);
  • wypełnianie obowiązków podatkowych, księgowych i rachunkowych — art. 6 ust. 1 lit. c RODO w związku z ustawą o rachunkowości oraz ustawami podatkowymi.

B. Dane Sprzedawców / Twórców

• Zakres danych: wszystkie dane wskazane w punkcie A, a ponadto: imię i nazwisko lub firma, adres zamieszkania lub siedziby, kraj rezydencji podatkowej, numer PESEL lub NIP (w przypadku podmiotów zagranicznych — TIN, VAT-UE), numer rachunku bankowego lub identyfikator konta Stripe Connect, dane wymagane w procesie KYC (weryfikacji tożsamości) przez dostawcę płatności, informacje o wysokości uzyskanego wynagrodzenia, dane oferowanych Produktów Cyfrowych i metadanych z nimi związanych.
• Cele i podstawy prawne:
  • umożliwienie sprzedaży Produktów Cyfrowych, wypłata środków ze escrow i rozliczenie prowizji — art. 6 ust. 1 lit. b RODO;
  • wypełnienie obowiązków raportowych wynikających z Dyrektywy DAC7 (Dyrektywa Rady (UE) 2021/514) i ustawy wdrażającej ją do polskiego porządku prawnego, w tym coroczne przekazywanie Szefowi Krajowej Administracji Skarbowej informacji o Sprzedawcach podlegających raportowaniu — art. 6 ust. 1 lit. c RODO;
  • przeciwdziałanie oszustwom, praniu pieniędzy i finansowaniu terroryzmu (AML) — art. 6 ust. 1 lit. c i f RODO;
  • obrona przed roszczeniami i dochodzenie roszczeń — art. 6 ust. 1 lit. f RODO.

C. Marketing własny

Za odrębną, dobrowolną zgodą Użytkownika (art. 6 ust. 1 lit. a RODO oraz art. 10 ustawy o świadczeniu usług drogą elektroniczną i art. 172 Prawa telekomunikacyjnego) Administrator może przesyłać newsletter, powiadomienia o nowościach oraz informacje handlowe dotyczące własnych usług. Zgoda może być cofnięta w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

Dane Użytkowników mogą być powierzane lub udostępniane następującym kategoriom odbiorców, wyłącznie w zakresie niezbędnym do realizacji wskazanych powyżej celów:

• Dostawcy usług płatniczych i escrow: Stripe Payments Europe Ltd. (Irlandia) — obsługa płatności kartowych, BLIK, Apple/Google Pay, mechanizmu escrow, procesu KYC i wypłat do Sprzedawców; w przyszłości możliwe: PayU S.A., Przelewy24 (DialCom24 sp. z o.o.).
• Dostawca hostingu i infrastruktury chmurowej: podmiot świadczący usługi hostingowe oraz zaplecze bazodanowe Platformy.
• Dostawcy usług e-mail transakcyjnych i newslettera: wysyłka powiadomień systemowych, potwierdzeń rejestracji, potwierdzeń zakupu, przypomnień dotyczących escrow.
• Dostawcy narzędzi analitycznych i antyfraudowych — w zakresie zanonimizowanych lub spseudonimizowanych danych statystycznych.
• Organy podatkowe i inne organy publiczne (Szef Krajowej Administracji Skarbowej, sądy, prokuratura, Policja, UODO) — wyłącznie w przypadkach wymaganych przepisami prawa, w tym raportowanie DAC7.
• Kancelarie prawne, doradcy podatkowi, audytorzy — w zakresie niezbędnym do świadczenia usług na rzecz Administratora.

Administrator zawiera z podmiotami przetwarzającymi umowy powierzenia przetwarzania danych osobowych zgodne z art. 28 RODO. W przypadku przekazania danych do państw trzecich (poza Europejski Obszar Gospodarczy) Administrator stosuje odpowiednie zabezpieczenia, w szczególności standardowe klauzule umowne zatwierdzone przez Komisję Europejską.

Każdej osobie, której dane dotyczą, przysługują następujące prawa wynikające z RODO:

• Prawo dostępu do danych (art. 15 RODO) — uzyskania potwierdzenia, czy Administrator przetwarza dane, oraz otrzymania ich kopii.
• Prawo do sprostowania (art. 16 RODO) — poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.
• Prawo do usunięcia danych („prawo do bycia zapomnianym”) (art. 17 RODO) — z zastrzeżeniem sytuacji, w których dalsze przetwarzanie jest wymagane przepisami prawa (np. dokumentacja księgowa, obowiązki DAC7, obrona przed roszczeniami).
• Prawo do ograniczenia przetwarzania (art. 18 RODO).
• Prawo do przenoszenia danych (art. 20 RODO) — w zakresie danych przetwarzanych na podstawie zgody lub umowy w sposób zautomatyzowany.
• Prawo do wniesienia sprzeciwu (art. 21 RODO) — w szczególności wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz wobec marketingu bezpośredniego.
• Prawo do cofnięcia zgody w dowolnym momencie (art. 7 ust. 3 RODO) — bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem zgody.
• Prawo do niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu (art. 22 RODO).

W celu realizacji powyższych praw prosimy o kontakt na adres: vlndmarketplace@gmail.com. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w terminie jednego miesiąca od otrzymania żądania.

Użytkownikowi przysługuje ponadto prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl, jeżeli uzna, że przetwarzanie jego danych osobowych narusza przepisy RODO.

1. Pliki cookies („ciasteczka”) to niewielkie pliki tekstowe zapisywane przez przeglądarkę internetową na urządzeniu końcowym Użytkownika, umożliwiające identyfikację przeglądarki podczas kolejnych odwiedzin Platformy.
2. Platforma wykorzystuje następujące kategorie plików cookies:
   • Cookies niezbędne — bezwzględnie konieczne do prawidłowego działania Platformy, w tym utrzymania sesji zalogowanego Użytkownika, obsługi koszyka, procesu zakupu i mechanizmu escrow oraz zapewnienia bezpieczeństwa (ochrona przed atakami CSRF). Cookies te nie wymagają zgody Użytkownika i są przetwarzane na podstawie art. 173 ust. 3 pkt 2 Prawa telekomunikacyjnego.
   • Cookies analityczne / statystyczne — służące do zliczania odwiedzin, analizy zachowań Użytkowników i doskonalenia Platformy. Zbierają dane w formie zagregowanej i spseudonimizowanej.
   • Cookies marketingowe i afiliacyjne — umożliwiające prawidłowe działanie programu partnerskiego (afiliacji), w tym zapamiętanie linku polecającego przez okres do 30 dni oraz dopasowanie treści marketingowych.
   • Cookies funkcjonalne — zapamiętujące preferencje Użytkownika, np. wybrany język interfejsu, zamknięcie okna powitalnego, ustawienia motywu.
3. Cookies analityczne i marketingowe uruchamiane są wyłącznie po uzyskaniu dobrowolnej zgody Użytkownika wyrażonej za pośrednictwem banera zgód cookie. Zgoda może być w każdej chwili wycofana, w tym poprzez zmianę ustawień przeglądarki.
4. Użytkownik może samodzielnie zarządzać plikami cookies z poziomu swojej przeglądarki internetowej — blokować je w całości, ograniczyć do wybranych domen lub usuwać już zapisane pliki. Instrukcje dostępne są w dokumentacji najpopularniejszych przeglądarek (Chrome, Firefox, Safari, Edge, Opera).
5. Ograniczenie lub wyłączenie plików cookies niezbędnych może uniemożliwić prawidłowe korzystanie z Platformy, w tym zalogowanie się i dokonanie zakupu.

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych, adekwatne do zagrożeń oraz kategorii danych, w szczególności:
   • szyfrowanie transmisji danych przy użyciu protokołu TLS/SSL (HTTPS);
   • przechowywanie haseł Użytkowników wyłącznie w postaci kryptograficznego skrótu (hash), bez możliwości ich odczytania;
   • kontrolę dostępu opartą o mechanizm Row-Level Security w bazie danych;
   • pseudonimizację danych tam, gdzie jest to możliwe, oraz zasadę minimalizacji danych;
   • regularne kopie zapasowe oraz monitorowanie bezpieczeństwa infrastruktury;
   • przekazywanie danych płatniczych wyłącznie licencjonowanym dostawcom usług płatniczych — Administrator nie przechowuje pełnych numerów kart płatniczych.
2. Dane osobowe przetwarzane są przez okres niezbędny do realizacji celów, dla których zostały zebrane, a w szczególności:
   • dane Konta — przez czas jego istnienia, a po jego usunięciu przez okres przedawnienia roszczeń;
   • dane transakcyjne oraz księgowe — przez okres 5 lat licząc od końca roku kalendarzowego, w którym powstał obowiązek podatkowy, zgodnie z ustawą Ordynacja podatkowa oraz ustawą o rachunkowości;
   • dane raportowane w ramach DAC7 — przez okres wymagany przepisami wdrażającymi tę dyrektywę;
   • dane przetwarzane na podstawie zgody (marketing) — do czasu wycofania zgody;
   • dane niezbędne do obrony przed roszczeniami lub ich dochodzenia — do czasu przedawnienia roszczeń wynikającego z Kodeksu cywilnego;
   • dane w rejestrze zgłoszeń DSA (Notice & Takedown) — przez okres wymagany Rozporządzeniem 2022/2065 (DSA).
3. Po upływie okresu przechowywania dane są usuwane lub trwale anonimizowane.

Podanie danych osobowych jest dobrowolne, jednak niepodanie danych oznaczonych jako niezbędne może uniemożliwić założenie Konta, zawarcie i wykonanie umowy lub skorzystanie z określonych funkcji Platformy (w szczególności wypłat środków ze escrow, które wymagają danych identyfikacyjnych oraz weryfikacji KYC u dostawcy płatności).

Administrator zastrzega sobie prawo do zmiany niniejszej Polityki w przypadku zmiany przepisów prawa, wdrożenia nowych funkcji Platformy lub zmiany dostawców usług. O istotnych zmianach Użytkownicy zostaną poinformowani z co najmniej 14-dniowym wyprzedzeniem — poprzez komunikat na Platformie lub wiadomość e-mail.