Niniejsza Polityka ochrony danych osobowych opisuje sposób, w jaki firma XDD Sp. z o.o. gromadzi, wykorzystuje i ujawnia dane osobowe Użytkowników odwiedzających i używających naszych Usług (w tym strony internetowej, sklepu oraz aplikacji mobilnej), dokonujących zakupów lub komunikujących się z nami w inny sposób.

I. Administrator Danych Osobowych

Administratorem danych osobowych Użytkowników jest: XDD Sp. z o.o. z siedzibą w Lublinie, przy ul. Kowalska 5/203, 20-115 Lublin wpisany do Krajowego Rejestru Sądowego przez Sąd Rejonowy Lublin Wschód w Lublinie z siedzibą w Świdniku VI Wydział Gospodarczy KRS pod numerem KRS 0001106834, o kapitale zakładowym 5 000 PLN, NIP 9462740670, REGON 528686106.

Kontakt w sprawach związanych z ochroną danych: iod@XDD.eu.

II. Definicja „Usług" i Architektura Systemowa

Firma XDD prowadzi działalność wielokanałową, na którą składają się („Usługi”):

  1. Strona WWW: puzzlecraft.club
  2. Sklep Internetowy WWW: Działający pod adresem naszej witryny, hostowany i obsługiwany przez technologię Shopify.
  3. Aplikacja Mobilna: Dostępna i dystrybuowana w sklepie Google Play.

W przypadku sprzeczności między naszymi Warunkami świadczenia usług udostępnianymi na stronie a niniejszą Polityką, niniejsza Polityka ma zastosowanie do gromadzenia, przetwarzania i ujawniania danych osobowych Użytkownika.

III. Kategorie Przetwarzanych Danych i Podstawy Prawne

Możemy gromadzić lub przetwarzać poniższe kategorie danych osobowych, w zależności od tego, z którego kanału Usług korzysta Użytkownik:

1. Dane zbierane w ramach Sklepu Internetowego WWW (Shopify)

  • Dane kontaktowe i wysyłkowe: Imię i nazwisko, adres zamieszkania, adres rozliczeniowy, adres wysyłki, numer telefonu i adres e-mail. Podstawa prawna: Art. 6 ust. 1 lit. b RODO (realizacja umowy).
  • Dane finansowe sklepu WWW: Numery karty kredytowej/debetowej, dane kont finansowych, szczegóły transakcji i potwierdzenia płatności. Podstawa prawna: Art. 6 ust. 1 lit. b RODO (realizacja płatności przez Shopify).
  • Informacje o urządzeniu i użytkowaniu (WWW): Adres IP, informacje o przeglądarce, pliki cookie oraz interakcje ze stroną Shopify. Podstawa prawna: Art. 6 ust. 1 lit. f RODO (uzasadniony interes) - w przypadku plików cookie ściśle niezbędnych do prawidłowego funkcjonowania i zabezpieczenia sklepu internetowego. Art. 6 ust. 1 lit. a RODO (dobrowolna zgoda) - w przypadku plików cookie analitycznych, funkcjonalnych oraz marketingowych (np. piksele śledzące, spersonalizowane reklamy Shopify), wyrażana przez Użytkownika za pośrednictwem baneru cookies przy wejściu na stronę.

2. Dane zbierane w ramach Aplikacji Mobilnej (Google Play)

W celu zapewnienia najwyższych standardów prywatności (Privacy by Design), Aplikacja Mobilna przetwarza dane w sposób ograniczony i odrębny od sklepu WWW:

  • Dane Profilowe (Google Sign-In): Podczas logowania przez Google Sign-In pobieramy z konta Google Użytkownika unikalny identyfikator użytkownika (google_id), adres e-mail oraz - jeśli są dostępne - imię i zdjęcie profilowe Użytkownika. Z systemu Google nie są pobierane informacje o wieku ani płci Użytkownika. Jeśli Użytkownik zechce uzupełnić te dane, może to zrobić opcjonalnie i całkowicie dobrowolnie w menu edycji swojego profilu w aplikacji. Dane te są zabezpieczane zgodnie z przyjętymi środkami technicznymi i organizacyjnymi, w tym przez szyfrowanie transmisji. Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy - utrzymanie konta użytkownika w aplikacji).
  • Informacje o transakcjach w aplikacji (Google Play Billing): XDD umożliwia dokonywanie zakupów cyfrowych wewnątrz aplikacji (In-App Purchases). Wszystkie te transakcje są przetwarzane wyłącznie przez firmę Google Ireland Limited lub Google LLC. Administrator (XDD) w tym wypadku nie zbiera i nie przechowuje numerów kart płatniczych Użytkownika ani danych bankowych. Administrator otrzymuje od Google jedynie techniczne potwierdzenie płatności (identyfikator transakcji, status, waluta). Podstawa prawna: Art. 6 ust. 1 lit. b RODO.
  • Uprawnienia techniczne urządzeń (Bluetooth): Nasze rozwiązanie przewiduje używanie nakładek z modułem Bluetooth. Dlatego na urządzeniach z systemem Android 11 (API 30) i starszych, aplikacja prosi o uprawnienie lokalizacyjne (ACCESS_FINE_LOCATION). Jest to wyłącznie wymóg techniczny systemu operacyjnego Android do skanowania i parowania zewnętrznych kontrolerów Bluetooth. System Android traktuje to jako dostęp do lokalizacji, dlatego dane te są uzyskiwane przez aplikację w celu nawiązania połączenia Bluetooth, ale nie są zapisywane na serwerach ani wykorzystywane do innych celów. Aplikacja nie wykorzystuje tego uprawnienia do śledzenia położenia Użytkownika ani nie zapisuje danych lokalizacyjnych na serwerach XDD. Administrator zapewnia, aby zakres danych i celów przetwarzania opisany dla Aplikacji Mobilnej pozostawał zgodny z deklaracjami składanymi w Google Play Console, w tym w formularzu Data Safety, oraz obejmował dane przetwarzane przez używane w aplikacji biblioteki i SDK, o ile takie przetwarzanie występuje.

3. Dane zbierane na potrzeby Usługi Mailingu (Newsletter i Marketing)

  • Zakres danych: Adres e-mail, imię.
  • Cel: Jeśli Użytkownik wyrazi dobrowolną zgodę, będziemy wykorzystywać jego adres e-mail do wysyłania wiadomości o naszych produktach, aktualizacjach, nowościach, promocjach oraz ofertach specjalnych.
  • Podstawa prawna: Art. 6 ust. 1 lit. a RODO (Zgoda Użytkownika) w zw. z art. 10 ustawy o świadczeniu usług drogą elektroniczną. Zgodę tę Użytkownik może wycofać w dowolnym momencie.

IV. Źródła Pozyskiwania Danych

Możemy zbierać dane osobowe z poniższych źródeł:

  • Bezpośrednio od Użytkownika, w tym w momencie utworzenia konta, odwiedzenia naszych Usług lub skorzystania z nich, komunikacji z nami lub w przypadku dostarczenia nam danych osobowych w inny sposób.
  • Automatycznie za pośrednictwem Usług w tym z urządzenia Użytkownika podczas korzystania z naszych produktów lub usług albo odwiedzania naszych witryn internetowych, a także poprzez używanie plików cookie i podobnych technologii.
  • Od dostawców usług, w tym w przypadkach, gdy współpracujemy z nimi w celu obsługi pewnej technologii i gdy zbierają lub przetwarzają dane osobowe Użytkownika w naszym imieniu.
  • Od naszych partnerów lub innych firm zewnętrznych zgodnie z obowiązującym prawem.
  • Z zewnętrznych systemów uwierzytelniających (OAuth): Od firmy Google, gdy Użytkownik loguje się do aplikacji za pomocą przycisku „Zaloguj się przez Google”.

V. W jaki sposób ujawniamy dane osobowe

W pewnych okolicznościach możemy ujawnić dane osobowe Użytkownika firmom zewnętrznym w uzasadnionych celach, zgodnie z niniejszą Polityką ochrony danych osobowych. Te okoliczności mogą obejmować:

  • W przypadku Shopify możemy ujawniać dane dostawcom i innym firmom zewnętrznym, które świadczą usługi w naszym imieniu (np. zarządzanie IT, przetwarzanie płatności, analiza danych, obsługa klienta, przechowywanie w chmurze, realizacja zamówienia i wysyłka).
  • W przypadku firmy Google (Google Play Billing / Google Sign-In): W zakresie niezbędnym do autoryzacji konta Użytkownika w aplikacji oraz bezpiecznego przetwarzania płatności mobilnych.
  • W przypadku partnerów biznesowych i marketingowych w celu świadczenia usług marketingowych i prezentowania Użytkownikowi reklam, o ile takie działania są stosowane w danym kanale Usług i po uzyskaniu wymaganych zgód. Na przykład, używamy Shopify, aby zapewniać spersonalizowane reklamy za pomocą usług firm zewnętrznych na podstawie aktywności online Użytkownika u różnych sprzedawców i na różnych stronach internetowych. Nasi partnerzy biznesowi i marketingowi użyją danych Użytkownika zgodnie z własnymi zasadami przetwarzania danych osobowych. Użytkownik może mieć prawo do nieudostępniania swoich danych w celu wyświetlania spersonalizowanych reklam oraz marketingu na podstawie aktywności online u różnych sprzedawców i na różnych witrynach internetowych.
  • Gdy Użytkownik zleca nam ujawnienie określonych danych firmom zewnętrznym, to znaczy, że żąda tego lub wyraża na to zgodę, na przykład w celu wysyłki produktów bądź w związku z korzystaniem z widżetów mediów społecznościowych lub integracji logowania.
  • Nasze podmioty stowarzyszone lub w ramach naszej grupy korporacyjnej na przykład w celu wysyłki informacji e-mail o aktualizacjach, promocjach i innych informacjach związanych z Usługami.
  • W związku z transakcją biznesową taką jak fuzja czy upadłość w celu spełnienia obowiązków wynikających z obowiązującego prawa (w tym w odpowiedzi na wezwania sądowe, nakazy przeszukania i podobne żądania), egzekwowania obowiązujących warunków świadczenia usług lub polityk oraz ochrony i obrony Usług, naszych praw, praw Użytkownika lub praw innych osób.

VI. Relacja z Shopify

Usługi są hostowane przez firmę Shopify zgodnie z jej warunkami, która gromadzi i przetwarza dane osobowe dotyczące dostępu Użytkownika do Usług oraz korzystania z nich, w celu ich świadczenia i doskonalenia. Dane przekazane w ramach Usług zostaną przekazane i udostępnione Shopify, a także firmom zewnętrznym, które mogą mieć siedzibę w innych krajach niż kraj zamieszkania Użytkownika, w celu świadczenia usług na jego rzecz. Co więcej, w celu zabezpieczania, rozwijania i doskonalenia naszej firmy wykorzystujemy pewne zaawansowane funkcje Shopify, które zawierają dane i informacje uzyskane z interakcji Użytkownika z naszym Sklepem, z innymi sprzedawcami i z platformą Shopify. Aby zapewniać Użytkownikowi te zaawansowane funkcje, Shopify może wykorzystywać dane osobowe zebrane podczas interakcji Użytkownika z naszym Sklepem, z innymi sprzedawcami i z platformą Shopify. W takich okolicznościach firma Shopify odpowiada za przetwarzanie danych osobowych Użytkownika, w tym za odpowiadanie na jego żądania dotyczące korzystania ze swoich praw związanych z użyciem danych osobowych Użytkownika do tych celów. Aby dowiedzieć się więcej na temat tego, jak Shopify wykorzystuje dane osobowe, oraz na temat wszelkich praw, jakie mogą przysługiwać Użytkownikowi, należy odwiedzić sekcję dotyczącą ochrony danych osobowych: Polityka prywatności konsumentów Shopify. Użytkownik może skorzystać z obowiązujących praw względem swoich danych osobowych tutaj: Link do portalu prywatności Shopify.

VII. Witryny internetowe i linki firm zewnętrznych

Usługi mogą zawierać linki do witryn internetowych oraz innych platform online obsługiwanych przez firmy zewnętrzne. W przypadku przeniesienia się do witryn internetowych niepowiązanych z nami ani niekontrolowanych przez nas należy zapoznać się z ich politykami ochrony danych osobowych i bezpieczeństwa oraz innymi zasadami i warunkami. Nie gwarantujemy prywatności ani bezpieczeństwa takich witryn internetowych, ani nie jesteśmy za nie odpowiedzialni. Dotyczy to między innymi dokładności, kompletności i rzetelności informacji znalezionych w tych witrynach. Informacje, które Użytkownik podaje w miejscach publicznych lub częściowo publicznych, w tym dane udostępniane na platformach społecznościowych firm zewnętrznych, mogą być również widoczne dla innych użytkowników Usług i/lub użytkowników tych platform firm zewnętrznych bez ograniczeń co do ich wykorzystania przez nas lub firmę zewnętrzną. Zamieszczenie przez nas takich linków samo w sobie nie oznacza poparcia dla treści na takich platformach ani dla ich właścicieli lub operatorów, z wyjątkiem sytuacji wyjaśnionych w Usługach.

VIII. Dane dzieci

Usługi nie są przeznaczone do użytku przez dzieci. Nie zbieramy świadomie żadnych danych osobowych na temat dzieci poniżej wieku pełnoletności w jurysdykcji Użytkownika. Jeśli Użytkownik jest rodzicem lub opiekunem dziecka, które podało nam swoje dane osobowe, Użytkownik może się skontaktować z nami za pomocą poniższych danych kontaktowych, aby zażądać ich usunięcia. Nie przetwarzamy danych dzieci poniżej 16 roku życia bez zgody ich opiekunów prawnych.

IX. Prawa i wybory Użytkownika

Użytkownikowi mogą przysługiwać wszystkie poniższe prawa związane z jego danymi osobowymi bądź niektóre z nich. Jednak prawa te nie są absolutne, mogą mieć zastosowanie tylko w pewnych okolicznościach i, w niektórych przypadkach, możemy odrzucić żądanie Użytkownika w zakresie dozwolonym przez prawo.

  • Prawo dostępu do danych. Użytkownik ma prawo uzyskać informację, jakie jego dane przetwarzamy oraz otrzymać ich kopię.
  • Prawo do usunięcia danych. Użytkownik ma prawo żądać skasowania jego danych osobowych w przypadkach przewidzianych przez RODO.
  • Prawo do poprawy danych. Użytkownik ma prawo żądać poprawienia niedokładnych danych osobowych, które mamy na jego temat.
  • Prawo do przeniesienia danych. Użytkownik ma prawo do uzyskania kopii danych osobowych, które mamy na jego temat, a także zażądania przeniesienia ich do firmy zewnętrznej w pewnych okolicznościach i z pewnymi wyjątkami.
  • Zarządzanie preferencjami dotyczącymi komunikacji. Możemy wysyłać do Użytkownika promocyjne wiadomości e-mail, a Użytkownik może w dowolnym momencie zrezygnować z ich otrzymywania za pomocą opcji anulowania subskrypcji wyświetlanej w naszych wiadomościach e-mail. Jeśli Użytkownik zrezygnuje, wciąż możemy wysyłać mu wiadomości e-mail inne niż promocyjne, na przykład dotyczące konta bądź dokonanych zamówień.
  • Prawo do ograniczenia przetwarzania. Użytkownik ma prawo żądać ograniczenia przetwarzania danych w przypadkach przewidzianych przez RODO.
  • Prawo sprzeciwu. Użytkownik ma prawo wnieść sprzeciw wobec przetwarzania danych opartego na prawnie uzasadnionym interesie Administratora.
  • Prawo do wycofania zgody. Jeżeli przetwarzanie odbywa się na podstawie zgody, Użytkownik może ją wycofać w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Użytkownik może dochodzić wszelkich z tych praw tam, gdzie wskazano to w Usługach bądź za pomocą poniższych danych kontaktowych. Aby dowiedzieć się więcej na temat tego, jak Shopify wykorzystuje dane osobowe Użytkownika, oraz praw, które mogą mu przysługiwać, w tym na temat praw związanych z przetwarzaniem danych przez Shopify, należy odwiedzić stronę https://privacy.shopify.com/pl.

Nie będziemy dyskryminować Użytkownika za korzystanie z któregokolwiek z tych praw. Możliwe, że będziemy musieli zweryfikować tożsamość Użytkownika, zanim przystąpimy do realizacji jego żądania, zgodnie z obowiązującym prawem. Zgodnie z obowiązującymi przepisami Użytkownik może upoważnić przedstawiciela do składania w jego imieniu żądań związanych z dochodzeniem jego praw. Zanim zaakceptujemy takie żądanie złożone przez przedstawiciela, będziemy wymagać dowodu, że został on upoważniony przez Użytkownika do działania w jego imieniu, a także możemy poprosić Użytkownika o bezpośrednie potwierdzenie swojej tożsamości. Odpowiemy na żądanie Użytkownika w terminie przewidzianym przez obowiązujące przepisy.

X. Skargi

W przypadku skarg dotyczących sposobu, w jaki przetwarzamy dane osobowe, należy skontaktować się z nami, korzystając z poniższych danych kontaktowych. Użytkownik może mieć prawo do odwołania się od naszej decyzji, kontaktując się z nami za pomocą poniższych danych kontaktowych, lub do złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych (https://uodo.gov.pl/pl/492/2464).

XI. Międzynarodowy Transfer Danych

W związku z korzystaniem z infrastruktury firm Shopify oraz Google, dane Użytkownika mogą być przekazywane i przechowywane poza Europejskim Obszarem Gospodarczym (EOG), m.in. w USA. Podmioty te operują w oparciu o zatwierdzone mechanizmy prawne, takie jak Standardowe Klauzule Umowne Komisji Europejskiej oraz program Data Privacy Framework - o ile dany mechanizm ma zastosowanie do konkretnego transferu danych, co ma zapewnić odpowiedni poziom ochrony danych.

XII. Okres Przechowywania (Retencja) Danych

Dane Użytkownika przechowujemy tak długo, jak jest to niezbędne do realizacji celów opisanych w niniejszej polityce:

  • Dane konta (WWW): Do momentu, w którym Użytkownik zdecyduje się usunąć konto, z zastrzeżeniem obowiązków przechowywania danych wynikających z przepisów prawa lub potrzeby dochodzenia albo obrony roszczeń.
  • Dane profilowe z Aplikacji Mobilnej: Przez okres posiadania konta w aplikacji lub do momentu cofnięcia autoryzacji logowania Google. Dane z Google Play Billing: przez okres niezbędny do obsługi ewentualnych reklamacji oraz realizacji obowiązków podatkowych (okres minimum 5 lat od końca roku obrachunkowego).
  • Dane transakcyjne i finansowe: Przez okres minimum 5 lat od końca roku obrachunkowego, ze względu na polskie przepisy podatkowe i ustawę o rachunkowości.
  • Dane do mailingu (marketing): Do momentu wycofania przez Użytkownika zgody (np. wypisania się z newslettera).

XIII. Usuwanie Konta i Danych

Zgodnie z politykami RODO oraz Google Play, Użytkownikowi przysługuje prawo do całkowitego usunięcia konta oraz powiązanych z nim danych osobowych w dowolnym momencie.

  • W aplikacji: Opcja ta jest dostępna bezpośrednio w menu ustawień profilu w Aplikacji Mobilnej.
  • Poza aplikacją: Użytkownik może skorzystać z publicznego, dostępnego bez logowania formularza lub strony do żądania usunięcia konta i danych: https://puzzlecraft.club/pages/delete-account.
  • Użytkownik ma możliwość zażądania usunięcia konta i danych w każdej chwili, bez podania przyczyny i bez ponoszenia z tego tytułu jakichkolwiek opłat. Stosowne żądanie należy wysłać do Administratora, w szczególności:
    • za pośrednictwem poczty elektronicznej na adres iod@XDD.eu lub
    • pisemnie na adres Administratora Danych Osobowych: XDD Sp. z o.o. ul. Kowalska 5/203, 20-115 Lublin.
    • Usunięcie danych może nie obejmować danych, które Administrator ma obowiązek przechowywać przez okres wymagany przepisami prawa, np. dla celów podatkowych, rachunkowych lub dochodzenia roszczeń.

Żądania usunięcia konta i danych będą realizowane bez zbędnej zwłoki, zgodnie z terminami wynikającymi z obowiązujących przepisów prawa. Użytkownik zostanie poinformowany o zakresie usuniętych danych oraz o ewentualnych kategoriach danych, które muszą być nadal przechowywane z uwagi na obowiązki prawne Administratora.

XIV. Zmiany w Polityce Prywatności

Możemy od czasu do czasu aktualizować niniejszą Politykę w celu odzwierciedlenia zmian operacyjnych lub prawnych. Nowa wersja dokumentu będzie publikowana na tej stronie wraz ze zaktualizowaną datą wejścia w życie.

Zewnętrzne portale prywatności naszych głównych dostawców technologii: