1. Administrator danych i kontakt
Administratorem Twoich danych osobowych jest Selected Supply Sp. z o.o., ul. Hoża 86/410, 00-682 Warszawa, KRS 0000765817, NIP 7272834817, REGON 382263574 (dalej „my” lub „Sklep”). We wszystkich sprawach dotyczących danych osobowych kontakt jest możliwy wyłącznie drogą elektroniczną: kontakt@kluczesoft.pl lub przez formularz w Centrum Pomocy. Nie wyznaczyliśmy inspektora ochrony danych — nie mamy takiego obowiązku (art. 37 RODO).
2. Jakie dane przetwarzamy i skąd je mamy
- Dane zamówienia i kontaktowe — adres e-mail, imię i nazwisko, adres, numer telefonu (opcjonalnie). Podajesz je w formularzu zamówienia; podanie danych oznaczonych jako wymagane jest warunkiem zawarcia umowy. Adres e-mail zapisujemy przy koszyku już wtedy, gdy wpiszesz go w formularzu zamówienia (jeszcze przed jego złożeniem), aby dokończenie zakupu nie wymagało ponownego podawania danych — bez Twojej zgody nie wysyłamy na niego żadnych przypomnień ani informacji handlowych.
- Dane do faktury VAT — nazwa firmy, adres, NIP; dla firm weryfikujemy NIP w rejestrach GUS/VIES.
- Dane transakcyjne — historia zamówień, kwoty, metoda i status płatności. Nie przechowujemy danych karty płatniczej — obsługuje je operator płatności.
- Dane do aktywacji subskrypcji — domena lub identyfikator tenanta Microsoft 365 (tylko przy zakupie subskrypcji).
- Oświadczenia i zgody — treść, wersja i data zaakceptowania regulaminu, żądania natychmiastowego dostarczenia treści cyfrowej, zgody marketingowej oraz zgody na przypomnienia o porzuconym koszyku, wraz z adresem IP i identyfikatorem przeglądarki.
- Dane konta — jeśli założysz konto (także przez logowanie społecznościowe Google/Facebook obsługiwane przez OneAll): e-mail, imię i nazwisko, hasło w postaci zaszyfrowanej.
- Korespondencja — treść zgłoszeń, czatu i reklamacji w Centrum Pomocy oraz e-maili.
- Dane techniczne — adres IP, identyfikatory plików cookie, dane o urządzeniu, przeglądarce i sposobie korzystania ze strony (za zgodą — także nagrania sesji z zamaskowaną treścią pól formularzy).
3. Cele, podstawy prawne i okresy przechowywania
| Cel | Podstawa prawna (RODO) | Okres przechowywania |
|---|---|---|
| Zawarcie i wykonanie umowy: realizacja zamówienia, dostarczenie klucza lub aktywacja subskrypcji, obsługa konta | art. 6 ust. 1 lit. b — wykonanie umowy | do wykonania umowy, a następnie do upływu terminów przedawnienia roszczeń (co do zasady 6 lat od końca roku, w którym zawarto umowę) |
| Wystawienie faktury VAT, księgowość, KSeF, obowiązki podatkowe | art. 6 ust. 1 lit. c — obowiązek prawny (ustawa o VAT, ustawa o rachunkowości) | 5 lat od końca roku podatkowego, w którym powstał obowiązek |
| Obsługa reklamacji, odstąpień od umowy i gwarancji aktywacji | art. 6 ust. 1 lit. b i c | do zakończenia sprawy i upływu terminów przedawnienia |
| Utrwalenie zgód i oświadczeń złożonych przy zamówieniu (dowód zawarcia umowy i zgody na natychmiastowe dostarczenie treści cyfrowej) | art. 6 ust. 1 lit. c (art. 21 ustawy o prawach konsumenta) i lit. f — obrona roszczeń | 6 lat od końca roku, w którym zawarto umowę |
| Wsparcie klienta, odpowiadanie na pytania (e-mail, czat, Centrum Pomocy) | art. 6 ust. 1 lit. b oraz lit. f — uzasadniony interes (obsługa zapytań) | 3 lata od zamknięcia zgłoszenia |
| Zapisanie adresu e-mail przy koszyku przed złożeniem zamówienia (ułatwienie dokończenia zakupu) | art. 6 ust. 1 lit. b — działania na Twoje żądanie przed zawarciem umowy | do złożenia zamówienia (dalej — jak przy wykonaniu umowy); jeśli zamówienia nie złożysz — do 30 dni od ostatniej zmiany koszyka, po czym dane (adres e-mail, imię i nazwisko, adres) anonimizujemy; na Twoje żądanie — niezwłocznie. Dłużej przechowujemy je tylko wtedy, gdy są związane z płatnością lub zgłoszeniem do obsługi klienta — do ich wyjaśnienia i upływu terminów przedawnienia |
| Przypomnienia o porzuconym koszyku — do trzech wiadomości e-mail (ok. 1 godzinę, 1 dzień i 3 dni po pozostawieniu koszyka) z listą produktów w koszyku, które mogą zawierać kod rabatowy. Wysyłamy je wyłącznie, jeśli zaznaczysz w formularzu zamówienia pole „Przypomnij mi e-mailem o pozostawionym koszyku” albo masz aktywną zgodę na informacje handlowe (newsletter); po złożeniu zamówienia przypomnień nie wysyłamy | art. 6 ust. 1 lit. a — zgoda (art. 398 Prawa komunikacji elektronicznej) | do wycofania zgody, nie dłużej niż 30 dni od utworzenia koszyka; dowód udzielenia zgody (data, treść zgody, adres IP) — 3 lata po jej wycofaniu lub wygaśnięciu |
| Newsletter i informacje handlowe e-mailem | art. 6 ust. 1 lit. a — zgoda (art. 10 ustawy o świadczeniu usług drogą elektroniczną, art. 398 Prawa komunikacji elektronicznej) | do wycofania zgody; dowód udzielenia zgody — 3 lata po jej wycofaniu |
| Po zamówieniu: pytanie, czy klucz zadziałał, oraz jedna prośba o ocenę kupionych produktów lub sklepu (bez rabatu i bez treści reklamowych) | art. 6 ust. 1 lit. f — uzasadniony interes (sprawdzenie, czy produkt działa, i zbieranie opinii o zakupie); możesz się sprzeciwić linkiem w każdej takiej wiadomości (art. 21 RODO). Nie wysyłamy ich, jeśli wycofałeś(-aś) zgodę na informacje handlowe | jak dane zamówienia; informację o sprzeciwie przechowujemy, dopóki jest potrzebna, by go respektować |
| Prośby o opinię połączone z kodem rabatowym za opinię oraz przypomnienia o nich | art. 6 ust. 1 lit. a — zgoda na informacje handlowe (art. 398 Prawa komunikacji elektronicznej); bez tej zgody wysyłamy wyłącznie jedną prośbę bez rabatu (wiersz wyżej) | do wycofania zgody |
| Publikowanie opinii o produktach, które dodajesz w sklepie (ocena, treść i wybrany przez Ciebie podpis; oznaczenie „Zweryfikowany zakup”, jeśli kupiłeś produkt u nas) | art. 6 ust. 1 lit. f — uzasadniony interes (rzetelna informacja dla innych klientów) | do usunięcia opinii — na Twoją prośbę w każdej chwili |
| Analityka i statystyki odwiedzin (Google Analytics 4, PostHog), badanie ścieżek zakupowych i nagrania sesji | art. 6 ust. 1 lit. a — zgoda wyrażona w banerze cookie (kategoria „Analityczne”); art. 173 Prawa telekomunikacyjnego / Prawo komunikacji elektronicznej | do wycofania zgody; dane w GA4 — 14 miesięcy; w PostHog — do 12 miesięcy |
| Marketing: pomiar skuteczności reklam i ich dopasowanie (Meta Piksel, Google Ads przez Google Tag Manager) | art. 6 ust. 1 lit. a — zgoda w banerze cookie (kategoria „Marketingowe”) | do wycofania zgody |
| Przesyłanie zdarzeń zakupu z naszego serwera do Meta (Conversions API) i Google (GA4 Measurement Protocol) — wyłącznie gdy przy zakupie obowiązywała Twoja zgoda na odpowiednią kategorię | art. 6 ust. 1 lit. a — zgoda | identyfikatory zdarzeń — 90 dni |
| Bezpieczeństwo sklepu, zapobieganie nadużyciom i oszustwom płatniczym, logi serwera, ochrona przed atakami (Cloudflare) | art. 6 ust. 1 lit. f — uzasadniony interes | logi — do 12 miesięcy |
| Ustalenie, dochodzenie i obrona roszczeń | art. 6 ust. 1 lit. f — uzasadniony interes | do upływu terminów przedawnienia |
Zgodę możesz wycofać w każdej chwili (newsletter i inne informacje handlowe, w tym prośby o opinię z rabatem — link „Wypisz się” w każdej takiej wiadomości lub e-mail do nas; prośby o opinię bez rabatu — link rezygnacji w każdej prośbie; przypomnienia o koszyku — link „wypisz się” w każdym przypomnieniu (jedno kliknięcie), odznaczenie pola w formularzu zamówienia lub e-mail do nas; wypisanie się z newslettera również wstrzymuje przypomnienia, chyba że później ponownie zaznaczysz pole przypomnienia; cookie — link „Ustawienia cookies” w stopce strony). Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego wcześniej i nie ogranicza możliwości złożenia zamówienia. Wiadomości związane z zamówieniem (potwierdzenie, klucz, faktura, płatność) wysyłamy niezależnie od zgód. Nasze wiadomości e-mail nie zawierają pikseli śledzących ich otwarcie.
4. Odbiorcy danych
Dane przekazujemy wyłącznie podmiotom, które są niezbędne do realizacji powyższych celów — na podstawie umów powierzenia (art. 28 RODO) albo jako odrębnym administratorom (np. operatorzy płatności, banki):
- Operatorzy płatności (odrębni administratorzy): Stripe Payments Europe Ltd. (Irlandia) — karty, BLIK, Przelewy24 (we współpracy z PayPro S.A.), Apple Pay / Google Pay; Revolut Payments UAB / Revolut Bank UAB (Litwa) — Revolut Pay; PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luksemburg); bank Sprzedawcy — przy przelewie tradycyjnym.
- Hosting i infrastruktura: OVH SAS (Francja / centra danych w UE) — serwer sklepu i bazy danych; Cloudflare, Inc. (USA, serwery brzegowe w UE) — sieć CDN, ochrona przed atakami, statystyki ruchu bez cookie.
- Poczta e-mail: Google Ireland Ltd. (Google Workspace) — wysyłka potwierdzeń zamówień, kluczy i faktur, przypomnień o koszyku (tylko za zgodą) oraz próśb o opinię; Resend, Inc. (USA, wysyłka z serwerów w UE) — pytanie o aktywację klucza i prośby o opinię.
- Opinie o sklepie: Trusted Shops AG (Kolonia, Niemcy) — przekazujemy adres e-mail, numer i datę zamówienia, aby Trusted Shops mógł wysłać zaproszenie do wystawienia opinii o sklepie; opublikowane opinie Trusted Shops przetwarza jako odrębny administrator.
- Fakturowanie i księgowość: Fakturownia Sp. z o.o. (Warszawa) — wystawianie faktur VAT i KSeF; biuro rachunkowe Sprzedawcy.
- Obsługa klienta (Centrum Pomocy, czat, zgłoszenia): Quality Unit, s.r.o. (Słowacja) — system LiveAgent.
- Logowanie społecznościowe (tylko jeśli z niego skorzystasz): OneAll (Luksemburg) oraz dostawca konta (Google, Meta).
- Analityka (tylko za zgodą): Google Ireland Ltd. — Google Analytics 4 i Google Tag Manager; PostHog Inc. — instancja w chmurze EU (Frankfurt).
- Marketing (tylko za zgodą): Meta Platforms Ireland Ltd. — Piksel Meta i Conversions API; Google Ireland Ltd. — Google Ads.
- Dostawcy oprogramowania: przy subskrypcjach Microsoft 365 przekazujemy Microsoft Ireland Operations Ltd. identyfikator tenanta i dane niezbędne do przypisania licencji.
- Organy publiczne (urząd skarbowy, sądy, policja) — gdy obowiązek wynika z przepisów prawa.
5. Przekazywanie danych poza EOG
Dane przetwarzamy co do zasady w Europejskim Obszarze Gospodarczym. Niektórzy dostawcy (Cloudflare, Google, Meta, PostHog, PayPal, Stripe, Resend) mogą przekazywać dane do Stanów Zjednoczonych. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej z 10 lipca 2023 r. w sprawie ram ochrony danych UE–USA (EU-U.S. Data Privacy Framework) — wobec dostawców certyfikowanych w DPF (m.in. Cloudflare, Google LLC, Meta Platforms, Inc., PostHog, Inc.) — a w pozostałych przypadkach na podstawie standardowych klauzul umownych Komisji Europejskiej (art. 46 ust. 2 lit. c RODO) wraz z dodatkowymi zabezpieczeniami. Kopię zabezpieczeń możesz uzyskać, pisząc na kontakt@kluczesoft.pl.
6. Twoje prawa
Na podstawie art. 15–22 RODO przysługuje Ci prawo do:
- dostępu do danych i otrzymania ich kopii;
- sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych;
- usunięcia danych („prawo do bycia zapomnianym”) — z wyjątkiem danych, które musimy przechowywać z mocy prawa (np. faktury) lub do obrony roszczeń;
- ograniczenia przetwarzania;
- przenoszenia danych przetwarzanych na podstawie zgody lub umowy;
- sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie, w tym w każdej chwili wobec marketingu bezpośredniego;
- wycofania zgody w dowolnym momencie.
Aby skorzystać z praw, napisz na kontakt@kluczesoft.pl z adresu e-mail użytego przy zakupie (pozwala nam to potwierdzić Twoją tożsamość). Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; w skomplikowanych sprawach termin może zostać przedłużony o kolejne dwa miesiące, o czym poinformujemy.
7. Pliki cookie i ustawienia zgody
Pliki cookie to niewielkie pliki zapisywane na Twoim urządzeniu. Używamy ich oraz podobnych technologii (localStorage, piksele) w trzech kategoriach, zgodnie z wyborem dokonanym w banerze przy pierwszej wizycie:
| Kategoria | Cel i przykłady | Podstawa | Czas życia |
|---|---|---|---|
| Niezbędne (zawsze aktywne) | Sesja i koszyk (PrestaShop), logowanie, bezpieczeństwo i ochrona przed botami (Cloudflare __cf_bm, cf_clearance), zapamiętanie Twojego wyboru w sprawie cookie (13 miesięcy), obsługa płatności (Stripe __stripe_mid, __stripe_sid). | niezbędne do świadczenia usługi (art. 173 ust. 3 Prawa telekomunikacyjnego); art. 6 ust. 1 lit. b i f RODO | sesja – 13 miesięcy |
| Analityczne | Google Analytics 4 (_ga, _ga_*) — statystyki odwiedzin i sprzedaży; PostHog (ph_*, localStorage) — ścieżki zakupowe, testy A/B i nagrania sesji z zamaskowaną treścią pól formularzy. Zalogowani klienci są identyfikowani wyłącznie pseudonimowym skrótem (HMAC) identyfikatora konta, nigdy adresem e-mail. | zgoda | do 13 miesięcy |
| Marketingowe | Piksel Meta (_fbp, _fbc) i Google Ads (_gcl_*) ładowane przez Google Tag Manager — pomiar skuteczności reklam i dopasowanie reklam do Twoich zainteresowań; zdarzenia zakupu wysyłane z serwera (Meta CAPI, GA4). | zgoda | do 13 miesięcy |
Jak działa zgoda. Domyślnie aktywne są tylko cookie niezbędne; Google Consent Mode v2 przekazuje Google stan „denied” aż do wyrażenia zgody. Skrypty analityczne i marketingowe ładują się dopiero po zaznaczeniu odpowiedniej kategorii. Przycisk „Odrzuć wszystkie” jest tak samo łatwo dostępny jak „Akceptuj wszystkie”. Twój wybór zapisujemy w pliku cookie na 13 miesięcy; potem zapytamy ponownie.
Jak zmienić lub wycofać zgodę. Kliknij link „Ustawienia cookies” w stopce każdej strony — otworzy się panel, w którym możesz włączyć lub wyłączyć poszczególne kategorie. Po wycofaniu zgody usuwamy pliki cookie danej kategorii z Twojej przeglądarki. Możesz także usunąć lub zablokować cookie w ustawieniach przeglądarki; zablokowanie cookie niezbędnych uniemożliwi złożenie zamówienia.
8. Bezpieczeństwo, decyzje automatyczne, dzieci
- Połączenie ze sklepem jest szyfrowane (TLS), hasła są przechowywane w postaci skrótu, a dostęp do danych mają tylko upoważnione osoby. Klucze licencyjne przechowujemy w postaci zaszyfrowanej, a ich wydanie jest rejestrowane.
- Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne (art. 22 RODO). Operatorzy płatności mogą stosować własne automatyczne systemy wykrywania oszustw — jako odrębni administratorzy.
- Sklep jest przeznaczony dla osób pełnoletnich. Nie kierujemy oferty do dzieci i nie gromadzimy świadomie ich danych.
9. Skarga do PUODO i zmiany polityki
Jeżeli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, masz prawo wnieść skargę do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl (skargę można złożyć także elektronicznie przez ePUAP). Zachęcamy, by najpierw napisać do nas — postaramy się wyjaśnić sprawę.
Politykę aktualizujemy, gdy zmieniają się przepisy, nasi dostawcy lub zakres przetwarzania. Aktualna wersja jest zawsze dostępna pod adresem kluczesoft.pl/content/polityka-prywatnosci; o istotnych zmianach informujemy na stronie sklepu, a klientów posiadających konto — e-mailem.
Podstawa prawna: rozporządzenie (UE) 2016/679 (RODO), ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne / ustawa Prawo komunikacji elektronicznej, decyzja wykonawcza Komisji (UE) 2023/1795 (EU-U.S. Data Privacy Framework). Zobacz też regulamin sklepu oraz zasady zwrotów i reklamacji. Ostatnia aktualizacja: 27 września 2026 r.