Polityka ochrony danych osobowych

PRINTSTEP s.r.o.

Obowiązuje od: 1 maja 2026 r. Wersja: 1.0

1. Postanowienia wstępne

1.1 Administrator danych osobowych

Administratorem danych osobowych w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych (zwanego dalej „RODO”) jest spółka:

PRINTSTEP s.r.o. Numer identyfikacyjny: 27947807 Numer identyfikacji podatkowej: CZ27947807 Siedziba: Jičínská 226/17, 130 00 Praga 3, Republika Czeska, wpisana do rejestru handlowego prowadzonego przez Sąd Miejski w Pradze, sekcja C, pozycja 128622 (zwana dalej „Administratorem” lub „my”)

1.2 Dane kontaktowe w sprawach dotyczących ochrony danych

E-mail: [email protected] (wnioski osób, których dane dotyczą)
Telefon: +420 246 082 412
Adres korespondencyjny: taki sam jak siedziba Administratora

1.3 Inspektor ochrony danych (DPO)

Administrator nie ma obowiązku wyznaczenia inspektora ochrony danych zgodnie z art. 37 ust. 1 RODO (nie przetwarza danych osobowych na dużą skalę ani kategorii danych wrażliwych). Wszelkie pytania i wnioski osób, których dane dotyczą, są przyjmowane bezpośrednio przez Administratora pod podanym powyżej adresem kontaktowym.

1.4 Interfejsy internetowe, których dotyczy niniejsza polityka

Niniejsza polityka dotyczy przetwarzania danych osobowych za pośrednictwem:

easybag.com (międzynarodowy sklep internetowy)
taskahned.cz i taskahned.sk (lokalne sklepy internetowe w Czechach i na Słowacji)
ewentualnych innych domen Administratora wymienionych w wykazie czynności przetwarzania

2. Definicje pojęć

Pojęcie	Znaczenie
Dane osobowe	Wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej
Osoba, której dane dotyczą	Osoba fizyczna, której dane osobowe przetwarzamy (Państwo)
Administrator	PRINTSTEP s.r.o. – określa cele i środki przetwarzania
Podmiot przetwarzający	Strona trzecia, która przetwarza dane na zlecenie Administratora (np. hosting)
Przetwarzanie	Każda operacja na danych (gromadzenie, przechowywanie, wykorzystywanie, przekazywanie, usuwanie)
Zgoda	Dobrowolne, konkretne, świadome i jednoznaczne wyrażenie woli

3. Jakie dane osobowe gromadzimy

3.1 Podczas odwiedzania stron internetowych (automatycznie)

adres IP i przybliżona geolokalizacja (na poziomie miasta)
typ i wersja przeglądarki, system operacyjny
data i godzina wizyty, odwiedzone strony, czas spędzony na stronie
adres URL strony odsyłającej (referer)
identyfikator sesji (cookie sesji)
dane gromadzone przez usługę Google reCAPTCHA Enterprise (patrz punkt 8)

3.2 Podczas rejestracji i prowadzenia konta użytkownika

imię i nazwisko
adres e-mail
numer telefonu (opcjonalnie)
hasło (przechowywane wyłącznie w postaci zaszyfrowanej – bcrypt)

3.3 Podczas składania zamówienia na towary

Dane identyfikacyjne: imię, nazwisko, numer identyfikacyjny przedsiębiorstwa (IČO), numer identyfikacji podatkowej (DIČ) (w przypadku przedsiębiorców)
Dane kontaktowe: numer telefonu, adres e-mail
Adres rozliczeniowy
Adres dostawy
Dane dotyczące zamówienia (towary, ilość, cena)
Nie przyjmujemy ani nie przechowujemy danych dotyczących płatności (przetwarzane przez Stripe / GoPay jako niezależnych administratorów – patrz art. 5)

3.4 Podczas komunikacji z działem pomocy technicznej

adres e-mail nadawcy
treść wiadomości i wszystkie załączniki
ewentualne dane podane przez Państwa (numer telefonu, numer zamówienia itp.)
zapisy rozmów (wewnętrzne zgłoszenia, notatki operatorów)

3.5 Podczas wypełniania formularzy (kontaktowego, opinii, zapytania ofertowego)

Przykłady formularzy: formularz kontaktowy, formularz opinii (/referencji), formularz zapytania ofertowego B2B, prośba o ofertę.

Gromadzone dane:

Imię i nazwisko
Adres e-mail
Numer telefonu (opcjonalnie)
Numer zamówienia (opcjonalnie)
Treść wiadomości / zapytania
Ocena (1–5 gwiazdek, wyłącznie w przypadku formularza opinii)
Ewentualnie załączone zdjęcie (maks. 5 MB, wyłącznie formaty JPG/PNG/WebP/PDF)
Dane techniczne: adres IP, user-agent, znacznik czasu (ścieżka audytu)

3.6 W przypadku subskrypcji newslettera i komunikatów marketingowych

Adres e-mail
Rejestr udzielenia i ewentualnego cofnięcia zgody
Rejestr wysłanych komunikatów oraz Państwa interakcji z nimi (otwarcie, kliknięcia)

Zob. punkt 7 poniżej.

4. Cele przetwarzania i podstawa prawna

Cel przetwarzania	Kategorie danych	Podstawa prawna	Okres przechowywania
Realizacja zamówienia i dostawa towaru	Dane identyfikacyjne, kontaktowe, adresowe, dane dotyczące zamówienia	Wykonanie umowy (art. 6 ust. 1 lit. b RODO)	Okres obowiązywania umowy + 4 lata (gwarancja, reklamacje)
Wystawianie dokumentów podatkowych i prowadzenie ksiąg rachunkowych	Dane identyfikacyjne, rozliczeniowe	Wypełnienie obowiązku prawnego (art. 6 ust. 1 lit. c) – ustawa nr 235/2004 Sb. o podatku VAT, nr 563/1991 Sb. o rachunkowości	10 lat od zakończenia okresu rozliczeniowego
Prowadzenie konta użytkownika	Dane identyfikacyjne, kontaktowe, uwierzytelniające	Wykonanie umowy (art. 6 ust. 1 lit. b)	Do momentu usunięcia konta + 1 rok
Rozpatrzenie reklamacji	Dane identyfikacyjne, kontaktowe, dane dotyczące zamówienia	Wypełnienie obowiązku prawnego + wykonanie umowy	4 lata od zakończenia rozpatrywania reklamacji
Komunikacja z działem pomocy technicznej	Dane kontaktowe, treść komunikacji	Uzasadniony interes (art. 6 ust. 1 lit. f) – obsługa klienta	7 lat od ostatniej korespondencji
Rozpatrzenie wniosku przesłanego za pośrednictwem formularza / opinii	Dane kontaktowe, treść, zdjęcia	Uzasadniony interes (art. 6 ust. 1 lit. f) – rozpatrzenie wniosku	2 lata od ostatniego kontaktu
Ochrona przed spamem (reCAPTCHA Enterprise)	Dane techniczne, behawioralne	Uzasadniony interes (art. 6 ust. 1 lit. f) – bezpieczeństwo	6 miesięcy (przechowywane przez Google)
Ograniczanie częstotliwości i ochrona przed nadużyciami	Adres IP, sygnatura czasowa	Uzasadniony interes (art. 6 ust. 1 lit. f)	1 godzina (pamięć podręczna Redis)
Wysyłanie informacji handlowych (newsletter)	Adres e-mail	Zgoda (art. 6 ust. 1 lit. a) lub prawnie uzasadniony interes (klient zgodnie z § 7 ust. 3 ustawy nr 480/2004 Sb.)	Do momentu cofnięcia zgody lub 5 lat braku aktywności
Targetowanie reklam i remarketing	Identyfikatory internetowe, dane behawioralne	Zgoda (art. 6 ust. 1 lit. a)	Zgodnie z ustawieniami w pasku plików cookie, maks. 13 miesięcy
Analityka i pomiar wydajności strony internetowej	Anonimowe/pseudonimowe dane behawioralne	Zgoda (art. 6 ust. 1 lit. a)) – analityczne pliki cookie	Zgodnie z ustawieniami, maks. 26 miesięcy
Źródło wizyty przy zamówieniu – pomiar skuteczności kanałów marketingowych (bez plików cookie)	Kategoria źródła, parametry kampanii (UTM), domena strony odsyłającej, strona wejścia	Uzasadniony interes (art. 6 ust. 1 lit. f)	Wraz z zamówieniem
Obrona roszczeń prawnych	Wszystkie istotne	Uzasadniony interes (art. 6 ust. 1 lit. f)	Przez okres przedawnienia (maks. 10 lat)

5. Odbiorcy danych osobowych (podmioty przetwarzające)

Państwa dane osobowe przekazujemy następującym podmiotom przetwarzającym, które przetwarzają je wyłącznie zgodnie z naszymi wytycznymi i na warunkach określonych w umowie o przetwarzaniu danych osobowych (DPA):

5.1 Hosting i infrastruktura

Podmiot przetwarzający	Cel	Siedziba	Przekazywanie poza UE
Hetzner Online GmbH	Hosting serwerów, baz danych, kopie zapasowe	Niemcy (Falkenstein, Norymberga)	Nie (UE)
Forpsi (Internet CZ, a.s.)	Magazyn kopii zapasowych (Object Storage)	Republika Czeska	Nie (UE)
Cloudflare, Inc.	CDN, ochrona przed atakami DDoS, WAF	USA (siedziba); serwery brzegowe w UE	Tak – gwarancja na podstawie standardowych klauzul umownych (SCC) + Data Privacy Framework

5.2 Usługi płatnicze

Stripe i GoPay pełnią rolę niezależnych administratorów w zakresie transakcji płatniczych. Przekazujemy im wyłącznie dane niezbędne do realizacji płatności; dane płatnicze (numer karty, kod CVC) podają Państwo bezpośrednio u nich, my ich nie przechowujemy.

Podmiot przetwarzający	Cel	Siedziba
Stripe Payments Europe, Ltd.	Przetwarzanie płatności kartą	Irlandia
GoPay s.r.o.	Przetwarzanie płatności (karty, przelewy bankowe, portfele elektroniczne)	Republika Czeska

5.3 Dostawa towarów

Przekazujemy przewoźnikowi wyłącznie dane niezbędne do realizacji dostawy (imię i nazwisko, adres, numer telefonu, adres e-mail). Przewoźnicy są niezależnymi administratorami w odniesieniu do tych danych.

Przewoźnik	Siedziba
PPL CZ s.r.o.	Republika Czeska
GLS	Republika Czeska
Direct Parcel Distribution CZ s.r.o. (DPD)	Republika Czeska
GEIS	Republika Czeska

5.4 Usługi komunikacyjne

Podmiot przetwarzający	Cel	Siedziba
PRINTSTEP s.r.o. – wewnętrzny serwer SMTP (Postal)	Wysyłanie wiadomości e-mailowych dotyczących transakcji	Hetzner DE (własna infrastruktura)
Google Ireland Limited	Google Workspace (wewnętrzna poczta elektroniczna Administratora)	Irlandia

5.5 Usługi bezpieczeństwa i antyspamowe

Podmiot przetwarzający	Cel	Siedziba	Przekazywanie danych poza UE
Google Ireland Limited / Google LLC	reCAPTCHA Enterprise – ochrona formularzy przed spamem (patrz art. 8)	Irlandia / USA	Tak – standardowe klauzule umowne (SCC) + Data Privacy Framework

Uwaga: W celu uwierzytelniania administratorów Administrator korzysta z własnej, hostowanej na własnych serwerach (Hetzner) instalacji oprogramowania open source Logto. Dane administratorów są przetwarzane wyłącznie przez Administratora w ramach jego własnej infrastruktury – nie ma zatem zewnętrznego podmiotu przetwarzającego świadczącego usługi uwierzytelniania.

5.6 Usługi lokalizacyjne i tłumaczeniowe

Podmiot przetwarzający	Cel	Siedziba	Uwaga
DeepL SE	Tłumaczenie treści strony internetowej	Niemcy	Nie (UE)
Anthropic PBC	Claude AI – tłumaczenie interfejsu użytkownika	USA	Wyłącznie teksty techniczne strony internetowej, brak danych osobowych klientów

5.7 Analityka i marketing (wyłącznie za zgodą)

Podmiot przetwarzający	Cel	Siedziba
Google Ireland Limited	Google Analytics 4, Google Tag Manager (GTM)	Irlandia
Meta Platforms Ireland Limited	Facebook Pixel	Irlandia

Uwaga: Sam GTM nie przechowuje danych osobowych, ale służy jako kontener do uruchamiania innych skryptów śledzących (GA4, Pixel itp.). Konkretne przetwarzanie odbywa się w ramach poszczególnych połączonych usług.

5.8 Zewnętrzne usługi księgowe

Dokumentację księgową przekazujemy zewnętrznej firmie księgowej w celu prowadzenia ksiąg rachunkowych oraz doradztwa podatkowego (obowiązek ustawowy wynikający z ustawy nr 563/1991 Sb. o rachunkowości).

Aktualną listę zewnętrznych partnerów księgowych udostępnimy na żądanie pod adresem [email protected].

6. Przekazywanie danych osobowych do państw trzecich

Niektórzy z naszych podmiotów przetwarzających mają siedzibę lub przetwarzają dane poza Europejskim Obszarem Gospodarczym (EOG), w szczególności w Stanach Zjednoczonych. W takich przypadkach stosujemy następujące zabezpieczenia:

Standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską
Ramy ochrony danych (DPF) – dla podmiotów przetwarzających certyfikowanych w ramach ram ochrony danych UE–USA
Umowy o przetwarzaniu danych osobowych (DPA) zawarte z każdym podmiotem przetwarzającym
Ocena ryzyka związanego z przekazaniem danych (TIA – Transfer Impact Assessment) zgodnie z orzeczeniem Trybunału Sprawiedliwości UE w sprawie C-311/18 (Schrems II).

Konkretni podmioty przetwarzające spoza EOG zostały wymienione w tabeli w artykule 5.

Pliki cookie to małe pliki tekstowe zapisywane przez Państwa przeglądarkę podczas odwiedzania strony internetowej. Służą one do zapamiętywania preferencji, uwierzytelniania oraz pomiaru ruchu na stronie.

Kategoria	Cel	Podstawa prawna	Okres przechowywania	Przykłady
Niezbędne	Funkcjonalność strony (koszyk, logowanie, język)	Uzasadniony interes (art. 6 ust. 1 lit. f) – bez nich strona nie działa	Sesja lub maks. 1 rok	session, cart, locale
Bezpieczeństwo	Ochrona przed spamem i atakami (reCAPTCHA)	Uzasadniony interes (art. 6 ust. 1 lit. f)	6 miesięcy	_GRECAPTCHA
Funkcjonalne	Zapamiętywanie preferencji (wygląd, region)	Zgoda (art. 6 ust. 1 lit. a)	Maks. 1 rok	theme, region
Analityczne	Pomiar ruchu na stronie, testy A/B	Zgoda (art. 6 ust. 1 lit. a)	Maks. 26 miesięcy	_ga, _ga_*
Marketingowe	Targetowanie reklam, remarketing	Zgoda (art. 6 ust. 1 lit. a))	Maks. 13 miesięcy	_fbp, _gcl_au

Podczas pierwszej wizyty wyświetli się pasek informacyjny dotyczący plików cookie. Zgodę można w dowolnym momencie zmienić lub wycofać:

Klikając link „Ustawienia plików cookie” w stopce strony
W ustawieniach przeglądarki (usunięcie lub blokowanie plików cookie)

Wycofanie zgody nie ma wpływu na zgodność z prawem przetwarzania danych przeprowadzonego przed wycofaniem zgody.

7.4 Jak przebiega pomiar z technicznego punktu widzenia (pomiar po stronie serwera i tryb zgody)

Do pomiaru ruchu na stronie korzystamy z Google Analytics 4 oraz Google Tag Manager. Żądania pomiarowe nie są kierowane bezpośrednio na serwery Google, lecz najpierw na nasz własny serwer w domenie gtm.easybag.com (tzw. Google Tag Manager po stronie serwera), który obsługujemy w centrum danych w Niemczech. Dopiero stamtąd dane są przekazywane do Google Analytics 4 (Google Ireland Limited). Dzięki temu zachowujemy kontrolę nad tym, jakie dane trafiają do Google.

Korzystamy z Google Consent Mode v2 (tryb rozszerzony):

Przed wyrażeniem zgody nie zapisujemy żadnych analitycznych ani marketingowych plików cookie, a do Google przesyłane są wyłącznie dane anonimowe, bez identyfikatorów i bez plików cookie (tzw. „cookieless pings”). Jednocześnie włączona jest funkcja redagowania danych reklamowych (ads_data_redaction).
Po wyrażeniu zgody aktywowane są pliki cookie analityczne lub marketingowe, a pomiary odbywają się w pełnym zakresie.
Odmowa wyrażenia zgody nie ma wpływu na funkcjonalność strony internetowej.

Google Analytics 4 nie zapisuje Państwa adresu IP; wykorzystuje go jedynie do ustalenia przybliżonej lokalizacji, a następnie usuwa go. Dane na poziomie użytkowników i zdarzeń przechowujemy w Google Analytics 4 przez okres 14 miesięcy.

Państwa wybór dotyczący zgody nie jest zapisywany w pliku cookie, ale w pamięci przeglądarki (localStorage) pod kluczem eb_consent_v1; zawiera ona jedynie informację o tym, czy wyrażono zgodę, oraz datę dokonania wyboru. Wybór można w dowolnym momencie zmienić, korzystając z linku „Ustawienia plików cookie” w stopce strony, lub usunąć, kasując dane strony w przeglądarce. Nie korzystamy z żadnej zewnętrznej platformy do zarządzania zgodami – pasek plików cookie jest naszym własnym rozwiązaniem i nie przekazuje Państwa danych stronom trzecim.

7.5 Przekazywanie zdarzeń ze sklepu internetowego do Meta (Conversions API)

Wybrane zdarzenia ze sklepu internetowego – wyświetlenie produktu, dodanie do koszyka, rozpoczęcie składania zamówienia oraz sfinalizowanie zakupu – przekazujemy spółce Meta Platforms Ireland Limited (Irlandia). Zdarzenia są przesyłane dwiema równoległymi ścieżkami: bezpośrednio z Państwa przeglądarki za pośrednictwem Meta Pixel oraz jednocześnie z naszego własnego serwera w domenie gtm.easybag.com za pośrednictwem interfejsu Conversions API. Ścieżka serwerowa nie przebiega przez żadnego dodatkowego pośrednika.

Z serwera przekazujemy: nazwę i czas zdarzenia, adres odwiedzonej strony, wartość i walutę zamówienia, identyfikator zamówienia oraz dane dotyczące zamówionych produktów, unikalny identyfikator zdarzenia, identyfikatory z marketingowych plików cookie Meta (_fbp, _fbc), Państwa adres IP oraz dane dotyczące Państwa przeglądarki (user-agent). Unikalny identyfikator zdarzenia służy do tego, aby Meta mogła rozpoznać, że zdarzenie otrzymane z przeglądarki i z serwera jest tym samym zdarzeniem, i nie zaliczyła go dwukrotnie. Nie przekazujemy adresu e-mail, numeru telefonu ani innych bezpośrednich danych kontaktowych.

Podstawą prawną jest Państwa zgoda na marketingowe pliki cookie (art. 6 ust. 1 lit. a RODO). Bez tej zgody żadne dane nie są przesyłane do Meta – ani z przeglądarki, ani z serwera. Zgodę można w każdej chwili wycofać, korzystając z linku „Ustawienia plików cookie” w stopce strony; wycofanie zgody nie ma wpływu na zgodność z prawem przetwarzania danych przed jej wycofaniem.

8. Google reCAPTCHA Enterprise – informacje szczegółowe

W celu ochrony naszych formularzy przed zautomatyzowanym nadużyciem (botami, spamem) korzystamy z usługi Google reCAPTCHA Enterprise świadczonej przez firmę Google Ireland Limited (z siedzibą pod adresem: Gordon House, Barrow Street, Dublin 4, Irlandia).

8.1 Jakie dane gromadzi reCAPTCHA:

Adres IP urządzenia
User-agent (typ przeglądarki i systemu operacyjnego)
Pliki cookie Google w domenie google.com
Data, godzina i czas interakcji z formularzem
Ruchy myszy, kliknięcia, dotknięcia ekranu (zanonimizowane dane behawioralne)
Odcisk przeglądarki (rozdzielczość, wtyczki, czcionki, język)
Dane wprowadzone przez Państwa do formularza (służące do ustalenia kontekstu – nie do celów targetowania reklam)

8.2 Cel i podstawa prawna

Cel: Wykrywanie i blokowanie automatycznego (za pomocą botów) wysyłania formularzy; ochrona przed spamem i oszustwami.
Podstawa prawna: Uzasadniony interes administratora i użytkownika w zakresie bezpieczeństwa formularzy internetowych oraz integralności komunikacji (art. 6 ust. 1 lit. f RODO).

8.3 Status stron umowy

PRINTSTEP s.r.o. – administrator danych osobowych (Data Controller)
Google Ireland Limited / Google LLC – podmiot przetwarzający dane (Data Processor)
Między stronami zawarto umowę o przetwarzaniu danych osobowych (DPA) zawierającą standardowe klauzule umowne (SCC) Komisji Europejskiej.

8.4 Okres przechowywania

Administrator (PRINTSTEP): Wynik oceny ryzyka jest przechowywany przez 30 dni (następnie agregowany w anonimowe statystyki).
Google: Dane surowe są przechowywane maksymalnie przez 6 miesięcy zgodnie z własnymi zasadami przechowywania danych (Polityka prywatności Google).

8.5 Przekazywanie do państw trzecich

Google Ireland przetwarza dane przede wszystkim w UE, ale może je przekazywać spółce macierzystej Google LLC w USA. Przekazanie to jest chronione standardowymi klauzulami umownymi (SCC) oraz certyfikacją w ramach Data Privacy Framework (DPF).

8.6 Warunki i zasady Google

Korzystając z naszych formularzy, wyrażają Państwo zgodę na:

Warunki umowne Google
Politykę prywatności Google

9. Państwa prawa wynikające z RODO

Jako osoba, której dane dotyczą, przysługują Państwu wobec administratora następujące prawa:

9.1 Prawo dostępu (art. 15 RODO)

Mogą Państwo zwrócić się do nas z prośbą o potwierdzenie, czy przetwarzamy Państwa dane osobowe, a jeśli tak, mają Państwo prawo do uzyskania ich kopii.

9.2 Prawo do sprostowania (art. 16 RODO)

Jeżeli Państwa dane są nieprawidłowe lub niekompletne, mają Państwo prawo do ich sprostowania lub uzupełnienia bez zbędnej zwłoki.

9.3 Prawo do usunięcia danych / „prawo do bycia zapomnianym” (art. 17 RODO)

Mają Państwo prawo zażądać usunięcia Państwa danych, jeżeli:

Dane nie są już niezbędne do celów, dla których zostały zgromadzone;
Wycofają Państwo zgodę i nie istnieje żadna inna podstawa prawna;
Wniosą Państwo uzasadniony sprzeciw wobec przetwarzania;
Dane zostały przetworzone niezgodnie z prawem.

Wyjątki: Nie możemy usunąć danych, które zgodnie z prawem musimy przechowywać (faktury – 10 lat), ani danych niezbędnych do dochodzenia roszczeń prawnych (maksymalnie do upływu terminu przedawnienia).

9.4 Prawo do ograniczenia przetwarzania (art. 18 RODO)

W określonych sytuacjach (np. w celu zweryfikowania dokładności danych lub zgłoszenia sprzeciwu) mają Państwo prawo zażądać, abyśmy tymczasowo zaprzestali przetwarzania Państwa danych.

9.5 Prawo do wniesienia sprzeciwu (art. 21 RODO)

Jeśli przetwarzamy Państwa dane w oparciu o prawnie uzasadniony interes, ma Pan/Pani prawo w dowolnym momencie zgłosić sprzeciw. Zaprzestaniemy przetwarzania danych, chyba że wykażemy istnienie ważnych i uzasadnionych powodów przetwarzania, które przeważają nad interesami Pana/Pani.

W przypadku marketingu bezpośredniego może Pan/Pani zgłosić sprzeciw w dowolnym momencie – nie musi Pan/Pani podawać uzasadnienia – a my natychmiast zaprzestaniemy przetwarzania danych w tym celu.

9.6 Prawo do przenoszenia danych (art. 20 RODO)

Jeśli przetwarzamy dane w oparciu o zgodę lub wykonanie umowy przy użyciu środków zautomatyzowanych, mają Państwo prawo do otrzymania swoich danych w ustrukturyzowanym, powszechnie używanym i nadającym się do odczytu maszynowego formacie (JSON / CSV).

9.7 Prawo do cofnięcia zgody (art. 7 ust. 3 RODO)

Jeśli udzielili Państwo nam zgody (np. na otrzymywanie newslettera), mogą Państwo ją w każdej chwili cofnąć. Cofnięcie zgody nie ma wpływu na zgodność z prawem przetwarzania danych przeprowadzonego przed jego cofnięciem.

9.8 Prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji (art. 22 RODO)

Nie stosujemy zautomatyzowanego podejmowania decyzji mających skutki prawne. System oceny ryzyka reCAPTCHA decyduje jedynie o wyświetleniu formularza – nie reguluje Państwa praw ani obowiązków.

9.9 Jak skorzystać z przysługujących

Państwu praw Wniosek można przesłać:

E-mailem: [email protected]
Pocztą tradycyjną: na adres siedziby Administratora (patrz punkt 1.1)

Wniosek rozpatrzymy bez zbędnej zwłoki, najpóźniej w ciągu 1 miesiąca od jego otrzymania. W uzasadnionych przypadkach termin ten może zostać przedłużony o kolejne 2 miesiące – poinformujemy Państwa o tym fakcie.

W celu identyfikacji możemy poprosić Państwa o podanie dodatkowych danych (zwłaszcza jeśli wniosek nie został wysłany z adresu e-mail zarejestrowanego u nas).

9.10 Prawo do wniesienia skargi

Jeśli nie są Państwo zadowoleni ze sposobu rozpatrzenia wniosku lub uważają Państwo, że naruszamy przepisy RODO, mają Państwo prawo wnieść skargę do organu nadzorczego:

Urząd Ochrony Danych Osobowych, Pplk. Sochora 27, 170 00 Praga 7, tel.: +420 234 665 111, e-mail: [email protected] Strona internetowa: www.uoou.cz

10. Bezpieczeństwo danych osobowych

Wprowadziliśmy następujące środki techniczne i organizacyjne:

10.1 Środki techniczne

Szyfrowanie podczas transmisji: TLS 1.3 dla całej komunikacji między użytkownikiem, serwerami i podmiotami przetwarzającymi
Szyfrowanie w stanie spoczynku: AES-256 w magazynie bazy danych, szyfrowane kopie zapasowe
Haszowanie haseł: bcrypt z wysokim współczynnikiem obciążenia
Prywatny magazyn danych: Pliki z formularzy (awatary, załączniki) w prywatnym magazynie danych z nazwami opartymi na UUID (niemożliwe do odgadnięcia adresy URL) oraz kontrolą ACL
Regularne kopie zapasowe: Codzienne automatyczne kopie zapasowe do dwóch niezależnych lokalizacji poza siedzibą firmy (Hetzner Storage Box + Forpsi Object Storage), okres przechowywania 14 dni
Web Application Firewall (WAF): Cloudflare z ochroną przed zagrożeniami z listy OWASP Top 10
Ograniczanie przepustowości: Ochrona formularzy i interfejsów API przed nadużyciami
Ochrona przed atakami DDoS: Cloudflare
Ochrona antyspamowa: Google reCAPTCHA Enterprise
Pole honeypot: Ukryte wykrywanie zautomatyzowanego wysyłania danych
Autoryzacja na własnych serwerach: Logto na własnych serwerach (brak przekazywania danych uwierzytelniających stronom trzecim)

10.2 Środki organizacyjne

Zasada minimalizacji danych: Gromadzimy wyłącznie dane niezbędne do danego celu
Zasada ograniczenia dostępu: Dostęp do danych osobowych mają wyłącznie upoważnione osoby (Logto SSO + kontrola dostępu oparta na rolach)
Umowy o zachowaniu poufności z pracownikami i współpracownikami zewnętrznymi
Umowy o przetwarzaniu danych osobowych (DPA) zawarte ze wszystkimi podmiotami przetwarzającymi
Dziennik audytowy: rejestr dostępów i zmian w danych wrażliwych
Regularne przeglądy bezpieczeństwa – co najmniej raz w roku

10.3 Procedura postępowania w przypadku incydentu bezpieczeństwa

W przypadku naruszenia bezpieczeństwa danych osobowych, które mogłoby stanowić wysokie ryzyko dla praw i wolności osób fizycznych:

W ciągu 72 godzin zgłosimy incydent organowi nadzorczemu (ÚOOÚ)
Bez zbędnej zwłoki poinformujemy osoby, których dane dotyczą
Udokumentujemy incydent oraz podjęte działania

Nazwa pliku cookie	Domena	Cel	Okres ważności	Kategoria
easybag_session	easybag.com	Identyfikacja zalogowanej sesji	Sesja	Niezbędne
easybag_cart	easybag.com	Zawartość koszyka	30 dni	Niezbędne
locale	easybag.com	Wybrany język strony	1 rok	Niezbędne
region	easybag.com	Wybrany region (CZ/SK/UE)	1 rok	Funkcjonalne
cookie_consent	easybag.com	Rejestr zgody na pliki cookie	1 rok	Niezbędne
_GRECAPTCHA	google.com	Google reCAPTCHA Enterprise	6 miesięcy	Bezpieczeństwo
_ga, _ga_*	easybag.com	Google Analytics 4 – pomiar ruchu na stronie	13 miesięcy	Analityczne (zgoda)
_gid	easybag.com	Google Analytics – identyfikator dzienny	24 godziny	Analityczne (zgoda)
_gcl_au	easybag.com	Konwersje Google Ads (poprzez GTM)	90 dni	Marketingowe (zgoda)
_fbp	easybag.com	Facebook Pixel	3 miesiące	Marketingowe (zgoda)

Uwaga: Konkretna lista aktywnych plików cookie może się różnić w zależności od Państwa zgody oraz aktualnej konfiguracji strony internetowej. Aktualny stan można sprawdzić w ustawieniach plików cookie w stopce strony.

12. Przetwarzanie danych dzieci

Nasza strona internetowa i usługi nie są przeznaczone przede wszystkim dla osób poniżej 16 roku życia. Świadomie nie gromadzimy danych osobowych dzieci poniżej 16 roku życia bez weryfikowalnej zgody przedstawiciela ustawowego. Jeśli stwierdzimy, że zgromadziliśmy dane dziecka bez zgody, niezwłocznie je usuniemy.

13. Zmiany w polityce ochrony danych osobowych

Niniejsza polityka może być na bieżąco aktualizowana. Aktualna wersja jest zawsze dostępna na stronie internetowej Administratora. O istotnych zmianach poinformujemy Państwa:

pocztą elektroniczną – jeśli posiadają Państwo u nas aktywne konto lub są Państwo subskrybentami newslettera
za pomocą banera na stronie internetowej – co najmniej 30 dni przed wejściem zmiany w życie

Historia wersji:

Wersja	Obowiązuje od	Główne zmiany
1.0	1 maja 2026 r.	Pierwsza opublikowana wersja (obejmuje oświadczenie dotyczące reCAPTCHA Enterprise)

14. Postanowienia końcowe

Niniejsza polityka podlega prawu Republiki Czeskiej, w szczególności:

Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
ustawą nr 110/2019 Sb. o przetwarzaniu danych osobowych
ustawą nr 480/2004 Sb. o niektórych usługach społeczeństwa informacyjnego
ustawą nr 89/2012 Sb., kodeks cywilny
ustawą nr 235/2004 Sb. o podatku od wartości dodanej
Ustawa nr 563/1991 Sb. o rachunkowości.

W przypadku rozbieżności między wersją angielską (lub inną wersją obcojęzyczną) niniejszych zasad a wersją czeską pierwszeństwo ma wersja czeska.

Niniejsze zasady obowiązują od dnia 1 maja 2026 r. i zastępują wszystkie poprzednie wersje.

PRINTSTEP s.r.o. Praga, Republika Czeska