Polityka prywatności.
POLITYKA PRYWATNOŚCI I PLIKÓW COOKIES SERWISU COOKLAB
obowiązująca od dnia 20.08.2026 r.
§ 1. Postanowienia ogólne
1. Niniejsza polityka („Polityka”) określa zasady przetwarzania danych osobowych użytkowników („Użytkownicy”) serwisu internetowego CookLab dostępnego pod adresem www.cooklab.pl („Serwis”) oraz zasady wykorzystywania w Serwisie plików cookies i podobnych technologii.
2. Administratorem danych osobowych Użytkowników jest Flora Point sp. z o.o.
z siedzibą w Warszawie. 04-697, ul. Mrówcza 212, NIP: 9522153121, REGON: 365794193 („Administrator” lub „CookLab”).
3. Kontakt z Administratorem w sprawach dotyczących danych osobowych: e-mail: kontakt@cooklab.pl; adres do korespondencji: ul. Mrówcza 212, 04-697 Warszawa.
4. Dane osobowe przetwarzane są zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. („RODO”), ustawą o ochronie danych osobowych oraz — w zakresie plików cookies i komunikacji marketingowej — ustawą z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej („PKE”).
5. Pojęcia pisane wielką literą, niezdefiniowane w Polityce, mają znaczenie nadane im w Regulaminie Serwisu.
§ 2. Cele, podstawy prawne, zakres i okresy przetwarzania
1. Prowadzenie Konta i świadczenie Usług Cyfrowych. Zakres danych: imię i nazwisko lub pseudonim, adres e-mail, identyfikator Konta, skrót kryptograficzny hasła (Administrator nie posiada dostępu do hasła w postaci jawnej), informacje o nabytych Kursach, status i postępy w Kursach, wyniki testów lub ukończenie lekcji – jeżeli takie funkcje są używane – oraz podstawowe dane techniczne związane z logowaniem. Podstawa prawna: art. 6 ust. 1 lit. b RODO. Okres: do usunięcia Konta, a następnie ograniczony zakres danych przez okres niezbędny do ustalenia, dochodzenia lub obrony roszczeń; dane w kopiach zapasowych są usuwane zgodnie z cyklem ich nadpisywania.
2. Zawarcie i wykonanie Umów, w tym dostarczanie Treści Cyfrowych i Usług Cyfrowych, organizacja Wydarzeń Live, dostawa Towarów i obsługa Kodów Podarunkowych. Zakres danych: dane identyfikacyjne i kontaktowe, dane Zamówienia, dane do faktury, firma i NIP, adres dostawy, identyfikator i status transakcji płatniczej, informacje o aktywacji Kodu, oświadczenia i zgody związane z zawarciem Umowy oraz historia realizacji świadczenia. Administrator nie przetwarza pełnych danych kart płatniczych – dane te przetwarza operator płatności. Podstawa prawna: art. 6 ust. 1 lit. b RODO. Okres: czas wykonywania Umowy, a następnie okres przedawnienia roszczeń.
2a. Dokumentowanie zawarcia Umowy i oświadczeń Klienta. Zakres danych: data, treść i wersja zaakceptowanego Regulaminu, informacje o złożeniu Zamówienia, zgoda na rozpoczęcie dostarczania Kursu przed upływem terminu odstąpienia, potwierdzenie przyjęcia do wiadomości skutków zgody oraz dane techniczne pozwalające wykazać sposób złożenia oświadczenia. Podstawa prawna: art. 6 ust. 1 lit. c RODO w związku z obowiązkami konsumenckimi oraz art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes w postaci rozliczalności i obrony roszczeń. Okres: przez czas wykonywania Umowy i właściwy okres przedawnienia roszczeń.
2b. Bezpieczeństwo Serwisu i przeciwdziałanie nadużyciom. Zakres danych: adres IP, identyfikatory sesji, data i godzina logowania, informacje o urządzeniu i przeglądarce, logi błędów i zdarzeń bezpieczeństwa oraz informacje o próbach nieautoryzowanego dostępu. Podstawa prawna: art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na ochronie Kont, danych i infrastruktury. Okres: co do zasady nie dłużej niż 12 miesięcy, chyba że dane są potrzebne dłużej w związku z incydentem lub roszczeniem.
3. Wypełnianie obowiązków prawnych, w szczególności podatkowych i rachunkowych (wystawianie i przechowywanie faktur oraz dokumentów księgowych, obsługa oświadczeń o odstąpieniu i reklamacji w zakresie wymaganym przepisami). Podstawa prawna: art. 6 ust. 1 lit. c RODO w związku z przepisami podatkowymi i o rachunkowości oraz przepisami o prawach konsumenta. Okres: 5 lat od końca roku podatkowego, w którym powstał obowiązek podatkowy, a dla dokumentacji reklamacyjnej — okres przedawnienia roszczeń.
4. Wysyłka newslettera i informacji handlowych. Zakres danych: adres e-mail, opcjonalnie imię, data i źródło zapisu, treść oraz wersja udzielonej zgody, a także informacje o potwierdzeniu zapisu i rezygnacji. Podstawa prawna przetwarzania danych: art. 6 ust. 1 lit. a RODO – zgoda. Przesyłanie komunikacji marketingowej odbywa się również z uwzględnieniem wymagań PKE. Zgoda jest dobrowolna i może zostać wycofana w każdej chwili przez link w wiadomości lub kontakt z Administratorem. Po wycofaniu zgody ograniczony zakres danych może być przechowywany w celu wykazania jej wcześniejszego udzielenia oraz respektowania rezygnacji, na podstawie art. 6 ust. 1 lit. f RODO.
5. Marketing własnych produktów i usług. W odniesieniu do działań niewymagających wykorzystywania cookies lub podobnych technologii podstawą może być art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na promowaniu własnej oferty. Analityczne i marketingowe cookies oraz dane pozyskiwane za ich pomocą są wykorzystywane dopiero po uzyskaniu zgody Użytkownika, jeżeli zgoda jest wymagana. Okres: do wniesienia sprzeciwu, cofnięcia zgody albo upływu okresu ważności danego identyfikatora.
6. Obsługa formularza kontaktowego i korespondencji. Zakres danych: dane nadawcy (imię, adres e-mail) oraz treść wiadomości. Podstawa prawna: art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes polegający na prowadzeniu komunikacji z Użytkownikami. Okres: czas obsługi sprawy, a następnie archiwizacja korespondencji przez okres nie dłuższy niż 3 lata.
7. Statystyka i analityka Serwisu — badanie sposobu korzystania z Serwisu w celu poprawy jego działania i rozwoju oferty. Podstawa prawna: art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora, przy czym narzędzia analityczne oparte na plikach cookies uruchamiane są wyłącznie po wyrażeniu zgody (§ 9). Okres: zgodnie z okresami ważności plików cookies lub do zgłoszenia sprzeciwu.
8. Publikacja i weryfikacja opinii o Kursach. Zakres danych: imię lub pseudonim, treść opinii, powiązanie z Kontem w celu weryfikacji nabycia Kursu. Podstawa prawna: art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes polegający na prezentowaniu rzetelnych opinii o Kursach. Okres: czas publikacji opinii w Serwisie.
9. Ustalenie, dochodzenie lub obrona roszczeń. Podstawa prawna: art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora. Okres: okresy przedawnienia roszczeń wynikające z przepisów prawa, a w razie wszczęcia postępowania — do jego prawomocnego zakończenia.
10. Organizacja i nagrywanie Wydarzeń Live. Zakres danych może obejmować imię lub nazwę wyświetlaną, adres e-mail, wizerunek, głos, wypowiedzi, pytania i treść czatu – zależnie od sposobu udziału i ustawień wydarzenia. Podstawa prawna: art. 6 ust. 1 lit. b RODO w zakresie niezbędnym do realizacji Wydarzenia; art. 6 ust. 1 lit. f RODO w zakresie dokumentacji i obsługi wydarzenia; odrębna zgoda, jeżeli nagranie lub wizerunek mają być wykorzystywane w celach promocyjnych wykraczających poza realizację Umowy. Okres i dostępność nagrania są wskazywane uczestnikom przed wydarzeniem.
11. Rejestrowanie i respektowanie ustawień cookies. Zakres danych: identyfikator zgody, jej zakres, data, wersja banera oraz informacja o udzieleniu lub cofnięciu zgody. Cel: zapamiętanie wyborów Użytkownika i wykazanie zgodności z przepisami. Podstawa: art. 6 ust. 1 lit. c lub f RODO, zależnie od charakteru obowiązku. Okres: zgodny z konfiguracją systemu CMP, nie dłuższy niż 12 miesięcy.
§ 3. Odbiorcy danych
1. Dane osobowe Użytkowników mogą być przekazywane podmiotom przetwarzającym je na zlecenie Administratora, na podstawie umów zgodnych z art. 28 RODO, wyłącznie w zakresie niezbędnym do realizacji opisanych celów, w szczególności: dostawcy hostingu Serwisu i poczty elektronicznej; administratorom technicznym WordPress, WooCommerce i LearnDash; dostawcy systemu newsletterowego; dostawcom usług IT, chmury, kopii zapasowych, CRM lub helpdesk; systemowi fakturowemu; biuru rachunkowemu; kancelarii prawnej; dostawcy platformy webinarowej; oraz innym dostawcom wskazanym w aktualnej mapie procesów Administratora.
2. Dane mogą być przekazywane podmiotom działającym jako odrębni administratorzy, w szczególności operatorowi płatności i bankom, operatorom pocztowym i firmom kurierskim, dostawcy hostingu wideo Vimeo, dostawcom narzędzi analitycznych i reklamowych, a także organom lub profesjonalnym doradcom, gdy wynika to z prawa albo jest niezbędne do ustalenia lub obrony roszczeń. Aktualne nazwy wykorzystywanych dostawców i ich role odpowiadają faktycznej konfiguracji Serwisu.
3. Dane mogą być udostępniane organom publicznym, jeżeli obowiązek taki wynika z przepisów prawa.
§ 4. Przekazywanie danych poza Europejski Obszar Gospodarczy
1. W związku z korzystaniem z narzędzi dostawców mających siedzibę w Stanach Zjednoczonych (w szczególności Vimeo, Google, Meta) dane osobowe mogą być przekazywane poza Europejski Obszar Gospodarczy.
2. Przed rozpoczęciem transferu Administrator weryfikuje rolę danego dostawcy, kraj przetwarzania, podstawę transferu i zakres zabezpieczeń. Przekazywanie może odbywać się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, w tym EU–US Data Privacy Framework w odniesieniu do podmiotów i zakresów objętych aktualną certyfikacją, albo na podstawie standardowych klauzul umownych wraz z dodatkowymi zabezpieczeniami, gdy są wymagane.
3. Użytkownik może uzyskać kopię informacji o stosowanych zabezpieczeniach, kontaktując się z Administratorem.
§ 5. Prawa Użytkownika
1. Użytkownikowi, w przypadkach przewidzianych przez RODO, przysługują prawa: dostępu do danych i otrzymania ich kopii; sprostowania; usunięcia; ograniczenia przetwarzania; przenoszenia danych; sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie; oraz cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem. Sprzeciw wobec marketingu bezpośredniego jest zawsze skuteczny. W przypadku innych celów opartych na art. 6 ust. 1 lit. f RODO Administrator może wykazać istnienie nadrzędnych prawnie uzasadnionych podstaw.
2. W celu realizacji praw należy skontaktować się z Administratorem (dane w § 1 ust. 3). Administrator odpowiada niezwłocznie, nie później niż w terminie miesiąca od otrzymania żądania; termin ten może zostać przedłużony o kolejne dwa miesiące w przypadku żądań skomplikowanych lub licznych, o czym Użytkownik zostanie poinformowany.
2a. Administrator może poprosić o informacje niezbędne do potwierdzenia tożsamości osoby składającej żądanie. Realizacja praw jest co do zasady bezpłatna, z zastrzeżeniem przypadków żądań ewidentnie nieuzasadnionych lub nadmiernych przewidzianych przez RODO.
3. Użytkownikowi przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl).
§ 6. Dobrowolność podania danych
- Podanie danych osobowych jest dobrowolne, ale niezbędne odpowiednio do: założenia Konta, złożenia Zamówienia i wykonania Umowy, zapisu na newsletter lub obsługi korespondencji. Pola obowiązkowe są oznaczone w formularzach. Niepodanie danych obowiązkowych uniemożliwia realizację danego celu.
§ 7. Profilowanie i zautomatyzowane podejmowanie decyzji
1. Administrator nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały (art. 22 RODO).
2. Po uzyskaniu wymaganej zgody narzędzia analityczne i reklamowe mogą wykorzystywać profilowanie polegające m.in. na przypisywaniu Użytkowników do grup odbiorców na podstawie odwiedzanych stron, aktywności i identyfikatorów cookies oraz dopasowywaniu reklam do zainteresowań. Profilowanie to nie wywołuje skutków prawnych, nie warunkuje możliwości zakupu i nie wpływa na Cenę, chyba że Administrator przed wdrożeniem takiego rozwiązania zaktualizuje Politykę i spełni odrębne obowiązki informacyjne.
§ 8. Profile w mediach społecznościowych
1. Administrator prowadzi profile Serwisu w serwisach Facebook i Instagram. Przetwarzane dane mogą obejmować nazwę i identyfikator profilu, zdjęcie profilowe, reakcje, komentarze, wiadomości, dane dotyczące obserwowania profilu oraz zbiorcze dane statystyczne. Dane są przetwarzane w celu prowadzenia profilu, moderacji, komunikacji i promocji Serwisu na podstawie art. 6 ust. 1 lit. f RODO. Okres przetwarzania zależy od czasu widoczności treści w serwisie społecznościowym, ustawień Użytkownika oraz okresu niezbędnego do obsługi korespondencji lub roszczeń.
2. W zakresie statystyk stron (Page Insights) Administrator i Meta Platforms Ireland Limited działają jako współadministratorzy, zgodnie z porozumieniem udostępnianym przez Meta. Niezależnie od tego dane Użytkowników serwisów społecznościowych przetwarzane są przez ich operatorów zgodnie z regulaminami i politykami tych serwisów.
§ 9. Pliki cookies i podobne technologie
1. Pliki cookies to niewielkie pliki tekstowe zapisywane na urządzeniu końcowym Użytkownika podczas korzystania z Serwisu. Serwis wykorzystuje również podobne technologie (np. piksele, skrypty śledzące, local storage), do których postanowienia o cookies stosuje się odpowiednio.
2. Serwis wykorzystuje następujące kategorie plików cookies:
a) niezbędne — umożliwiające prawidłowe działanie Serwisu: utrzymanie sesji i zalogowania, obsługę koszyka i procesu zakupowego, zapewnienie bezpieczeństwa oraz zapamiętanie ustawień zgody na cookies; ich stosowanie nie wymaga zgody Użytkownika;
b) funkcjonalne — zapamiętujące preferencje Użytkownika (np. ustawienia odtwarzacza); stosowane po wyrażeniu zgody;
c) analityczne — służące do tworzenia statystyk korzystania z Serwisu (np. Google Analytics 4); stosowane po wyrażeniu zgody;
d) marketingowe — służące do wyświetlania i mierzenia skuteczności reklam oraz remarketingu (np. piksel Meta); stosowane po wyrażeniu zgody;
e) cookies treści osadzonych — zapisywane przez odtwarzacz wideo Vimeo osadzony w Serwisie (m.in. pomiar odtwarzania i zapamiętywanie ustawień odtwarzacza); w zakresie wykraczającym poza niezbędne funkcje stosowane po wyrażeniu zgody.
3. Zgoda na stosowanie plików cookies innych niż niezbędne wyrażana jest za pomocą banera wyświetlanego przy pierwszej wizycie w Serwisie, odrębnie dla poszczególnych kategorii. Odmowa zgody jest równie łatwa jak jej wyrażenie. Użytkownik może w każdej chwili zmienić lub cofnąć zgodę za pomocą łącza „Ustawienia cookies” dostępnego w stopce Serwisu. Podstawę prawną stanowią przepisy PKE, a w zakresie, w jakim cookies wiążą się z przetwarzaniem danych osobowych — odpowiednie podstawy z art. 6 RODO.
4. Użytkownik może również zarządzać plikami cookies w ustawieniach przeglądarki internetowej, w tym je usuwać i blokować. Zablokowanie cookies niezbędnych może uniemożliwić korzystanie z Serwisu, w tym logowanie i składanie Zamówień.
5. Szczegółowy wykaz stosowanych plików cookies — wraz z nazwami, dostawcami i okresami przechowywania — dostępny jest w panelu „Ustawienia cookies” w Serwisie.
6. Przed wyrażeniem zgody Serwis nie uruchamia cookies analitycznych, marketingowych ani innych technologii wymagających zgody. Zamknięcie banera nie jest równoznaczne z wyrażeniem zgody, a przyciski odrzucenia i akceptacji powinny być równie łatwo dostępne. Zgody są rejestrowane w sposób umożliwiający wykazanie ich zakresu i wersji.
7. Odtwarzacz Vimeo jest skonfigurowany w sposób minimalizujący śledzenie. Jeżeli jego uruchomienie wiąże się z wykorzystaniem technologii niewymaganych do realizacji żądanej usługi, player jest blokowany do czasu uzyskania odpowiedniej zgody. Jednocześnie konfiguracja zgód nie może bez podstawy uniemożliwiać Klientowi korzystania z opłaconego Kursu.
§ 10. Bezpieczeństwo danych
- Administrator wdraża i utrzymuje środki techniczne i organizacyjne adekwatne do charakteru, zakresu i ryzyka przetwarzania oraz poddaje je regularnym przeglądom. Środki mogą obejmować szyfrowanie transmisji TLS, przechowywanie wyłącznie skrótów kryptograficznych haseł, kontrolę uprawnień, uwierzytelnianie wieloskładnikowe dla kont administracyjnych, kopie zapasowe, aktualizacje oprogramowania, rejestrowanie zdarzeń bezpieczeństwa i zasadę minimalizacji danych – w zakresie rzeczywiście wdrożonym i zweryfikowanym przez Administratora.
§ 11. Retencja, kopie zapasowe i usuwanie danych
- Szczegółowe okresy przechowywania wynikają z celu przetwarzania, obowiązków prawnych, okresów przedawnienia i ustawień wykorzystywanych systemów. Administrator stosuje procedurę retencji obejmującą w szczególności Konta, logi bezpieczeństwa, niezrealizowane koszyki, korespondencję, zgody, dokumenty księgowe i kopie zapasowe. Dane w backupach są usuwane wraz z cyklem ich nadpisywania, który wynosi 30 dni.
§ 12. Zmiany Polityki
1. Administrator może zmienić Politykę z ważnych przyczyn, w szczególności w razie zmiany przepisów prawa, zmiany wykorzystywanych narzędzi lub zakresu świadczonych usług. Nowa wersja Polityki publikowana jest w Serwisie ze wskazaniem daty obowiązywania. O istotnych zmianach Użytkownicy posiadający Konto zostaną poinformowani e-mailem.