Polityka Prywatności NiespodziankaMuzyczna

§ 1. Administrator danych osobowych

1. Administratorem danych osobowych Klientów korzystających z serwisu NiespodziankaMuzyczna jest osoba fizyczna prowadząca działalność nierejestrowaną w rozumieniu art. 5 ust. 1 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców (Dz.U. 2018 poz. 646 ze zm.) pod marką NiespodziankaMuzyczna: Kamil Płocki, adres do doręczeń: Szymanów 13.
2. Kontakt z Administratorem: e-mail: niespodziankamuzyczna@gmail.com. Administrator odpowiada na wnioski i zapytania w ciągu 30 dni od ich otrzymania.
3. Administrator przetwarza dane osobowe zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2019 poz. 1781) oraz innymi obowiązującymi przepisami prawa.

§ 2. Cele i podstawy prawne przetwarzania danych

Administrator przetwarza dane osobowe w następujących celach:

§ 3. Podmioty przetwarzające dane (Procesorzy)

Administrator zawarł umowy powierzenia przetwarzania danych (art. 28 RODO) z następującymi podmiotami działającymi wyłącznie na jego polecenie:

• Supabase Inc. (baza danych i uwierzytelnianie) – dostawca infrastruktury bazy danych. Dane przechowywane są w regionie wybranym przez Administratora. Supabase stosuje szyfrowanie danych w spoczynku (encryption at rest) oraz szyfrowanie transmisji (TLS). Supabase Inc. ma siedzibę w USA; transfer danych odbywa się na podstawie Standardowych Klauzul Umownych (SCC) przyjętych przez Komisję Europejską lub innych odpowiednich gwarancji zgodnych z art. 46 RODO.
• Dostawca usług e-mail / SMS (powiadomienia transakcyjne) – wykorzystywany do wysyłki powiadomień o statusie zamówienia.

Podmioty te nie są uprawnione do przetwarzania danych w celach własnych ani do udostępniania ich podmiotom trzecim bez zgody Administratora.

§ 4. Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG)

Niektórzy odbiorcy danych mają siedzibę poza EOG. W takich przypadkach transfer odbywa się wyłącznie przy zachowaniu odpowiedniego poziomu ochrony:

• Google LLC (USA) – Google Analytics 4. Transfer odbywa się na podstawie decyzji Komisji Europejskiej o adekwatności ochrony danych w ramach EU-US Data Privacy Framework (decyzja 2023/1795 z dnia 10 lipca 2023 r.), w której Google LLC uczestniczy. Transfer następuje wyłącznie po udzieleniu zgody na cookies analityczne.
• Supabase Inc. (USA) – transfer odbywa się na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).
• Stripe Technology Europe Ltd. (Irlandia) – siedziba w UE; transfer poza EOG nie dotyczy bezpośrednich relacji z Administratorem, lecz może wystąpić w relacjach Stripe z jej podmiotami zależnymi zgodnie z własną polityką Stripe.

§ 5. Prawa osób, których dane dotyczą

Każdemu Klientowi oraz Odbiorcy (osobie trzeciej, której dane zawarte są w zamówieniu) przysługują następujące prawa:

• Prawo dostępu (art. 15 RODO) – uzyskanie informacji o przetwarzanych danych i ich kopii;
• Prawo do sprostowania (art. 16 RODO) – poprawienie błędnych lub niekompletnych danych;
• Prawo do usunięcia (art. 17 RODO) – tzw. „prawo do bycia zapomnianym";
• Prawo do ograniczenia przetwarzania (art. 18 RODO);
• Prawo do przenoszenia danych (art. 20 RODO) – dotyczy danych przetwarzanych na podstawie zgody lub umowy;
• Prawo do sprzeciwu (art. 21 RODO) – wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f);
• Prawo do cofnięcia zgody (art. 7 ust. 3 RODO) – w przypadku przetwarzania opartego na zgodzie (np. Google Analytics 4); cofnięcie nie wpływa na legalność wcześniejszego przetwarzania.

Żądania należy kierować na adres: niespodziankamuzyczna@gmail.com. Klient ma prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

§ 6. Bezpieczeństwo danych

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne ochrony danych (art. 32 RODO), w tym szyfrowanie transmisji (SSL/TLS) oraz szyfrowanie danych w spoczynku po stronie Supabase (encryption at rest).
2. Dostęp do danych osobowych posiadają wyłącznie upoważnione osoby.
3. Dane kart płatniczych nie są przechowywane przez Administratora – są przetwarzane bezpośrednio przez Stripe Technology Europe Ltd., która posiada certyfikat PCI DSS.
4. W przypadku naruszenia ochrony danych Administrator powiadomi PUODO w ciągu 72 godzin (art. 33 RODO) oraz, jeśli naruszenie może skutkować ryzykiem dla praw i wolności osób fizycznych – powiadomi poszkodowane osoby (art. 34 RODO).

§ 7. Pliki cookies

Serwis wykorzystuje pliki cookies (ciasteczka). Poniższa tabela przedstawia ich kategorie:

Klient może zarządzać cookies przez ustawienia przeglądarki, jednak wyłączenie cookies niezbędnych może uniemożliwić korzystanie z niektórych funkcji serwisu.

§ 8. Profilowanie i zautomatyzowane podejmowanie decyzji

1. Administrator nie podejmuje wobec Klientów zautomatyzowanych decyzji wywołujących skutki prawne ani podobnie istotnych skutków (art. 22 RODO).
2. Google Analytics 4 może gromadzić zagregowane dane demograficzne i behawioralne (profilowanie analityczne). Dane te służą wyłącznie celom statystycznym i nie są podstawą do indywidualnych decyzji wobec Klientów.
3. Proces tworzenia spersonalizowanej piosenki może korzystać z narzędzi wspomaganych algorytmami AI (generowanie tekstu lub muzyki). Narzędzia te działają pomocniczo – każdy utwór jest weryfikowany przez Administratora przed dostarczeniem Klientowi.

§ 9. Zmiany Polityki Prywatności

1. Administrator zastrzega sobie prawo do zmiany Polityki Prywatności w przypadku zmiany przepisów prawa lub sposobu przetwarzania danych.
2. O każdej istotnej zmianie Klienci zostaną poinformowani drogą e-mail lub przez stosowny komunikat na stronie. Data ostatniej aktualizacji widnieje w nagłówku niniejszego dokumentu.