Polityka prywatności

Administratorem Twoich danych osobowych jest Ad Awards Agencja Medialna Sp. z o.o. z siedzibą w Legnicy, ul. Fabryczna 22, 59-220 Legnica, NIP: 6912512359, REGON: 362705763(dalej: “Administrator” lub “my”).

Kontakt z Administratorem: e-mail: prywatnosc@furni.to, telefon: +48 795 999 111.

We wszelkich sprawach dotyczących przetwarzania danych osobowych prosimy o kontakt:

E-mail: prywatnosc@furni.to

Adres korespondencyjny: ul. Fabryczna 22, 59-220 Legnica.

Twoje dane osobowe przetwarzamy w następujących celach:

• Realizacja zamówień— przetwarzanie danych niezbędnych do zawarcia i wykonania umowy sprzedaży (imię, nazwisko, adres dostawy, e-mail, telefon, dane płatnicze).
• Obsługa konta klienta— zarządzanie kontem, historia zamówień, preferencje.
• Obsługa reklamacji i zwrotów— rozpatrywanie zgłoszeń, korespondencja w sprawie reklamacji.
• Marketing bezpośredni— wysyłka newslettera, informacji o promocjach i nowościach (za zgodą).
• Analityka i ulepszanie usług— analiza ruchu na stronie, optymalizacja doświadczeń użytkownika.
• Pomiar skuteczności reklam— sprawdzanie, które reklamy doprowadziły do zakupu, żebyśmy nie płacili za reklamy, które nie działają (za zgodą marketingową — szczegóły w punkcie 8).
• Obowiązki prawne— prowadzenie dokumentacji księgowej, realizacja obowiązków podatkowych.
• Dochodzenie roszczeń— ustalenie, dochodzenie lub obrona przed roszczeniami.
• Współpraca z producentami— przekazywanie danych zamówieniowych do producenta/dostawcy mebli w celu realizacji zamówienia (imię, nazwisko, adres dostawy, telefon).

Dane przetwarzamy na następujących podstawach prawnych (art. 6 RODO):

• Art. 6 ust. 1 lit. b)— przetwarzanie jest niezbędne do wykonania umowy (realizacja zamówień, obsługa konta).
• Art. 6 ust. 1 lit. a)— zgoda osoby (newsletter, cookies analityczne i marketingowe, przekazanie danych do Google Ads i Meta w celu pomiaru skuteczności reklam — patrz punkt 8).
• Art. 6 ust. 1 lit. c)— obowiązek prawny ciążący na Administratorze (rachunkowość, podatki).
• Art. 6 ust. 1 lit. f)— prawnie uzasadniony interes Administratora (analityka, dochodzenie roszczeń, marketing bezpośredni produktów własnych).

Twoje dane przechowujemy przez okres:

• Dane zamówieniowe— przez czas trwania umowy oraz 6 lat od końca roku, w którym umowa została wykonana (okres przedawnienia roszczeń + obowiązki podatkowe).
• Dane konta klienta— do momentu usunięcia konta przez Klienta lub do 3 lat od ostatniej aktywności.
• Dane marketingowe— do czasu wycofania zgody lub zgłoszenia sprzeciwu.
• Dane analityczne— do 2 lat. Tyle żyje najdłuższe z naszych cookies analitycznych (_ga Google Analytics). Jest to domyślne ustawienie Google, którego nie skracamy ani nie wydłużamy.
• Dane reklamowe— cookies Google Ads i Meta zapisane w Twojej przeglądarce wygasają po 90 dniach. Nieodwracalne skróty danych przekazane w ramach pomiaru konwersji służą wyłącznie dopasowaniu zakupu do kliknięcia w reklamę i są przechowywane zgodnie z zasadami Google i Meta, do których odsyłamy w punkcie 8. Od chwili wycofania zgody nie przekazujemy już żadnych nowych danych.
• Twój wybór w banerze cookies— 12 miesięcy, po czym zapytamy ponownie.
• Dane reklamacyjne— przez czas rozpatrywania reklamacji + okres przedawnienia roszczeń.

Na podstawie RODO przysługują Ci następujące prawa w związku z przetwarzaniem danych osobowych:

• Prawo dostępu(art. 15 RODO) — możesz uzyskać informacje o przetwarzanych danych oraz ich kopię.
• Prawo do sprostowania(art. 16 RODO) — możesz żądać poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.
• Prawo do usunięcia (“prawo do bycia zapomnianym”) (art. 17 RODO) — możesz żądać usunięcia danych, gdy nie są już niezbędne do celów przetwarzania.
• Prawo do ograniczenia przetwarzania(art. 18 RODO) — możesz żądać ograniczenia przetwarzania w określonych sytuacjach.
• Prawo do przenoszenia danych(art. 20 RODO) — możesz otrzymać swoje dane w formacie nadającym się do odczytu maszynowego.
• Prawo sprzeciwu(art. 21 RODO) — możesz wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym marketingu bezpośredniego.
• Prawo do cofnięcia zgody— w każdym momencie, bez wpływu na zgodność z prawem przetwarzania przed cofnięciem. Zgody na cookies analityczne i marketingowe (w tym na przekazywanie danych do Google Ads i Meta) wycofasz sam — przyciskiem „Ustawienia cookies” w stopce strony. Zgodę na newsletter wycofasz linkiem w stopce każdej wiadomości lub mailem na prywatnosc@furni.to.
• Prawo skargi do organu nadzorczego— Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Aby skorzystać ze swoich praw, skontaktuj się z nami: prywatnosc@furni.to. Odpowiedź udzielimy w ciągu 30 dni.

Sklep wykorzystuje pliki cookies (ciasteczka) w celu zapewnienia prawidłowego działania serwisu, analityki oraz personalizacji treści.

Szczegółowe informacje o wykorzystywanych plikach cookies, ich typach i sposobach zarządzania znajdują się w naszej Polityce Cookies.

Korzystamy z kilku zewnętrznych narzędzi, które pokazują nam, jak działa sklep i czy nasze reklamy mają sens. Obowiązuje przy tym jedna zasada: dopóki nie wyrazisz zgody, nie wysyłamy do nich żadnych Twoich danych.

8.1. Baner zgód — jak to działa i jak to zmienić

Przy pierwszej wizycie pokazujemy baner, w którym decydujesz osobno o cookies analitycznych i marketingowych. Trzecia kategoria — niezbędne— jest zawsze włączona, bo bez niej sklep nie zadziała (koszyk, logowanie, bezpieczeństwo).

Zanim cokolwiek klikniesz, narzędzia Google dostają od nas sygnał, że zgody nie ma (mechanizm Google Consent Mode v2). Wszystkie cztery sygnały, którymi steruje ten mechanizm — przechowywanie danych analitycznych, przechowywanie danych reklamowych, wykorzystanie Twoich danych do reklam oraz personalizacja reklam — są domyślnie ustawione na „odmowa”. Zgoda na cookies analityczne przestawia pierwszy z nich, zgoda na cookies marketingowe — pozostałe trzy.

Zmiana lub wycofanie zgody: na dole każdej strony, w stopce, znajduje się przycisk „Ustawienia cookies”. Kliknięcie go otwiera ten sam baner z Twoimi aktualnymi ustawieniami — wystarczy przestawić przełącznik i zapisać. Zmiana działa natychmiast i nie wpływa na zgodność z prawem tego, co robiliśmy wcześniej na podstawie Twojej zgody.

Twój wybór zapisujemy w pamięci Twojej przeglądarki (localStorage, klucz furnito-cookie-consent) i pamiętamy przez 12 miesięcy.

8.2. Google Analytics 4 (zgoda analityczna)

Google Analytics 4 pokazuje nam, jak poruszasz się po sklepie: które strony oglądasz, jak długo, skąd do nas trafiłeś, co trafiło do koszyka. Nie przekazujemy tam Twojego imienia, nazwiska, adresu e-mail ani adresu dostawy. Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a RODO).

8.3. Google Ads — konwersje rozszerzone (zgoda marketingowa)

Jeśli zgodzisz się na cookies marketingowe, po złożeniu zamówienia przekazujemy do Google Ads dane pozwalające połączyć Twój zakup z wcześniejszym kliknięciem w naszą reklamę. Ta funkcja nazywa się konwersjami rozszerzonymi.

Jakie dane. Wyłącznie te, które i tak podajesz, składając zamówienie:

• Twój adres e-mail
• Twój numer telefonu
• Twoje imię i nazwisko
• z adresu dostawy: ulica z numerem, miasto, województwo, kod pocztowy i kraj

Jawne dane nie opuszczają Twojego urządzenia. Zanim cokolwiek zostanie wysłane, skrypt Google działający w Twojej przeglądarce porządkuje każdą z tych wartości (np. zamienia wielkie litery na małe) i przelicza ją na nieodwracalny skrót funkcją SHA-256. Z adresu e-mail powstaje 64-znakowy ciąg, z którego nie da się odtworzyć oryginału. Do Google trafiają tylko te skróty. Google porównuje je ze skrótami po swojej stronie i na tej podstawie stwierdza, że osoba, która kliknęła reklamę, to ta sama osoba, która kupiła.

Po co. Chcemy wiedzieć, które reklamy realnie przynoszą zamówienia, a za które płacimy bez efektu. Nie budujemy na tej podstawie Twojego profilu, nie sprzedajemy tych danych i nie wykorzystujemy ich do kontaktu z Tobą.

Podstawa prawna.Twoja zgoda — art. 6 ust. 1 lit. a RODO. Konkretnie: zgoda na cookies marketingowe. Bez niej nie wysyłamy niczego.

Odbiorca.Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia — spółka Google odpowiedzialna za usługi świadczone użytkownikom z Europejskiego Obszaru Gospodarczego.

Przekazywanie poza EOG.Google przetwarza te dane także na serwerach w Stanach Zjednoczonych. Podstawą transferu jest decyzja wykonawcza Komisji Europejskiej z 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony danych w ramach EU-U.S. Data Privacy Framework, którego Google jest uczestnikiem, a uzupełniająco — standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską. Śledzimy zmiany w tym zakresie i zaktualizujemy tę informację, gdyby podstawa transferu się zmieniła.

Jak długo. Cookies Google Ads zapisane w Twojej przeglądarce wygasają po 90 dniach. Przekazane skróty Google wykorzystuje do dopasowania zakupu do kliknięcia w reklamę i przechowuje zgodnie z własnymi zasadami, opisanymi w linkach poniżej. Od chwili wycofania zgody nie przekazujemy żadnych nowych danych.

Remarketing.Również za zgodą marketingową przekazujemy do Google Ads numery katalogowe oglądanych przez Ciebie mebli oraz wartość zamówienia — dzięki temu możesz później zobaczyć reklamę produktu, który Cię zainteresował. Nie ma w tym żadnych danych osobowych, wyłącznie identyfikatory produktów z naszego katalogu.

Szczegóły po stronie Google: polityka prywatności Google oraz jak Google wykorzystuje dane z witryn korzystających z jego usług.

8.4. Meta — Facebook i Instagram (zgoda marketingowa)

Za zgodą marketingową uruchamiamy piksel Meta, który mierzy skuteczność naszych reklam na Facebooku i Instagramie. Twój adres e-mail i numer telefonu zamieniamy na nieodwracalne skróty SHA-256, zanim trafią do Meta — tak samo jak w przypadku Google. Bez zgody marketingowej piksel w ogóle się nie wczytuje, a nasz serwer nie wysyła do Meta żadnych zdarzeń. Odbiorcą jest Meta Platforms Ireland Limited z siedzibą w Irlandii. Meta przetwarza dane również w Stanach Zjednoczonych, na tej samej podstawie prawnej co Google (Data Privacy Framework oraz standardowe klauzule umowne). Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a RODO).

8.5. Asystent sklepowy (czat)

W prawym dolnym rogu sklepu działa asystent, który odpowiada na pytania o meble, dostawę i zwroty. Odpowiedzi generuje model językowy Claude firmy Anthropic, więc treść tego, co napiszesz w czacie, trafia na jej serwery w Stanach Zjednoczonych. Nie wysyłamy tam Twojego koszyka, zamówień ani danych konta — wyłącznie treść wiadomości. Rozmowy nie są przez nas nigdzie zapisywane i znikają po odświeżeniu strony. Asystent nie zbiera danych do reklam. Szczegóły transferu do USA opisujemy w punkcie 9. Podstawa prawna: nasz prawnie uzasadniony interes polegający na obsłudze klienta (art. 6 ust. 1 lit. f RODO).

Zestawienie konkretnych plików cookies wraz z czasem ich ważności znajdziesz w Polityce Cookies.

Twoje dane osobowe mogą być przekazywane następującym kategoriom odbiorców:

• Firmy transportowe i logistyczne— podmioty realizujące dostawę zamówienia.
• Stripe Payments Europe, Limited— 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlandia. Operator płatności kartą, BLIK-iem i szybkim przelewem online. Otrzymuje Twój adres e-mail, kwotę oraz numer zamówienia i koszyka. Numer karty i kod BLIK wpisujesz w formularzu należącym do Stripe — te dane nie przechodzą przez nasz serwer i nigdy ich nie widzimy.
• Krajowy Integrator Płatności S.A.— plac Andersa 3, 61-894 Poznań, Polska; operator systemu płatności Tpay. Obsługuje płatność, przy której przechodzisz na stronę Tpay i wracasz do nas po jej zatwierdzeniu. Otrzymuje Twoje imię i nazwisko, adres e-mail, kwotę oraz numer zamówienia.
• Dostawcy usług IT— hosting sklepu, utrzymanie infrastruktury i kopie zapasowe (przetwarzanie na zlecenie Administratora).
• Resend (Plus Five Five, Inc.)— San Francisco, Kalifornia, Stany Zjednoczone. Dostawca systemu poczty transakcyjnej: to przez niego wysyłamy potwierdzenie zamówienia, wiadomości o reklamacji i zwrocie, przypomnienie o porzuconym koszyku oraz link do zresetowania hasła. Otrzymuje Twój adres e-mail, imię i nazwisko, numer zamówienia, listę zamówionych mebli wraz z kwotami, a w potwierdzeniu zamówienia — również pełny adres dostawy i numer telefonu. Jeśli zapiszesz się do newslettera, Twój adres e-mail przechowywany jest po stronie Resend jako lista subskrybentów.
• Anthropic— Stany Zjednoczone. Dostawca modelu językowego Claude, na którym działa asystent sklepowy opisany w punkcie 8.5. Otrzymuje treść wiadomości, które napiszesz w oknie czatu — i nic poza nią. Jeśli jednak sam wpiszesz tam swoje dane, na przykład adres albo numer telefonu, zostaną przekazane razem z treścią wiadomości.
• InPost S.A.— Kraków, Polska. Odpowiada za wysyłkę próbek tkanin do paczkomatu; meble jeżdżą transportem producenta, nie tą drogą. Otrzymuje imię i nazwisko odbiorcy, numer telefonu, adres e-mail oraz numer wybranego przez Ciebie paczkomatu. Gdy wybierzesz ten sposób dostawy, w Twojej przeglądarce ładuje się mapa paczkomatów pobierana z serwerów InPost — firma widzi wtedy Twój adres IP i informacje o przeglądarce. Dopóki nie wybierzesz tej opcji, mapa się nie wczytuje.
• Google Ireland Limited— Gordon House, Barrow Street, Dublin 4, Irlandia. Google Analytics 4 (za zgodą analityczną) oraz Google Ads wraz z konwersjami rozszerzonymi (za zgodą marketingową). Szczegóły w punkcie 8.
• Meta Platforms Ireland Limited— Irlandia. Piksel Meta i pomiar konwersji reklamowych, wyłącznie za zgodą marketingową.
• Biura rachunkowe i doradcy— obsługa księgowa, prawna.
• Organy państwowe— w przypadkach przewidzianych prawem (np. urząd skarbowy, sądy).
• Producenci i dostawcy mebli— polscy producenci mebli współpracujący z furni.to, którym przekazujemy dane niezbędne do realizacji zamówienia (adres dostawy, dane kontaktowe). Producenci przetwarzają te dane wyłącznie w celu wysyłki Towaru.

Dlaczego nie ma tu Przelewy24 ani BLIK-a.To nazwy metod płatności udostępnianych wewnątrz Stripe, a nie osobnych firm, do których cokolwiek wysyłamy. Wybierając „szybki przelew” albo BLIK-a, przekazujesz dane firmie Stripe — i tylko jej. Stripe korzysta dalej z własnych podwykonawców, ale to już jego relacja, opisana w jego polityce prywatności.

Płatności odroczone i raty.Nie przekazujemy Twoich danych żadnej instytucji finansującej zakup — sklep nie ma dziś takiej integracji. Wcześniejsze wersje tego dokumentu wymieniały w tym miejscu PayPo; było to nieaktualne.

Z każdym podmiotem przetwarzającym dane na nasze zlecenie zawarliśmy umowę powierzenia przetwarzania danych osobowych.

Przekazywanie danych poza EOG.Producenci mebli, z którymi pracujemy, oraz firmy realizujące dostawę działają w Polsce, a więc w Europejskim Obszarze Gospodarczym. Część Twoich danych trafia jednak do Stanów Zjednoczonych — w trzech sytuacjach opisanych niżej.

• Resend— poczta transakcyjna, czyli między innymi potwierdzenie zamówienia zawierające adres dostawy, a także lista subskrybentów newslettera. Dzieje się to przy każdym zamówieniu i nie zależy od zgód na cookies: bez tych wiadomości nie da się zrealizować umowy. Resend figuruje jako aktywny uczestnik programu EU-U.S. Data Privacy Framework w rejestrze prowadzonym przez Departament Handlu USA, a niezależnie od tego jego umowa powierzenia zawiera standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską. Dane przechowywane są na serwerach w USA.
• Anthropic— treść rozmowy z asystentem sklepowym, i tylko wtedy, gdy sam zaczniesz z nim rozmawiać. Anthropic nie figuruje w rejestrze Data Privacy Framework, dlatego jedyną podstawą tego transferu są standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską, wpisane do umowy powierzenia. Anthropic co do zasady usuwa treść zapytań ze swoich systemów w ciągu 30 dni i nie wykorzystuje jej do trenowania modeli.
• Google i Meta— wyłącznie w zakresie opisanym w punkcie 8 i wyłącznie za Twoją zgodą; bez zgody nie wysyłamy tam niczego. Podstawą transferu jest decyzja wykonawcza Komisji Europejskiej z 10 lipca 2023 r. o odpowiednim stopniu ochrony danych w ramach EU-U.S. Data Privacy Framework, którego obie firmy są uczestnikami, a uzupełniająco — standardowe klauzule umowne (SCC).

Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony Twoich danych osobowych przed nieuprawnionym dostępem, utratą, zniszczeniem lub ujawnieniem, w tym:

• Szyfrowanie transmisji danych (SSL/TLS).
• Regularne aktualizacje oprogramowania.
• Ograniczenie dostępu do danych tylko do upoważnionych pracowników.
• Regularne kopie zapasowe.
• Monitorowanie systemów pod kątem naruszeń bezpieczeństwa.

Administrator zastrzega sobie prawo do aktualizacji niniejszej Polityki Prywatności. O istotnych zmianach poinformujemy za pośrednictwem strony internetowej lub wiadomości e-mail. Data ostatniej aktualizacji jest wskazana na początku dokumentu.