Polityka prywatności

Ten dokument wyjaśnia, co robimy z danymi osobowymi, gdy kupujesz audyt i gdy audytujemy Twój sklep. Jest napisany po to, żeby go przeczytać, a nie przetrwać.

1. Kto odpowiada za dane

Administratorem jest QUOMERCE SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, ul. Henryka Sienkiewicza 85/87 lok. 1, NIP 7252368482, KRS 0001251814.

Pytania i żądania dotyczące ochrony danych: privacy@quomerce.com. Odpowiadamy w ciągu miesiąca.

Nie powołaliśmy inspektora ochrony danych, ponieważ nie mamy takiego obowiązku. Żądania kierowane na powyższy adres obsługujemy bezpośrednio.

2. Co zbieramy i po co

Gdy zamawiasz audyt

Dane	Po co	Podstawa prawna
Adres sklepu (URL)	To przedmiot audytu	Umowa, art. 6 ust. 1 lit. b
Nazwa firmy, imię i nazwisko osoby kontaktowej	Wystawienie faktury i zwracanie się do Ciebie	Umowa
Służbowy e-mail	Wysyłka wiadomości o starcie i gotowości audytu oraz linku do raportu	Umowa
Numer telefonu (opcjonalnie)	Kontakt w sprawie audytu; przekazywany agencji tylko wtedy, gdy poprosiłeś o kojarzenie	Umowa / zgoda
Adres do faktury, kraj, identyfikator podatkowy	Wymagane prawem elementy faktury; decydują o stawce VAT	Obowiązek prawny, art. 6 ust. 1 lit. c
Numer VAT i numer konsultacji VIES	Dowód zastosowanej stawki, gdyby przyszło nam ją wykazać	Obowiązek prawny
Status płatności, kwota, waluta, identyfikator transakcji	Księgowość; powiązanie płatności z audytem	Obowiązek prawny

Prosimy o to, czego wymaga faktura, i o to, co pozwala się z Tobą skontaktować. Nie budujemy profilu marketingowego.

Gdy audytujemy Twój sklep

Raport z audytu dotyczy strony internetowej, a nie osoby. Ale strona zawiera to, co umieścił na niej właściciel, więc raport może zawierać przy okazji dane osobowe — nazwisko w stopce, adres na stronie kontaktowej, zdjęcie pracownika. Dwie rzeczy warto nazwać wprost:

Zrzuty ekranu stron odwiedzonych przez agenta, przechowywane razem z raportem.
Odtworzenie sesji przeglądania wykonanego przez agenta — rekonstrukcja tego, co widziała i robiła nasza automatyczna przeglądarka, żebyś mógł prześledzić, jak powstało dane ustalenie. Rejestruje sesję naszego agenta w Twoim publicznym sklepie. Nie rejestruje Twoich klientów ani pracowników.

W przypadku kontroli obejmującej wymogi transakcyjne agent składa zamówienie testowe, korzystając z jednorazowej skrzynki, którą kontrolujemy. E-mail potwierdzający z Twojego sklepu jest pobierany i przechowywany razem z raportem, wraz z jego kodem HTML, ponieważ stanowi dowód dla ustalenia. Jeśli ten e-mail zawiera dane osobowe umieszczone w nim przez Twój sklep, trafiają one do raportu — przy czym nazwisko na zamówieniu należy do naszej tożsamości testowej, a nie do prawdziwego klienta.

Podstawa: wykonanie umowy z Tobą. Tam, gdzie raport zawiera przy okazji dane osobowe osoby trzeciej, podstawą jest prawnie uzasadniony interes, art. 6 ust. 1 lit. f — dostarczenie audytu, o który poprosił jego adresat.

3. Gdzie da się przeczytać Twój raport

Twój raport jest niepubliczny, ale nie jest prywatny. Adres /audits/<id> nie wymaga logowania. Identyfikator jest losowym UUID, więc nie da się go zgadnąć ani wyliczyć, a raportów nie indeksujemy i nie linkujemy publicznie — ale każdy, komu wyślesz link, może go otworzyć, przekazać dalej i otworzyć ponownie za rok.

Traktuj link jak dokument, nie jak hasło. Napisz do nas, jeśli chcesz go unieważnić.

4. Kojarzenie z agencjami i co dostają agencje

Jeśli przy zamówieniu wyraziłeś zgodę na kojarzenie z agencjami, Twój zakończony audyt może zostać wystawiony na naszym marketplace. Agencja, która wykupi dostęp, otrzymuje:

wygenerowany raport z audytu,
adres Twojego sklepu,
nazwę Twojej firmy,
imię osoby kontaktowej, służbowy e-mail i numer telefonu.

Ta ostatnia pozycja jest powodem, dla którego wymaga to zgody i nie dzieje się domyślnie. Podstawą jest Twoja zgoda, art. 6 ust. 1 lit. a, wyrażona przez zaznaczenie pola, które przy zamówieniu jest puste. Pozostawienie go pustym nie jest odmową, którą trzeba uzasadniać — to po prostu odpowiedź, którą przyjmujemy domyślnie.

Zgodę możesz wycofać w każdej chwili, pisząc na privacy@quomerce.com. Usuwamy wtedy lead z listy najszybciej, jak to możliwe. Wycofanie zgody nie gwarantuje, że agencje, które już mają Twoje dane, przestaną się kontaktować, bo nie kontrolujemy ich rejestrów — ale przekażemy im Twoje wycofanie.

Agencje są niezależnymi administratorami w zakresie tego, co robią z Twoimi danymi później. Umownie nie wolno im wykorzystywać ich do niczego poza kontaktem w sprawie raportu z audytu.

Jeśli nie wyraziłeś zgody, nic z tego się nie dzieje. Twój audyt nie jest wystawiany, a żadna agencja nie widzi niczego na Twój temat. Raport jest dokładnie taki sam w obu przypadkach.

5. Kto jeszcze przetwarza Twoje dane

Podmioty przetwarzające na nasze polecenie:

Kto	Co obsługuje	Gdzie
Cloudflare (R2)	Tymczasowe przechowywanie raportów	UE
OpenAI	Treść stron i zrzuty ekranu przesyłane do modelu wykonującego audyt	USA, SCC
DeepL	Tekst raportu, na potrzeby tłumaczenia	UE
Resend	Wysyłka dwóch wiadomości e-mail	UE/USA, SCC
PostHog	Analityka produktowa	UE
Google Analytics	Analityka strony	Globalnie
LangSmith	Ślady przebiegów agenta, na potrzeby debugowania	USA, SCC
Hetzner	Przetwarzanie danych, dane klientów i raportów	UE

Niezależni administratorzy, a nie podmioty przetwarzające:

tPay (Krajowy Integrator Płatności S.A.) — Twoja płatność. To oni decydują, jak ją obsługują; obowiązuje ich polityka prywatności. Otrzymujemy identyfikator transakcji i status, nigdy numer karty.
Komisja Europejska (VIES) — przesyłamy unijny numer VAT, aby potwierdzić, że jest zarejestrowany.
Agencje, którym udostępniamy dane kontaktowe, jak opisano powyżej.

Przekazywanie danych poza EOG opiera się na standardowych klauzulach umownych. Nie sprzedajemy danych osobowych nikomu poza przypadkiem opisanym w punkcie 4, który wymaga Twojej zgody.

Treści przesyłane do modelu AI mogą być wykorzystywane przez OpenAI do jego trenowania. Dane wymieniane z OpenAI nie zawierają informacji o charakterze osobowym.

6. Jak długo przechowujemy dane

Co	Jak długo
Raporty z audytów i ustalenia	12 miesięcy od dostarczenia
Zrzuty ekranu i odtworzenie sesji	12 miesięcy od dostarczenia
E-maile z zamówienia testowego zebrane podczas kontroli zgodności	12 miesięcy
Faktury, płatności i dowody VAT	5 lat od końca roku podatkowego, zgodnie z polskim prawem

Możesz poprosić o wcześniejsze usunięcie raportu. Nie możemy usunąć faktury przed upływem ustawowego okresu — to obowiązek prawny, nie kwestia preferencji.

7. Twoje prawa

Na podstawie RODO możesz żądać, abyśmy:

powiedzieli, jakie dane mamy, i wydali ich kopię,
poprawili to, co jest błędne,
usunęli je, jeśli nie mamy obowiązku ich przechowywać,
ograniczyli przetwarzanie oparte na prawnie uzasadnionym interesie albo przyjęli Twój sprzeciw wobec niego,
przekazali je w formacie nadającym się do przeniesienia,
przyjęli wycofanie zgody, w każdej chwili, bez wpływu na zgodność z prawem wcześniejszego przetwarzania.

Napisz na privacy@quomerce.com. Nie pobieramy opłat i nie wymagamy szczególnego formularza. Możemy poprosić o potwierdzenie tożsamości, żeby nie przekazać Twoich danych komuś innemu.

8. Zautomatyzowane podejmowanie decyzji

Sam audyt jest zautomatyzowany: agent AI ocenia, czy wymóg jest spełniony, niespełniony, czy też nie da się tego ustalić. To ocena Twojej strony internetowej, a nie Ciebie, i nie wywołuje skutków prawnych wobec żadnej osoby — nie jest więc zautomatyzowanym podejmowaniem decyzji wobec osób fizycznych w rozumieniu art. 22.

Nie profilujemy Cię, nie punktujemy i nie podejmujemy automatycznych decyzji dotyczących osób.

Jeśli uważasz, że któreś ustalenie jest błędne, napisz do nas. Sprawdzi je człowiek.

9. Dzieci

Quomerce jest usługą dla firm. Świadomie nie zbieramy danych osób poniżej 18. roku życia. Jeśli sądzisz, że jednak to zrobiliśmy, napisz do nas, a je usuniemy.

10. Zmiany

Każdą nową wersję opublikujemy tutaj z nową datą wejścia w życie. Jeśli zmiana istotnie wpłynie na sposób wykorzystywania Twoich danych, powiadomimy Cię e-mailem, zanim wejdzie w życie, a tam, gdzie prawo wymaga zgody, poprosimy o nią, zamiast ją zakładać.

11. Wersja językowa

Ten dokument jest tłumaczeniem angielskiej wersji polityki prywatności. W razie rozbieżności rozstrzyga wersja angielska, dostępna pod adresem quomerce.com/privacy. Nie ogranicza to uprawnień, które przysługują Ci na mocy RODO i bezwzględnie obowiązujących przepisów prawa polskiego.