Legal
Polityka prywatności
W tej polityce wyjaśniamy, jakie dane przetwarzamy w związku z korzystaniem ze sklepu Catch Feels (konto, zamówienia, płatności, wysyłka, bezpieczeństwo), jak działają pliki cookies oraz jak możesz zarządzać zgodami.
Ostatnia aktualizacja: 08.10.2026
Administrator danych i kontakt
Administratorem danych osobowych jest Catch Feels — Adam Zimniak, ul. Bobrzeckiej 9/20, 31-216 Kraków (dalej: „Sklep”).
- Kontakt w sprawach prywatności: [email protected]
Kogo dotyczy ta polityka
Polityka dotyczy osób korzystających ze strony, w szczególności:
- odwiedzających stronę (np. przeglądanie produktów),
- posiadaczy kont (logowanie, zarządzanie danymi konta),
- kupujących (zamówienia, płatności, dostawa, zwroty),
- osób kontaktujących się z nami (np. e‑mail w sprawie zamówienia).
Jakie dane przetwarzamy
1) Konto i logowanie
- adres e‑mail,
- dane profilu, jeśli je zapiszesz w koncie: imię, nazwisko, firma, telefon i adres,
- hasło (jeśli ustawisz) – przechowywane w postaci bezpiecznego skrótu (hash), nie jako „jawne” hasło,
- logowanie kodem e‑mail: wysyłamy krótki kod i weryfikujemy go (kod w bazie nie jest przechowywany w formie jawnej),
- dane sesji (np. tokeny sesyjne), przechowywane przez mechanizm Auth.js / NextAuth.
2) Zamówienia i obsługa klienta
- zamawiane produkty, warianty, ilości, kwoty, rabaty, status zamówienia,
- treść i technika graweru, jeśli zamawiasz produkt z grawerem,
- wybrana metoda dostawy (np. DPD / InPost) oraz identyfikator punktu/lockera (jeśli dotyczy),
- adres e‑mail do komunikacji o zamówieniu (również dla gościa – może zostać uzupełniony na podstawie danych z płatności),
- dane podane w formularzu płatności Stripe: imię, nazwisko, adres dostawy i numer telefonu (telefon jest potrzebny kurierowi),
- zgłoszenia zwrotów: zwracane produkty, powód (jeśli go podasz) i numer przesyłki.
Opinie o produktach
- ocena, treść opinii oraz podpis, który sam wpisujesz w formularzu (pole dobrowolne; bez podpisu opinia pojawia się jako „Klient”),
- po zatwierdzeniu opinia wraz z podpisem jest publikowana na stronie produktu – nigdy nie publikujemy Twojego adresu e‑mail; opinię możesz poprosić o usunięcie, pisząc na adres kontaktowy.
3) Płatności
- płatności realizowane są przez zewnętrznego operatora (Stripe) – numerów kart nie przechowujemy,
- w naszych systemach możemy przechowywać identyfikatory transakcji (np. identyfikator sesji/Payment Intent) w celu rozliczeń i obsługi zamówienia.
4) Dane techniczne i bezpieczeństwo
- adres IP, przeglądarka i podstawowe dane techniczne żądań (dla ochrony przed nadużyciami),
- mechanizmy anty‑spam / rate limiting (np. przy wysyłaniu kodów logowania, potwierdzaniu płatności),
- logi/audyt działań administracyjnych lub diagnostyka błędów (jeśli występują).
Cele i podstawy przetwarzania
Przetwarzamy dane wyłącznie w zakresie potrzebnym do działania sklepu oraz realizacji zamówień. Podstawy prawne:
- Realizacja umowy (art. 6 ust. 1 lit. b RODO) – przyjmowanie i realizacja zamówienia, płatność, dostawa, zwroty, obsługa konta.
- Obowiązek prawny (art. 6 ust. 1 lit. c) – np. przechowywanie dokumentów księgowych/rozliczeń (jeśli dotyczy).
- Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) – bezpieczeństwo, zapobieganie nadużyciom, dochodzenie/obrona roszczeń, podstawowa diagnostyka, zbiorczy licznik odsłon bez identyfikatora oraz publikacja opinii o produktach.
- Zgoda (art. 6 ust. 1 lit. a) – opcjonalne pliki cookies/identyfikatory analityczne i marketingowe (tylko jeśli je zaakceptujesz).
Podanie danych potrzebnych do złożenia zamówienia (e‑mail, adres dostawy, telefon) jest dobrowolne, ale bez nich nie możemy go zrealizować. Pozostałe dane, w tym zgody na cookies, podajesz tylko, jeśli chcesz.
Komu możemy przekazywać dane
Korzystamy z zaufanych dostawców usług, którzy przetwarzają dane w naszym imieniu lub jako odrębni administratorzy (np. operator płatności). W praktyce mogą to być:
- Stripe – operator płatności i formularza checkout (dane płatności, e‑mail, adres dostawy/telefon w zależności od konfiguracji checkout).
- Dostawcy dostawy (np. DPD, InPost) – w zakresie niezbędnym do realizacji wysyłki (np. adres/telefon lub identyfikator punktu).
- Dostawca wysyłki e‑mail (Resend) – do wysyłania wiadomości transakcyjnych (kody logowania, reset hasła, potwierdzenia).
- Cloudinary – hosting zdjęć i filmów produktowych. Przeglądarka pobiera je bezpośrednio z serwerów Cloudinary, więc przy wyświetleniu strony trafia tam Twój adres IP – niezależnie od zgody na cookies, bo to zwykłe wczytanie obrazka, a nie śledzenie.
- OpenStreetMap – kafelki mapy paczkomatów InPost. Przy otwarciu mapy przeglądarka pobiera je z serwerów OpenStreetMap, więc trafia tam Twój adres IP (Wielka Brytania ma decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony danych).
- Hosting/infrastruktura (Hetzner, Cloudflare) – utrzymanie serwerów, logów, kopii zapasowych i bazy danych.
Zawsze staramy się minimalizować zakres przekazywanych danych (tylko to, co potrzebne do wykonania usługi).
Przekazywanie danych poza EOG
Niektóre usługi (np. operator płatności Stripe, dostawca e‑mail Resend lub hosting zdjęć/filmów Cloudinary) mogą przetwarzać dane na infrastrukturze zlokalizowanej poza Europejskim Obszarem Gospodarczym, w tym w USA. W takich przypadkach stosowane są odpowiednie zabezpieczenia (np. standardowe klauzule umowne lub uczestnictwo dostawcy w Data Privacy Framework), zgodnie z dokumentacją danego dostawcy. Mapa paczkomatów (OpenStreetMap) jest obsługiwana z Wielkiej Brytanii, dla której Komisja Europejska stwierdziła odpowiedni stopień ochrony danych.
Jak długo przechowujemy dane
- Konto: do czasu usunięcia konta na Twoją prośbę (napisz na adres kontaktowy) lub utraty przydatności danych, z zastrzeżeniem wymogów prawnych.
- Zamówienia opłacone: przez okres wymagany do rozliczeń, obsługi reklamacji/zwrotów oraz wynikający z przepisów podatkowych i księgowych – co do zasady 5 lat od końca roku, w którym nastąpiła sprzedaż.
- Zamówienia anulowane i nieopłacone (bez wpłaty, zwrotu ani reklamacji): 180 dni od anulowania, potem kasowane automatycznie.
- Kody logowania i rejestracji: usuwamy najpóźniej doba po wygaśnięciu kodu. Linki do resetu hasła: najpóźniej 7 dni po wygaśnięciu (ważne są godzinę).
- Liczniki ograniczeń prób (rate limiting): 7 dni.
- Dziennik zdarzeń bezpieczeństwa (logowania, działania administracyjne, błędy; z adresem IP i przeglądarką): 180 dni.
- Zdarzenia analityczne za zgodą (odsłony, dodania do koszyka, zakupy — powiązane z identyfikatorem odwiedzin
cf_aid): 90 dni od zapisania, potem kasowane automatycznie. Wycofanie zgody kasuje je od razu, bez czekania na ten termin. - Zbiorczy licznik odsłon (bez identyfikatora — patrz sekcja „Jedyna rzecz, którą liczymy bez zgody” poniżej): 730 dni. Dłużej niż dane analityczne za zgodą, bo w tym liczniku nie ma nic, co dałoby się powiązać z osobą.
- Zapis Twojej decyzji o cookies: zapisujemy samą decyzję (jakie kategorie wybrałeś, kiedy i w jaki sposób) — bez adresu IP, przeglądarki czy adresu e-mail, nawet jeśli byłeś zalogowany. Ten wpis przechowujemy 180 dni.
Wiek
Sklep nie jest kierowany do dzieci i nie zbiera świadomie danych osób poniżej 16 roku życia. Jeżeli podstawą przetwarzania jest zgoda (np. na cookies analityczne lub marketingowe), a osoba wyrażająca zgodę nie ukończyła 16 lat, zgoda powinna zostać wyrażona lub potwierdzona przez rodzica albo opiekuna prawnego.
Założenie konta i złożenie zamówienia to zawarcie umowy, nie zgoda w rozumieniu RODO – zasady dotyczące wieku i zdolności do czynności prawnych przy zawieraniu umowy znajdują się w Regulaminie.
Twoje prawa
W granicach prawa możesz skorzystać z praw dotyczących danych osobowych (m.in. dostęp do danych, sprostowanie, usunięcie, ograniczenie przetwarzania, sprzeciw, przenoszenie danych). Jeśli przetwarzamy dane na podstawie zgody – możesz ją w każdej chwili wycofać (wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed wycofania).
Napisz do nas na: [email protected].
Jeśli uważasz, że przetwarzanie narusza przepisy, możesz też złożyć skargę do organu nadzorczego właściwego dla Twojego miejsca zamieszkania (w Polsce: PUODO).
Cookies i podobne technologie
Strona wykorzystuje pliki cookies oraz podobne mechanizmy (np. localStorage) w celu zapewnienia działania sklepu. Część z nich jest niezbędna, a część jest opcjonalna i uruchamia się dopiero po Twojej zgodzie.
Niezbędne (zawsze aktywne)
- cookies sesyjne i bezpieczeństwa związane z logowaniem (Auth.js / NextAuth) – bez nich konto nie działa poprawnie,
- ustawienia bezpieczeństwa i ochrona przed nadużyciami,
- zapis Twojego wyboru zgody cookies – ciasteczko
cf_consent(ważne 180 dni). Jest niezbędne: to ono pamięta, że nie wyraziłeś zgody, i pozwala nam tego wyboru przestrzegać również po stronie serwera, - lokalne dane pomocnicze np. do wznawiania płatności (np. identyfikator zamówienia zapisany w pamięci przeglądarki).
Opcjonalne (po Twojej zgodzie)
- Analityczne – pomagają nam zrozumieć, jak używana jest strona (np. odsłony stron, podstawowe zdarzenia). Identyfikator odwiedzin:
cf_aid. Dodatkowocf_sesoznacza jedną wizytę i wygasa sam po 30 minutach bez ruchu – dzięki niemu wiemy, ile stron obejrzano za jednym razem, bez wiązania tego z Tobą jako osobą. - Marketingowe – zapisują źródło wejścia (parametry UTM, strona odsyłająca, identyfikator kliknięcia w reklamę) w ciasteczku
cf_mkt. Jeśli złożysz zamówienie, zapisujemy to źródło razem z zamówieniem – zostaje w nim jako dana transakcyjna, żebyśmy wiedzieli, która reklama się opłaciła. Bez zgody marketingowej nie zapisujemy go ani w przeglądarce, ani przy zamówieniu.
Bez Twojej zgody te identyfikatory w ogóle nie powstają, a nasz serwer odrzuca zapis jakichkolwiek danych analitycznych. Gdy wycofasz zgodę, kasujemy nie tylko ciasteczka w przeglądarce, ale też dane zebrane wcześniej pod Twoim identyfikatorem.
Jedyna rzecz, którą liczymy bez zgody — i dlaczego wolno nam to robić
Prowadzimy zbiorczy licznik odsłon: dla każdego dnia zapisujemy, ile razy wyświetlono daną podstronę i czy stało się to na telefonie, tablecie czy komputerze. To wszystko — jedna liczba na wiersz.
Nie ma w tym żadnego identyfikatora: ani numeru odwiedzin, ani adresu IP, ani informacji o Twojej przeglądarce. Nie zapisujemy przy tym niczego w Twoim urządzeniu. Z takiego licznika nie da się odtworzyć, że dwie odsłony pochodziły od tej samej osoby — i dlatego nie wymaga on zgody. Potrzebujemy go, żeby wiedzieć, ile ruchu naprawdę mamy, a nie tylko tyle, ile widzimy dzięki osobom, które zgodziły się na analitykę.
Typ urządzenia ustalamy na serwerze na podstawie nagłówka przeglądarki (user-agent). Sam nagłówek nie jest zapisywany — do bazy trafia wyłącznie jedno słowo: „telefon”, „tablet” albo „komputer”. Dotyczy to również danych analitycznych zbieranych za zgodą.
Pełna lista tego, co zapisujemy w Twojej przeglądarce
Poniżej jest wszystko — co do jednej pozycji. Lista jest generowana wprost z kodu strony, więc nie może się rozjechać z rzeczywistością.
| Nazwa | Rodzaj | Kategoria | Czas życia | Do czego służy |
|---|---|---|---|---|
authjs.session-tokenniedostępne dla skryptów strony | cookie | Niezbędne | 30 dni od ostatniej wizyty | Utrzymuje Twoje zalogowanie. Na HTTPS nosi przedrostek __Secure-. Termin liczy się od Twojej ostatniej wizyty: każde wejście na stronę przedłuża go o kolejne 30 dni. Bez niego konto nie działa. |
authjs.csrf-tokenniedostępne dla skryptów strony | cookie | Niezbędne | do zamknięcia przeglądarki | Chroni formularze logowania przed podszyciem się innej strony (CSRF). Na HTTPS nosi nazwę __Host-authjs.csrf-token. |
authjs.callback-urlniedostępne dla skryptów strony | cookie | Niezbędne | do zamknięcia przeglądarki | Zapamiętuje, na którą stronę wrócić po zalogowaniu. Na HTTPS nosi przedrostek __Secure-. |
cf_guest_ordersniedostępne dla skryptów strony | cookie | Niezbędne | 30 dni | Podpisany dowód, że to ta przeglądarka złożyła zamówienie bez konta — pozwala wrócić do płatności, zobaczyć potwierdzenie i zgłosić zwrot. Można go też odzyskać na nowym urządzeniu kodem wysłanym na e-mail (/orders/lookup). |
NEXT_LOCALE | cookie | Niezbędne | 180 dni | Zapamiętuje język strony (polski/angielski). Powstaje po kliknięciu przełącznika PL/ENG w menu, a także samo, gdy przeglądarka zgłasza inny język niż polski albo wchodzisz bezpośrednio na adres z przedrostkiem /en. |
cf_consent | cookie | Niezbędne | 180 dni | Zapamiętuje Twoją decyzję o cookies. Niezbędne: to ono pamięta, że powiedziałeś „nie”, i pozwala nam tego przestrzegać także po stronie serwera. |
catchfeels-cart | pamięć przeglądarki | Niezbędne | do wyczyszczenia koszyka | Koszyk osoby niezalogowanej. Po zalogowaniu jest scalany z koszykiem na koncie i kasowany. |
catchfeels-cart-bundles | pamięć przeglądarki | Niezbędne | do wyczyszczenia koszyka | Zestawy w koszyku osoby niezalogowanej. Po zalogowaniu są scalane z koszykiem na koncie i kasowane. |
cf_pending_checkout_guest_v1 | pamięć przeglądarki | Niezbędne | 24 godziny (usuwany przy następnej wizycie w koszyku) | Numer rozpoczętego, jeszcze nieopłaconego zamówienia — pozwala wrócić do płatności. |
cf_pending_checkout_user_v1_<adres e-mail> | pamięć przeglądarki | Niezbędne | 24 godziny (usuwany przy następnej wizycie w koszyku) | To samo dla osoby zalogowanej. Adres w nazwie klucza oddziela zamówienia dwóch kont używających tej samej przeglądarki. |
catchfeels-pickup | pamięć przeglądarki | Niezbędne | do wyczyszczenia danych przeglądarki | Ostatnio wybrany paczkomat InPost i punkt DPD Pickup (kod i adres punktu), żeby nie wybierać go od nowa przy kolejnym zamówieniu. Zostaje wyłącznie w Twojej przeglądarce. |
cf_breathe_hide_until | pamięć przeglądarki | Niezbędne | do upływu wskazanego terminu | Pamięta, że schowałeś widżet oddechowy, i do kiedy ma pozostać schowany. |
cf_breathe_never | pamięć przeglądarki | Niezbędne | bezterminowo | Pamięta wybór „nie pokazuj więcej” dla widżetu oddechowego. |
cf_breathe_session | pamięć przeglądarki | Niezbędne | do 30 minut bezczynności | Liczy czas przeglądania sklepu, żeby widżet oddechowy pojawił się dopiero po 20 minutach. Wyłącznie dostosowanie interfejsu — nie tworzy żadnego identyfikatora i niczego nie wysyła na serwer. |
cf_pending_checkout | pamięć przeglądarki | Niezbędne | 24 godziny (usuwany przy następnej wizycie w koszyku) | Starsza wersja klucza rozpoczętego zamówienia, sprzed rozdzielenia na gościa i konto zalogowane. Nadal odczytywana u powracających odwiedzających i migrowana do właściwego klucza przy najbliższej okazji, potem kasowana. |
cf_aid | cookie | Analityczne | 365 dni | Losowy identyfikator odwiedzin, dzięki któremu odróżniamy powracającą wizytę od nowej. Powstaje wyłącznie po zgodzie na analitykę; po jej wycofaniu kasujemy go razem z zebranymi pod nim danymi. |
cf_ses | cookie | Analityczne | 30 minut od ostatniej aktywności | Losowy numer jednej wizyty, odnawiany przy każdej odsłonie. Pozwala policzyć, ile stron obejrzano podczas jednych odwiedzin, bez wiązania tego z Tobą jako osobą. Powstaje wyłącznie po zgodzie na analitykę i kasuje się sam po 30 minutach bez ruchu. |
cf_mkt | cookie | Marketingowe | 30 dni od ostatniego wejścia z reklamy lub linku zewnętrznego | Zapamiętuje, skąd trafiłeś na stronę (parametry UTM, strona odsyłająca, identyfikator kliknięcia w reklamę). Każde kolejne wejście z reklamy lub linku zewnętrznego odnawia je na 30 dni. Przy składaniu zamówienia zapisujemy to źródło razem z zamówieniem, żeby wiedzieć, która reklama się opłaciła. |
Sygnał „nie śledź mnie” z przeglądarki (GPC / DNT)
Jeśli Twoja przeglądarka wysyła sygnał Global Privacy Control albo Do Not Track, traktujemy to jak odpowiedź „tylko niezbędne”: nie pokazujemy banera i nie uruchamiamy niczego opcjonalnego.
Nie zapisujemy wtedy na Twoim urządzeniu nawet decyzji o cookies – nie podjąłeś jej, więc nie mamy czego zapamiętywać. Gdybyś mimo sygnału chciał włączyć któreś z opcjonalnych cookies, możesz to zrobić w „Ustawieniach cookies” w stopce; taki świadomy wybór jest ważniejszy niż sygnał i wtedy go zapamiętamy.
Jak zmienić ustawienia cookies
Możesz w każdej chwili zmienić decyzję: kliknij „Ustawienia cookies” w stopce strony i zapisz nowy wybór.
Jeśli wolisz wycofać zgodę całkowicie zamiast wybrać „tylko niezbędne”, w oknie „Ustawienia cookies” kliknij „Wycofaj zgodę” — usuniemy zapisaną decyzję w całości, a baner pojawi się ponownie przy kolejnym wejściu na stronę.
Możesz też zarządzać cookies w ustawieniach przeglądarki (pamiętaj jednak, że zablokowanie niezbędnych cookies może uniemożliwić logowanie lub złożenie zamówienia).
Zmiany polityki
Możemy aktualizować politykę prywatności, gdy zmienią się funkcje sklepu lub sposób przetwarzania danych (np. dodanie narzędzi analitycznych). Aktualną wersję zawsze publikujemy na tej stronie wraz z datą aktualizacji.
Polityka jest dostępna w języku polskim i angielskim. Obie wersje są równorzędne; w razie rozbieżności stosuje się tę, która jest dla Ciebie korzystniejsza.